[datensicherheit.de, 21.11.2025] Weltweit existieren derzeit rund 371,7 Millionen registrierte Domains (Berechnung von Global Domain Report 2025 und Verisign). Jede einzelne Domain kann Ziel eines Angriffs sein. Für Unternehmen bedeutet das: Die eigene Adresse im Netz ist längst nicht mehr nur ein technischer Eintrag, sondern strategisches Kern-Asset. Wer sie verliert, verliert digitale Handlungsfähigkeit, Vertrauen und oft auch Geschäft.

Zahlreiche bekannte Beispiele

Bekannte Beispiele zeigen, wie schnell es gehen kann. Microsoft verlor schon Ende der 1990er-Jahre durch Social Engineering zeitweise die Kontrolle über die eigene Domain. Google versäumte 2021 die Verlängerung von google.com.ar – ein Privatnutzer registrierte sie kurzerhand. Auch die Open-Source-Plattform perl.com wurde entführt und wochenlang auf fragwürdige Inhalte geleitet.

Solche Fälle sind keine Randnotizen, sondern Warnungen: Wenn selbst Branchenriesen straucheln, sind Mittelständler erst recht gefährdet.

Die wachsende Angriffsfläche

Das Wachstum des Domain-Bestands zeigt die Dimension: Der DNIB-Report weist für Q2/2025 einen Anstieg um 3,3 Millionen Domains im Vergleich zum Vorquartal aus. Parallel steigt die Zahl der Streitfälle. 2024 registrierte die Weltorganisation für geistiges Eigentum (WIPO) 6.168 UDRP-Verfahren aus 133 Ländern – ein neuer Höchstwert. UDRP steht für Uniform Domain-Name Dispute-Resolution Policy, ein von der ICANN entwickeltes Schlichtungsverfahren für Domain-Streitigkeiten. Auch der Domain Dispute Digest 2025 von GigaLaw meldet ein anhaltend hohes Streitvolumen. Unternehmen aller Branchen müssen ihre Rechte verteidigen – der Aufwand wächst stetig.

Domain-Hijacking ist dabei nur eine von mehreren Bedrohungen. Angreifer nutzen Social Engineering, um Mitarbeitende zur Herausgabe von Zugangsdaten zu bewegen. Sie täuschen Registrare mit gefälschten Dokumenten oder nutzen schlicht organisatorische Lücken, wenn Verlängerungen versäumt werden. Auch Reverse Hijacking, also der Missbrauch angeblicher Markenrechte, nimmt zu. Die Konsequenzen reichen von unterbrochener Kommunikation bis hin zu kompletten Reputationsverlusten.

Noch immer wird die Sicherung von Domains oft in der IT verortet – ein gefährlicher Trugschluss. Denn betroffen ist nicht nur die technische Infrastruktur, sondern die gesamte Unternehmensidentität. Kunden unterscheiden nicht, ob eine Website wegen eines Hacks oder wegen eines internen Fehlers offline ist. Sie sehen: Die Marke hat ihre Hausaufgaben nicht gemacht.

Für Vorstände und Geschäftsführung heißt das: Domain-Sicherheit gehört in die Unternehmensstrategie. Sie betrifft Marketing, Kommunikation, Compliance und IT gleichermaßen. Wer das Thema delegiert, riskiert Kontrollverlust über das zentrale Tor zur Marke.

Organisatorische und technische Hausaufgaben

Ein wirksamer Schutz beginnt mit klaren Verantwortlichkeiten:

• Wer verwaltet das Domain-Portfolio?
• Wie darf auf die Haupt-Domain zugreifen?
• Wie sind Zugangsdaten dokumentiert?
• Sind Prozesse für Verlängerungen automatisiert?

Ohne diese Grundlagen greifen auch die besten Sicherheitsmechanismen nicht.

Technisch sind mehrere Ebenen unverzichtbar. Zwei-Faktor-Authentifizierung ist Pflicht, Registrar- und Registry-Locks erschweren unautorisierte Transfers. DNSSEC (Domain Name System Security Extensions) sichert die Authentizität von DNS-Antworten ab. Monitoring-Tools schlagen Alarm, wenn Nameserver geändert oder ähnliche Domains registriert werden. Und: Alte Domains sollten nicht einfach aufgegeben werden. Wer sie löscht, öffnet Angreifern Tür und Tor zu Catch-All-Adressen, über die sensible Kommunikation abgefangen werden kann.

Der Weg zurück zur eigenen Domain ist zeitaufwendig. Verfahren wie die UDRP bei der WIPO dauern Monate und erfordern eindeutige Markenrechte. Nationale Mechanismen wie der Dispute-Eintrag bei der DENIC bieten Schutz, sind aber ebenfalls nur reaktiv. Das zeigt: Prävention ist billiger als Rückeroberung. Laut WIPO dauert ein UDRP-Fall im Schnitt mehrere Monate und verursacht Kosten von mehreren tausend US-Dollar, ganz abgesehen von Reputationsschäden, die kaum bezifferbar sind.

Resilienz als Führungsaufgabe

Das Thema gewinnt auch durch Regulierung an Relevanz. Mit der europäischen NIS-2-Richtlinie werden Unternehmen verpflichtet, digitale Assets konsequent abzusichern. Domains sind Teil davon. Für die Geschäftsführung bedeutet das: Wer hier spart, riskiert nicht nur Imageschäden, sondern künftig auch Bußgelder.

Damit wird klar: Domains sind kein technisches Anhängsel, sondern Teil der Business Continuity. Ein Ausfall bedeutet Stillstand in Vertrieb, Kommunikation und Service. Strategisch geführte Unternehmen behandeln ihre Domain-Portfolios deshalb wie andere kritische Assets – von Produktionsanlagen bis zu Finanzsystemen.

Fazit: Domains sind Chefsache

Domains sind weit mehr als Webadressen. Sie sind die Eintrittspforte zur Marke, Vertrauensanker für Kunden und Grundlage geschäftlicher Kommunikation. Ihr Verlust trifft Unternehmen ins Herz. Wer Domains nicht absichert, handelt fahrlässig – technologisch, organisatorisch und strategisch. Das Fazit ist eindeutig: Domain-Management ist Chefsache. Denn nur wenn Führungskräfte Verantwortung übernehmen, werden die nötigen Ressourcen und Prozesse geschaffen, um Angriffe abzuwehren. In einer digitalen Wirtschaft, die von Vertrauen lebt, sind sichere Domains kein Detail. Sie sind Chefsache.

Über den Autor:

Christian Dallmayer, General Manager united-domains GmbH, Bild: united-domains GmbH

Christian Dallmayer verfügt über mehr als 15 Jahre Erfahrung im Web-, Technologie- und E-Commerce-Bereich, darunter bei der Q&A-Plattform gutefrage.net, dem Softwareunternehmen equinux AG und der Live-Shopping-Plattform 1-2-3.tv. Er hat einen Abschluss als Diplom-Politologe (Univ.) mit Schwerpunkt Politikwissenschaft, Marketing, Methoden der empirischen Sozialforschung an der Otto-Friedrich-Universität Bamberg. Er arbeitet seit 2022 bei der united-domains GmbH und ist als General Manager für die Bereiche B2B und B2C verantwortlich.

