Bedrohungslage

Wie ist die aktuelle Lage in Deutschland im Büro?

Zeitraum für die ganze Seite

Dieses Jahr: vom 01.01.2026 bis heute. Gilt für Lagekarte, Verlauf und die Listen; die Weltkarte hat feste Zeiträume, das steht jeweils darunter.

Lagekarte

Wo in einem Betrieb die aktuellen Lücken sitzen

Alle 3203 Warnungen, die das BSI in diesem Jahr veröffentlicht oder aktualisiert hat und die sich einem Ort im Haus zuordnen lassen.

Büro-Infrastruktur von oben mit der Zahl aktueller Warnungen je Bereich Serverraum: 1361, Website, Hosting und Cloud: 412, Software-Entwicklung: 391, Büro-Arbeitsplätze: 353, Firewall, VPN und Router: 345, Zentrale KI-Dienste: 192, Mobiles Arbeiten und Fernzugriff: 149 Ihr Betrieb Internet Arbeitsplätze 353 Serverraum 1361 Entwicklung 391 Zentrale KI 192 Firewall · VPN 345 Hosting & Cloud 412 Mobil & Fernzugriff 149

Kreis oder Bereich anklicken für die einzelnen Meldungen. Bild: KI-generiert.

Je größer der Kreis, desto mehr Warnungen roter Rand: mindestens eine kritische

Lagekarte

Zentrale KI-Dienste

×

192 Warnungen 8 kritisch 103 hoch 76 mittel 5 niedrig davon 182 neu hinzugekommen

KI-Dienste laufen oft mit weitreichendem Zugriff auf Dokumente, Postfächer und Schlüssel – wer sie übernimmt, sieht alles, was die KI sieht.

Betroffene Software

Quelle: BSI, Warn- und Informationsdienst (CERT-Bund); CISA, Katalog bekannter ausgenutzter Schwachstellen. Die Links öffnen die Originalmeldung.
Lagekarte

Firewall, VPN und Router

×

345 Warnungen 34 kritisch 138 hoch 156 mittel 17 niedrig davon 317 neu hinzugekommen

Solche Geräte stehen am Übergang zum Internet. Angreifer finden sie per automatischer Suche, ganz ohne Zutun Ihrer Leute.

Nachweislich ausgenutzt (CISA, letzte 90 Tage)

  • ausgenutzt Cisco Secure Firewall ASA Software and Cisco Secure FTD Software

    Präparierte Eingaben bringen die Software dazu, etwas zu tun, das sie nicht soll. Die Einzelheiten stehen in der verlinkten Beschreibung.

  • ausgenutzt Fortinet Multiple Products

    Verzeichnis-Ausbruch: Mit manipulierten Dateipfaden greifen Angreifer auf Dateien außerhalb des erlaubten Bereichs zu, etwa auf Konfiguration oder Zugangsdaten.

  • ausgenutzt Cisco Secure Email Gateway

    Verzeichnis-Ausbruch: Mit manipulierten Dateipfaden greifen Angreifer auf Dateien außerhalb des erlaubten Bereichs zu, etwa auf Konfiguration oder Zugangsdaten.

  • ausgenutzt Ivanti Connect Secure

    Anmeldung umgangen: Angreifer erreichen Funktionen, die nur Berechtigten offenstehen sollten – ganz ohne gültiges Passwort.

  • ausgenutzt Citrix NetScaler

    Speicherfehler: Präparierte Daten – eine Webseite, eine Datei oder ein Netzwerkpaket – bringen das Programm dazu, eingeschleusten Code auszuführen.

und 20 weitere

Betroffene Software

Quelle: BSI, Warn- und Informationsdienst (CERT-Bund); CISA, Katalog bekannter ausgenutzter Schwachstellen. Die Links öffnen die Originalmeldung.
Lagekarte

Mobiles Arbeiten und Fernzugriff

×

149 Warnungen 6 kritisch 69 hoch 69 mittel 5 niedrig davon 120 neu hinzugekommen

Einfallstor ist meist eine Nachricht, ein Link oder ein offener Fernzugang – unterwegs, ohne den Schutz des Büronetzes.

