[datensicherheit.de, 27.07.2026] E-Mails am Pool, Telefonate im Hotel, SMS-Nachrichten am Strand – Urlaub bedeutet offensichtlich für die meisten Arbeitnehmer nur eine Auszeit mit Einschränkung, denn eine Mehrheit bleibt nach aktuellen Erkenntnissen des Digitalverbands Bitkom e.V. trotzdem dienstlich ansprechbar. Bitkom Research hat demnach im Auftrag 1.004 Personen ab 16 Jahren in Deutschland telefonisch befragt, darunter 358 Berufstätige, welche einen Sommerurlaub geplant haben. Die Erhebung habe im Zeitraum der Kalenderwochen 17 bis 21 2026 stattgefunden und sei als Gesamtumfrage repräsentativ. So seien zwei Drittel (66%) der Berufstätigen, die in diesem Jahr einen Sommerurlaub machten, währenddessen beruflich erreichbar. Damit halte sich das Niveau der Vorjahre (2025: 67% / 2024: 66%).

Foto: Bitkom e.V.

Dr. Bernhard Rohleder: Vertretungslösungen sollten rechtzeitig organisiert und Erwartungen transparent kommuniziert werden!

Vor allem Kurznachrichten und Anrufe adressieren Berufstätige im Urlaub

Dabei seien es vor allem Kurznachrichten und Anrufe, auf die Berufstätige im Urlaub reagierten: 62 Prozent seien per Kurznachricht wie SMS bzw. via Messenger-Dienste wie „WhatsApp“ zu erreichen, 61 Prozent reagierten auf Anrufe.

• 22 Prozent seien per E-Mail ansprechbar, 14 Prozent nähmen Videocalls wahr. Sieben Prozent ließen sich über Kollaborations-Tools wie „Microsoft Teams“ oder „Slack“ kontaktieren.

„Möglichkeiten zum zeit- und ortsflexiblen Arbeiten dürfen nicht dazu führen, dass Beschäftigte das Gefühl haben, auch im Urlaub ständig verfügbar sein zu müssen! Wer sich wirklich erholen kann, lebt nicht nur gesünder, er arbeitet auch produktiver“, betont der Bitkom-Hauptgeschäftsführer, Dr. Bernhard Rohleder.

Erreichbarkeit im Urlaub, um fremden und eigenen Erwartungen zu genügen

Wer trotz Urlaub erreichbar bleibe, wolle damit meist der Erwartung anderer gerecht werden: Gut die Hälfte (53%) derjenigen, die im Urlaub beruflich erreichbar seien, sagten, dass ihre Kollegen es von ihnen erwarteten, gefolgt von der Erwartung von Vorgesetzten (47%). Gut ein Drittel (34%) meine, Kunden erwarteten Erreichbarkeit, 16 Prozent sagten dies von ihren Geschäftspartnern.

• 15 Prozent sähen sich durch ihre Mitarbeiter verpflichtet. 16 Prozent gäben an, aus eigenem Antrieb im Urlaub für berufliche Anliegen erreichbar zu sein.

Rohleder legt abschließend dringend nahe: „Vertretungslösungen sollten rechtzeitig organisiert und Erwartungen transparent kommuniziert werden! Regeln zur Erreichbarkeit für den Fall der Fälle schaffen Klarheit für alle Beteiligten. Ziel sollte immer sein, dass man eine solche Notlösung überhaupt nicht erst in Anspruch nehmen muss.“

Weitere Informationen zum Thema:

bitkom
Über uns

bitkom
Dr. Bernhard Rohleder: Hauptgeschäftsführer Bitkom e.V.

datensicherheit.de, 09.07.2025
Der Fluch der ständigen Verfügbarkeit im Urlaub / Zwei Drittel der Urlauber laut Bitkom-Umfrage dienstlich erreichbar – vor allem auf Anrufe und Kurznachrichten wird dabei reagiert

datensicherheit.de, 21.06.2023
Urlaubszeit: Dienst-Smartphones können unterwegs zur Gefahr für Unternehmen werden / Laut Umfrage von G DATA nutzen über 80 Prozent der Deutschen auf Reisen freies WLAN mit ihrem Firmen-Smartphone

[datensicherheit.de, 27.07.2026] Die Schwarz Digits KG hat die Eröffnung des neuen „Schwarz Digits Campus“ gemeldet – auf dem neuen Gelände sollen demnach erstmals verschiedene Einheiten der Sparte an einem zentralen Ort zusammengeführt werden. Der Campus bietet nach eigenen Angaben Platz für bis zu 5.500 Mitarbeiter, welche sich auf fünf terrassenartig gestaffelte Gebäude verteilen, und erstreckt sich über eine Gesamtfläche von 15,5 Hektar. Die bewusste räumliche Nähe soll die Zusammenarbeit über alle digitalen Services hinweg stärken und ein prosperierendes Umfeld für die Entwicklung digitaler Technologien aus und für Europa schaffen.

Foto: Schwarz Digits KG

Der neue „Schwarz Digits Campus“ in Bad Friedrichshall

Schwarz Digits setzt ein starkes Zeichen für Innovationskraft und zukunftssichere Wertschöpfung

„Die Eröffnung des ,Schwarz Digits Campus’ ist ein starkes Signal für den Wirtschaftsstandort Deutschland. Die Kombination aus zukunftsorientierten Investitionen in Schlüsseltechnologien und der gleichzeitigen Schaffung hochwertiger Arbeitsplätze stärkt die technologische Resilienz unseres Landes“, betonte Dorothee Bär, Bundesministerin für Forschung, Technologie und Raumfahrt. Dies sei auch ganz im Sinne der „Hightech Agenda Deutschland“.

„Baden-Württemberg ist die Heimat der Weltmarktführer – mit diesem High-Tech-Campus wird das Land zum digitalen Herzschlag Europas. Schwarz Digits setzt hier ein starkes Zeichen für die Innovationskraft und die zukunftssichere Wertschöpfung am Technologiestandort Baden-Württemberg. Das Projekt beweist eindrucksvoll, dass wir im Südwesten die digitale Infrastruktur für ein freies und souveränes Europa maßgeblich mitgestalten“, so Dr. Nicole Hoffmeister-Kraut, Ministerin für Wirtschaft, Handwerk und Tourismus von Baden-Württemberg.

Verlässliche Antworten auf drängende Fragen globaler digitaler Abhängigkeiten

Christian Müller, CEO von Schwarz Digits, führte aus: „Mit unserem souveränen ,Technologie-Stack’ bieten wir eine verlässliche Antwort auf die drängenden Fragen globaler digitaler Abhängigkeiten. Am neuen Campus wird technologische Unabhängigkeit zur gelebten Realität: Hier entwickeln wir die IT-Architekturen von morgen, die Unternehmen und öffentlichen Institutionen die uneingeschränkte Datenhoheit zurückgeben.“

Dieser Standort stehe für kompromisslose technologische Exzellenz nach höchsten europäischen Datenschutzstandards. „Es ist der Startschuss für eine neue Ära der Innovationsgeschwindigkeit, mit der wir Digitale Souveränität aus dem europäischen Rechtsraum heraus nicht mehr nur verwalten, sondern aktiv mitbestimmen“, unterstrich Müller.

Volle Datenhoheit und -kontrolle im europäischen Rechts- und Werteraum

Mit der Bündelung der technologischen Expertise unter einem Dach möchte Schwarz Digits neue Maßstäbe für produktübergreifende Zusammenarbeit und technologische Unabhängigkeit setzen. Digitale Produkte und Services in den Kernbereichen „Cloud“, „Cyber Security“, „Data“ und „AI“, „Communication“ und „Workspace“ sollen am Standort als Teil eines integrierten, souveränen „Technologie-Stacks“ platziert werden.

Diese Lösungen, welche sich im weltweiten Echtzeitbetrieb der Handelssparten, LiDL und Kaufland, sowie bei der Schwarz Produktion und PreZero bewährt hätten, ermöglichten Kunden die volle Datenhoheit und -kontrolle im europäischen Rechts- und Werteraum. Der Neubau bündele das Wissen der Sparte, optimiere interne Strukturen und reduziere operative Komplexität.

Weitere Informationen zum Thema:

schwarzdigits
Digitale Zukunft hat ein Zuhause / Willkommen bei Schwarz Digits – der IT- und Digitalsparte der Schwarz Gruppe

SCHWARZ
Projekt-Campus – Bad Friedrichshall

datensicherheit.de, 26.05.2025
STACKIT: Schwarz Digits baut eigene souveräne Cloud zum deutschen Hyperscaler aus / Das Unternehmen erweitert sein Portfolio rund um seine souveräne Cloud STACKIT. Die Verkündung fand im Rahmen der Technology Experience Convention Heilbronn (TECH) statt, mit Bundesdigitalminister Karsten Wildberger und weiteren Entscheidern aus Politik, Wirtschaft und Wissenschaft.

