NIS-2: Geschäftsführer haften jetzt persönlich für Cyberangriffe

Cybersecurity Grundlagen entscheiden 2026 darüber, ob ein deutscher Mittelständler durch das nächste Geschäftsjahr kommt. Jeder neunte Internetnutzer hierzulande war 2025 bereits Opfer einer Cyberattacke. Die Bußgelder erreichen mittlerweile 10 Mio. €, die persönliche Haftung der Geschäftsführer gilt seit Dezember 2025.

Vor zwanzig Jahren genügte ein Virenscanner und ein Backup. 2026 reicht das nicht mehr. PwC weist 89 Prozent der deutschen Unternehmen als Opfer von Datendiebstahl der vergangenen drei Jahre aus. Der Gesetzgeber bürdet Geschäftsführern persönlich die Verantwortung auf. Das Thema gehört in die Chefetage, nicht in den Server-Raum. Die wichtigsten Cybersecurity Grundlagen lassen sich innerhalb eines Nachmittags verstehen, die Umsetzung dauert Monate.

Das Wichtigste in Kürze

• 11 Prozent der deutschen Internetnutzer wurden 2025 Opfer von Cyberkriminalität (BSI-Cybersicherheitsmonitor 2026)
• Rund 29.500 Unternehmen in Deutschland fallen unter die NIS-2-Richtlinie, seit 6. Dezember 2025 ohne Übergangsfrist gültig
• Bußgelder bei NIS-2-Verstößen reichen bis 10 Mio. € oder 2 Prozent des Jahresumsatzes
• Der deutsche IT-Sicherheitsmarkt wächst laut Bitkom 2026 auf 12,2 Mrd. €, ein Plus von rund 10 Prozent gegenüber 2025

Ihr Kenntnisstand?

Was bedeutet Cybersecurity eigentlich?

Cybersecurity, IT-Sicherheit und Informationssicherheit unterscheiden sich grundlegend in ihren Schutzbereichen und regulatorischen Anforderungen

Drei Begriffe geistern durch die Branche und werden gerne durcheinandergeworfen: Cybersecurity, IT-Sicherheit und Informationssicherheit. Die Unterscheidung ist keine akademische Pedanterie. Drei verschiedene Schutzbereiche stecken dahinter, mit verschiedenen regulatorischen Konsequenzen.

Cybersecurity meint den Schutz vor Angriffen über das Internet oder andere digitale Netze. Der Fokus liegt auf externen Bedrohungen. IT-Sicherheit umfasst weiter und schützt alle technischen Systeme eines Unternehmens, also auch interne Netzwerke, Server und Endgeräte. Informationssicherheit greift am breitesten. Die Disziplin schützt jede Form von Information, ob digital, ob auf Papier, ob im Kopf von Mitarbeitern.

Cybersecurity bezeichnet also nur einen Ausschnitt. Aber den entscheidenden. Mehr als 95 Prozent der Vorfälle in deutschen Unternehmen passieren über digitale Angriffsvektoren.

Im Kern jeder Schutzstrategie steht die sogenannte CIA-Triade, die nichts mit einem Geheimdienst zu tun hat. Drei Schutzziele bilden das Fundament:

• Vertraulichkeit (Confidentiality): Daten gelangen nur an Berechtigte
• Integrität (Integrity): Daten bleiben unverändert und manipulationsfrei
• Verfügbarkeit (Availability): Daten und Systeme sind nutzbar, sobald man sie braucht

Cybersecurity Grundlagen lassen sich an diesem Dreieck festmachen. Jede Schutzmaßnahme zielt auf mindestens eines der drei Ziele. Wer das verinnerlicht hat, kann jede Sicherheitsdiskussion sortieren.

Wer steht 2026 im Fadenkreuz und warum gerade KMU?

Mittelständler haben im Schnitt fünf bis zehn Mal weniger Sicherheitsbudget als DAX-Konzerne.

Die Vorstellung, kleine Unternehmen seien zu unbedeutend für Angreifer, hat sich überlebt. Mittelständler sind heute die bevorzugten Ziele, gerade weil Mittelständler unbedeutend wirken. Großkonzerne investieren laut Bitkom jährlich Hunderttausende Euro in ihre Sicherheitsarchitektur. Ein 50-Personen-Betrieb hat dieses Budget selten.

