News
14.9.2026

Klickraten sind noch keine Resilienz: Warum Sicherheitsprogramme andere Erfolgsmaßstäbe brauchen

Ada Lovelace
Ada fragt, was sich tatsächlich ändert

Seit dem 11. September 2026 gelten die Meldepflichten des CyberResilience Act (CRA). Hersteller, deren Produkte unter die Verordnung fallen, müssen aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden. Die Frühwarnung muss unverzüglich erfolgen, spätestens 24 Stunden nach Bekanntwerden. Die neue ENISA-Plattform bündelt diese Meldungen; eine automatische Übermittlung per API ist zum Start allerdings noch nicht möglich. Für Unternehmen heißt das: Schon vor dem ersten Vorfall sollte feststehen, wer ihn untersucht, wer die Meldung abgibt und wer die Fristen überwacht. Produktsicherheit, Incident Response und Rechtsabteilung sollten diese Abläufe gemeinsam erproben, damit im Ernstfall keine Zeit mit der Suche nach Zuständigen verloren geht.

Die aktuellen Sicherheitsmeldungen zu GitLab und JFrog Artifactory unterstreichen, wie wichtig schnelle Updates sind. Wer einen Einbruch vermutet, sollte darüber hinaus nach Hintertüren suchen,möglicherweise gestohlene Zugangsdaten ersetzen und prüfen, ob weitere Systeme betroffen sind. Ein Patch allein beseitigt die Folgen eines Angriffs nicht. Bei BlueMoon kommt ein anderes Problem hinzu: Angreifer nutzten Browserlücken aus, die im Quellcode bereits behoben, in den verfügbaren Versionen aber noch vorhanden waren. Ein Patch schützt erst, wenn die korrigierte Software auf den Geräten läuft. Zugleich berichtet Anthropic, dass Angreifer mithilfe von KI ihre Schadsoftware wiederholt anpassen, um der Erkennung zu entgehen.Sicherheitswerkzeuge sollten deshalb neben bekannten Dateisignaturen auch verdächtiges Programmverhalten erkennen.

Nicht jeder Ausfall beginnt jedoch mit einem Angriff. Die im Bank Blog vorgestellte BaFin-Auswertung des ersten DORA-Meldejahres zeigt, wie häufig Betriebsfehler und Störungen bei Dienstleistern den Finanzsektor treffen. Auch Tests vor einem Update, erprobte Wiederanlaufpläne und Vorkehrungen für den Ausfall wichtiger Dienstleister gehören deshalb ins Sicherheitsbudget. Red Hat beschreibt am Beispiel von Splunk Observability Cloud und Ansible,wie sich Betriebsdaten nutzen lassen, um Störungen automatisch zu beheben. Solche Eingriffe brauchen klare Grenzen und dürfen nur mit den erforderlichen Berechtigungen erfolgen. Lässt sich ein Problem nicht automatisch lösen, sollte der Ablauf stoppen und der Bereitschaftsdienst übernehmen. Ob sich der Aufwand lohnt, zeigt sich an kürzeren Ausfällen und einem zuverlässigeren Betrieb.

Nach dem Angriff auf das Berliner Landesnetz ist weiterhin nicht vollständig geklärt, welche Daten offengelegt wurden. Die große Datenmenge erschwert die Aufklärung. Bei Brevo konnten Angreifer über Kundenkonten Phishing-Nachrichten versenden, unter anderem an die Newsletter-Abonnenten von Trezor. Für Unternehmen und Behörden ergibt sich daraus eine konkrete Aufgabe: Sie sollten wissen, welche Daten sie speichern, wer darauf zugreifen darf und welche Dienstleister diese Daten verarbeiten. Dazu gehören auch gemeinsam genutzte Dateiablagen, die bei Sicherheitsprüfungen ebenso sorgfältig betrachtet werden sollten wie die Fachanwendungen. Im Ernstfall muss sich rasch klären lassen, wer betroffen ist und wie weiterer Missbrauch verhindert werden kann.

Auch neue Sicherheitsprodukte müssen sich daran messen lassen, was sie im Betrieb tatsächlich leisten. NAGRAVISION und Plume wollen schädliche Verbindungen über die Netze der Zugangsanbieter blockieren. Kiteworks setzt nach der Übernahme von Bonfy.AI darauf, sensible Daten unmittelbar bei ihrer Nutzung und Weitergabe zu schützen. Vor einer Beschaffung sollten Unternehmen prüfen, welche Risiken das jeweilige Angebot abdeckt, wie häufig Fehlalarme auftreten und welchen Aufwand der Betrieb verursacht. Für Sicherheitsschulungen liefert Pistachios neuer Phishing-Bericht einen wichtigen Hinweis: Eine niedrige Klickquote allein genügt nicht. Ebenso zählt, ob Beschäftigte Zugangsdaten preisgeben, verdächtige Nachrichten erkennen und diese rechtzeitig melden. Zusammen sagen diese Kennzahlen mehr darüber aus, wie gut Beschäftigte auf Phishing reagieren.

Rechtlich lohnt ein genauer Blick darauf, was sich tatsächlich ändert. Die in Brandenburg angekündigten zusätzlichen Schutzbefugnisse für KRITIS-Betreiber sind noch kein geltendes Recht. In Großbritannien übernimmt die Information Commission am 30. September 2026 die Aufgaben des Information Commissioner; laufende Verfahren werden dabei fortgeführt. Der neu veröffentlichte Bericht zum EXTIA-Verfahren betrifft dagegen einen alltäglichen Vorgang: das Bearbeiten von Löschanträgen. Weil das Unternehmen Anträge unzureichend bearbeitet und Betroffene nicht ordnungsgemäß informiert hatte, verhängte die französische Datenschutzaufsicht ein Bußgeld. Verantwortung darf deshalb nicht nur im Organigramm stehen. Sie muss sich darin zeigen, dass Anfragen fristgerecht beantwortet, Vorfälle zügig aufgeklärt und notwendige Maßnahmen tatsächlich umgesetzt werden.

Quellen

‍

Weiterlesen
Insight
2.9.2026
Haarscharf am Blackout vorbei: was muss noch passieren?
Reuters Bericht: Besonders kleine Versorger leiden unter knappen Budgets, fehlendem 24/7-Personal und Altanlagen ohne moderne Sicherheitsfunktionen. Als Basiskontrollen nennt der Bericht Asset-Inventarisierung, passive Überwachung, sicheren Fernzugriff, getestete Updates und risikobasierte Schwachstellenbehandlung.
Anlagen hinreichend absichern.
“Wir helfen Ihnen, nur die Komponenten zu wählen, die Ihr spezielles Cyberrisiko tatsächlich senken – auf Basis dessen, was Sie schon haben.”
Christian Breitenstrom
Geschäftsführer UNeedSecurity GmbH
Angriffserkennungskonzept bekommen
Angriffserkennungskonzept bekommen
Navigation
StartseiteKontaktAngriffsererkennungscheckBlogWerkstatt (engl)AGBImpressumDatenschutz
Support / Kontakt
+49 (0) 170 9637 991admin@uneedsecurity.com
Rudower Chaussee 29
12489 Berlin
Germany
Main logo link that leads to home page
© 2020-2026 UNeedSecurity GmbH. Danger! This Website contains AI generated Content, revisited by [Sätzer].