[datensicherheit.de, 26.07.2026] Das Bundeskabinett hat am 22. Juli 2026 die im Koalitionsvertrag versprochene neue „Startup- und Scaleup-Strategie“ beschlossen. Der Präsident des Digitalverbands Bitkom e.V., Dr. Ralf Wintergerst, begrüßt diesen Schritt, merkt in seinem Kommentar aber auch kritisch an, dass bereits ein Viertel der aktuellen Legislaturperiode vorbei sei und es noch viele offene Punkte zu klären gebe. Er fordert, dass dem Versprechen nun auch dementsprechende Taten folgen müssten.

Foto: Bitkom

Dr. Ralf Wintergerst: Wir begrüßen sehr, dass die Strategie erstmals auch konsequent auf Scaleups ausgerichtet wird!

Bedeutung von Tech-Gründungen für Wertschöpfung, Arbeitsplätze und technologische Souveränität betont

Wintergerst unterstreicht: „Deutschland muss seine jungen Unternehmen engagierter unterstützen, wenn wir in Zukunftsfeldern wie KI, Quantencomputing oder Cybersicherheit vorne mitspielen wollen!“

• Mit der neuen „Startup- und Scaleup-Strategie“ unterstreiche die Bundesregierung die Bedeutung von Tech-Gründungen für Wertschöpfung, Arbeitsplätze und technologische Souveränität.

„Wir begrüßen sehr, dass die Strategie erstmals auch konsequent auf Scaleups ausgerichtet wird und Schlüsselthemen wie Wachstumsfinanzierung, Bürokratieabbau, Transfer aus der Wissenschaft und Internationalisierung betont sowie insbesondere auch Sicherheits- und Verteidigungs-Startups ausdrücklich anspricht.“

Konsequentes Monitoring der Umsetzung angemahnt

Allerdings sei bereits ein Viertel der Legislaturperiode vorbei und es gebe noch viele offene Punkte zu klären.

• „Im Koalitionsvertrag hat die Regierung Startups und Scaleups in den Mittelpunkt ihrer Wirtschaftspolitik gerückt, jetzt müssen den Versprechen auch Taten folgen!“, betont Wintergerst.

Notwendig seien nun überall „Meilensteine“, eine enge Abstimmung mit den Ländern und schließlich auch ein konsequentes Monitoring der Umsetzung.

Weitere Informationen zum Thema:

bikom
Über uns

bitkom
Dr. Ralf Wintergerst: Präsident Bitkom / Vorsitzender der Geschäftsführung & Group CEO Giesecke+Devrient GmbH

Die Bundesregierung, 22.07.2026
Im Kabinett beschlossen Junge Unternehmen mit Startup- und Scaleup-Strategie fördern / Startups und junge Unternehmen der KI- und Hightech-Branche sind Treiber für Innovation und Wachstum. Daher will die Bundesregierung sie mit ihrer breit angelegten Strategie umfangreich unterstützen. Das sieht die Strategie vor.

Bundesministerium für Wirtschaft und Energie, 22.07.2026
Publikation – Existenzgründung: Startup- und Scaleup Strategie der Bundesregierung (Dokument ist barrierefrei)

Bundesministerium für Wirtschaft und Energie
Startup- und Scaleup-Strategie der Bundesregierung / Mehr Gründungen, mehr Innovation, mehr Wachstum: Deutschland erlebt eine neue Dynamik im Startup-Ökosystem. Die neue Startup- und Scaleup-Strategie der Bundesregierung schafft die Voraussetzungen, damit junge Unternehmen schneller wachsen, neue Technologien vorantreiben und die Wettbewerbsfähigkeit Deutschlands langfristig stärken.

datensicherheit.de, 02.04.2026
Starthilfe Datenschutz: BlnBDI bietet Berliner Startups, Kleinunternehmen und Vereinen kostenlose Schulungen an / Ab April 2026 startet das diesjährige praxisorientierte Datenschutz-Schulungsangebot für Berliner Startups, Kleinunternehmen und Vereine

datensicherheit.de, 28.03.2026
Startups und Scaleups der Digitalwirtschaft betroffen: Bitkom kritisiert Berliner Ausbildungsplatzumlage / Berliner Abgeordnetenhaus verabschiedet Gesetz zur Ausbildungsförderung – auch Kleinstbetriebe ab einem Beschäftigten in der Pflicht

datensicherheit.de, 02.08.2025
KI hoch im Kurs bei deutschen Tech-Startups / Inzwischen nutzen 82 Prozent von ihnen KI, vor einem Jahr waren es 76 Prozent, 2023 sogar erst 49 Prozent

[datensicherheit.de, 25.07.2026] Mit der Richtlinie NIS-2 verschärft die Europäische Union (EU) bewusst die Anforderungen an Cybersicherheit, Risikomanagement und Lieferkettensicherheit. Für Tausende Unternehmen jedoch rücken damit neue Fragen in den Mittelpunkt, die weit über die klassische IT-Sicherheit hinausgehen: „Welche Dienstleister sind für den Betrieb unverzichtbar? Wo bestehen kritische Abhängigkeiten? Und lassen sich Risiken, Maßnahmen und Verantwortlichkeiten im Prüfungsfall lückenlos nachweisen?“ „Viele Unternehmen betrachten Cyberresilienz zunächst vor allem als technische Aufgabe“, berichtet Robin Schmeisser, Geschäftsführer der Fabasoft Contracts GmbH. Die DORA-Erfahrungen zeigten indes, dass die größeren Hürden oft bei der Transparenz, der Nachweisfähigkeit und der organisatorischen Umsetzung lägen. Cyberresilienz entstehe nun nicht allein durch technische Sicherheitsmaßnahmen – entscheidend seien eben geradeTransparenz über IKT-Dienstleister, klare Verantwortlichkeiten und lückenlos nachweisbare Prozesse. Die von NIS-2 betroffenen Unternehmen sollten deshalb ihre digitalen Abhängigkeiten frühzeitig erfassen.

Foto: Fabasoft Contracts GmbH

Robin Schmeisser rät NIS-2-betroffene, Organisationen, die Umsetzung als unternehmensweites „Governance“-Projekt zu verstehen

Aus den Erfahrungen mit DORA lassen sich 5 Lehren für NIS-2-betroffene Unternehmen ableiten

Banken und Versicherungen kennen solche Aufgaben bereits aus dem „Digital Operational Resilience Act“ (DORA) – diese EU-Verordnung verpflichtet Finanzunternehmen seit Anfang 2025 zu umfangreichen Maßnahmen zur Stärkung ihrer digitalen Widerstandsfähigkeit.

• Während DORA aber ausschließlich für den Finanzsektor gilt, nimmt NIS-2 jetzt deutlich mehr Branchen in die Pflicht. Viele Unternehmen betrachteten Cyberresilienz zunächst vor allem als technische Aufgabe.

Schmeisser verweist in seinem Kommentar auf die Erfahrungen mit DORA: Diese zeigten jedoch, dass die größeren Hürden oft bei Transparenz, Nachweisfähigkeit und organisatorischer Umsetzung lägen. Konkret ließen sich fünf Lehren für NIS-2-betroffene Unternehmen ableiten:

Lehre Nr. 1: Sicherheit endet nicht an der Unternehmensgrenze!

Lange habe sich Cybersicherheit vor allem auf die Absicherung der eigenen Systeme und Prozesse konzentriert. Die Erfahrungen aus der Finanzbranche zeigten jedoch, dass Risiken zunehmend außerhalb der eigenen Unternehmensgrenzen entstünden: Laut der österreichischen Finanzmarktaufsicht (FMA) hätten mehr als 50 Prozent der seit Inkrafttreten von DORA gemeldeten Sicherheitsvorfälle ihren Ursprung bei einem IKT-Drittdienstleister.

• Deshalb würden DORA und NIS-2 dem Management von Drittparteien und Lieferkettenrisiken deutlich mehr Bedeutung bei messen als frühere Regelwerke. Für NIS-2-Unternehmen ergibt sich daraus eine klare Lehre: Die eigene Sicherheitsstrategie dürfe nicht an der Unternehmensgrenze enden.

