Das Journal des DAVINCI RechenzentrumsMittwoch, 11. November 2026296 Beiträge · 14 Ressorts
Ressort · 72 Beiträge
Bedrohungen verstehen, bevor sie teuer werden.
Angriffe treffen längst nicht mehr nur Konzerne. In diesem Ressort ordnen wir Bedrohungslagen, Schutzmaßnahmen und Regulierung so ein, dass Entscheider handeln können – ohne Panik und ohne Fachchinesisch.
Cybersecurity behandelt die Bedrohungslage, mit der sich ein Unternehmen aktiv auseinandersetzen muss: Angriffswege wie Phishing und Ransomware, Schutzmaßnahmen wie Mehrfaktor-Anmeldung und Angriffserkennung, sowie die Regulierung, die Sicherheit inzwischen vorschreibt – NIS2, der Cyber Resilience Act, Meldepflichten nach einem Vorfall. Das Ressort ordnet ein, welche Maßnahme gegen welche Bedrohung tatsächlich wirkt.
Für ein mittelständisches Unternehmen ist das kein Nischenthema mehr. Angriffe richten sich nicht nach Unternehmensgröße, und ein erfolgreicher Ransomware-Vorfall kostet Betriebszeit, die keine Versicherung vollständig ersetzt. Wer versteht, wie ein Angriff typischerweise abläuft und an welcher Stelle er sich unterbrechen lässt, kann Budget dort einsetzen, wo es tatsächlich wirkt, statt Produkte nach Werbeversprechen zu kaufen, die im Ernstfall nicht greifen.
Abgegrenzt wird hier zum Ressort Netzwerk & Systemtechnik, das die Infrastruktur behandelt, auf der Sicherheitsmaßnahmen aufsetzen, und zum Ressort Datenschutz & Compliance, das die rechtlichen Pflichten rund um personenbezogene Daten vertieft. Cybersecurity befasst sich mit der Bedrohung selbst und der Maßnahme dagegen – nicht mit der Netzwerkarchitektur oder der DSGVO im Allgemeinen.
Symbolbild, künstlich erzeugt
Verschlüsselungsangriffe folgen einem erstaunlich gleichförmigen Ablauf. Wer diesen Ablauf kennt, erkennt auch die drei Punkte, an denen sich ein Angriff mit vertretbarem Aufwand stoppen lässt.
Vom 5. bis 9. November 2026 kamen Mails an Outlook.com-, Hotmail- und Live-Adressen mit dem Fehler 550 5.7.1 zurück – vor allem von Domains ohne DMARC-Eintrag. Microsoft spricht von einem fehlerhaften Spam-Update und hat es zurückgenommen. Abgewiesene Nachrichten kommen trotzdem nicht an. Was Unternehmen jetzt tun sollten.
Microsoft schließt am Patchday im November 1.093 Schwachstellen, 63 davon kritisch. Eine Outlook-Lücke, die Anmeldedaten als NTLM-Hash preisgibt, wird bereits angegriffen – und sie wird über das Office-Update geschlossen, nicht über Windows Update. Die Übersicht mit Reihenfolge für das Wartungsfenster.
Microsoft beendet die Anmeldebestätigung per SMS und Anruf für Microsoft 365: ab 1. Februar 2027 für fast alle Nutzer, ab 1. Juli 2027 auch für globale Administratoren und externe Nutzer. Wer nur eine Telefonnummer als zweiten Faktor hat, muss dann einen Passkey einrichten. So bereiten Sie die Umstellung vor.
Eine präparierte Kurznachricht bringt den Telefoniedienst von Android 12 bis 17 zum Absturz, trennt auch Notrufe und kann Geräte in eine Neustartschleife schicken – ohne Klick, ohne Spur im Posteingang. Geschützt ist nur, wer die Sicherheitspatch-Ebene vom 1. Oktober 2026 hat.
