Datenschutz, Informationssicherheit. Das war das Jahr 2025

Das Jahr 2025 war gekennzeichnet von weiterhin gestiegenen Angriffen auf IT-Infrastrukturen. Die Angriffe erfolgen mittlerweile nicht mehr nur zu Zwecken der Erpressung, indem beispielsweise Daten verschlüsselt und nur gegen Zahlung eines Lösegeldes wieder herausgegeben werden. Zu beobachten sind zunehmend auch Angriffe, die auf die reine Zerstörung von Infrastruktur abzielen, um ein Gefühl der ständigen Bedrohung zu schaffen. Sicherheitsfachleute gehen davon aus, dass diese Angriffe vorrangig Russland und seiner hybriden Kriegsführung zuzuordnen sind.

“Es ist ein bisschen wie die Drohnen, die über den Flughäfen kreisen gelassen werden, und die signalisieren sollen <wir sind da, wir haben euch im Blick und wenn wir wollten, könnten wir auch noch ganz anders>”,

sagte mir kürzlich ein Kollege in diesem Zusammenhang, und ich denke das beschreibt die Situation ganz gut.

Die Angriffsflächen, die Unternehmen bieten, haben ihre Ursache immer in nachlässig organisierter und kontrollierter Informationssicherheit. Beispiel: Berechtigungen für Accounts mit Administratorrechten sind in einem Unternehmen unter zahlreichen Mitarbeitenden im Umlauf, die diese gar nicht benötigen. Berechtigungen für Zugänge in ein Unternehmensnetzwerk werden nach Weggang eines Mitarbeiters nur gesperrt, nicht gelöscht. Die Sicherheitseinstellungen von Microsoft 365 sind nicht bekannt und abgesichert.

Unternehmen bieten aber auch Angriffsflächen, weil sie das Thema der Informationssicherheit immer noch nicht mit dem erforderlichen Ernst behandeln, sondern darin bürokratischen Aufwand und vermeidbare Kosten sehen. Diese Haltung mag in wirtschaftlich schwierigen Zeiten verständlich sein, kann aber im Fall von Cyberangriffen sehr teuer werden. Auch Versicherungen, die solche Vorfälle versichern, zahlen nur dann, wenn die Grundlagen stimmen und das jeweilige Unternehmen über eine angemessene Sicherheitsorganisation verfügt.

Hinzu kommt, dass es bei der Umsetzung und der Kontrolle hapert. Informationssicherheit bedeutet nicht, einmal Dokumente und Konzepte zu erstellen und sie auf der Festplatte ihrem Schicksal zu überlassen. Die Konzepte sind erst der Anfang. Sie müssen umgesetzt und die Umsetzung kontrolliert werden. Für die oben genannten Beispiele hießt das: es ist gut, wenn es im Unternehmen ein Berechtigungskonzept gibt, das die unternehmensinternen Verfahren zur Vergabe und zum Entzug von Berechtigungen regelt. Sofern diese Verfahren aber nicht eingehalten und kontrolliert werden, ist das Berechtigungskonzept eine leere Hülle. Schlimmstenfalls fällt erst bei den Aufräumarbeiten nach einem Angriff auf, dass die Umsetzung und die Kontrolle fehlten.

Diese Themen werden auch 2026 dominieren. Mit der Verabschiedung des deutschen Umsetzungsgesetztes für die europäische NIS2-Richtlinie in den letzten Tagen dieses Jahres haben nunmehr rund 30.000 Unternehmen erweitere gesetzliche Verpflichtungen, systematisch Cybersicherheit aufzubauen und zu verstärken. Und diese 30.000 sind nur die, die nicht schon nach den alten Vorgaben ohnehin zu den kritischen Infrastrukturen zählten. Das Bundesamt für die Sicherheit in der Informationstechnik (BSI) soll als Aufsichtsbehörde die Umsetzung kontrollieren. Ich bin gespannt, ob und wie das klappt.

Im Datenschutz stand in 2025 die Frage der Reform der DSGVO im Mittelpunkt. Gut sieben Jahre nach Beginn der allgemeinen Pflicht zur Umsetzung der DSGVO ist das richtig und gut. Leider nur wird die Diskussion weit überwiegend unter dem Stichwort „Entbürokratisierung“ geführt anstatt mit der Überschrift „Modernisierung des Datenschutzes“. Es steht zu befürchten, dass durch die von der EU-Kommission geplanten Änderungen die – ohnehin nicht gute – Lage des Datenschutzes weiter verschlechtert wird. Einzelheiten dazu folgen in einem der ersten Newsletter in 2026.

Kommen Sie gut ins neue Jahr!