Resilienz erfordere einen ganzheitlichen Blick auf die digitale Wertschöpfungskette – einschließlich „Cloud“-, Software- und IT-Dienstleister. „Die Sicherheit eines Unternehmens hängt heute immer stärker von der Sicherheit seiner Dienstleister ab!“, betont Schmeisser und warnt: „Wer nur die eigenen Systeme betrachtet, übersieht einen wesentlichen Teil des tatsächlichen Risikos.“

Lehre Nr. 2: Kritische Abhängigkeiten erkennen!

Im Zuge der DORA-Umsetzung hätten sich Finanzunternehmen systematisch mit ihrer tatsächlichen Abhängigkeit von einzelnen IT-Dienstleistern auseinandersetzen müssen. Dabei sei deutlich geworden, dass zahlreiche Geschäftsprozesse von wenigen Anbietern abhingen, für die es häufig keine belastbaren Ausstiegsstrategien oder -pläne gegeben habe.

• Auch wenn NIS-2 keine expliziten Exit-Pläne wie DORA fordere, lasse sich daraus eine wichtige Erkenntnis ableiten: Organisationen sollten kritische Abhängigkeiten frühzeitig identifizieren und sich mit möglichen Alternativen auseinandersetzen. Wer seine digitale Lieferkette kennt, könne Risiken besser bewerten und im Krisenfall schneller reagieren.

„Entscheidend ist nicht allein, ob ein Dienstleister heute zuverlässig arbeitet“, unterstreicht Schmeisser und führt weiter aus: „Unternehmen müssen auch wissen, welche Folgen ein Ausfall hätte, wie schnell sich eine Alternative aktivieren ließe und welche vertraglichen oder technischen Hürden einem Wechsel entgegenstehen.“

Lehre Nr. 3: Drittdienstleister aktiv steuern!

Nach Auswertung der österreichischen Finanzmarktaufsicht (FMA) stellte das IKT-Drittparteien-Risikomanagement für viele Finanzunternehmen die größte Herausforderung bei der DORA-Umsetzung dar. Gefordert seien u.a. Dokumentations- und Berichtspflichten, Risikobewertungen, „Due Diligence“, die laufende Aktualisierung von Lieferanteninformationen sowie die Anpassung bestehender Verträge.

• Vor-Ort-Prüfungen der Behörden zeigten lückenhafte Inventare, unvollständige Funktionen und Prozesse, unklare Verantwortlichkeiten sowie mangelnde Datenqualität. Zudem seien IKT-Drittdienstleister häufig nicht ausreichend in die Prozesse eingebunden und notwendige vertragliche Anpassungen fehlten.

„Das Management von Drittdienstleistern geht weit über klassische Lieferantenverwaltung hinaus“, erläutert Schmeisser. Er ergänzt: „Es ist eine kontinuierliche ,Governance’-Aufgabe, die belastbare Prozesse und aktuelle Daten voraussetzt.“ NIS-2-pflichtige Unternehmen sollten diesen Aufwand nicht unterschätzen. Die frühzeitige zentrale Erfassung aller relevanten Dienstleister-Informationen sowie der Aufbau strukturierter Prozesse für das Drittparteien-Management könnten späteren Hürden erheblich vorbeugen. KI-gestütztes Vertragsmanagement unterstütze dabei, Verträge effizient auf regulatorische Risiken zu prüfen und erforderliche Anpassungen schneller umzusetzen.

Lehre Nr. 4: „Compliance“ muss nachweisbar sein!

Festgelegte Prozesse allein reichten nicht aus, um regulatorische Anforderungen zu erfüllen. „Viele Finanzinstitute verfügten grundsätzlich über Abläufe für das Auslagerungsmanagement“, so Schmeisser. Er merkt an: „Die Herausforderung bestand jedoch darin, die tatsächliche Durchführung jedes einzelnen Prozessschritts in einer Prüfungssituation belegen zu können.“

• Betroffen gewesen seien etwa Risikoanalysen, Kritikalitätsbewertungen, Freigaben, regelmäßige Kontrollen sowie die Neubewertung bestehender Dienstleister. Die erforderlichen Informationen seien häufig über E-Mails, Tabellen und verschiedene Fachanwendungen verteilt gewesen. Entsprechend schwierig sei es gewesen, Entscheidungen und Prozessschritte lückenlos nachzuvollziehen.

Für die Vorbereitung auf NIS-2 sei es daher essenziell, „Governance“-, Risiko- und Kontrollprozesse von Beginn an transparent und nachvollziehbar zu gestalten. Digitale „Workflows“ könnten Prozessschritte automatisiert steuern, Verantwortlichkeiten eindeutig zuordnen und Tätigkeiten revisionssicher dokumentieren. Audit-Trails und elektronische „Workflow“-Unterschriften ermöglichten es, jederzeit nachzuweisen, „wer wann Bewertungen durchgeführt, Entscheidungen getroffen oder Freigaben erteilt hat“.

Lehre Nr. 5.: NIS-2 ist kein IT-Projekt!

Sowohl NIS-2 als auch DORA adressierten die Verantwortung der Unternehmensleitung und verlangten einen organisationsweiten Umgang mit Cyberrisiken. Die DORA-Erfahrungen zeigten, dass Digitale Resilienz eine Querschnittsdisziplin sei: Lieferantenmanagement, Risikomanagement, „Compliance“, Einkauf, Fachbereiche und Unternehmensleitung müssten eng zusammenarbeiten.

• Im ersten Jahr der DORA-Anwendung habe sich jedoch gezeigt, dass die Führungsebene in vielen Finanzunternehmen nicht ausreichend in die erforderlichen Prozesse eingebunden gewesen sei. Dadurch seien notwendige Maßnahmen häufig nicht genehmigt und überwacht worden.

„NIS-2-betroffene Organisationen sollten die Umsetzung als unternehmensweites ,Governance’-Projekt verstehen!“, empfiehlt Schmeisser. Er gibt abschließend zu bedenken: „Werden alle relevanten Stakeholder frühzeitig eingebunden, Verantwortlichkeiten klar verteilt und die Geschäftsführung aktiv beteiligt, lassen sich Entscheidungen schneller treffen, Maßnahmen konsequenter umsetzen und regulatorische Anforderungen dauerhaft im Unternehmen verankern.“

Fazit zur Übertragung der Lehren aus DORA auf NIS-2:

Cyberresilienz entstehe nicht allein durch technische Sicherheitsmaßnahmen. Entscheidend seien Transparenz über IKT-Dienstleister, klare Verantwortlichkeiten und lückenlos nachweisbare Prozesse.

• NIS-2-betroffene Unternehmen sollten deshalb ihre digitalen Abhängigkeiten frühzeitig erfassen, Dienstleister systematisch steuern und „Governance“-Prozesse revisionssicher dokumentieren.

Wer diese Grundlagen schafft, erfüllt laut Schmeisser nicht nur regulatorische Anforderungen effizienter, sondern stärkt zugleich die eigene Widerstandsfähigkeit gegenüber Cyberrisiken.

Weitere Informationen zum Thema:

Fabasoft
Visionäre Technologie made in Europe / Als österreichischer Innovationsführer und DACH-Marktführer im Bereich elektronischer Akten setzen wir Maßstäbe für digitale Exzellenz.

LinkedIn
Robin Schmeisser

Bafin Bundesanstalt für Finanzdienstleistungsaufsicht, 04.12.2025
IT-Aufsicht im Finanzsektor: Das erste Jahr DORA

FMA
DORA – FMA-Aktivitäten

KPMG, 20.05.2026
Cybersecurity in Österreich 2026 – Die Illusion der Ruhe

datensicherheit.de, 12.07.2026
Eskalation digitaler Angriffe auf die Produktion: NIS-2-Haftungsfalle für den Mittelstand / Die NIS-2-Richtlinie trifft aktuell auf einen leeren Fachkräftemarkt: ISACA beschreibt, warum der Schutz der Fertigung gerade jetzt KMU dazu zwingt, völlig neue Wege zu gehen

datensicherheit.de, 02.07.2026
Die eigentliche Herausforderung beginnt erst jetzt: NIS-2-Registrierung genügt nicht / Nach Beobachtung von Axians sind viele Unternehmen trotz Registrierung nicht in der Lage, die regulatorischen Anforderungen im Ernstfall zu erfüllen

datensicherheit.de, 22.01.2026
DORA: 1. Jahrestag im Kontext Digitaler Operationaler Resilienz / Die DORA-Intention ist ein einheitliches Rahmenwerk für das Management von Drittanbieter-Risiken im Finanzsektor

datensicherheit.de, 31.07.2025
DORA – Europäische Union präzisiert Umgang mit Lieferketten-Risiken / Die Europäische Kommission hat Anfang Juli eine Ergänzung zur Verordnung über die digitale operationale Resilienz im Finanzsektor (DORA) in Form finaler technischer Regulierungsstandards (RTS) veröffentlicht. Damit konkretisiert sie Anforderungen an das Risikomanagement oftmals komplexer IKT-Lieferketten im durch DORA regulierten Bereich. Im Fokus stehen dabei Untervergaben. Der TÜV SÜD fasst die wichtigsten Punkte praxisorientiert zusammen.