XDR-Lösungen klingen ähnlich. Die Unterschiede liegen in drei Fragen: Was ist schon bezahlt, wo werden die Daten verarbeitet, und wer reagiert nachts?
In den meisten Firmen steht es im Technikraum, im Serverschrank oder unter einem Schreibtisch: ein Synology-NAS. Zwei oder vier Platten, eine blaue Leuchtdiode, seit Jahren unauffällig.
Die erste Welle war technisch: patchen, prüfen, durchatmen. Die zweite ist es nicht.
Die ganze Aufregung der letzten Tage drehte sich um eine Frage: Hat jemand Code auf meinem Server ausgeführt? Danach sucht jedes Werkzeug, auch unseres. Danach sucht jeder Dienstleister.
Am 21. Oktober hatten einige hunderttausend Menschen in Deutschland denselben Tag: Meldung lesen, Version prüfen, Update einspielen, Protokolle durchsehen, hoffen. Für die anderen war es ein Mittwoch.
Statt Ihrer Startseite erscheint eine rote Fläche: „Die Website enthält Schadprogramme" oder „Irreführende Website". Wer darauf stößt, klickt nicht weiter – und das gilt für Kunden ebenso wie für Interessenten, die Sie gerade erst gefunden hatten.
Die Technik ist geklärt, die Seite läuft wieder – und dann kommt die Frage, auf die niemand vorbereitet ist: Sagen wir es unseren Kunden? Die Antwort fällt oft aus den falschen Gründen.
„Bei uns gibt es doch nichts zu holen." Dieser Satz fällt in fast jedem Gespräch nach einem Vorfall, und er beruht auf einem Missverständnis: Angreifer suchen bei einer Firmenwebsite selten etwas zum Mitnehmen. Sie suchen etwas zum Benutzen.
Sie haben im Verzeichnis Ihrer Website eine Datei gefunden, die dort nicht hingehört. Vielleicht heißt sie `wp-conf.php` statt `wp-config.
Es beginnt selten mit einer Fehlermeldung. Meistens ruft ein Kunde an, weil auf Ihrer Seite etwas steht, das Sie dort nicht hingeschrieben haben. Oder Google zeigt eine Warnung vor Ihrer Website.
Eine verunstaltete Startseite bemerkt jeder. Genau deshalb ist sie selten. Der übliche Einbruch in eine Firmenwebsite ist darauf angelegt, nicht aufzufallen – weil der Server umso länger nutzbar bleibt, je unauffälliger er ist.
Seit PHP2Shell bekannt wurde, kommt in jedem Gespräch dieselbe Frage: Der Patch ist eingespielt, die Seite läuft wieder – aber war vorher schon jemand da? Von außen lässt sich das nicht beantworten. Dafür muss jemand auf das System schauen.
Bevor ein Angreifer eine Phishing-Mail schreibt oder eine Schwachstelle ausnutzt, schaut er sich in Ruhe Ihre Angriffsfläche an: alles, was Ihr Unternehmen ins Internet stellt.
Die kurze Antwort lautet: wahrscheinlich ja. Wenn Ihre Firmenwebsite auf WordPress, TYPO3, Joomla oder Drupal läuft, dann läuft sie auf PHP, und damit sind Sie von PHP2Shell grundsätzlich betroffen. Das ist kein Grund zur Panik, aber einer, heute noch zehn Minuten zu investieren.
Ein PDF-Konverter, ein Übersetzungshelfer, ein Werkzeug für Screenshots: Browser-Erweiterungen sind schnell installiert und machen den Arbeitstag bequemer.
Freitag, kurz nach 16 Uhr: Die Buchhaltung bekommt einen Anruf vom Geschäftsführer, die Stimme passt, der Tonfall auch, er sitzt angeblich in einer vertraulichen Verhandlung und braucht bis heute Abend eine Überweisung an einen neuen Partner.
