Der Angriff fand bereits im September statt, jedoch wurde die Verwaltung der Behörde erst am Freitag den 2. Oktober 2026 über eine Anomalie im System informiert. Soweit bisher bekannt ist, haben sich die Unbekannten einen Zugriff über den legalen Zugang eines dänischen Unternehmens verschafft. Mittlerweile wurde dieser Zugang entsprechend blockiert. Das gesamte Melderegister enthält Daten von rund elf Millionen Menschen und laut dem Digitalministerium sind zumindest keine Daten von besonders schützenswerten Personen abgeflossen.

Was versteht man unter einem Query-Injection-Angriff?

Kurz gesagt, ist eine Query Injection eine Manipulation einer Datenbankabfrage durch präparierte Nutzereingaben. Die häufigste Form ist die SQL-Injection.
Man kann dies etwas vereinfacht anhand eines Beispiels darstellen. Sie möchten sich auf einer Seite mit Ihren Nutzerdaten einloggen. Dazu geben Sie Ihren Benutzernamen und das Passwort in die Felder der Anmeldemaske ein. Im Hintergrund geschieht dann eine Datenbankabfrage, ob der entsprechende Nutzer zu dem Passwort passt. Wenn die Anwendung für die Anfrage falsch konfiguriert ist, lässt sie sich die dahinter liegende Datenbank über diese Felder manipulieren. Anstelle eines Benutzers oder Passworts könnte man dann einen entsprechenden Code eingeben und dadurch an Informationen gelangen, die eigentlich nicht abgefragt werden sollten. Man könnte sich auch Zugriff zum System verschaffen, obwohl hierfür keine Rechte bestehen.

Welche Folgen kann ein Query-Injection-Angriff haben?

Die Auswirkungen können sehr unterschiedlich sein. Neben Zugriff auf vertrauliche Daten können auch Benutzerkonten einfach übernommen werden. Bei einer entsprechend fehlerhaften Anwendung vor der Datenbank lassen sich Daten manipulieren oder löschen. Im schlimmsten Fall könnte die ganze Datenbank übernommen werden. Dies ist vor allem dann kritisch, wenn die Datenbank selbst einiges an Rechten im System hat. Aber auch der reine Zugriff auf sensible Kundendaten ist bereits kritisch, da diese dem Datenschutz unterliegen. Für einen Online-Shop würde ein solcher Vorfall einen starken Reputations- und finanziellen Schaden anrichten.

Gibt es viele Query-Injection-Angriffe?

Die meisten SQL-Datenbanken heutzutage sind gut gegen Query-Injection-Angriffe geschützt. Es gibt gängige Schutzmechanismen, die fast alle Datenbanken standardmäßig haben. Somit sind sie ein weniger großes Einfallstor für Kriminelle. Allerdings tauchen immer wieder Schwachstellen auf. Meist bei entweder älteren Anwendungen oder selbst geschriebenem Datenbankcode. Auch schlecht gewartete, interne Systeme können hier noch Lücken aufweisen. Aus diesen Gründen wird bei Pentests auch gern einmal ein Query-Injection-Angriff versucht.

Welche Sicherheitsmaßnahmen gibt es gegen Query-Injection-Angriffe?

Parametrisierte Abfragen verwenden

Die sinnvollste und wichtigste Schutzmaßnahme sind Prepared Statements oder parametrisierte Abfragen zu verwenden. Die Idee dahinter ist, dass Daten und Befehle an die Datenbank strikt voneinander getrennt werden. Dadurch werden Daten, die in einem Eingabefeld eingegeben werden auch nur als solche behandelt und nicht als ausführbarer SQL-Befehl.

Validierung der Eingaben

Die Eingaben von Benutzerdaten können auf Format, Länge und erlaubte Zeichen geprüft werden. Beispielsweise kann ein Benutzername auf 14 Zeichen begrenzt werden, womit ein längerer SQL Befehl nicht eingegeben werden kann. Dadurch wird ein Angriffsversuch bereits direkt am Anfang automatisch geblockt.

Zero-Trust auch für Datenbanken

Nutzerkonten, und auch die Datenbank selbst, sollten so wenig Rechte wie möglich bekommen. Dies ist auch gegen andere Angriffe sinnvoll, kann aber auch bei einem Query-Injection-Angriff helfen, da sich etwaiger Schaden deutlich begrenzen lässt.

Fehlermeldungen auf das Nötigste reduzieren

Zu detaillierte Fehlermeldungen bei einer Eingabe können Angreifern wertvolle Hinweise über den Aufbau und die Struktur der Datenbank geben. Deshalb sollte die Fehlerausgabe so gering wie möglich gehalten werden.

Regelmäßige Sicherheitsprüfungen

Sicherheitsscans, Code-Reviews oder auch Penetrationtests können dazu führen, dass eine eventuell entstandene Schwachstelle frühzeitig erkannt und geschlossen werden kann. Dies bietet sich natürlich nicht nur für Datenbanken an, sondern für alle Bereiche in einem Unternehmen.

Sind Query-Infection-Angriffe immer noch gefährlich?

Erfolgreich durchgeführte Query-Infection-Angriffe sind durchaus noch gefährlich, da sie sehr viel Schaden anrichten oder man mit ihrer Hilfe sehr viele Daten klauen kann. Allerdings sind heute die meisten Datenbanken bereits von Ihrer Grundstruktur dagegen geschützt.
Wenn Sie sich unsicher sind, ob es bei Ihnen eine entsprechende Lücke gibt, kontaktieren Sie uns gern und wir besprechen gemeinsam Möglichkeiten, wie wir in Ihrem System Schwachstellen finden und schließen können.

Wie wird KI das IT-Consulting verändern?

Im Bereich Beratung spielt KI eine noch nicht so starke Rolle wie in den anderen Bereichen. Denn hier geht es vor allem um kompetente Beratung. Die Themen haben eine gewisse Komplexität und umfassen neben rechtlichen Komponenten auch Budgetkonflikte und Strategien, die langfristig für das gesamte Unternehmen angewandt werden sollen. Für eine umfassende Beratung in der IT ist es sinnvoll, dass ein Berater verschiedene Stränge im Unternehmen zusammenführt. Er kann zwar KI nutzen um Daten zu analysieren oder seine Präsentationen vorzubereiten, die Kernarbeit kann jedoch aktuell nicht durch KI übernommen werden.
Hinzu kommt die menschliche Vertrauenskomponente und Erfahrung, die ein guter Berater mitbringt. Nicht immer geht es dabei nur um die bloßen Zahlen in der Unternehmensstruktur. Ein Berater muss zusätzlich zwischenmenschliche Dynamiken und Konflikte zwischen Firmenethik und strategischer Budgetausrichtung mitdenken. Viele Entscheidungen werden nicht nur aufgrund theoretischem Fachwissen getroffen, sondern auch durch das Vertrauen in den Berater und dessen Lösungsansätze.
IT Consulting wird sich vielleicht zukünftig in die Richtung entwickeln, dass vermehrt Datensätze mittels KI ausgewertet werden. Die konkrete Bewertung der Ergebnisse und Umsetzungsmaßnahmen werden jedoch weiterhin durch einen Berater durchgeführt.

Welche Neuerung entstehen in der Cybersecurity durch KI?

