[datensicherheit.de, 25.08.2025] Cybersicherheit werde in vielen Unternehmen noch immer als rein technisches Problem behandelt – „ein Fehler“, moniert Jana-Irina Luley, „Senior Director & General Manager Enterprise Private“ bei Dell Technologies Deutschland. Sie stellt in ihrer aktuellen Stellungnahme klar, dass IT-Sicherheit eben vielmehr der strategische Hebel für Resilienz und Wettbewerbsfähigkeit von Unternehmen ist.

Foto: Dell Technologies Deutschland

Jana-Irina Luley zur Rolle des für Cybersicherheit Verantwortlichen im Unternehmen: Ein klares Mandat, eine strukturelle Verankerung im Top-Management und damit eine Entscheidungsgewalt!

Cybersicherheit oft nur als klassisches IT-Problem behandelt

Luley führt aus: „In vielen Unternehmen wird Cybersicherheit noch immer wie ein klassisches IT-Problem behandelt – operativ, technisch und punktuell. Doch diese Sichtweise greift zu kurz, denn in einer zunehmend vernetzten, KI-beschleunigten Wirtschaft ist IT-Sicherheit längst nicht mehr nur ein dringend notwendiger Schutzmechanismus…“

• Sie sei vielmehr der strategische Hebel für wirtschaftliche Resilienz, für eine vertrauensvolle Beziehung mit den Stakeholdern und letztlich auch für mehr Wettbewerbsfähigkeit.

Trotzdem fehle ihr in vielen Organisationen genau das, was sie bräuchte: „Ein klares Mandat, eine strukturelle Verankerung im Top-Management und damit eine Entscheidungsgewalt!“

Verantwortliche für Cybersicherheit im Spannungsfeld widersprüchlicher Interessen

Oft sehe die Realität jedoch noch anders aus: „Wer Verantwortung für Cybersicherheit trägt, steht im Spannungsfeld zwischen widersprüchlichen Interessen. Ein zusätzlicher Sicherheitstest? ,Zu teuer’, sagt das ,Controlling’. Granulare Rechtevergabe? ,Zu umständlich’, meint die ,IT’. Netzwerkrestriktionen für sensible Bereiche? ,Ein Affront gegenüber der Belegschaft und damit ein Risiko fürs Betriebsklima’, findet das ,Management’.“

• Kurzum: Businessziele würden gegen Sicherheitsanforderungen, Benutzerkomfort gegen Risikominimierung und Innovationsdrang gegen Kontrollbedarf abgewogen. Studien wie die „Digital Trust Insights 2025“ von PwC zeigten: „Nur 44 Prozent der deutschen Befragten trauen ihrer eigenen Führungsriege beim Thema Cybersecurity echte Durchschlagskraft zu. Und gerade einmal 35 Prozent der CISOs in deutschen Unternehmen sind aktiv an Infrastruktur- und Technologieentscheidungen beteiligt.“

Die unbequeme Wahrheit sei, dass es in vielen Unternehmen den CISO-Posten nicht einmal gebe. „Und wenn doch, dann ist dieser mehr Mahner als Entscheider. Damit bleibt seine Schlagkraft begrenzt, wie die PwC-Studie belegt.“ Häufig habe er nicht einmal ein eigenes Budget, keine direkte Berichtslinie ans Top-Management und kaum Einfluss auf Projektentscheidungen oder Geschäftsstrategien.

Cybersicherheit droht zum Parallelprozess statt integralem Bestandteil unternehmerischer Wertschöpfung zu werden

Der „Security-Verantwortliche“ dürfe zwar Hinweise geben, aber er dürfe nichts stoppen – „schon gar nicht, wenn ein Geschäftsbereich ein neues ,Tool’ schnell live bringen will“. Damit bleibe Cybersicherheit ein Parallelprozess statt integraler Bestandteil der unternehmerischen Wertschöpfung. Luley warnt: „Diese Entkopplung ist gefährlich, denn die Bedrohungslage ist längst nicht mehr nur hypothetisch.“

• Im Gegenteil: Künstliche Intelligenz (KI) eröffne Angriffsflächen, die bis vor Kurzem noch unvorstellbar gewesen seien – „von perfekt gemachten Phishing-Mails über täuschend echte ,Deepfakes’ bis hin zu komplett automatisierten Penetrationstools“. Gleichzeitig gerieten Lieferketten, Produktionssysteme und Kritische Infrastrukturen zunehmend ins Visier professioneller Angreifer. Luley unterstreicht: „Die Gefahr ist real und betrifft jedes Unternehmen unabhängig von der Größe!“

Abschließend gibt sie zu bedenken: „Wer heute eine Firma führt, muss Sicherheit strategisch denken! Das bedeutet: klare Verantwortlichkeiten, echte Entscheidungskompetenz und ein Platz auf Augenhöhe mit anderen C-Level-Funktionen.“ Nicht jeder Betrieb brauche einen formellen CISO – aber jeder Betrieb brauche jemanden, „der die Gefahren nicht nur kennt, sondern auch stoppen darf – und zwar rechtzeitig, bevor aus technischen Risiken ein wirtschaftlicher Schaden entsteht“.

Weitere Informationen zum Thema:

DELL Technologies
Dell Blog

pwc, 2025
Digital Trust Insights 2025 / Die deutschen Ergebnisse der globalen Cyberstudie

THE ORG
Dell Technologies / Jana-Irina Luley

datensicherheit.de, 19.08.2025
Abkehr von Technik-Zentrierung: Digitale Transformation beginnt mit Menschen / Wer die Digitale Transformation aktiv mitgestalten möchte, braucht mehr als nur technisches Know-how – strategisches Denken, moderne Führungskompetenz und betriebswirtschaftliches Verständnis gelten als zentrale Voraussetzungen für wirksames Handeln

datensicherheit.de, 26.02.2025
Stärkung der Sicherheitskultur im Unternehmen durch intensiven Informationsaustausch / KnowBe4-Bericht zur „verborgene Kraft des Informationsaustauschs bei der Gestaltung der Sicherheitskultur eines Unternehmens“ erschienen

datensicherheit.de, 15.10.2018
IT-Sicherheit: Erst über Kultur und danach über Technik reden! / Ein persönlicher Rückblick auf die „it-sa 2018“ von ds-Herausgeber Dirk Pinnow

datensicherheit.de, 14.09.2018
Lernkultur – Richtige Reaktion auf Datenschutzverletzungen durch Mitarbeiter / Kaspersky-Studie: 42 Prozent der Unternehmen weltweit hatten 2017 eine Datenpanne

[datensicherheit.de, 24.08.2025] Im Rahmen seiner jährlichen in der sogenannten DACH-Region (Deutschland, Österreich, Schweiz) angelegten Managementstudie „Chef, wie hältst Du es mit der Cybersicherheit?“ hat Sophos nach eigenen Angaben 300 C-Level-Manager befragen lassen, ob sie Unterschiede in der Cybersecurity zwischen sehr großen, mittleren und kleineren Unternehmen sehen. Die Mehrheit nun sehe große Konzerne mit hohen Budgets und genügend Fachpersonal klar im Vorteil – allerdings seien die Befragten auch der Meinung, dass kleinere und mittlere Unternehmen (KMU) ein vergleichbares Sicherheitslevel durch externen Service erreichen könnten. Ipsos habe im Auftrag von Sophos im Frühjahr 2025 C-Level-Manager (keine IT-Verantwortlichen) aus verschiedenen Branchen befragt: 200 in Deutschland sowie jeweils 50 in Österreich und der Schweiz. Thema dieser Umfrage sei der Stellenwert von IT-Sicherheit und KI-Technologien in den Unternehmen gewesen.

Große Unternehmen in der C-Level-Wahrnehmung klar besser aufgestellt

Mehr Budget, höhere Attraktivität, bessere Ressourcen: Große Unternehmen in Deutschland, Österreich und der Schweiz seien hinsichtlich der Cybersicherheit deutlich besser aufgestellt als KMU…

• Dies zumindest sei die vorherrschende Wahrnehmung in Chefetagen und eines der zentralen Ergebnisse aus der branchen- und länderübergreifenden Managementstudie von Sophos.

Die Mehrheit aller befragten C-Level-Führungskräfte gingen davon aus, dass große Unternehmen mehr Budget, besseres Personal und höhere Attraktivität für IT-Fachkräfte mitbrächten. Kleinere Unternehmen würden dagegen oft als weniger gut vorbereitet wahrgenommen.

Finanzielle Mittel großer Unternehmen als Wettbewerbsvorteil

Besonders ausgeprägt sei der eingeschätzte Vorteil großer Unternehmen beim Thema Budget. In der Schweiz glaubten 70 Prozent der Befragten, dass sich größere Unternehmen durch ihre finanziellen Mittel bessere Cybersicherheitsmaßnahmen leisten könnten.

• In Deutschland liege dieser Wert bei 63 Prozent, in Österreich bei 58 Prozent.

Damit spiegele sich in allen drei Ländern die Einschätzung wider, „dass höhere Budgets nicht nur grundsätzlich vorhanden sind, sondern auch effektiv in Sicherheitstechnologien und Schutzmaßnahmen investiert werden“.

