Die IT-Sicherheit bezeichnet alle technischen und organisatorischen Maßnahmen, die darauf abzielen, Systeme, Netzwerke und Daten vor unbefugtem Zugriff, Änderungen oder Zerstörungen zu schützen. Angesichts von Online-Bedrohungen, die sich jedes Quartal weiterentwickeln, müssen die Schutzmaßnahmen im gleichen Tempo folgen. Die Herausforderung beschränkt sich nicht mehr nur auf Passwörter oder Antivirenprogramme: Sie betrifft mittlerweile die gesamte Kette der digitalen Abhängigkeiten einer Organisation.
Digitale Lieferkette: Die Angriffsfläche, die Unternehmen unterschätzen
Die meisten Cybersecurity-Leitfäden konzentrieren sich auf den internen Bereich: Firewalls, Updates, Sensibilisierung der Mitarbeiter. Das Risiko verlagert sich jedoch zu den Anbietern, Cloud-Dienstleistern und Drittanbieter-Softwarekomponenten. Die ENISA dokumentiert diesen Trend in ihrem Bericht ENISA Threat Landscape 2026, veröffentlicht am 15. September 2026: Angriffe auf digitale Abhängigkeiten verursachen großangelegte Vorfälle, weit über den ursprünglich anvisierten Unternehmensbereich hinaus.
Ein kompromittierter Lohnanbieter kann die persönlichen Daten von Dutzenden von Kunden gefährden. Eine verwundbare Open-Source-Komponente, die ohne Audit integriert wurde, kann eine Tür in ein zertifiziertes Managementsystem öffnen. Die Erkennung dieser Schwachstellen erfordert ein rigoroses Inventar jeder Softwarekomponente und jedes Datenflusses, der an Dritte weitergeleitet wird.
Um diese Risiken zu kartieren, bieten die technischen Ressourcen auf der Sicherheitsseite von Viruslab detaillierte Mechanismen zum Schutz von Umgebungen, die mehreren externen Abhängigkeiten ausgesetzt sind.
Konkret erfordert die Stärkung dieser Schicht drei verschiedene Maßnahmen:
- Ein Register der Anbieter zu erstellen, die Zugang, auch indirekt, zu den Systemen oder Daten des Unternehmens haben, und dann deren Schutzniveau anhand dokumentierter Kriterien zu bewerten.
- Vertraglich eine Benachrichtigungsfrist im Falle eines Sicherheitsvorfalls beim Anbieter zu verlangen, die mit den geltenden gesetzlichen Verpflichtungen übereinstimmt.
- Eine Überwachung der veröffentlichten Schwachstellen für jede integrierte Drittanbieter-Softwarekomponente in den Produktionssystemen einzurichten.
Ransomware im Jahr 2026: Warum KMU und Kleinstunternehmen die Hauptziele bleiben
Ransomware bleibt die kurzfristig am meisten wirkende Bedrohung. Das Panorama der Cyberbedrohungen 2025, veröffentlicht von der ANSSI am 11. März 2026, zeigt, dass die der Agentur gemeldeten Ransomware-Kompromittierungen im Vergleich zu 2024 leicht zurückgegangen sind. Dieser statistische Rückgang spiegelt jedoch keinen Rückgang der Bedrohung wider: KMU, Kleinstunternehmen und mittelständische Unternehmen bleiben die am stärksten betroffenen Entitäten.
Der Anteil der Vorfälle, die Gesundheitsinstitutionen betreffen, ist laut demselben Bericht erneut gestiegen. Das Geschäftsmodell der Angreifer hat sich verändert: Die Bedrohung ist fragmentierter geworden und verteilt sich auf mehrere Gruppen, was die Erkennung und Zuordnung erschwert.
Zu überwachende Ausbreitungsmechanismen
Ransomware dringt selten durch eine spektakuläre Schwachstelle ein. Der erste Zugang erfolgt oft über eine Phishing-E-Mail, einen schlecht gesicherten Remote-Zugriff (RDP ohne starke Authentifizierung) oder eine veraltete Software, deren Schwachstelle öffentlich bekannt ist.
Die Segmentierung des Netzwerks begrenzt die laterale Ausbreitung, sobald der erste Zugang erlangt wurde. Wenn der kompromittierte Arbeitsplatz nicht direkt auf den Datei-Server oder den Domänencontroller zugreifen kann, wird die massive Verschlüsselung der Daten für den Angreifer schwieriger.