Eine Personalabteilung schickt einen Arbeitsvertrag per Mail, eine Praxis einen Befund, eine Kanzlei die Jahresabschlussunterlagen. Alle drei verlassen sich auf die E-Mail-Verschlüsselung, weil das Schloss im Mailprogramm erscheint oder der Anbieter sie verspricht.
Die Firmenwebsite wurde vor vier Jahren von einer Agentur gebaut, das Marketing pflegt die Texte, und um die Technik kümmert sich seitdem eigentlich niemand.
Der Elektroinstallateur hat die KNX-Anlage im neuen Bürogebäude in Betrieb genommen, ohne dass jemand nach KNX Secure gefragt hätte; die Heizungsfirma hat einen Fernzugang für die Lüftungssteuerung eingerichtet, und der Solarteur überwacht die PV-Anlage über ein Webportal.
Ein Anrufer meldet sich beim IT-Support: Er sei Herr Weber aus dem Vertrieb, sein Handy sei gestern ins Wasser gefallen, er komme nicht mehr in sein Konto und habe gleich einen wichtigen Kundentermin; ob man die Mehrfaktor-Anmeldung kurz auf sein neues Telefon umstellen könne.
Montag, 6:40 Uhr: Die ersten Mitarbeiter melden, dass sie keine Dateien mehr öffnen können, und auf dem Fileserver liegt eine Textdatei mit einer Lösegeldforderung.
Der Vertriebsleiter fliegt zur Messe nach Asien, die Geschäftsführerin besucht einen Lieferanten in den USA, der Servicetechniker nimmt eine Anlage beim Kunden im Nahen Osten ab.
In vielen Produktionsbetrieben hängt die Fräsmaschine im selben Netz wie der Rechner der Buchhaltung, und genau dort beginnt OT-Sicherheit.
Der Patch ist eingespielt, die Website läuft wieder. Damit ist die Lücke zu, aber eine Frage bleibt offen: War vorher schon jemand da?
Der Patch ist draußen, die Schlagzeilen sind geschrieben, und viele hakten das Thema am Abend des 21. Oktober ab. Das ist der Moment, in dem solche Vorfälle gefährlich werden.
Am 21. Oktober 2026 hat das PHP-Team außerplanmäßig vier Versionen veröffentlicht. Der Grund sind zwei Schwachstellen, die unter dem Namen PHP2Shell laufen und mit CVSS 9.
Ein Mitarbeiter findet auf dem Parkplatz einen USB-Stick und öffnet darauf eine Datei mit dem Namen „Gehaltsliste“, ein anderer kopiert vor seinem letzten Arbeitstag die Kundendatei auf einen privaten Stick, ein dritter verliert auf der Messe einen unverschlüsselten Stick mit Angeboten.
„Das ist doch nur die Website" ist der Satz, der solche Fälle teuer macht. Er stimmt oft – und dann wieder nicht, und der Unterschied zeigt sich erst, wenn man nachsieht.
Sie haben heute den Stecker gezogen – Website offline, Shop geschlossen, vielleicht auch das Ticketsystem abgeklemmt. Das war in vielen Fällen richtig; das BSI nennt das Trennen vom Internet ausdrücklich als Alternative zum sofortigen Patch.
Sie betreiben eine Firmenwebsite mit WordPress, TYPO3, Joomla oder einen Shop mit Magento, und heute steht überall, dass Millionen Websites gefährdet sind. Die gute Nachricht zuerst: Es ist kein Fehler in Ihrem Redaktionssystem. Die schlechte: Das macht es nicht harmloser.
Eine Mahnung, und der Kunde sagt, er habe längst bezahlt – auf ein Konto im Ausland. Wie ein Angreifer über Weiterleitungsregeln und eine Doppelgänger-Domain monatelang mitlas, was wir an einem Arbeitstag rekonstruierten und warum die Spur an der Firewall endete.
