IT-Sicherheit

IT-Sicherheit

Aktuelle Veranstaltungen


Cybersicherheit im Mittelstand 2026
3. November 2026, 14:00 - 15:30 Uhr | online
CyberSicherheitsCheck für KMU (online)
18. November 2026, 9:00 - 17:00 Uhr | Individueller Einzeltermin à 45 Min.
Quantencomputing in der Praxis - Neue Möglichkeiten. Neue Risiken. Neue Antworten
3. Dezember 2026, 10:00 - 11:00 Uhr | online

Das CYBERsicher Lagebild 2026 - Die aktuelle Bedrohungslage für kleine und mittlere Unternehmen in Deutschland

Am 05.10.2026 hat die Transferstelle Cybersicherheit im Mittelstand auch das CYBERsicher Lagebild 2026 veröffentlicht. Das Lagebild wirft einen Blick auf die aktuelle Bedrohungslage mit Fokus auf kleine und mittlere Unternehmen in Deutschland. In diesem Jahr liegt das Augenmerk auf Gefahren, die durch künstliche Intelligenz entstehen.

ENISA veröffentlicht Praxishilfe zu Software Bills of Materials (SBOM)

Die EU-Agentur für Cybersicherheit (ENISA) hat eine neue Empfehlung zum Einsatz von Software-Stücklisten (Software Bill of Materials, SBOM) veröffentlicht. Eine SBOM ist ein maschinenlesbares Verzeichnis der Komponenten, Bibliotheken und Module, aus denen eine Software besteht. Unternehmen können damit Abhängigkeiten in ihrer Software-Lieferkette besser nachvollziehen und bekannte Schwachstellen schneller erkennen. SBOMs sind eine Vorgabe aus dem Cyber Resilience Act.
ENISA Technical Advisory for Software Bill of Materials | ENISA
Der Leitfaden richtet sich insbesondere auch an kleine und mittlere Organisationen und gibt Hinweise zur Erstellung, Aktualisierung und sicheren Nutzung von SBOMs. ENISA empfiehlt unter anderem standardisierte Formate wie SPDX und CycloneDX sowie eine möglichst automatisierte Einbindung in Entwicklungsprozesse. Wichtig ist: Eine SBOM allein schafft noch keine Sicherheit. Sie sollte mit dem Schwachstellenmanagement, Sicherheitsupdates und der Risikobewertung verknüpft werden.
Die Empfehlungen berücksichtigen die Anforderungen des Cyber Resilience Act (CRA), gehen teilweise aber darüber hinaus. Sie sind unverbindlich und stellen keine rechtliche Auslegung des CRA dar.

Curriculum für eine Geschäftsleitungsschulung nach NIS-2

Was muss die Geschäftsleitung eines NIS-2-Unternehmens wissen, um ihren Pflichten nachkommen zu können? Gemeinsam mit der IHK-Organisation und weiteren Verbänden hat das BSI Pflicht- und Steuerungswissen zu einem exemplarischen "Curriculum für eine Geschäftsleitungsschulung nach NIS-2" zusammengefasst.
Das Curriculum bietet Unternehmen eine Orientierung, welche Kenntnisse Geschäftsleitungen benötigen und welche Themen eine entsprechende Schulung abdecken sollte. Auf dieser Grundlage kann geprüft werden, ob die Schulung unternehmensintern durchgeführt werden kann oder externe Dienstleister hinzugezogen werden sollten. Sofern externe Anbieter beauftragt werden, kann das Curriculum zudem als Maßstab für Umfang und Inhalte der Schulung dienen.
Das Beispielcurriculum umfasst sechs Module:
  • Modul 1 – BSIG, NIS-2 und Anwendungsbereich
  • Modul 2 – Pflichten, Haftung und Delegationsgrenzen nach § 38 BSIG
  • Modul 3 – Cyberrisiken als Organisationsrisiken
  • Modul 4 – Risikomanagement nach § 30 BSIG
  • Modul 5 – Registrierung, Meldung und Unterrichtung
  • Modul 6 – Governance, Nachweis und Praxistransfer
Ergänzend stellt die Gesellschaft für Informatik e. V. (GI) eine Checkliste zu den Inhalten des Beispielcurriculums bereit. Die Checkliste unterstützt Schulungsanbietende, Geschäftsleitungen und Unternehmen dabei, das vermittelte Wissen strukturiert zu überprüfen und den Transfer in die Praxis zu erleichtern.
Weitere Unterstützung bietet die Handreichung zur Schulungspflicht für Geschäftsleitungen bwE und wE nach dem BSIG. Das BSI hat die Handreichung nach Inkrafttreten des novellierten BSIG aktualisiert und dabei erste Praxiserfahrungen aus den Wirtschaftsverbänden berücksichtigt.