Im Bereich Cybersecurity hat KI mittlerweile einen festen Platz erhalten. Das gilt sowohl für die Seite der Sicherheitsexperten als auch für die Seite von Cyberkriminellen. Die Zeiten in denen beispielsweise Phishing-Mails händisch verfasst wurden, sind lange vorbei. Aber auch die Suche nach Sicherheitslücken kann KI übernehmen. Das bedeutet, Angreifer können viel schneller Lücken finden und ausnutzen.
Natürlich bietet KI aber auch eine Riesenmöglichkeit für alle Sicherheitsanbieter. Unternehmen wie Sophos, Securepoint und viele andere nutzen bereits KI zur Schwachstellenerkennung und auch für Verbesserungen der eigenen Programme. Allerdings ist KI momentan noch nicht vollständig alleine handlungsfähig. Es bedarf am Ende oft einer menschlichen Kontrollinstanz. Sollte es beispielsweise zu Sperrungen durch die KI kommen, die fälschlicherweise entstanden sind, gilt es solche Fälle schnell zu klären und den Nutzer wieder zu entsperren. Hinzu kommen Zero-Day-Angriffe, die nicht immer von der KI als solche erkannt werden. Auch hier kann der Mensch teilweise (noch) schneller agieren. Ähnlich wie beim IT Consulting darf aber auch die menschliche Komponente nicht vergessen werden. IT Security besteht nicht in einem reinen Maßnahmen Katalog, der abgearbeitet werden sollte. Es gilt zu prüfen, wie die Prioritäten des Unternehmens liegen und welche Reihenfolge sinnvoll ist. Dazu bedarf es Menschen, die mehrere Faktoren gegeneinander abwiegen und genau herausfinden, was tatsächlich für das Unternehmen sinnvoll und machbar ist.

Kann KI Programmierer ersetzen?

Vor allem im Bereiche Coding wird KI bereits heute häufig eingesetzt. Sie kann gut beim Generieren von Code und beim Testen von Code unterstützen. Auch eine parallele Dokumentation durch die KI ist mittlerweile möglich.
Allerdings ist KI häufig nicht im Stande administrative Entscheidungen sinnvoll zu treffen. Oft geht es beim Programmieren nicht nur um den eigentlichen Code, sondern auch um langfristige Architekturentscheidungen und langfristige Entwicklungen. Ein Projekt muss geplant werden und teilweise mit dem Kunden genau abgesteckt werden. Dies wird immer noch händisch durch Menschen gemacht.

Langfristig kann es hier auch zu Problemen kommen. Die aktuellen Aufgaben einer KI entsprechen oft eher der eines Junior-Entwicklers. Aber es ist sinnvoll dieses Handwerk zu beherrschen, um sich irgendwann zum Senior weiterzuentwickeln. Wenn Unternehmen immer mehr auf KI setzen anstatt junge Menschen auszubilden, kann es passieren, dass irgendwann der Nachschub an Senior-Entwicklern, die die KI managen fehlt.

Welche Möglichkeiten hat KI in der Systemadministration?

Bei der Systemadministration bietet KI viele Möglichkeiten zur Unterstützung. So kann KI beispielsweise die Überwachung des Systems übernehmen und Meldungen vorpriorisieren. Auch Standardprobleme lassen sich sicher leichter lösen und der menschliche Support wird dadurch entlastet.
Im Alltag kommt es aber zu vielen nicht alltäglichen Situationen bei denen flexible Entscheidungen getroffen werden müssen. Ein Systemadministrator muss das ganze System verstehen und nicht nur Teile davon. Dieser Blick für das große Ganze fehlt KI oft.

Fazit: Was kann KI ersetzen und was nicht?

In allen Bereichen zeigt sich, dass viele technische und tägliche Handgriffe von der KI übernommen werden können. Sie ist gut im Auswerten von Statistiken, im Erkennen von nicht normalen Vorgängen, sich wiederholenden Prozessen und dem Erstellen von einfachem Code. Dadurch wird sie für viele im IT-Sektor zu einem guten Hilfsmittel. In einigen Fällen wird ihr aber, meist aus guten Gründen, nicht die volle Verantwortung für Projektentscheidungen überlassen. Hier haben vor allem mit Menschen mit Erfahrung die Nase vorn. Sie können besser die Prioritäten für ein Unternehmen setzen und verschiedene Bedürfnisse unterschiedlicher Parteien in Einklang bringen. Hinzu kommt ein gewisses Vertrauen und eine Verantwortlichkeit, die man der KI oft abspricht. Sollte es zu unerwarteten Problem kommen, hat man mit einem Menschen einen direkten Ansprechpartner, der im Zweifel auch zur Verantwortung gezogen werden kann und/oder Fehler rückgängig machen kann. Hinzu kommt die Kostenfrage. Nicht immer ist KI so günstig, wie es uns suggeriert wird. Viele Anbieter befinden sich noch in der Akquise Phase und versuchen Unternehmen durch möglichst günstige Einstiegsangebote zu locken. Da die Anbieter dadurch häufig ein Verlustgeschäft haben, ist davon auszugehen, dass die Preise ansteigen werden. Für leistungsstarke Modelle wird bereits jetzt einiges an Geld benötigt und auch diese werden nicht günstiger. Es ist also nicht automatisch der günstigere Weg. Dennoch ist es spannend, was KI bereits jetzt als Hilfstool leistet, und wir sind gespannt darauf, wie sich dies in Zukunft weiterentwickeln wird.

Sowohl für Privatpersonen als auch Unternehmen kann es erhebliche negative Folgen haben auf einen Phishing-Angriff hereinzufallen. Es kann zum Verlust von erheblichen Geldsummen, aber auch zu Identitätsdiebstahl oder Datenschutzverletzungen kommen.
Zwar ist Phishing eigentlich ein mittlerweile sehr bekanntes Thema, aber dennoch bleibt es eine der häufigsten Methoden, um an Vermögenswerte oder Informationen zu gelangen. Nach Datenkompromittierungen ist es die zweitteuerste Ursache für Datenschutzverletzungen. Messbare Daten sind vor allem bei größeren Unternehmen findbar. So meldet IBM, dass hier von durchschnittlich 180 Dollar pro verlorenem Datensatz oder 4,65 Millionen US-Dollar pro Jahr gesprochen.

Welche Arten von Phishing-Angriffen gibt es?

Es gibt einige verschiedene Arten an Phishing-Angriffen. Wir erklären in unserem Beitrag die drei häufigsten: die drei Unterarten: „Massen-Phishing-E-Mails“, „Spear-Phishing“ und „SMS-“ oder „Messenger-Phishing“. Anhand dieser Unterarten lässt sich sehr gut das System hinter einer solchen Attacke verstehen.

