Bedrohungslage

Wie ist die aktuelle Lage in Deutschland im Büro?

Zeitraum für die ganze Seite

Letzte 30 Tage: vom 01.10.2026 bis heute. Gilt für Lagekarte, Verlauf und die Listen; die Weltkarte hat feste Zeiträume, das steht jeweils darunter.

Lagekarte

Wo in einem Betrieb die aktuellen Lücken sitzen

Alle 877 Warnungen, die das BSI in den letzten 30 Tagen veröffentlicht oder aktualisiert hat und die sich einem Ort im Haus zuordnen lassen.

Büro-Infrastruktur von oben mit der Zahl aktueller Warnungen je Bereich Serverraum: 449, Software-Entwicklung: 137, Website, Hosting und Cloud: 108, Firewall, VPN und Router: 62, Büro-Arbeitsplätze: 48, Zentrale KI-Dienste: 40, Mobiles Arbeiten und Fernzugriff: 33 Ihr Betrieb Internet Arbeitsplätze 48 Serverraum 449 Entwicklung 137 Zentrale KI 40 Firewall · VPN 62 Hosting & Cloud 108 Mobil & Fernzugriff 33

Kreis oder Bereich anklicken für die einzelnen Meldungen. Bild: KI-generiert.

Je größer der Kreis, desto mehr Warnungen roter Rand: mindestens eine kritische

Lagekarte

Zentrale KI-Dienste

×

40 Warnungen 18 hoch 21 mittel 1 niedrig davon 20 neu hinzugekommen

KI-Dienste laufen oft mit weitreichendem Zugriff auf Dokumente, Postfächer und Schlüssel – wer sie übernimmt, sieht alles, was die KI sieht.

Betroffene Software

Quelle: BSI, Warn- und Informationsdienst (CERT-Bund); CISA, Katalog bekannter ausgenutzter Schwachstellen. Die Links öffnen die Originalmeldung.
Lagekarte

Firewall, VPN und Router

×

62 Warnungen 5 kritisch 30 hoch 26 mittel 1 niedrig davon 46 neu hinzugekommen

Solche Geräte stehen am Übergang zum Internet. Angreifer finden sie per automatischer Suche, ganz ohne Zutun Ihrer Leute.

Nachweislich ausgenutzt (CISA, letzte 90 Tage)

  • ausgenutzt Cisco Secure Firewall ASA Software and Cisco Secure FTD Software

    Präparierte Eingaben bringen die Software dazu, etwas zu tun, das sie nicht soll. Die Einzelheiten stehen in der verlinkten Beschreibung.

  • ausgenutzt Fortinet Multiple Products

    Verzeichnis-Ausbruch: Mit manipulierten Dateipfaden greifen Angreifer auf Dateien außerhalb des erlaubten Bereichs zu, etwa auf Konfiguration oder Zugangsdaten.

  • ausgenutzt Cisco Secure Email Gateway

    Verzeichnis-Ausbruch: Mit manipulierten Dateipfaden greifen Angreifer auf Dateien außerhalb des erlaubten Bereichs zu, etwa auf Konfiguration oder Zugangsdaten.

  • ausgenutzt Ivanti Connect Secure

    Anmeldung umgangen: Angreifer erreichen Funktionen, die nur Berechtigten offenstehen sollten – ganz ohne gültiges Passwort.

  • ausgenutzt Citrix NetScaler

    Speicherfehler: Präparierte Daten – eine Webseite, eine Datei oder ein Netzwerkpaket – bringen das Programm dazu, eingeschleusten Code auszuführen.

und 20 weitere

Betroffene Software

Quelle: BSI, Warn- und Informationsdienst (CERT-Bund); CISA, Katalog bekannter ausgenutzter Schwachstellen. Die Links öffnen die Originalmeldung.
Lagekarte

Mobiles Arbeiten und Fernzugriff

×

33 Warnungen 13 hoch 17 mittel 3 niedrig davon 13 neu hinzugekommen

Einfallstor ist meist eine Nachricht, ein Link oder ein offener Fernzugang – unterwegs, ohne den Schutz des Büronetzes.

