Das Journal des DAVINCI RechenzentrumsSonntag, 11. Oktober 2026196 Beiträge · 14 Ressorts
Ressort · 33 Beiträge
Bedrohungen verstehen, bevor sie teuer werden.
Angriffe treffen längst nicht mehr nur Konzerne. In diesem Ressort ordnen wir Bedrohungslagen, Schutzmaßnahmen und Regulierung so ein, dass Entscheider handeln können – ohne Panik und ohne Fachchinesisch.
Cybersecurity behandelt die Bedrohungslage, mit der sich ein Unternehmen aktiv auseinandersetzen muss: Angriffswege wie Phishing und Ransomware, Schutzmaßnahmen wie Mehrfaktor-Anmeldung und Angriffserkennung, sowie die Regulierung, die Sicherheit inzwischen vorschreibt – NIS2, der Cyber Resilience Act, Meldepflichten nach einem Vorfall. Das Ressort ordnet ein, welche Maßnahme gegen welche Bedrohung tatsächlich wirkt.
Für ein mittelständisches Unternehmen ist das kein Nischenthema mehr. Angriffe richten sich nicht nach Unternehmensgröße, und ein erfolgreicher Ransomware-Vorfall kostet Betriebszeit, die keine Versicherung vollständig ersetzt. Wer versteht, wie ein Angriff typischerweise abläuft und an welcher Stelle er sich unterbrechen lässt, kann Budget dort einsetzen, wo es tatsächlich wirkt, statt Produkte nach Werbeversprechen zu kaufen, die im Ernstfall nicht greifen.
Abgegrenzt wird hier zum Ressort Netzwerk & Systemtechnik, das die Infrastruktur behandelt, auf der Sicherheitsmaßnahmen aufsetzen, und zum Ressort Datenschutz & Compliance, das die rechtlichen Pflichten rund um personenbezogene Daten vertieft. Cybersecurity befasst sich mit der Bedrohung selbst und der Maßnahme dagegen – nicht mit der Netzwerkarchitektur oder der DSGVO im Allgemeinen.
Symbolbild, künstlich erzeugt
Verschlüsselungsangriffe folgen einem erstaunlich gleichförmigen Ablauf. Wer diesen Ablauf kennt, erkennt auch die drei Punkte, an denen sich ein Angriff mit vertretbarem Aufwand stoppen lässt.
Ein Schreiben im Namen der Bank, ein Aufkleber an der Ladesäule, eine Rechnung mit Code zum Bezahlen: Beim Quishing steckt der Phishing-Link in einem QR-Code. Er wird mit dem Telefon geöffnet – dort, wo kein Firmenfilter mitliest und die Adresszeile kaum zu lesen ist.
„Ich habe Ihr Gerät gehackt“, steht da, und als Absender die eigene Firmenadresse. Die Drohung ist in aller Regel leer. Die Absenderzeile ist es nicht: Sie zeigt, dass jeder Mails in Ihrem Namen verschicken kann – an Ihre Kunden ebenso wie an Sie selbst.
Mehrfaktor-Anmeldung ist die wirksamste einzelne Maßnahme gegen gestohlene Passwörter. Angreifer haben darauf reagiert: mit Anfragen in Serie, bis jemand genervt bestätigt, und mit Anmeldeseiten, die Passwort und zweiten Faktor einfach durchreichen. Beides funktioniert – aber nicht gegen jede Form des zweiten Faktors.
Die Mail kommt vom richtigen Lieferanten, aus seinem echten Postfach, mit der richtigen Rechnungsnummer und dem richtigen Betrag. Nur die Bankverbindung ist neu. Rechnungsbetrug aus übernommenen Postfächern braucht keine Schadsoftware und keinen Fehler im Filter – nur eine Buchhaltung ohne Rückruf-Regel.
In den Musterbedingungen der Cyberversicherung steht ein Satz, an dem viele Sicherungskonzepte scheitern: Kein System und keine Befugnisebene darf Original und Kopie gleichermaßen verändern oder vernichten können. Ein NAS im Firmennetz, beschrieben mit dem Administratorkonto der Domäne, erfüllt das nicht.
In jedem Unternehmen klickt irgendwann jemand auf einen Link, den er nicht hätte öffnen sollen. Ob daraus ein Vorfall wird, entscheidet sich in der Minute danach – an der Frage, ob die Person es sofort meldet oder hofft, dass nichts passiert. Die Antwort hängt weniger von Schulungen ab als von der Reaktion der Geschäftsführung auf den ersten gemeldeten Fehler.