Rechnungsbetrug aus Sicht des Rechnungsstellers: drei Wege, die man auseinanderhalten muss, die fünf Phasen eines Angriffs, Warnsignale im eigenen Haus, die Einstellungen in Microsoft 365 – und was Gerichte zur Frage sagen, ob eine umgeleitete Zahlung die Rechnung begleicht.
Der Kunde hat bezahlt – auf ein Konto, das Sie nie genannt haben. Was in der ersten Stunde zu tun ist, was in den ersten 24 Stunden geprüft werden muss, wem Sie was melden und warum erst bereinigt und dann überwacht wird.
Nach einem Angriff wirken verschlüsselte Platten wertlos. Sie sind Beweismittel – und für manche Ransomware-Familien tauchen später Entschlüsselungswerkzeuge auf. Was wir aufbewahren, wie, und was das nicht ersetzt.
Server nach dem Update tot, zwei Tage Stillstand – und die Cyberversicherung winkt ab. Warum die Musterbedingungen Ausfälle beim Dienstleister ausnehmen, wann der Versicherer Regress nimmt und was Sie von Ihrem Dienstleister verlangen sollten.
Ein Schreiben im Namen der Bank, ein Aufkleber an der Ladesäule, eine Rechnung mit Code zum Bezahlen: Beim Quishing steckt der Phishing-Link in einem QR-Code. Er wird mit dem Telefon geöffnet – dort, wo kein Firmenfilter mitliest und die Adresszeile kaum zu lesen ist.
„Ich habe Ihr Gerät gehackt“, steht da, und als Absender die eigene Firmenadresse. Die Drohung ist in aller Regel leer. Die Absenderzeile ist es nicht: Sie zeigt, dass jeder Mails in Ihrem Namen verschicken kann – an Ihre Kunden ebenso wie an Sie selbst.
Mehrfaktor-Anmeldung ist die wirksamste einzelne Maßnahme gegen gestohlene Passwörter. Angreifer haben darauf reagiert: mit Anfragen in Serie, bis jemand genervt bestätigt, und mit Anmeldeseiten, die Passwort und zweiten Faktor einfach durchreichen. Beides funktioniert – aber nicht gegen jede Form des zweiten Faktors.
Die Mail kommt vom richtigen Lieferanten, aus seinem echten Postfach, mit der richtigen Rechnungsnummer und dem richtigen Betrag. Nur die Bankverbindung ist neu. Rechnungsbetrug aus übernommenen Postfächern braucht keine Schadsoftware und keinen Fehler im Filter – nur eine Buchhaltung ohne Rückruf-Regel.
In den Musterbedingungen der Cyberversicherung steht ein Satz, an dem viele Sicherungskonzepte scheitern: Kein System und keine Befugnisebene darf Original und Kopie gleichermaßen verändern oder vernichten können. Ein NAS im Firmennetz, beschrieben mit dem Administratorkonto der Domäne, erfüllt das nicht.
In jedem Unternehmen klickt irgendwann jemand auf einen Link, den er nicht hätte öffnen sollen. Ob daraus ein Vorfall wird, entscheidet sich in der Minute danach – an der Frage, ob die Person es sofort meldet oder hofft, dass nichts passiert. Die Antwort hängt weniger von Schulungen ab als von der Reaktion der Geschäftsführung auf den ersten gemeldeten Fehler.
Fast jedes Unternehmen hat es: ein Postfach für info@, buchhaltung@ oder bewerbung@, an dem sich mehrere Leute mit demselben Passwort anmelden. Bequem ist das, sicher nicht. Ein geteiltes Passwort lässt sich nicht mit Mehrfaktor-Anmeldung schützen, nicht nachvollziehen und nach einem Weggang nicht zurücknehmen. Dabei gibt es eine bessere Lösung, die nicht einmal eine Lizenz kostet.
Eine neue Regel für den bedingten Zugriff, ein Tippfehler bei der Ländersperre – und plötzlich kann sich niemand mehr als Administrator anmelden. Der Fall ist seltener als ein Phishing-Angriff, aber teurer, wenn er eintritt. Dagegen hilft ein Konto, das im Alltag niemand benutzt: der Notfallzugang. Microsoft empfiehlt zwei davon.