Nachweislich ausgenutzt (CISA, letzte 90 Tage)

  • ausgenutzt Google Pixel

    Anmeldung umgangen: Angreifer erreichen Funktionen, die nur Berechtigten offenstehen sollten – ganz ohne gültiges Passwort.

  • ausgenutzt ConnectWise ScreenConnect

    Rechteausweitung: Wer schon einen Fuß in der Tür hat, etwa über eine Phishing-Mail, macht sich damit zum Administrator.

Betroffene Software

Quelle: BSI, Warn- und Informationsdienst (CERT-Bund); CISA, Katalog bekannter ausgenutzter Schwachstellen. Die Links öffnen die Originalmeldung.
Lagekarte

Website, Hosting und Cloud

×

108 Warnungen 8 kritisch 57 hoch 42 mittel 1 niedrig davon 28 neu hinzugekommen

Die Anwendung ist aus dem Internet erreichbar und wird rund um die Uhr automatisiert abgesucht.

Hierher zähle ich die Software, aus der eine Website oder ein Shop besteht (etwa WordPress, TYPO3, Webserver, PHP), und Cloud-Plattformen, auf denen Sie selbst etwas betreiben. Ein Webserver im Internet kann deshalb Lücken aus zwei Bereichen haben: Die Website-Software steht hier, Linux, Datenbank und Backup darunter stehen unter „Serverraum“.

Nachweislich ausgenutzt (CISA, letzte 90 Tage)

  • ausgenutzt Adobe Commerce and Magento

    Unkontrollierter Upload: Angreifer laden eine Datei mit Schadcode hoch und rufen sie anschließend auf.

  • ausgenutzt WordPress Core

    Code-Einschleusung: Angreifer schicken Daten, die der Server als Programmcode ausführt – danach gehört ihnen der Server.

  • ausgenutzt Adobe Commerce and Magento

    Anmeldung umgangen: Angreifer erreichen Funktionen, die nur Berechtigten offenstehen sollten – ganz ohne gültiges Passwort.

  • ausgenutzt Adobe Commerce and Magento

    Code-Einschleusung: Angreifer schicken Daten, die der Server als Programmcode ausführt – danach gehört ihnen der Server.

Betroffene Software

Quelle: BSI, Warn- und Informationsdienst (CERT-Bund); CISA, Katalog bekannter ausgenutzter Schwachstellen. Die Links öffnen die Originalmeldung.
Lagekarte

Serverraum

×

449 Warnungen 7 kritisch 208 hoch 226 mittel 8 niedrig davon 119 neu hinzugekommen

Steht ein Server nur im Haus, ist er meist der zweite Schritt: Wer schon im Netz ist, etwa nach einer Phishing-Mail, springt von hier aus weiter zu Daten und Backups. Mail- und Dateiserver wie Exchange, SharePoint Server oder Nextcloud hängen aber oft direkt am Internet und sind dann genauso offen wie eine Website.

Hierher zähle ich Software, die Ihr Betrieb selbst auf Servern betreibt und selbst aktualisieren muss: Betriebssysteme, Datenbanken, Virtualisierung, Backup sowie eigene Mail- und Dateiserver. Ob der Server im Keller steht oder bei einem Hoster gemietet ist, spielt keine Rolle.

Nachweislich ausgenutzt (CISA, letzte 90 Tage)

  • ausgenutzt Broadcom VMware ESX

    Präparierte Eingaben bringen die Software dazu, etwas zu tun, das sie nicht soll. Die Einzelheiten stehen in der verlinkten Beschreibung.

  • ausgenutzt Microsoft SharePoint

    Code-Einschleusung: Angreifer schicken Daten, die der Server als Programmcode ausführt – danach gehört ihnen der Server.

  • ausgenutzt Oracle HTTP Server and Oracle Weblogic Server Proxy Plug-in

    Anmeldung umgangen: Angreifer erreichen Funktionen, die nur Berechtigten offenstehen sollten – ganz ohne gültiges Passwort.

  • ausgenutzt Broadcom VMware vCenter Ransomware bekannt

    Verzeichnis-Ausbruch: Mit manipulierten Dateipfaden greifen Angreifer auf Dateien außerhalb des erlaubten Bereichs zu, etwa auf Konfiguration oder Zugangsdaten.

