Schutz vor Cyberangriffen NIS2 und CRA in Zeiten von KI – es wird ernst

Anbieter zum Thema

DSwiss AG

WatchGuard Technologies GmbH

Kontrolle geht leise verloren – „bis ein Incident sie über Nacht zu einem Business-Problem macht“. Das reimt sich und ist wahr. In Zeiten von NIS2, dem CRA und KI-Angriffen ändern sich die Spielregeln für Unternehmen und IT-Dienstleister.

NIS2 und CRA sind keine Option, sondern verpflichtend. In welche Sofortmaßnahmen müssen Unternehmen 2026 investieren, um gut auf die Regulierung vorbereitet zu sein? Alexander Sommer, CEO bei DSwiss, kennt viele Hintergründe und erläutert, dass im Jahr 2026 der Fokus weniger darauf liegen wird, neue Tools zu kaufen, sondern vielmehr darauf, Klarheit und Kontrolle zurückzugewinnen. Sommer führt aus: „Die meisten IT-Landschaften sind organisch gewachsen – Cloud-Services, Übernahmen, ‚temporäre‘ Ausnahmen, Schatten-Admin-Konten – und das Ergebnis ist oft ein System, das im Moment auf Geschwindigkeit optimiert ist, unter Stress aber fragil wird.“

Die ehrliche Bestandsaufnahme

Die erste Investition sollte daher demnach eine „ehrliche Bestandsaufnahme“ sein:

• Was betreiben wir?

• Was ist kritisch?

• Wo liegen die tatsächlichen Risiken?

Was Sie über die EU-Richtlinie wissen müssen

NIS2 ist Gesetz und keine Option

Wie kommt man zum Ziel?

Konkret würde der CEO mit drei Dingen beginnen:

• 1. einer aktuellen Asset- und Datenübersicht, die die Realität widerspiegelt (nicht die letzte Präsentation).

• 2. einer Bereinigung von Identitäten und Berechtigungen, um die am häufigsten ausgenutzten Angriffswege zu reduzieren.

• 3. einer Incident-Readiness, die in der Praxis funktioniert – nutzbares Logging, klare Eskalationswege und Recovery-Übungen. Regulierungen werden zunehmend „gute Dokumentation bei schwacher Umsetzung“ bestrafen. Es gilt hierbei: Nachweise und operative Fähigkeiten zählen.

NIS2-Umsetzung: Haftung und Meldepflicht im Fokus

NIS2 in der Praxis zeigt die 6 typischen Fehler bei der Umsetzung

Was ist Digitale Souveränität?

Digitale Souveränität wird aus der Perspektive von Sommer oft missverstanden als „nur lokale Anbieter nutzen“. Für ihn ist sie pragmatischer: Es gehe letztlich um die Fähigkeit zu entscheiden und sich im Ernstfall zu erholen. In dem Moment, in dem man folgende Fragen nicht mehr sicher beantworten kann, sei man nicht mehr souverän, sondern abhängig:

• Wo sind unsere sensiblen Daten?

• Wer hat Zugriff darauf?

• Wie schnell können wir sie herauslösen oder verlagern?

Compliance-Druck nutzen

Diese Dinge als „Chance 2026“ zu klären, laufe darauf hinaus, den Compliance-Druck als Hebel zur Vereinfachung zu nutzen. Komplexität sei der ultimative Kostentreiber und der einfachste Ort, an dem sich Risiken verstecken. „Wenn Unternehmen diesen Moment nutzen, um Schnittstellen zu standardisieren – beispielsweise SAML/OIDC, SCIM –, Sonderintegrationen zu reduzieren und Systeme so zu entwerfen, dass zentrale Komponenten austauschbar sind, hört Compliance auf, reine Kostenstelle zu sein“, so der Berater. Eine Art „digitale Diät“ könne vor diesem Hintergrund langfristige Betriebskosten senken und strategische Freiheit erhöhen.

Empfehlungen und Meldepflichten

BSI veröffentlicht NIS-2-Infopakete

Der Gamechanger „KI“ in der Cybersecurity

KI ist dieser Tage ein Spezialthema, für das es gute Antworten in Sachen Security braucht. KI macht Angriffe schneller, gezielter und skalierbar. Phishing wird glaubwürdiger und Angriffe automatisierter. Sommer ordnet ein: „Klassische Schutzmaßnahmen allein reichen nicht mehr. Unternehmen müssen Identitäten stärker absichern, Anomalien früher erkennen und Reaktionsfähigkeit trainieren“. Technik sei zwar wichtig, aber entscheidend sei, wie schnell Organisationen reagieren können, wenn etwas passiert.

„Fake-Signale“ werden schwächer

KI schafft zwar keine neue Kategorie von Cyberkriminalität – sie macht bestehende kriminelle Abläufe aber schneller, günstiger und überzeugender. „Die größte Veränderung ist die Skalierung von Social Engineering: Phishing wird gezielter, die Sprache ist fehlerfrei, und Voice-Cloning nimmt viele der ‚das fühlt sich fake an‘-Signale, auf die Menschen sich früher verlassen haben“, so der CEO. KI beschleunigt außerdem Reconnaissance und Ausnutzung, weil Angreifer geleakte Informationen, öffentliche Spuren und Dokumentationen in Maschinengeschwindigkeit verarbeiten können.