Weitere Informationen zuzm Thema:

datensicherheit.de, 13.05.2025
Domain-Hijacking: Wie Unternehmen ihre digitale Identität verlieren können

[datensicherheit.de, 21.11.2025] Eric Herzog, CMO bei Infinidat, rät Käufern von Speichertechnologie für Unternehmen ihre bisherigen Checklisten unbedingt zu aktualisieren – „um sicherzustellen, dass ihre Plattformen den Anforderungen von heute und morgen gerecht werden“. Während die bekannten Säulen – Cyberspeicherresilienz, 100-prozentige Verfügbarkeit, Anwendungsleistung im Alltagsbetrieb, Skalierbarkeit, Kosteneffizienz und einfache Verwaltung – nach wie vor unverzichtbar seien, hätten der Anstieg KI-gesteuerter „Workloads“, hybrider „Multi-Cloud“-Strategien und zunehmende Cyberbedrohungen neue, wichtige Aspekte hinzugefügt, welches jedes Unternehmen berücksichtigen sollte. Herzog hat die nachfolgende Checkliste (ohne Gewähr) hierzu zur Verfügung gestellt, damit die Anwender mit den gegenwärtigen Anforderungen an eine Unternehmensspeicherinfrastruktur vertraut werden, welche den aktuellen und zukünftigen Herausforderungen gewachsen ist.

Foto: Infinidat

Eric Herzog rät Unternehmenskunden zu einer strategischen Partnerschaft mit ihrem Speicheranbieter

1. Aspekt: Kernfunktionen

„Unternehmenskunden wollen Speicherlösungen, die schneller, größer, einfacher, kostengünstiger und äußerst zuverlässig sind.“

Selbst wenn indes ein CIO oder CISO nicht direkt mit Speicherlösungen befasst ist, sollten diese Anforderungen für ihn keine Überraschung sein:

[ ] Dreifach redundante Speicherarchitektur
[ ] 100 Prozent garantierte Verfügbarkeit
[ ] Hohe Leistung / geringe Latenz
[ ] Hohe Kapazität für Skalierbarkeit
[ ] Geringe Investitions- und Betriebskosten
[ ] Einfache Nutzung / einfache Verwaltung
[ ] Garantierte „Service Level Agreements“ (SLAs)

2. Aspekt: Zuverlässigkeit, Performance, Einfachheit und KI

Entscheidungsträger in Unternehmen sollten auf 100-prozentige Verfügbarkeit und eine Kombination aus höchster Leistung und geringster Latenz achten – „rund 35 Mikrosekunden sind realistisch“. Für High-End-Szenarien gebe es nichts Besseres als eine dreifach redundante Speicherarchitektur, welche eine unübertroffene Verfügbarkeit biete. Darüber hinaus müsse eine Speicherlösung für Unternehmen in der Lage sein, im Multi-Petabyte-Bereich zu arbeiten und so konzipiert sein, „dass sie die Investitions- und Betriebskosten deutlich senkt“.

Außerdem bedeuteten High-End-Funktionen keineswegs, dass eine Speicherlösung komplex oder schwer zu bedienen sein müsse. Entscheidungsträger in Unternehmen sollten auf Folgendes achten:

[ ] Unterstützung von „Gen-AI Retrieval-Augmented Generation“ (RAG)
[ ] AI- und ML-basierte autonome Automatisierung
[ ] „AIOps“ (KI zur Optimierung operativer Abläufe)
[ ] „Storage-as-a-Service“ (STaaS)
[ ] Unterstützung für hybride „Multi-Cloud“-Umgebungen
[ ] Effizienzsteigernde Speicherkonsolidierung

3. Aspekt: Cyberausfallsicherheit und Wiederherstellung

Das Aufkommen cyberresilienter Speicher habe eine Reihe neuer Kriterien hervorgebracht, welche für den Schutz der Speicherinfrastruktur von entscheidender Bedeutung seien.

Um Cyberresilienz mit einem „Recovery-First“-Ansatz zu erreichen, müssten Unternehmen die folgenden Kriterien auf ihrer Checkliste haben:

[ ] Unveränderliche Snapshots (ohne „Hintertür“)
[ ] Logisches „Air Gapping“ – lokal, remote oder beides
[ ] Abgeschirmte forensische Umgebung
[ ] Nahezu sofortige Cyberdatenwiederherstellung unabhängig von der Größe des Datensatzes
[ ] Automatisierte Cyberschutzmaßnahmen, welche sich nahtlos in „Security Operations Center“ (SOC) oder Cybersicherheits-Softwareanwendungen integrieren lassen (SIEM oder SOAR)
[ ] In den Primärspeicher integrierte Cybererkennung
[ ] Garantien für Cyberresilienz und Cyberwiederherstellung

4. Aspekt: Integration und „Ökosystem“-Unterstützung

„Eine Speicherplattform arbeitet nicht isoliert. Unternehmen benötigen möglicherweise eine Schnittstelle bzw. einen Treiber, um eine ,Kubernetes’- oder ,Red Hat’-Containerumgebung anzubinden.“

Möglicherweise müssten sie eine Integration mit einem der zahlreichen Backup-Softwarepakete für Unternehmen vornehmen. „Sie müssen genau verstehen, wie das ,Ökosystem’ rund um eine Speicherplattform aussieht.“ Aus diesem Grund gehörten die folgenden Punkte auf die Checkliste:

[ ] Integrationen mit einer Vielzahl von Technologiepartnern
[ ] Container-Integration
[ ] Professionelle Dienstleistungen
[ ] Flexible Nutzungsmodelle

5. Aspekt: Strategische Partnerschaft

Unternehmenskunden sollten eine strategische Partnerschaft mit ihrem Speicheranbieter erwarten. „Sie müssen wissen, worauf sich der Anbieter konzentriert und wie engagiert er ist. Ihnen ist nicht mit einem Speicheranbieter gedient, der ihren Kauf als taktische ,Transaktion’ behandelt, mit der Botschaft ,Viel Glück! Sie sind auf sich allein gestellt!‘ Stattdessen schätzen Unternehmen einen ,White-Glove-Service’ mit einem ,Einmal einrichten und vergessen’-Ansatz:“

Bei allen Fragen, die auftreten könnten, müssen Unternehmen mit einem engagierten Experten sprechen können, „der ihre Implementierung in- und auswendig kennt, anstatt sich durch eine Eskalationskette kämpfen zu müssen“. Darüber hinaus sollten Unternehmen ihren Anbieter bewerten und die folgenden Kriterien überprüfen, welche über eine Plattform oder die Fähigkeiten eines einzelnen Produkts hinausgingen:

[ ] Langfristiges Engagement für Unternehmensspeichertechnologie
[ ] Kontinuierliche Innovation
[ ] „Green IT“ / Nachhaltigkeit
[ ] Geschäftlicher Mehrwert
[ ] Technischer Mehrwert
[ ] Steigende Marktpräsenz

6. Aspekt: Eine gesunde Portion Skepsis

„Der letzte Punkt auf der Checkliste mag für manche selbstverständlich erscheinen, wird jedoch viel zu oft übersehen oder nicht ernst genug genommen:“

[ ] Kein Vertrauen in Versprechungen eines Anbieters, sondern unabhängige Überprüfung verifizierte Kundenbewertungen

Die „Gartner Peer Insights“ seien hierfür ein guter Ausgangspunkt.

