Der 31. Juli ist weder der Beginn der NIS-2-Pflichten noch eine gesetzlich geregelte Nachfrist. Er betrifft ausschließlich die längst überfällige Registrierung beim Bundesamt für Sicherheit in der Informationstechnik. Die materiellen Anforderungen an Risikomanagement, Meldeprozesse, Geschäftsleitungsaufsicht und Lieferkettensicherheit gelten dagegen bereits seit dem 6. Dezember 2025.

Auch die häufig genannte Drohung mit zehn Millionen Euro Bußgeld ist ohne Einordnung irreführend. Für eine verspätete Registrierung gilt eine deutlich niedrigere Bußgeldobergrenze. Die hohen Millionenbeträge betreffen insbesondere erhebliche Verstöße gegen das Risikomanagement, die Dokumentation oder die Meldepflichten. Ebenso wenig entsteht persönliche Haftung automatisch, sobald eine Sicherheitsmaßnahme fehlt oder ein Dienstleister angegriffen wird.

NIS-2 ist deshalb weder ein bloßer Papiertiger noch der von manchen Beratungsanbietern beschriebene Haftungsautomat. Das Gesetz verlangt ein nachvollziehbares, wirksames und risikobasiertes Vorgehen. Genau darin liegt auch der praktikable Weg für Unternehmen.

Der 31. Juli ist keine gesetzliche Nachfrist

Das deutsche NIS-2-Umsetzungsgesetz wurde am 5. Dezember 2025 verkündet und trat am 6. Dezember 2025 in Kraft. Nach § 33 BSIG müssen sich besonders wichtige und wichtige Einrichtungen spätestens drei Monate, nachdem sie erstmals oder erneut als solche gelten, beim BSI registrieren. Für Unternehmen, die bereits mit Inkrafttreten des Gesetzes erfasst waren, endete diese gesetzliche Frist daher am 6. März 2026. Unternehmen, die erst später die Voraussetzungen erfüllen, beispielsweise aufgrund eines Unternehmenswachstums oder einer Tätigkeitsänderung, haben eine eigene Dreimonatsfrist.  

Der 31. Juli stammt nicht aus dem Gesetz. Nach übereinstimmender Wiedergabe eines Schreibens des BSI an Wirtschaftsverbände vom 12. Juni 2026 erwartet die Behörde, dass bisher nicht registrierte Einrichtungen die Anmeldung bis zum 31. Juli abschließen. Das BSI erkennt in diesem Schreiben zudem an, dass in seltenen Einzelfällen noch ungeklärte Abgrenzungsfragen bestehen können. Eine förmliche Verlängerung der gesetzlichen Frist enthält das Schreiben jedoch nicht. Auch eine generelle Zusage, bis Ende Juli auf Bußgelder zu verzichten, lässt sich daraus nicht ableiten.  

Die treffendere Bezeichnung ist deshalb nicht „gesetzliche Nachfrist“, sondern faktische Vollzugserwartung. Der 31. Juli ist ein deutliches verwaltungspraktisches Signal: Das BSI erwartet, dass Unternehmen eine bereits bestehende Pflicht jetzt nachholen. Am 1. August tritt aber weder ein neuer Bußgeldtatbestand in Kraft noch beginnt erst dann die Geltung von NIS-2. Ein Registrierungsverstoß bestand bei den seit Dezember erfassten Einrichtungen bereits nach Ablauf des 6. März.

Das Datum darf trotzdem nicht bagatellisiert werden. Wer nach Inkrafttreten des Gesetzes, nach Ablauf der gesetzlichen Dreimonatsfrist und nach einer zusätzlichen öffentlichen Erinnerung weiterhin nichts unternimmt, wird eine fahrlässige Pflichtverletzung zunehmend schwerer erklären können. Der 31. Juli ist daher kein rechtlicher Kippschalter, wohl aber eine erkennbare Zäsur für die Bewertung fortgesetzter Untätigkeit.