Massen-Phishing-E-Mails:

Diese Art des Phishings richtet sich an die breite Masse. Meist wird dazu ein großes Unternehmen genommen und eine E-Mail erstellt, die den Anschein erweckt von diesem großen Unternehmen zu stammen. Durch die Bekanntheit des gewählten Unternehmens, wird die Mail von den meisten Empfängern zunächst als seriös wahrgenommen. Im Betreff wird dann versucht einen Dringlichkeitseffekt zu erzeugen, beispielsweise indem suggeriert wird, dass eine Bestellung nicht versandt werden kann oder eine Rechnung nicht bezahlt wurde. Es können aber auch gefälschte Gewinnspielaktionen oder Sonderangebote beworben werden. Letztere Methode ist vor allem um Feiertage oder den Black Friday sehr beliebt. Eine solch erstellte Mail wird dann durch einen Bot an Millionen von E-Mail Adressen versandt. Teilweise funktioniert der gesamte Prozess für Kriminelle schon automatisiert, die Mails werden automatisch durch KI erstellt und anschließend geschickt. „Phishing“ bedeutet wörtlich übersetzt so viel wie „angeln“ und genau das ist es, was der Täter getan hat. Er hat den Köder ausgeworfen und nun müssen ihn die Empfänger nur schlucken. Nach dem Öffnen der E-Mail sieht man meist einen Link zu einer gefälschten Webseite. Dort wird dann versucht Daten abzufangen. Durch die schiere Masse an versendeten Mails erhöht sich für die Täter die Chance zumindest eine Person zu erwischen, die auf die E-Mail hereinfällt. Durch den vergleichsweise geringen Aufwand ist der Erfolg dieser Methode relativ hoch und sie ist deshalb die häufigste Phisihing-Variante.

Spear-Phishing:

Spear-Phising ist deutlich zeitintensiver als Massen-Phishing. Der Angreifer sucht sich ein Opfer und versucht darüber Informationen zu sammeln. Oft nutzt er dazu die sozialen Medien oder schaut sich auf der Webseite des Unternehmens um. Er versucht dann eine E-Mail zu versenden, die Informationen enthält, durch die der Empfänger die E-Mail für glaubwürdig hält. Beispielsweise wenn ein neuer Mitarbeiter auf LinkedIn postet, dass er nun eine neue Stelle in einer bestimmten Firma hat. Könnte ihn ein Hacker anschreiben und sich als Geschäftsführung ausgeben. Sie könnte ihn beispielsweise bitten sich in einem externen Urlaubsplanungsportal anzumelden. Die Erstzugangsdaten sind die gleichen, die er für ein anderes Tool nutzt, er soll das möglichst heute tun, damit alles eingerichtet werden kann. Der Link führt dann zu dem fingierten Urlaubsplanungsportal und wenn der ahnungslose Nutzer nun den gleichen Benutzernamen und das gleiche Passwort eingibt, dass er auch an anderer Stelle nutzt, können die Angreifer dies nutzen, um in das System des Unternehmens zu kommen. Spear-Phishing ist für Angreifer zwar deutlich zeitaufwendiger als Massen-Phishing, aber teilweise auch deutlich effizienter. Vor allem da viele Menschen sensible Informationen selbst zur Verfügung stellen. Auch KI kann dabei helfen Informationen aus verschiedenen Quellen zusammenzutragen.

SMS- und Messenger-Phishing:

Die Vorgehensweise von SMS- und Messenger-Phishing unterscheidet sich nur unwesentlich von den Arten per Mail. Auch hier können SMS in Massen verschickt werden, um möglichst viele potentielle Opfer zu erreichen. Beliebt sind immer wieder Benachrichtigungen zu Paketzustellungen. Beispielsweise der Hinweis, dass ein Paket nicht zugestellt werden konnte und wo man es abholen solle. Dadurch, dass solche Nachrichten heute keine Seltenheit mehr darstellen, ist es tatsächlich nur eine Frage der Zeit bis jemand eine solche Benachrichtigung erhält, der gerade ein Paket erwartet und auf den falschen Link klickt. Vorsicht sollte man deshalb auch an seinem Smartphone walten lassen.

Wie erkenne ich Phishing-Nachrichten?

Häufig versuchen Phishing-Nachrichten einen gewissen Druck aufzubauen, sei es zeitlich oder inhaltlich. Man müsse jetzt handeln, sonst passiere etwas schlimmes. Wenn jemand Ihnen keine Zeit lassen möchte oder mit unrealistischen Mitteln wie einer direkten Haftstrafe droht, ist meistens etwas faul. Generell sollte man Forderungen nach Senden oder Verschieben von Geld erst einmal skeptisch gegenüber stehen. Bei Sonderangeboten können Sie diese auch direkt über die Webseite des Shop-Betreibers suchen und müssen nicht über den Link gehen. Anhänge sollten, sofern sie nicht angefordert wurden, auch nicht geöffnet werden. Schauen Sie sich die Absenderadresse an. Teilweise ist diese gut erkennbar weder von der eigentlich vertrauten Person, noch von dem Unternehmen für das sich ausgegeben wird.

Welche Sicherheitsmaßnahmen kann man gegen Phishing vornehmen?

Zunächst ist es sinnvoll eine Multi-Faktor-Authentifizierung für sämtliche Logins einzurichten. Sollten dann doch mal Daten und Passwörter abgefangen werden, ist es für Angreifer dann dennoch kein leichtes in Ihre Kundenkontos zu kommen. Für verschiedene Webseiten nutzen Sie am besten unterschiedliche Passwörter, so kann auch nicht von einer Seite auf andere geschlossen werden.

Bei den meisten E-Mail Konten können Sie einen Spam-Filter einrichten. Diese sind in den meisten Mail-Programmen zwar nicht perfekt, werden aber auch immer besser. Verdächtige Mails können dadurch identifiziert werden und Links werden automatisch deaktiviert. In Ihrem Browser haben Sie ebenfalls die Möglichkeit einen Webfilter einzurichten, der vor verdächtigen oder gefälschten Webseiten warnt. Sollte eine Phishing-Mail schädliche Daten mitsenden kann ein Antivirus-Programm helfen, diese zu entschärfen oder unter Quarantäne zu stellen.

Unternehmen sollten noch einen Schritt weiterdenken. Vielen Mitarbeitenden ist zwar rudimentär bekannt, was für Gefahren es im Internet gibt, aber im täglichen Mailverkehr wird das gern einmal vergessen. Deshalb sollte auf jedem Rechner eine gute Endpoint Protection installiert und gepflegt werden. Zusätzlich können Mitarbeitende mit Awareness-Trainings geschult werden.
Wir bieten unseren Kunden beispielsweise auch die Möglichkeit falsche Phishing-Mails zu versenden und damit Ihre Mitarbeitenden zu schulen. Sprechen Sie uns gern darauf an!

Der kürzlich erfolgreich durchgeführte Cyberangriff auf die Berliner Verwaltung ging diese Woche durch die Medien. Wir stellen uns heute die kritische Frage: Sind die deutschen Behörden gut gegen Cyberangriffe geschützt und wagen eine Prognose für die Zukunft.

Was ist bei dem Cyberangriff in Berlin passiert?