Der Cybersicherheitsmonitor 2026 des Bundesamts für Sicherheit in der Informationstechnik (BSI) zeichnet ein nüchternes Bild. 11 Prozent der deutschen Internetnutzer wurden 2025 Opfer einer Cyberattacke. Die Beratungsgesellschaft PwC kommt in ihrer Studie „Digital Trust Insights 2026″ auf 89 Prozent deutscher Firmen, die in den vergangenen drei Jahren von Datendiebstahl oder -missbrauch betroffen waren.

Drei Gründe machen Mittelständler besonders verwundbar:

• Geringere Sicherheitsbudgets erlauben keine 24/7-Überwachung
• Spezialisiertes IT-Personal fehlt oft komplett oder liegt in der Hand einer einzigen Person
• Lieferketten verbinden den Mittelstand mit DAX-Konzernen, die als eigentliche Ziele angesteuert werden

Der dritte Punkt wird unterschätzt. Angreifer kompromittieren gezielt einen kleinen Dienstleister, um über dessen Verbindung in ein Großunternehmen zu gelangen. Der SolarWinds-Vorfall von 2020 war das Lehrbuchbeispiel. Ohne solide Cybersecurity Grundlagen wird der Mittelständler zum Türöffner für den DAX-Konzern.

Hinzu kommt der ökonomische Hintergrund. Der deutsche IT-Sicherheitsmarkt wuchs 2025 nach Angaben des Branchenverbands Bitkom auf 11,1 Mrd. €. Für 2026 prognostiziert Bitkom 12,2 Mrd. €, ein Plus von 9,9 Prozent. Unternehmen investieren nicht aus Selbstzweck, sondern weil die Schadensbilanz ohne Investition deutlich höher ausfällt.

RisikofaktorGroßkonzernKMU

Sicherheitsbudget pro Jahr	1 Mio. € und mehr	5.000 € bis 50.000 €
Dedizierte IT-Security-Stelle	Pflicht	Selten
24/7-Monitoring	Standard	Ausnahme
Phishing-Awareness-Training	Quartalsweise	Selten oder gar nicht
Angriffsfläche pro Mitarbeiter	Gemanagt	Häufig unkontrolliert

Eine ehrliche Anwendung dieser Tabelle auf das eigene Unternehmen zeigt meist sofort, wo der eigene Betrieb steht. Die Lücke zwischen Konzern-Standard und KMU-Realität ist die Lücke, die Angreifer wirtschaftlich nutzen.

Welche Angriffsarten müssen Sie kennen?

Sieben Angriffstypen prägen das Cybercrime-Geschehen 2026: Ransomware, Phishing, BEC, Supply-Chain, DDoS, Insider und Deepfake.

Cyberkriminelle arbeiten arbeitsteilig und industrialisiert. Ein wirksamer Schutz beginnt mit dem Erkennen der wichtigsten Kategorien. Sieben Angriffstypen prägen das Geschehen 2026.

Ransomware

Ein Angreifer dringt ins Netzwerk ein, verschlüsselt alle erreichbaren Dateien und verlangt Lösegeld. Die Methode ist alt, aber industrialisiert. Cybercrime-Gruppen bieten Ransomware-as-a-Service: Auftragsentwickler bauen die Schadsoftware, Affiliates führen die Angriffe aus, ein Prozentsatz der Beute geht an die Plattformbetreiber. Die Forderungen variieren stark. Das BSI berichtet von Beträgen zwischen 50.000 und mehreren Millionen Euro pro Vorfall.

Der häufigste Einstieg in Unternehmensnetzwerke führt nicht über technische Lücken, sondern über Menschen. Eine täuschend echte E-Mail vom vermeintlichen Vorstand, ein Anruf des angeblichen IT-Supports, eine SMS mit Zahlungsaufforderung. Generative KI hat diese Methode 2025 und 2026 deutlich gefährlicher gemacht, weil die Texte mittlerweile fehlerfrei und kontextbezogen erscheinen.

Business E-Mail Compromise (BEC)

Eine spezialisierte Phishing-Variante. Angreifer kompromittieren einen E-Mail-Account, beobachten den Mailverkehr wochenlang und greifen exakt im richtigen Moment ein, etwa bei einer laufenden Rechnungstransaktion. Der vermeintliche Lieferant teilt dann „geänderte Bankdaten“ mit, das Geld geht auf ein Angreifer-Konto.