Antwort auf das KI-Problem

Aus der Sicht des DSwiss-Chefs ist die beste Antwort darauf, sich auf das zu konzentrieren, was KI am stärksten verstärkt.

• Identität,

• Vertrauen und

• Privilegien.

Wenn Identitäten gehärtet sind, durch phishing-resistente MFA für sensible Rollen, starke Conditional-Access-Regeln und minimale dauerhafte Admin-Rechte, verlieren viele KI-gestützte Angriffe ihren einfachsten Weg zur Wirkung. Ergänzt werde das durch Erkennung, die moderne Angriffe tatsächlich abdeckt – inklusive Token- und Session-Missbrauch – sowie durch ein Reaktionsmodell, das eingeübt ist und nicht improvisiert wird.

Business Judgement Rule

Manager-Haftung bei Cyberangriffen

IT-Dienstleister als „Souveränitäts-Enabler“

IT-Dienstleister haben eine besondere Rolle dieser Tage: Aus der Sicht von Sommer sollten sich diese vom „Verkauf weiterer Tools“ hin zur Lieferung messbarer Ergebnisse mit Verantwortung bewegen: „Digitale Souveränität wird nur real, wenn Kunden sicher betreiben können, dies nachweisen können und sich im Ernstfall schnell erholen. Dafür müssen Anbieter wiederholbare Referenzarchitekturen liefern und Security Operations messbar betreiben.“ In der Praxis sieht das dann folgendermaßen aus:

• Eine klar definierte sichere Basis für typische Kundenumgebungen anzubieten (Identität, Endpoints, Logging, Backup, Segmentierung).

• Datenresidenz, Verschlüsselung beziehungsweise Key-Management und Exportierbarkeit transparent zu machen.

• Lösungsdesign an Risikoreduktion statt an Feature-Anzahl ausrichten.

Verantwortlich für die Resilienz

To-Do-Liste für Systemhäuser im Zeitalter von NIS2 und DORA

Fähigkeiten, auf die es jetzt ankommt

IT-Teams sollten jetzt spezielle Fähigkeiten entwickeln, um auf die neuen Sicherheitsanforderungen vorbereitet zu sein. „Technische Tiefe bleibt essenziell, aber der Unterschiedsfaktor 2026 ist systemisches Urteilsvermögen: Abhängigkeiten verstehen, Fehlermodi antizipieren und Abwägungen treffen, die das Geschäft schützen – nicht nur die Infrastruktur. Identity Engineering wird zur Kernkompetenz, weil Identität heute die zentrale Steuerungsebene ist – über Cloud, SaaS und Remote Work hinweg“, so der Manager.

Sicherheit verankern

Ebenso wichtig ist aus der Perspektive von Sommer die Fähigkeit, Sicherheit in Architektur und Betrieb zu verankern: „Logging, das Reaktionen unterstützt, getestete Resilienz und Governance, die Entscheidungen hervorbringt statt Dokumente.“ Schließlich sei Kommunikation fast so wichtig wie Technologie: „Teams, die Risiken in Business-Auswirkungen übersetzen können, setzen Prioritäten; Teams, die das nicht können, bleiben im Reaktionsmodus.“

Die gefährlichsten KI-getriebenen Angriffsmuster

Doch wie begegnet man nun den neuen Bedrohungen durch KI-gestützte Cyberangriffe? Laut Sommer sei es der größte Fehler, jede neue KI-Taktik einzeln bekämpfen zu wollen. Die effektivste Strategie ist, die Angriffskette dort zu unterbrechen, wo KI Kriminellen den größten Hebel gibt: bei Identitäten, privilegierten Aktionen und vertrauensbasierten Prozessen. Die aktuell gefährlichsten KI-getriebenen Muster, die der DSwiss-CEO sieht, sind:

• Deepfake-gestützter Betrug: Sprachnachrichten oder „CEO-typischer“ Zeitdruck, um Zahlungen oder Credential-Änderungen auszulösen,

• KI-generiertes Spear-Phishing kombiniert mit MFA-Fatigue, und

• Token- oder Session-Diebstahl sowie

• OAuth-Consent-Missbrauch, die klassische Malware-Signale umgehen.

Gegenmaßnahmen

Die Gegenmaßnahmen sind nicht exotisch, sagt Sommer:

• Phishing-resistente MFA für privilegierte und hochkritische Rollen durchsetzen,

• Conditional Access und Privileged Access verschärfen,

• App-Consents kontrollieren und

• Finanz-/HR-Prozesse mit strikter Verifikation und Vier-Augen-Prinzip härten.

Es gilt: Wenn Angreifer keinen einfachen Zugriff bekommen oder keine hochwirksamen Aktionen über „sozialen Druck“ auslösen können, verlieren KI-basierte Angriffe einen Großteil ihres Vorteils.