Nachweislich ausgenutzt (CISA, letzte 90 Tage)

  • ausgenutzt Google Pixel

    Anmeldung umgangen: Angreifer erreichen Funktionen, die nur Berechtigten offenstehen sollten – ganz ohne gültiges Passwort.

  • ausgenutzt ConnectWise ScreenConnect

    Rechteausweitung: Wer schon einen Fuß in der Tür hat, etwa über eine Phishing-Mail, macht sich damit zum Administrator.

Betroffene Software

Quelle: BSI, Warn- und Informationsdienst (CERT-Bund); CISA, Katalog bekannter ausgenutzter Schwachstellen. Die Links öffnen die Originalmeldung.
Lagekarte

Website, Hosting und Cloud

×

412 Warnungen 17 kritisch 186 hoch 198 mittel 11 niedrig davon 251 neu hinzugekommen

Die Anwendung ist aus dem Internet erreichbar und wird rund um die Uhr automatisiert abgesucht.

Hierher zähle ich die Software, aus der eine Website oder ein Shop besteht (etwa WordPress, TYPO3, Webserver, PHP), und Cloud-Plattformen, auf denen Sie selbst etwas betreiben. Ein Webserver im Internet kann deshalb Lücken aus zwei Bereichen haben: Die Website-Software steht hier, Linux, Datenbank und Backup darunter stehen unter „Serverraum“.

Nachweislich ausgenutzt (CISA, letzte 90 Tage)

  • ausgenutzt Adobe Commerce and Magento

    Unkontrollierter Upload: Angreifer laden eine Datei mit Schadcode hoch und rufen sie anschließend auf.

  • ausgenutzt WordPress Core

    Code-Einschleusung: Angreifer schicken Daten, die der Server als Programmcode ausführt – danach gehört ihnen der Server.

  • ausgenutzt Adobe Commerce and Magento

    Anmeldung umgangen: Angreifer erreichen Funktionen, die nur Berechtigten offenstehen sollten – ganz ohne gültiges Passwort.

  • ausgenutzt Adobe Commerce and Magento

    Code-Einschleusung: Angreifer schicken Daten, die der Server als Programmcode ausführt – danach gehört ihnen der Server.

Betroffene Software

Quelle: BSI, Warn- und Informationsdienst (CERT-Bund); CISA, Katalog bekannter ausgenutzter Schwachstellen. Die Links öffnen die Originalmeldung.
Lagekarte

Serverraum

×

1361 Warnungen 16 kritisch 518 hoch 762 mittel 65 niedrig davon 790 neu hinzugekommen

Steht ein Server nur im Haus, ist er meist der zweite Schritt: Wer schon im Netz ist, etwa nach einer Phishing-Mail, springt von hier aus weiter zu Daten und Backups. Mail- und Dateiserver wie Exchange, SharePoint Server oder Nextcloud hängen aber oft direkt am Internet und sind dann genauso offen wie eine Website.

Hierher zähle ich Software, die Ihr Betrieb selbst auf Servern betreibt und selbst aktualisieren muss: Betriebssysteme, Datenbanken, Virtualisierung, Backup sowie eigene Mail- und Dateiserver. Ob der Server im Keller steht oder bei einem Hoster gemietet ist, spielt keine Rolle.

Nachweislich ausgenutzt (CISA, letzte 90 Tage)

  • ausgenutzt Broadcom VMware ESX

    Präparierte Eingaben bringen die Software dazu, etwas zu tun, das sie nicht soll. Die Einzelheiten stehen in der verlinkten Beschreibung.

  • ausgenutzt Microsoft SharePoint

    Code-Einschleusung: Angreifer schicken Daten, die der Server als Programmcode ausführt – danach gehört ihnen der Server.

  • ausgenutzt Oracle HTTP Server and Oracle Weblogic Server Proxy Plug-in

    Anmeldung umgangen: Angreifer erreichen Funktionen, die nur Berechtigten offenstehen sollten – ganz ohne gültiges Passwort.

  • ausgenutzt Broadcom VMware vCenter Ransomware bekannt

    Verzeichnis-Ausbruch: Mit manipulierten Dateipfaden greifen Angreifer auf Dateien außerhalb des erlaubten Bereichs zu, etwa auf Konfiguration oder Zugangsdaten.