Attraktivität der Unternehmen für Fachkräfte hat länderspezifische Nuancen

Auch wenn die meisten Befragten große Unternehmen als sicherer einstuften, zeigten sich interessante Unterschiede zwischen den Ländern. „In Deutschland gaben 69 Prozent der Führungskräfte an, dass große Unternehmen personell besser aufgestellt seien – in der Schweiz lag dieser Wert sogar bei 78,9 Prozent.“

• Österreich liege mit 58 Prozent deutlich darunter. Auch bei der Einschätzung, dass große Unternehmen für Fachkräfte attraktiver seien, liege die Schweiz mit 68 Prozent vorne, gefolgt von Deutschland mit 66,5 Prozent und Österreich mit 64 Prozent.

Besonders auffällig: „In Österreich sehen jüngere Führungskräfte unter 45 Jahren die Unterschiede zwischen kleinen und großen Unternehmen kritischer als ältere.“ So stimmten etwa 73,9 Prozent der Jüngeren der Aussage zu, dass große Unternehmen attraktiver für Fachkräfte seien, während dieser Wert bei den älteren Befragten deutlich niedriger ausgefallen sei.

Sicherheit mit externen Partnern für kleinere Unternehmen

In Deutschland glaubten nur 29,5 Prozent, dass kleinere Unternehmen nur mit internen Ressourcen ebenso gut abgesichert seien wie große – in der Schweiz 20 Prozent, in Österreich 30 Prozent.

• Allerdings werde kleineren Unternehmen durchaus ein hohes Sicherheitspotenzial zugetraut, „insbesondere wenn externe Unterstützung hinzukommt“. Besonders in der Schweiz glaubten 64 Prozent der Befragten, dass kleinere Unternehmen mit Hilfe spezialisierter Dienstleister ein ähnliches Sicherheitsniveau erreichen könnten wie Großunternehmen.

In Deutschland liege dieser Wert bei 53 Prozent, in Österreich bei 52 Prozent. Diese Zahlen deuteten darauf hin, dass externe Expertise eine realistische und vor allem Gewinn bringende Option darstelle, um Nachteile bei Budgets und Fachkräfte-Attraktivität in der IT-Security auszugleichen.

Cybersicherheit: Nur wenige Unternehmen verzichten auf Maßnahmen

Konstant hoch sei die Bereitschaft in allen Ländern, Schutzmaßnahmen umzusetzen. „Auf die Frage, ob man sich im eigenen Unternehmen bereits gegen eine Cybersicherheitsmaßnahme entschieden habe, antworteten in allen drei Ländern über 80 Prozent der Befragten mit ,nein’.“

• In Österreich habe der Anteil der Unternehmen, die noch nie eine Maßnahme abgelehnt haben, bei 84 Prozent gelegen, in Deutschland bei 81 Prozent und in der Schweiz bei 80 Prozent.

„Die Auswertung der aktuellen Management-Studie zeigt eine interessante Differenz zwischen dem, was Entscheider wahrnehmen, und dem, wie sie tatsächlich handeln“, kommentiert Michael Veit, IT-Security-Experte bei Sophos. Er führt abschließend aus: „Denn obwohl viele kleinere Unternehmen überzeugt sind, im Vergleich zu größeren Firmen schlechter aufgestellt zu sein, zeigt sich gleichzeitig eine hohe Bereitschaft, in Sicherheit zu investieren und gemeinsam mit externen Partnern Risiken aktiv zu begegnen. Das sind gute Nachrichten!“

Weitere Informationen zum Thema:

SOPHOS
Über uns: Modernste Technologie. Spezialisierte Experten.

heise business services, Experten
Michael Veit / Manager Sales Engineering, Sophos GmbH

datensicherheit.de, 27.03.2025
Cyber-Bedrohungen: G DATA warnt vor mangelndem Risikobewusstsein – insbesondere der KMU / Offensichtlich eine fatale Fehleinschätzung: Zwei von fünf Arbeitnehmern halten ihr Unternehmen für kein lohnendes Cyber-Angriffsziel

datensicherheit.de, 18.07.2024
Cyber-Sicherheit der KMU benötigt neue Ansätze: 4 Tipps von Utimaco / KMU sollten Cyber-Sicherheitsmaßnahmen so anpassen, dass sie auch künftig -Angriffen standhalten

datensicherheit.de, 24.03.2024
CyberRisikoCheck zu Positionsbestimmung der IT-Sicherheit für KMU / BSI möchte gemeinsam mit Partnern KMU dabei unterstützen, ihre Cyber-Resilienz zu erhöhen

datensicherheit.de, 19.03.2024
Datensicherheit: Wie auch KMU die Digitale Transformation meistern können / Lothar Geuenich erörtert KMU-Strategien zur erfolgreichen und sicheren Digitalisierung und Vernetzung

datensicherheit.de, 24.10.2023
KMU-Studie zur IT-Sicherheit – ein Hürdenlauf für den Mittelstand / DriveLock und techconsult empfehlen deutschen KMU einfache und robuste Cyber-Sicherheit

[datensicherheit.de, 16.08.2025] „Die Cybersicherheitslandschaft in Europa verändert sich deutlich: Unternehmen stehen vor einer Zeitenwende, die von steigenden Bedrohungen, der Durchdringung Künstlicher Intelligenz und einem wachsenden Bewusstsein für Digitale Souveränität geprägt ist“, so Roland Stritt, „Chief Revenue Officer“ (CRO) von FAST LTA, in seiner aktuellen Stellungnahme. Der „HarfangLab State of Cybersecurity Report 2025“ zeigt demnach auf, dass 40 Prozent der befragten Unternehmen das Niveau ihrer Cyberbedrohung als „extrem“ oder„sehr ernst“ einschätzen.

Foto: FAST LTA

Roland Stritt rät zur ausgewogenen Balance zwischen Offenheit und Kontrolle sowie zwischen globaler Vernetzung und lokaler Souveränität, um Unternehmen zukunftssicher aufzustellen

Cybersicherheit 2025 in Europa am Beginn einer neuen Ära

Zugleich sei ein bedeutender Wandel im Gange: „Es geht nicht mehr nur um reine Abwehrmaßnahmen, sondern um eine ganzheitliche Resilienzstrategie!“ Ebenso verschiebe sich der Fokus von Abhängigkeiten hin zur Digitalen Souveränität. Dieser Wandel werde durch geopolitische Spannungen, den Einsatz Künstlicher Intelligenz (KI) sowohl als Angriffs- als auch als Verteidigungsmittel und eine Rückkehr zu lokalen, kontrollierbaren Infrastrukturen vorangetrieben.

Die Lage der Cybersicherheit 2025 in Europa stehe in jedem Fall am Beginn einer neuen Ära: „Sie ist geprägt von quantitativ, aber auch qualitativ zunehmenden Bedrohungen, der wachsenden Bedeutung von KI, dem Ruf nach digitaler Souveränität und einer Rückbesinnung auf Kontrolle durch lokale Infrastrukturen.“

Digitale Resilienz: Auch in Deutschland müssen Unternehmen nachbessern

Eine gemeinsame Studie des TÜV-Verbands und des Bundesamts für Sicherheit in der Informationstechnik (BSI) zeige auf, dass auch in Deutschland die Unternehmen bei der Resilienz nachbessern müssten: „So wiegen sich derzeit noch viele Unternehmen trotz der verschärften Bedrohungslage in trügerischer Sicherheit“, warnt Stritt.

Mehr als die Hälfte der im Rahmen o.g. HarfangLab-Studie befragten Unternehmen (53%) sähen Datenlecks als die verheerendste Folge eines Cyberangriffs an – ein Befund, welcher die wachsende Bedeutung von Daten als kritischem Unternehmenswert unterstreiche. Systemausfälle, Spionage, Ransomware und Imageschäden folgten als weitere zentrale Risikofaktoren.

Angriffe auf die Cybersicherheit in Deutschland

In Deutschland seien derzeit vor allem das Gesundheitswesen, Verkehrsbetriebe, die Industrie und Medienunternehmen im Visier: „So war erst Anfang Juni der Klinikkonzern Ameos von einem Cyberangriff betroffen und musste sämtliche IT-Systeme abschalten, was zu erheblichen Störungen an allen deutschen Standorten führte. Wochen später waren die Folgen im Klinikbetrieb immer noch zu spüren.“

Bereits Anfang des Jahres 2025 seien die LUP-Kliniken im Landkreis Ludwigslust-Parchim Ziel eines Cyberangriffs geworden: „Zunächst wurden Daten gestohlen und Lösegeld gefördert. Nun folgte eine Meldung, dass Patientendaten im ,Darknet’ aufgetaucht sein sollen.“ Ein weiterer Cyberangriff in Form einer Denial-of-Service-Attacke habe den Internetauftritt der S-Bahn Hannover lahmgelegt, „die bereits wiederholt Angriffsziel war“. Zunehmend ins Visier gerieten derzeit auch Zuliefere der Bundeswehr – ebenso betroffen seien Medienunternehmen, wie zuletzt etwa die Südwestdeutsche Medienholding (SWMH).

In doppelter Hinsicht: KI spielt in der Cybersicherheit bedeutende Rolle

Diese Verschärfung der Bedrohungslage sei kein Zufall. „Drei wichtige Faktoren sind dafür verantwortlich: Erstens haben geopolitische Spannungen Cyberkriegsführung zu einem alltäglichen Phänomen gemacht. Zweitens hat die rasante Zunahme von Endpunkten durch IoT-Geräte und die vermehrte Fernarbeit die Angriffsfläche deutlich vergrößert.“ Drittens schaffe die zunehmende Abhängigkeit von Drittanbietern neue Schwachstellen in der Lieferkette.