[datensicherheit.de, 25.07.2026] Die Helmholtz-Gemeinschaft Deutscher Forschungszentren e.V. hat am 23. Juli 2026 in eigener Sache gemeldet, dass im Kontext der auf der Mitgliederversammlung im April 2026 beschlossenen „Strategic Unit Security and Resilience Research“ die Helmholtz-Gemeinschaft ihre Aktivitäten im Bereich der Sicherheits- und Resilienzforschung zu stärken beabsichtigt. Diese direkt beim Präsidenten angesiedelte Stabsstelle soll gemeinsam von Andrea Frahm und Nicolas Tellner geleitet werden – beide übernehmen diese Aufgabe zusätzlich zu ihren jeweiligen Funktionen innerhalb der Helmholtz-Gemeinschaft.

Bewährte Ansätze internationaler Innovationsmodelle für die Helmholtz-Gemeinschaft erschließen

In der neuen Stabsstelle soll Frahm den Bereich „Stakeholder Engagement und Business Development“ verantworten. Hierzu bringe sie insbesondere ihre langjährige internationale Erfahrung sowie ihre Expertise im Aufbau strategischer Innovationspartnerschaften mit. Auf Grundlage erfolgreicher internationaler Innovationsmodelle – etwa von DARPA und MAFAT – sollten bewährte Ansätze für die Helmholtz-Gemeinschaft nutzbar gemacht werden.

Tellner verantworte die Bereiche „Forschungsprojekte“, „Policy“ und „Forschungssicherheit“. Mit seiner umfassenden wissenschaftsstrategischen Expertise sowie seiner Erfahrung in der Zusammenarbeit mit Sicherheitsbehörden werde er die strategische Weiterentwicklung der Forschungsaktivitäten der Stabsstelle maßgeblich gestalten.

Neue Helmholtz-„Unit“ hat Arbeit bereits aufgenommen

„Sicherheit und Resilienz sind zu zentralen Zukunftsthemen für Wissenschaft, Innovation und unsere Gesellschaft geworden. Mit der neuen Stabsstelle schaffen wir eine Struktur, die die vorhandenen Kompetenzen in der Helmholtz-Gemeinschaft vernetzt, ihre Zusammenarbeit stärkt und gemeinsam mit unseren Zentren neue Impulse für Forschung, Innovation und strategische Partnerschaften setzt“, so der Helmholtz-Präsident, Martin Keller.

Die neue „Unit“ habe ihre Arbeit bereits aufgenommen und werde eng mit den 18 Helmholtz-Zentren sowie den relevanten Querschnittseinheiten der Helmholtz-Gemeinschaft zusammenarbeiten und wissenschaftliche Exzellenz mit internationalen „Best Practices“, strategischen Partnerschaften und innovationsorientiertem Transfer wissenschaftlicher Erkenntnisse in die Anwendung verbinden.

Weitere Informationen zum Thema:

HELMHOLTZ
Die Herausforderungen unserer Zeit lassen sich nur mit Hilfe von Spitzenforschung lösen. Bei Helmholtz arbeiten mehr als 48.000 Menschen daran, die Welt von morgen zu gestalten. In 18 Zentren und mit weltweit einzigartigen Forschungsinfrastrukturen.

HELMHOLTZ
Internationale und Europäische Beziehungen

HELMHOLTZ
Luftfahrt, Raumfahrt und Verkehr / Von der Straße bis ins All: Wie wir uns in Zukunft fortbewegen werden

Von unserem Gastautor Dr. Carsten Stöcker, Geschäftsführer von Spherity GmbH

[datensicherheit.de, 23.07.2026] Sicherheit von Anfang an, das gilt ab Ende 2027 für alle vernetzten Hard- und Softwareprodukte. Diese Anforderung folgt aus dem Cyber Resilience Act (CRA), der das Sicherheitsniveau von Produkten und die Verlässlichkeit im Betrieb regelt. Seine Kernaussage: Produkte müssen so entwickelt werden, dass sie ein Mindestmaß an Cybersicherheit erfüllen. Das betrifft zum Beispiel sichere Voreinstellungen und verkleinerte Angriffsflächen. Für Nutzer ist somit weniger eigene Absicherung nötig.

Dr. Carsten Stöcker, Geschäftsführer von Spherity GmbH, Bild: Spherity GmbH

Anforderungen durch den Cyber Resilience Act

Die EU-Verordnung reguliert in erster Linie Produkte mit digitalen Elementen. Das sind beispielsweise IoT-Geräte wie Industriesteuerungen, vernetzte Maschinen, Sensoren oder Komponenten aus der Industrieautomation. Auch klassische IT-Lösungen wie Betriebssysteme oder Business-Software fallen darunter. Stark betroffen ist der Bereich Consumer Electronics, etwa Smart-TVs oder vernetzte Haushaltsgeräte. Weitere vom CRA abgedeckte Marktsegmente sind Medizintechnik, Automotive oder Energieversorgung.

Zunächst gilt es zu klären, was der Cyber Resilience Act von Herstellern erwartet. Im Kern fordert er „Security by Design” und „Security by Default”: Produkte müssen so entwickelt werden, dass sie ein angemessenes Niveau an Cybersicherheit erreichen. Dazu gehört, Risiken frühzeitig zu bewerten und Schwachstellen während des Supportzeitraums rasch zu beheben. Hinzu kommen eine korrekte technische Dokumentation sowie Nutzerinformationen und ein Meldeprozess für Vorfälle.

Der digitale Produktpass als Grundlage

Für Unternehmen ist das keine klassische Compliance-Aufgabe, shttps://www.ipk.fraunhofer.de/de/kompetenzen-und-loesungen/industrietrends/kreislaufwirtschaft/digitaler-produktpass-dpp.htmlondern setzt eine Anpassung der operativen Steuerung voraus. Sie müssen wissen, welche Softwarekomponenten es im Produkt gibt, welche Zulieferer beteiligt sind, wie lange es Sicherheitsupdates gibt, wie genau die Vernetzung funktioniert, welche Protokolle eingesetzt werden und vieles mehr. Die Anforderungen sind hoch, der gesamte Produktlebenszyklus muss auf Cybersecurity ausgerichtet werden. Das betrifft die Fertigung ebenso wie das weitere Produktleben. Hier schließt sich eine zweite Frage an: Wie lassen sich diese Daten sammeln und für den gesamten Lebenszyklus leicht verfügbar speichern?

Das beste Werkzeug für diesen Zweck ist ebenfalls ein Element der EU-Regulierung: der digitale Produktpass (DPP), der ab 2027 laut Ökodesign-Verordnung ESPR (Ecodesign for Sustainable Products Regulation) Pflicht für alle Elektronikprodukte ist. Die EU-Verordnung sieht vor, dass jeder Akteur innerhalb einer Wertschöpfungskette seine eigenen Produktdaten bereitstellt. Deshalb müssen alle elektronischen Geräte einen Produktpass besitzen, auch Komponenten oder Baugruppen wie Netzteile oder Steuerungssysteme.

Nachhaltigkeit und Cybersecurity verknüpfen

Ein Produktpass ist ein maschinenlesbarer Datensatz, der mit Software gespeichert und ausgelesen wird. Jedes einzelne Produkt erhält eine eindeutige Kennzeichnung, die gut sichtbar und leicht erkennbar am Gehäuse oder dem Produkt selbst angebracht werden muss. Die einfachste Möglichkeit ist ein Aufkleber mit einem QR-Code. Er führt nach dem Scannen auf eine Cloud-Anwendung wie die von Spherity, die alle gewünschten Daten anzeigt. Auf diese Weise begleitet der Produktpass jedes Gerät über seinen gesamten Lebensweg und liefert Reparaturbetrieben, Verwertern und Weiterverarbeitern sämtliche notwendigen Informationen.

Der Nachhaltigkeitsaspekt steht in der öffentlichen Diskussion meist im Vordergrund. Doch für vernetzte Elektronikprodukte lässt er sich direkt mit Cybersecurity-Anforderungen verknüpfen. Der Pass ist dann ein Datenspeicher für alle Informationen rund um Sicherheit. Die CRA-Verordnung verlangt nämlich eine belastbare technische Dokumentation. Dazu gehört eine lange Liste an unterschiedlichen Informationen: Risikobewertungen, Architekturinformationen, Nachweise zu umgesetzten Schutzmaßnahmen, Testverfahren, Supportprozesse und Unterlagen für die Konformitätsbewertung wie beispielsweise Angaben zu den Security-Maßnahmen oder Update-Historien.

