IT-SICHERHEIT IN DEUTSCHLAND

Die Hacker werden immer aggressiver

Die Lage der IT-Sicherheit in Deutschland ist besorgniserregend. „Die digitale Angriffsfläche nimmt stetig zu, Schwachstellen bieten allzu oft gravierende Eingriffsmöglichkeiten und Angreifer finden immer schneller und geschickter Wege, diese auszunutzen“ heißt es im gerade veröffentlichten Lagebericht 2024 des Bundesamts für Sicherheit in der Informationstechnik (BSI). Die Bedrohungslage unterliege „weiterhin einer rasanten Entwicklung“, die Zahl der Angriffe steige „immens“. Die Folgen sind laut Bericht „gravierend“, die Schäden „beträchtlich“.

Das BSI erfasst 22 derzeit in Deutschland aktive APT-Gruppen. Die Abkürzung steht für „Advanced Persistent Threat“. Gemeint sind bestens ausgebildete und meist staatlich gesteuerte Hacker, die über einen längeren Zeitraum hinweg gezielt ein Netz oder System angreifen. Ihr Ziel: Spionage – oder Sabotage. In ihrem Fokus stehen neben Behörden auch Unternehmen. So macht das BSI die russische Gruppe APT28 verantwortlich für Hackerangriffe auf Unternehmen aus Logistik, Rüstung, Luft- und Raumfahrt sowie auf IT-Dienstleister. In anderen europäischen Ländern waren Betreiber kritischer Infrastruktur, etwa Energieversorger, von APT-Angriffen betroffen.

Mithilfe von NIS-2 die Cybersicherheit steigern

„Die Cybersicherheitslage ist weiterhin angespannt“, sagte Bundesinnenministerin Nancy Faeser (SPD) bei der Vorstellung des BSI-Berichts. „Aber zugleich sehen wir: Die Resilienz gegen Angriffe steigt, und es wird mehr in Cybersicherheit investiert.“ Das gilt vor allem für Unternehmen, die gefordert sind, die NIS-2-Richtlinie umzusetzen. NIS-2 (NIS steht für Network and Information Security) zielt darauf ab, ein hohes und einheitliches Niveau der Cybersicherheit in der gesamten EU zu gewährleisten. Die Richtlinie betrifft deutschlandweit rund 30.000 Institutionen, vor allem Unternehmen. Betroffen von der NIS-2-Richtlinie sind alle Unternehmen mit mehr als 50 Beschäftigten oder einem Jahresumsatz von mehr als 10 Millionen Euro. Auch wenn sie kleiner sind, können Unternehmen – wenn sie als strukturell wichtig gelten – unter die NIS-2-Vorschriften fallen.

Deutschland wird die NIS-2-Richtlinie der Europäischen Union über das BSI-Gesetz in nationales Recht umsetzen, auch wenn der eigentliche Termin im Oktober 2024 nicht zu halten war. Galt die NIS-Richtlinie anfangs nur für die sogenannte kritische Infrastruktur, wird der Adressatenkreis nun deutlich erweitert. Es wird somit Zeit für Unternehmen, die für sie geltenden technischen, operativen und organisatorischen Anforderungen zu prüfen und Haftungsrisiken nach dem neuen Sanktionsregime in den Blick zu nehmen.

Hier erfahren Sie, wie die NIS-2 in Deutschland umgesetzt wird und wie Unternehmen die Vorgaben zur Cybersicherheit erfüllen können. Schon jetzt ist klar: Werden die NIS-2-Vorgaben nicht umgesetzt, drohen hohe Bußgelder.

Opfer wird, wer sich nicht zu schützen weiß

Laut BSI-Bericht zur Lage der IT-Sicherheit in Deutschland entwickelt sich auch die Erpressung mit gestohlenen Daten zu einem Massengeschäft. Neben Konzernen geraten zunehmend kleine und mittlere Unternehmen ins Visier der Hacker. Dabei suchen sich die Cyberkriminellen gern Opfer, die einfach anzugreifen sind. Vor allem veraltete Android-Systeme zeigen sich laut BSI auffällig verwundbar. BSI-Präsidentin Claudia Plattner sagt: „Es ist unabdingbar, dass wir uns, dass Kommunen und Unternehmen sich selbst besser schützen.“

Erst einmal auf freiwilliger Basis. Denn das sogenannte NIS2-Umsetzungsgesetz ist noch nicht endgültig beschlossen. Ob es den Bundestag in nächster Zeit passieren kann, ist nach dem Aus der Ampel-Koalition ausgesprochen fraglich.