Mittelstandspresse
21.10.2026
100 Prozent Sicherheit gibt es nicht – 100 Prozent Verantwortung schon
Was aktuelle Cybervorfälle über Sicherheitsversprechen zeigen – und welche Verantwortung Anbieter und Kunden tragen
Burghausen, 21.10.2026 (PresseBox) - In Eichstätt blieb das Rathaus nach einem Cyberangriff im Oktober tagelang geschlossen; große Teile der IT hatte die Stadt vorsorglich abgeschaltet. In Frankreich mussten Supermärkte Lebensmittel entsorgen, nachdem Angreifer in die Steuerung ihrer Kühlanlagen eingegriffen hatten. Hinzu kommen die jüngsten Datenvorfälle in Berlin und an der LMU München. Hinter jeder dieser Meldungen stehen Menschen, deren Arbeit ausfällt, deren Daten betroffen sein können oder die plötzlich ganz alltägliche Dinge nicht mehr erledigen können.
Wer solche Nachrichten liest, fragt sich zu Recht, wie sicher die eingesetzten Systeme sind. Ist es denn nicht möglich, solche Vorfälle zu verhindern? Diese Perspektive greift aber zu kurz. Für ein Urteil über das Sicherheitskonzept ist es unmittelbar nach einem Angriff zu früh. Selten lässt sich wenige Tage nach einem Vorfall bereits abschließend beurteilen, was schiefgelaufen ist. Auch belegt ein erfolgreicher Angriff nicht unmittelbar, dass zu wenig für den Schutz unternommen wurde oder das System „unsicher“ sei. Für eine angemessene Einordnung müssen technische Schutzmaßnahmen, die dynamische Bedrohungslage und der konkrete Umgang mit Risiken gemeinsam betrachtet werden. Besonders wichtig ist dabei, wie verantwortungsvoll Organisationen mit Cyberrisiken umgehen – präventiv und im Ernstfall.
Wie viel Schaden kann ein Angriff anrichten?
Eine häufige Frage nach Cyberangriffen lautet: Wie sind die Angreifer ins System gelangt? Das ist für die künftige Abwehr wichtig – ebenso aber die Frage, was danach möglich war oder möglicherweise noch ist: Welche Bereiche und Systeme sind betroffen? Wie lange blieb ein unberechtigter Zugriff unentdeckt? Konnte der Schaden begrenzt werden – und wie rasch lässt sich der Betrieb wieder aufnehmen? Die LMU hat nach ihrem Datenschutzvorfall beispielsweise mitgeteilt, dass auf Immatrikulationsdaten zugegriffen wurde, eine Veränderung dieser Daten aber verhindert werden konnte. Für die Bewertung eines Angriffs muss deshalb zwischen dem Angriffsweg, dem akuten Schadensumfang und den Folgen unterschieden werden.
Besonders relevant wird diese Unterscheidung, wenn Angriffe über bereits bestehende Zugänge erfolgen. Ein kompromittiertes Konto oder eine überzeugende Phishing-Nachricht können ausreichen, um eine erste Hürde zu überwinden. Wie weit ein Angreifer dann kommt, hängt unter anderem von Berechtigungen des kompromittierten Kontos, weiteren Schutzebenen und der Erkennung ungewöhnlicher Aktivitäten ab. Klare Zuständigkeiten und erprobte Abläufe für den Ernstfall sind die Basis für eine schnelle Reaktion, mit einer Einschränkung: Auch der beste Notfallplan hilft nichts, wenn er nicht gelebt wird.
Hier erleben wir leider in der Praxis noch immer, dass wichtige Maßnahmen zwar bekannt sind, aber nicht konsequent eingehalten und zu viel Vertrauen in die Sicherheit der Anbieter an sich gelegt werden – frei nach dem Motto: „Wir zahlen für einen sicheren Dienst. Der Rest ist damit nicht mehr unser Problem“.