Supply-Chain-Angriffe

Ein Angriff auf einen Software-Anbieter oder Cloud-Dienstleister erreicht über dessen Update-Mechanismus alle Kunden gleichzeitig. SolarWinds (2020), Kaseya (2021) und MOVEit (2023) markierten die schmerzlichen Lernkurven der Branche. Die EU hat darauf mit dem Cyber Resilience Act reagiert, der Software-Hersteller zur Sorgfalt verpflichtet.

Distributed Denial of Service (DDoS)

Tausende kompromittierte Geräte fluten gleichzeitig einen Server mit Anfragen. Ziel ist nicht der Datendiebstahl, sondern die Lahmlegung. Onlineshops verlieren während eines DDoS-Angriffs ihren Umsatz, oft kombiniert mit einer Erpressung: Zahlen Sie, dann hört der Angriff auf.

Insider-Bedrohung

Nicht jeder Angriff kommt von außen. Frustrierte Mitarbeiter, gekündigte Administratoren oder schlicht unvorsichtige Kollegen verursachen einen erheblichen Teil der Vorfälle. Das BSI schätzt den Anteil interner Verursachung zwischen 15 und 30 Prozent.

Deepfake-Angriffe

Eine Stimm-Imitation des Geschäftsführers per Telefon, ein gefälschtes Videocall-Gesicht in einer Microsoft-Teams-Sitzung. Was 2023 noch Forschungsthema war, gehört 2026 zum Geschäftsalltag. Ein bekannter Hongkong-Fall aus 2024 kostete ein Unternehmen mehrere Millionen Euro Schaden nach einer per Deepfake gefälschten Videokonferenz.

Mit diesen sieben Typen ist das Bedrohungsalphabet umrissen. Alle weiteren Angriffsformen sind Varianten oder Kombinationen.

Wie verändern NIS-2 und der Cyber Resilience Act die Spielregeln?

Rund 29.500 deutsche Unternehmen fallen unter die NIS-2-Pflicht, seit 6. Dezember 2025 ohne Übergangsfrist.

Die EU hat in den letzten beiden Jahren ein regulatorisches Bauwerk errichtet, das die Cybersecurity-Pflichten europäischer Unternehmen grundlegend neu definiert. Zwei Gesetze stehen im Mittelpunkt: die NIS-2-Richtlinie und der Cyber Resilience Act (CRA).

Die NIS-2-Richtlinie trat EU-weit 2023 in Kraft und musste bis Oktober 2024 in nationales Recht überführt werden. Deutschland brauchte länger. Das NIS-2-Umsetzungsgesetz wurde am 13. November 2025 vom Bundestag beschlossen und trat am 6. Dezember 2025 ohne Übergangsfrist in Kraft.

Der Kreis der betroffenen Unternehmen weitet sich massiv. Schätzungen sprechen von rund 29.500 Firmen in Deutschland, die jetzt unter die Vorschrift fallen. Bisher waren nur kritische Infrastrukturen reguliert, jetzt auch Lebensmittelproduzenten, Verkehrsbetriebe, Lieferdienste, Forschungseinrichtungen und digitale Dienstleister.

Die Pflichten sind konkret:

• Risikomanagement-Maßnahmen müssen dokumentiert und nachweisbar sein
• Sicherheitsvorfälle sind innerhalb von 24 Stunden zu melden, ein Detailbericht folgt nach 72 Stunden
• Lieferketten müssen sicherheitsseitig überprüft werden
• Geschäftsführer haften persönlich für Versäumnisse

Der letzte Punkt verändert das Spielfeld. Bisher konnten Manager die Verantwortung an den IT-Leiter delegieren. Mit NIS-2 ist diese Delegation vorbei. Ein nachgewiesener Pflichtverstoß führt zu Bußgeldern bis 10 Mio. € oder 2 Prozent des weltweiten Jahresumsatzes, je nachdem, was höher ausfällt. Im Wiederholungsfall kann ein Geschäftsführer von der Tätigkeit ausgeschlossen werden.

Am 20. Januar 2026 hat die EU-Kommission Anpassungen vorgeschlagen, die rund 28.700 Unternehmen die Compliance erleichtern sollen, darunter 6.200 Kleinst- und Kleinunternehmen. Die Erleichterungen mildern die Pflichten nicht ab, sondern bündeln Meldewege und vereinheitlichen Risikomanagement-Standards.