KI spiele in der Cybersicherheit eine bedeutende Rolle – in doppelter Hinsicht: „58 Prozent der Unternehmen sehen die Entwicklung von KI als Hauptgrund für steigende Cyberrisiken, weil Angreifer diese Technologie nutzen, um Angriffe zu automatisieren und zu verschleiern.“ Gleichzeitig setzten 82 Prozent der Unternehmen auf KI-basierte Sicherheitslösungen, um diese Bedrohungen abzuwehren.

Cybersicherheit erfordert geschickte Verbindung maschineller Effizienz und menschlicher Intuition

Stritt führt aus: „Unternehmen erkennen KI als ein unverzichtbares Werkzeug im Kampf gegen Cyberangriffe an, sind aber gleichzeitig skeptisch gegenüber übertriebenen Versprechungen.“ So befürchteten 59 Prozent, dass Anbieter die Möglichkeiten von KI überschätzten, und fast 80 Prozent hielten menschliche Analysten trotz fortschrittlicher KI-Systeme für unverzichtbar. Die Zukunft der Cybersicherheit liege folglich nicht darin, Menschen durch KI zu ersetzen, sondern darin, „die Stärken beider – maschinelle Effizienz und menschliche Intuition – klug zu verbinden“.

Der vielleicht wichtigste Wandel in der Cybersicherheitsstrategie besteht indes darin, von einer reinen Präventionshaltung hin zu einer umfassenden Resilienz-Philosophie zu wechseln. Laut HarfangLab sehen sich 69 Prozent der Unternehmen „gut“ auf die Verhinderung von Angriffen vorbereitet. Nur noch 65 Prozent seien jedoch in der Lage, schnell auf Vorfälle zu reagieren. Ein Rückgang im Vergleich zum Vorjahr – 2024 – zeige, „dass bei der Reaktionsfähigkeit noch Nachholbedarf besteht“.

Nach „Cloud“-Hyper wieder Zuwendung zu „On-Premises“-Lösungen

Stritt betont: „Sicherheitsverantwortliche sollten sich nicht mehr fragen, ob es zu einem Cyberangriff kommt, sondern wann!“ Entscheidend sei daher die Fähigkeit, schnell und effektiv zu reagieren. „Resilienz bedeutet, Angriffe nicht nur zu erkennen, sondern auch die Geschäftskontinuität zu sichern und schnell wieder zur Normalität zurückzukehren.“

Eine interessante Entwicklung zeige sich mittlerweile in der Infrastrukturstrategie von Unternehmen mit der Rückbesinnung auf sogenannte On-Premises-Lösungen. „Dies ist nach Jahren der ,Cloud’-Dominanz kein Rückschritt, sondern eine bewusste strategische Entscheidung“, unterstreicht Stritt. Die Gründe hierfür seien vielfältig und gut durchdacht. Diese Unternehmen möchten die Kontrolle über Updates und Systemänderungen behalten, Datenschutzvorgaben besser einhalten, Risiken durch Drittanbieter reduzieren und sich vor ausländischer Überwachung schützen. Besonders Behörden, das Gesundheitswesen und IT-Unternehmen setzten verstärkt auf lokale Lösungen, um kritische Daten und Systeme direkt unter Kontrolle zu haben.

Zunehmend Wechsel zu europäischen Cybersecurity-Anbietern

Die Hinwendung zur Digitalen Souveränität schlage sich auch in der Anbieterwahl nieder: „Sieben von zehn Unternehmen erwägen einen Wechsel zu europäischen Cybersecurity-Anbietern. Diese Entwicklung wird durch regulatorische Rahmenbedingungen verstärkt: 94 Prozent halten europäische und lokale Cybersicherheitsregulierung wie DSGVO und NIS-2 für notwendig, 70 Prozent sehen Europa als weltweiten Vorreiter bei Datenschutz und Cybersicherheit.“

Europäische Lösungen punkteten mit technischer Gleichwertigkeit, kultureller Nähe und besserer Einhaltung lokaler Vorschriften, würden aber dennoch teils als weniger funktionsreich angesehen. „Dies ist ein Wahrnehmungsproblem, das sich durch kontinuierliche Innovation und bessere Kommunikation der Leistungsfähigkeit lösen lässt.“

Unternehmen sollten in transparente Cybersicherheitsstrategien investieren

Trotz der strategischen Fortschritte gebe es weiterhin wichtige Herausforderungen. Besonders der Fachkräftemangel bleibe ein großes Problem. Die komplexe IT-Landschaft und zersplitterte Sicherheitslösungen erschwerten es, den Überblick zu behalten und alles effektiv zu steuern. Ebenso bleibe das Arbeiten aus dem sogenannten Home-Office eine Schwachstelle, weshalb Unternehmen verstärkt in Endpoint- und Access-Management investierten. Diese Herausforderungen erforderten nicht nur technische Lösungen, sondern auch organisatorische und kulturelle Veränderungen, um sie erfolgreich zu bewältigen.

„Unternehmen sollten in transparente Sicherheitsstrategien investieren, die KI-gestützt und menschlich geführt sind!“ Wichtig sei auch die Zusammenarbeit mit vertrauenswürdigen europäischen Partnern und der Aufbau eines souveränen „Ökosystems“. Dabei gehe es nicht um Abschottung, sondern um eine ausgewogene Balance zwischen Offenheit und Kontrolle sowie zwischen globaler Vernetzung und lokaler Souveränität. Stritt: „So können Unternehmen zukunftssicher aufgestellt werden!“

Weitere Informationen zum Thema:

FAST LA
Über FAST LA

HarfangLab
The State of Cybersecurity Report / 2025 EDITION

TÜV VERBAND
TÜV Cybersecurity Studie 2025 / Cyberbedrohungen wachsen, aber viele Unternehmen hinken beim Schutz hinterher. Die TÜV Cybersecurity Studie 2025 zeigt: KI-gestützte Angriffe nehmen zu, doch nur wenige Betriebe setzen KI zur Verteidigung ein. Die Studie liefert alarmierende Zahlen – und klare Handlungsempfehlungen für Politik und Wirtschaft.

NDR, 23.07.2025
LUP-Kliniken: Patientendaten im Darknet gefunden

STAATSANZEIGER, 22.07.2025
Hackerangriff auf die SWMH-Mediengruppe / Eine der größten Mediengruppen des Landes ist von einem „kritischen IT-Sicherheitsvorfall“ betroffen. Zwar konnten alle Zeitungen der SWMH-Gruppe erscheinen. Auswirkungen gibt es dennoch.

mdr, 21.07.2025
Womöglich Daten gestohlen Hackerangriff auf Ameos-Kliniken: Noch unklar, wer die Täter sind

datensicherheit.de, 01.07.2025
TÜV-Verband-Studie: 79 Prozent der Unternehmen speichern Daten ausschließlich in der EU / Globale Spannungen bergen wirtschaftliche Risiken. Digitale Souveränität wird Wettbewerbsfaktor. Ausbau europäischer IT-Infrastrukturangebote notwendig.

[datensicherheit.de, 14.08.2025] „Jüngste Vorfälle an internationalen Flughäfen und auch in Deutschland verdeutlichen einmal mehr den dringenden Handlungsbedarf in Sachen Cybersicherheit im Luftverkehr“, so Peter Machat, „Senior Director EMEA Central“ bei Armis, in seinem aktuellen Kommentar. So habe an einem Flughafen eine auf den ersten Blick harmlose Störung eine kritische Schwachstelle offengelegt: „Eine Passagierbrücke fiel aus – Verspätungen an mehreren Gates waren die Folge. Die Ursache? Ein kompromittierter WiFi-Router in einem nahegelegenen Café.“ Was wie ein kurioser Einzelfall wirken mag, sei in Wahrheit ein Symptom eines tieferliegenden strukturellen Problems in der Sicherheitsarchitektur moderner Flughäfen.

Foto: Armis

Peter Machat: Flughäfen könnten es sich nicht mehr leisten, Cybersicherheit nur reaktiv zu denken!

Moderne Flughäfen setzen häufig noch auf veraltete und fragmentierte Schutzmechanismen

Machat: „Und dies ist kein Einzelfall. Im September 2024 bestätigte die Deutsche Flugsicherung (DFS), dass sie Ziel eines Cyberangriffs geworden war. Die Angreifer drangen erfolgreich in die administrative IT-Infrastruktur ein, also in die Bürokommunikation der DFS GmbH. Auch wenn der Flugbetrieb aufrechterhalten werden konnte, waren interne Systeme beeinträchtigt.“

• Dieser Angriff sei der staatlich unterstützten Gruppe „APT28“ zugeschrieben worden – ein Vorfall, welcher die Resilienz der gesamten Luftfahrtsicherheit in den Fokus rücke. Ein zukünftiger Cyberangriff könnte operative Systeme empfindlich stören – mit potenziell schwerwiegenden Folgen für den Flugbetrieb, die Passagiersicherheit und die Stabilität Kritischer Infrastrukturen (KRITIS) in Deutschland.