Eine Registrierung ist noch keine NIS-2-Compliance

Die Registrierung dient zunächst dazu, die betroffene Einrichtung, ihre Tätigkeit, ihre Erreichbarkeit und die zuständigen Kontaktstellen zu erfassen. Sie ist keine Prüfung der Cybersicherheit und kein behördlicher Compliance-Nachweis. Das BSI bestätigt mit einer Registrierung nicht, dass ein Unternehmen sämtliche Anforderungen aus § 30 BSIG erfüllt.

Umgekehrt suspendiert eine fehlende Registrierung die übrigen Pflichten nicht. Das wird besonders deutlich bei Sicherheitsvorfällen: Das BSI weist ausdrücklich darauf hin, dass seit dem 6. Dezember 2025 betroffene Unternehmen erhebliche Sicherheitsvorfälle auch dann melden müssen, wenn ihre Registrierung im BSI-Portal noch nicht abgeschlossen ist. Die materiellen Pflichten bestehen also kraft Gesetzes und nicht erst nach Freischaltung eines Portalkontos.  

Das BSI ist außerdem nicht darauf angewiesen, dass sich ein Unternehmen freiwillig meldet. Nach § 33 BSIG kann es eine Registrierung unter bestimmten Voraussetzungen selbst vornehmen. Bestehen Tatsachen, die auf eine verletzte Registrierungspflicht hindeuten, kann die Behörde Aufzeichnungen, Unterlagen und Auskünfte verlangen.  

Für Unternehmen bedeutet das: Die Registrierung sollte sofort abgeschlossen werden, wenn die Betroffenheit eindeutig ist. Sie sollte aber nicht mit der Vorstellung verbunden werden, damit sei NIS-2 vorläufig „erledigt“. Das eigentliche regulatorische Risiko liegt in der fehlenden Umsetzung und Dokumentation der Sicherheitsmaßnahmen.

Die Pflicht zur Lieferkettensicherheit gilt seit Dezember 2025

§ 30 BSIG verpflichtet besonders wichtige und wichtige Einrichtungen zu geeigneten, verhältnismäßigen und wirksamen technischen und organisatorischen Maßnahmen. Diese sollen Störungen der Verfügbarkeit, Integrität und Vertraulichkeit der für die Diensteerbringung genutzten Systeme, Komponenten und Prozesse vermeiden und die Folgen von Sicherheitsvorfällen begrenzen. Die Einhaltung dieser Pflicht muss dokumentiert werden.

Zu den ausdrücklich genannten Bereichen gehört die „Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern“. Das Gesetz stellt dabei ausdrücklich auf die Risikoexposition, die Größe der Einrichtung, die Umsetzungskosten, die Eintrittswahrscheinlichkeit und Schwere möglicher Vorfälle sowie deren gesellschaftliche und wirtschaftliche Auswirkungen ab.  

Eine allgemeine Übergangsfrist für diese Risikomanagementpflicht enthält das Gesetz nicht. Ebenso wenig beschränkt sich die Lieferkettensicherheit auf Verträge, die nach dem 31. Juli geschlossen werden. Bestehende und neue Lieferantenbeziehungen sind bereits heute in das Cyberrisikomanagement einzubeziehen.

Dabei ist eine wichtige Unterscheidung erforderlich: Die unmittelbare gesetzliche Pflicht trifft zunächst das NIS-2-regulierte Unternehmen. Ein kleiner Zulieferer wird nicht allein deshalb selbst zu einer wichtigen oder besonders wichtigen Einrichtung, weil er ein reguliertes Unternehmen beliefert. Der Lieferant wird aber mittelbar einbezogen, weil das regulierte Unternehmen die sicherheitsrelevanten Aspekte der Geschäftsbeziehung steuern muss. Das BSI weist selbst darauf hin, dass zahlreiche Dienstleister auf diese Weise indirekt betroffen sind und Auftraggeber Anforderungen sowie Nachweise an sie weiterreichen werden.  