Weitere Informationen zum Thema:

INFINIDAT
Die Enterprise-Storage Zukunft ist jetzt / Unternehmensspeicher, Cybersicherheit und Hybrid Cloud sind im Umbruch.

INFINIDAT
Eric Herzog

Gartner Peer Insights
InfiniBox Reviews

datensicherheit.de, 17.07.2025
Letzte Verteidigungslinie im Unternehmen: Cyberstorage-Resilienz und schnelle Wiederherstellung / Aktuelle Infinidat-Studie beschreibt Cyberstrategien, Prioritäten und Kaufverhalten der CISOs, CIOs und IT-Leiter, um die Dateninfrastruktur von Unternehmen mit 10.000 oder mehr Mitarbeitern zu schützen

datensicherheit.de, 02.08.2025
Cyberresilienz als Strategischer Imperativ der Unternehmen / Unternehmen sind nur so sicher wie ihr schwächster Endpunkt: Thomas Lo Coco stellt seinen „4-Punkte-Plan für effektive Endpoint-Security“ vor

datensicherheit.de, 15.07.2025
Erfahrungsbericht WienIT: Reduzierung des Backup-Datenspeichers um 50 Prozent und NIS-2-Konformität / WienIT sorgt im Hintergrund dafür, dass die IT-Infrastruktur der Wiener Stadtwerke-Gruppe nebst wichtiger Back-Office-Prozesse und Services möglichst reibungslos zur Verfügung steht

[datensicherheit.de, 21.11.2025] Die „International Fraud Awareness Week 2025“ offenbart abermals eine bedrohliche Erkenntnis: Während cyberkriminelle Akteure bereits mit Künstlicher Intelligenz (KI) und Diensten wie „Fraud-as-a-Service“ sehr hochprofessionell agieren, wiegen sich noch zu viele deutsche Unternehmen fahrlässig in trügerischer Sicherheit. Frank Heisel, CEO von RISK IDENT, versteht dementsprechend seine aktuelle Stellungnahme auch als dringenden „Weckruf an das C-Level“.

Foto: RISK IDENT

Frank Heisel rät Unternehmen zu einer proaktiven Verteidigungsstrategie, welche auf intelligenten, datengesteuerten Analysen in Echtzeit basiert, um Muster zu erkennen, bevor der Schaden überhaupt erst entsteht

Angriffe fokussieren auf Schnittstelle zwischen Mensch, Identität und digitalem Prozess in Unternehmen

Die globale Aufmerksamkeit für Betrugsprävention erreiche dieser Tage ihren jährlichen Höhepunkt. „Doch während international über die Professionalisierung krimineller Netzwerke diskutiert wird, offenbart sich in Teilen der deutschen Wirtschaft eine signifikante Wahrnehmungslücke“, warnt Heisel.

• Die Bedrohungslage habe sich nämlich fundamental gewandelt – und die Management-Perspektive darauf hinke jedoch oft noch hinterher. Das Problem sei nicht nur der isolierte Einzeltäter. Die Realität seien „Fraud-as-a-Service“-Plattformen im sogenannten Darknet, KI-gestützte Identitätsfälschungen und Deepfake-Anrufe, welche selbst erfahrene Mitarbeiter täuschen könnten.

„Betrug ist zu einer Industrie mit spezialisierter Arbeitsteilung und hoher Skalierbarkeit geworden“, berichtet Heisel. Solche Angriffe zielten nicht primär auf technische Schwachstellen in einer Firewall, sondern auf die Schnittstelle zwischen Mensch, Identität und digitalem Prozess.

Betrugsprävention in Unternehmen muss strategische Management-Aufgabe sein

Gerade im traditionellen deutschen Mittelstand treffe dieser neue Angriffsvektor oft auf ein kulturelles Defizit: „Es herrscht ein tiefes, oft analoges Grundvertrauen – gepaart mit der Überzeugung, die eigenen, über Jahre etablierten Sicherheitsprozesse seien ausreichend.“

• Diese Haltung sei indes brandgefährlich – sie sei angesichts der technologischen Entwicklung eine existenzielle Bedrohung. „Wenn ein KI-generierter Audio-,Deepfake, des Finanzvorstands eine Überweisung autorisiert, greifen traditionelle IT-Sicherheitskonzepte nicht mehr.“

Hierbei zeige sich, dass Betrugsprävention kein reines IT-Thema sei, das an die Revision oder die „Compliance“-Abteilung delegiert werden könne: „Sie ist eine strategische Management-Aufgabe! Es geht um die Resilienz des Kerngeschäfts. Die Auseinandersetzung mit Betrugsmustern muss aus den Fachsilos heraus und auf die C-Level-Agenda.“

„Fraud Awareness Week“ ein dringender Appell an Führungsetagen in Unternehmen

Die „Fraud Awareness Week“ dürfe daher nicht als reines Informationsangebot missverstanden werden – oder noch schlimmer: als einer von vielen (vermeintlich) belanglosen Jahrestagen.

• Heisel betont: „Sie muss als dringender Appell an die Führungsetagen verstanden werden, die eigenen Gewissheiten zu hinterfragen!“ Es bedürfe einer Neubewertung der Risiken, welche nicht bei der Absicherung der Infrastruktur haltmachen dürfe. Notwendig sei eine proaktive Verteidigungsstrategie, „die auf intelligenten, datengesteuerten Analysen in Echtzeit basiert, um Muster zu erkennen, bevor der Schaden überhaupt erst entsteht“.

Abschließend gibt Heisel zu bedenken: „Wer heute noch glaubt, Betrug sei ein kalkulierbares Restrisiko, das man ,im Griff’ habe, wird morgen womöglich feststellen, dass das eigene Unternehmen bereits gekapert wurde – von innen oder von außen…“

Weitere Informationen zum Thema:

RISK IDENT
Das sind wir / Unsere Vision: Eine Welt in der es keinen Online-Betrug mehr gibt!

SECURITY INSIDER
Diese Bedrohungen machen Security-Experten zu schaffen

INTERNATIONAL FRAUD AWARENESS WEEK
November 16-22, 2025 / Join the global effort to minimize the impact of fraud by promoting anti-fraud awareness and education

datensicherheit.de, 06.11.2025
Fast ein Viertel der KMU-Chefetage ignoriert Geschäftsrelevanz der Cybersicherheit / 23 Prozent der IT-Führungskräfte deutscher KMU sprechen ihrem „C-Level“ das Verständnis für die geschäftliche Relevanz ihrer betrieblichen Cybersicherheit ab

datensicherheit.de, 08.09.2019
Cybersecurity ist bei fast 50 Prozent der globalen Unternehmen Chefsache / Führungskräfte sind entscheidend bei der Entwicklung von Cybersecurity-Programmen / Zwei Drittel aller Unternehmen haben Probleme, Security in die IT-Architektur zu integrieren

datensicherheit.de, 15.01.2019
IoT-Sicherheit ist das Thema für die Chefetage / Viele intelligente Geräte höhlen eine Sicherheitsstrategie schnell aus

[datensicherheit.de, 20.11.2025] Am 19. November 2025 hat die EU-Kommission ihren Vorschlag für den „Digitalen Omnibus“ vorgestellt. Dessen Ziel ist demnach unter anderem, Regelungen in unterschiedlichen Digitalgesetzen zu harmonisieren, Bürokratie abzubauen und die Wettbewerbsfähigkeit der europäischen Wirtschaft zu erhöhen. Der Bitkom–Präsident, Dr. Ralf Wintergerst, zweifelt an den Erfolgsaussichten, warnt vor purer Kosmetik und verweist in seiner aktuellen Stellungnahme auf das Bitkom-Positionspapier zum „Digitalen Omnibus“.