Der Cyber Resilience Act (CRA) richtet sich an Hersteller digitaler Produkte. Software, IoT-Geräte und vernetzte Maschinen müssen ab 11. Dezember 2027 eine Software Bill of Materials (SBOM) liefern, also eine vollständige Auflistung aller Software-Komponenten. Bereits ab 11. September 2026 greift die Meldepflicht für aktiv ausgenutzte Schwachstellen. Verstöße kosten bis 15 Mio. € oder 2,5 Prozent des Weltumsatzes.

NIS-2 hat die Cybersecurity Grundlagen vom Pflichtprogramm der IT-Abteilung in das persönliche Risiko des Geschäftsführers verschoben. Eine Excel-Tabelle als Risikomanagement wird beim ersten Vorfall sehr schnell sehr teuer.

— Markus Seyfferth, Chefredakteur Dr. Web

Welche Schutzschichten gehören in jedes Unternehmen?

Defense in Depth: Technik, Prozesse und Mensch bilden die drei Verteidigungslinien moderner Cybersecurity.

Cybersecurity Grundlagen folgen einem alten Prinzip: Defense in Depth. Mehrere Verteidigungslinien stehen hintereinander. Ein Angriff, der die erste Linie durchbricht, scheitert an der zweiten. Drei Ebenen bilden das Gerüst.

Technische Schutzmaßnahmen

Auf der technischen Ebene gehören vier Bausteine zur Mindestausstattung. Eine Multi-Faktor-Authentifizierung (MFA) auf allen geschäftlichen Konten, idealerweise mit Passkeys oder Hardware-Token. Klassische SMS-TANs gelten mittlerweile als unsicher und sollten vermieden werden.

Eine Endpoint-Detection-and-Response-Lösung (EDR) überwacht alle Endgeräte auf verdächtiges Verhalten und schlägt bei Anomalien Alarm.

Regelmäßige Backups mit getrenntem Speicherort. Das BSI empfiehlt die 3-2-1-Regel: drei Kopien, zwei verschiedene Medientypen, eine Kopie offline.

Patch-Management: Jede Software wird laufend aktualisiert, denn 60 bis 80 Prozent aller erfolgreichen Angriffe nutzen bekannte, aber ungepatchte Schwachstellen.

Organisatorische Schutzmaßnahmen

Technik allein reicht nicht. Prozesse gehören dokumentiert. Welche Rolle hat welche Rechte? Welche Person entscheidet im Ernstfall? Welche Stelle kommuniziert mit Kunden, Presse und Behörden?

Ein Informationssicherheits-Managementsystem (ISMS) strukturiert diese Fragen. Die Norm ISO 27001 hat sich als Branchenstandard etabliert, das BSI bietet mit dem IT-Grundschutz eine deutsche Variante. Ein ausführlicher Praxisleitfaden zu diesem Thema findet sich im Dr.-Web-Pillar zur Informationssicherheit im Unternehmen.

Menschliche Schutzmaßnahmen

Mitarbeiter sind die häufigste Schwachstelle und gleichzeitig die wirkungsvollste Verteidigungslinie. Awareness-Training erhöht nachweislich die Klickrate auf Phishing-Tests um 30 bis 50 Prozent nach drei Monaten Schulung.

Dabei zählt weniger die einmalige Veranstaltung, sondern die kontinuierliche Wiederholung. Quartalsweise simulierte Phishing-Mails halten das Thema präsent.

Ein Detail, das oft vergessen wird: eine offene Fehlerkultur. Mitarbeiter müssen einen Vorfall melden können, ohne Sanktionen zu fürchten. Eine schnelle Meldung nach einer versehentlichen Phishing-Klick-Aktion ermöglicht der IT-Abteilung, den Schaden zu begrenzen.

Warum Zero Trust und Identity-First Security keine Buzzwords mehr sind

Zero Trust ersetzt die Burgenmauer-Architektur durch kontextbezogene Zugriffsprüfung bei jedem Klick.

Lange Jahre dachten Sicherheitsteams in Burgenmauern. Die Firewall trennte „drinnen“ von „draußen“, innerhalb des Netzwerks galt eine grundsätzliche Vertrauensvermutung. Der klassische Perimeter-Gedanke trägt in der Cloud-Ära nicht mehr.

