16/08/2026

Sommer, Sonne, Cyberangriffe: Warum Hacker jetzt Hochsaison haben

Im Zuge der NIS-2-Durchsetzung steigen die Anforderungen an nachvollziehbare Sicherheitsprozesse – daher sollten Unternehmen insbesondere für die Sommerurlaubszeit Zugriffsrechte, Freigaben und sichere Datenwege verbindlich regeln.

Sommerzeit ist für die meisten Mitarbeiter Urlaubszeit und damit wird diese auch zu einer besonders anfälligen Unternehmensphase für Cyberangriffe. Die FTAPI Software GmbH weist in ihrer aktuellen Stellungnahme darauf hin, dass gerade in den Sommermonaten das Risiko für Cyberangriffe auf Unternehmen messbar steigt: „Wenn Vertretungen einspringen und Freigabeprozesse ausdünnen, nutzen Kriminelle die entstehenden Lücken gezielt aus.“ Spätestens seit dem NIS-2-Umsetzungsgesetz werde die Absicherung dieser Abläufe indes zur Pflicht der Geschäftsführung. „Damit ist Datensicherheit im Sommer zu einer strategischen Führungsaufgabe geworden!“, betont Ari Albertini, CEO der FTAPI Software GmbH.

FTAPI stellt eine 5-Punkte-Checkliste zur Verfügung, damit Unternehmen ohne Kontrollverlust sicher durch den Sommer kommen können.

Urlaubs-Dilemma: Hohe Latenz – leichte Beute

Der Sommer sei für Cyberangreifer geradezu Hochsaison, warnt auch Albertini. Wenn nämlich Schlüsselpersonen abwesend sind, treffen manipulierte E-Mails auf Urlaubsvertretungen, welche reguläre Abläufe oft nicht im Detail kennen.

Laut dem „Cyber Schadensbericht 2025“ des Cyberversicherers Stoïk gehen rund 60 Prozent aller gemeldeten Schadensfälle auf E-Mail-basierte Angriffe wie Phishing oder „Business E-Mail Compromise“ (BEC) zurück.

Zudem blieben Angriffe in der Ferienzeit deutlich länger unentdeckt: Ransomware verweile im Sommer durchschnittlich 31 Tage unbemerkt im System; das Jahresmittel liege bei 22 Tagen.

Nicht nur, aber gerade auch zur Urlaubszeit: NIS-2 macht Datensicherheit zur Chefsache

Gleichzeitig verschiebt sich offensichtlich die rechtliche Verantwortung grundlegend: Das „NIS-2-Umsetzungsgesetz“ verpflichtet die Geschäftsführung dazu, Sicherheitsmaßnahmen aktiv zu billigen, kontinuierlich zu überwachen und sich regelmäßig fortzubilden.

Hohes Strafmaß
Bei Verstößen drohten Bußgelder von bis zu zehn Millionen Euro oder zwei Prozent des weltweiten Jahresumsatzes.
Wenig Delegationsmöglichkeit
Operative Sicherheitsaufgaben könnten zwar delegiert werden – die Geschäftsführung bleibe jedoch verantwortlich, angemessene Maßnahmen zu billigen, ihre Umsetzung zu überwachen und sich mit den Risiken auseinanderzusetzen. „Die Verantwortung lässt sich nicht mehr komplett an die IT-Abteilung abgeben!“
Nachweispflicht
Wer erst nach einem Vorfall nachweisen könnte, dass Prozesse abgesichert waren, würde zu spät handeln.

Besonders kritisch sei die Übergabe sensibler Daten vor der Abreise. Zugangsdaten und vertrauliche Ordner würden häufig hektisch per E-Mail oder über kostenlose Filesharing-Dienste geteilt — mithin vorbei an den gesicherten Kanälen der IT. Genau durch diese „Schatten-IT“ könnten Sicherheitslücken entstehen, welche im Herbst zu teuren Schadensmeldungen zu werden drohen.

