Aktuelle Bedrohungslage

Lagebild der Nica Systems GmbH für den deutschen Mittelstand, quartalsweise überarbeitet. Bewertet werden sieben Bedrohungen nach ihrer Relevanz für Unternehmen zwischen 50 und 1.000 Beschäftigten: Ransomware mit Datenabfluss, KI-gestütztes Phishing, Angriffe über die Lieferkette, Ausnutzung von Perimeter-Systemen, Übernahme von Identitäten, Fehlkonfigurationen in der Cloud sowie Angriffe auf Produktions- und OT-Netze. Die Einstufungen sind eine eigene Einschätzung auf Grundlage eigener Incident-Response-Einsätze und Penetrationstests sowie des BSI-Lageberichts, kein amtliches Lagebild.

Gesamteinschätzung: angespannt – Angreifer automatisieren die Vorbereitung und gehen zunehmend über Dienstleister statt frontal
DORA gilt seit dem 17. Januar 2025 unmittelbar für Finanzunternehmen
NIS2-Umsetzungsgesetz in Kraft seit 6. Dezember 2025, Registrierungspflicht seit 6. März 2026
Cyber Resilience Act: Meldepflichten ab 11. September 2026, volle Anwendung ab 11. Dezember 2027
Sofort wirksam: getrennte und zurückgespielte Sicherungen, Mehr-Faktor-Anmeldung ohne Ausnahmen, kurze Patch-Fristen am Perimeter
Betroffenheit selbst prüfen: NIS2-Readiness-Check

Gesamteinschätzung: Angespannt

Die Angriffsfläche wächst schneller als die Abwehr. Zwei Entwicklungen prägen das Bild: Angreifer automatisieren die Vorbereitung mit Sprachmodellen, wodurch gezielte Ansprache in Masse möglich wird – und sie gehen zunehmend über Dienstleister und Zulieferer statt frontal. Für den Mittelstand bedeutet das: Der eigene Reifegrad entscheidet weniger als früher, die Absicherung der Kette dafür mehr.

Bewertete Bedrohungen

Die Einstufungen sind unsere eigene Bewertung der Relevanz für den deutschen Mittelstand – kein amtliches Lagebild. Grundlage sind unsere Incident-Response-Einsätze und Penetrationstests sowie der Lagebericht des BSI. Fristen und Rechtsangaben stammen aus den unten verlinkten Primärquellen.

Ransomware mit Datenabfluss – Relevanz 5/5, Tendenz stabil hoch

Verschlüsselung ist längst nur noch die zweite Stufe. Daten werden vorher abgezogen, und die Veröffentlichung wird als zweiter Hebel angedroht. Damit wirkt selbst eine perfekte Sicherung nur noch gegen die halbe Erpressung. Was wirkt: Vom Produktivnetz getrennte Sicherungen mit belegtem Rückspielen, Netzsegmentierung, Erkennung im Netz statt nur am Endgerät – und ein geübter Notbetrieb, der ohne IT trägt.

KI-gestütztes Phishing und Vishing – Relevanz 5/5, Tendenz stark steigend

Die klassischen Erkennungsmerkmale sind weg: keine Rechtschreibfehler, korrekte Anrede, passender Bezug auf ein laufendes Projekt. Dazu kommen Stimmklone am Telefon, die eine Freigabe im Namen der Geschäftsführung erbitten. Was wirkt: Prozesse statt Aufmerksamkeit: Zahlungs- und Stammdatenänderungen brauchen eine zweite Bestätigung über einen bekannten Kanal. Technisch DMARC im Modus „reject“, Mehr-Faktor-Anmeldung ohne Ausnahmen und ein Meldeweg, den jeder kennt.

Angriffe über die Lieferkette – Relevanz 4/5, Tendenz steigend

Der Weg führt über den Dienstleister, den Softwarelieferanten oder den Partner mit Fernzugang. Für Angreifer lohnt sich das doppelt: ein Einbruch, viele Ziele. Genau darauf zielen auch die Lieferkettenpflichten aus NIS2. Was wirkt: Bestandsaufnahme aller Zugänge von außen, befristete und protokollierte Fernwartung, Sicherheitsanforderungen im Vertrag – und die Frage, was passiert, wenn ein Anbieter ausfällt.

Ausnutzung von Perimeter-Systemen – Relevanz 4/5, Tendenz steigend

VPN-Gateways, Firewalls und Fernzugangslösungen stehen per Definition offen und werden nach Bekanntwerden einer Schwachstelle binnen Stunden massenhaft angegriffen. Der Zeitraum zwischen Veröffentlichung und Ausnutzung ist auf Stunden geschrumpft. Was wirkt: Vollständiges Verzeichnis der von außen erreichbaren Systeme, kurze Patch-Fristen für den Perimeter, Mehr-Faktor-Anmeldung davor und laufende Prüfung der Angriffsfläche statt einmaliger Bestandsaufnahme.