Bereits Mitte August gelang es Hackern in die Berliner Verwaltung einzudringen und Daten abfließen zu lassen. Die Behörde spricht von rund 1,4 Millionen Dateien. Darunter auch persönliche Daten wir Arbeitszeugnisse und Passwörter von Verwaltungsangestellten. Als Täter hat sich die Hackergruppe „Rhysida“ bekannt, die nach Erbeutung der Daten rund 2 Millionen Euro in Bitcoin forderte. Die Landesregierung ging nicht auf die Erpressung ein und so wurden die Daten Anfang September im Dark Net veröffentlicht.
Wie der Staatssekretär Florian Hauer am 7. September 2026 mitteilte, ist man aktuell dabei die entsprechenden Daten herunterzuladen und zu sichten. Dabei sollen kritische Daten ermittelt werden. Bisher seien jedoch nur Daten der niedrigsten Sicherheitsstufe NfD (Nur für Dienstgebrauch) gefunden worden. Im Gegensatz zu vorherigen Meldungen, haben sich Datensätze mit kritischen Bezeichnungen im Nachhinein als harmlos entpuppt.
Beispielsweise gab es eine Datei zum Militärischen Abschirmdienst (MAD). In dieser befanden sich jedoch nur Informationen zu Anwohnerparkausweisen. Auch wenn noch nicht alle Daten gesichtet wurden, besteht die Hoffnung, dass weniger personenbezogene Daten und weniger Informationen über deutsche Verteidigungssysteme abgeflossen sind als ursprünglich angenommen.

Hätte man den Cyberangriff in Berlin verhindern können?

Wie die Tagesschau berichtet, erhebt der IT-Experte Manuel Atug gegen die Berliner Verwaltung schwere Vorwürfe. Atug hat die AG KRITIS gegründet. Diese Arbeitsgruppe setzt sich aus 23 Fachleuten verschiedener Bereiche zusammen und beschäftigt sich mit Optionen, die kritische Infrastruktur von Deutschland besser zu schützen. Er gibt an, dass es konkrete Geheimschutz-Vorgaben gibt, die für die Speicherung und Verarbeitung von Daten gelten. Offensichtlich wurde sich an diese nicht gehalten. Er war bereits 2023 und 2025 als Sachverständiger geladen worden und hatte vor erheblichen Sicherheitslücken gewarnt.

Ist der Cyberangriff in Berlin ein Einzelfall?

Tatsächlich weisen IT-Sicherheitsexperten seit Jahren daraufhin, dass viele öffentliche Verwaltungen eklatante Sicherheitslücken aufweisen. Dies bedingt sich meist durch veraltete IT-Systeme und einem Mangel an IT-Personal, das die Expertise besitzt, Sicherheitsmaßnahmen zu implementieren. Hinzukommt, dass Behörden nicht nur ein beliebtes Angriffsziel von monetär interessierten Hackergruppen wie die Rhysida sind, sondern durchaus für Geheimdienste anderer Länder interessant sind. Dadurch sind sie häufiger professionellen Hack-Angriffen ausgesetzt als beispielsweise Unternehmen. Das Bundesministerium für Sicherheit in der Informationstechnik (BSI) warnt jährlich im Bundeslagebericht vor der gestiegenen Bedrohungslage. In dem Bericht werden explizit auch Behörden genannt, die von den Gefahren betroffen sind.

Kritischer Blick auf die Anforderungen nationaler Behörden gegen Cyberangriffe

Kritischer Blick auf die Anforderungen nationaler Behörden gegen Cyberangriffe
Cyberangriffe sind eine reale Bedrohung für Unternehmen und Behörden gleichermaßen. Für uns ist daher nicht begreiflich, warum dieses Thema häufig auch in Behörden immer noch vernachlässigt wird. Im Gegensatz zu Unternehmen, haben die Bürger dieses Landes nicht die Wahl ihre Daten an eine Behörde zu übermitteln, sondern müssen sich teilweise zwangsweise an sie wenden oder sind dort registriert. Hinzu kommen wichtige Informationen über die Infrastruktur, Organisation und Verteidigung dieses Landes, die schützenswert sind. Umso erstaunlicher und erschreckender ist es, dass es zu einem Vorfall wie in Berlin kommen konnte. Es lässt sich vermuten, dass auch in anderen Verwaltungen ähnlich eklatante Sicherheitslücken vorhanden sind und Berlin keine Ausnahme ist.
Mit Blick auf das in diesem Jahr eingeführte NIS2UmsuCG haben wir den Eindruck, dass hier die Chance verpasst wurde, Behörden stärker in die Pflicht zu nehmen. Denn die NIS-2 Regelung wurde nicht auf lokale Ebene und Bildungseinrichtungen ausgeweitet. Stattdessen liegt die „Die Gesetzgebungskompetenz für die Cybersicherheit der Verwaltung von Ländern, Landkreisen und Kommunen […] bei den Ländern und Kommunen selbst (vgl. Artikel 70 Absatz 1, 28 Absatz 2 Grundgesetz). Die Länder haben in eigener Verantwortung und Zuständigkeit die NIS-2-Richtlinie hinsichtlich der kritischen Teile ihrer Landesverwaltungen umzusetzen und zu entscheiden, ob die Umsetzung auch die Ebene der Landkreise bzw. Kommunen erfassen wird.“ NIS2 wurde ursprünglich durch die EU beschlossen, um Europa im Kampf gegen Cyberangriffe zu stärken. Dassdie Regelungen nun auf Unternehmen angewandt werden, aber zeitgleich eine so lasche Regelung für Behörden in das Gesetz aufgenommen wurde, ist mehr als fahrlässig.

Werden Behörden in Zukunft besser gegen Cyberangriffe geschützt sein?

Es herrscht die starke Hoffnung, dass der Vorfall in Berlin nun ein Weckruf war. Doch bereits jetzt kann man sich nicht den Eindruck erwehren, dass versucht wird, den Cyberangriff klein zu reden. Die fehlende Bereitschaft Landesregierungen und Behörden gesetzlich dazu zu verpflichten mehr Sicherheitsmaßnahmen zu implementieren zeugt von einer geringen Bereitschaft zur Veränderung. Es entsteht der Eindruck, dass Behörden aktuell nicht leisten können ein sinnvolles IT-Sicherheitsniveau zu erreichen und man sie deshalb erst gar nicht in das NIS2UmsuCG aufgenommen hat. Das kann jedoch katastrophale Konsequenzen haben. Über 140 Milliarden Euro sollen nächstes Jahr in die Verteidigung des Landes fließen. Gesprochen wird hierbei vor allem von Geld für Drohnen, Panzer und Militär. Verteidigung bedeutet jedoch nicht nur eine physische Wehrhaftigkeit, sondern sollte auch eine digitale mit einschließen. Es bleibt zu hoffen, dass dies durch Fälle wie in Berlin rechtzeitig erkannt wird.

Warum bietet Open Source mehr Transparenz?

Bei proprietären Sicherheitslösungen gibt es in der Regel keine Einsicht in den Quellcode. Das bedeutet, dem Hersteller muss blind vertraut werden. Welche Daten verarbeitet werden und ob eventuelle Hintertürchen für beispielsweise die US-Amerikanische Regierung offen gehalten werden, ist nicht ersichtlich. Die Sicherheitslösung ist eine so genannte „Black Box“. Sie funktioniert zwar meistens, aber es ist nicht ersichtlich, was genau in ihr vorgeht.
Bei Open-Source hingegen ist der Quellcode öffentlich einsehbar. Dadurch kann er gewissermaßen von jedem selbst geprüft werden. Natürlich übersteigt eine solche Prüfung oft die Mittel im Unternehmen, aber durch die öffentliche Einsicht gibt es auch unabhängige Experten, Forscher, die Open Source Community oder größere Unternehmen, deren Teams den Code prüfen und öffentlich teilen, sollte hier etwas auffällig sein. Diese Prüfungen erfolgen dadurch nicht nur von einer Partei und werden somit objektiver. Dadurch reduzieren sich Risiken wie ein ungewollter Datenabgang.