Foto: Bitkom

Dr. Ralf Wintergerst: „Digitaler Omnibus“ bislang nicht ausreichend, um Regulierungsdschungel zu lichten!

Der Bitkom warnt vor bloßen „kosmetischen Korrekturen“

Wintergerst moniert: „Dieses ,Digitale Omnibus’-Paket ist nicht ausreichend, um Europas Regulierungsdschungel zu lichten. Die angekündigten Änderungen bringen zwar einige Erleichterungen für die Unternehmen, damit Europa digital wettbewerbsfähig und souverän wird, reicht der jetzige Vorschlag aber nicht aus!“

• Man dürfe es nicht bei vielfach „kosmetischen Korrekturen“ belassen. Die EU brauche viel mehr Mut, Bürokratie und Überregulierung drastisch zu reduzieren und vor allem widersprüchliche Regeln konsequent zu streichen.

So sei beispielsweise eine grundsätzliche Überarbeitung der Datenschutz-Grundverordnung (DSGVO) geboten. Mit den Vorschlägen der EU-Kommission würden zwar eine Reihe von Alltagsproblemen der Unternehmen angegangen, etwa beim KI-Training oder bei Informations- und Meldepflichten. Doch die Reformvorschläge griffen an den entscheidenden Stellen noch zu kurz.

Bitkom-Forderung nach konsequenter Adressierung struktureller Probleme

Grundlegende strukturelle Probleme würden nicht konsequent adressiert, wie etwa der hohe Aufwand bei Auskunftsrechten und Auftragsverarbeitung. Auch beim „AI Act“ bleibe umfangreicher Verbesserungsbedarf.

• Es sei derzeit noch offen, „wie eine sektorgerechte Umsetzung der umfangreichen Vorgaben gelingen kann, also so, dass die Regeln zu den jeweiligen Besonderheiten einzelner Branchen wie Industrie, Gesundheitswesen oder Finanzsektor passen“.

Zudem sei mit Blick auf die Cybersicherheit eine zentrale Anlaufstelle für Sicherheitsvorfälle als „Single Entry Point“ zwar grundsätzlich begrüßenswert, erfordere jedoch eine Harmonisierung der Meldepflichten und -fristen zwischen den einzelnen Gesetzgebungen, um Unternehmen tatsächlich zu entlasten. Wintergersts derzeitiges Fazit: „Diese Beispiele zeigen: Der ,Digitale Omnibus’ fährt zwar in die richtige Richtung, bleibt aber nach kurzer Strecke stehen.“

Weitere Informationen zum Thema:

bitkom
Über uns

bitkom
Dr. Ralf Wintergerst – Präsident Bitkom / Vorsitzender der Geschäftsführung & Group CEO Giesecke+Devrient GmbH

bitkom, 2025
Digital Omnibus – Call for Evidence / Position Paper on the Call for Evidence on the Digital Omnibus

bitkom
Digitaler Omnibus / Spannungsfelder in der europäischen Digitalgesetzgebung und Wege zur Kohärenz

STIFTUNG DATENSCHUTZ, 13.11.2025
Digitaler Omnibus – Schutzstandard darf nicht sinken

NETZPOLITIK.ORG, Daniel Leisegang & Ingo Dachwitz, 07.11.2025
„Digitaler Omnibus“: EU-Kommission will Datenschutzgrundverordnung und KI-Regulierung schleifen

datensicherheit.de, 20.11.2025
Digitaler Omnibus: eco setzt auf mehr Klarheit bei Europas Digitalregeln / Laut dem eco-Vorstandsvorsitzenden,Oliver Süme, braucht Europa ein digitalpolitisches Gesamtbild – klar, konsistent und anwendbar

datensicherheit.de, 10.09.2025
Bitkom-Studie: Überbordende Belastung der Unternehmen durch Datenschutz / Bitkom Research hat im Auftrag eine repräsentative Umfrage durchgeführt – hierfür wurden 603 Unternehmen ab 20 Beschäftigten in Deutschland telefonisch befragt

datensicherheit.de, 14.04.2025
eco kommentiert AI Continent Action Plan der EU-Kommission / Europa sollte die KI-Innovationswende jetzt mutig umsetzen

[datensicherheit.de, 20.11.2025] BeyondTrust hat seine Prognose zu IT-Sicherheitstrends im neuen Jahr 2026 abgegeben. Dieses wird demnach maßgeblich durch neue Risiken im Kontext Künstlicher Intelligenz (KI) und identitätsbasierte Bedrohungen geprägt sein. Neben einer sich ständig verändernden Bedrohungslandschaft müssten IT-Sicherheitsverantwortliche zudem auch auf regulatorische Herausforderungen durch internationale Gesetzesinitiativen vorbereitet sein.

BeyondTrust-Experten warnen vor Flut identitätsbasierter Bedrohungen

Die Cybersicherheits-Landschaft stehe 2026 vor einer entscheidenden Wende – BeyondTrust-Experten prognostizieren eine „Flut identitätsbasierter Bedrohungen, die bisherige Sicherheitsstrategien der Unternehmen zum Schutz digitaler Vermögenswerte grundlegend verändern“. „Agentic AI“, „vergiftete Konten“ und digitale Zölle seien nur einige der künftigen Herausforderungen.

• Die nun vorliegende Prognose stammt von den BeyondTrust-Experten Morey J. Haber (Chief Security Advisor), Christopher Hills (Leitender Sicherheitsstratege) und James Maude (Field Chief Technology Officer).

„Bei der Entwicklung von Cybersicherheitslösungen müssen zukünftige Trends stets antizipiert werden“, unterstreicht Haber und führt hierzu weiter aus: „Mit einem klaren Blick auf relevante Technologien, Bedrohungsakteure und Regularien können wir unsere Kunden besser schützen und die Branche insgesamt bei der Vorbereitung auf technologische Innovationen unterstützen.“ Ein aussagekräftiger Blick in die Zukunft erleichtere eine schnellere Anpassung an IT-Trends und die erkenntnisgestützte Erstellung proaktiver Sicherheitsmaßnahmen.

Bedrohung: „Agentic AI“ laut BeyondTrust fortan in nahezu jede Technologie integriert

Die größten Schwierigkeiten bereiteten autonome, für Routineaufgaben und die Interaktion mit anderen Nutzern eingesetzte KI-Agenten. Diese „Agentic AI“ werde 2026 in nahezu jede Technologie integriert sein und verschiedene Bedrohungsszenarien verursachen. So seien die oft als „Middleware“ fungierenden KI-Systeme anfällig für das „Confused-Deputy-Problem“, bei dem legitime Privilegien von einem Angreifer zu Missbrauchszwecken ausgeweitet würden.

• Eine derart „verwirrte“ KI mit Zugriff auf sensible Daten lasse sich durch einen geschickt formulierten Befehl dazu verleiten, diese Informationen an Unbefugte weiterzugeben.