Lieferkettensicherheit bedeutet nicht, jeden Lieferanten gleich zu prüfen

Aus § 30 BSIG folgt keine Pflicht, sämtliche Lieferanten mit demselben umfangreichen Fragebogen zu konfrontieren, jedes Unternehmen vor Ort zu auditieren oder nur noch ISO-27001-zertifizierte Anbieter einzusetzen. Eine solche Gleichbehandlung würde dem gesetzlichen Verhältnismäßigkeitsgrundsatz sogar widersprechen.

Entscheidend ist, welche Auswirkungen ein Ausfall, eine Kompromittierung oder eine Manipulation des jeweiligen Anbieters auf die regulierte Dienstleistung haben könnte. Ein Lieferant von Büromaterial ist anders zu behandeln als ein Cloud-Anbieter, ein Betreiber des zentralen Identitätsmanagements, ein Softwarehersteller mit Update-Zugriff, ein externer Administrator, ein Managed-Security-Provider oder ein Wartungsdienstleister für Produktions- und OT-Systeme.

Im Mittelpunkt sollten daher nicht die Lieferanten als solche, sondern die geschäftlichen und technischen Abhängigkeiten stehen. Besonders kritisch sind Anbieter, die privilegierte Zugänge besitzen, sensible Daten verarbeiten, Software oder Updates in produktive Systeme einspielen, einen wesentlichen Geschäftsprozess alleine tragen oder nur mit erheblicher Verzögerung ersetzt werden können. Auch starke Konzentrationen auf einen einzigen Cloud-, Plattform- oder Logistikdienstleister sind relevante Lieferkettenrisiken.

Das BSI empfiehlt unter anderem eine Klassifizierung von Lieferantenbeziehungen, dokumentierte Sicherheitskriterien, Nachweise über Sicherheitsmaßnahmen, Regelungen für Unterauftragnehmer, Vorfallmeldungen, Schwachstellenbehandlung, Kontrollrechte sowie Vorkehrungen für Vertragsbeendigung und Datenrückgabe. Die eigene BSI-Checkliste zeigt damit selbst einen abgestuften Ansatz: Nicht jede Maßnahme ist für jeden Lieferanten zwingend, wohl aber muss die Auswahl nachvollziehbar aus dem Risiko abgeleitet werden.  

Auch ein Zertifikat ist nur ein Nachweisbaustein. Eine ISO-27001-Zertifizierung kann wertvoll sein, wenn ihr Geltungsbereich tatsächlich den bezogenen Dienst umfasst. Sie sagt wenig aus, wenn nur ein anderer Unternehmensteil zertifiziert wurde oder relevante Subdienstleister, Rechenzentren und Betriebsprozesse außerhalb des Scopes liegen. Umgekehrt kann ein nicht zertifizierter Spezialanbieter angemessen abgesichert sein, wenn belastbare technische Nachweise, geprüfte Prozesse, gute vertragliche Regelungen und wirksame kompensierende Maßnahmen vorliegen. Das BSI bezeichnet ein Informationssicherheitsmanagementsystem als geeignete Grundlage und empfiehlt vertragliche Vereinbarungen, verlangt aber nicht pauschal eine bestimmte Zertifizierung aller Lieferanten.  

Persönliche Haftung: ernst zu nehmen, aber kein Automatismus

Die Geschäftsleitung kann NIS-2 nicht vollständig an die IT-Abteilung delegieren. Nach § 38 BSIG muss sie die Risikomanagementmaßnahmen umsetzen und ihre Umsetzung überwachen. Darüber hinaus müssen Geschäftsleitungsmitglieder regelmäßig an Schulungen teilnehmen, damit sie Cyberrisiken und deren Auswirkungen auf die erbrachten Dienste beurteilen können.  