  • ausgenutzt Microsoft SharePoint

    Präparierte Eingaben bringen die Software dazu, etwas zu tun, das sie nicht soll. Die Einzelheiten stehen in der verlinkten Beschreibung.

Betroffene Software

Quelle: BSI, Warn- und Informationsdienst (CERT-Bund); CISA, Katalog bekannter ausgenutzter Schwachstellen. Die Links öffnen die Originalmeldung.
Lagekarte

Software-Entwicklung

×

391 Warnungen 11 kritisch 136 hoch 210 mittel 34 niedrig davon 247 neu hinzugekommen

Wer hier hineinkommt, kann Schadcode in die eigene Software schleusen und sie so an Kunden ausliefern.

Nachweislich ausgenutzt (CISA, letzte 90 Tage)

  • ausgenutzt Atlassian Multiple Products

    Präparierte Eingaben bringen die Software dazu, etwas zu tun, das sie nicht soll. Die Einzelheiten stehen in der verlinkten Beschreibung.

Betroffene Software

Quelle: BSI, Warn- und Informationsdienst (CERT-Bund); CISA, Katalog bekannter ausgenutzter Schwachstellen. Die Links öffnen die Originalmeldung.
Lagekarte

Büro-Arbeitsplätze

×

353 Warnungen 13 kritisch 223 hoch 108 mittel 9 niedrig davon 251 neu hinzugekommen

Einfallstor ist fast immer ein Mensch: ein Link, ein Anhang oder eine Webseite, die am Arbeitsplatz geöffnet wird.

Nachweislich ausgenutzt (CISA, letzte 90 Tage)

  • ausgenutzt Microsoft Windows

    Befehlseinschleusung: Über eine präparierte Anfrage schmuggeln Angreifer Systembefehle ein, die das Gerät dann selbst ausführt.

  • ausgenutzt Apple Multiple Products

    Speicherfehler: Präparierte Daten – eine Webseite, eine Datei oder ein Netzwerkpaket – bringen das Programm dazu, eingeschleusten Code auszuführen.

  • ausgenutzt Google Chromium V8

    Speicherfehler: Präparierte Daten – eine Webseite, eine Datei oder ein Netzwerkpaket – bringen das Programm dazu, eingeschleusten Code auszuführen.

  • ausgenutzt Microsoft Windows

    Verknüpfungs-Trick: Über eine präparierte Verknüpfung bringt ein Angreifer das System dazu, geschützte Dateien zu verändern.

  • ausgenutzt Microsoft Windows

    Speicherfehler: Präparierte Daten – eine Webseite, eine Datei oder ein Netzwerkpaket – bringen das Programm dazu, eingeschleusten Code auszuführen.

und 3 weitere

Betroffene Software

Quelle: BSI, Warn- und Informationsdienst (CERT-Bund); CISA, Katalog bekannter ausgenutzter Schwachstellen. Die Links öffnen die Originalmeldung.

So ordne ich zu: Jede Warnung landet in genau einem Bereich, je nachdem, welche Software betroffen ist. Gemietete Cloud-Dienste wie Microsoft 365, SharePoint Online oder Google Workspace kommen hier nicht vor. Deren Anbieter müssen dieselben Lücken schließen, spielen die Korrekturen aber selbst ein, das fällt nicht auf Ihren Betrieb zurück. Die Karte zeigt nur, was Sie oder Ihr IT-Dienstleister selbst aktualisieren müssen. Ein Webserver im Internet kann dabei in zwei Bereichen auftauchen: mit der Website-Software unter „Website, Hosting und Cloud“, mit Linux, Datenbank und Backup unter „Serverraum“.

Quelle: BSI, Warn- und Informationsdienst (CERT-Bund). Allgemeine Bibliotheken, die in fast jeder Software stecken (etwa OpenSSL oder glibc), zähle ich keinem Bereich zu. Die Einordnung stammt von mir, nicht vom BSI. Zur Wochenlage im Detail ↓

Zeitraum: dieses Jahr, vom 01.01.2026 bis heute, wie oben gewählt.

Verlauf

Meldungen je Woche und Bereich

Jeder Balken zeigt, wie viele Warnungen das BSI in der Kalenderwoche erstmals veröffentlicht hat, gestapelt nach Schweregrad. Spätere Aktualisierungen zählen in der Woche der Erstmeldung. Balken anfahren zeigt die Zahlen.