Diese Vorfälle machten eine zentrale Tatsache deutlich: Moderne Flughäfen seien hochvernetzte „digitale Ökosysteme“ – doch ihre Cybersicherheit basiere häufig auf veralteten und fragmentierten Schutzmechanismen

Digitale Flughäfen mit analoger Verteidigung

Flughäfen basierten auf einem Geflecht miteinander verbundener Systeme: Gepäckförderanlagen, Klimatisierung, Beleuchtung, Passagierbrücken, Zugangskontrollen, Kassensysteme – all dies sorge für Effizienz im Betrieb. Doch diese zunehmende Vernetzung vergrößere gleichzeitig die Angriffsfläche erheblich. „Wenn ein handelsüblicher Router ausreicht, um kritische Abläufe wie das Boarding zu stören, ist das ein klares Zeichen für fehlende Segmentierung, mangelnde Transparenz und grundlegende Defizite in der Sicherheitsarchitektur“, stellt Machat klar.

• Passagierbrücken wirkten auf den ersten Blick wie rein mechanische Einrichtungen, „doch sie werden von eingebetteten OT-Systemen gesteuert, die über Netzwerke kommunizieren“. Oft liefen auf ihnen proprietäre Softwarelösungen, „die nie unter Sicherheitsaspekten entwickelt wurden“. Hinzu komme, dass diese Systeme sich nicht selten Netzwerke mit Einzelhandelssystemen, digitalen Anzeigetafeln oder Gäste-WLAN teilten. Flache, unsegmentierte Netzwerke seien dabei keine Ausnahme – sie ermöglichten es Angreifern, sich seitlich und unbemerkt auszubreiten. „Und ganz gleich, wie leistungsfähig der Security-Stack eines Flughafens ist: Man kann nicht schützen, was man nicht kennt.“

Veraltete HLK-Anlagen (Heizung, Lüftung, Klimatechnik), Gebäudemanagementsysteme oder Aufzugsteuerungen entzögen sich häufig der Sichtbarkeit klassischer IT-Sicherheitslösungen. Sie kommunizierten weder über HTTP noch über moderne Protokolle, sondern nutzten industrielle Standards wie „Modbus“ oder „BACnet“ – „Formate, die viele gängige Sicherheitstools nicht verarbeiten können“. Damit blieben sicherheitskritische Systeme unentdeckt und ungeschützt – „und das in einer Umgebung, die auf reibungslose Abläufe angewiesen ist“.

Armis rät zu Sichtbarkeit, Segmentierung und KI-Unterstützung

Wirkliche Cyberresilienz im Flughafenbetrieb beginnt laut Machat mit einem vollständigen, aktuellen Lagebild aller vernetzten Geräte. „Ohne Transparenz keine Schutzmaßnahmen – und ohne intelligente Auswertung kein gezieltes Handeln!“

Zentrale Handlungsfelder sind demnach:

• Umfassende Asset-Transparenz
  Jedes angeschlossene Gerät und alle „Assets“ erkennen – auch veraltete, nicht gemanagte oder bislang unbekannte!
• Proaktives Schwachstellen-Management
  Sicherheitslücken identifizieren und nach realer Ausnutzbarkeit priorisieren!
• KI-gestützte „Threat Intelligence“
  Angriffsmuster, laterale Bewegungen und neue Bedrohungen frühzeitig erkennen!
• Robuste Netzwerksegmentierung
  Kritische Systeme konsequent von öffentlich zugänglichen oder unsicheren Bereichen trennen!
• Regulatorische Einbettung
  Sicherheitsarchitekturen an NIS-2, ICAO-Richtlinien und dem „Cyber Resilience Act“ ausrichten – nicht nur zur Erfüllung von Audits, sondern zur echten Risikominimierung!

Cybersicherheit in der Luftfahrt erfordert ganzheitliche, intelligente Strategie

Flughäfen könnten es sich nicht mehr leisten, Cybersicherheit nur reaktiv zu denken. Jede Minute ungeplanter Ausfallzeit verursache Verspätungen, bringt operative Abläufe ins Wanken und untergrabe das Vertrauen der Passagiere.

• „Wie der Angriff auf die DFS zeigt, sind längst nicht mehr nur operative Systeme gefährdet – selbst administrative IT ist zur potenziellen Schwachstelle geworden“, warnt Machat.

Cybersicherheit in der Luftfahrt müsse sich von isolierten „Tools“ zu einer ganzheitlichen, intelligenten Strategie entwickeln. Dazu gehörten vollständige Transparenz, ein tiefes operatives Verständnis und entschlossenes Handeln – „bevor ein kompromittierter Router, eine Fahrstuhlsteuerung oder ein digitales Display zur Quelle weitreichender Störungen werden“.

Weitere Informationen zum Thema:

heise online, Dr. Christopher Kunz, 01.09.2024
Cyberangriff auf Deutsche Flugsicherung – steckt APT28 dahinter? / Wie die DFS bestätigte, drangen Angreifer in die Büro-IT der Behörde ein. Auf den Flugbetrieb habe der Angriff aus der vergangenen Woche keine Auswirkungen.

ARMIS
About Armis

INFOPOINT SECURITY, Herbert Wieler, 26.10.2023
Personalie: Armis beruft Peter Machat zum Senior Director EMEA Central

datensicherheit.de, 15.07.2025
VIE im Aufwärtstrend: Stärkung der Cybersicherheit am Flughafen Wien / Cohesity sorgt für Cyberresilienz und KI-gestützte Backups am größten österreichischen Flughafen (VIE in Schwechat), dessen europäische und internationale Bedeutung 2024 sprunghaft gestiegen ist

datensicherheit.de, 28.05.2025
Damit Flughäfen online bleiben: SITA bietet neuen Satelliten-Konnektivitätsdienst / Mit der Einführung von „SITA Managed Satellites“ sollen Flughäfen weltweit nun jederzeit eine essenzielle Kommunikation aufrechterhalten können – selbst bei Stromausfällen oder Naturkatastrophen

datensicherheit.de, 19.02.2025
Kleine und mittlere Flughäfen: BSI stellt IT-Grundschutz-Profil bereit / BSI-Empfehlungen für Mindestabsicherung kleiner und mittlerer Flughäfen in Deutschland

datensicherheit.de, 11.10.2022
Killnet-Attacken auf Websites verschiedener USA-Flughäfen / Hacker-Gruppe Killnet soll sich explizit zum Angriff bekannt haben

datensicherheit.de, 07.01.2022
Flughafenservice, Hafenanlagen, Tanklager – Cyber-Attacken reißen nicht ab / Experten für Cyber-Sicherheit kommentieren jüngste -Attacken auf Kritische Infrastrukturen

[datensicherheit.de, 11.08.2025] Obwohl das Bundesamt für Sicherheit in der Informationstechnik (BSI) die IT-Sicherheitslage in Deutschland im aktuellen Lagebericht 2024 als „besorgniserregend“ einstuft, ist in der Wirtschaft die Verantwortlichkeit für die Abwehr der Cyberkriminalität weitgehend „chaotisch“ organisiert: Diese Diskrepanz ist eine Erkenntnis aus dem „Cyber Security Report DACH 2025“ des Sicherheitsunternehmens Horizon3.ai, basierend auf einer Umfrage unter 300 Führungskräften überwiegend mittel­ständischer Firmen. Demnach ist die Frage, wer für die firmeninterne IT-Sicherheit zuständig ist, in der Wirtschaft weitgehend ungeklärt.

Foto: Horizon3.ai

Dennis Weyel gibt zu bedenken: Das Gros der Unternehmen verlässt sich noch immer auf herkömmliche passive Sicherheit – Pentesting steht hingegen für offensive Sicherheit und wird damit der wachsenden Bedrohungslage deutlich gerechter

IT-Sicherheit mit Nachrang: Nur 13% der Unternehmen verfügen über CISO

Bei knapp einem Viertel der Unternehmen (22%) liege die Verantwortung beim „Teamleiter IT“, bei 16 Prozent sei der „Chief Technology Officer“ (CTO) dafür verantwortlich und bei 14 Prozent der „Chief Information Officer „(CIO).

• Nur 13 Prozent der Unternehmen verfügten über einen „Chief Information Security Officer“ (CISO), welcher sich hauptverantwortlich um die betriebliche Informationssicherheit kümmert.

Bei einem Viertel der befragten Firmen liege die Zuständigkeit für die Abwehr von Cyber­kriminellen bei untergeordneten Positionen wie jener des IT-Managers, Administrators oder System­architekten. Bei einem guten Fünftel (21%) trage die Gesamtverantwortung für die IT-Sicherheit der IT-Einkaufsleiter.

Widerspruch zwischen Bedrohungslage der IT-Sicherheit und chaotischer Abwehr

„Der Widerspruch zwischen der sich verschärfenden Bedrohungslage durch Hacker-Angriffe und dem Verantwortungschaos bei der Abwehr auf Unternehmensseite ist unübersehbar“, warnt Dennis Weyel, „Inter­national Technical Director“ bei Horizon3.ai.

• „Angesichts der potenziell fatalen Folgen eines Cyberangriffs bis hin zum Betriebsstillstand und letztlich der Insolvenz wären alle Unternehmen gut beraten, einen ,Chief Information Security Officer’ als zentrale Sicherheitsinstanz zu etablieren!“, legt Weyel nahe.