Die oft verkürzte Aussage, Geschäftsführer oder Vorstände „hafteten persönlich für NIS-2“, lässt jedoch wesentliche Voraussetzungen weg. § 38 BSIG bestimmt, dass Geschäftsleitungsmitglieder ihrer eigenen Einrichtung für einen schuldhaft verursachten Schaden nach den jeweils anwendbaren gesellschaftsrechtlichen Regeln haften. Erforderlich sind damit eine konkrete Pflichtverletzung, Verschulden, ein tatsächlich eingetretener Schaden und ein ursächlicher Zusammenhang zwischen Pflichtverletzung und Schaden. Ein Sicherheitsvorfall allein beweist noch keine Haftung. Auch eine nicht vollständig abgeschlossene Umsetzung führt nicht automatisch zu einem persönlichen Zahlungsanspruch.

Das Gesetz verlangt von Geschäftsleitungen nicht, selbst Firewalls zu konfigurieren, Penetrationstests durchzuführen oder technische Lieferantenaudits zu leiten. Operative Aufgaben dürfen und müssen sachgerecht an qualifizierte Fachbereiche oder externe Spezialisten übertragen werden. Nicht vollständig delegierbar bleiben jedoch die Organisations-, Ressourcen- und Überwachungsverantwortung. Die Geschäftsleitung muss erkennen können, welche Risiken wesentlich sind, wer verantwortlich ist, welche Maßnahmen priorisiert werden, welche Lücken verbleiben und warum ein bestimmtes Restrisiko vorläufig akzeptiert wird.

Das persönliche Haftungsrisiko wird deshalb vor allem dort greifbar, wo Warnungen ignoriert, Zuständigkeiten nicht festgelegt, notwendige Mittel ohne nachvollziehbare Abwägung verweigert oder erkennbare kritische Abhängigkeiten über Jahre nicht behandelt werden. Besonders problematisch wäre es, wenn nach einem Vorfall keine dokumentierten Entscheidungen, keine Risikobewertung, keine Eskalationswege und kein belastbarer Umsetzungsplan vorgelegt werden könnten. Eine begründete, dokumentierte und regelmäßig überprüfte Priorisierung ist dagegen etwas grundlegend anderes als Untätigkeit.

Kann das BSI überhaupt rund 29.500 Einrichtungen kontrollieren?

Rechtlich lautet die Antwort eindeutig: Das BSI verfügt über erhebliche Kontroll- und Durchsetzungsbefugnisse. Praktisch wird es aber nicht jedes Unternehmen in gleicher Tiefe und Regelmäßigkeit prüfen können – und genau das ist auch nicht das gesetzliche Aufsichtsmodell.

Das BSI geht von rund 29.500 betroffenen Unternehmen und Einrichtungen aus. Zum Stichtag 2. April 2026 hatte es 15.477 Unternehmensregistrierungen im Portal ausgewiesen. Schon diese Größenordnung zeigt, dass eine lückenlose jährliche Vollprüfung aller Einrichtungen weder realistisch noch vorgesehen ist.  

Für besonders wichtige Einrichtungen kann das BSI im Einzelfall unabhängige Audits, Prüfungen oder Zertifizierungen anordnen. Es darf eigene Überprüfungen durchführen, sich qualifizierter Dritter bedienen, während der üblichen Betriebszeiten Geschäftsräume betreten und Unterlagen, Auskünfte sowie Unterstützung verlangen. Bei festgestellten Mängeln kann es Abstellmaßnahmen, Mängelbeseitigungspläne, Nachweise und eine laufende Berichterstattung anordnen. Unter bestimmten Voraussetzungen kann es sogar verlangen, dass Kunden informiert oder Verstöße öffentlich bekannt gemacht werden.  

Bei wichtigen Einrichtungen ist die Aufsicht reaktiver ausgestaltet. Nach § 62 BSIG muss es Tatsachen geben, die die Annahme rechtfertigen, dass eine Verpflichtung nicht oder nicht richtig umgesetzt wird. Erst dann kann das BSI die Einhaltung prüfen und die Instrumente des § 61 einsetzen.  