Wieso ist es besser nicht von einem Anbieter abhängig zu sein und auf Open Source zurückgreifen?

Auf eine proprietäre Lösung zurückzugreifen, kann auch Vorteile haben. Meist kann man alle Lösungen aus einer Hand haben und sie greifen ineinander. Der Einrichtungsaufwand ist oft etwas geringer, da vieles vorkonfiguriert ist. Aber diese Einfachheit kommt mit einem Preis. Wenn alle Sicherheitslösungen von einem Hersteller gekauft werden, entsteht häufig eine gewisse Abhängigkeit. Dadurch ist man Änderungen durch den Anbieter nahezu schutzlos ausgeliefert. Wird die Sicherheitslösung deutlich verteuert, eingestellt oder durch einen Unternehmensverkauf signifikant geändert, müssen Kunden dies mittragen oder sich dann nach Alternativen umschauen. Das bedeutet im Zweifel eine kostspielige Migration zu einem Nachfolgemodell oder einem anderen Anbieter.
Nutzt man Open-Source-Technologien erfordert die erste Einrichtung unter Umständen ein wenig mehr Zeit, jedoch ist das Ergebnis oft flexibler auf die Unternehmensbedürfnisse anpassbar. Hinzukommt, man ist nicht zwingend an einen Anbieter und dessen Preissegment gebunden. Hardware geht nicht so schnell end of life und auch Preissteigerungen bei Lizenzen sind deutlich seltener. Vor allem wenn man seine Sicherheitsinfrastruktur langfristig planen möchte, können diese Faktoren Einsparungen ermöglichen. Auch erhöht Open Source deutlich die Wahlmöglichkeiten an Produkten und man muss nicht jeden neuen Preis einfach schlucken. Zusätzlich hat man die Möglichkeit Open Source Produkte selbstständig weiterzuentwickeln oder oft auch mit den Erstellern direkt Kontakt aufzunehmen, um Dinge anzupassen oder Features zu erbitten.

Welche technische Vorteile bietet Open Source Security?

Während bei proprietären Lösungen meist ein einzelnes Unternehmen hinter dem Programm steht, um Sicherheitslücken zu finden, kann bei Open-Source-Programmen potentiell jeder im Quellcode nach Lücken suchen. Meist arbeiten Entwicklergemeinschaften und Unternehmen sowie Sicherheitsexperten aus verschiedenen Bereichen zusammen, um hier Schwachstellen zu identifizieren und zu beheben. Sicherheitsupdates werden dann zeitnah online gestellt und die etwaigen Lücken dadurch behoben. Damit sind Sie nicht auf den Release-Zyklus von Anbietern wie Microsoft angewiesen, sondern bekommen Updates dann, wenn sie notwendig sind.

Kann Open-Source-Sicherheit compliance und regulatorische Anforderungen erfüllen?

Mit Open-Source-Sicherheit lassen sich genauso wie mit proprietären Lösungen compliance und regulatorische Anforderungen erfüllen. Wichtig ist hierbei, wie bei jeder Lösung, die richtige Dokumentation der Konfiguration und eine Unterstützung durch unabhängige Auditoren. Wenn Sie dies beachten stehen Open-Source-Sicherheitslösungen anderen in nichts nach. Für NIS2 werden beispielsweise keine konkreten Hersteller verpflichtend, sondern lediglich Maßnahmen. Wie und mit welchem Hersteller sie diese umsetzen, bleibt schlussendlich Ihnen überlassen.

Gibt es im Bereich auch Open Source Security auch Hardware?

Für die Hardware muss darauf geachtet werden, Modelle zu kaufen, die software offen gebaut sind. Open Source bezieht sich in erster Linie auf die Software und nicht auf die Hardware. Dennoch gibt es auch im Bereich Open Source viele Produkte, die auf Security Hardware läuft. Beispielsweise OPNSense für Firewalls.
Was sind die Herausforderungen für Open-Source-Sicherheit?
Zwar bietet Open Source sehr viele Möglichkeiten, aber sie ist dennoch nicht mit einem Knopfdruck eingerichtet, sondern benötigt teilweise mehr Zeit als proprietäre Möglichkeiten. Dies kommt vor allem daher, dass die Konfiguration meist passgenauer auf das eigene Unternehmen zugeschnitten wird. Hinzukommt, dass teilweise, die Verbindung mit anderen Programmen nicht so reibungslos verläuft, wie wenn man alles aus einem Haus hat. Hinzu kommt, dass man auch hier erst einmal verschiedene Anbieter vergleichen und auswählen sollte. Bleibt man bei einem Produkt, das jeder kennt, benötigt man keinen weiteren Auswahlprozess. Man sollte auch ein Produkt finden, das aktuell und aktiv gepflegt wird, so dass man in einem entsprechenden Fall auch den notwendigen Support erhält.

Fazit: Open Source mit in die IT-Sicherheit einbeziehen

Natürlich ist es nicht notwendig alle Produkte und die ganze Firma auf Open Source umzustellen, aber im Bereich IT-Sicherheit gibt es viele Optionen auch Open Source auf der sicheren Seite zu sein. Sie erhöhen dadurch die Flexibilität für andere Produkte und sind nicht mit einem Hersteller verheiratet, der am Ende nicht das hält, was er verspricht. Dabei bleiben Sie mindestens auf Ihrem Sicherheitsniveau oder können dies sogar noch anheben.
Es lohnt sich also auch einmal einen Blick zur Seite zu wagen und die eigene Produktauswahl zu erweitern. Sie benötigen dabei Unterstützung? Dann kontaktieren Sie uns gern für ein unverbindliches Erstgespräch.

Der Bayrische Rundfunk (BR) entdeckte bei einer Recherche eine Sicherheitslücke in deutschen Mobilfunknetzen. Konkret konnten sie folgende Daten abfangen: die 15-stellige IMEI-Kennnummer sowie teilweise auch das Smartphone-Modell und die Betriebssystemversion. Das perfide daran ist, dass die Daten bereits übertragen wurden, noch bevor die angerufene Person, das Gespräch überhaupt annahm.

Wie kann die Schwachstelle ausgenutzt werden?

Je nach Netzbetreiber werden unterschiedlich viele Informationen ausgegeben. Bei Telekom und Vodafone konnten die Tester des BR sogar das Smartphone-Modell und die Betriebssystemversion herausfinden. Dadurch erhalten sie indirekt auch Informationen darüber, ob alle Sicherheitsupdates installiert sind oder das Handy Sicherheitslücken aufweist. Der BR testete 70 Verbindungen und gab an, dass diese Informationen aber nur in bestimmten Konstellationen herausgegeben werden.
Die IMEI-Kennnummer könne vor allem im Ausland auch genutzt werden, um Standorte zu evaluieren. Man könnte beispielsweise die IMEI eines Soldaten herausfinden und dann später anhand der Nummer seinen Standort in Litauen bestimmten. Es lassen sich Personen identifizieren und Bewegungsprofile erstellen.

Wird die Sicherheitslücke geschlossen?