Eine wachsende Gefahr seien manipulierte Konten, über die Angreifer automatisiert falsche Zahlungsempfänger in Finanzsysteme einschleusten. Durch diese Angriffsmethode – „vergiftete Konten“ – würden Schwächen bei der Identitätsprüfung ausgenutzt und könnten zu erheblichen Finanzverlusten führen. Unternehmen müssten ihre Sicherheitsprotokolle überprüfen und verstärkt ihre Automatisierungsprozesse überwachen, bei denen sich Änderungen an Zahlungsempfängern vornehmen lassen.

BeyondTrust-Fachleute erwarten Steuern bzw. Zölle auf digitale Dienste

Auch auf der rechtlichen Seite rechnen BeyondTrust-Fachleute mit erheblichen Veränderungen im neuen Jahr. Rund um den Globus trieben Regierungen unterschiedliche Steuern oder Zölle auf digitale Dienste voran.

• Eine digitale Zollpolitik ordne solche Streaming-Dienste und Softwareverkäufe neu, welche außerhalb nationalstaatlicher Grenzen angeboten bzw. gehostet werden.

Eine Art Internetsteuer mit Einschränkungen bei der Erhebung, Speicherung, Verarbeitung und Weitergabe digitaler Informationen werde die Datensouveränität neu regeln. Im Ergebnis förderten „digitale Zölle“ regionale Innovationen und veränderten die globalen Datenflüsse.

Weitere Informationen zum Thema:

BeyondTrust
Marktführer für intelligenten Identitäts- und Zugriffsschutz / Wir schützen digitale Identitäten, halten Bedrohungen auf und schaffen dynamische Zugriffsmöglichkeiten in Remote-Work-Umgebungen

TechTarget
Morey J. Haber – Chief Security Advisor, BeyondTrust

linkedin
Christopher Hills

THE ORG
James Maude – Field CTO at BeyondTrust

BeyondTrust
Der BeyondTrust Blog

BeyondTrust, 10.02.2025
BeyondTrusts Cybersicherheitsvorhersagen für 2025 / Sicherheitsexperten von BeyondTrust haben das aktuelle Cybersicherheitsumfeld analysiert und prognostizieren in diesem Blogbeitrag die wichtigsten Trends im Jahr 2025

datensicherheit.de, 08.11.2025
Einsatz von KI-Agenten: Lückenlose Governance für Unternehmen mittlerweile unerlässlich / Unternehmen vertrauen KI-Agenten immer mehr sensible Aufgaben an – von Genehmigungen für Investitionen bis zum Managen von Sicherheitsrisiken

datensicherheit.de, 19.08.2025
Mit Agentischer KI als Schlüsseltechnologie werden neue Sicherheits- und Infrastrukturkonzepte unverzichtbar / Von automatisierten Geschäftsprozessen über smarte Datenanalyse bis hin zu intelligenten „Cloud’“-Diensten halten autonome, miteinander kommunizierende KI-Agenten überall Einzug

datensicherheit.de, 19.08.2025
KI-Agenten breiten sich aus – aber Governance-Lücken gefährden Vertrauen der Verbraucher / Laut Genesys-Studie wünschen sich vier von fünf Verbrauchern eine klare „Governance“ für KI-Interaktionen – indes verfügt weniger als ein Drittel der Unternehmen über umfassende Richtlinien

datensicherheit.de, 24.05.2025
Agenten-KI und die Wechselwirkungen mit der Cybersicherheit / Marco Eggerling stellt eine strategische Betrachtung für Führungskräfte an – Agenten-KI als Wendepunkt der Informationssicherheit

[datensicherheit.de, 19.11.2025] Ein einzelner Ausfall am 18. November 2025 – und Millionen Betroffene: Dieser aktuelle Cloudflare-Zwischenfall hat einmal mehr offengelegt, wie abhängig unser „digitales Ökosystem“ von wenigen zentralen Anbietern ist. Benjamin Schilz, CEO von Wire, erklärt in seiner Stellungnahme hierzu, warum sich Unternehmen jetzt von dieser „Hyperscaler-Monokultur“ lösen sollten:

Foto: wire

Benjamin Schilz rät angesichts des Ausfalls bei Cloudflare, Digitale Souveränität über eigene Kernprozesse zu gewinnen

Für kritische Funktionen sollte sich kein Betrieb allein auf einen einzelnen Anbieter verlassen

„Der Cloudflare-Ausfall zeigt, wie stark das Internet von nur wenigen zentralen Infrastruktur-Anbietern abhängt!“, so Schilz. Wenn ein zentraler Netzdienst wie eben aktuell Cloudflare – vor Millionen von Websites und Apps geschaltet – eine Störung hat, seien Kommunikation, Transaktionen und ganze digitale Dienste innerhalb von Minuten betroffen.

Diese mache abermals Folgendes deutlich: „Für jede Organisation ist es keine tragfähige Strategie mehr, sich für kritische Funktionen allein auf einen einzelnen Anbieter zu verlassen!“

Echte Resilienz heißt, wirkliche architektonische Alternativen zu haben

Da in den vergangenen Wochen nicht nur Cloudflare, sondern auch große Anbieter wie z.B. AWS massive Ausfälle hatten, bedeutet demnach echte Resilienz, wirkliche architektonische Alternativen zu haben und Digitale Souveränität über die eigenen Kernprozesse zu gewinnen.

„Die Frage, die sich Führungskräfte stellen sollten, lautet daher nicht, ob der nächste große Ausfall kommt, sondern wie ihr Unternehmen funktionieren wird, wenn er eintritt“, gibt Schilz abschließend zu bedenken. Sich von dieser „Hyperscaler-Monokultur“ zu lösen, ist für ihn daher „die einzig logische Antwort“.

Weitere Informationen zum Thema:

wire
Über uns / Sicheres Messaging aus dem Herzen Berlins

wire
Wire ernennt Benjamin Schilz als CEO / Neuer CEO wird die internationale Expansion von Wire vorantreiben

Frankfurter Allgemeine, 18.11.2025
X und ChatGPT betroffen: Cloudflare-Störung beeinträchtigt zahlreiche Websites

PC WELT, Laura Pippig, 1811.2025
Weltweiter Internet-Ausfall wegen Cloudflare-Störung / Aktuell sind zahlreiche Webseiten und Online-Dienste wie X, ChatGPT oder Uber wegen einer Cloudflare-Störung nicht erreichbar. Das steckt dahinter.

tagesschau, 18.11.2025
Anbieter für Internet-Infrastruktur Störung bei Cloudflare legt Websites lahm

datensicherheit.de, 27.10.2025
AWS-Probleme: Unternehmen tun sich noch schwer mit Multi-Cloud-Arbitrage / Jamil Ahmed erörtert die Frage, warum bisher nicht mehr Unternehmen die Vorteile der „Multi-Cloud-Arbitrage“ hinsichtlich Verfügbarkeit und Kosten nutzen

datensicherheit.de, 22.10.2025
AWS-Störungen mahnen zur Wahrung der Digitalen Souveränität / Aktuelle Serviceprobleme bei AWS und daraus resultierende weltweite Ausfälle führen uns wieder deutlich vor Augen, wie verletzlich digitale Wertschöpfungsketten derzeit sind

datensicherheit.de, 21.10.2025
Amazon Web Services gestört: ISACA kommentiert AWS-Probleme / Am 20. Oktober 2025 kam es laut Medienberichten zu einer weitreichenden globalen Störung der „Amazon Web Services“ (AWS), welche demnach zahlreiche Online-Dienste und Anwendungen weltweit beeinträchtigt hat

[datensicherheit.de, 18.11.2025] Die SpaceNet AG sieht im heutigen Europäischen Gipfel zur digitalen Souveränität eine zentrale Chance für ein gemeinsames, strategisches Vorgehen in Europa. „Datensouveränität bedeutet weit mehr als verbesserter Datenschutz. Sie ist die Grundlage, unsere europäische Datenhoheit zurückzugewinnen. Europa hat die Möglichkeit, einen strategischen Schritt in Richtung technologische Unabhängigkeit zu machen“ sagt Sebastian von Bomhard, Gründer und Vorstand der SpaceNet AG.