Das Postfach der Geschäftsführung ist für Angreifer das wertvollste im Haus: Von dort aus lassen sich Überweisungen anweisen, Verträge versenden und Mitarbeitende täuschen. Passkeys machen die Anmeldung immun gegen gefälschte Anmeldeseiten. Sie sind heute so weit, dass man mit den Konten beginnen kann, auf die es am meisten ankommt – und das sind nicht die der IT allein.
Das Konto ist gesperrt, das Notebook abgegeben, der Abschied gefeiert – und trotzdem kann der Zugang auf dem privaten Telefon noch eine Weile funktionieren. Der Grund ist technisch und gut dokumentiert. Er ist nur einer von mehreren Punkten, an denen ein Offboarding scheitert, wenn es nicht nach einer Liste läuft.
Die Fernwartung für die Telefonanlage, der Zugang des Softwarehauses für die Warenwirtschaft, das Konto des früheren IT-Betreuers: In vielen Häusern gibt es Zugänge von außen, die seit Jahren offen sind und von denen niemand genau weiß, wer sie benutzt. Sie sind bequem für den Dienstleister – und für jeden, der dessen Zugangsdaten erbeutet.
Zwischen Einstieg und Entdeckung liegen nach Branchenangaben oft 150 bis 250 Tage. Das ist keine Zahl über Technik, sondern über Aufmerksamkeit: Der Angreifer hinterlässt in dieser Zeit Spuren – es sieht nur niemand hin. Was in diesen Monaten passiert und warum die Dauer die eigentliche Kennzahl ist.
Rund um die Uhr kann heißen: Die Technik läuft durch. Es kann heißen: Ein Mensch bewertet nachts. Es kann heißen: Jemand ruft Sie an. Drei Dienste, dreimal „24/7“, drei völlig verschiedene Nächte. Woran Sie erkennen, welche Sie kaufen.
„Reaktion in unter 30 Minuten“ – klingt vergleichbar, ist es nicht. Ob die Uhr beim Alarm oder bei der Bewertung startet, ob am Ende ein Skript oder ein Mensch gehandelt hat, ob der Mittelwert die schlechten Nächte verbirgt: Was hinter den Kennzahlen steckt und welche Fragen sie vergleichbar machen.
Die Abkürzungen der Angriffserkennung sind nicht sechs Produkte, sondern Antworten auf zwei Fragen: Was wird gesehen – und wer sieht hin? Wer die beiden Fragen stellt, braucht keine Glossare mehr.
Ein Maschinenbauer, siebzig Beschäftigte, ein Dateiserver, ein Dienstkonto, das plötzlich mehr will. Was in den dreißig Minuten danach geschieht – in einem Haus mit überwachter Erkennung und in einem ohne. Der Fall ist erfunden. Die Zeiten sind es nicht.
Das Landratsamt Dachau betreut über 400 IT-Dienste, von der Aktenverwaltung bis zum Kassenautomaten – mit Allroundern, nicht mit Sicherheitsspezialisten. Wie der IT-Leiter den Wechsel von signaturbasiertem Schutz zu Managed XDR begründet, wonach er auswählte und welche Rolle der Datenschutz spielte. Nach einem von G DATA veröffentlichten Interview.
Zwischen November und Januar ändert ein Buchhändler nichts an seiner IT. Thalia hat diese Zeit genutzt, um den Rollout einer überwachten Angriffserkennung auf 6.000 Rechner zu planen – und dabei ein Problem gelöst, das jedes Haus mit vielen Standorten kennt: Wie kommen Updates in die Filialen, ohne die Leitungen zu verstopfen? Nach einer von G DATA veröffentlichten Fallstudie.