Heute arbeiten Mitarbeiter im Homeoffice, auf Reisen, vom Café aus. Anwendungen liegen bei AWS, Azure oder Google Cloud. Lieferanten greifen via API auf Daten zu. Eine Burg im Internet ohne klare Grenzen lässt sich nicht mehr definieren.

Zero Trust dreht das Prinzip um. Kein Gerät, kein Nutzer, keine Anwendung gilt per se als vertrauenswürdig. Jeder Zugriff wird einzeln geprüft, kontextabhängig autorisiert und kontinuierlich verifiziert. Die zentrale Frage lautet nicht mehr „Ist der Nutzer im Firmennetz?“, sondern „Stimmen Identität, Gerät und Verhalten zu diesem Zugriff?“.

Das Konzept wirkt anspruchsvoll, lässt sich aber pragmatisch umsetzen. Drei Bausteine genügen für den Einstieg:

• Eine starke Identitätsprüfung mit MFA bei jedem Zugriff
• Eine kontextbasierte Zugriffspolitik (Standort, Tageszeit, Gerätestatus)
• Eine Mikrosegmentierung des Netzwerks, sodass kompromittierte Konten nur einen begrenzten Radius haben

Computer Weekly weist 2026 darauf hin, dass Identity-First Security das Rückgrat moderner Cyberresilienz bildet. Der Fachkräftemangel beschleunigt diese Entwicklung. Laut ISC2-Workforce-Daten 2024 fehlten weltweit fast 4,8 Mio. Cybersecurity-Spezialisten.

Ohne Budget für eine 24/7-Belegschaft im Security Operations Center verlagert sich die Kontrolle in die Identitätsschicht. Dort entscheidet ein Regelwerk automatisch, was ein Großteil eines manuell überwachten Netzwerks früher leistete. Zero Trust gehört damit zu den Cybersecurity Grundlagen, die jeder neue Architekturentwurf 2026 berücksichtigt.

Was tun, wenn der Ernstfall eintritt?

NIS-2 verlangt eine Erstmeldung an das BSI innerhalb von 24 Stunden nach Erkennen eines erheblichen Vorfalls.

Die Frage ist nicht, ob ein Vorfall passiert, sondern wann. Improvisation im Akutfall kostet Zeit, Reputation und unter Umständen die wirtschaftliche Existenz. Ein vorbereiteter Incident-Response-Plan macht den Unterschied.

Sechs Phasen prägen jeden Incident-Response-Prozess:

PhaseWas passiertEntscheidungsträger

1. Vorbereitung	Pläne, Tools, Verträge stehen bereit	Geschäftsführung
2. Erkennung	Anomalie wird identifiziert	IT/Security
3. Eindämmung	Schadensausbreitung wird gestoppt	IT-Lead
4. Beseitigung	Schadcode wird entfernt	IT/Forensik
5. Wiederherstellung	Systeme gehen zurück in Produktion	IT, Fachabteilungen
6. Nachbereitung	Lessons Learned und Verbesserung	Gesamtteam

Die Vorbereitungsphase wird am häufigsten unterschätzt. Die Suche nach einem Forensik-Dienstleister im Ernstfall, der Kontakt zu einer Rechtsanwaltskanzlei und die Erreichbarkeit des Datenschutzbeauftragten kosten wertvolle erste Stunden. Vorbereitete Verträge mit externen Spezialisten zahlen sich aus, sobald der Vorfall eintritt.

Die Meldepflichten verkomplizieren die Lage. NIS-2 verlangt eine Erstmeldung an das BSI innerhalb von 24 Stunden, einen Detailbericht innerhalb von 72 Stunden, einen Abschlussbericht innerhalb eines Monats. Bei personenbezogenen Daten greift zusätzlich die DSGVO mit eigener 72-Stunden-Frist. Verpasste Fristen führen zu separaten Bußgeldern oben drauf.

Eine Cyber-Versicherung kann den finanziellen Schaden mildern, ersetzt aber keinen Plan. Versicherer prüfen genau, ob die Mindestschutzmaßnahmen eingehalten wurden. Fehlende Maßnahmen führen im Schadensfall zur Leistungsverweigerung.

Mehr zur Compliance-Seite und den Bußgeldern der vergangenen Jahre liefert der Dr.-Web-Beitrag Compliance im Unternehmen: Der vollständige Leitfaden.

