Die IT-Sicherheit bezeichnet die Gesamtheit der technischen und organisatorischen Maßnahmen, die darauf abzielen, Systeme, Netzwerke und Daten vor unbefugtem Zugriff, Änderungen oder Zerstörungen zu schützen. Im Jahr 2024 gehört diese Disziplin nicht mehr nur dem technischen Dienst an: Neuere europäische Vorschriften machen sie zu einer Governance-Verpflichtung, die direkt die Führungskräfte einbezieht.
Richtlinie NIS2 und Verordnung DORA: der regulatorische Rahmen, der die Spielregeln ändert
Zwei europäische Texte definieren die Verpflichtungen der Organisationen im Bereich der Cybersicherheit neu. Die Richtlinie NIS2 musste von den Mitgliedstaaten bis zum 17. Oktober 2024 umgesetzt werden. Sie erweitert den Umfang der betroffenen Entitäten erheblich, verlangt ein formalisierte Risikomanagement, die Meldung von wesentlichen Vorfällen und eine erhöhte Verantwortung der Führungskräfte.
In Frankreich war die Umsetzung im Oktober 2026 noch nicht abgeschlossen. Diese gesetzgeberische Verzögerung bringt französische Unternehmen in eine rechtliche Unsicherheitszone, während andere europäische Länder ihr nationales Recht bereits angepasst haben.
Die Verordnung DORA gilt seit dem 17. Januar 2025. Sie richtet sich speziell an den Finanzsektor: Banken, Versicherer, Investmentgesellschaften, Zahlungsdienstleister und Anbieter von Dienstleistungen für Krypto-Assets. DORA umfasst das Management von IT-Risiken, Resilienztests, die Meldung von Vorfällen und die Überwachung kritischer Technologieanbieter.
Diese beiden Texte haben einen gemeinsamen Nenner: der Datenschutz ist keine technische Empfehlung mehr, sondern eine gesetzliche Verpflichtung mit Sanktionen. Jede Organisation, die mit sensiblen Informationen (Kundendaten, Finanzdaten, Gesundheitsdaten) umgeht, muss ihre Cybersicherheitsstrategie formal festlegen oder sich regulatorischen Konsequenzen aussetzen.
Risiken im Zusammenhang mit Drittanbietern: eine unterschätzte Schwachstelle in der IT-Sicherheit
Ein Aspekt, den allgemeine Artikel selten ansprechen, betrifft das Management von Lieferantenabhängigkeiten. Ein Unternehmen kann strenge Sicherheitsmaßnahmen intern anwenden und dennoch über seine Technologieanbieter verwundbar bleiben. Eine Vertiefung in die IT-Sicherheit mit Viruslab ermöglicht ein besseres Verständnis dafür, wie sich diese Risiken strukturieren und wie man sie antizipieren kann.
Die Verordnung DORA verpflichtet Finanzinstitute, ein strukturiertes Register ihrer IT-Dienstleistungsverträge zu führen. Diese Anforderung offenbart ein Prinzip, das weit über den Finanzbereich hinaus gilt: Jede Organisation ist von Software, Hosting-Anbietern, Cloud-Lösungen oder Wartungsdienstleistern abhängig, deren Kompromittierung zu einem Datenleck führen kann.
Konkrete Maßnahmen zur Kartierung seiner Dienstleister erfordern die Beantwortung mehrerer Fragen:
- Welche Anbieter haben Zugang zu den sensiblen Daten der Organisation und mit welchem Berechtigungsgrad?
- Sehen die Verträge Benachrichtigungsklauseln im Falle eines Sicherheitsvorfalls beim Anbieter vor?
- Werden regelmäßig Audits oder Resilienztests für die ausgelagerten Dienste durchgeführt?
Dieser Ansatz transformiert die IT-Sicherheit: Sie beschränkt sich nicht mehr nur auf den Schutz eines internen Bereichs, sondern integriert die gesamte digitale Wertschöpfungskette.
Cyberangriffe und Datenschutz: was die Bedrohung technisch bedeutet
Ransomware-Angriffe bleiben die sichtbarste Bedrohung. Das Prinzip ist bekannt: Eine Schadsoftware verschlüsselt die Dateien eines Systems und verlangt ein Lösegeld für deren Rückgabe. Was sich geändert hat, ist die Raffinesse der Methoden für den ersten Zugriff.
Soziale Ingenieurkunst bleibt der Hauptzugang für Kompromittierungen. Eine gut gestaltete Phishing-E-Mail reicht aus, um gültige Anmeldedaten zu erhalten. Von dort aus bewegt sich der Angreifer lateral im Netzwerk, erhöht seine Berechtigungen und greift auf die sensibelsten Daten zu, bevor er die Verschlüsselung auslöst.
Drei technische Maßnahmen reduzieren diese Angriffsfläche erheblich:
- Die Multi-Faktor-Authentifizierung für alle privilegierten Konten, die die Mehrheit der Zugriffe, die durch Identitätsdiebstahl erlangt wurden, blockiert.
- Die Netzwerksegmentierung, die die Fähigkeit eines Angreifers einschränkt, sich nach einem ersten Eindringen von einem System zum anderen zu bewegen.
- Das Management der Berechtigungen nach dem Prinzip der minimalen Berechtigung: Jeder Benutzer hat nur Zugriff auf die Ressourcen, die für seine Funktion unbedingt erforderlich sind.
Diese Maßnahmen sind nicht neu. Ihre Wirksamkeit hängt von ihrer tatsächlichen Anwendung ab, nicht von ihrer Existenz in einem internen Politikdokument.
Verantwortung der Führungskräfte: IT-Sicherheit wird ein Governance-Thema
NIS2 bringt einen Paradigmenwechsel für die betroffenen Organisationen mit sich. Die Führungskräfte können persönlich haftbar gemacht werden, wenn sie gegen die Verpflichtungen des Risikomanagements verstoßen. Die Richtlinie sieht vor, dass die Leitungsgremien die Sicherheitsmaßnahmen genehmigen und deren Umsetzung überwachen.
Es ist kein Thema mehr, das an den IT-Leiter delegiert wird. Die Compliance erfordert, dass die Entscheidungsträger die Cyberrisiken, denen ihre Organisation ausgesetzt ist, verstehen, die entsprechenden Budgets genehmigen und sicherstellen, dass die Teams geschult sind.
Für französische Unternehmen bedeutet die Verzögerung bei der Umsetzung von NIS2 nicht, dass diese Verpflichtungen aufgeschoben werden. Die Richtlinie legt einen Rahmen fest, den die nationalen Gerichtsbarkeiten integrieren müssen, und Organisationen, die diese Konformität antizipieren, vermeiden das Risiko einer hastigen Nachholung, sobald der Text verabschiedet ist.
Der Datenschutz im Jahr 2024 basiert daher auf drei Säulen, die sich gegenseitig stärken: rigoros angewandte technische Maßnahmen, ein vertragliches Management der Dienstleister und eine dokumentierte Einbindung der Leitung. Das Fehlen einer dieser Säulen schwächt das gesamte System, unabhängig von der Größe der Organisation.
