Unternehmen und Privatpersonen produzieren täglich ein wachsendes Volumen an digitalen Daten. Der europäische Rechtsrahmen hat sich verdichtet: Neben der DSGVO kommen nun NIS2 für kritische Sektoren, DORA für den Finanzsektor und das AI-Gesetz für Systeme der künstlichen Intelligenz hinzu, mit gestaffelten Anwendungsfristen. In diesem Kontext beschränkt sich die Datensicherheit nicht mehr auf ein Antivirenprogramm oder ein robustes Passwort. Sie erfordert Entscheidungen über Architektur, Governance und kontinuierliche Überprüfung.
Gezielte Backups von Angreifern: ein blinder Fleck in den Schutzstrategien
Die meisten Cybersecurity-Leitfäden empfehlen, regelmäßig Dateien zu sichern. Dieser Rat bleibt gültig, verdeckt jedoch ein aktuelleres Problem. Die Erfahrungen vor Ort zeigen, dass Backup-Infrastrukturen mittlerweile ein bevorzugtes Ziel für Angreifer sind. Das Ziel besteht nicht mehr nur darin, aktive Dateien zu verschlüsseln, sondern auch die Sicherungskopien zu neutralisieren, was eine Wiederherstellung ohne Zahlung eines Lösegeldes unmöglich macht.
Diese Entwicklung verändert die Rahmenbedingungen für IT-Teams. Es reicht nicht mehr aus, ein Backup zu haben, wenn es über dasselbe Netzwerk wie die Produktionssysteme zugänglich ist. Die Unveränderlichkeit der Kopien (Unmöglichkeit, sie nach dem Schreiben zu ändern) und ihre physische oder logische Isolation werden zu Auswahlkriterien für jede Speicherlösung. Es wird auch empfohlen, regelmäßig die tatsächliche Wiederherstellung der Daten zu testen, denn ein Backup, das sich nicht wiederherstellen lässt, ist keines.
Um diese Herausforderungen zu vertiefen, finden Sie Sicherheitsinformationen auf Open Syd, die mehrere Ansätze für Unternehmen und Selbstständige detailliert beschreiben.
Digitale Lieferkette und Risiken im Zusammenhang mit Dienstleistern
Die aktuellen Vorschriften, allen voran NIS2, erweitern den Verantwortungsbereich weit über das interne Informationssystem hinaus. Die Risikobewertung im Zusammenhang mit Lieferanten und Subunternehmern gehört nun zu den Verpflichtungen für die betroffenen Stellen. Ein schlecht gesicherter Cloud-Anbieter, ein SaaS-Tool, das persönliche Daten ohne angemessene Verschlüsselung speichert, ein nicht widerrufener Drittzugang nach Vertragsende: All dies sind Schwachstellen, die digitale Lösungen abdecken müssen.
Konkrete Maßnahmen erfordern mehrere Überprüfungen, bevor Daten an Dritte übergeben werden:
- Überprüfen Sie die Sicherheitszertifikate des Anbieters (ISO 27001, SecNumCloud-Qualifizierung oder Äquivalent) und prüfen Sie deren genauen Umfang.
- Vertragliche Regelungen für die Meldepflichten im Falle eines Vorfalls, mit genauen Fristen und Transparenzverpflichtungen.
- Ein Rückführungsmechanismus sollte vorgesehen werden: die Möglichkeit, alle Daten in einem nutzbaren Format zurückzuerhalten, wenn der Anbieter seine Bedingungen ändert oder seine Tätigkeit einstellt.
- Drittzugriffe regelmäßig auditieren und diejenigen entfernen, die nicht mehr gerechtfertigt sind.
Die Erfahrungen vor Ort variieren hinsichtlich der tatsächlichen Fähigkeit von KMU, diese Audits systematisch durchzuführen. Kosten und Komplexität bleiben Hindernisse, was einige Organisationen dazu zwingt, diese Bewertungen über Branchenverbände zu bündeln.