„Im Sommer brauchen Vertretungen Zugriff auf Daten, die sie sonst nicht benötigen. Wer diesen Zugriff nicht sauber regelt, verlagert das Risiko auf Mitarbeitende, die den normalen Ablauf gar nicht kennen“, so Albertini. Er macht nochmals unmissverständlich klar: „Die Absicherung dieser Übergaben ist spätestens seit NIS-2 reine Chefsache.“

5-Punkte-Checkliste von FTAPI: Sicher – ohne Kontrollverlust – durch den Sommer

Datensicherheit im Sommer ist laut Albertini aber planbar: Wer die Vertretung vor dem Urlaub sauber strukturiert, müsse im Liegestuhl nicht erreichbar sein. Mit folgenden fünf Schritten übergebe die Geschäftsführung Verantwortung an das Team, ohne das eigene Risiko zu erhöhen:

Zugriffe befristen statt dauerhaft vererben
Vertretungen sollten nur Einblick in jene Daten erhalten, welche sie zwingend benötigen. Der Zugriff müsse nach der Rückkehr automatisch erlöschen. Dauerhaft geteilte Passwörter seien eines der größten Sicherheitsrisiken.
Vier-Augen-Prinzip verbindlich verankern
Zahlungen und kritische Datenfreigaben ab einer festen Schwelle erforderten zwingend eine zweite Bestätigung. So würden vermeintlich dringende Anweisungen im Namen abwesender Führungskräfte ihre Wirkung verlieren.
Sichere und verschlüsselte Kanäle vorgeben
Sensible Unterlagen und Zugangsinformationen dürften nicht per unverschlüsselter E-Mail oder über private Filesharing-Dienste weitergegeben werden. Unternehmen sollten zentral vorgegebene Kanäle nutzen, um Verschlüsselung, Zugriffskontrollen und Nachvollziehbarkeit sicherstellen.
Vertretungen gezielt briefen
Ein kurzes Briefing vor dem Urlaub helfe, typische Angriffsmuster früh zu erkennen: unerwartete Zahlungsaufforderungen, angeblich dringende Anweisungen oder ungewöhnliche Anfragen nach Zugangsdaten. Wichtig sei auch eine klare Regel: „Bei Unsicherheit wird geprüft – nicht gehandelt!“ Dies helfe oft mehr als rein technische Schutzmaßnahmen.
Sicherheits-Governance sauber dokumentieren
Wer vor der Sommerpause schriftlich festhält, wer welche Befugnisse besitzt, verankere Governance im Arbeitsalltag und erbringe den geforderten NIS-2-Nachweis bereits präventiv.

Zentrale Erkenntnisse der DS-Redaktion:

Selbst Unternehmen, welche bislang nicht unter die NIS-2-Richtlinie fallen, sollten sich darauf einstellen, dass regulatorische Ordnungen, Erwartungen des Marktes sowie die öffentliche Meinung, aber auch Vorgaben der Versicherungen die Gesamtverantwortung in den Betrieben zur „Chefsache“ machen.
Diese Gesamtverantwortung besteht bereits im Normalbetrieb – und noch vielmehr mehr in Phasen der besonderen Herausforderung, wozu eben auch die in der Regel längeren Sommerurlaubszeiten gehören.
Verantwortung hat keinen Urlaub! Damit aber Mitarbeiter und auch die Entscheiderebene Phasen der verdienten Erholung entspannt genießen können, müssen sich die Betriebe vorab möglichst funktional und resilient aufstellen.
Die Zuspitzung der Herausforderung zur Sommerurlaubszeit weist aber auf prinzipielle Anforderungen an die Datensicherheit hin, welche ohnehin zu erfüllen sind, also auch im vermeintlich banalen Alltagsbetrieb.
Neben den oft langen Sommerurlaubszeiten gibt es auch weitere Phasen der Ablenkung, auf die es sich gleichermaßen einzustellen gilt – z.B. Messeauftritte, Renovierungen, Umzugsmaßnahmen u.a.