  • ausgenutzt Microsoft SharePoint

    Präparierte Eingaben bringen die Software dazu, etwas zu tun, das sie nicht soll. Die Einzelheiten stehen in der verlinkten Beschreibung.

Betroffene Software

Quelle: BSI, Warn- und Informationsdienst (CERT-Bund); CISA, Katalog bekannter ausgenutzter Schwachstellen. Die Links öffnen die Originalmeldung.
Lagekarte

Software-Entwicklung

×

137 Warnungen 2 kritisch 47 hoch 83 mittel 5 niedrig davon 31 neu hinzugekommen

Wer hier hineinkommt, kann Schadcode in die eigene Software schleusen und sie so an Kunden ausliefern.

Nachweislich ausgenutzt (CISA, letzte 90 Tage)

  • ausgenutzt Atlassian Multiple Products

    Präparierte Eingaben bringen die Software dazu, etwas zu tun, das sie nicht soll. Die Einzelheiten stehen in der verlinkten Beschreibung.

Betroffene Software

Quelle: BSI, Warn- und Informationsdienst (CERT-Bund); CISA, Katalog bekannter ausgenutzter Schwachstellen. Die Links öffnen die Originalmeldung.
Lagekarte

Büro-Arbeitsplätze

×

48 Warnungen 4 kritisch 29 hoch 13 mittel 2 niedrig davon 26 neu hinzugekommen

Einfallstor ist fast immer ein Mensch: ein Link, ein Anhang oder eine Webseite, die am Arbeitsplatz geöffnet wird.

Nachweislich ausgenutzt (CISA, letzte 90 Tage)

  • ausgenutzt Microsoft Windows

    Befehlseinschleusung: Über eine präparierte Anfrage schmuggeln Angreifer Systembefehle ein, die das Gerät dann selbst ausführt.

  • ausgenutzt Apple Multiple Products

    Speicherfehler: Präparierte Daten – eine Webseite, eine Datei oder ein Netzwerkpaket – bringen das Programm dazu, eingeschleusten Code auszuführen.

  • ausgenutzt Google Chromium V8

    Speicherfehler: Präparierte Daten – eine Webseite, eine Datei oder ein Netzwerkpaket – bringen das Programm dazu, eingeschleusten Code auszuführen.

  • ausgenutzt Microsoft Windows

    Verknüpfungs-Trick: Über eine präparierte Verknüpfung bringt ein Angreifer das System dazu, geschützte Dateien zu verändern.

  • ausgenutzt Microsoft Windows

    Speicherfehler: Präparierte Daten – eine Webseite, eine Datei oder ein Netzwerkpaket – bringen das Programm dazu, eingeschleusten Code auszuführen.

und 3 weitere

Betroffene Software

Quelle: BSI, Warn- und Informationsdienst (CERT-Bund); CISA, Katalog bekannter ausgenutzter Schwachstellen. Die Links öffnen die Originalmeldung.

So ordne ich zu: Jede Warnung landet in genau einem Bereich, je nachdem, welche Software betroffen ist. Gemietete Cloud-Dienste wie Microsoft 365, SharePoint Online oder Google Workspace kommen hier nicht vor. Deren Anbieter müssen dieselben Lücken schließen, spielen die Korrekturen aber selbst ein, das fällt nicht auf Ihren Betrieb zurück. Die Karte zeigt nur, was Sie oder Ihr IT-Dienstleister selbst aktualisieren müssen. Ein Webserver im Internet kann dabei in zwei Bereichen auftauchen: mit der Website-Software unter „Website, Hosting und Cloud“, mit Linux, Datenbank und Backup unter „Serverraum“.

Quelle: BSI, Warn- und Informationsdienst (CERT-Bund). Allgemeine Bibliotheken, die in fast jeder Software stecken (etwa OpenSSL oder glibc), zähle ich keinem Bereich zu. Die Einordnung stammt von mir, nicht vom BSI. Zur Wochenlage im Detail ↓

Zeitraum: letzte 30 Tage, vom 01.10.2026 bis heute, wie oben gewählt.