Ein ähnlicher Trend zeigt sich in der Energiewirtschaft: Auch dort werden für immer mehr Netzkomponenten und Assets digitale Zwillinge und DPP-artige Datenmodelle aufgebaut, damit transparent wird, was im Stromnetz verbaut ist, woher kritische Komponenten stammen und wie sich Abhängigkeiten sowie Cyberrisiken besser bewerten lassen. Das ist besonders bei Komponenten aus Drittstaaten relevant. Für industrielle Großbatterien ist ein digitaler Batteriepass ab dem 18. Februar 2027 ohnehin verbindlich, für immer mehr Netzkomponenten und Assets wird der DPP schrittweise folgen.

Datenbasis für Audits und Betriebssicherheit

Solche für die Produktsicherheit notwendigen Informationen sind in vielen Unternehmen auf unterschiedliche IT-Systeme verteilt. Der Produktpass bündelt diese Daten und macht sie dauerhaft verfügbar. Das hilft bei Audits durch Behörden und schafft eine hohe Lieferkettentransparenz. Denn sobald Drittsoftware oder externe Dienste Teil eines Produkts sind, müssen deren Risiken in die Gesamtbewertung einfließen. Ein Produktpass kann diese Zusammenhänge sichtbar machen.

Auch in der Betriebsphase bietet der Produktpass klare Vorteile, denn der Cyber Resilience Act endet nicht mit dem Verkauf. Hersteller müssen Schwachstellen über den gesamten Supportzeitraum behandeln und bei Sicherheitsvorfällen schnell reagieren. Am Ende des Produktlebens rücken dann Recycling-Aspekte in den Fokus. Das betrifft die Hersteller, aber auch den Handel. Er ist verpflichtet, nicht mehr benutzte oder reparierbare Geräte zurückzunehmen. Hier steigt die Effizienz, wenn alle Informationen an einem zentralen Ort gespeichert sind.

Steuerungsinstrument für CRA-Compliance

So zeigt sich, dass es sich beim CRA nicht um ein isoliertes Regulierungsthema handelt. Die Verordnung greift tief in Produktstrategie, Entwicklungsprozesse, Einkauf und After-Sales-Strukturen ein. Mit dem digitalen Produktpass können Unternehmen diese Transformation steuern und beschleunigen. Er macht Sicherheitsprozesse sichtbar und für Behörden überprüfbar. Unternehmen können damit eine frühzeitige CRA-Compliance schaffen und vereinfachen den Marktzugang. Der digitale Produktpass wird damit zu einem operativen Steuerungswerkzeug für sichere und marktfähige digitale Produkte.

Weitere Informationen zum Thema:

datensicherheit.de, 12.07.2026
Cyber Resilience Act (CRA): Bringschuld der Unternehmen per September 2026

datensicherheit.de, 30.04.2026
FTAPI gibt CRA-Tipps für KMU: Cyber Resilience Act oft ein Buch mit 7 Siegeln

datensicherheit.de, 18.10.2024
Cyber Resilience Act der EU (CRA): Verabschiedung und Konsequenzen für Unternehmen

[datensicherheit.de, 23.07.2026] Im Kontext der vom Bundesministerium für Forschung, Technologie und Raumfahrt (BMFTR) geförderten „Plattform Privatheit“ als ein bundesweites Vernetzungsprojekt untersuchen Experten interdisziplinär, kritisch und unabhängig Fragestellungen zu Privatheit und Datenschutz in der digitalen Welt. Die „Plattform Privatheit“ wird vom Fraunhofer-Institut für System- und Innovationsforschung und dem Wissenschaftlichen Zentrum für Informationstechnik-Gestaltung an der Universität Kassel koordiniert. Im Rahmen der Jahreskonferenz 2026 der „Plattform Privatheit“ soll erörtert werden, wie werteorientierte Innovation gestaltet werden kann, welche sowohl Grundrechte wahrt als auch Europas technologische und wirtschaftliche Handlungsfähigkeit stärkt. Auf der Tagung soll diese Debatte aus interdisziplinärer Perspektive geführt werden.

„11. Interdisziplinäre Jahreskonferenz der Plattform Privatheit“

„Innovation, Wettbewerb und Werteorientierung: Datenschutz- und Digitalregulierung zwischen Innovationshemmnis und Standortvorteil“
8. und 9. Oktober 2026, Villa Elisabeth, Invalidenstraße 3 in 10115 Berlin

• Die Teilnahme an der Veranstaltung ist kostenfrei – um Anmeldung wird gebeten.

„Keynote-Speaker“ (ohne Gewähr):

• Prof. Dr. Sandra Wachter, Oxford University, „Oxford Internet Institute“
• Dr. Thomas Roth, Boehringer Ingelheim, „Head of Global Data Protection & AI“: „Datenschutz & KI-Compliance bei einem globalen und forschenden Pharmaunternehmen – ein Erfolgsfaktor, kein Innovationshindernis!“
• Cláudio Teixeira, „Head of Digital Policy of BEUC“, The European Consumer Organisation

„Plattform Privatheit“ widmet sich auch konkreten praktischen Fragen im Spannungsfeld von Datenverfügbarkeit und Datenschutz

Im Spannungsfeld zwischen „Innovation first“ und „Values by Design“ zeigten sich zentrale Konfliktlinien: Forderungen nach maximalem Datenzugang für Künstliche Intelligenz (KI), personalisierte Medizin, „Smart Cities“ oder Sicherheitsforschung einerseits stünden Grundsätzen wie Zweckbindung, Datenminimierung und Informationeller Selbstbestimmung andererseits gegenüber.

• Kleine und Mittlere Unternehmen (KMU) sowie Start‑ups sähen sich überproportionalen „Compliance“-Anforderungen ausgesetzt, während große Plattformen Skalenvorteile nutzten. Forschungsfreiheit kollidiere mit den Rechten Betroffener, mit Betriebs‑ und Geschäftsgeheimnissen sowie mit Grundsätzen der demokratischen Ordnung.

Gleichzeitig blieben praktische Fragen offen: „Wie können KI‑Systeme trainiert werden, ohne massenhaft auf geschützte Daten zuzugreifen? Wie lässt sich die flächendeckende Verhaltensanalyse durch Plattformen begrenzen? Wie können Forschungsdaten über Grenzen hinweg geteilt werden, ohne Schutzstandards zu unterlaufen?“

Weitere Informationen zum Thema:

Plattform Privatheit
Wer wir sind und was wir tun

Fraunhofer ISI
gemeinsam | Zukunft | gestalten

UNI KASSEL
Wissenschaftliches Zentrum für Informationstechnik-Gestaltung (IteG)

Plattform Privatheit, 24.03.2026
Jahrestagung 2026 – Innovation, Wettbewerb und Werteorientierung

Plattform Privatheit
Anmeldung zur Jahrestagung am 08./09. Oktober 2026

Villa Elisabeth & St. Elisabeth-Kirche
Adresse und Anfahrt / Invalidenstr. 3, 10115 Berlin, nahe Weinbergspark und Brunnenstraße, Zugang durch den Kirchpark.

datensicherheit.de, 03.04.2017
Neue Studie: Einfache Wege zu mehr Privatheit / Stiftung Datenschutz empfiehlt Einsatz „Personal Information Management Services“ (PIMS)

Von unserem Gastautor Dr. Horst-Florian Jaeck, Partner und Managing Director bei valantic

[datensicherheit.de, 22.07.2026] Sicherheit oder unternehmerische Freiheit – Regulierungen sind in der Regel ein zweischneidiges Schwert: Den Befürwortern geben sie die dringend benötigte (Planungs-)Sicherheit, den Gegnern engen sie die Innovationskraft von Unternehmen zu sehr ein, indem neue Technologien wie Künstliche Intelligenz mit zeit- und kostenintensiven Auflagen belegt werden. In diesem Spannungsfeld stellt such die Frage, wie man die richtige Balance findet.

Dr. Horst-Florian Jaeck, Partner und Managing Director bei valantic, Bild: valantic

Den EU AI Act sehen die 1000 von valantic und dem Handelsblatt Research Institute (HRI) in einer aktuellen Studie befragten Business-Entscheider mit einem lachenden und einem weinenden Auge. Ein Studienteilnehmer äußerte, dass eine gut ausgestaltete Regulierung als Katalysator für Innovation und deren Verbreitung wirken könne. Zudem führte er aus, Regulierung schaffe Vertrauen und trage dazu bei, Innovationen breiter zu etablieren. Gleichzeitig wies er darauf hin, dass der AI Act der EU trotz seiner positiven Zielsetzung mit einem erheblichen bürokratischen Aufwand verbunden sei, was sich nachteilig auf die Wettbewerbsfähigkeit auswirken könne.