Mitunter wird aus § 61 Absatz 3 BSIG abgeleitet, das BSI dürfe in den ersten drei Jahren überhaupt keine Nachweise verlangen. Das ist zu weitgehend. Die Vorschrift verschiebt lediglich ein bestimmtes Instrument zur breiten Nachweisanforderung gegenüber weiteren besonders wichtigen Einrichtungen. Individuelle Anordnungen von Audits und konkrete Prüfungen besonders wichtiger Einrichtungen sind bereits jetzt möglich. Ebenso bestehen die Befugnisse zur Gefahrenabwehr, zur Mängelbeseitigung und zur Reaktion auf Sicherheitsvorfälle schon heute.  

Eine realistische Aufsicht wird daher selektiv sein. Naheliegende Anlässe sind erhebliche Sicherheitsvorfälle, unterlassene oder verspätete Meldungen, erkennbare Widersprüche in Unternehmensangaben, Beschwerden, Hinweise anderer Aufsichtsbehörden, öffentlich bekannt gewordene Schwachstellen oder die Nichtbefolgung einer behördlichen Anfrage. Auch eine dauerhaft unterlassene Registrierung kann selbst zum Aufsichtsgegenstand werden. Das Gesetz schreibt ausdrücklich eine risikoorientierte Auswahl vor, bei der unter anderem Risikoexposition, Unternehmensgröße sowie mögliche gesellschaftliche und wirtschaftliche Auswirkungen berücksichtigt werden.  

Das BSI muss dabei nicht sofort eine mehrwöchige Vor-Ort-Prüfung durchführen. Schon eine gezielte Anfrage nach Risikobewertung, Geschäftsleitungsbeschluss, Incident-Prozess, Lieferantenklassifizierung oder Mängelbeseitigungsplan kann zeigen, ob ein Unternehmen NIS-2 ernsthaft umgesetzt hat oder lediglich über unverbindliche Richtlinien verfügt.

Drohen ab August tatsächlich Bußgelder?

Bußgelder sind rechtlich möglich und sollten nicht als theoretische Drohung abgetan werden. Die Höhe hängt aber davon ab, welche Pflicht verletzt wurde.

Wer entgegen § 30 BSIG erforderliche Risikomanagementmaßnahmen nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig ergreift oder die Einhaltung nicht ausreichend dokumentiert, handelt bei Vorsatz oder Fahrlässigkeit ordnungswidrig. Für besonders wichtige Einrichtungen sieht § 65 BSIG hierfür einen Höchstbetrag von zehn Millionen Euro vor, für wichtige Einrichtungen sieben Millionen Euro. Bei Unternehmen mit mehr als 500 Millionen Euro Gesamtumsatz treten für diese besonders gewichtigen Verstöße umsatzbezogene Höchstgrenzen von zwei beziehungsweise 1,4 Prozent an die Stelle der festen Beträge. Auch Verstöße gegen die Meldepflichten fallen in diese hohe Sanktionskategorie.  

Für die nicht, nicht vollständig oder verspätet vorgenommene Registrierung gilt dagegen ein Höchstbetrag von 500.000 Euro. Die häufig zu lesende Aussage, eine verspätete BSI-Registrierung könne unmittelbar ein Bußgeld von zehn Millionen Euro auslösen, ist daher falsch.  

„Bis zu“ bedeutet zudem Höchstgrenze und nicht Regelsatz. Die NIS-2-Vorgaben verlangen wirksame, verhältnismäßige und abschreckende Maßnahmen unter Berücksichtigung des Einzelfalls. Maßgeblich sind unter anderem die Schwere und Dauer des Verstoßes, frühere Verstöße, verursachte Schäden, Vorsatz oder Fahrlässigkeit, Maßnahmen zur Schadensbegrenzung und die Zusammenarbeit mit der Behörde. Als besonders schwer wiegen beispielsweise wiederholte Verstöße, unterlassene Meldungen erheblicher Vorfälle, die Nichtbeseitigung angeordneter Mängel oder die Behinderung einer Prüfung.  