Regulatorische Compliance: DSGVO, NIS2, DORA und AI-Gesetz in der Praxis
Die Ansammlung europäischer Texte schafft eine konkrete Schwierigkeit für Unternehmen: jede Vorschrift deckt einen anderen Umfang ab, mit teilweise überlappenden Verpflichtungen. Die DSGVO regelt die Verarbeitung persönlicher Daten. NIS2 verlangt von den sogenannten “wichtigen” oder “kritischen” Stellen Maßnahmen zur Cybersicherheit. DORA zielt speziell auf die digitale Resilienz des Finanzsektors ab. Das AI-Gesetz fügt Anforderungen für hochriskante Systeme der künstlichen Intelligenz hinzu.
Für ein Unternehmen, das ein KI-Tool verwendet, das persönliche Daten in einem von NIS2 abgedeckten Sektor verarbeitet, gelten diese drei Texte gleichzeitig. Digitale Compliance-Lösungen versuchen, einen Teil dieser Arbeit zu automatisieren: Mapping der Verarbeitung, Verzeichnis der Aktivitäten, Erkennung von Abweichungen. Die verfügbaren Daten ermöglichen es noch nicht, die tatsächliche Wirksamkeit dieser Werkzeuge auf lange Sicht zu messen, aber ihre Akzeptanz nimmt in mittelständischen Organisationen zu.
Was das AI-Gesetz für den Datenschutz ändert
Das AI-Gesetz führt eine Klassifizierung der KI-Systeme nach Risikoniveau ein. Hochrisikosysteme (automatisierte Rekrutierung, Bank-Scoring, intelligente Videoüberwachung) müssen Anforderungen an Transparenz, Nachvollziehbarkeit und Governance der Trainingsdaten erfüllen. Ein KI-Modell, das auf voreingenommenen oder schlecht geschützten Daten trainiert wurde, setzt das Unternehmen gleichzeitig den Sanktionen des AI-Gesetzes und der DSGVO aus.
Die CNIL hat Leitlinien zur Verbindung zwischen KI und dem Schutz persönlicher Daten veröffentlicht, insbesondere für sogenannte “agentische” Systeme (autonome KI, die in der Lage ist, Kettenaktionen auszuführen). Diese Präzisierungen sind neu und ihre operative Umsetzung muss für viele Organisationen noch entwickelt werden.
Digitale Lösungen zur Erkennung und Reaktion auf Bedrohungen
Die Erkennungstools haben sich über die Analyse bekannter Signaturen hinaus entwickelt. Lösungen wie EDR (Endpoint Detection and Response) und XDR (Extended Detection and Response) korrelieren Ereignisse über mehrere Schichten des Informationssystems: Arbeitsstationen, Messaging, Netzwerk, Cloud. Die Erkennung basiert nun auf Verhaltensanalysen, was es ermöglicht, neuartige Bedrohungen zu identifizieren, die keiner katalogisierten Signatur entsprechen.
Diese Lösungen erzeugen jedoch ein Volumen an Warnungen, das die Teams sortieren müssen. Ohne einen klaren Qualifizierungsprozess besteht das Risiko, die Analysten mit Fehlalarmen zu überfluten oder, im Gegenteil, einen echten Vorfall zu übersehen, der in der Masse untergeht. Die Automatisierung der Sortierung (durch Regeln oder KI) hilft, beseitigt jedoch nicht den Bedarf an menschlicher Expertise für kritische Entscheidungen.
Die Wahl einer Sicherheitslösung erfolgt nicht anhand einer Liste von Funktionen. Sie hängt von der Größe der Organisation, der Sensibilität der verarbeiteten Daten, dem anwendbaren regulatorischen Rahmen und der tatsächlichen Fähigkeit der Teams ab, das Tool im Alltag zu nutzen. Ein schlecht konfiguriertes, hochentwickeltes Tool schützt weniger als ein einfaches, das richtig gewartet wird. Hier liegt der Ursprung der meisten Vorfälle, weit mehr als bei spektakulären technologischen Schwächen.