Risiko durch wachsende Abhängigkeit von internationalen IT-Dienstleistern

SpaceNet weist nach eigenem Bekunden schon lange auf die Bedeutung digitaler Souveränität und den damit verbundenen Risiken einer wachsenden Abhängigkeit von internationalen IT-Dienstleistern hin. „Die aktuelle Ausgangslage ist problematisch: Globale Anbieter unterliegen nicht den europäischen Datenschutzvorgaben. Gleichzeitig wollen hiesige Unternehmen von modernen Cloud- und datensicherheit.de, 21.08.2025IT-Infrastrukturen im Arbeitsalltag profitieren“, so von Bomhard. Europa sei in der Pflicht, sichere, unabhängige Strukturen zu schaffen, um die Kontrolle nicht nur über sensible Daten in eigener Hand halten zu können – nach europäischen Standards.

Sebastian von Bomhard, Gründer und Vorstand der SpaceNet AG, Bild: SpaceNet AG

Sebastian von Bomhard überzeugen zwei Ansätze:

• „Zum einen müssen wir europäische Infrastrukturen weiter aufbauen: Cloud-Lösungen, Rechenzentren und Plattformen, die nach europäischen Vorgaben betrieben werden.“
•  „Zum anderen müsse Europa Offenheit und Interoperabilität gewährleisten: Datensouveränität darf nicht in Abschottung münden.“

Bomhard plädiert daher nachdrücklich für openDesk-Konzepte, die den Unternehmen die freie Wahl über Ort und Art der Datenverarbeitung ermöglichen und gleichzeitig von einem europäischen Ökosystem getragen werden.

Das Unternehmen bringt eigene Ansätze in die Debatte ein: Das Unternehmen betreibt mehrere DSGVO-konforme und zertifizierte Hochsicherheitsrechenzentren in Deutschland und betreibt eine sichere Cloudlösung für sich und seine Kunden.

Im Europäischen Gipfel sieht von Bomhard daher großes Potenzial: „Wenn das heutige Zusammentreffen über bloße Ankündigungen hinausgeht und stattdessen auf gemeinsame Standards, Förderanreize und langfristigen Infrastrukturstrategien hinarbeitet, kann Europa echte Datensouveränität erreichen. Dabei muss die öffentliche Hand nicht nur Rahmenbedingungen schaffen, sondern selbst als Vorreiter vorangehen. Durch den konsequenten Einsatz von Open‑Source‑Lösungen, die Bereitstellung von öffentlich zugänglichen Datenplattformen und den Aufbau eigenen, sicheren Cloud‑Ökosystems kann die Politik ein greifbares Beispiel setzen.“

Weitere Informationen zum Thema:

SpaceNet
Unternehmenswebsite

datensicherheit.de, 21.08.2025
IT-Sicherheit „Made in EU“: Deutsche Unternehmen streben digitale Souveränität an

[datensicherheit.de, 18.11.2025] Das IT-Sicherheitsnetzwerk Berlin-Brandenburg, vertreten durch den it’s.BB e.V., lädt zu einem Web-Seminar zum Thema NIS-2 ein. Im Rahmen dieser 45-minütigen Online-Veranstaltung sollen „wertvolle Einblicke in die praktischen Anforderungen der NIS-2-Richtlinie und deren Auswirkungen auf ,Cloud’-Infrastrukturen“ geboten werden.

Abbildung: it’s.BB e.V.

NIS-2 trifft auf die „Cloud“ – was das konkret für Architektur, Betrieb, Organisation und Verantwortlichkeiten bedeutet…

Erörterung praktischer Anforderungen der NIS-2-Richtlinie

„Wir werden Ihnen bewährte Maßnahmen und konkrete Handlungsempfehlungen zur Sicherung von Identitäten, Daten, ,Workloads’ und der Lieferkette vorstellen.“

• Darüber hinaus sollen Teilnehmer praktische Tipps, „Best Practices“ und eine kompakte „Roadmap“ erhalten.

Dieses Web-Seminar wird in Zusammenarbeit mit dem Netzwerkpartner DAB Digitalagentur Berlin GmbH organisiert.

„Cloud-Nutzung und NIS-2: Maßnahmen und Best Practices beim Absichern moderner Infrastrukturen“

Web-Seminar am Donnerstag, dem 20. November 2025, von 10.00 bis 11.00 Uhr
Teilnahme kostenlos, Online-Anmeldung erforderlich.

Agenda (ohne Gewähr)

10.00-10.45 Uhr

• Begrüßung & Zielbild: „Warum ,Cloud + NIS2‘ jetzt handeln heißt“
• „NIS2 kurz & konkret für die Cloud“: Anwendungsbereich, Pflichten, Nachweise
• „Cloud-Architektur & Shared Responsibility“
• „Identitäten & Zugriffe sicher verwalten und steuern“
• „Daten & Workloads absichern“
• „Erkennung von Angriffen, Reaktion & Übungen“
• „Dritte & SaaS: Lieferkette, Verträge, Exit-Strategie“
• „Kompakter Fahrplan & Quick Wins“

– Uwe Stanislawski, Geschäftsführer CASKAN IT-Security GmbH
– Alina Bungarten, it’S.BB e.V.

10.45-11.00 Uhr Fragen / Diskussion / Abschluss

Weitere Informationen zum Thema und Anmeldung:

it’s.BB DAS IT_SICHERHEITSNETZWERK BERLIN-BRANDENBURG
it´s.BB – über uns / IT-Sicherheit für Berlin und Brandenburg

eventbrite, it’s.BB e.V. (IT-Sicherheitsnetzwerk Berlin-Brandenburg)
Cloud-Nutzung und NIS-2 / Online-Event: Nov. 20 von 10vorm. bis 11vorm. MEZ

DIGITAL AGENTUR BERLIN
Wir unterstützen Berliner Unternehmen bei der Digitalisierung / Wir glauben an die Kraft und Wandelbarkeit von Berlin. Die Freiheit und Kultur in Berlin bieten die Chance, Neues auf eigene Weise einzusetzen. Digitalisierung unterstützt Unternehmen, ihr Potenzial zu entfalten.