Verlauf

Meldungen je Tag und Bereich

Jeder Balken zeigt, wie viele Warnungen das BSI am Tag erstmals veröffentlicht hat, gestapelt nach Schweregrad. Spätere Aktualisierungen zählen am Tag der Erstmeldung. Balken anfahren zeigt die Zahlen.

1 6 11 16 21 26 30 gesamt
Serverraum 119
Firewall, VPN und Router 46
Software-Entwicklung 31
Website, Hosting und Cloud 28
Büro-Arbeitsplätze 26
Zentrale KI-Dienste 20
Mobiles Arbeiten und Fernzugriff 13
Alle Bereiche 13 6 9 11 19 20 24 10 13 34 19 12 7 14 17 16 10 11 5 2 11 283

kritischhochmittelniedrig

Zeitraum: letzte 30 Tage, vom 01.10.2026 bis heute, wie oben gewählt. Ein Balken je Tag.

Weltkarte

Staatliche Angreifer, die die CISA benennt

Die US-Cybersicherheitsbehörde CISA ordnet manche ihrer Warnungen staatlichen Angreifern aus einem bestimmten Land zu. Die Karte zeigt, wie oft sie das in den letzten drei Jahren getan hat. Das ist ein Ausschnitt aus Sicht der USA, keine Statistik der Angriffe auf Deutschland: Die meisten Warnungen nennen gar kein Land, darunter alle zu Ransomware-Gruppen (Kasten unter der Karte).

Weltkarte der staatlichen Angreifer laut CISA Russland: 8 CISA-Warnungen, 2 im Zeitraum beim BSI; China: 6 CISA-Warnungen, 2 im Zeitraum beim BSI; Iran: 4 CISA-Warnungen, 0 im Zeitraum beim BSI; Nordkorea: 1 CISA-Warnungen, 4 im Zeitraum beim BSI Fidschi Tansania, Vereinigte Republik Westsahara Kanada Vereinigte Staaten von Amerika Kasachstan Usbekistan Papua-Neuguinea Indonesien Argentinien Chile Kongo Somalia Kenia Sudan Tschad Haiti Dominikanische Republik Russische Föderation Bahamas Falklandinseln Norwegen Grönland Osttimor Südafrika Lesotho Mexiko Uruguay Brasilien Bolivien Peru Kolumbien Panama Costa Rica Nicaragua Honduras El Salvador Guatemala Belize Venezuela Guyana Suriname Frankreich Ecuador Puerto Rico Jamaika Kuba Simbabwe Botswana Namibia Senegal Mali Mauretanien Benin Niger Nigeria Kamerun Togo Ghana Elfenbeinküste Guinea Guinea-Bissau Liberia Sierra Leone Burkina Faso Zentralafrikanische Republik Republik Kongo Gabun Äquatorialguinea Sambia Malawi Mosambik Eswatini Angola Burundi Israel Libanon Madagaskar Staat Palästina Gambia Tunesien Algerien Jordanien Vereinigte Arabische Emirate Katar Kuwait Irak Oman Vanuatu Kambodscha Thailand Laos Myanmar Vietnam Nordkorea Südkorea Mongolei Indien Bangladesch Bhutan Nepal Pakistan Afghanistan Tadschikistan Kirgisistan Turkmenistan Iran Syrien, Arabische Republik Armenien Schweden Belarus Ukraine Polen Österreich Ungarn Moldawien Rumänien Litauen Lettland Estland Deutschland Bulgarien Griechenland Türkei Albanien Kroatien Schweiz Luxemburg Belgien Niederlande Portugal Spanien Irland Neukaledonien Salomonen Neuseeland Australien Sri Lanka China Taiwan Italien Dänemark Vereinigtes Königreich Island Aserbaidschan Georgien Philippinen Malaysia Brunei Darussalam Slowenien Finnland Slowakei Tschechische Republik Eritrea Japan Paraguay Jemen Saudi-Arabien Zypern Marokko Ägypten Libyen Äthiopien Dschibuti Uganda Ruanda Bosnien und Herzegowina Nordmazedonien Serbien Montenegro Trinidad und Tobago Südsudan 2 BSI-Meldungen im Zeitraum betreffen Lücken, die laut CISA auch Akteure aus Russland ausnutzen. Ein Angriff auf Deutschland ist damit nicht belegt. 2 BSI-Meldungen im Zeitraum betreffen Lücken, die laut CISA auch Akteure aus China ausnutzen. Ein Angriff auf Deutschland ist damit nicht belegt. 4 BSI-Meldungen im Zeitraum betreffen Lücken, die laut CISA auch Akteure aus Nordkorea ausnutzen. Ein Angriff auf Deutschland ist damit nicht belegt. Russland: 8 CISA-Warnungen in den letzten drei Jahren 8 Russland China: 6 CISA-Warnungen in den letzten drei Jahren 6 China Iran: 4 CISA-Warnungen in den letzten drei Jahren 4 Iran Nordkorea: 1 CISA-Warnung in den letzten drei Jahren 1 Nordkorea