Transparenz als Sicherheitsfaktor

NIS2 & IT-Doku bringen Sicherheit durch Klarheit

Eine Frage der Governance

Auch Änderungen in der Governance sind notwendig, um die neuen Sicherheitsstandards erfolgreich umzusetzen. „Security Governance muss sich von ‚Policy-Verantwortung‘ hin zu Entscheidungsverantwortung bewegen“, erklärt Sommer. NIS2-ähnliche Anforderungen würden demnach klar machen, dass Verantwortlichkeit und Geschwindigkeit zählen:

• Wer entscheidet?

• Wer trägt Verantwortung?

• Wer kommuniziert?

• Wer greift ein?

Diese Fragen stellen sich auf Vorstandsebene sowie im operativen Betrieb. Ein konkretes Beispiel sei die Incident-Reporting-Bereitschaft. Man könne keinen Meldeprozess während einer Krise entwerfen. Es braucht daher laut Sommer vordefinierte Kriterien zur Klassifizierung, einen Eskalationsweg, der innerhalb von Stunden funktioniert, und eine eingeübte Incident-Command-Struktur, die IT, Security, Recht und Kommunikation zusammenbringt. Ohne klare Zuständigkeiten bleibe Sicherheit ein Lippenbekenntnis; mit ihnen wird sie beherrschbar – und auditierbar.

Vom Bremsklotz zum Enabler

IT-Dienstleister können Unternehmen helfen, durch Cybersecurity-Investitionen wettbewerbsfähiger zu werden. Und das geht laut Sommer so: „Indem sie Sicherheit vom Bremsklotz zum Enabler machen.“ Unternehmen mit sicheren, kontrollierbaren und transparenten IT-Strukturen können demnach schneller skalieren, einfacher Partnerschaften eingehen und Audits mit weniger Reibung durchlaufen – besonders in regulierten Märkten, in denen Vertrauen und Nachweise wirtschaftliche Assets sind. Doch was bedeuten „gute Strukturen“ konkret? Meist stehe dahinter:

• eine einheitliche Identitätsebene mit starkem Zugriffsschutz,

• standardisierte und gut verwaltbare Endpoints,

• nutzbares Logging und

• Erkennung über kritische Plattformen hinweg sowie

• Resilienz, die unter realistischen Szenarien getestet wurde.

Ein Dienstleister steigert aus der Sicht des DSwiss-Chefs die Wettbewerbsfähigkeit, indem er diese Fähigkeiten in ein wiederholbares Betriebsmodell verpackt und zwar „nicht als Produkthaufen, sondern als verlässliches System mit messbaren Ergebnissen.“

Langfristige Strategien über 2026 hinaus

Über 2026 hinaus werden nicht nur die Unternehmen mit den größten Sicherheitsbudgets gewinnen, sondern auch jene mit den am besten kontrollierbaren Systemen. „Wenn ich sehr konkret sagen müsste, wo Unternehmen jetzt investieren sollten, wären es drei Bereiche“, sagt Sommer und listet auf:

• Identität als Control Plane – phishing-resistente MFA für privilegierte Rollen, starke Conditional-Access-Regeln und Privileged Access Management, das permanente Admin-Rechte durch Just-in-Time-Zugriffe ersetzt.

• Nachweisbare Resilienz – unveränderliche Backups, Recovery-Tests und klare RTO/RPOs, die an geschäftskritischen Services ausgerichtet sind.

• Sichtbarkeit, die Reaktion ermöglicht – Logging und Detection mit Fokus auf Identität, Cloud und kritische Anwendungen, damit Vorfälle schnell erkannt und eingedämmt werden.

Das gemeinsame Thema sei die Reduktion des „Blast Radius“ und die Wiederherstellung von Handlungsoptionen. Abhängigkeiten lassen sich laut dem Manager nicht vollständig vermeiden – aber man könne wenigstens vermeiden, von diesen gefangen zu werden.

Digitale Souveränität ist kein Abzeichen

„Digitale Souveränität ist kein Abzeichen, das man einmal erwirbt – sie ist eine Disziplin, die man lebt“, betont der Manager. „Meiner Erfahrung nach entstehen die größten Sicherheitsverluste nicht nur durch hochkomplexe Zero-Days, sondern auch durch schleichende Erosion.“ Und diese äußert sich durch:

• „mehr Komplexität,

• mehr Ausnahmen,

• mehr ‚temporäre‘ Zugriffe,

• mehr Abhängigkeiten, für die sich niemand vollständig verantwortlich fühlt.“

Mit der Zeit gehe Kontrolle leise verloren – „bis ein Incident sie über Nacht zu einem Business-Problem macht.“ Die Unternehmen, die die Kontrolle behalten, sind nicht die, die die meisten Tools kaufen, sondern die, die Sicherheit zur betrieblichen Disziplin machen: vereinfachen und standardisieren, dauerhafte Privilegien abbauen, Recovery testen und Verantwortung klar festlegen: „Das ist nicht nur Compliance – das ist Führung“, so Sommer.

(ID:50704197)