Der EU AI Act klassifiziert KI-Anwendungen nach ihrem Risikopotenzial

Der EU AI Act teilt AI-Applikationen in verschiedene Risikoklassen. Für Modelle mit hohem systemischem Risiko gelten zusätzliche Prüf- und Überwachungsanforderungen im engen Austausch mit der EU. Es ist vorgesehen, dass 2026 der Großteil der Anforderungen gelten, 2027 dann der Rest.

Unternehmen stehen also definitiv unter Handlungsdruck, wenngleich sich das Regelwerk noch in Bewegung befindet: Im Rahmen der EU-Vereinfachungsagenda haben sich Rat und EU-Parlament Anfang Mai vorläufig auf das sogenannte Omnibus VII-Gesetzgebungspaket geeinigt – ein erstes Änderungspaket, das u. a. eine Fristverlängerung beinhaltet. Die formelle Verabschiedung steht hierfür noch aus, aber die politische Richtung gilt als gesetzt.

Pro und Contra EU AI Act

So bewerten die Teilnehmer der Studie von valantic und HRI die Regulatorik im Detail: 70 Prozent der Befragten (vgl. Studie AI at scale) sehen die Vorgaben eher als Hemmschuh und kritisieren, dass die aktuelle Ausgestaltung des EU AI Act die Wettbewerbssituation europäischer Unternehmen deutlich verschlechtern wird. Denn die obligatorischen Vorgaben ziehen hohe Zeit- und Kostenaufwände nach sich, wodurch europäische Unternehmen gegenüber der internationalen Konkurrenz aus den USA und aus China ins Hintertreffen geraten. Der für die vorgeschriebene Maßnahmen zu betreibende Aufwand sei einfach zu hoch.

Viele Umfrageteilnehmer sehen es zugleich aber auch differenzierter und glauben, dass Unternehmen mit ethischer, transparenter und gut gesteuerter KI bis 2030 erfolgreicher sein werden als Unternehmen, die nur auf Tempo, Automatisierung, Zeit- und Kostengewinne setzen. Für 82 Prozent zählt die Einrichtung von Governance-Strukturen für KI und Daten zu den Top-Erfolgsfaktoren beim Einsatz von KI. Genau diese Unternehmen werden mittel- bis langfristig erfolgreicher sein und mit KI höhere Mehrwerte produzieren als jene, die nur auf Geschwindigkeit und Automatisierung setzen.

Obligatorische Trainings und Wissensaufbau werden befürwortet

Ein anderer Studienteilnehmer erklärte, dass er den EU AI Act aus der Perspektive eines Unternehmens, das KI-Anwendungen einsetzt, grundsätzlich positiv bewerte. Die Regulierung sensibilisiere für potenzielle Risiken und trage dazu bei, dass nicht beliebige Tools ohne Weiteres eingesetzt würden. Darüberhinaus hob er die verpflichtenden Schulungen und den damit verbundene Wissensaufbau als positive Aspekte hervor.

Die Entscheidung für oder gegen eine Regulierung der KI spielt sich derweil nicht nur in Brüssel ab, sondern hat ganz praktische Auswirkungen. Ein konkretes Beispiel: Der US-Anbieter Anthropic hielt Mitte April sein neues KI-Modell Claude Mythos wegen Sicherheitsbedenken zurück und verzichtete auf eine sonst übliche Markteinführung mit lautem Trara. Konkret geht es um die Sorge, dass Hacker Claude Mythos nutzen könnten, um ohne großen Aufwand unzählige bisher unbekannte Sicherheitslücken in IT-Systemen aufzuspüren und dann für ihre Zwecke auszunutzen.

Sicherheitsexperten sprechen von sogenannten „Zero Day“-Schwachstellen. Diese Leaks sind dem Anbieter der entsprechenden Softwarelösung unbekannt, weshalb er seine Nutzer nicht vor ihnen schützen kann. Unter anderem, so Anthropic, habe Mythos eine 27 Jahre alte Schwachstelle im Betriebssystem OpenBSD gefunden. Mehrere Jahrzehnte haben weder IT-Sicherheitsfachleute noch Hacker besagte Lücke aufgespürt, bevor Claude Mythos dann erfolgreich war.

EU AI Act – kurzfristig ein Nachteil, aber langfristig ein Vorteil

Zwar sieht der Großteil der Befragten die aktuelle Ausgestaltung der Regulierung kritisch für die Wettbewerbssituation von europäischen Unternehmen, die KI nutzen. Beispielsweise weisen einige der Umfrage-Teilnehmenden in den Interviews darauf hin, dass der EU AI Act definitiv mit großen bürokratischen Anforderungen und damit einem großen Aufwand einhergeht.

Allerdings lehnen die von valantic und dem HRI befragten Unternehmensentscheider eine Regulierung im KI-Bereich nicht grundsätzlich ab. Ist sie passend aufgesetzt, verbessert sie unter Umständen sogar die Wettbewerbsfähigkeit europäischer Unternehmen. Sie kann Vertrauen schaffen. Partner und Kunden, die mit derartig regulierten Unternehmen im Bereich KI zusammenarbeiten, können etwaige Risiken besser einschätzen. Hinzu kommt ein oft übersehener interner Effekt: Für Unternehmen, in denen interne Kritiker oder Zögerer KI-Initiativen bislang gebremst haben, liefert der EU AI Act ein verbindliches Rahmenwerk und damit die nötige Handlungssicherheit, um in die Umsetzung zu starten.

Die Frage nach einer Regulierung der KI lässt sich demnach nicht mit einem kategorischen Ja oder einem kategorischen Nein beantworten. Der EU AI Act ist beides zugleich – potenzieller Wettbewerbsvorteil und -nachteil. Wie er wirkt, hängt stark von Branche, Unternehmensgröße und Geschäftsmodell ab. Die Devise sollte deshalb vielmehr lauten: Ja, regulieren und Missbrauch verhindern, aber bitte mit Augenmaß und so, dass der bürokratische Aufwand für die betroffenen Unternehmen in engen vertretbaren Grenzen bleibt.

Das bedeutet der EU AI Act konkret für europäische und deutsche Unternehmen: Der EU AI Act ist kurzfristig wegen zusätzlicher Kosten und Komplexität ein Wettbewerbsnachteil, kann aber mittelfristig zum klaren Wettbewerbsvorteil werden – vor allem für europäische Unternehmen, die „Trustworthy AI“ und AI Governance professionell aufsetzen und als Qualitätsmerkmal vermarkten. Um KI-Governance effektiv in Organisationen zu integrieren, ist ein strukturierter Ansatz unerlässlich.

Weitere Informationen zum Thema:

datensicherheit.de, 12.06.2026
AI Act der EU: Deutsche Umsetzung soll Unternehmen nun Rechtssicherheit bieten

[datensicherheit.de, 22.07.2026] Das Bundeskriminalamt (BKA) vermeldet einen erfolgreichen Schlag gegen eine der weltweit gefährlichsten Phishing-Gruppierungen – demnach gingen Strafverfolgungsbehörden aus Deutschland und den USA gemeinsam gegen die Gruppierung „Kratos“ und das Phänomen „Phishing-as-a-Service“ vor.

Abbildung: BKA

Sicherstellungsbanner der Aktion gegen das cyberkriminelle „Kratos“-Netwerk

Der „Kratos“-Entwickler und zugleich technische Administrator konnte verhaftet werden

Die Generalstaatsanwaltschaft Frankfurt am Main – Zentralstelle zur Bekämpfung der Internetkriminalität (ZIT) – und das BKA haben demnach gemeinsam mit Strafverfolgungsbehörden aus den USA die zentrale Infrastruktur eines des weltweit meistverbreiteten kriminellen Phishing-Services namens „Kratos“ zerschlagen.

• Der Entwickler und technische Administrator von „Kratos“ sei in Indonesien von den dortigen Behörden festgenommen worden.

Bei „Kratos“ handele es sich um einen von der gleichnamigen Gruppierung entwickelten digitalen Baukasten, mit dem sich insbesondere täuschend echte Microsoft-Authentifizierungs-Webseiten erstellen und verwalten ließen. Solche Webseiten seien eingesetzt worden, um Zugangsdaten wie Passwörter und E-Mail-Adressen von Opfern durch gefälschte Abfragemasken zu stehlen (Phishing), um dann damit weitere Straftaten zu begehen.