Wo fangen KMU mit kleinem Budget an?

Sechs Schritte bringen einen Mittelständler in die obere Hälfte der deutschen Cybersecurity-Landschaft.

Ein KMU mit 30 Mitarbeitern und einem Sicherheitsbudget von 10.000 € pro Jahr kann nicht parallel Zero Trust einführen, ein Security Operations Center betreiben und 100 Prozent NIS-2-konform sein. Priorisierung entscheidet.

Sechs Schritte bilden eine pragmatische Roadmap:

Schritt 1: Bestandsaufnahme

Welche Daten sind kritisch? Welche Systeme verarbeiten diese Daten? Welche Lieferanten haben Zugriff? Eine ehrliche Liste auf einem Blatt Papier hilft mehr als jede teure Software.

Schritt 2: MFA überall einführen

Erst die Geschäftsführungs-Konten, dann die Admin-Konten, dann alle Mitarbeiter. Diese Maßnahme kostet wenig, blockiert aber laut Microsoft-Datenanalyse 99,9 Prozent automatisierter Angriffe.

Schritt 3: Backup-Strategie etablieren

3-2-1-Regel umsetzen, Restore mindestens einmal jährlich testen. Ein Backup, das nicht funktioniert, ist kein Backup.

Schritt 4: Patch-Management automatisieren

Betriebssysteme, Browser, Office-Software, Spezial-Anwendungen. Auch eingebettete Geräte und Drucker gehören in den Patch-Zyklus.

Schritt 5: Awareness-Training starten

Quartalsweise Phishing-Simulationen, kurze E-Learning-Module. Die Kosten betragen oft weniger als ein verlorener Tagessatz nach einem Vorfall.

Schritt 6: Incident-Response-Vertrag abschließen

Ein Dienstleister auf Abruf, der im Ernstfall innerhalb von Stunden vor Ort oder remote unterstützt. Verträge ohne Akutvorfall sind günstig, im Ernstfall lebensrettend.

Diese sechs Schritte decken die wesentlichen Cybersecurity Grundlagen ab und bringen ein KMU schon in die obere Hälfte der deutschen Sicherheitslandschaft. Auf dieser Basis bauen sich Zero Trust, ISO 27001 oder ein vollständiger IT-Grundschutz nach BSI auf.

Ein praktischer Anwendungsfall, der konkret aus der NIS-2-Welt stammt: sichere E-Mail-Kommunikation im Unternehmen. Die Best Practices für sichere E-Mail im Unternehmen zeigen, wie ein einzelner Baustein praxistauglich umgesetzt wird.

Haben Sie sich schon gefragt, warum NIS-2 ausgerechnet jetzt scharfgestellt wird, obwohl Cyberangriffe seit Jahrzehnten zunehmen? Die ehrliche Antwort lautet: weil die Lieferketten der europäischen Wirtschaft mittlerweile so eng verflochten sind, dass ein einzelner kompromittierter Mittelständler eine Krise auslösen kann.

NIS-2 ist weniger ein Strafgesetz und mehr eine Infrastruktur-Schutzmaßnahme. Mit diesem Verständnis erscheinen die Pflichten als das, was die Pflichten sind: Bestandteil moderner Geschäftsführung.

Glossar: 15 wichtige Fachbegriffe zu Cybersecurity

15 zentrale Fachbegriffe der Cybersecurity, kompakt erklärt für Entscheider im Mittelstand.

Backup

Eine Sicherungskopie von Daten, die im Schadensfall die Wiederherstellung erlaubt. Best Practice ist die 3-2-1-Regel: drei Kopien auf zwei verschiedenen Medien, eine davon offline gelagert. Backups gehören regelmäßig getestet, sonst zeigen die Sicherungen erst im Ernstfall ihre Lücken.

BSI

Das Bundesamt für Sicherheit in der Informationstechnik ist die zentrale Cybersicherheits-Behörde des Bundes mit Sitz in Bonn. Das BSI veröffentlicht Standards (IT-Grundschutz, BSI 200-Reihe), warnt vor aktuellen Bedrohungen, betreibt ein Computer Emergency Response Team (CERT-Bund) und ist Aufsichtsbehörde für NIS-2 und den Cyber Resilience Act.

