Source: Deutsche Nachrichten
Jahrzehntelang folgte die IT-Sicherheit einer einfachen Logik: die Angreifer draußen halten. Höhere Mauern, bessere Schlösser, dickere Firewalls. Diese Logik ist nicht falsch, aber sie beschreibt nicht mehr die Realität, mit der es Unternehmen heute zu tun haben
Denn die Angreifer haben ihr Vorgehen verändert. Im aktuellen M-Trends-Report 2026 von Mandiant (Google Cloud), der auf über 500.000 Stunden echter Vorfallsuntersuchungen aus dem Jahr 2025 beruht, beschreiben die Analysten einen systematischen Taktikwechsel: Erpresser-Gruppen greifen inzwischen gezielt die Systeme an, mit denen sich ein Unternehmen erholen würde, z.B. Backup-Infrastruktur, Identitätsdienste und die Verwaltung virtueller Server. Die Fachleute nennen das „recovery denial”, die Verweigerung der Wiederherstellung. Übersetzt heißt das: Der Angreifer kappt zuerst die Rettungsleine und schlägt erst dann zu. Wer sich allein auf Abwehr und ein nächtliches Backup verlässt, steht in dem Moment mit leeren Händen da.
Damit verschiebt sich die zentrale Frage von der Verhinderung zur Widerstandsfähigkeit. Genau hier liegt der Unterschied zwischen Cyber-Sicherheit und Cyber-Resilienz. Sicherheit will den Vorfall verhindern. Resilienz akzeptiert, dass er eintreten kann, und sorgt dafür, dass das Unternehmen ihn übersteht und schnell wieder arbeitsfähig ist. Für die Geschäftsführung ist das die eigentliche Risikofrage: Wie lange stehen wir still, was kostet uns das und kommen wir überhaupt wieder auf die Beine?
Diese Frage ist seit März 2026 auch eine rechtliche. Mit dem NIS2-Umsetzungsgesetz, das in Deutschland seit dem 6. März 2026 gilt, sind schätzungsweise 29.500 Unternehmen aus 18 Sektoren zu einem Mindestmaß an Cyber-Risikomanagement verpflichtet. Die Verantwortung lässt sich spätestens seitdem nicht mehr vollständig an die IT-Abteilung oder einen Dienstleister delegieren. Das Gesetz nimmt die Leitungsorgane persönlich in die Pflicht, inklusive Haftungsrisiko und Schulungspflicht. Cyber-Sicherheit ist damit endgültig von einem IT-Thema zu einer Aufgabe der Unternehmensführung geworden.
Wer sich dem Thema nähern will, ohne zu versinken, kann jede Maßnahme an drei einfachen Fragen ausrichten.
Erstens: Können wir einen Angriff abwehren? Das sind die klassischen Schutzmaßnahmen, also zum Beispiel geschützte Zugänge, aktuelle Systeme und ein zweiter Anmeldeschritt (Multi-Faktor-Authentifizierung) bei den wichtigsten Konten. Wichtig, weil gestohlene Zugangsdaten laut Mandiant zu den häufigsten Einfallstoren zählen. Aber Abwehr allein genügt nicht.