Security News, Folge 18

Hallo und herzlich willkommen! Schön, dass Sie wieder dabei sind! Wir haben auch diesmal besonders relevante Meldungen zur Cybersicherheit für Sie zusammengestellt, die Ihnen in Ihrem beruflichen Alltag von praktischem Nutzen sein werden. In den Shownotes finden Sie hilfreiche Links, die die Meldungen ergänzen und weiterführen. Jetzt reinhören, abonnieren und mit Sicherheit immer gut informiert sein, in weniger als zehn Minuten! Beginnen wir mit neuen Veröffentlichungen aus dem Verfassungsschutz: Dem Bundesamt für Verfassungsschutz (BfV) und dem Bundesamt für Sicherheit in der Informationstechnik (BSI) liegen aktuelle Erkenntnisse vor, denen zufolge ein wahrscheinlich staatlich gesteuerter Cyberakteur Phishing-Angriffe über Messengerdienste wie „Signal“ durchführt. Im Fokus stehen hochrangige Ziele aus Politik, Militär und Diplomatie sowie Investigativjournalistinnen und -journalisten in Deutschland und Europa. Der unberechtigte Zugriff auf Messengerkonten ermöglicht nicht nur die Einsicht in vertrauliche Einzelkommunikation, sondern potentiell die Kompromittierung ganzer Netzwerke. Eine weitere Meldung der Verfassungsschützer: In einer Zeit, in der die Digitalisierung alle Lebensbereiche durchdringt, wird die Angriffsfläche immer größer. Sicherheit wird somit dringlicher denn je. Das Bundesamt für Verfassungsschutz hat vor diesem Hintergrund die Broschüre „Cyberangriffe – Gefahren, Risiken und Schutz vor staatlich gesteuerten Attacken“ veröffentlicht, die einen umfassenden Überblick der aktuellen nachrichtendienstlichen Bedrohungslage im Cyberraum bietet. Insbesondere beleuchtet die Publikation, welche Ziele Länder wie Russland, China, Iran und Nordkorea mit ihren Angriffen auf Deutschland verfolgen. Die Broschüre dient als fundierter Einstieg in die Materie der Cyberabwehr. Sie finden den Link zu dem Sicherheitshinweis und zu der Broschüre in den Shownotes. Weiter geht es mit dem Stand der Technik bei klassischen asymmetrischen Verschlüsselungsverfahren In der jährlichen Aktualisierung seiner kryptographischen Empfehlungen (TR-02102) spricht sich das Bundesamt für Sicherheit in der Informationstechnik (BSI) erstmals für ein Ablaufdatum klassischer asymmetrischer Verschlüsselungsverfahren aus. Ende 2031, für höchstsensitive Anwendungen bereits Ende 2030, sollten diese Verfahren aus Sicht des BSI nicht mehr alleine eingesetzt werden. Stattdessen sollten diese Verfahren in hybrider Form mit Post-Quanten-Kryptographie kombiniert werden. Für klassische Signaturverfahren ist eine Abkündigung der alleinigen Nutzung bis Ende 2035 geplant. Und eine weitere Meldung des BSI: Mit einem neuen Verfahren ermöglicht das Bundesamt für Sicherheit in der Informationstechnik (BSI) künftig, Software auch nach Updates ohne erneute Zertifizierung als konform auszuweisen. Damit können Hersteller deutlich schneller sicherheitsrelevante Updates ausspielen und gleichzeitig die Zertifizierung ihres Produktes beibehalten. Voraussetzung dafür ist eine Zertifizierung ihrer Prozesse zur Software-Entwicklung nach der Technischen Richtlinie TR-03185 „Sicherer Software-Lebenszyklus“. Sie finden die Links zu den Technischen Richtlinien in den Shownotes. Nun geht es um die ENISA-Methodik für Cybersicherheitsübungen: Cybersicherheitsübungen sind unerlässlich, um Teams und Systeme auf die sich entwickelnden Cyberbedrohungen vorzubereiten, sie zu testen und ihre Fähigkeiten zu verbessern. Seit über einem Jahrzehnt ist die ENISA führend in der Cybersicherheitsvorsorge und organisiert Cybersicherheitsübungen auf lokaler, internationaler und EU-weiter Ebene. Eine der größten ist die alle zwei Jahre stattfindende Übung „Cyber Europe“. Dabei handelt es sich um eine Reihe groß angelegter, grenzüberschreitender Übungen zum