Business E-Mail Compromise (BEC)

Spezialisierte Betrugsform, bei der Angreifer einen E-Mail-Account übernehmen, wochenlang den Schriftverkehr beobachten und im richtigen Moment eine gefälschte Zahlungsanweisung einschleusen. Schadenshöhe pro Vorfall häufig im sechs- bis siebenstelligen Bereich. Wichtigster Schutz: Vier-Augen-Prinzip bei Zahlungsfreigaben und Rückruf über bekannte Telefonnummer bei Bankdatenänderungen.

CIA-Triade

Die drei klassischen Schutzziele jeder Cybersecurity-Strategie: Confidentiality (Vertraulichkeit), Integrity (Integrität), Availability (Verfügbarkeit). Jede Sicherheitsmaßnahme zielt auf mindestens eines dieser drei Ziele. Wird häufig erweitert um Authentizität und Nachweisbarkeit.

Cyber Resilience Act (CRA)

EU-Verordnung für Hersteller digitaler Produkte. Trat am 11. Dezember 2024 in Kraft, volle Anwendung ab 11. Dezember 2027. Verpflichtet Hersteller zu Sicherheits-by-Design, Schwachstellen-Management über den Produkt-Lebenszyklus und einer Software Bill of Materials. Bußgelder bis 15 Mio. € oder 2,5 Prozent des Weltumsatzes.

Defense in Depth

Sicherheitsprinzip mit mehreren übereinander gestaffelten Verteidigungslinien. Bricht ein Angreifer die erste durch, scheitert die Attacke an der zweiten. Klassischer Aufbau: Perimeter-Schutz, Netzwerk-Segmentierung, Endgerätesicherung, Identitäts- und Zugriffskontrolle, Datenverschlüsselung.

DSGVO

Die Datenschutz-Grundverordnung der EU regelt seit 2018 den Umgang mit personenbezogenen Daten. Cybersecurity-relevant sind insbesondere die Meldepflicht bei Datenpannen innerhalb von 72 Stunden und die Pflicht zu „angemessenen technischen und organisatorischen Maßnahmen“ (Artikel 32). Bußgelder bis 20 Mio. € oder 4 Prozent des Weltumsatzes.

Endpoint Detection and Response (EDR)

Sicherheitslösung, die alle Endgeräte (Laptops, Server, Smartphones) kontinuierlich auf verdächtige Aktivitäten überwacht und automatisiert reagieren kann. Modernere Variante des klassischen Virenscanners. Wichtige Komponente jeder NIS-2-konformen Mindestausstattung.

Incident Response

Strukturierter Prozess zur Bewältigung eines Cybersicherheits-Vorfalls. Sechs Phasen: Vorbereitung, Erkennung, Eindämmung, Beseitigung, Wiederherstellung, Nachbereitung. Ohne Incident-Response-Plan beginnt die Improvisation im Ernstfall und kostet wertvolle Zeit, die laut NIS-2 streng reguliert ist.

ISO 27001

Internationaler Standard für Informationssicherheits-Managementsysteme (ISMS). Definiert Anforderungen an Aufbau, Betrieb und kontinuierliche Verbesserung eines ISMS. Eine Zertifizierung deckt rund 70 bis 80 Prozent der NIS-2-Anforderungen ab und ist im B2B-Geschäft zunehmend Voraussetzung für Lieferantenverträge.

Multi-Faktor-Authentifizierung (MFA)

Anmeldeverfahren mit mindestens zwei Faktoren aus den Kategorien Wissen (Passwort), Besitz (Token, Smartphone) und Inhärenz (Fingerabdruck, Gesicht). Blockiert laut Microsoft-Datenanalyse 99,9 Prozent automatisierter Angriffe. Klassische SMS-TANs gelten als veraltet, Passkeys und Hardware-Token (FIDO2) sind aktueller Standard.

NIS-2-Richtlinie

EU-Richtlinie zur Stärkung der Cybersicherheit, in Deutschland umgesetzt durch das NIS-2-Umsetzungsgesetz vom 6. Dezember 2025. Betrifft rund 29.500 Unternehmen aus 18 Sektoren. Pflichten: Risikomanagement, 24-Stunden-Meldung von Vorfällen, Lieferketten-Sicherheit, persönliche Haftung der Geschäftsleitung. Bußgelder bis 10 Mio. € oder 2 Prozent des Weltumsatzes.