Fast jedes Unternehmen hat es: ein Postfach für info@, buchhaltung@ oder bewerbung@, an dem sich mehrere Leute mit demselben Passwort anmelden. Bequem ist das, sicher nicht. Ein geteiltes Passwort lässt sich nicht mit Mehrfaktor-Anmeldung schützen, nicht nachvollziehen und nach einem Weggang nicht zurücknehmen. Dabei gibt es eine bessere Lösung, die nicht einmal eine Lizenz kostet.
Eine neue Regel für den bedingten Zugriff, ein Tippfehler bei der Ländersperre – und plötzlich kann sich niemand mehr als Administrator anmelden. Der Fall ist seltener als ein Phishing-Angriff, aber teurer, wenn er eintritt. Dagegen hilft ein Konto, das im Alltag niemand benutzt: der Notfallzugang. Microsoft empfiehlt zwei davon.
Das Postfach der Geschäftsführung ist für Angreifer das wertvollste im Haus: Von dort aus lassen sich Überweisungen anweisen, Verträge versenden und Mitarbeitende täuschen. Passkeys machen die Anmeldung immun gegen gefälschte Anmeldeseiten. Sie sind heute so weit, dass man mit den Konten beginnen kann, auf die es am meisten ankommt – und das sind nicht die der IT allein.
Das Konto ist gesperrt, das Notebook abgegeben, der Abschied gefeiert – und trotzdem kann der Zugang auf dem privaten Telefon noch eine Weile funktionieren. Der Grund ist technisch und gut dokumentiert. Er ist nur einer von mehreren Punkten, an denen ein Offboarding scheitert, wenn es nicht nach einer Liste läuft.
Die Fernwartung für die Telefonanlage, der Zugang des Softwarehauses für die Warenwirtschaft, das Konto des früheren IT-Betreuers: In vielen Häusern gibt es Zugänge von außen, die seit Jahren offen sind und von denen niemand genau weiß, wer sie benutzt. Sie sind bequem für den Dienstleister – und für jeden, der dessen Zugangsdaten erbeutet.
Zwischen Einstieg und Entdeckung liegen nach Branchenangaben oft 150 bis 250 Tage. Das ist keine Zahl über Technik, sondern über Aufmerksamkeit: Der Angreifer hinterlässt in dieser Zeit Spuren – es sieht nur niemand hin. Was in diesen Monaten passiert und warum die Dauer die eigentliche Kennzahl ist.
Rund um die Uhr kann heißen: Die Technik läuft durch. Es kann heißen: Ein Mensch bewertet nachts. Es kann heißen: Jemand ruft Sie an. Drei Dienste, dreimal „24/7“, drei völlig verschiedene Nächte. Woran Sie erkennen, welche Sie kaufen.
„Reaktion in unter 30 Minuten“ – klingt vergleichbar, ist es nicht. Ob die Uhr beim Alarm oder bei der Bewertung startet, ob am Ende ein Skript oder ein Mensch gehandelt hat, ob der Mittelwert die schlechten Nächte verbirgt: Was hinter den Kennzahlen steckt und welche Fragen sie vergleichbar machen.
Die Abkürzungen der Angriffserkennung sind nicht sechs Produkte, sondern Antworten auf zwei Fragen: Was wird gesehen – und wer sieht hin? Wer die beiden Fragen stellt, braucht keine Glossare mehr.
Ein Maschinenbauer, siebzig Beschäftigte, ein Dateiserver, ein Dienstkonto, das plötzlich mehr will. Was in den dreißig Minuten danach geschieht – in einem Haus mit überwachter Erkennung und in einem ohne. Der Fall ist erfunden. Die Zeiten sind es nicht.
Das Landratsamt Dachau betreut über 400 IT-Dienste, von der Aktenverwaltung bis zum Kassenautomaten – mit Allroundern, nicht mit Sicherheitsspezialisten. Wie der IT-Leiter den Wechsel von signaturbasiertem Schutz zu Managed XDR begründet, wonach er auswählte und welche Rolle der Datenschutz spielte. Nach einem von G DATA veröffentlichten Interview.