Die unübersichtlich geregelten Verantwortlichkeiten seien vermutlich auch der Grund dafür, dass beinahe ca. ein Drittel (30%) der im Rahmen der Umfrage kontaktierten Unternehmen keine Cyberangriffe auf sich in den letzten 24 Monaten hätten feststellen können. Er kommentiert: „Niemand kann ernsthaft glaubten, zwei Jahre lang von Hackern verschont geblieben zu sein.“

Täglich mehr als 300.000 neue Schadprogramme auf ihrem Weg durch den Cyberspace

Weyel verweist auf BSI-Untersuchungen, wonach täglich mehr als 300.000 neue Schadprogramme ihren Weg durch den Cyberspace auf der Suche nach Opfern antreten. Ein Schwer­punkt liegt laut BSI auf automatisierten Angriffen auf den Mittelstand mit Ransomware, die Firmendaten verschlüsselt und erst gegen Lösegeldzahlungen wieder freigibt.

• „Erpressungen mit verschlüsselten oder gestohlenen Daten entwickeln sich zum Massengeschäft“, berichtet Weyel.

Die Cyberkriminellen professionalisierten ihre Vorgehensweise, seien technisch auf dem neuesten Stand und gingen aggressiv vor.

Resilienz-Stärkung: Automatisierte Pentest-Plattform zur IT-Sicherheit

Horizon3.ai betreibt nach eigenen Angaben unter dem Namen „NodeZero“ eine automatisierte Pentest-Plattform, über die Firmen Cyberangriffe auf ihre IT-Infrastruktur („Penetrationstest“) durchführen können, um die Resilienz gegenüber Hacker-Attacken auf die Probe zu stellen.

• Eine Auswertung von über 50.000 über „NodeZero“ durchgeführten Testangriffen habe zutage gefördert, dass es bei 71 Prozent der Unter­nehmen für professionelle Hacker vergleichsweise leicht sei, an Zugangsdaten zum Firmennetzwerk zu gelangen.

In beinahe 100.000 Fällen habe „NodeZero“ über Sicherheitslücken eindringen können, „die längst bekannt, aber bei den entsprechenden Unternehmen noch nicht gestopft waren“.

Pentesting steht für offensive Sicherheit

Weyel führt aus: „Das Gros der Unternehmen verlässt sich auf herkömmliche passive Sicherheit, die im wesentlichen auf einem mehrschichtigen Schutzwall rund um die IT-Systeme basiert.“ Sogenanntes Pentesting stehe hingegen für offensive Sicherheit und werde damit der wachsenden Bedrohungslage deutlich gerechter.“

• Er erläutert die Unterschiede anschaulich: „Passive Sicherheitssysteme sind wie eine vielschichtige Alarmanlage rund um ein Haus, von der niemand weiß, ob sie im Falle eines Einbruchs tatsächlich funktioniert, weil sie niemals getestet wird. Aktive Sicherheit hingegen bedeutet, dass jede Nacht über alle denkbaren Wege ein Einbruchsversuch unternommen wird, um eventuelle Sicherheitslücken aufzudecken, die am nächsten Tag behoben werden können.“

Er rät Unternehmen, mindestens einmal im Monat einen solchen „Einbruch“ zu simulieren, also einen Pentest auf die IT-Infrastruktur durchzuführen.

Unter­schiede im Sicherheitsniveau: manuelles vs. automatisiertes Pentesting

Dennoch führt laut Studie nur gut die Hälfte (51%) der 300 befragten Unternehmen Pentests durch. Lediglich 13 Prozent verwendeten hierzu automatisierte Systeme, was die Voraussetzung sei, um eine der Bedrohungslage angemessene Regelmäßigkeit zu erhalten. 38 Prozent setzten auf manuelles Pentesting, davon 21 Prozent auf externe Sicherheitsdienstleister.

• „Gleichgültig, ob externe oder interne Ressourcen zum Einsatz kommen, ist manuelles Pentesting viel aufwändiger und damit teurer als die Verwendung einer automatisierten Pentestingplattform“, gibt Weyel zu bedenken. Dabei gehe es nicht in erster Linie um die Kosten, sondern um die Unter­schiede im Sicherheitsniveau.

Je kostengünstiger und automatisierter die aktive Überprüfung der IT-Sicherheit sei, desto häufiger werde sie von den Unternehmen durchgeführt. „Und die Regelmäßigkeit ist angesichts von täglich beinahe 70 neuentdeckten Schwachstellen in Computerprogrammen ein entscheidenden Faktor, um IT-Organisationen sicher zu halten“, unterstreicht Weyel abschließend.

Weitere Informationen zum Thema:

HORIZON3.ai
Our Vision: The Future of Security

TECHNIK UND WISSEN / TECHNISCHE RUNDSCHAU, 30.06.2025
Cyberkriminalität: Der Mittelstand segelt im Nebel / Zwei Drittel der Unternehmen in der DACH-Region wurden gehackt – oft ohne es zu merken

datensicherheit.de, 27.06.2025
CISO-Reifeprüfung – in fünf Stufen zur Cyberresilienz / Angesichts zunehmender Bedrohung stehen CISOs unter stärkerem Druck, die Sicherheit ihres Unternehmens ganzheitlich neu zu denken

datensicherheit.de, 19.02.2025
2025 als Jahr gute IT-Security-Vorsätze: Vier CISO-Prioritäten auf der Agenda / 44 Prozent der CISOs machtlos – zwischen 2023 und 2024 waren sie nicht in der Lage, Sicherheitsvorfälle rechtzeitig zu erkennen

datensicherheit.de, 25.11.2024
Marco Eggerling gibt CISO-Tipps für effektive E-Mail-Sicherheit / Klassische E-Mail bleibt primärer Bedrohungsvektor im Cyberspace

datensicherheit.de, 16.10.2024
DACH-Region: Alarmierende Zunahme der DDoS-Angriffe /Deutschland laut „NETSCOUT DDoS Threat Intelligence Report“ am stärksten von DDoS-Attacken betroffen

datensicherheit.de, 11.10.2023
Predictive-Text-Technologien: Veritas gibt CISOs Tipps zu Sicherheit und Datenschutz / Veritas-Stellungnahme soll mit fünf gängigen Missverständnissen aufräumen

[datensicherheit.de, 31.07.2025] Mit der NIS-2-Richtlinie beabsichtigt die Europäische Union (EU), die Cybersicherheit der europäischen Wirtschaft zu stärken und auf ein einheitlich hohes Niveau zu bringen. Die eigentliche Umsetzungsfrist im Oktober 2024 hat Deutschland verpasst – nun hat das Bundeskabinett am 30. Juli 2025 das Gesetz zur Umsetzung der NIS-2-Richtlinie und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung beschlossen. Der Bitkom-Präsident, Dr. Ralf Wintergerst, kommentiert: „Die neue Bundesregierung kommt beim Thema Cybersicherheit voran. Die NIS-2-Richtlinie kann nicht nur einen einheitlichen Rahmen für Cybersicherheit in der ganzen EU schaffen, sondern auch die Sicherheit vor Cyberangriffen insgesamt erhöhen. Wichtig dafür ist, dass wir in Deutschland für eine Eins-zu-eins-Umsetzung der europäischen Vorgaben sorgen und auch in Einzelaspekten keinen nationalen Sonderweg einschlagen – die Unternehmen brauchen europaweit einheitliche Bedingungen!“

Foto: Bitkom

Dr. Ralf Wintergerst mahnt, auch in Einzelaspekten der NIS-2-Umsetzung keinen nationalen Sonderweg einzuschlagen

Gerade Bund und öffentliche Verwaltung müssten Vorreiter bei der Cybersicherheit gemäß NIS-2 sein

Allerdings gebe es im vorliegenden Regierungsentwurf noch dringenden Änderungsbedarf. Die Bundesverwaltung nehme sich weiterhin selbst von den strengeren Cybersicherheitsvorgaben aus.

Gerade der Bund und die öffentliche Verwaltung sollten und müssten aber Vorreiter bei der Cybersicherheit sein – „wir können uns angesichts der Bedrohungslage keine Sicherheitslücken leisten!“

Umsetzung von NIS-2 viel zu lange verschleppt

Für Unternehmen, bei denen nur ein Teil der Tätigkeit in Kritischen Geschäftsfeldern erfolgt, herrsche aufgrund unklarer Formulierungen Ungewissheit, „ob sie unter NIS-2 fallen werden oder nicht“. Weiterhin fehle eine erkennbare Abstimmung mit der geplanten Umsetzung der europäischen CER-Richtlinie.

Das parlamentarische Verfahren müsse jetzt genutzt werden, um diese Punkte zügig anzupassen und klarzustellen: „Nachdem die Umsetzung von NIS-2 viel zu lange verschleppt wurde und bereits ein Vertragsverletzungsverfahren der EU gegen Deutschland läuft, muss das Umsetzungsgesetz nach der Sommerpause im Bundestag beschlossen werden!“, fordert Wintergerst abschließend.