Zahl im Kreis: CISA-Warnungen der letzten drei Jahre, die Akteure aus dem Land nennen Pfeil: Eine Lücke aus diesen Warnungen steht im Zeitraum auch in einer BSI-Meldung, betrifft also auch hier verbreitete Software

Ohne Länderzuordnung: kriminelle Gruppen und Ransomware

29 der 48 CISA-Warnungen der letzten drei Jahre nennen kein Land, 13 davon betreffen Ransomware-Gruppen. Solche Gruppen arbeiten für Geld, oft über Ländergrenzen hinweg, und lassen sich selten einem Staat zuordnen. Für Betriebe in Deutschland sind sie die häufigere Gefahr: Ransomware ist laut BSI die größte Bedrohung für Unternehmen.

Im Zeitraum enthalten 3 BSI-Meldungen eine dieser Lücken:

Die CISA-Warnungen

Quelle: CISA, Cybersecurity Advisories (Herkunft laut Titel der Warnung); BSI, Warn- und Informationsdienst. Kartengrundlage: Natural Earth. Eine Zuordnung zu einem Land ist eine Aussage der CISA, kein Beleg für einen Angriff auf Deutschland.

Zeitraum: Die Kreise folgen der Auswahl oben nicht: Sie zählen die CISA-Warnungen der letzten drei Jahre, denn staatliche Angreifer benennt die CISA nur wenige Male im Jahr. Die BSI-Meldungen, die beim Anklicken eines Landes erscheinen, folgen dagegen dem Zeitraum oben.

Die Lage der letzten 30 Tage

In den letzten 30 Tagen hat das BSI 132 Mal vor Software gewarnt, die in Betrieben täglich läuft.

Die amtliche Meldelage, auf Ihre Büroarbeitsplätze zugeschnitten. Ich hole sie zweimal täglich beim Bundesamt für Sicherheit in der Informationstechnik und zeige hier nur, was auf normalen Bürorechnern und in fast jedem Betrieb läuft. Jede Zeile führt zur Originalmeldung des BSI. Die Lagekarte oben zählt alle Bereiche im Haus, deshalb ist die Zahl dort größer.

13

kritisch

75

hoch

39

mittel

77

neu hinzugekommen

Neu hinzugekommen heißt: Das BSI hat diese Warnungen im Zeitraum zum ersten Mal veröffentlicht. Alle übrigen sind Aktualisierungen älterer Warnungen, etwa weil der Hersteller ein Update nachgeliefert hat oder weitere Versionen betroffen sind. Die drei Schweregrade zählen neue und aktualisierte Warnungen zusammen.

Betroffen ist, was bei Ihnen läuft

Quelle: BSI, Warn- und Informationsdienst (CERT-Bund). Stand 30.10.2026, 08:43 Uhr.

Zeitraum: letzte 30 Tage, vom 01.10.2026 bis heute, wie oben gewählt.

Und das wird bereits angegriffen

Eine Lücke ist das eine. Diese hier werden nachweislich ausgenutzt — die US-Cybersicherheitsbehörde führt darüber einen offenen Katalog, und ihre eigenen Behörden müssen daraufhin binnen Frist handeln.