CASCAN IT-SECURITY
Transparenz und Kontrolle in Ihrer IT-Landschaft: CASKAN IT-Security

datensicherheit.de, 15.11.2025
NIS-2-Herausforderung: Deutscher Mittelstand im Spannungsfeld zwischen Eigenwahrnehmung und Bedrohungslage / Einerseits bewerten Unternehmen ihren eigenen IT-Sicherheits-Reifegrad als „hoch“, sind jedoch einer hohen Zahl schwerwiegender Vorfälle ausgesetzt

datensicherheit.de, 06.07.2025
NIS-2: DAV-Forderung nach Einbindung der Cloud-Anbieter / Mit der NIS-2-Richtlinie soll ein hohes gemeinsames Cybersicherheitsniveau in der Europäischen Union EU geschaffen werden

[datensicherheit.de, 17.11.2025] Chatbots in Sozialen Medien erscheinen praktisch, kann man ihnen doch Fragen zu Beiträgen oder ganz allgemeine Themen stellen, welche sie dann wahrheitsgemäß zu beantworten versuchen. Allerdings birgt diese relativ neue Technologie offensichtlich auch Gefahren: So warnt ESET aktuell vor einer neuen Cybercrime-Masche, bei der Hacker Links zu Phishing-Seiten in Beiträgen verstecken. Das Perfide daran sei, dass sie den Chatbot danach diesen Link posten ließen und ihm somit anscheinend Legitimation verliehen.

Abbildung: „X“

Beispiel für einen typischen „Grokking“-Angriff

„Grokking“: Angreifer platzieren Phishing-Links in scheinbar harmlosen Beiträgen oder Datenfeldern

Cyberkriminelle nutzten Künstliche Intelligenz (KI) zunehmend als Einfallstor und Erfüllungsgehilfen für Betrug und Phishing. ESET warnt vor einer neuen Angriffsmethode, welche aktuell in Sozialen Netzwerken für Aufsehen sorge: Beim sogenannten Grokking bringen Angreifer KI-Chatbots demnach dazu, schädliche Links selbst zu verbreiten – und zwar im Namen vertrauenswürdiger Konten. Ziel sei der Diebstahl sensibler Nutzerdaten.

• „Der verantwortungsbewusste Umgang mit Generativer KI wird immer wichtiger“, betont Michael Klatte, Cybersicherheitsexperte bei ESET. Viele Nutzer vertrauten Chatbots fast blind – „besonders wenn sie auf bekannten Plattformen wie ,X’ auftreten“. Klatte rät: „Nutzer sollten beim Anklicken von Links per se immer wachsam bleiben!“

Beim „Grokking“ handele es sich um eine neuartige Form der Prompt-Injection, also um Manipulationen durch versteckte Befehle. Angreifer platzierten Phishing-Links in scheinbar harmlosen Beiträgen oder Datenfeldern. Werde dann eine KI gebeten, solche Inhalte zu analysieren oder zu kommentieren, lese sie die eingebetteten Befehle aus und gebe die schädlichen Links ganz automatisch als Kommentar weiter.

Phishing mittels Prompt-Injection-Angriffen

Ein Fall auf der Plattform „X“ zeige die Effektivität dieser Methode: Betrüger hätten eine schadhafte URL in einem Videopost versteckt und den offiziellen KI-Bot „Grok“ dazu gebracht, diese im Rahmen einer Antwort zu teilen. Der Link habe wie eine legitime Quelle gewirkt – in Wahrheit jedoch habe er auf eine gefälschte Webseite geführt.

• „Grokking“ beschränke sich aber nicht nur auf „X“ – auch andere Soziale Netzwerke könnten betroffen sein, wenn sie digitale KI-Assistenten bereitstellen. Laut Schätzungen von Gartner waren im vergangenen Jahr, 2024, bereits 32 Prozent aller Unternehmen von Prompt-Injection-Angriffen betroffen.

„Das Gefährliche daran ist: Diese Technik funktioniert auf jeder Plattform, die Sprachmodelle einsetzt, also potenziell überall“, so Klattes Warnung. Er führt aus: „KI-Systeme besitzen kein Bewusstsein für Absichten. Sie verarbeiten nur Text – egal ob er harmlos oder manipulativ ist. Dadurch können sie unbeabsichtigt zu Mittätern werden.“

ESET gibt Sicherheitstipps für Nutzer zum Schutz vor Phishing per Prompt-Injection

Um sich vor Angriffen wie „Grokking“ zu schützen, empfehlen ESET-Experten:

1. Links aus KI-Antworten niemals blind anzuklicken – immer zu prüfen, wohin der Link führt!
2. Skepsis auch bei offiziellen Chatbots walten zu lassen, denn ein verifiziertes Konto garantiere noch keine Sicherheit!
3. Systeme und Sicherheitssoftware stets aktuell zu halten!
4. Zwei-Faktor-Authentifizierung (2FA) zu aktivieren und Passwortmanager zu nutzen!
5. Im Zweifel Originalquellen prüfen, statt sich auf automatisch generierte Inhalte zu verlassen!

Weitere Informationen zum Thema:

eseT
Wir sind ein weltweites Unternehmen für digitale Sicherheit und schützen Millionen von Kunden sowie Hunderttausende von Unternehmen rund um den Globus. / Technologie ermöglicht Fortschritt. ESET macht ihn sicher.

welivesecurity by eseT, Phil Muncaster, 12.11.2025
Grokking: Wenn KI-Chatbots zu Phishing-Helfern werden / Sogenannte Prompt Injection-Angriffe kommen durch die Hintertür

welivesecurity by eseT
Michael Klatte – Security Writer

datensicherheit.de, 11.11.2025
ChatGPT: 7 kritische Sicherheitslücken als Wegbereiter für Datendiebstahl und Hijacking / Untersuchungen von Tenable decken versteckte KI-Schwachstellen auf, welche Datenexfiltration, die Aufhebung von Sicherheitsmaßnahmen und anhaltende Kompromittierungen innerhalb von „ChatGPT“ ermöglichen

datensicherheit.de, 10.11.2025
Effektive Absicherung der KI-Systeme: TÜV Rheinland publiziert Whitepaper / Welche spezifischen Risiken bei der Nutzung von „Large Language Models“ (LLMs) entstehen, erörtert der TÜV Rheinland in seinem aktuellen Whitepaper „Ist Ihr KI-System sicher?“ und gibt Tipps

datensicherheit.de, 29.08.2025
PromptLock: ESET-Warnung vor erster autonomer KI-Ransomware / ESET hat deren technische Details veröffentlicht, um die IT-Sicherheits-Community zu sensibilisieren, und stuft diese Ransomware unter dem Namen „Filecoder.PromptLock.A“ ein

[datensicherheit.de, 15.11.2025] Um nachzuvollziehen, wie insbesondere der deutsche Mittelstand noch kurz vor dem Beschluss des Bundestages vom 13. November 2025 zur Umsetzung der NIS-2-Richtlinie den eigenen Reifegrad in Sachen Informationssicherheit einschätzte und diese Regulierung im Allgemeinen bewertete, hat Proliance nach eigenen Angaben 122 Entscheidungsträger in Unternehmen befragt: Demnach offenbart diese neue Studie von Proliance eine „deutliche Diskrepanz in der Informationssicherheit des deutschen Mittelstands“. Denn während die Unternehmen einerseits ihren eigenen Reifegrad als „hoch“ einschätzten, habe dies andererseits im Kontrast zu einer hohen Zahl schwerwiegender Sicherheitsvorfälle und erheblicher Unsicherheit bezüglich der EU-Regulierung NIS-2 gestanden. Die vorliegende Studie „Lage der Informationssicherheit im deutschen Mittelstand 2025“ zeichnet laut Proliance „ein Bild eines Sektors im Spannungsfeld zwischen der Notwendigkeit für mehr Sicherheit und der Last zusätzlicher Regularien“.