Weitere Informationen zum Thema:

Bundesministerium des Innern, 30.07.2025
Stärkerer Schutz vor Cyberangriffen: Bundesregierung bringt neues IT-Sicherheitsgesetz auf den Weg / Rund 29.500 Unternehmen sollen aktiv zur Cybersicherheit beitragen. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) erhält mehr Möglichkeiten zur Unterstützung und Kontrolle.

datensicherheit.de, 31.07.2025
NIS-2: eco begrüßt Kabinettsbeschluss – und moniert noch offene Fragen / Damit kehrt das Thema Cybersicherheit endlich auf die politische Bühne zurück – überfällig angesichts der sicherheitspolitischen Lage, so Ulrich Plate, Leiter der eco-Kompetenzgruppe „KRITIS“

datensicherheit.de, 30.07.2025
NIS-2: Nationales Umsetzungsgesetz soll Cybersicherheit der deutschen Wirtschaft stärken / Der TÜV-Verband begrüßt NIS-2-Umsetzung und fordert Nachbesserungen: Ausnahmeregelungen seien zu schärfen oder zu streichen, damit Unternehmen klare Vorgaben erhalten, wie Nachweise für die Umsetzung zu erbringen sind

datensicherheit.de, 15.07.2025
Erfahrungsbericht WienIT: Reduzierung des Backup-Datenspeichers um 50 Prozent und NIS-2-Konformität / WienIT sorgt im Hintergrund dafür, dass die IT-Infrastruktur der Wiener Stadtwerke-Gruppe nebst wichtiger Back-Office-Prozesse und Services möglichst reibungslos zur Verfügung steht

datensicherheit.de, 07.07.2025
Neuer ISACA-Leitfaden: Navigationshilfe für Unternehmen durch NIS-2- und DORA-Vorschriften / Selbst nach der ersten Jahreshälfte 2025 haben viele Unternehmen ihre Verpflichtungen im Rahmen der NIS-2-Richtlinie und der DORA-Verordnung noch nicht vollständig verstanden

datensicherheit.de, 06.07.2025
NIS-2: Vereinheitlichung der Meldewege für IT-Sicherheitsvorfälle und Datenpannen gefordert / Die unabhängigen Datenschutzaufsichtsbehörden der Länder sprechen sich für deutliche Entlastung der Verantwortlichen bei Erfüllung der NIS-2-Meldepflichten aus

datensicherheit.de, 06.07.2025
NIS-2: DAV-Forderung nach Einbindung der Cloud-Anbieter / Mit der NIS-2-Richtlinie soll ein hohes gemeinsames Cybersicherheitsniveau in der Europäischen Union EU geschaffen werden

datensicherheit.de, 08.02.2025
NIS-2-Umsetzung: Gesetzgebungsverfahren offenbar vorerst gescheitert / 5 Schritte zur Vorbereitung auf deutsche NIS-2-Umsetzung jetzt für Unternehmen entscheidend – Entscheider sollten ihre neue Verantwortung ernst nehmen

[datensicherheit.de, 30.07.2025] Der TÜV-Verband hat am 30. Juli 2025 zu dem an diesem Tag vom Bundeskabinett beschlossenen nationalen Umsetzungsgesetz der europäischen NIS-2-Richtlinie Stellung genommen: „Deutschland ist Ziel hybrider Angriffe und Cyberattacken auf Unternehmen, Kritische Infrastrukturen und politische Institutionen gehören zur Tagesordnung. Die Umsetzung der NIS-2-Richtlinie in nationales Recht ist ein wichtiger Schritt, um die Cybersicherheit in der deutschen Wirtschaft zu verbessern“, kommentiert Marc Fliehe, Fachbereichsleiter „Digitalisierung und Bildung“ beim TÜV-Verband.

Umsetzungsgesetz der europäischen NIS-2-Richtlinie lange überfällig

Fliehe betont: „Das Gesetz ist längst überfällig und muss angesichts der Bedrohungslage im Cyberraum zügig beschlossen werden!“ Mit dem aktuellen Entwurf liege eine solide Grundlage vor – jetzt brauche es den politischen Willen, offene Punkte im parlamentarischen Verfahren konstruktiv und schnell zu klären.

Aus Sicht des TÜV-Verbands sei es nun Aufgabe des Bundestags, den Gesetzesentwurf an entscheidenden Stellen zu schärfen, um die Wirksamkeit in der Praxis zu erhöhen. Besonders relevant sind demnach dabei folgende Punkte:

1. TÜV-Verband-Forderung: Ausnahmeregelungen klar definieren oder streichen!

Aus Sicht des TÜV-Verbands wirft die neu eingeführte Ausnahme für „vernachlässigbare“ Geschäftstätigkeiten erhebliche Fragen auf. Dieser Begriff sei unbestimmt und werde im Gesetz nicht näher definiert – es bleibe unklar, nach welchen Kriterien eine Tätigkeit als vernachlässigbar gelten soll.

„Ohne präzise Vorgaben besteht die Gefahr uneinheitlicher Auslegung und einer Rechtsunsicherheit für Unternehmen“, warnt Fliehe. Zudem könnte diese nationale Sonderregelung zu einem faktischen Ausschluss regulierungspflichtiger Tätigkeiten führen, welche laut NIS-2-Richtlinie eigentlich erfasst sein sollten. Der TÜV-Verband sieht daher die Gefahr, dass der deutsche Gesetzgeber mit dieser Öffnungsklausel vom europäischen Harmonisierungsziel abweiche, und fordert eine „eindeutige und EU-rechtskonforme Ausgestaltung dieser Ausnahme“.

2. TÜV-Verband-Forderung: Nachweispflichten überarbeiten!

In der NIS-2-Richtlinie sei eine regelmäßige Nachweispflicht für „besonders wichtige Einrichtungen“ vorgesehen, welche aus Sicht des TÜV-Verbands im deutschen Gesetz nicht ausreichend umgesetzt sei. „In der Praxis läuft es auf stichprobenartige Einzelfallprüfungen hinaus, was nicht der Intention der Richtlinie entspricht und sicherheitstechnisch bedenklich ist“, so Fliehe. Er unterstreicht: „Die Behörden müssen die Umsetzung der Sicherheitsmaßnahmen überprüfen und durchsetzen können!“

In diesem Zusammenhang sieht der TÜV-Verband auch die Verlängerung der Nachweisfristen für die Betreiber Kritischer Infrastrukturen von zwei auf drei Jahre sehr negativ. Fliehe gibt zu bedenken: „Die Betreiber Kritischer Infrastrukturen sind regelmäßig gezielten Cyberangriffen ausgesetzt. Eine Verlängerung des Nachweiszyklus ist vor diesem Hintergrund mehr als kontraproduktiv.“

3. TÜV-Verband-Forderung: Vertrauen schaffen durch unabhängige Zertifizierungen!

Nur bei Einbindung unabhängiger Dritter ist aus Sicht des TÜV-Verbands sichergestellt, „dass das notwendige Vertrauen in die Umsetzung von Cybersicherheitsanforderungen geschaffen werden kann“.

Deshalb regt der TÜV-Verband an, Zertifizierungen durch „akkreditierte und unabhängige Konformitätsbewertungsstellen“ verbindlich in dem Prozess der Nachweiserbringung (§ 39 BSIG-E) durch die Hersteller vorzusehen.

4. TÜV-Verband-Forderung: Absicherung der Lieferketten ausformulieren!

Mit Blick auf die weitgefassten Formulierungen zur Absicherung der Lieferkette sei es erforderlich, den Unternehmen eine Handreichung und Orientierungshilfe zur Gestaltungstiefe der Maßnahmen zur Absicherung der Lieferkette an die Hand zu geben.

In diesem Sinne sei beispielsweise die Forderung „Security by Design“ recht vage und bedürfe weiterer Detaillierungen. Eine Orientierungshilfe könne sowohl Mindestmaßnahmen aufzeigen als auch Interpretations- und Auslegungsspielräume reduzieren und leiste somit einen Beitrag zur Erhöhung der Klarheit und Handlungssicherheit der Verpflichteten.

30.000 Unternehmen in Deutschland vom NIS-2-Umsetzungsgesetz betroffen

Der TÜV-Verband zum Hintergrund: „Das NIS-2-Umsetzungsgesetz (NIS2UmsuCG) gilt für rund 30.000 Unternehmen in Deutschland.“ 

• Es verpflichte die Unternehmen unter anderem zur Durchführung und Einführung von Risikoanalysen und Sicherheitskonzepten, Maßnahmen zur Vorbeugung und Reaktion auf IT-Sicherheitsvorfälle, Zugangskontrollen, Verschlüsselung, Multi-Faktor-Authentifizierung, Mitarbeiterschulungen, Notfallplänen sowie Maßnahmen für die Absicherung der Lieferkette.

Diese Anforderungen müssten „dem Stand der Technik“ entsprechen und unterschieden sich je nach Größe, Branche und Kritikalität des Unternehmens.

Weitere Informationen zum Thema:

TÜV VERBAND
Stellungnahme zur Umsetzung der NIS-2-Richtlinie und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung / Um die digitale Resilienz in Deutschland zu stärken, hat das BMI einen überarbeiteten Referentenentwurf zur NIS-2-Umsetzung vorgelegt. Der TÜV-Verband begrüßt dieses Ziel, zeigt in seiner aktuellen Stellungnahme aber Anpassungsbedarf auf.