„Kratos“-Gruppierung adressierte auch technisch weniger versierte Cyberkriminelle

Das Geschäftsmodell der „Kratos“-Gruppierung hat laut BKA darauf beruht, den digitalen Baukasten an andere Cyberkriminelle weiterzuvermieten, welche dann wiederum die eigentlichen Phishing-Kampagnen durchführten (sogenanntes Phishing-as-a-Service).

• Dieses Vorgehen habe es dieser Gruppierung ermöglicht, auch technisch weniger versierte Kriminelle zu erreichen und seit 2024 über 300.000 Euro zu „erwirtschaften“.

„Über 1.800 kriminelle Franchisenehmer sollen ,Kratos’ erworben und damit monatlich ca. 15.000 Phishing-Kampagnen durchgeführt haben.“ Dabei habe jede einzelne Kampagne das Potenzial gehabt, mehrere tausend Empfänger weltweit zu schädigen.

Fortsetzung durch „Kratos“ unterstützter Phishing-Kampagnen nunmehr unterbunden

Bei den polizeilichen Maßnahmen seien über 200 Server der „Kratos“-Infrastruktur unschädlich gemacht worden. Die Anzahl der Opfer gehe seit Ende 2024 in die Hunderttausende. Diese stammten aus über 30 Staaten (insbesondere in Europa und den USA).

• „Mit der Festnahme des Administrators sowie der Abschaltung zentraler technischer Komponenten wurde die ,Kratos’-Infrastruktur vollständig außer Betrieb gesetzt.“ Durch „Kratos“ unterstützte Phishing-Kampagnen könnten dadurch nicht mehr fortgeführt werden.

Mit dem erfolgreichen Vorgehen sei den Strafverfolgungsbehörden erstmalig ein bedeutender Ermittlungserfolg gegen eine der weltweit gefährlichsten „Phishing-as-a-Service“-Gruppierungen gelungen.

Erfolg gegen Phishing-Kit „Kratos“ ein Schlag gegen hochprofessionelle Phishing-Infrastruktur

Die in Deutschland wegen des „gewerbsmäßigen Betreibens einer kriminellen Handelsplattform im Internet“ (gem. § 127 StGB), „Fälschung beweiserheblicher Daten im besonders schweren Fall“ (gem. § 269 StGB), sowie der „Vorbereitung des Computerbetrugs“ (gem. § 263a StGB) und anderer Straftaten geführten Ermittlungen hätten dazu beigetragen, zahlreiche potenzielle Opfer weltweit vor dem Diebstahl ihrer Zugangsdaten zu schützen.

• Carsten Meywirth, Leiter der Abteilung „Cybercrime“ im BKA, kommentiert: „Wer im Internet mit gefälschten Webseiten Zugangsdaten stiehlt, darf sich nicht in Sicherheit wiegen! Der Erfolg gegen das Phishing-Kit ,Kratos’ zeigt, dass sich auch hochprofessionelle Phishing-Infrastrukturen wirksam bekämpfen lassen.“ Dies sei Pionierarbeit und ein deutliches Signal an andere Cyberakteure – Phishing bleibe nicht folgenlos und werde durch das BKA konsequent bekämpft. „Mit diesem Schlag haben wir zudem die Gefahr, dass fortlaufend Hunderttausende Internetnutzer Opfer werden, abgewehrt“, so Meywirth.
• Dr. Benjamin Krause, Leiter der ZIT der Generalstaatsanwaltschaft Frankfurt am Main, führt aus: „Unser Ansatz der disruptiven Strafverfolgung funktioniert: Denn neben der primären Aufgabe der Identifizierung und Strafverfolgung der Beschuldigten ist es uns wieder gelungen, einen kriminellen Online-Dienst zu zerschlagen und so für etwas mehr Cybersicherheit zu sorgen.“

Hintergründe zum Modus Operandi der Gruppierung „Kratos“

Die „Kratos“-Gruppierung hatte laut BKA insbesondere gefälschte, aber täuschend echt aussehende Microsoft-Authentifizierungs-Webseiten entwickelt, um die Geschädigten zur Eingabe ihrer Kundendaten zu verleiten und diese so abzugreifen. Diese Methode ist so konzipiert, dass neben den Login-Daten ebenfalls ein „Cookie“ gestohlen werde, mit dem sich sogar die Zwei-Faktor-Authentifizierung (2FA) umgehen lasse.

• Die so erlangten Zugangsdaten hätten durch die jeweiligen Täter für verschiedene Zwecke genutzt werden können, z.B. für weitere Phishing-Angriffe, Verkauf von Kundendaten an Dritte oder die Infiltration von Unternehmen durch die Ausbreitung über unternehmensweit genutzte Microsoft-Lösungen.

Die „Kratos“-Gruppierung habe das Phishing-Kit über ein Lizenzmodell vertrieben, welches Kunden mittels „Krypto-Währungen“ hätten erwerben können. Für den Vertrieb und den Support der „Kunden“ sei eigens eine Website und ein „Telegram“-Shop erstellt worden, um sich darüber zu registrieren, das eigene Konto zu verwalten und die eigene Phishing-Kampagne organisieren zu können.

Weitere Informationen zum Thema:

Bundeskriminalamt
Aufgabenbereiche des BKA / Nationale und internationale Zusammenarbeit, Ermittlungen, Forschung und Entwicklung, Verwaltung und Personenschutz – erfahren Sie hier mehr zu den vielfältigen Aufgabenbereichen der Kriminalpolizei des Bundes

Staatsanwaltschaften Hessen
GStA: Zentralstelle zur Bekämpfung der Internet- und Computerkriminalität (ZIT)

Handelsblatt Live, Technologie / IT, 23.05.2025
Cybercrime – Ohne Partner ist alles nichts / Gastbeitrag von Carsten Meywirth, Direktor und Leiter der Abteilung Cybercrime, Bundeskriminalamt

DPT Deutscher Präventionstag
Dr. Benjamin Krause

Microsoft
Schützen Sie sich vor Phishing / Phishing („fisching“ ausgesprochen) ist ein Angriff, der versucht, Ihr Geld oder Ihre Identität zu stehlen, indem Sie dazu bewegt werden, Ihre persönlichen Informationen wie Kreditkartennummern, Bankdaten oder Kennwörter auf Websites einzugeben, die sich als seriös ausgeben. Cyberkriminelle geben sich in einer gefälschten Nachricht mit einem Link zu einer Phishing-Website als seriöse Unternehmen, Freunde oder Bekannte aus.

datensicherheit.de, 14.07.2026
Phishing-as-a-Service: Cybercrime im Abo / Mit der Zerschlagung der Phishing-as-a-Service-Plattform „Outsider“ durch das FBI, Google und Black Lotus Labs wurde Mitte Juni eines der größten Phishing-Netzwerke weltweit aufgedeckt. Der Fall zeigt, wie stark sich Cyberkriminalität professionalisiert hat: Phishing-Kampagnen lassen sich heute als schlüsselfertiger Service buchen – inklusive Infrastruktur und täuschend echter Vorlagen. Unterstützt durch KI sinken die Einstiegshürden weiter, während Umfang, Geschwindigkeit und Schadenspotenzial der Angriffe kontinuierlich zunehmen.

datensicherheit.de, 05.03.2026
Kratos: Neues Phishing-as-a-Service-Kit ermöglicht selbst Anfängern Ausführung hochkomplexer Angriffe / Vor Kurzem haben Sicherheitsanalysten der „KnowBe4 Threat Labs“ einen ersten Bericht zum Anfang 2026 aufgespürten Phishing-as-a-Service-Kit „Kratos“ vorgestellt

[datensicherheit.de, 21.07.2026] Das CISPA Helmholtz-Zentrum für Informationssicherheit hat am 20. Juli 2026 Position zu Technologien zur Altersfeststellung („Age Assurance Technologies“ / AATs) bezogen – in der aktuellen Debatte um den Schutz von Kindern und Jugendlichen im Internet haben diese zuletzt große öffentliche Aufmerksamkeit erfahren. „In der Gesellschaft besteht die Überzeugung, dass wir Kinder vor Gefahren im Internet schützen müssen“, so CISPA-Faculty Dr. Wouter Lueks in seinem Kommentar und gibt zu bedenken: „Während sich diese Diskussion früher vor allem auf altersbeschränkte Inhalte wie Glücksspiel und Pornographie konzentrierte, umfasst sie inzwischen ein deutlich breiteres Spektrum von Diensten, darunter Soziale Netzwerke und andere potenziell schädliche Inhalte.“ Vor diesem Hintergrund haben Lueks und seine Kollegen verschiedene technologische Architekturen und regulatorische Ansätze analysiert, „die sich in Europa, dem Vereinigten Königreich und weiteren Rechtsräumen herausbilden“. Ihre Studie zeige nun: Zwar könnten einige der untersuchten Verfahren ein hohes Maß an Sicherheit bei der Altersfeststellung bieten, doch gingen strengere Formen der Verifikation häufig mit größeren gesellschaftlichen Belastungen einher.