Ein Analyst, der um drei Uhr einen Produktionsserver isoliert, hat richtig gehandelt – und einen Schaden verursacht. Ob das passiert, entscheidet sich nicht nachts, sondern beim Onboarding: in der Liste, welche Systeme ohne Rückfrage angefasst werden dürfen, welche nur nach Anruf und welche gar nicht. Wie diese Liste entsteht.
Niemand kann jede Meldung abarbeiten, also entscheidet die Bewertung. Wie sich CVE-Kennungen und CVSS-Werte lesen lassen, welche vier Fragen den Ausschlag geben und wann eine Lücke keine Nacht mehr offen bleiben darf.
Wer nach Produktliste einkauft, bezahlt Werkzeuge, die nichts verhindern. Eine Reihenfolge nach Risiko, ein Verteilungsbeispiel mit offengelegten Annahmen und drei Kennzahlen, an denen sich Wirkung ablesen lässt.
Zwei Angebote für denselben Test können sich um den Faktor fünf unterscheiden – meist nicht in der Qualität, sondern im Geltungsbereich. Woran Sie das erkennen, was rechtlich vorher geklärt sein muss und wie ein Bericht zu lesen ist.
Der Wechsel alle 90 Tage gilt heute als schädlich, Länge schlägt Sonderzeichen, und Passkeys verändern die Rechnung noch einmal. Was BSI und NIST empfehlen und wie sich daraus eine Richtlinie auf zwei Seiten machen lässt.
Wer ein Produkt mit digitalen Elementen im EU-Markt hat, muss eine aktiv ausgenutzte Schwachstelle künftig binnen 24 Stunden melden. Die Pflicht trifft auch Maschinenbauer, die sich nie als Softwarehaus verstanden haben.
Das BSI empfiehlt, kritische Systeme bis 2030 auf quantensichere Verfahren umzustellen. Eine solche Migration dauert erfahrungsgemäß fünf bis zehn Jahre – die Rechnung geht also nur auf, wenn man jetzt beginnt.
DSGVO, NIS2, Cyber Resilience Act und KRITIS-Dachgesetz verlangen unterschiedliche Meldungen an unterschiedliche Stellen, teils innerhalb von 24 Stunden. Wie sich die vier Pflichten unterscheiden und wie eine Meldematrix aussieht.
Die EU-Richtlinie NIS2 verpflichtet deutlich mehr Unternehmen zu nachweisbarer IT-Sicherheit als je zuvor. Wer betroffen ist, was gefordert wird – und mit welchen Schritten Sie pragmatisch beginnen.
EDR erkennt Angriffe, die kein Virenscanner sieht – erzeugt dafür aber Meldungen, die jemand lesen und beantworten muss. Was das Gesetz verlangt, was die Technik leistet und welches Personal der Betrieb braucht.
Eine Cyberpolice ersetzt keine Schutzmaßnahme, sie setzt sie voraus. Welche technischen Obliegenheiten Versicherer üblicherweise verlangen, was bei einer Verletzung rechtlich folgt und wie eine Schadenmeldung abläuft.
Keine andere Einzelmaßnahme verhindert so viele erfolgreiche Angriffe wie ein zweiter Faktor. Trotzdem scheitert die Einführung oft an Bequemlichkeit – dabei lässt sich das lösen.
Zero Trust ist kein Produkt, das man kauft, sondern ein Prinzip: kein blindes Vertrauen aufgrund des Standorts im Netz. Vier Bausteine davon sind auch für kleinere Unternehmen erreichbar.
Rechtschreibfehler als Warnsignal haben ausgedient. Moderne Betrugsmails sind sprachlich einwandfrei – erkennbar bleiben sie an Kontext, Druck und Ziel.
IT-Sicherheit: Wie steht Ihr Unternehmen da?
Eine Einschätzung Ihrer Lage, ohne Verkaufsgespräch. Sie erhalten innerhalb der nächsten zwei Stunden eine Antwort von jemandem, der entscheiden kann.
