Cybersicherheit von morgen: Fünf Verschiebungen, die heute beginnen

Über die Zukunft der Cybersicherheit wird viel orakelt. Mal sollen Quantencomputer jede Verschlüsselung brechen, mal soll künstliche Intelligenz Angriffe vollautomatisch abwehren. Beides ist in dieser Form übertrieben.

Trotzdem verschiebt sich gerade einiges. Die Veränderungen kommen nicht über Nacht, sondern schleichend: neue Werkzeuge bei Angreifern, neue Anmeldeverfahren, neue Pflichten für Unternehmen. Wer sie früh erkennt, kann in Ruhe planen, statt unter Druck zu reagieren.

Dieser Beitrag beschreibt fünf Entwicklungen, die bereits begonnen haben. Zu jeder erfahren Sie, was dahintersteckt und was sie für Ihren Betrieb bedeutet.

Täuschung wird billiger

Phishing-Mails waren lange an holpriger Sprache zu erkennen. Mit Sprachmodellen schreiben Angreifer heute fehlerfreie Nachrichten in jeder Sprache, zugeschnitten auf Branche und Empfänger. Das alte Warnsignal fällt damit weg.

Hinzu kommen gefälschte Stimmen und Videos, sogenannte Deepfakes. Schon aus kurzen Tonaufnahmen lässt sich eine Stimme nachbilden. Der bekannte Betrug, bei dem sich jemand als Geschäftsführer ausgibt und eine eilige Überweisung verlangt, wird dadurch glaubwürdiger.

Technik allein hilft hier wenig. Wirksam sind feste Abläufe. Zahlungen ab einer bestimmten Höhe gehen nur mit zweiter Freigabe hinaus. Neue Kontodaten gelten erst nach einem Rückruf über eine bekannte Nummer. Solche Regeln schützen auch dann, wenn die Täuschung perfekt ist. Mitarbeitende sollten zudem wissen, dass sie bei ungewöhnlichen Anweisungen nachfragen dürfen, auch bei der Chefin. Eine Kultur, in der Rückfragen erwünscht sind, ist ein wirksamer Schutz.

Auch Verteidiger nutzen KI. Sicherheitssysteme sortieren damit die Flut an Warnmeldungen vor und erkennen ungewöhnliches Verhalten im Netz. Das entlastet Fachleute, ersetzt sie aber nicht. Am Ende muss ein Mensch entscheiden, ob ein Alarm echt ist.

Neu ist zudem ein Risiko im eigenen Haus: KI-Assistenten. Haben sie Zugriff auf Postfächer und Dokumente, lassen sie sich durch versteckte Anweisungen in Texten manipulieren. Fachleute nennen das Prompt Injection. Solche Assistenten sollten deshalb nur die Rechte erhalten, die sie wirklich brauchen.

Das Passwort tritt ab

Gestohlene Passwörter gehören seit Jahren zu den häufigsten Einstiegen für Angreifer. Die Anmeldung mit einem zweiten Faktor hat die Lage verbessert, aber nicht gelöst. Codes per SMS oder App lassen sich auf gefälschten Seiten ebenfalls abfangen.

Passkeys gehen einen Schritt weiter. Statt eines Passworts speichert das Gerät einen kryptografischen Schlüssel, der nur für die echte Website gilt. Eine Phishing-Seite kann damit nichts anfangen, weil der Schlüssel nicht zu ihrer Adresse passt. Die Anmeldung bestätigen Sie per Fingerabdruck, Gesichtserkennung oder Geräte-PIN.

Die großen Betriebssysteme und Browser unterstützen das Verfahren inzwischen. In Unternehmen hakt es noch an älteren Anwendungen. Offen ist oft auch, wie man Zugänge nach einem Geräteverlust wiederherstellt. Ein Plan für diesen Fall gehört zur Einführung dazu. Der Gewinn ist doppelt: Phishing verliert eine seiner wichtigsten Beuten, und der Helpdesk muss seltener vergessene Passwörter zurücksetzen.

Verschlüsselung für die Zeit nach dem Quantencomputer

Leistungsfähige Quantencomputer könnten eines Tages heute übliche Verfahren wie RSA brechen. Wann das so weit ist, weiß niemand. Das Risiko beginnt aber schon jetzt. Angreifer können verschlüsselte Daten heute mitschneiden und später entschlüsseln, wenn die Technik reif ist.

Betroffen sind vor allem Daten, die lange geheim bleiben müssen: Patientenakten, Konstruktionspläne, Verträge, Forschungsergebnisse. Für sie zählt nicht, ob ein Quantencomputer in fünf Jahren kommt. Entscheidend ist, ob die Daten in fünfzehn Jahren noch schützenswert sind.