Der BR meldete die Sicherheitslücke bereits Ende Juni den Netzbetreibern Telekom, Vodafone und Telefónica. Vodafone und Telefónica haben angegeben bereits Maßnahmen getroffen zu haben. Die Telekom gab Mitte August an, ebenfalls Maßnahmen zu ergreifen. Der internationale Mobilfunkverband GSMA gab die die Warnung zu der bekannten Lücke auch an seine mehr als 1000 Mitgliedsunternehmen weltweit weiter.
Es bleibt zu hoffen, dass die Sicherheitslücke damit geschlossen werden kann und das es nicht zu weiteren kommen wird.

Ähnlich sieht es bei der IT-Sicherheit aus. Ein System kann noch so gut geschützt sein, es ist dennoch sinnvoll einen Plan für den Notfall zu haben. Einen Fallschirm, falls das gut gewartete Flugzeug abstürzt. In vielen Lebenslagen ist ein Plan B absolut selbsterklärend und so sollte es auch in der IT sein. Deshalb beschäftigen wir uns heute mit dem Notfallplan.

Was ist ein Notfall in der IT?

Notfälle in der IT sind zunächst Sicherheitsvorfälle. Diese werden meist ausgelöst durch Cyberangriffe sowie Systemausfälle und Datenverlust. Dies sind meist die größten Risiken denen Unternehmen ausgesetzt sind. Viele der größten Notfälle, die einen Notfallplan bedürfen, werden nicht durch einen externen Akteur ausgelöst, sondern passieren intern. Fehlern von Mitarbeitern oder veraltete Hardware können schnell zu größeren Problemen führen. Aber auch neue Hardware kann Fehler haben. Hinzu kommen externe Ereignisse wie Naturkatastrophen, Stromausfälle und Brände. Auch in solchen Fällen kann es schnell passieren, dass die IT nicht mehr richtig funktioniert. Schlussendlich hat man es nie ganz in der Hand, ob es nicht morgen einen Notfall gibt. Aus diesem Grund ist ein Notfallplan sinnvoll.

Warum ist ein Notfallplan so wichtig?

Der wichtigste Faktor bei einem Notfall ist immer Zeit. Je länger ein Unternehmen still steht, desto teurer wird es. Produktionsausfälle führen zu stockenden Lieferungen und unzufriedenen Kunden. Hinzu kommt, dass durch die Verzögerungen ein Stau ersteht und neue Bestellungen nicht angenommen werden können, wenn alte noch abgearbeitet werden müssen. Das Ergebnis sind weniger Einnahmen. Hinzu kommt, dass der Regelbetrieb dennoch das gleiche Geld kostet wie ohne einen Ausfall. Ihre Mitarbeiter können nicht mehr arbeiten, aber bekommen dennoch ihr Gehalt. Es gilt so schnell wie möglich das Unternehmen wieder handlungsfähig zu machen.
Bei einer Firma mit Produktion ist dies offensichtlich, aber auch bei Unternehmen die ihren Verdienst mit Dienstleistungen machen, ändert das nichts an der Notwendigkeit schnellstmöglich wieder handlungsfähig zu werden. Das Kapital in solchen Unternehmen liegt im Kundenkontakt und auf diese Daten müssen die Mitarbeitenden zugreifen können. Wenn die IT-Systeme ausfallen, dann gibt es für diese Mitarbeitenden oft keine Möglichkeit weiterzuarbeiten und das System steht still.
Zeit spielt aber noch eine andere Rolle. Es geht nicht nur darum schnell wieder arbeiten zu können, sondern vor allem im Bereich IT-Sicherheit sollte schnell gehandelt werden. Beispielsweise damit sich Malware nicht von einem PC auf alle anderen Systeme ausbreitet. Ein Notfallplan kann auch regeln wie mit einem Angriff umgegangen wird, bevor dieser das ganze Netzwerk infiltriert. Dadurch lässt sich vielleicht das Schlimmste verhindern und der Reputationsverlust ist deutlich geringer.
Hinzu kommen gesetzliche Anforderungen. Ist ein Unternehmen beispielsweise NIS-2-pflichtet, müssen auch die Meldungen an das Bundesministerium für Informationssicherheit (BSI) bedacht werden. Bei zu späten Meldungen drohen Sanktionen. Ein Notfallplan, in dem klar definiert wird, wer eine Meldung abgeben muss und wann, verhindert dies.

Was sind wichtige Bestandteile eines Notfallplans?

Um einen sinnvollen Notfallplan zu erstellen, ist es gut diesen mit der IT-Abteilung und eventuell einer externen Person abzusprechen. Nur dann kann er auf das Unternehmen perfekt angewendet werden und leistet das, was er sollte. Wir stellen ihnen die wichtigsten Bestandteile vor:

Risikoanalyse und Definition kritischer Systeme

Vor dem eigentlichen Notfallplan steht eine Risikoanalyse und damit verbunden ein Plan, was bedacht werden muss, im Falle eines Notfalls. Welche Bereiche sind besonders anfällig und müssen geschützt werden? Welche Bereiche benötigen welche Systeme um arbeiten zu können? Erst auf Basis einer guten Struktur und Dokumentation kann der eigentliche Notfallplan erstellt werden.

Rollen und Verantwortlichkeiten

Im Notfallplan muss klar definiert sein, welche Person in einem Krisenszenario, welche Rolle übernimmt. Wer wird informiert, wer meldet Sicherheitsvorfälle an das BSI? Wer bearbeitet die Meldungen durch Mitarbeitende? Wer kümmert sich um die Wiederherstellung?
Diese und andere Fragen sollten geklärt werden.

Kommunikationskanäle

Im Notfallplan sollte klar geregelt sein, welche Kommunikationskanäle genutzt werden. Auf welchem Weg erreicht man die Verantwortlichen? Dieser Punkt ist eng verknüpft mit dem vorherigen. Darüber hinaus sollte geregelt werden, welche Kunden und Partner informiert werden müssen. Dies ist vor allem bei Datenschutzvorfällen essentiell.

Maßnahmenkatalog

Je nach Vorfall sollten dann konkrete Handlungsanweisungen hinterlegt werden. Beispielsweise für die Isolierung von betroffenen Systemen und der Sperrung von kompromittierten Benutzerkonten. Sollte es notwendig sein, muss auch die forensische Sicherung von Beweisdaten geregelt werden.

Backup- und Wiederherstellungsstrategie

Der wichtigste Hebel im Notfallplan ist die Backup- und Wiederherstellungsstrategie. Hier sollte genauestens protokolliert werden, wie Backups wieder eingespielt werden und vor allem wie gewährleistet wird, dass diese nicht direkt wieder kompromittiert werden.
Man sollte darauf achten, dass der Notfallplan auch analog verfügbar ist und wichtige Inhalte auch mit den Mitarbeitenden geteilt werden. Diese sollten wissen, welche Ansprechpartner sie haben.

Sollte man den Notfallplan testen?

Ein Notfallplan sollte komplett durchgespielt werden, damit die jeweiligen Akteure am Ende ihre Rolle wissen und in einem Notfall schnell agieren können. Dazu sollte man nach dem Erstellen eine Übung durchführen und danach am besten in regelmäßigen Abständen alle 1-2 Jahre. Zusätzlich sollte der Notfallplan auch mindestens einmal im Jahr geprüft werden, ob der Notfallplan noch aktuell ist. Wurden etwaige Personaländerungen erfasst? Gibt es neue Büros oder Produktionsstätten, die Eingang finden müssen? Ist das Backup-System noch so, wie es bei der Erstellung war?
Zusätzlich kann man Cyberangriffe simulieren oder Krisenkommunikationsübungen durchführen. Unabhängig vom Notfallplan raten wir auch dazu Backups regelmäßig zu prüfen, damit diese im Ernstfall funktionieren.