1 5 9 13 17 21 25 29 33 37 41 44 gesamt
Serverraum 792
Firewall, VPN und Router 318
Website, Hosting und Cloud 251
Büro-Arbeitsplätze 251
Software-Entwicklung 247
Zentrale KI-Dienste 183
Mobiles Arbeiten und Fernzugriff 120
Alle Bereiche 2162

kritischhochmittelniedrig

Zeitraum: dieses Jahr, vom 01.01.2026 bis heute, wie oben gewählt. Ein Balken je Kalenderwoche.

Weltkarte

Woher Angriffe auf Betriebe in Deutschland kommen, laut den Betrieben

Bitkom Research fragt jedes Jahr Unternehmen in Deutschland, ob sie von Datendiebstahl, Spionage oder Sabotage betroffen waren und woher die Täter kamen. Viele Betriebe nennen mehrere Herkünfte. Ich rechne deshalb alle Angaben auf 100 Prozent um: Die Zahlen zeigen, welchen Anteil eine Herkunft an allen Angaben hat. Es bleibt eine Einschätzung der Betriebe, kein technischer Nachweis.

Weltkarte: Herkunft der Angriffe laut Bitkom-Studie China: 22 %; Russland: 21 %; Osteuropa (ohne EU und Russland): 14 %; USA: 11 %; EU-Länder (ohne Deutschland): 11 %; Deutschland: 5 %; Iran: 4 %; Herkunft unklar: 11 % Fidschi Tansania, Vereinigte Republik Westsahara Kanada Vereinigte Staaten von Amerika Kasachstan Usbekistan Papua-Neuguinea Indonesien Argentinien Chile Kongo Somalia Kenia Sudan Tschad Haiti Dominikanische Republik Russische Föderation Bahamas Falklandinseln Norwegen Grönland Osttimor Südafrika Lesotho Mexiko Uruguay Brasilien Bolivien Peru Kolumbien Panama Costa Rica Nicaragua Honduras El Salvador Guatemala Belize Venezuela Guyana Suriname Frankreich Ecuador Puerto Rico Jamaika Kuba Simbabwe Botswana Namibia Senegal Mali Mauretanien Benin Niger Nigeria Kamerun Togo Ghana Elfenbeinküste Guinea Guinea-Bissau Liberia Sierra Leone Burkina Faso Zentralafrikanische Republik Republik Kongo Gabun Äquatorialguinea Sambia Malawi Mosambik Eswatini Angola Burundi Israel Libanon Madagaskar Staat Palästina Gambia Tunesien Algerien Jordanien Vereinigte Arabische Emirate Katar Kuwait Irak Oman Vanuatu Kambodscha Thailand Laos Myanmar Vietnam Nordkorea Südkorea Mongolei Indien Bangladesch Bhutan Nepal Pakistan Afghanistan Tadschikistan Kirgisistan Turkmenistan Iran Syrien, Arabische Republik Armenien Schweden Belarus Ukraine Polen Österreich Ungarn Moldawien Rumänien Litauen Lettland Estland Deutschland Bulgarien Griechenland Türkei Albanien Kroatien Schweiz Luxemburg Belgien Niederlande Portugal Spanien Irland Neukaledonien Salomonen Neuseeland Australien Sri Lanka China Taiwan Italien Dänemark Vereinigtes Königreich Island Aserbaidschan Georgien Philippinen Malaysia Brunei Darussalam Slowenien Finnland Slowakei Tschechische Republik Eritrea Japan Paraguay Jemen Saudi-Arabien Zypern Marokko Ägypten Libyen Äthiopien Dschibuti Uganda Ruanda Bosnien und Herzegowina Nordmazedonien Serbien Montenegro Trinidad und Tobago Südsudan 22 % aller Herkunftsangaben nennen China 21 % aller Herkunftsangaben nennen Russland 14 % aller Herkunftsangaben nennen Osteuropa (ohne EU und Russland) 11 % aller Herkunftsangaben nennen USA 11 % aller Herkunftsangaben nennen EU-Länder (ohne Deutschland) 4 % aller Herkunftsangaben nennen Iran 11 % aller Angaben: Die Betriebe konnten den Angriff keinem Land zuordnen. China: 22 % aller Herkunftsangaben (in der Studie: 52 % der betroffenen Betriebe) 22 % China Russland: 21 % aller Herkunftsangaben (in der Studie: 49 % der betroffenen Betriebe) 21 % Russland Osteuropa (ohne EU und Russland): 14 % aller Herkunftsangaben (in der Studie: 34 % der betroffenen Betriebe) 14 % Osteuropa USA: 11 % aller Herkunftsangaben (in der Studie: 27 % der betroffenen Betriebe) 11 % USA EU-Länder (ohne Deutschland): 11 % aller Herkunftsangaben (in der Studie: 26 % der betroffenen Betriebe) 11 % EU-Länder Deutschland: 5 % aller Herkunftsangaben (in der Studie: 12 % der betroffenen Betriebe) 5 % Deutschland Iran: 4 % aller Herkunftsangaben (in der Studie: 9 % der betroffenen Betriebe) 4 % Iran Herkunft unklar: 11 % aller Herkunftsangaben (in der Studie: 27 % der betroffenen Betriebe) 11 % Herkunft unklar