  • ausgenutzt Cisco Secure Firewall ASA Software and Cisco Secure FTD Software

    So wird sie ausgenutzt: Präparierte Eingaben bringen die Software dazu, etwas zu tun, das sie nicht soll. Die Einzelheiten stehen in der verlinkten Beschreibung. Solche Geräte stehen am Übergang zum Internet. Angreifer finden sie per automatischer Suche, ganz ohne Zutun Ihrer Leute.

  • ausgenutzt Broadcom VMware ESX

    So wird sie ausgenutzt: Präparierte Eingaben bringen die Software dazu, etwas zu tun, das sie nicht soll. Die Einzelheiten stehen in der verlinkten Beschreibung. Steht ein Server nur im Haus, ist er meist der zweite Schritt: Wer schon im Netz ist, etwa nach einer Phishing-Mail, springt von hier aus weiter zu Daten und Backups. Mail- und Dateiserver wie Exchange, SharePoint Server oder Nextcloud hängen aber oft direkt am Internet und sind dann genauso offen wie eine Website.

  • ausgenutzt Adobe Commerce and Magento

    So wird sie ausgenutzt: Unkontrollierter Upload: Angreifer laden eine Datei mit Schadcode hoch und rufen sie anschließend auf. Die Anwendung ist aus dem Internet erreichbar und wird rund um die Uhr automatisiert abgesucht.

  • ausgenutzt Google Brotli

    So wird sie ausgenutzt: Speicherfehler: Präparierte Daten – eine Webseite, eine Datei oder ein Netzwerkpaket – bringen das Programm dazu, eingeschleusten Code auszuführen.

  • ausgenutzt Fortinet Multiple Products

    So wird sie ausgenutzt: Verzeichnis-Ausbruch: Mit manipulierten Dateipfaden greifen Angreifer auf Dateien außerhalb des erlaubten Bereichs zu, etwa auf Konfiguration oder Zugangsdaten. Solche Geräte stehen am Übergang zum Internet. Angreifer finden sie per automatischer Suche, ganz ohne Zutun Ihrer Leute.

  • ausgenutzt Atlassian Multiple Products

    So wird sie ausgenutzt: Präparierte Eingaben bringen die Software dazu, etwas zu tun, das sie nicht soll. Die Einzelheiten stehen in der verlinkten Beschreibung. Wer hier hineinkommt, kann Schadcode in die eigene Software schleusen und sie so an Kunden ausliefern.

Quelle: CISA, Katalog bekannter ausgenutzter Schwachstellen. Die Links führen zur Beschreibung der Lücke in der US-Schwachstellendatenbank (englisch); die Erklärung oben ist meine Einordnung der dort genannten Lückenart.

Zeitraum: letzte 30 Tage, vom 01.10.2026 bis heute, wie oben gewählt. Gezeigt sind die sechs neuesten Einträge aus diesem Zeitraum.

Diese Liste beantwortet eine Frage nicht: ob Ihr Buchhalter morgen die gefälschte Rechnung freigibt. Updates schließen Lücken in Software. Die Lücke, um die es bei unseren Trainings geht, sitzt zwischen einer glaubwürdigen Bitte und einem Klick — und die schließt kein Patch.

Nach Angriffen

Und was kommt davon wirklich an?

Meldungen sagen, wo Lücken sind. Auf meinem eigenen Server sehe ich, wie oft jemand versucht, sie auszunutzen: Angriffsversuche je Tag und Stunde, was versucht wurde, woher die Rechner kommen und was davon mit der PHP-Lücke PHP2Shell zu tun hat.

Zur Ansicht nach Angriffen →

Der Angreifer braucht Sie nicht mehr zu kennen. Die KI übernimmt das.

Jahrelang war schlechtes Deutsch das verlässlichste Erkennungsmerkmal einer Betrugsmail. Dieses Merkmal ist weg. Was sich sonst noch verschoben hat, und warum Ihre Firewall die entscheidende Frage nicht beantworten kann.

Früher

Angriffe kosteten Zeit

Wer ein Unternehmen gezielt angreifen wollte, musste recherchieren, Texte schreiben, Seiten nachbauen. Das lohnte sich nur bei großen Zielen, kleine Betriebe fielen durchs Raster.