Regelmäßig getestete Offline-Backups bleiben die letzte Verteidigungslinie. Ein ständig mit dem Netzwerk verbundenes Backup kann gleichzeitig mit den Produktionsdaten verschlüsselt werden, was seinen Nutzen zunichte macht.
Künstliche Intelligenz und Cybersicherheit: Eine doppelte Exposition
KI verändert die Bedrohungslandschaft in zwei entgegengesetzten Richtungen. Einerseits verbessern auf maschinellem Lernen basierende Erkennungstools die Fähigkeit, anormale Verhaltensweisen in einem Netzwerk zu erkennen. Andererseits nutzen Cyberkriminalitätsgruppen KI, um ihre Operationen zu verbessern, so der ENISA Threat Landscape 2026.
Phishing-E-Mails, die von Sprachmodellen generiert werden, sind überzeugender, besser formuliert und personalisiert auf der Grundlage öffentlicher Daten. Audio-Deepfakes ermöglichen es, die Stimme eines Führungskräfte zu imitieren, um eine betrügerische Überweisung zu validieren.
KI-Systeme als direkte Ziele
Die von Organisationen eingesetzten KI-Systeme werden selbst zu potenziellen Zielen. Ein Modell, das auf vertraulichen Daten trainiert wurde, kann manipuliert werden, um diese zurückzugeben. Eine schlecht abgeschottete Chatbot-Schnittstelle kann als Zugangspunkt zum zugrunde liegenden Informationssystem dienen.
Die Überprüfung der Eingaben und Ausgaben jedes mit dem Netzwerk verbundenen KI-Systems wird zu einem eigenständigen Schritt im Risikomanagement. Dazu gehören auch die von Dritten verwendeten APIs, die zur Erweiterung der Funktionen eines Produkts eingesetzt werden.
Richtlinie NIS 2: Cybersicherheitsverpflichtungen für Unternehmen in Frankreich
Die europäische Richtlinie NIS 2 erweitert den Umfang der Organisationen, die Cybersicherheitsverpflichtungen unterliegen. In Frankreich betrifft die Umsetzung nun eine viel größere Anzahl von Unternehmen, einschließlich mittelständischer Unternehmen, die in der ersten Version des Textes nicht abgedeckt waren.
Die Verpflichtungen beziehen sich auf das Risikomanagement, die Meldung von Vorfällen an die zuständigen Behörden und die Umsetzung angemessener technischer und organisatorischer Maßnahmen. Die Nichteinhaltung von NIS 2 setzt administrativen Sanktionen aus.
Für Kleinst- und mittelständische Unternehmen, die diese Anforderungen neu entdecken, beginnt der Prozess mit einer Bewertung ihrer Situation: Operiert das Unternehmen in einem Sektor, der von der Richtlinie abgedeckt ist? Verarbeitet es Daten, deren Nichtverfügbarkeit Auswirkungen auf einen als kritisch erachteten Dienst hätte?
- Feststellen, ob die Geschäftstätigkeit des Unternehmens in die von NIS 2 aufgelisteten Sektoren (Energie, Verkehr, Gesundheit, digitale Infrastrukturen und andere) fällt.
- Eine Person für die Sicherheit der Informationssysteme zu benennen, auch in Teilzeit, die für die Einhaltung der Vorschriften verantwortlich ist.
- Die bestehenden Schutzmaßnahmen zu dokumentieren und mit den Anforderungen des Textes zu vergleichen, um die erforderlichen Korrekturmaßnahmen zu priorisieren.
Die Bedrohung beschränkt sich nicht mehr auf einen isolierten Virus auf einem Arbeitsplatz. Angesichts der Fragmentierung der Ransomware-Gruppen, der Nutzung von KI durch Angreifer und der Erweiterung der regulatorischen Verpflichtungen muss jede Organisation die IT-Sicherheit als einen kontinuierlichen Prozess behandeln, nicht als einmaliges Projekt. Unternehmen, die ihre digitalen Abhängigkeiten kartieren und ihre Backups tatsächlich testen, haben einen Vorteil gegenüber denen, die sich mit dem bloßen Abhaken von Punkten begnügen.