Zahl im Kreis: Anteil an allen Herkunftsangaben der betroffenen Betriebe Pfeil: genannte Herkunft; grau aus dem Pazifik: Herkunft unklar

  • China 22 %
  • Russland 21 %
  • Osteuropa (ohne EU und Russland) 14 %
  • USA 11 %
  • EU-Länder (ohne Deutschland) 11 %
  • Deutschland 5 %
  • Iran 4 %
  • Herkunft unklar 11 %

In der Studie ergeben die Herkunftsangaben zusammen 236 Prozent, weil Betriebe mehrere nennen konnten. Hier sind sie auf 100 Prozent umgerechnet; den Studienwert je Herkunft zeigt der Tooltip. Rundungsbedingt ergibt die Summe 99 %.

Wer dahintersteckt

62 Prozent der betroffenen Betriebe nennen organisierte Kriminalität als Täter, 37 Prozent einen ausländischen Nachrichtendienst. Dass ein Angriff aus einem Land kommt, heißt also nicht, dass ein Staat dahintersteht.

Quelle: Bitkom Research, Studie Wirtschaftsschutz 2026, befragt wurden 1.003 Unternehmen ab 10 Beschäftigten, davon 671 betroffen. Frage: „Konnten Sie feststellen, von wo aus bzw. aus welcher Region diese Handlungen vorgenommen wurden?“ Kartengrundlage: Natural Earth. Zur Studie (PDF)

Zeitraum: Diese Karte folgt der Auswahl oben nicht. Sie zeigt die Bitkom-Studie 2026, eine Befragung mit einem Wert für das ganze Jahr.

Die Lage in diesem Jahr

In diesem Jahr hat das BSI 804 Mal vor Software gewarnt, die in Betrieben täglich läuft.

Die amtliche Meldelage, auf Ihre Büroarbeitsplätze zugeschnitten. Ich hole sie zweimal täglich beim Bundesamt für Sicherheit in der Informationstechnik und zeige hier nur, was auf normalen Bürorechnern und in fast jedem Betrieb läuft. Jede Zeile führt zur Originalmeldung des BSI. Die Lagekarte oben zählt alle Bereiche im Haus, deshalb ist die Zahl dort größer.

57

kritisch

442

hoch

273

mittel

657

neu hinzugekommen

Neu hinzugekommen heißt: Das BSI hat diese Warnungen im Zeitraum zum ersten Mal veröffentlicht. Alle übrigen sind Aktualisierungen älterer Warnungen, etwa weil der Hersteller ein Update nachgeliefert hat oder weitere Versionen betroffen sind. Die drei Schweregrade zählen neue und aktualisierte Warnungen zusammen.

Betroffen ist, was bei Ihnen läuft

Quelle: BSI, Warn- und Informationsdienst (CERT-Bund). Stand 30.10.2026, 08:43 Uhr.

Zeitraum: dieses Jahr, vom 01.01.2026 bis heute, wie oben gewählt.