Foto: CISPA / David Rohner

Dr. Wouter Lueks stellte in einem Interview klar: Da diese Systeme alle Menschen betreffen und sich vergleichsweise leicht umgehen lassen, sprechen wir uns für weniger eingriffsintensive Lösungen aus

4 unterschiedliche Ansätze zur Altersfeststellung in der Erörterung

In ihrem Paper unterscheiden die Autoren vier grundlegende Ansätze zur Altersfeststellung – elterliche Kontrolle und Zustimmung auf dem Endgerät, Altersschätzung, Altersableitung und Altersverifikation.

• Beim ersten Ansatz konfigurierten Eltern die Geräte ihrer Kinder so, dass der Zugriff auf bestimmte Apps oder Websites erlaubt oder blockiert wird. „Bei der Altersableitung werden Systeme eingesetzt, die Verhaltensmuster, gegebenenfalls über einen längeren Zeitraum hinweg, analysieren, um Rückschlüsse auf das Alter einer Person zu ziehen“, erklärt Lueks. Die Altersschätzung hingegen nutze beispielsweise „Selfies“ oder andere Informationen, um das Alter einer Person zu schätzen. Die Altersverifikation wiederum stütze sich schließlich auf amtliche Dokumente oder vertrauenswürdige Quellen, um das Alter eines Nutzers festzustellen.

Die CISPA-Forscher kommen nach eigenen Angaben zu dem Ergebnis, dass sich diese Ansätze nicht nur hinsichtlich ihrer Zuverlässigkeit bei der Altersbestimmung deutlich unterscheiden, sondern auch in ihren Auswirkungen auf Datenschutz, Sicherheit, Barrierefreiheit und Grundrechte.

Warnung vor unbeabsichtigten Folgen und schädlichen Nebenwirkungen

Die Ergebnisse von Lueks und seinen CISPA-Kollegen legen demnach nahe, dass strengere Maßnahmen zur Altersfeststellung häufig mit umfassenderen gesellschaftlichen Belastungen verbunden sind. Je nach Ansatz könnten dazu die Erhebung und Speicherung sensibler persönlicher oder biometrischer Daten, eine verstärkte Nachverfolgung und Profilbildung von Nutzern, die Ausgrenzung von Personen ohne geeignete Ausweisdokumente sowie verzerrte oder fehlerhafte Bewertungen gehören.

• Insbesondere solche Systeme zur Altersableitung, welche Online-Verhalten analysieren, um das Alter von Personen zu bestimmen, könnten großflächige Überwachung normalisieren, obwohl sie nur begrenzte Sicherheit böten. Mit Ausnahme der elterlichen Kontrolle und Zustimmung auf dem Endgerät verhindere zudem keines der untersuchten Verfahren wirksam eine Umgehung durch den Einsatz von VPN-Diensten. Daher erweise sich keine einzelne Lösung als für alle Anwendungsfälle gleichermaßen geeignet.

Eine weitergehende Sorge betreffe die Möglichkeit von Zensur: „Derzeit besteht das erklärte Ziel darin, Kinder vor schädlichen Inhalten wie Sozialen Medien zu schützen“, sagt Lueks und warnt: „Morgen könnten dieselben Systeme genutzt werden, um den Zugang zu Online-Spielen, ,LGBT+‘-Inhalten, politischen Informationen oder bestimmten Büchern einzuschränken.“

Empfehlung weniger invasiver Lösungen

Auf Grundlage ihrer Analyse fordern Lueks und seine Kollegen politische Entscheidungsträger nun dazu auf, die verschiedenen Systeme zur Altersfeststellung differenziert zu betrachten, anstatt sie als gleichermaßen akzeptabel oder wirksam einzustufen.

• Stattdessen schlagen sie einen abgestuften Bewertungsrahmen vor, welcher die Wirksamkeit eines Systems gegen seine gesellschaftlichen Nebenwirkungen und seine Auswirkungen auf Grundrechte abwägt. „Da diese Systeme alle Menschen betreffen und sich vergleichsweise leicht umgehen lassen, sprechen wir uns für weniger eingriffsintensive Lösungen aus“, unterstreicht Lueks und führt aus: „Unsere bevorzugte Lösung ist die elterliche Kontrolle und Zustimmung auf dem Endgerät.“ Dieser Ansatz sei zwar nicht perfekt, verursache jedoch weniger negative externe Effekte, da er nicht die gesamte Bevölkerung gleichermaßen betreffe.

„Eine zweite Möglichkeit ist eine datenschutzfreundliche Altersverifikation direkt auf dem Endgerät als zusätzliche Schutzebene“, so Lueks weiter. Ihre „dritte Präferenz“ seien ausweisbasierte „Wallet“-Lösungen mit starken Datenschutzgarantien.

Kinder- und Jugendschutz muss Privatsphäre wahren und realistisch in großem Maßstab umsetzbar sein

Lueks betont, dass es ihm nicht darum gehe, Maßnahmen zum Schutz von Kindern und Jugendlichen grundsätzlich abzulehnen: „Der Schutz von Minderjährigen im Internet ist essenziell. Maßnahmen müssen jedoch verhältnismäßig sein, die Privatsphäre wahren und sich realistisch in großem Maßstab umsetzen lassen, ohne neue Risiken für die gesamte Bevölkerung zu schaffen!“

• Die Autoren unterstreichen zudem, dass technische Maßnahmen allein die zugrunde liegenden gesellschaftlichen Herausforderungen im Zusammenhang mit der Online-Nutzung durch Minderjährige kaum vollständig lösen könnten.

Wirksamer Kinder- und Jugendschutz erfordere vielmehr eine Kombination aus technischen Schutzmechanismen, Verantwortung der Web-Plattformen, Unterstützung durch Eltern, Bildung und geeigneten politischen Rahmenbedingungen. Mit ihrem Papier möchten die CISPA-Forscher einen wichtigen Beitrag zur aktuellen Debatte leisten, indem sie die Vor- und Nachteile bestehender technologischer Lösungen systematisch analysieren.

Weitere Informationen zum Thema:

CISPA
ÜBER CISPA

CISPA, Felix Koltermann, 20.07.2026
„Sobald wir Online-Altersverifikation einführen, betrifft das alle“: ein Gespräch mit Dr. Wouter Lueks

CISPA
Faculty / Wouter Lueks

arxiv.org, Wouter Lueks & Stephan Dreyer & Hannes Federrath & Judith Simon, 26.03.2026
Assessing Age Assurance Technologies: Effectiveness, Side-Effects, and Acceptance

datensicherheit.de, 14.07.2026
EU-Bericht zum Kinderschutz im Internet: Bitkom fordert risikobasierten Ansatz als Leitprinzip zu erhalten / Am 13. Juli 2026 hat ein Expertengremium der EU-Kommissionspräsidentin einen Bericht mit Empfehlungen zum Kinderschutz in der Digitalen Welt und der möglichen Einführung eines Mindestalters für Soziale Netzwerke vorgelegt

datensicherheit.de, 27.04.2026
Kinder- und Jugendschutz in der digitalen Welt: Bitkom-Kommentar zur Bestandsaufnahme der Expertenkommission / Der Bitkom plädiert für eine verbindliche Verankerung von Medienkompetenz in Lehrplänen, entsprechende Fortbildungen sowie eine Bundeszentrale für digitale Bildung zur Unterstützung von Eltern

datensicherheit.de, 19.02.2026
eco: Digitalen Kinder- und Jugendschutz weiterentwickeln und digitale Teilhabe erhalten / eco-Verband fordert EU-weit einheitliche Lösungsansätze statt nationaler Insellösungen – Vielschichtigkeit der Web-Dienste bei der Weiterentwicklung der Schutzmechanismen sollte konsequent berücksichtigt und technologieoffen gedacht werden

datensicherheit.de, 27.05.2025
Medienkompetenz und digitales Know-how für Kinder werden immer wichtiger / 2024 nutzten bereits über 50 Prozent der sechs- bis siebenjährigen Kinder ein Smartphone – bei den zehn- bis elfjährigen sogar 90 Prozent