Die US-Normungsbehörde NIST hat im August 2024 erste Standards für quantensichere Verfahren veröffentlicht. Hersteller bauen sie nach und nach in Browser, Netzgeräte und Software ein. Für Unternehmen heißt das zunächst: wissen, wo welche Verschlüsselung im Einsatz ist. Nur wer das weiß, kann später gezielt umstellen.

Fachleute sprechen von Krypto-Agilität. Gemeint ist die Fähigkeit, Verschlüsselungsverfahren auszutauschen, ohne ganze Systeme neu zu bauen. Wer bei neuer Software darauf achtet, erspart sich später teure Umbauten.

Angriffe über Zulieferer

Statt ein gut geschütztes Unternehmen direkt anzugreifen, gehen Täter zunehmend über dessen Zulieferer. Eine kompromittierte Software, ein Update mit Schadcode oder ein Dienstleister mit Fernzugang öffnet viele Türen auf einmal. Ein einziger Fehler bei einem Anbieter kann so zahlreiche Kunden treffen.

Ein Beispiel: Ein Handwerksbetrieb lässt seine Rechner von einem IT-Dienstleister betreuen, der sich per Fernwartung einwählt. Wird dieser Dienstleister angegriffen, stehen den Tätern womöglich die Zugänge zu vielen seiner Kunden offen. Der Betrieb selbst hat dabei keinen Fehler gemacht.

Darauf reagiert die Branche mit mehr Transparenz. Eine Software-Stückliste, auf Englisch Software Bill of Materials, führt auf, aus welchen Bausteinen ein Programm besteht. Wird in einem Baustein eine Lücke bekannt, sehen Sie schnell, ob Sie betroffen sind.

Für Ihren Betrieb heißt das: Sicherheit gehört in den Einkauf. Fragen Sie Anbieter, wie sie Updates absichern, wie schnell sie Lücken schließen und wer bei Ihnen Fernzugang hat. Zugänge von Dienstleistern sollten zeitlich begrenzt und protokolliert sein.

Pflichten für deutlich mehr Unternehmen

Lange betrafen strenge Sicherheitsvorgaben vor allem Betreiber kritischer Infrastrukturen. Das ändert sich. Die EU-Richtlinie NIS2 erweitert den Kreis auf viele mittlere und große Unternehmen in zahlreichen Branchen, von der Abfallwirtschaft bis zur Lebensmittelherstellung. Sie verlangt Risikomanagement, Meldungen bei erheblichen Vorfällen und Schulungen für die Geschäftsleitung. Die Leitung muss die Maßnahmen zudem billigen und ihre Umsetzung überwachen. Sicherheit lässt sich damit nicht mehr vollständig an die IT abgeben.

Hinzu kommt der Cyber Resilience Act der EU. Er verpflichtet Hersteller von Produkten mit digitalen Elementen, Sicherheit über den ganzen Lebenszyklus zu gewährleisten. Dazu gehören Sicherheitsupdates und der Umgang mit gemeldeten Schwachstellen. Die Pflichten greifen schrittweise bis Ende 2027.

Sicherheit wandert vom Thema der IT-Abteilung zur Pflicht der Geschäftsleitung.

Prüfen Sie, ob Ihr Unternehmen unter die nationalen Umsetzungsregeln fällt. Auch wer nicht direkt betroffen ist, spürt die Folgen. Große Kunden reichen ihre Pflichten an Zulieferer weiter, etwa über Fragebögen und Vertragsklauseln.

Was Sie heute schon tun können

Keine dieser Entwicklungen verlangt hektisches Handeln. Einige Schritte lohnen sich aber jetzt, weil sie gegen mehrere Risiken zugleich helfen:

• Führen Sie für Zahlungen und Kontoänderungen eine zweite Freigabe und Rückrufe über bekannte Nummern ein.
• Stellen Sie wichtige Konten auf phishing-resistente Anmeldung um, wo die Anwendungen es erlauben.
• Erstellen Sie eine Übersicht, welche Systeme welche Verschlüsselung nutzen.
• Fragen Sie Zulieferer nach ihren Update-Prozessen und begrenzen Sie Fernzugänge.
• Klären Sie, ob NIS2 oder Kundenverträge Ihnen neue Pflichten auferlegen.
• Üben Sie einmal im Jahr, wie Sie auf einen Vorfall reagieren.

Der rote Faden bleibt derselbe wie bisher. Angreifer suchen den leichtesten Weg. Wer Abläufe klar regelt, Zugänge knapp hält und den Überblick über die eigene Technik behält, macht ihnen diesen Weg deutlich schwerer. Die meisten dieser Schritte kosten vor allem Zeit und Aufmerksamkeit, weniger Geld.