TÜV VERBAND, 11.06.2025
Jedes siebte Unternehmen gehackt – Risiken werden unterschätzt / TÜV Cybersecurity Studie veröffentlicht: IT-Sicherheitsvorfälle in 15 Prozent der Unternehmen. Phishing ist die dominierende Angriffsmethode. Neun von zehn Unternehmen bewertet eigene Cybersicherheit als gut. TÜV-Verband: Überfällige nationale Umsetzung der NIS2-Richtlinie zügig verabschieden. Die Hälfte der Unternehmen kennt die Regulierung bisher nicht.

Bundesministerium des Innern, 30.07.2025
Stärkerer Schutz vor Cyberangriffen: Bundesregierung bringt neues IT-Sicherheitsgesetz auf den Weg / Rund 29.500 Unternehmen sollen aktiv zur Cybersicherheit beitragen. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) erhält mehr Möglichkeiten zur Unterstützung und Kontrolle.

datensicherheit.de, 15.07.2025
Erfahrungsbericht WienIT: Reduzierung des Backup-Datenspeichers um 50 Prozent und NIS-2-Konformität / WienIT sorgt im Hintergrund dafür, dass die IT-Infrastruktur der Wiener Stadtwerke-Gruppe nebst wichtiger Back-Office-Prozesse und Services möglichst reibungslos zur Verfügung steht

datensicherheit.de, 07.07.2025
Neuer ISACA-Leitfaden: Navigationshilfe für Unternehmen durch NIS-2- und DORA-Vorschriften / Selbst nach der ersten Jahreshälfte 2025 haben viele Unternehmen ihre Verpflichtungen im Rahmen der NIS-2-Richtlinie und der DORA-Verordnung noch nicht vollständig verstanden

datensicherheit.de, 06.07.2025
NIS-2: Vereinheitlichung der Meldewege für IT-Sicherheitsvorfälle und Datenpannen gefordert / Die unabhängigen Datenschutzaufsichtsbehörden der Länder sprechen sich für deutliche Entlastung der Verantwortlichen bei Erfüllung der NIS-2-Meldepflichten aus

datensicherheit.de, 06.07.2025
NIS-2: DAV-Forderung nach Einbindung der Cloud-Anbieter / Mit der NIS-2-Richtlinie soll ein hohes gemeinsames Cybersicherheitsniveau in der Europäischen Union EU geschaffen werden

datensicherheit.de, 08.02.2025
NIS-2-Umsetzung: Gesetzgebungsverfahren offenbar vorerst gescheitert / 5 Schritte zur Vorbereitung auf deutsche NIS-2-Umsetzung jetzt für Unternehmen entscheidend – Entscheider sollten ihre neue Verantwortung ernst nehmen

[datensicherheit.de, 25.07.2025] Über zwei Drittel (68%) der für Cybersicherheit Verantwortlichen in Deutschland sehen laut einer aktuellen Kaspersky-Umfrage Verbesserungsbedarf für ihr Unternehmen. Im Rahmen dieser Umfrage seien zwischen dem 27. Februar und 17. März 2025 weltweit 850 für Cybersicherheit zuständige IT-Fachleute in großen Unternehmen aus verschiedenen Branchen und Unternehmensebenen befragt – darunter knapp 50 in Deutschland.

Hemmnis für Cybersicherheit u.a. zeitintensive manuelle Erledigung vieler Routineaufgaben

Als schwächster Aspekt im Cybersicherheitssystem werde mit 37 Prozent der Mangel an qualifiziertem Personal genannt. Ein Drittel (33%) erkenne in der Beschränkung auf bekannte Schwachstellen, ohne eine proaktive Identifizierung neuer Schwachstellen im System, eine Gefahr.

Ein zusätzliches Hemmnis für die für Cybersicherheit Verantwortlichen ist demnach die „zeitintensive manuelle Erledigung vieler Routineaufgaben“ (31%), welche nicht nur die Betriebskosten erhöhe, sondern auch die Erkennung und Reaktion auf Bedrohungen verzögere.

Weitere verbreitete Schwächen der Cybersicherheit von Unternehmen in Deutschland:

• Unzureichende Kontrolle über die Umsetzung von Sicherheitsrichtlinien (22%).
• Hohes Risiko eines Systemzusammenbruchs bei Verletzung eines Sicherheitsperimeters (14%).
• Komplexität des IT/OT-Systems erschwere die Abgrenzung des Schutzperimeters erheblich (14%).
• Zu viele Alarme aus verschiedenen Teilen des Sicherheitssystems verursachten unnötige Mehrarbeit (14%).

Cybersicherheit im Unternehmen ist Vermögensschutz

Alexander Kostyuchenko, „Head of Technology Solutions Product Line“ bei Kaspersky, führt in seinem Kommentar aus: „Unternehmen erkennen zunehmend, dass moderne Herausforderungen nicht nur einen starken Schutz erfordern, sondern auch eine proaktive und schlüssige Sicherheitsstrategie, die jeden Aspekt ihrer digitalen Infrastruktur gegen potenzielle Sicherheitsrisiken schützt.“

Daher sei es für Unternehmen unerlässlich, einen transformativen Ansatz zu verfolgen, fortschrittliche Bedrohungsinformationen und optimierte Prozesse zu integrieren und zuverlässige, umfassende Lösungen einzusetzen, um ihre Vermögenswerte zu schützen – „all das, während sie gleichzeitig die Betriebskontinuität gewährleisten und das Vertrauen ihrer Kunden stärken“.

Weitere Informationen zum Thema:

kaspersky daily
Improving Resilience: Cybersecurity through System Immunity / The current approaches organizations employ to manage cybersecurity, and the strategies they adopt to navigate an increasingly unpredictable threat environment

datensicherheit.de, 14.07.2025
Fragmentierte Cybersicherheit verursacht deren Schwächung / Nicht nur die reine Zunahme, sondern auch die Vermehrung der potenziellen Einfallstore sorgt für blinde Flecken in der Cybersicherheit, warnt Alex Mosher

datensicherheit.de, 11.07.2025
Cybersicherheit: Deutsche Unternehmen setzen zunehmend auf Digitale Souveränität / Laut einer neuen Studie von HarfangLab messen 81 Prozent der Führungsetagen in deutschen Unternehmen Digitaler Souveränität heute mehr Bedeutung zu als noch vor einem Jahr

datensicherheit.de, 20.05.2025
Cybersicherheit: Deutsche Unternehmen sehen dringenden Handlungsbedarf / Laut einer QBE-Studie betreffen 64 Prozent der Cybervorfälle Schwachstellen in der Lieferkette. Dabei gehen zwei Drittel der Befragten gehen davon aus, dass sich das Budget für Cybersicherheit in den nächsten zwölf Monaten in ihrem Unternehmen erhöhen wird. 85 Prozent der Befragten sehen steigende Bedrohungen im Vergleich zum Vorjahr

[datensicherheit.de, 17.07.2025] Auch das Bundesamt für Sicherheit in der Informationstechnik (BSI) gibt eine warnende Stellungnahme zur Sommer-Urlaubszeit 2025 ab: „Der Sommer bedeutet für viele Menschen Erholung, Sonne und eine Auszeit vom Alltag. Cyberkriminelle legen in der Urlaubszeit jedoch keine Pause ein!“ Diese nutzten z.B. E-Mails mit gefälschten Reisebestätigungen oder Hotelrechnungen, um sich Zugriff auf persönliche Daten zu verschaffen oder Geräte mit Schadsoftware zu infizieren. Das BSI gibt nachfolgend Empfehlungen die persönliche Cybersicherheit – nicht nur für unterwegs.

1. BSI-Reisetipp: Prüfen Sie E-Mails und SMS-Nachrichten, bevor Sie Links oder Anhänge öffnen!

• Mitunter geben sich Cyberkriminelle nämlich etwa als Hotelbetreiber oder Reiseveranstalter aus. Daher: „Wenn Sie über ein Portal gebucht haben, kommunizieren Sie z.B. mit dem Hotel daher ausschließlich darüber!“

2. BSI-Reisetipp: Sehen Sie Rechnungen und Reise-Unterlagen direkt beim Anbieter ein!

• „Geben Sie etwa die Adresse der Webseite in den Browser ein – statt einem Link in einer E-Mail zu folgen!

3. BSI-Reisetipp: Gehen Sie sparsam mit Ihren Daten um!

• Eine Abwesenheitsnotiz im eigenen E-Mail-Editor oder in den Sozialen Medien veröffentlichte Fotos können Betrüger zu Informationen verhelfen, welche diese dann „für ihre Maschen missbrauchen“.

4. BSI-Reisetipp: Nutzen Sie öffentliche WLANs nur mit Vorsicht!

• Cyberkriminelle erstellen mitunter beispielsweise WLANs mit Namen wie „Free Airport WiFi“, um Daten von Nutzern abzufangen. In anderen Fällen nutzen sie öffentliche WLANs, um Geräte mit Sicherheitslücken zu identifizieren. „Abhilfe schafft ein VPN eines vertrauenswürdigen Anbieters.“

5. BSI-Reisetipp: Vorsicht gilt auch bei öffentlichen Ladestationen bspw. in Reisebussen!

• Dort zur Verfügung gestellte Kabel erlauben mitunter auch die Übertragung von Daten: „So kann etwa Schadsoftware eingeschleust werden.“ Abhilfe können spezielle Kabel oder Adapter bieten, welche die Datenübertragung sperren, aber den Stromfluss weiter erlauben.