Ein Zertifikat ist ein Nachweis, keine Entwarnung
Auch bei Zertifizierungen, Pentests und Testaten zeigt sich dieses Missverständnis: Ihre Aussagekraft wird mitunter überschätzt. Derartige Nachweise, zum Beispiel die weit verbreitete ISO-Norm 27001 oder Prüfungen nach dem BSI C5-Kriterienkatalog, bieten bei der Wahl von Dienstleistern und Software eine wichtige Orientierung und helfen Kunden, Sicherheitsversprechen anhand unabhängiger Untersuchungen einzuordnen.
Dabei muss aber zum einen immer klar sein, was genau geprüft wurde, für welchen Geltungsbereich der Nachweis gilt und wie aktuell er ist. So sagt die Zertifizierung eines Rechenzentrums nicht automatisch alles über den darauf betriebenen Cloud-Dienst aus. Zum anderen ersetzen vertragliche Zusagen und „sichere“ Dienstleister keine Vorsicht im laufenden Betrieb. Deshalb endet die Sicherheitsbewertung für Unternehmen nicht mit der Anbieterwahl, sondern bleibt eine kontinuierliche Aufgabe.
Verantwortung zeigt sich im laufenden Betrieb
Anbieter und Kunden haben unterschiedliche Verantwortlichkeiten. Anbieter müssen ihre Dienste sicher entwickeln und betreiben, Schwachstellen bewerten und Kunden über relevante Risiken informieren. Unternehmen verantworten ihrerseits die Vergabe von Zugriffsrechten, den sachgerechten Einsatz der Lösung und die Reaktion auf Warnungen.
Werden kompromittierte Konten oder neue Schwachstellen bekannt, müssen Verantwortliche über Sperrungen, den Entzug von Freigaben oder vorübergehende Einschränkungen entscheiden. Das kann Abläufe stören und Rückfragen auslösen, ist aber unvermeidbar: Bekannte Risiken müssen zeitnah bewertet und angemessen behandelt werden – unabhängig davon, wann das nächste Audit ansteht.
Was das für netfiles bedeutet
Bei netfiles sind unabhängige Prüfungen ein fester Teil unseres Sicherheitskonzepts. Unser Informationssicherheits-Managementsystem wurde nach ISO/IEC 27001:2022 rezertifiziert; hinzu kommen eine Zertifizierung nach ISO 22301:2019, Testate nach BSI C5 (Typ 2) und SOC 2 (Type II) sowie regelmäßige Penetrationstests. Im Datenraum ergänzen unter anderem starke Authentifizierungs-Optionen, differenzierte Berechtigungen und Aktivitätenprotokolle diese Kontrollen.
Bleibt die Frage vom Anfang: Können wir mit den Erfahrungen aus früheren Angriffen solche Vorfälle verhindern? Nicht mit Sicherheit. Wir können ihre Wahrscheinlichkeit verringern, ihre Folgen begrenzen und für den Ernstfall vorsorgen.
Unsere Verantwortung endet aber weder mit einem bestandenen Audit noch mit dem Vertragsabschluss. Wir bewerten Risiken laufend, prüfen und schärfen unsere Schutzmaßnahmen und leiten bei konkreten Warnsignalen umgehend geeignete Maßnahmen ein. Für unseren eigenen Umgang mit Risiken und die Reaktion auf mögliche Sicherheitsvorfälle tragen wir aber die volle Verantwortung. Ein möglichst hohes Sicherheitsniveau bleibt dabei eine gemeinsame Aufgabe mit unseren Kunden. Daran müssen wir uns messen lassen.
Unser Appell: Selbst bei bestmöglichem Schutz und verantwortungsvollem Handeln können Sicherheitsvorfälle auftreten. Besonders alarmiert sollten deshalb diejenigen Organisationen sein, die bekannte Risiken nicht angehen und an veralteten Strukturen und Prozessen festhalten. Denn hier bestehen Sicherheitslücken, die sich oft schon heute vermeiden ließen.
Ein Kommentar von Patrick Reininger, Geschäftsführer der netfiles GmbH
Ansprechpartner
Julia Gleißner
+49 8677 91596-28
Datei-Anlagen:
(3 MB)
1485208.attachment
Passkeys schützen gegen Datendiebstahl und sind zudem einfacher in der Handhabung.
- Mehr Infos zu dieser Meldung unter www.pressebox.de
- zurück zur Übersicht