Zwischen November und Januar ändert ein Buchhändler nichts an seiner IT. Thalia hat diese Zeit genutzt, um den Rollout einer überwachten Angriffserkennung auf 6.000 Rechner zu planen – und dabei ein Problem gelöst, das jedes Haus mit vielen Standorten kennt: Wie kommen Updates in die Filialen, ohne die Leitungen zu verstopfen? Nach einer von G DATA veröffentlichten Fallstudie.
Ein Analyst, der um drei Uhr einen Produktionsserver isoliert, hat richtig gehandelt – und einen Schaden verursacht. Ob das passiert, entscheidet sich nicht nachts, sondern beim Onboarding: in der Liste, welche Systeme ohne Rückfrage angefasst werden dürfen, welche nur nach Anruf und welche gar nicht. Wie diese Liste entsteht.
Niemand kann jede Meldung abarbeiten, also entscheidet die Bewertung. Wie sich CVE-Kennungen und CVSS-Werte lesen lassen, welche vier Fragen den Ausschlag geben und wann eine Lücke keine Nacht mehr offen bleiben darf.
Wer nach Produktliste einkauft, bezahlt Werkzeuge, die nichts verhindern. Eine Reihenfolge nach Risiko, ein Verteilungsbeispiel mit offengelegten Annahmen und drei Kennzahlen, an denen sich Wirkung ablesen lässt.
Zwei Angebote für denselben Test können sich um den Faktor fünf unterscheiden – meist nicht in der Qualität, sondern im Geltungsbereich. Woran Sie das erkennen, was rechtlich vorher geklärt sein muss und wie ein Bericht zu lesen ist.
Der Wechsel alle 90 Tage gilt heute als schädlich, Länge schlägt Sonderzeichen, und Passkeys verändern die Rechnung noch einmal. Was BSI und NIST empfehlen und wie sich daraus eine Richtlinie auf zwei Seiten machen lässt.
Wer ein Produkt mit digitalen Elementen im EU-Markt hat, muss eine aktiv ausgenutzte Schwachstelle künftig binnen 24 Stunden melden. Die Pflicht trifft auch Maschinenbauer, die sich nie als Softwarehaus verstanden haben.
Das BSI empfiehlt, kritische Systeme bis 2030 auf quantensichere Verfahren umzustellen. Eine solche Migration dauert erfahrungsgemäß fünf bis zehn Jahre – die Rechnung geht also nur auf, wenn man jetzt beginnt.
DSGVO, NIS2, Cyber Resilience Act und KRITIS-Dachgesetz verlangen unterschiedliche Meldungen an unterschiedliche Stellen, teils innerhalb von 24 Stunden. Wie sich die vier Pflichten unterscheiden und wie eine Meldematrix aussieht.
Die EU-Richtlinie NIS2 verpflichtet deutlich mehr Unternehmen zu nachweisbarer IT-Sicherheit als je zuvor. Wer betroffen ist, was gefordert wird – und mit welchen Schritten Sie pragmatisch beginnen.
EDR erkennt Angriffe, die kein Virenscanner sieht – erzeugt dafür aber Meldungen, die jemand lesen und beantworten muss. Was das Gesetz verlangt, was die Technik leistet und welches Personal der Betrieb braucht.
Eine Cyberpolice ersetzt keine Schutzmaßnahme, sie setzt sie voraus. Welche technischen Obliegenheiten Versicherer üblicherweise verlangen, was bei einer Verletzung rechtlich folgt und wie eine Schadenmeldung abläuft.
Keine andere Einzelmaßnahme verhindert so viele erfolgreiche Angriffe wie ein zweiter Faktor. Trotzdem scheitert die Einführung oft an Bequemlichkeit – dabei lässt sich das lösen.
Zero Trust ist kein Produkt, das man kauft, sondern ein Prinzip: kein blindes Vertrauen aufgrund des Standorts im Netz. Vier Bausteine davon sind auch für kleinere Unternehmen erreichbar.
Rechtschreibfehler als Warnsignal haben ausgedient. Moderne Betrugsmails sind sprachlich einwandfrei – erkennbar bleiben sie an Kontext, Druck und Ziel.
IT-Sicherheit: Wie steht Ihr Unternehmen da?
Eine Einschätzung Ihrer Lage, ohne Verkaufsgespräch. Sie erhalten innerhalb der nächsten zwei Stunden eine Antwort von jemandem, der entscheiden kann.