Heute

Angriffe kosten fast nichts

Recherche, Textproduktion und Nachbau laufen automatisiert. Dieselbe Mühe, die früher für ein Ziel nötig war, deckt jetzt tausend Ziele ab und trifft damit auch den Handwerksbetrieb mit zwölf Mitarbeitern.

Die Folge

„Zu klein und unbekannt" schützt nicht mehr

Die Annahme, für Angreifer uninteressant zu sein, war schon immer riskant. Sie ist jetzt schlicht falsch, denn es gibt keine Zielauswahl mehr, die Sie schützt.

Was sich konkret geändert hat

Vier Verschiebungen, die alle in dieselbe Richtung wirken: Angriffe werden glaubwürdiger, persönlicher und häufiger.

01

Die Sprache verrät nichts mehr

Rechtschreibfehler, holprige Grammatik, seltsame Anreden: Das waren die Merkmale, auf die wir alle trainiert wurden. Heute schreibt ein Sprachmodell fehlerfreies Deutsch im Tonfall Ihrer Branche, inklusive korrekter Fachbegriffe und passender Höflichkeitsform.

02

Der Angriff kennt Ihren Kontext

Impressum, LinkedIn, Handelsregister, Pressemitteilungen, Stellenanzeigen: Öffentlich verfügbare Informationen reichen aus, um zu wissen, wer bei Ihnen Rechnungen freigibt, wer gerade neu ist und welches Projekt gerade läuft. Diese Recherche macht heute keine Person mehr.

03

Stimme und Gesicht sind kein Beweis mehr

Wenige Sekunden Audio genügen für eine überzeugende Stimmkopie, und das Material liefert jedes Video auf der Firmenwebsite. Der bekannteste Fall: Ein Konzernmitarbeiter überwies rund 25 Millionen US-Dollar nach einer Videokonferenz, in der alle Teilnehmer außer ihm gefälscht waren.

04

Angriffe laufen in Schritten, nicht als Einzelmail

Erst eine harmlose Kontaktaufnahme, dann ein Rückbezug auf die Antwort, dann die eigentliche Bitte. Solche mehrstufigen Abläufe brauchten früher einen Menschen, der drangeblieben ist. Heute laufen sie automatisiert weiter, auch über Wochen.

Der blinde Fleck

Technik kann nicht entscheiden, ob eine Bitte berechtigt ist.

Spamfilter erkennen Muster: bekannte Absender, verdächtige Anhänge, gemeldete Domains. Eine fehlerfrei formulierte E-Mail von einer neu registrierten, unauffälligen Domain, die auf einen echten Vorgang in Ihrem Haus Bezug nimmt und um eine plausible Handlung bittet, enthält kein einziges technisches Merkmal, an dem ein Filter sie stoppen könnte.

Die Frage „Ist es richtig, dass ich diese Zahlung jetzt freigebe?" beantwortet kein Produkt. Sie wird von einem Menschen beantwortet, unter Zeitdruck und zwischen vierzig anderen Mails.

Deshalb ist Awareness keine Ergänzung zur Technik, sondern die Schicht, die dort anfängt, wo Technik strukturell aufhört.

Was Technik zuverlässig leistet

  • Bekannte Schadsoftware abfangen
  • Gemeldete Absender und Domains blockieren
  • Verdächtige Anhänge isolieren
  • Zugriffe protokollieren und Backups vorhalten

Was sie nicht leisten kann

  • Beurteilen, ob eine Bitte im Kontext plausibel ist
  • Erkennen, dass die vertraute Stimme am Telefon synthetisch ist
  • Verhindern, dass jemand sein Passwort freiwillig eingibt
  • Ersetzen, dass jemand im Zweifel kurz zurückruft
Selbst erleben

Wie viele Schwachstellen sehen Sie in einem Büro?