PHP-Sicherheitslücke - Sehr kritische Schwachstelle in Internetseiten & Online-Anwendungen

Am 21. Oktober 2026 wurden zwei kritische Sicherheitslücken in PHP veröffentlicht: CVE-2026-109618 und CVE-2026-109619, bekannt unter dem Namen „PHP2Shell“. PHP ist eine weit verbreitete Programmiersprache, die unter anderem von WordPress und vielen weiteren Webanwendungen genutzt wird. Die Schwachstellen können es Angreifenden ermöglichen, ohne Anmeldung Schadcode auf betroffenen Servern auszuführen.
Falls Sie Anwendungen und Internetseiten betreiben, werden Sie höchstwahrscheinlich betroffen sein!
PHP ist einer der zentralen Bausteine in Webanwendungen weltweit und der Einsatz daher sehr weit verbreitet. Mit dieser Programmiersprache entwickelter Quellcode findet sich dabei nicht nur in klassischen PHP-Webseiten, sondern auch in einzelnen Komponenten von verschiedenen proprietären Produkten. Beispielweise wurden die Open Source Projekte WordPress, Drupal, TYPO3, Joomla, Magento, Nextcloud, pfSense, OPNsense mit PHP entwickelt.
Betroffen sein können daher auch Websites, Online-Shops und andere Anwendungen, die auf verwundbaren PHP-Versionen basieren.
Was wird jetzt empfohlen?
  1. PHP-Version prüfen: Unternehmen sollten klären, ob ihre Website oder andere Anwendungen eine betroffene PHP-Version verwenden. Auch eingebundene Software und Hosting-Umgebungen sollten berücksichtigt werden.
  2. Sicherheitsupdates einspielen: Betroffene Systeme sollten unverzüglich auf eine gepatchte, unterstützte PHP-Version aktualisiert werden. Wenn ein Unternehmen seine Server nicht selbst verwaltet, sollte es umgehend den Hosting-Anbieter oder IT-Dienstleister kontaktieren.
  3. Bei Verzögerungen Risiken minimieren: Ist eine sofortige Aktualisierung nicht möglich, sollten Verantwortliche gemeinsam mit ihrem IT-Dienstleister geeignete Schutzmaßnahmen prüfen. Dazu kann bei exponierten Systemen auch eine vorübergehende Abschaltung gehören.
  4. Auf mögliche Angriffszeichen achten: Nach dem Update sollten betroffene Systeme auf verdächtige Aktivitäten überprüft werden. Ein Update allein schließt eine bereits erfolgte Kompromittierung nicht aus.
Anweisungen zur Aktualisierung der PHP-Version finden Sie auf der Website von PHP.
Angebote zur Unterstützung
Sollten Sie einen Cyberangriff vermuten oder bereits einen IT-Sicherheitsvorfall festgestellt haben, bietet die CYBERsicher Notfallhilfe der Transferstelle Cybersicherheit im Mittelstand eine erste Einschätzung, konkrete Handlungsempfehlungen und bei Bedarf Kontakt zu verfügbaren IT-Dienstleistern.
Weitere Informationen finden Sie auf der Webseite des Bundesamts für Sicherheit in der Informationstechnik (BSI).
Sprechen Sie uns gerne an, falls Sie weiterführenden Unterstützungsbedarf haben.