Und das wird bereits angegriffen

Eine Lücke ist das eine. Diese hier werden nachweislich ausgenutzt — die US-Cybersicherheitsbehörde führt darüber einen offenen Katalog, und ihre eigenen Behörden müssen daraufhin binnen Frist handeln.

  • ausgenutzt Cisco Secure Firewall ASA Software and Cisco Secure FTD Software

    So wird sie ausgenutzt: Präparierte Eingaben bringen die Software dazu, etwas zu tun, das sie nicht soll. Die Einzelheiten stehen in der verlinkten Beschreibung. Solche Geräte stehen am Übergang zum Internet. Angreifer finden sie per automatischer Suche, ganz ohne Zutun Ihrer Leute.

  • ausgenutzt Broadcom VMware ESX

    So wird sie ausgenutzt: Präparierte Eingaben bringen die Software dazu, etwas zu tun, das sie nicht soll. Die Einzelheiten stehen in der verlinkten Beschreibung. Steht ein Server nur im Haus, ist er meist der zweite Schritt: Wer schon im Netz ist, etwa nach einer Phishing-Mail, springt von hier aus weiter zu Daten und Backups. Mail- und Dateiserver wie Exchange, SharePoint Server oder Nextcloud hängen aber oft direkt am Internet und sind dann genauso offen wie eine Website.

  • ausgenutzt Adobe Commerce and Magento

    So wird sie ausgenutzt: Unkontrollierter Upload: Angreifer laden eine Datei mit Schadcode hoch und rufen sie anschließend auf. Die Anwendung ist aus dem Internet erreichbar und wird rund um die Uhr automatisiert abgesucht.

  • ausgenutzt Google Brotli

    So wird sie ausgenutzt: Speicherfehler: Präparierte Daten – eine Webseite, eine Datei oder ein Netzwerkpaket – bringen das Programm dazu, eingeschleusten Code auszuführen.

  • ausgenutzt Fortinet Multiple Products

    So wird sie ausgenutzt: Verzeichnis-Ausbruch: Mit manipulierten Dateipfaden greifen Angreifer auf Dateien außerhalb des erlaubten Bereichs zu, etwa auf Konfiguration oder Zugangsdaten. Solche Geräte stehen am Übergang zum Internet. Angreifer finden sie per automatischer Suche, ganz ohne Zutun Ihrer Leute.

  • ausgenutzt Atlassian Multiple Products

    So wird sie ausgenutzt: Präparierte Eingaben bringen die Software dazu, etwas zu tun, das sie nicht soll. Die Einzelheiten stehen in der verlinkten Beschreibung. Wer hier hineinkommt, kann Schadcode in die eigene Software schleusen und sie so an Kunden ausliefern.

Quelle: CISA, Katalog bekannter ausgenutzter Schwachstellen. Die Links führen zur Beschreibung der Lücke in der US-Schwachstellendatenbank (englisch); die Erklärung oben ist meine Einordnung der dort genannten Lückenart.

Zeitraum: dieses Jahr, vom 01.01.2026 bis heute, wie oben gewählt. Gezeigt sind die sechs neuesten Einträge aus diesem Zeitraum.

Diese Liste beantwortet eine Frage nicht: ob Ihr Buchhalter morgen die gefälschte Rechnung freigibt. Updates schließen Lücken in Software. Die Lücke, um die es bei unseren Trainings geht, sitzt zwischen einer glaubwürdigen Bitte und einem Klick — und die schließt kein Patch.

Nach Angriffen

Und was kommt davon wirklich an?

Meldungen sagen, wo Lücken sind. Auf meinem eigenen Server sehe ich, wie oft jemand versucht, sie auszunutzen: Angriffsversuche je Tag und Stunde, was versucht wurde, woher die Rechner kommen und was davon mit der PHP-Lücke PHP2Shell zu tun hat.

Zur Ansicht nach Angriffen →

Der Angreifer braucht Sie nicht mehr zu kennen. Die KI übernimmt das.

Jahrelang war schlechtes Deutsch das verlässlichste Erkennungsmerkmal einer Betrugsmail. Dieses Merkmal ist weg. Was sich sonst noch verschoben hat, und warum Ihre Firewall die entscheidende Frage nicht beantworten kann.