Übernahme von Identitäten – Relevanz 4/5, Tendenz steigend

Gestohlene Sitzungstoken und Umgehung der Mehr-Faktor-Anmeldung durch Ermüdungsangriffe oder zwischengeschaltete Anmeldeseiten. Das Passwort ist längst nicht mehr der Angriffspunkt – die Sitzung ist es. Was wirkt: Phishing-resistente Verfahren wie Hardware-Schlüssel oder Passkeys, Bedingungen für den Zugriff nach Gerät und Standort, Überwachung auffälliger Anmeldungen und regelmäßige Prüfung der Rechte.

Fehlkonfiguration in der Cloud – Relevanz 3/5, Tendenz stabil

Nicht der Anbieter wird angegriffen, sondern die eigene Konfiguration: offene Speicher, zu weit gefasste Rollen, vergessene Gastkonten, fehlende Protokollierung. Der häufigste Befund in unseren Microsoft-365-Reviews. Was wirkt: Regelmäßige Konfigurationsprüfung gegen einen Maßstab, Rechte nach dem Prinzip der geringsten Berechtigung und Protokolle, die lange genug aufbewahrt werden, um einen Vorfall aufzuklären.

Produktions- und OT-Netze – Relevanz 3/5, Tendenz steigend

Steuerungen ohne Update-Pfad, Fernwartungszugänge der Maschinenlieferanten und ein flaches Netz zwischen Büro und Halle. Der Angriff gilt selten der Steuerung selbst – sie ist das, was am Ende stillsteht. Was wirkt: Passive Bestandsaufnahme im laufenden Betrieb, belastbar geprüfte Trennung von Büro- und Produktionsnetz, überwachte Fernwartung und ein Wiederanlaufplan für die Fertigung.

Regulatorische Fristen

17. Januar 2025 – DORA gilt unmittelbar

Die Verordnung (EU) 2022/2554 verlangt von Finanzunternehmen ein IKT-Risikomanagement, ein Informationsregister über alle IKT-Dienstleister, geregelte Vorfallmeldungen und ein Testprogramm.

6. Dezember 2025 – NIS2-Umsetzungsgesetz in Kraft

Betroffene Unternehmen müssen Risikomanagementmaßnahmen nach § 30 BSIG umsetzen, erhebliche Vorfälle binnen 24 Stunden melden und die Schulung der Geschäftsleitung nachweisen.

6. März 2026 – Registrierungspflicht beim BSI

Wer unter das NIS2-Umsetzungsgesetz fällt, muss sich registrieren. Die Registrierung ist keine Formalie: Sie ist der Punkt, an dem die Betroffenheit aktenkundig wird.

11. September 2026 – Cyber Resilience Act: Meldepflichten

Hersteller vernetzter Produkte müssen aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle melden. Betrifft auch Maschinenbauer, deren Produkte eine Netzwerkschnittstelle haben.

11. Dezember 2027 – Cyber Resilience Act: volle Anwendung

Ab dann gelten die vollständigen Anforderungen an Produktsicherheit, Schwachstellenbehandlung über den Lebenszyklus und die technische Dokumentation.

Sechs Maßnahmen, die jetzt wirken

Sicherungen prüfen: getrennt vom Produktivnetz, und einmal tatsächlich zurückgespielt statt nur überwacht.
Mehr-Faktor-Anmeldung für jeden Zugang von außen – ohne Ausnahmen für Geschäftsführung oder Dienstkonten.
Von außen erreichbare Systeme vollständig auflisten und mit kurzen Patch-Fristen versehen.
Zahlungs- und Stammdatenänderungen an eine zweite Bestätigung über einen bekannten Kanal binden.
Meldeweg für verdächtige E-Mails bekannt machen und jede Meldung beantworten.
Wiederanlaufreihenfolge schriftlich festhalten und einmal im Jahr durchspielen.

Quellen und weiterführende Informationen

Zuletzt aktualisiert am 1. September 2026 · Inhaltlich verantwortlich: Christian Renkes, Geschäftsführer der Nica Systems GmbH.

Kontakt

Nica Systems GmbH, Reisholzer Bahnstraße 41, 40599 Düsseldorf
Telefon: 0211 17520840
E-Mail: Kontaktformular
Erreichbarkeit: Mo–Fr 09:00–17:00 Uhr, Incident Response rund um die Uhr

Bitte aktivieren Sie JavaScript für die vollständige, interaktive Website.