Schutz vor KI-verstärkten Cyberangriffen

Künstliche Intelligenz eröffnet Unternehmen neue Möglichkeiten, wird aber auch von Cyberkriminellen eingesetzt. Phishing-Mails können überzeugender wirken, Stimmen lassen sich täuschend echt nachbilden und Angriffe zunehmend automatisieren. Gerade kleine Unternehmen sollten deshalb ihre Schutzmaßnahmen überprüfen.
Der Flyer Schutz vor KI-verstärkten Cyberangriffen der Allianz für Cyber-Sicherheit zeigt kompakt, worauf Betriebe achten sollten. Im Mittelpunkt stehen unter anderem klare Regeln für die KI-Nutzung, die Sensibilisierung der Mitarbeitenden, der Schutz vor Deepfakes und Phishing sowie technische Grundlagen wie regelmäßige Sicherheitsupdates, Multi-Faktor-Authentifizierung und getestete Backups. Ein kurzer Selbsttest hilft dabei, den eigenen Handlungsbedarf einzuschätzen.
Flyer „Schutz vor KI-verstärkten Cyberangriffen“ herunterladen

Infos zu security.txt

security.txt ist eine standardisierte Textdatei, die es z. B. Sicherheitsforschern erleichtert, Kontaktdaten für das Melden von Sicherheitslücken zu finden. Sie wird an einem festen Ort auf einer Website hinterlegt. Laut BSI stellen nur 1,8 Prozent der Webseitenbetreiber in Deutschland bislang eine security.txt bereit.
Ab Dezember 2027 wird es mit dem Cyber Resilience Act für Hersteller von Produkten mit digitalen Elementen EU-weit gesetzlich verpflichtend, eine Kontaktmöglichkeit für Schwachstellenmeldungen bereitzustellen. Diese Anforderung kann mit einer security.txt erfüllt werden.
Das BSI und die Allianz für Cyber-Sicherheit rufen Webseitenbetreiber dazu auf, eine security.txt einzurichten, um damit einen einfachen, aber wirksamen Beitrag zur eigenen IT-Sicherheit zu leisten. Einen kompakten Überblick über Zweck, Nutzen und Umsetzung bietet der neue Flyer zur security.txt nach RFC 9116.

ENISA Leitfaden zur Umsetzung des Cyber Resilience Act

Die EU-Cybersicherheitsagentur Enisa hat einen Leitfaden für kleine und mittlere Unternehmen veröffentlicht. Dieser soll Unternehmen erklären, wie sie Produkte so bauen und ausliefern, dass sie möglichst schwer anzugreifen sind und auch nach dem Verkaufsstart sicher bleiben.

NIS-2-Umsetzung in Kraft getreten

Mit der Verkündung des Gesetzes zur Umsetzung der NIS-2-Richtlinie und zur Regelung des Informationssicherheitsmanagements in der Bundesverwaltung trat am 6. Dezember eine umfassende Modernisierung des Cybersicherheitsrechts in Kraft.
Damit müssen sich ab Beginn des Jahres 2026 ca. 30.000 Unternehmen beim Bundesamt für Sicherheit in der Informationstechnik (BSI) registrieren, eigene Sicherheitsvorfälle melden und Risikomanagementmaßnahmen implementieren und dokumentieren.
Das BSI sieht einen zweistufigen Registrierungsprozess vor:
Zunächst muss eine Anmeldung beim digitalen Dienst „Mein Unternehmenskonto“ (MUK) erfolgen. Dabei handelt es sich um ein Nutzerkonto für Unternehmen im Sinne des Onlinezugangsgesetzes (OZG). MUK basiert auf der ELSTER-Technologie und nutzt ELSTER-Organisationszertifikate, die üblicherweise bereits in Steuerverfahren genutzt werden. Weitere Informationen zur Registrierung bei MUK stellt das BSI bereit.
Das BSI empfiehlt, den Account bei "Mein Unternehmenskonto" bis spätestens zum Jahresende 2025 anzulegen, um sich im zweiten Schritt ab Anfang 2026 mit dem MUK-Nutzerkonto beim u.a. für NIS-2 neu entwickelten BSI-Portal zu registrieren.
Das BSI-Portal wird am 6. Januar 2026 freigeschaltet und dient u.a. als Meldestelle für erhebliche Sicherheitsvorfälle.