Management von Cyberkrisen mit komplexen, realistischen Szenarien, die von realen Ereignissen und Bedrohungen inspiriert sind. In diesem Sinne und aufbauend auf ihrer langjährigen Erfahrung hat die ENISA eine Methodik für Cybersicherheitsübungen entwickelt, die einen praktischen und dennoch umfassenden Ansatz für die Simulation von Cyberkrisen und Schulungen bietet und die Widerstandsfähigkeit und Agilität bei der Minderung von Cyberrisiken stärkt. Den Link dazu gibt es in den Shownotes. Weiter geht es mit Digitaler Resilienz und dem Stand in deutschen Unternehmen: Cyberangriffe gelten für die deutsche Bevölkerung als das größte sicherheitspolitische Risiko. Das zeigt der aktuelle Munich Security Index 2026, der im Vorfeld der Münchner Sicherheitskonferenz veröffentlicht wurde. Eine von eco – Verband der Internetwirtschaft e. V. beauftragte Umfrage unter IT-Entscheidern in Deutschland zeichnet jedoch ein differenzierteres Bild: Trotz anhaltender Bedrohungslage bewerten rund zwei Drittel der Befragten das Cybersicherheitsniveau in Deutschland nicht als schlecht. Demnach hält über die Hälfte der Befragten (55%) das Cybersicherheitsniveau für mittelmäßig, rund 9 Prozent sogar für hoch bis sehr hoch. Die Ergebnisse des eco Branchenpulses legen nahe, dass viele Unternehmen ihre Sicherheitsarchitekturen kontinuierlich ausbauen und ihre eigene Widerstandsfähigkeit realistisch einschätzen. „Cybersecurity ist ein fortlaufender Prozess“, sagt Professor Norbert Pohlmann, Vorstand von eco – Verband der Internetwirtschaft e.V. „Das IT-Entscheider die Lage differenziert bewerten, zeigt: Investitionen in Sicherheit wirken, auch wenn die Bedrohungslage objektiv angespannt bleibt.“ Nun zur Konzeption des Deutschland-Stack: Der Deutschland-Stack ist aus Sicht des Bundesverbandes IT-Sicherheit e.V. (TeleTrusT) eine strategisch richtige und notwendige Initiative, um die digitale Handlungsfähigkeit des Staates langfristig zu sichern. Auch das gewählte Vorgehensmodell eines Konsultationsverfahrens wird ausdrücklich begrüßt. Gleichzeitig zeigt die TeleTrusT-Analyse: In der aktuellen Ausprägung ist der Deutschland-Stack noch zu stark als technische Bausteinliste gedacht. Für belastbare Wirkung im öffentlichen Sektor ist ein klar geführtes Gesamtbetriebsmodell aus Architektur, Governance, Sicherheit und Verantwortung erforderlich. Den Link zu dieser Analyse gibt es ebenfalls in den Shownotes. - Diese Folge wird Ihnen präsentiert von Marktplatz IT-Sicherheit und dem Angebot Serious Games Serious Games - spielerisch Cybersicherheit vermitteln In einer zunehmenden Digitalisierung ist die IT-Sicherheit längst keine rein technische Domäne mehr – sie betrifft alle Mitarbeitenden quer durch Branchen und Hierarchien. Gleichzeitig wächst der Druck auf Organisationen, eine nachhaltige IT-Sicherheitskultur zu etablieren. Klassische Schulungsformate stoßen dabei schnell an Grenzen: Sie erklären, aber sie verändern selten Verhalten. Genau an diesem Punkt setzen Serious Games an. Es werden nicht nur Fakten vermittelt, sondern kognitive, emotionale und soziale Lernprozesse angestoßen. Der Marktplatz IT-Sicherheit bietet eine strukturierte Übersicht über Serious Games. Jetzt ein passendes Spiel suchen, um auf den nächsten Angriff gut vorbereitet zu sein Sie finden den Link zu diesem Angebot von Marktplatz IT-Sicherheit sowie alle anderen Links zu dieser Folge in den Show-Notes zu diesem Podcast. Das war es für heute. Ich freue mich, wenn wir uns bald wieder hören und auf wichtigen Events sehen, besuchen Sie den Marktplatz IT-Sicherheit und abonnieren Sie diesen Podcast und die anderen Formate auf dem Marktplatz IT-Sicherheit! Hier werden Sie mit Sicherheit gut informiert! Das war Oliver Schonschek, der News-Analyst vom Marktplatz IT-Sicherheit