Phishing

Massenhafte Versuche, über gefälschte E-Mails, SMS oder Webseiten an Anmeldedaten, Zahlungsinformationen oder Schadcode-Klicks zu gelangen. Generative KI hat Phishing 2025 und 2026 deutlich verbessert: keine Rechtschreibfehler mehr, kontextbezogene Anreden, deepfake-fähige Sprachanrufe. Quartalsweise simulierte Phishing-Mails senken die Klickrate nachweislich.

Ransomware

Schadsoftware, die Daten auf dem Zielsystem verschlüsselt und für die Entschlüsselung Lösegeld fordert. Industriell organisiert als Ransomware-as-a-Service. Doppelte Erpressung üblich: Lösegeld für Entschlüsselung plus Schweigegeld gegen Veröffentlichung gestohlener Daten. Das BSI rät grundsätzlich von Lösegeldzahlungen ab.

Zero Trust

Sicherheitsarchitektur, die jeden Zugriff einzeln prüft, statt einem internen Netzwerk pauschal zu vertrauen. Drei Bausteine: starke Identitätsprüfung mit MFA, kontextbasierte Zugriffspolitik (Standort, Gerät, Tageszeit), Mikrosegmentierung des Netzwerks. Ersetzt das veraltete Burgenmauer-Modell der klassischen Firewall-Architektur.

FAQ: Cybersecurity Grundlagen: Was KMU 2026 können müssen

Die sechs häufigsten Fragen zu Cybersecurity Grundlagen für KMU, kompakt beantwortet.

Quellen

BSI-Cybersicherheitsmonitor 2026 und Bitkom-Bericht zum zweistelligen Wachstum des deutschen IT-Sicherheitsmarkts

Bundesamt für Sicherheit in der Informationstechnik | Cybersicherheitsmonitor 2026 | https://www.bsi.bund.de/DE/Themen/Verbraucherinnen-und-Verbraucher/Leistungen-und-Kooperationen/Digitaler-Verbraucherschutz/Digitalbarometer/digitalbarometer_node.html | besucht am 11.05.2026

Bitkom e. V. | Deutscher Markt für IT-Sicherheit wächst zweistellig | https://www.bitkom.org/Presse/Presseinformation/Deutscher-Markt-IT-Sicherheit-waechst-zweistellig | besucht am 11.05.2026

PwC Deutschland | Studie Global Digital Trust Insights 2026 | https://www.pwc.de/de/pressemitteilungen/2025/89-prozent-der-deutschen-unternehmen-von-datenklau-betroffen.html | besucht am 11.05.2026

Bundesregierung | Gesetz zur Umsetzung der NIS-2-Richtlinie (NIS2UmsuCG) | https://www.bsi.bund.de/DE/Themen/Regulierte-Wirtschaft/NIS-2-regulierte-Unternehmen/nis-2-regulierte-unternehmen_node.html | besucht am 11.05.2026

IHK Magdeburg | NIS-2-Umsetzungsgesetz: gesetzliche Anforderungen zur IT-Sicherheit | https://www.ihk.de/magdeburg/unternehmensinteressen/it-sicherheit/gesetzgebung/nis2-6096160 | besucht am 11.05.2026

Europäische Kommission | NIS2-Richtlinie und Cybersicherheitspaket Januar 2026 | https://digital-strategy.ec.europa.eu/de/policies/nis2-directive | besucht am 11.05.2026

activeMind.legal | Cyber Resilience Act für Unternehmen erklärt | https://www.activemind.legal/de/guides/cra/ | besucht am 11.05.2026

BSI | Cyber Resilience Act Zeitplan und Übergangsfristen | https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Informationen-und-Empfehlungen/Cyber_Resilience_Act/cyber_resilience_act_node.html | besucht am 11.05.2026

ISC2 | 2025 Cybersecurity Workforce Study | https://www.isc2.org/Insights/2025/12/2025-ISC2-Cybersecurity-Workforce-Study | besucht am 11.05.2026

Handelsblatt | Cybersicherheitsmonitor 2026: Jeder neunte Onliner von Cyberkriminalität betroffen | https://www.handelsblatt.com/technik/it-internet/cybersicherheitsmonitor-2026-jeder-neunte-onliner-von-cyberkriminalitaet-betroffen/100224007.html | besucht am 11.05.2026