Angebote der Transferstelle Cybersicherheit im Mittelstand

Die Oldenburgische IHK sowie der Verbund der niedersächsischen IHKs sind eine neue Kooperation mit der Transferstelle Cybersicherheit für den Mittelstand eingegangen. Das Projekt wird vom Bundesministerium für Wirtschaft und Energie gefördert. Die Transferstelle wird von Der Mittelstand, BVMW e.V. federführend geleitet und in Zusammenarbeit mit den Konsortialpartnern umgesetzt.
Neben praxisnahen Veranstaltungen zu den wichtigsten Themen der Cybersicherheit bietet die Transfestelle kostenfreie Informationsmaterialien und Online-Tools auf transferstelle-cybersicherheit.de.
  • Nutzen Sie den CYBERsicher Check, um ihren Schutz zu optimieren,
  • führen sie mithilfe der CYBERDialoge ein individuelles Erstgespräch oder
  • wenden Sie sich an die CYBERsicher Notfallhilfe, wenn sie unverzüglich Handeln müssen.
  • Stellen Sie außerdem mithilfe des FitNIS2-Navigators fest, ob Sie den Sicherheitsanforderungen der NIS2-Richtlinie entsprechen.
In unserer Veranstaltungsübersicht finden Sie alle Kooperationsveranstaltungen, die wir gemeinsam mit der Transferstelle durchführen.

Unternehmen müssen sich vorbereiten: Ab Sommer 2026 neue Pflichten für digitale Dienste bei grenzüberschreitenden Ermittlungen

Ab dem 18. August 2026 gilt in der EU die neue E-Evidence-Verordnung. Sie verpflichtet viele Unternehmen – darunter auch kleine und mittlere Anbieter digitaler Dienste – dazu, auf Anfragen von Strafverfolgungsbehörden aus anderen EU-Ländern bestimmte Nutzerdaten herauszugeben oder zu speichern.
Mit Ablauf der Übergangsfristen im Sommer 2026 wird sie für hunderttausende Unternehmen allein in Deutschland in vollem Umfang verbindlich: die europäische E-Evidence-Verordnung für grenzüberschreitende Ermittlungshilfeersuchen bei Straftaten. Ab dann sind Telekommunikationsdienste und Internet-Provider, aber auch alle Cloudservicebetreiber, Online-Shops, Portale, Foren oder sonstige für Nutzer zugängliche elektronische Dienste verpflichtet, auf Anordnung von Strafverfolgungsbehörden aus allen EU-Mitgliedsländern bestimmte Daten ihrer Nutzer herauszugeben oder vorübergehend zu speichern.
Zu den berechtigten Stellen gehören Staatsanwaltschaften, Polizei oder andere Behörden im Ausland, die in einem standardisierten Verfahren die Übermittlung elektronischer Beweismittel verlangen dürfen. Gegenstand solcher Abfragen können Bestandsdaten zu Namen, Konten und Anschriften sein, aber auch Verkehrsdaten und die Ausleitung von Inhalten.
Eng gesetzt sind die Fristen, binnen derer die Beantwortung der Herausgabeanordnungen zu erfolgen hat: acht Stunden bei Lebensgefahr oder Gefährdungen kritischer Infrastrukturen, maximal zehn Tage im Regelfall. Und vor Ablauf dieser Zeiträume muss auch geklärt sein, ob die Herausgabe überhaupt rechtlich zulässig ist: Weil die Anfrage nach der Gesetzeslage im Ursprungsland gestellt wird, ist eine rechtsförmliche Prüfung im Zielland unerlässlich, wenn man sich nicht dem Risiko aussetzen will, personenbezogene Daten widerrechtlich herauszugeben. Bevor also die Übermittlung fristgerecht erfolgen kann, um Bußgelder zu vermeiden, müssten die Herausgabeverpflichteten sich erst einmal rückversichern, ob sie dadurch nicht unbeabsichtigt einen Datenschutzvorfall heraufbeschwören.
Der Sinn der Regelung ist die einheitliche Abwicklung von Ermittlungen in Strafverfahren über alle EU-Mitgliedsländer hinweg – aber die konkrete Umsetzung gestaltet sich wenig harmonisch.
Insbesondere die technischen Maßnahmen, um automatisierte Anordnungen und Herausgaben zu ermöglichen, sind bislang nicht richtig etabliert. Vergleichbare Verfahren existieren zwar für die Rechtshilfeersuchen zwischen staatlichen Institutionen, aber die direkte Abfrage bei potenziell rund 300.000 Unternehmen allein in Deutschland ist eine völlig andere Dimension – und offenbar völlig unerwartet: Alle Schätzungen der EU-Kommission und der beteiligten Justizministerien der Mitgliedsstaaten kamen auf viel geringere Zahlen.
Providerverbände und andere Betroffene schlagen deshalb zu Recht Alarm: Die schiere Anzahl potenzieller Herausgabeanordnungen steigt in schwindelerregende Höhen. Schon jetzt gibt es jährlich über 100 Millionen Bestandsdatenabfragen allein in Deutschland. Wenn in Zukunft die Strafverfolgungsbehörden anderer Länder ebenfalls darauf Zugriff bekommen sollen, explodiert das dadurch generierte Abfragevolumen. In einigen Ländern soll es dafür immerhin eine Aufwandsentschädigung geben. Deutschland gehört nicht dazu.
Und es kann jeden treffen, nicht nur ein paar hundert TK-Unternehmen. Die E-Evidence-Verordnung betrachtet alles als Gegenstand für Herausgabeanordnungen, was im Strafverfahren als elektronisches Beweismittel verwendet werden kann. Und die Zielgruppe der Adressaten ist breit gefächert. Alle Datenspuren, die deutsche Bürger im Ausland hinterlassen, können Ermittlungsanlass und gegebenenfalls Beweismittel sein. Bei Katalogstraftaten wie Kinderpornografie sind es dann eben nicht immer die Großen der Branche, über deren Plattformen die Straftaten begangen wurden – Datenspeicherung kann auch über das schwarze Brett des Fußballvereins oder das Studienportal der Universität stattfinden, die alle auch aus dem Ausland erreichbar sind. Dank Roaming in der EU dürften auch die Versuche kleinerer Dienstleister aussichtslos sein, sich als rein „nationales Angebot“ aus dem Anwendungsbereich der Verordnung herauszureden.
Autor: Ulrich Plate, Berater für Informationssicherheit bei nGENn GmbH und Leiter der Kompetenzgruppe Kritische Infrastruktur des Verbands der Internetwirtschaft eco e.V.