Abbildung: proliance

Proliance-Publikation „Cyberresilienz-Studie 2025: Wo steht der deutsche Mittelstand?“

Deutscher Mittelstand angesichts NIS-2 in einer Zwickmühle aus hohem Selbstanspruch und realen Vorfällen

Die Studie lege eine bemerkenswerte Kluft offen: Mittelständische Unternehmen bewerteten ihren eigenen Reifegrad in der Informationssicherheit mit durchschnittlich 4,1 von fünf Punkten als „sehr positiv“. Gleichzeitig habe jedoch fast jedes dritte Unternehmen (32%) von mindestens einem schwerwiegenden Sicherheitsvorfall in den vergangenen drei Jahren berichtet.

• Diese positive Selbsteinschätzung stehe also im Widerspruch zu den stark zunehmenden wirtschaftlichen Schäden durch Cyberangriffe, welche laut dem Bitkom-Wirtschaftsschutzreport 2025 auf 290 Milliarden Euro angestiegen seien – eine Steigerung um 41 Prozent seit 2023.

Der deutsche Mittelstand befinde sich damit in einer Zwickmühle aus hohem Selbstanspruch und realen Vorfällen. Die Studie zeige, dass trotz erlebter Vorfälle 51 Prozent der Befragten verschärfte Regulierungen positiv sähen und NIS-2 als eine sinnvolle „Leitplanke“ betrachteten.

Einführung der NIS-2-Richtlinie von einer Mehrheit befürwortet

Als größte Sicherheitsrisiken identifizierten die Befragten Malware bzw. Datenerpressung (61%) und den Diebstahl von Zugangsdaten (44%). Dies spiegele sich in den häufigsten Angriffsvektoren wider: Kompromittierte Zugänge seien mit 46 Prozent die Spitzenreiter, gefolgt von Phishing (41%) sowie Malware und Insider-Vorfällen (jeweils 36%). Der „Faktor Mensch“ bleibe somit eine zentrale Schwachstelle in der Abwehr von Cyberangriffen.

• Trotz der potenziellen Belastungen werde die Einführung der NIS-2-Richtlinie von einer Mehrheit befürwortet. Die Umsetzung in der Praxis sei jedoch kurz vor der Einführung von erheblicher Unsicherheit geprägt. Besonders alarmierend sei die Feststellung, dass für rund die Hälfte der Befragten die eigene Betroffenheit unter NIS-2 weiterhin unklar gewesen sei – lediglich 50 Prozent wüssten sicher, ob ihr Unternehmen von der Richtlinie betroffen ist.

Aufklärung sei jetzt das „A und O“. Unternehmen müssten dringend wissen, wo sie im Bereich der Informationssicherheit wirklich stehen. Die Studie unterstreiche, dass eine schnelle Umsetzung der Richtlinie hilfreich dabei sein werde, die Cybersicherheit in Deutschland weitreichend zu verbessern.

Externe Expertise wird zur Regel: Unterstützung bei NIS-2-Umsetzung

Der Mangel an internen Ressourcen und Know-how führe nun dazu, dass externe Unterstützung eine zentrale Rolle einnehme. 70 Prozent der mittelständischen Unternehmen setzten auf externe Partner, um ihre Informationssicherheit zu gewährleisten.

• Der Hauptgrund hierfür sei der Bedarf an spezialisiertem Fachwissen (62%), aber auch fehlende interne Kapazitäten (39%). Da Expertise rar sei, habe sich das Einholen externer Unterstützung zur Regel entwickelt.

Diese sei entscheidend, um auf spezialisiertes Fachwissen zugreifen und Kapazitätslücken überbrücken zu können. Die richtige Unterstützung durch „smarte Lösungen“ und erfahrene Berater sei für den Mittelstand der Schlüssel, um den wachsenden Bedrohungen und regulatorischen Anforderungen wirksam zu begegnen.

Weitere Informationen zum Thema:

proliance
Über uns / Professional Compliance aus München mit Leidenschaft für kleine und mittlere Unternehmen

proliance
Cyberresilienz-Studie 2025: Wo steht der deutsche Mittelstand? / 32 % der Mittelständler hatten schwere Security-Vorfälle. 51 % begrüßen strengere Regeln. Zeit für einfache Checks, klare Leitlinien und pragmatische Unterstützung

proliance
Live Webinar „NIS2 kommt. Jetzt handeln und Compliance rechtzeitig sichern!“ / Online 26.11.2025 11:00

Deutscher Bundestag, 13.11.2025
Inneres / Gesetz zur Informations­sicherheit in der Bundes­verwaltung beschlossen

datensicherheit.de, 15.11.2025
NIS-2-Umsetzung überfällig, uneinheitlich und mit begrenzter Wirkungsmächtigkeit / Der Beschluss des Deutschen Bundestages vom 13. November 2025 zur Umsetzung der EU-NIS-2-Richtlinie wird von vielen Kommentatoren begrüßt – aber kritische Anmerkungen bleiben

datensicherheit.de, 13.11.2025
NIS-2-Umsetzung im Bundestag beschlossen /Ambivalente Einschätzung des Digitalverbands Bitkom zur NIS-2-Umsetzung – Rechtssicherheit für Unternehmen erhofft, Neuregelungen für den Einsatz sogenannter Kritischer Komponenten könnten aber Investitionsentscheidungen negativ beeinflussen

datensicherheit.de, 13.11.2025
NIS-2 in Deutschland: Später Start erfordert nun Vertrauen und Klarheit zu schaffen / Die Umsetzung der NIS-2-Richtlinie steht unmittelbar auf der Agenda – die neuen Vorgaben sollen ohne Übergangsfrist gelten

datensicherheit.de, 18.10.2025
Umsetzung der NIS-2-Richtlinie: Verschleppung der Cybersicherheitsreform kritisiert / Die EU war lange Vorreiter bei Cybersicherheitsgesetzen – doch NIS-2 gilt als Richtlinie und nicht als direkt geltende Verordnung, wodurch ein „Flickenteppich“ nationaler Lösungen droht

datensicherheit.de, 16.10.2025
NIS-2: Genug Vorlauf – eco fordert nun Präzision / Der eco begrüßt sehr wohl die intensive politische Diskussion um die NIS-2-Richtlinie, betont aber, dass es nun an der Zeit ist, Rechtssicherheit zu schaffen

datensicherheit.de, 13.09.2025
Bitkom betont herausragende Bedeutung des KRITIS-Dachgesetzes für Deutschland / Die Umsetzungsfrist für das „KRITIS-Dachgesetz“ ist bereits am 18. Oktober 2024 verstrichen – gegen Deutschland läuft bereits ein „Vertragsverletzungsverfahren“ der EU-Kommission

datensicherheit.de, 01.08.2025
DSGVO und NIS-2 können und sollten Hand in Hand gehen / Wer sich bereits datenschutzkonform gemäß DSGVO aufgestellt hat, dem fällt auch die Cyberresilienz im NIS-2-Kontext leichter

datensicherheit.de, 01.08.2025
NIS-2-Regierungsentwurf: Claudia Plattner würdigt großen Schritt auf dem Weg zur Cybernation / Mit dem am 30. Juli 2025 vorgelegten Regierungsentwurf des Gesetzes zur Umsetzung der NIS-2-Richtlinie soll das deutsche IT-Sicherheitsrecht umfassend modernisiert werden