Fazit

Ein IT-Notfallplan sollte in jedem Unternehmen eingeführt werden. Man kann nie wissen, wann es zu einem Notfall kommt und so ist die Firma im Ernstfall vorbereitet. Dadurch kann schnell auf Krisen reagiert werden und die Handlungsfähigkeit schneller wieder hergestellt werden. Das wiederum minimiert Schäden finanzieller Natur und Reputationsverlust.
Wenn sie nicht wissen, wie man einen Notfallplan sinnvoll erstellt, kommen Sie gern auf uns zu. Wir beraten Unternehmen seit über 20 Jahren erfolgreich im Bereich IT-Sicherheit und unterstützen auch Sie sehr gern dabei.

Was ist der Cyber Resilience Act?

Der Cyber Resilience Act (CRA) ist eine EU-Verordnung, um die Cybersicherheit von Produkten mit digitalen Elementen verbindlich zu regeln. Die Verordnung ist bereits am 10. Dezember 2024 in Kraft getreten. Die eigentliche Umsetzung durch die Hersteller muss bis zum 11. Dezember 2027 durchgeführt werden. Ausgenommen der Meldepflicht für Sicherheitsvorfälle, diese beginnt bereits früher, nämlich zum 11. September 2026.
Für die Umsetzungndes CRA soll Hard- und Software so entwickelt werden, dass sie möglichst während ihres gesamten Lebenszyklus gegen Cyberangeriffe geschützt bleiben. Betroffen sind davon nahezu alle Produkte mit digitalen Komponenten. Dazu zählen neben offensichtlichen Produkten wie Betriebssystemen, Laptops oder Routern auch Smart-Home-Geräte wie Waschmaschinen oder Fernseher, die sich mit dem eigenen WLAN verbinden lassen. Ähnlich wie auch NIS-2 wurde der CRA EU-weit beschlossen und muss entsprechend in den einzelnen Ländern umgesetzt werden. Er betrifft dabei nicht nur Unternehmen innerhalb der EU, sondern auch Hersteller, die in einem anderen Land produzieren, aber in der EU verkaufen möchten. Somit tangiert die Verordnung nicht nur Hersteller, sondern auch Lieferanten und Importeure.

Wozu dient der CRA?

Der Cyber Resilience Act soll zukünftig vor allem Verbraucher:innen vor Cyberattacken stärker schützen. Für die Nutzer von Produkten mit digitalen Komponenten ist nicht immer einsehbar, welche Schutzmaßnahmen hierfür getroffen wurden oder nachträglich getroffen werden müssen. Wenn, wie vom CRA gefordert, die Cybersicherheit bereits bei der Herstellung implementiert wird, erhöht dies den Schutz der Verbraucher:innen deutlich und gibt die Verantwortung wieder zurück zu den Herstellern.

Welche Verpflichtungen gelten durch den CRA für Hersteller?

Wie auch bei NIS-2 sind die Umsetzungsmaßnahmen des CRA nicht trivial und kurz zusammen zu fassen. Vor allem geht es darum IT-Sicherheit bereits bei der Entwicklung von Produkten mitzudenken. Zusätzlich soll ein Schwachstellenmanagement etabliert werden und Meldeketten für Sicherheitslücken und ausgenutzten Schwachstellen geschaffen werden. Vor allem letzteres sollte zeitnah durch Hersteller eingeführt werden, da dies bereits 2026 verpflichtend wird. Die vollständigen Maßnahmen des CRA finden sich in der eigentlichen Verordnung.

Was ist die TR-03183 Hilfestellung, die durch das BSI für den CRA bereitgestellt wurde?

Die BSI TR-03183 dient als Einstiegshilfe in den CRA und ist als eine Sammlung von wichtigen Informationen zu verstehen. Sie soll vor allem Herstellern dienen, die noch keine ausgereiften IT-Sicherheitsprozesse oder Schwachstellenbehandlung etabliert haben. Die TR-03183 ist aktuell nur in englischer Sprache vorhanden. Auf LinkedIN begründet das BSI dies damit, dass sie im Austausch mit europäischen und internationalen Stakeholdern entstanden ist und aus diesem Grund in englischer Sprache verfasst wurde. Zusätzlich betont das BSI auf der Webseite, dass das Dokument lediglich eine Hilfestellung ist, die weder verpflichtend noch verbindlich ist. Das komplette Dokument findet sich auf der Seite des BSIs zum Download. Zusätzlich gibt es auch eine Auswahl allgemeiner Sicherheitsmaßnahmen in dem maschienenlesbaren Format OSCAL. Diese sind auf Github zu finden.

Unsere Handlungsempfehlungen für den CRA

Sollten Sie Hersteller von Produkten mit digitalen Komponenten sein, wird es nun höchste Zeit sich mit diesem Thema zu beschäftigen. Die Meldepflichten sind bereits ab dem 11. September 2026 bindend. Somit sollten Sie hier ansetzen und dokumentieren, wie mit Sicherheitsvorfällen zukünftig verfahren werden soll. Sonst drohen neben dem üblichen Reputationsverlust und finanziellen Schaden eines Sicherheitsvorfalls auch Sanktionen durch das BSI. Dies kann auch in einem Notfallplan geregelt werden. Wir von der ISCL GmbH beraten Sie hierzu gern.

Was ist Malware?

Der Begriff „Malware“ wurde bereits in den 1990er Jahren verwendet. Er ist ein Kofferwort aus den beiden englischen Wörtern „malicious“ („bösartig“) und „Software“. Darunter fallen alle Programme, deren hauptsächlicher Zweck ist, schädlich zu agieren. Heute wird der Begriff vor allem als Überbegriff für verschiedene Arten an Schadsoftware verwendet. Dabei spielt es nur eine untergeordnete Rolle, wie das Schadprogramm am Ende genau agiert. Deshalb zählen Viren, Würmer, Ransomware, Trojaner oder auch Spyware alle zu Malware.

Wer ist durch Malware gefährdet?

Prinzipiell kann ein Malware-Angriff jeden treffen. Das bedeutet, es gehören Privatpersonen, Behörden, Unternehmen und sogar medizinische Einrichtungen zu den potentiellen Opfern. Immer wieder begegnet uns die verbreitete Ansicht, nicht „groß“, „bekannt“ oder „reich“ genug zu sein, um für Cyberkriminelle interessant zu sein. Dahinter steckt aber ein Irrtum, der sich immer noch hartnäckig hält. Digitale Kriminalität wird nicht nur von menschlichen Akteuren durchgeführt. Viel passiert einfach durch ein Bot-System. So wie bei Google nicht Mitarbeiter händisch das Internet nach Seiten durchsuchen, die bei einem Suchergebnis gezeigt werden, so suchen Kriminelle nicht händisch nach ihrem nächsten Opfer. Diese Arbeit übernehmen Bots. Die prüfen automatisch wie zugänglich ein System von außen ist und nicht wie bekannt oder vermögend ein Unternehmen oder eine Privatsystem ist. Teilweise laufen sämtliche Schritte, vom Finden des Opfers, über eine Ransomware-Sperrung bis hin zum Lösegeld Empfang völlig automatisiert.