Früher

Angriffe kosteten Zeit

Wer ein Unternehmen gezielt angreifen wollte, musste recherchieren, Texte schreiben, Seiten nachbauen. Das lohnte sich nur bei großen Zielen, kleine Betriebe fielen durchs Raster.

Heute

Angriffe kosten fast nichts

Recherche, Textproduktion und Nachbau laufen automatisiert. Dieselbe Mühe, die früher für ein Ziel nötig war, deckt jetzt tausend Ziele ab und trifft damit auch den Handwerksbetrieb mit zwölf Mitarbeitern.

Die Folge

„Zu klein und unbekannt" schützt nicht mehr

Die Annahme, für Angreifer uninteressant zu sein, war schon immer riskant. Sie ist jetzt schlicht falsch, denn es gibt keine Zielauswahl mehr, die Sie schützt.

Was sich konkret geändert hat

Vier Verschiebungen, die alle in dieselbe Richtung wirken: Angriffe werden glaubwürdiger, persönlicher und häufiger.

01

Die Sprache verrät nichts mehr

Rechtschreibfehler, holprige Grammatik, seltsame Anreden: Das waren die Merkmale, auf die wir alle trainiert wurden. Heute schreibt ein Sprachmodell fehlerfreies Deutsch im Tonfall Ihrer Branche, inklusive korrekter Fachbegriffe und passender Höflichkeitsform.

02

Der Angriff kennt Ihren Kontext

Impressum, LinkedIn, Handelsregister, Pressemitteilungen, Stellenanzeigen: Öffentlich verfügbare Informationen reichen aus, um zu wissen, wer bei Ihnen Rechnungen freigibt, wer gerade neu ist und welches Projekt gerade läuft. Diese Recherche macht heute keine Person mehr.

03

Stimme und Gesicht sind kein Beweis mehr

Wenige Sekunden Audio genügen für eine überzeugende Stimmkopie, und das Material liefert jedes Video auf der Firmenwebsite. Der bekannteste Fall: Ein Konzernmitarbeiter überwies rund 25 Millionen US-Dollar nach einer Videokonferenz, in der alle Teilnehmer außer ihm gefälscht waren.

04

Angriffe laufen in Schritten, nicht als Einzelmail

Erst eine harmlose Kontaktaufnahme, dann ein Rückbezug auf die Antwort, dann die eigentliche Bitte. Solche mehrstufigen Abläufe brauchten früher einen Menschen, der drangeblieben ist. Heute laufen sie automatisiert weiter, auch über Wochen.

Der blinde Fleck

Technik kann nicht entscheiden, ob eine Bitte berechtigt ist.

Spamfilter erkennen Muster: bekannte Absender, verdächtige Anhänge, gemeldete Domains. Eine fehlerfrei formulierte E-Mail von einer neu registrierten, unauffälligen Domain, die auf einen echten Vorgang in Ihrem Haus Bezug nimmt und um eine plausible Handlung bittet, enthält kein einziges technisches Merkmal, an dem ein Filter sie stoppen könnte.

Die Frage „Ist es richtig, dass ich diese Zahlung jetzt freigebe?" beantwortet kein Produkt. Sie wird von einem Menschen beantwortet, unter Zeitdruck und zwischen vierzig anderen Mails.

Deshalb ist Awareness keine Ergänzung zur Technik, sondern die Schicht, die dort anfängt, wo Technik strukturell aufhört.

Was Technik zuverlässig leistet

  • Bekannte Schadsoftware abfangen
  • Gemeldete Absender und Domains blockieren
  • Verdächtige Anhänge isolieren
  • Zugriffe protokollieren und Backups vorhalten

Was sie nicht leisten kann

  • Beurteilen, ob eine Bitte im Kontext plausibel ist
  • Erkennen, dass die vertraute Stimme am Telefon synthetisch ist
  • Verhindern, dass jemand sein Passwort freiwillig eingibt
  • Ersetzen, dass jemand im Zweifel kurz zurückruft
Selbst erleben

Wie viele Schwachstellen sehen Sie in einem Büro?