Infopaket des BSI: Sichere Lieferkette nach NIS2

Die NIS-2-Richtlinie verpflichtet besonders wichtige und wichtige Einrichtungen dazu, die Sicherheit ihrer Lieferketten zu gewährleisten. Zur Unterstützung hat das Bundesamt für Sicherheit in der Informationstechnik (BSI) ein Informationspaket veröffentlicht. Es bietet Unternehmen eine erste Orientierung, wie sie die Anforderungen zur Lieferkettensicherheit im Sinne der NIS-2-Richtlinie umsetzen können.
Die Informationen zur Sicherheit in der Lieferkette enthalten auch Tabellen, die einen Überblick über ausgewählte bestehende Standards zum Thema Lieferkettensicherheit bieten. Das BSI weist darauf hin, dass die Umsetzung der Risikomanagementmaßnahmen anhand dieser Standards nicht automatisch bedeutet, dass die Anforderungen der NIS-2-RL vollständig erfüllt werden.

Task Force "IT-Sicherheit in der Wirtschaft"

Die Task Force "IT-Sicherheit in der Wirtschaft" des Bundesministeriums für Wirtschaft und Technologie (BMWi) bietet Unternehmen Informationen zum Thema IT-Sicherheit an.
Kleine und mittelständische Unternehmen finden in dem extra erstellten Internetportal Orientierung und Hilfe. Das Portal bietet kostenlos Informationen zu den Risiken verschiedener IT-Anwendungen und entsprechende Handlungsempfehlungen und -anleitungen. Das Angebot umfasst regionale Veranstaltungen, Broschüren und Online-Informationen.
Kernstück der Internetseite ist der vom Fraunhofer Institut für sichere Informationstechnik entwickelte IT-Sicherheitsnavigator. Er bündelt herstellerneutrale Informations- und Hilfsangebote und macht diese komfortabel über das Internet zugänglich. Über Schlagworte und regionale Eingrenzungen können Unternehmen schnell und unkompliziert die für ihr spezielles Sicherheitsproblem passenden Angebote finden.