6. BSI-Reisetipp: Richten Sie eine Bildschirmsperre ein!

• „Indem das Gerät vor der Nutzung z.B. per Fingerabdruck oder PIN entsperrt werden muss, schützen Sie sowohl das Gerät als auch die darauf gespeicherten Daten bei Verlust oder Diebstahl!“

Weitere Informationen zum Thema:

Bundesamt für Sicherheit in der Informationstechnik
Sichere Technik, auch auf Reisen / Unterwegs aufgenommene Fotos direkt vom Smartphone online stellen, ein neues eBook herunterladen oder zwischendurch E-Mails checken: Auf Reisen sind mobile, internetfähige Geräte zu unverzichtbaren Begleitern geworden. Doch was ist mit der Sicherheit?

datensicherheit.de, 16.07.2025
Reisedokumente lukrativ für Cyberkriminelle: Selbst Bordkarten im DarkWeb-Angebot / Eine neue gemeinsame Studie von NordVPN und Saily zeigt florierenden Handel mit Reisedaten im DarkWeb auf

datensicherheit.de, 14.07.2025
Urlaub mit Social Media: Öffentliches WLAN nur geschützt nutzen / Wer unterwegs auf öffentlich zugängliche WLANs setzt – etwa um Urlaubsinhalte hochzuladen, Nachrichten zu verschicken oder zu browsen – setzt sich häufig unnötigen Risiken aus, warnt Kaspersky

datensicherheit.de, 09.07.2025
Urlaubsfotos in Sozialen Medien: Nur fünf Prozent machen Kindergesichter unkenntlich / Zwar ist das Bewusstsein für Risiken beim Posten von Kinderfotos gewachsen – doch sollten sich Eltern stets vorbildhaft um die eigene Privatsphäre und die ihrer Kinder bemühen

datensicherheit.de, 01.07.2025
Sommer, Sonne, Sicherheitsrisiko: Sophos-Tipps für hohen Cyberschutzfaktor auch auf Reisen / Sophos gibt zum Beginn der Sommer-Urlaubszeit 2025 Tipps, wie Reisende sich vor Datendiebstahl und Spionage schützen können

datensicherheit.de, 08.06.2025
WLAN auf Reisen: Jeder siebte Urlauber gefährdet eigene Datensicherheit / Fünf Prozent der Befragten haben sich bisher noch gar nicht mit Cybersicherheitsrisiken im Urlaub beschäftigt

datensicherheit.de, 30.05.2025
Sommerurlaub 2025 voraus: 7 KnowBe4-Cybersicherheitstipps für Reisen / KnowBe4 hat elementare Tipps für die Reisesicherheit veröffentlicht – speziell auf aktuelle Cybersicherheitsbedrohungen zugeschnitten

[datensicherheit.de, 12.07.2025] Das Bundesamt für Sicherheit in der Informationstechnik (BSI) und das Land Baden-Württemberg beabsichtigen, im Bereich der Cybersicherheit künftig noch enger zusammenzuarbeiten: Eine entsprechende Vereinbarung haben die BSI-Präsidentin, Claudia Plattner, und der Stv. Ministerpräsident und Innenminister des Landes Baden-Württemberg, Thomas Strobl, sowie die Präsidentin der Cybersicherheitsagentur Baden-Württemberg, Nicole Matthöfer, laut einer BSI-Meldung am 10. Juli 2025 in der baden-württembergischen Landesvertretung in Berlin unterzeichnet.

Foto: BSI

V.l.n.r.: Nicole Matthöfer (Präsidentin der Cybersicherheitsagentur Baden-Württemberg), Thomas Strobl (Stv. Ministerpräsident und Innenminister des Landes Baden-Württemberg) und Claudia Plattner (BSI-Präsidentin)

Vereinbarung zur Cybersicherheit erstreckt sich über acht Kooperationsfelder

Diese Vereinbarung erstreckt sich demnach über acht Kooperationsfelder, wobei ein gezielter Wissens- und Informationsaustausch im Fokus stehen soll. Neben gemeinsamen Sensibilisierungs- und Schulungsmaßnahmen, Beratungen zur Abhörsicherheit durch das BSI sowie Unterstützung nach IT-Sicherheitsvorfällen sei eine enge fachliche Vernetzung unter anderem zu IT-Schlüsselthemen, wie „Cloud Computing“ und Künstlicher Intelligenz (KI) geplant.

• „Vor dem Hintergrund der angespannten Bedrohungslage und möglicher Auswirkungen auf digitale Infrastrukturen hat das BSI seine Detektionsmechanismen verstärkt“, erläutert BSI-Präsidentin Plattner.

Insbesondere Kritische Infrastrukturen (KRITIS), aber auch kommunale Einrichtungen gerieten immer stärker ins Visier von Cyberangriffen. „Um die Resilienz Deutschlands angemessen zu erhöhen und den Digitalen Raum vor äußeren Einflüssen zuverlässiger zu schützen, müssen Bund und Länder noch intensiver als bisher zusammenarbeiten!“

Herausforderung der Cybersicherheit kann kein Land alleine lösen

Strobl betont, dass das Thema Cybersicherheit kein Land alleine lösen könne – Kriminalität kenne keine Grenzen, Cybercrime, Cyberspionage und Cybersabotage sowieso nicht. „Wir müssen uns deshalb zusammentun und unsere Kräfte bündeln, um die Gefahren im Netz wirksam zu bekämpfen.“

• Eines sei klar: Alleine schaffe das keiner! Die zwischen dem Land Baden-Württemberg mit dem BSI in der Vergangenheit bereits gepflegte enge und vertrauensvolle Zusammenarbeit sei ein wichtiger Faktor.

„Dieses gute Miteinander wollen wir über die Kooperationsvereinbarung weiter verstetigen, ausbauen und intensivieren. Dies ist ein entscheidender Schritt, um den digitalen Raum noch besser zu schützen und das Vertrauen der Bürgerinnen und Bürger in die Digitalisierung zu stärken.“

Cybersicherheit kein nur gemeinsam realisiert werden

„Cybersicherheit ist kein Alleingang und kommt nicht von alleine. Der Landesverwaltung, den Behörden und Kommunen in Baden-Württemberg stehen wir als Cybersicherheitsagentur bereits mit einem Rundum-sorglos-Paket zur Seite“, erläutert Matthöfer.

• Ihr Angebotsportfolio bauten sie dennoch gezielt weiter aus, wie zuletzt mit dem „CyberSicherheitsCheck für KMU“.

Sie führt weiter aus: „In der künftigen Kooperation von den Kompetenzen des Bundes zu profitieren und sie gleichzeitig um unsere Expertise und Erfahrungen aus der Arbeit vor Ort zu bereichern – hierin sehe ich die Stärke dieses Schulterschusses.“

Cybersicherheits-Kooperationen zwischen Bund und Ländern im Rahmen des Grundgesetzes

Kooperationsvereinbarungen strukturierten die Zusammenarbeit unter Beachtung des verfassungsrechtlichen Rahmens. Mit Unterstützung des Bundesministeriums des Innern (BMI) werde das BSI die Zusammenarbeit mit den Ländern zeitnah und praxisorientiert weiter vertiefen:

• In entsprechenden Beratungen am Rande der Ständigen Konferenz der Innenminister und -senatoren der Länder (IMK) sowie im deutschen IT-Planungsrat seien bereits erste konkrete Lösungsansätze besprochen worden.

Im Fokus der Bemühungen stehe neben Notfall- und Krisenübungen und gemeinsamer Tool-Nutzung zur Angriffserkennung ein ganzheitliches Cyberlagebild für Deutschland.

Weitere Informationen zum Thema:

CyberSicherheitsCheck für KMU
Was ist der CyberSicherheitsCheck für KMU?

Bundesamt für Sicherheit in der Informationstechnik, 15.08.2024
BSI und Bremen unterzeichnen Kooperationsvereinbarung zur Cybersicherheit

Bundesamt für Sicherheit in der Informationstechnik, 21.11.2023
BSI und der Freistaat Sachsen vereinbaren Kooperation für mehr Cybersicherheit

Bundesamt für Sicherheit in der Informationstechnik, 09.03.2023
BSI und das Land Rheinland-Pfalz unterzeichnen Kooperationsvereinbarung

Bundesamt für Sicherheit in der Informationstechnik, 05.12.2022
BSI und das Land Hessen unterzeichnen Kooperationsvereinbarung

Bundesamt für Sicherheit in der Informationstechnik, 28.03.2022
BSI und das Saarland rücken enger zur Stärkung der Cyber-Sicherheit zusammen

Bundesamt für Sicherheit in der Informationstechnik, 17.11.2021
BSI und das Bundesland Niedersachsen unterzeichnen bundesweit erste Kooperationsvereinbarung

Baden-Württemberg Ministerium des Inneren, für Digitalisierung und Kommunen
Thomas Strobl / Thomas Strobl ist stellvertretender Ministerpräsident und Minister des Inneren, für Digitalisierung und Kommunen von Baden-Württemberg. Er ist zudem der Landesbeauftragte für Vertriebene und Spätaussiedler.

datensicherheit.de, 15.02.2025
BSI und Hamburg vereinbaren Kooperation: Stärkung der Cyber-Sicherheit in Bund und Ländern angestrebt / Zielgerichteter Austausch von Cyber-Sicherheitsinformationen und gemeinsame Sensibilisierungsmaßnahmen u.a. vorgesehen