Bevor man über Schulungen spricht, hilft es, das Problem einmal zu spüren statt es erklärt zu bekommen. In „Operation ORION" gehen Sie durch ein ganz normales Büro und suchen die Stellen, an denen ein Angreifer ansetzt: den Notizzettel am Monitor, das offene Postfach, den USB-Stick vom Messestand. In fünf Minuten wird greifbar, was sich technisch nicht abstellen lässt und warum es sich lohnt, genau dafür zu trainieren. Genau da setzt eine Awareness-Schulung an.

Kostenlos · ca. 5 Minuten · kein Konto nötig

Operation ORION, das Büro-Spiel

Schlüpfen Sie in die Rolle eines Ermittlers und decken Sie die Sicherheitslücken an einem Arbeitsplatz auf. Ein spielerischer Einstieg ohne Vorwissen, ideal auch zum Weitergeben an Kolleginnen und Kollegen.

Spiel starten →
Identität

Das eigentliche Ziel ist selten der Rechner

Wer Zugangsdaten hat, braucht keine Schadsoftware. Ein übernommenes Postfach liest mit, kennt Ihre Vorgänge, antwortet in laufenden Verläufen und beantragt in Ihrem Namen weitere Zugänge. Für Kollegen und Kunden sieht das aus wie Sie, weil es technisch Sie ist.

Deshalb steht der Schutz der eigenen Identität im Mittelpunkt meiner Schulung: Passwörter, Zwei-Faktor-Verfahren, Umgang mit Bestätigungsanfragen, und die Frage, was man tut, wenn es doch passiert ist.

Resilienz

Widerstandskraft ist messbar, oder sie ist eine Behauptung.

„Unsere Leute sind sensibilisiert" ist eine Vermutung. Eine Zahl darüber, wie viele in einer realistischen Situation tatsächlich klicken, ist eine Grundlage.

Der Bedarf der deutschen Wirtschaft, hier belastbar zu werden, ist heute strategisch: Das BSI verfolgt mit der Cybernation Deutschland genau dieses Ziel: Resilienz als Normalzustand statt als Projekt nach dem Vorfall. Für den einzelnen Betrieb heißt das: den eigenen Stand kennen, verbessern, erneut messen.

Eigene Verwundbarkeit messen

Kostenlos, drei simulierte Angriffe, anonymisierte Auswertung.

Pflichten

Und ja, das ist auch Pflicht.

Zwei Gesetze, eine Konsequenz: schulen und nachweisen. Viele Betriebe verbinden Schulungspflichten nur mit NIS2 und halten sich für nicht betroffen. Die DSGVO gilt aber für jeden, der personenbezogene Daten verarbeitet.

NIS2

Bestimmte Sektoren ab bestimmter Größe

Die Richtlinie verpflichtet Leitungsorgane betroffener Einrichtungen, an Schulungen teilzunehmen und allen Mitarbeitern regelmäßig Schulungen anzubieten. Die Geschäftsführung ist ausdrücklich adressiert.

Betrifft in der Regel Unternehmen ab 50 Mitarbeitern oder 10 Mio. € Umsatz in den Sektoren Energie, Verkehr, Gesundheit, Wasser, digitale Infrastruktur, IT-Dienstleister, Post, Abfall, Chemie, Lebensmittel, Maschinenbau.

DSGVO

Praktisch jeder Betrieb

Artikel 32 verlangt „geeignete technische und organisatorische Maßnahmen". Schulung und Sensibilisierung des Personals sind organisatorische Maßnahmen, Artikel 39 nennt sie ausdrücklich.

Wer Kundendaten, Bewerbungen oder Personalakten verarbeitet, ist betroffen. Das ist jeder Betrieb.

Was belegbar sein muss

  • Dass geschult wurde
  • Wer teilgenommen hat
  • Wann es stattfand
  • Dass es wiederholt wird

Was nicht dokumentiert ist, gilt im Zweifel als nicht geschehen. Bei uns entstehen alle vier Nachweise automatisch als Nebenprodukt des Trainings.

Wird geladen …

In einer Stunde eingerichtet, in einer Woche geschult.

Konto kostenlos anlegen, Team eintragen, Kurs freischalten. Bezahlt wird erst beim Start. Lieber erst sehen, wie eine Test-Mail aussieht? Der Selbsttest ist kostenlos.

Team eintragen Erst selbst testen