Bevor man über Schulungen spricht, hilft es, das Problem einmal zu spüren statt es erklärt zu bekommen. In „Operation ORION" gehen Sie durch ein ganz normales Büro und suchen die Stellen, an denen ein Angreifer ansetzt: den Notizzettel am Monitor, das offene Postfach, den USB-Stick vom Messestand. In fünf Minuten wird greifbar, was sich technisch nicht abstellen lässt und warum es sich lohnt, genau dafür zu trainieren. Genau da setzt eine Awareness-Schulung an.

Kostenlos · ca. 5 Minuten · kein Konto nötig

Operation ORION, das Büro-Spiel

Schlüpfen Sie in die Rolle eines Ermittlers und decken Sie die Sicherheitslücken an einem Arbeitsplatz auf. Ein spielerischer Einstieg ohne Vorwissen, ideal auch zum Weitergeben an Kolleginnen und Kollegen.

Spiel starten →
Identität

Das eigentliche Ziel ist selten der Rechner

Wer Zugangsdaten hat, braucht keine Schadsoftware. Ein übernommenes Postfach liest mit, kennt Ihre Vorgänge, antwortet in laufenden Verläufen und beantragt in Ihrem Namen weitere Zugänge. Für Kollegen und Kunden sieht das aus wie Sie, weil es technisch Sie ist.

Deshalb steht der Schutz der eigenen Identität im Mittelpunkt meiner Schulung: Passwörter, Zwei-Faktor-Verfahren, Umgang mit Bestätigungsanfragen, und die Frage, was man tut, wenn es doch passiert ist.

Resilienz

Widerstandskraft ist messbar, oder sie ist eine Behauptung.

„Unsere Leute sind sensibilisiert" ist eine Vermutung. Eine Zahl darüber, wie viele in einer realistischen Situation tatsächlich klicken, ist eine Grundlage.

Der Bedarf der deutschen Wirtschaft, hier belastbar zu werden, ist heute strategisch: Das BSI verfolgt mit der Cybernation Deutschland genau dieses Ziel: Resilienz als Normalzustand statt als Projekt nach dem Vorfall. Für den einzelnen Betrieb heißt das: den eigenen Stand kennen, verbessern, erneut messen.

Eigene Verwundbarkeit messen

Kostenlos, drei simulierte Angriffe, anonymisierte Auswertung.

Pflichten

Und ja, das ist auch Pflicht.

Zwei Gesetze, eine Konsequenz: schulen und nachweisen. Viele Betriebe verbinden Schulungspflichten nur mit NIS2 und halten sich für nicht betroffen. Die DSGVO gilt aber für jeden, der personenbezogene Daten verarbeitet.

NIS2

Bestimmte Sektoren ab bestimmter Größe

Die Richtlinie verpflichtet Leitungsorgane betroffener Einrichtungen, an Schulungen teilzunehmen und allen Mitarbeitern regelmäßig Schulungen anzubieten. Die Geschäftsführung ist ausdrücklich adressiert.

Betrifft in der Regel Unternehmen ab 50 Mitarbeitern oder 10 Mio. € Umsatz in den Sektoren Energie, Verkehr, Gesundheit, Wasser, digitale Infrastruktur, IT-Dienstleister, Post, Abfall, Chemie, Lebensmittel, Maschinenbau.

DSGVO

Praktisch jeder Betrieb

Artikel 32 verlangt „geeignete technische und organisatorische Maßnahmen". Schulung und Sensibilisierung des Personals sind organisatorische Maßnahmen, Artikel 39 nennt sie ausdrücklich.

Wer Kundendaten, Bewerbungen oder Personalakten verarbeitet, ist betroffen. Das ist jeder Betrieb.

Was belegbar sein muss

  • Dass geschult wurde
  • Wer teilgenommen hat
  • Wann es stattfand
  • Dass es wiederholt wird

Was nicht dokumentiert ist, gilt im Zweifel als nicht geschehen. Bei uns entstehen alle vier Nachweise automatisch als Nebenprodukt des Trainings.

Wird geladen …

In einer Stunde eingerichtet, in einer Woche geschult.

Konto kostenlos anlegen, Team eintragen, Kurs freischalten. Bezahlt wird erst beim Start. Lieber erst sehen, wie eine Test-Mail aussieht? Der Selbsttest ist kostenlos.

Team eintragen Erst selbst testen