Werden kleine- und mittelständische Unternehmen häufiger angegriffen?

Laut Bundeslagebericht vom Bundesministerium für Sicherheit und Informationstechnik (BSI) wurden 2025 über 950 Angriffe mit Ransomware gemeldet. Davon betrafen 80 Prozent KMU. Dabei muss man bedenken, dass Ransomware nur ein Teil von Malware ist und auch nicht alle Angriffe gemeldet wurden. Dies zeigt eindrücklich, dass kleine- und mittelständische Unternehmen ein deutliches Angriffsziel von Cyberkriminellen sind. Mit NIS-2 steigen die Meldepflichten und die Statistik nächstes Jahr werden wahrscheinlich noch einige Fälle mehr bekannt werden. 72% der genannten Ransomware-Angriffe 2025 waren übrigens so massiv, dass es zu Datenleaks kam.

Warum werden vor allem KMU Opfer von Malware?

Im Gegensatz zu größeren Unternehmen haben vor allem kleine- und mittelständische Unternehmen oft deutlich weniger IT-Sicherheitsmaßnahmen. Zum einen ist das Budget nicht so hoch wie bei großen Unternehmen und auch nicht immer ist das Gefahrenbewusstsein so stark ausgeprägt. Hinzu kommen auch personelle Engpässe. Noch immer gibt es einen Fachkräftemangel und nicht jede Firma kann oder möchte einen eigenen Experten für IT-Sicherheit einstellen. Jetzt könnte man sagen, das wissen auch Cyberkriminelle und sie begeben sich damit gezielt auf die Suche nach KMUs. Das ist aber so nicht richtig, viel mehr findet das Bot-Netz, das kontinuierlich durch das Netz geistert häufiger offene Zugänge und Sicherheitslücken bei KMU. Diese werden dann ausgenutzt und es kommt zu einem Vorfall.

Warum ist ein Malware-Angriff vor allem für kleine- und mittelständische Unternehmen so gefährlich?

Neben der Tatsache, dass die Wahrscheinlichkeit höher ist, dass ein Angriff erfolgreich verläuft, sind auch die Folgen eines Cyberangriffs meist deutlich gravierender. Der entstandene finanzielle Schaden kann nicht immer kompensiert werden. Teilweise sind Firmen nach einem Angriff so geschädigt, dass das Unternehmen Insolvenz anmelden muss. Viele Unternehmen sind aber nicht nur schlecht geschützt, sondern auch nicht für den Notfall gewappnet. Das hat zur Folge, dass nach einem erfolgreichen Malware-Angriff erst einmal alles still steht. Während bei größeren Unternehmen ein Notfallplan und schnelle Incident-Maßnahmen greifen, wird in kleineren Unternehmen erst im Falle eines Vorfalls überlegt, welcher Schritt der nächste sinnvolle ist. Das kostet jedoch sehr viel Zeit. Jede Minute, in der die Mitarbeiter nicht arbeiten können und jeder Moment in dem die Produktion still steht, kostet Geld.

Wie können Sie Ihr Unternehmen vor Malware schützen?

IT-Sicherheitsmaßnahmen sind nicht nur für große Unternehmen, sondern auch für KMU relevant. Wir raten Ihnen deshalb zu folgenden Maßnahmen gegen Malware:
Security-Audits/Checks: Diese helfen Ihnen einen Überblick zu bekommen. Für sehr kleine Unternehmen bietet sich der CyberRisikoCheck des BSIs an. Damit bekommen Sie eine erste grobe Übersicht, wie es um die IT-Sicherheit in Ihrem Unternehmen steht. Wenn Sie diesen bereits gemacht haben und/oder einige Maßnahmen fest implementiert haben, raten wir Ihnen jedoch zu einem größeren Security-Audit. Hier werden alle Maßnahmen auf Herz und Nieren geprüft. Dies dient vor allem dazu Sicherheitslücken zu finden und im Anschluss auch zu schließen. Mit einem Experten an Ihrer Seite wird nichts übersehen.
Mitarbeiterschulungen: Malware gelangt immer noch häufig durch Social Engineering-Attacken in das Firmennetzwerk. Dazu werden Mitarbeiter gezielt reingelegt. Es werden beispielsweise Phishing-Mails verschickt. Diese sind heutzutage nicht mehr so leicht zu erkennen wie noch vor zehn Jahren. Deshalb ist es wichtiger, dass Mitarbeitende dafür eine gewisse Achtsamkeit entwickeln und vor dem Öffnen von Mails oder Anhängen noch einmal einen zweiten prüfenden Blick darauf werfen.
Auf technischer Seite gibt es ebenfalls einige Maßnahmen mit denen Sie Ihre eigenen Systeme gegen Malware schützen können.
Eine gute und aktuell gehaltene Firewall: Wichtig ist, dass Sie diese nicht einmal einbauen und vor ihr Netzwerk schalten. Sie muss nicht nur gut konfiguriert sein, sondern die Einstellungen müssen regelmäßig geprüft und überarbeitet werden. Auch Updates müssen regelmäßig eingespielt werden. Eine Firewall ist nur so gut, wie der Verantwortliche, der sich um sie kümmert. Ohne aktuelle Updates, ist Ihre Firewall wie eine Mauer mit Löchern und bietet keinen ausreichenden Schutz. Deshalb sprechen wir uns nur dann für eine Firewall aus, wenn sie auch gepflegt wird. Alles andere führt zu einem trügerischen Sicherheitsgefühl, obwohl das eigentliche Gerät nicht die gewünschte Sicherheit bietet.
Endpoint Security: Hier gibt es viele gute Anbieter zu denen wir Sie auch gern beraten. Durch eine Endpoint-Security kann jedes Gerät noch einmal einzeln geschützt werden. Dadurch hilft sie auch, sollte es einmal Malware durch die Firewall geschafft haben.
Notfallplan und eine Backup-Strategie: Im Falle eines Vorfalls ist direkt klar, welche Schritte notwendig ist. Welche Maßnahmen sind erforderlich? Wer wird verständigt und wie können wir schnellstmöglich wieder arbeiten? Sollte das Unternehmen unter NIS-2 fallen sind zudem Meldestrukturen erforderlich. Denn hier gibt es festgelegte Meldefristen, wann Unternehmen Vorfälle an das BSI melden müssen.
Keine Vorbereitung bedeutet nicht nur Arbeitsausfälle und damit verbundenen finanziellen Schaden, sondern auch einen Reputationsverlust. Wer NIS-2 beachten muss, kann zudem mit Sanktionen rechnen, sollte die Meldepflicht nicht eingehalten werden.
In jedem Fall empfiehlt es sich vorbereitet zu sein, um möglichst schnell wieder handlungsfähig zu sein.

Wir von der ISCL GmbH verstehen uns als Experten für IT-Sicherheit und unterstützen vor allem KMU bei der Umsetzung von Maßnahmen. Am besten fangen Sie noch heute an und buchen den CyberRisikoCheck bei uns. Dieser eignet sich perfekt, um einen ersten Überblick über ihre aktuelle Situation zu bekommen. Alle Informationen finden Sie hier.