Eine Garantie, dass das BSI vor jedem Bußgeld zunächst nur unverbindlich warnt, gibt es nicht. Das Gesetz stellt der Behörde jedoch ein breites Spektrum an Abhilfemaßnahmen zur Verfügung. Bei einem kooperierenden Unternehmen, das einen nachvollziehbaren Umsetzungsstand, priorisierte Restarbeiten und einen belastbaren Mängelbeseitigungsplan vorlegen kann, ist eine Anforderung von Nachweisen und Verbesserungen deutlich plausibler als die sofortige Ausschöpfung des Bußgeldrahmens. Anders sieht es aus, wenn eine Einrichtung nach einem erheblichen Vorfall keine angemessenen Maßnahmen, keine Dokumentation und keine fristgerechte Meldung vorweisen kann oder behördliche Anordnungen ignoriert.

Die besonders drastischen Instrumente wie eine vorübergehende Aussetzung fachrechtlicher Genehmigungen oder eine zeitweise Untersagung der Leitungstätigkeit existieren ebenfalls. Sie gelten jedoch als letztes Mittel, betreffen besonders wichtige Einrichtungen und setzen voraus, dass zuvor erlassene Anordnungen trotz Fristsetzung nicht befolgt wurden. Sie sind kein regulärer erster Schritt nach einer unvollständigen Lieferantenbewertung.  

In den für diesen Beitrag geprüften offiziellen BSI-Quellen findet sich mit Stand 20. Juli 2026 weder eine veröffentlichte Ankündigung flächendeckender Kontrollen ab dem 1. August noch eine belastbare öffentliche Statistik über bereits verhängte NIS-2-Bußgelder. Daraus folgt nicht, dass keine Verfahren vorbereitet oder geführt werden. Es bedeutet lediglich, dass Behauptungen über eine fest beschlossene, allgemeine „Enforcement-Welle“ ab August über die bisher öffentlich belegte Kommunikation hinausgehen. Das bekannte BSI-Schreiben formuliert eine Erwartung zur Registrierung, keinen veröffentlichten Sanktionsfahrplan.  

Was Unternehmen jetzt pragmatisch tun sollten

Der pragmatische Ausgangspunkt ist eine belastbare Betroffenheitsentscheidung. Dabei ist jede relevante rechtliche Einheit anhand ihrer konkreten Dienste, der Sektoren aus den Anlagen zum BSIG, ihrer Größenmerkmale und möglicher Sonderregelungen zu prüfen. Die Betroffenheitsprüfung des BSI kann dabei helfen, ist nach ausdrücklichem Hinweis der Behörde aber nur eine unverbindliche Orientierung und ersetzt die eigene rechtliche Einordnung nicht. Das Ergebnis sollte in einem kurzen, nachvollziehbaren Vermerk festgehalten werden.  

Ist die Betroffenheit eindeutig, sollte die Registrierung nicht weiter hinausgeschoben werden. Dabei ist darauf zu achten, dass nicht nur ein Zugang zu „Mein Unternehmenskonto“ oder zum BSI-Portal eingerichtet, sondern das eigentliche NIS-2-Registrierungsverfahren vollständig abgeschlossen wird. Eine noch nicht perfekte Risikomanagementumsetzung ist kein sachlicher Grund, die Registrierung zurückzustellen.

Parallel sollte die Geschäftsleitung einen dokumentierten Umsetzungsauftrag erteilen. Erforderlich ist kein überdimensioniertes Transformationsprogramm, wohl aber eine eindeutige Verantwortungsstruktur. Die operative Leitung kann beim CISO, Informationssicherheitsbeauftragten oder einer vergleichbaren Funktion liegen. Die Geschäftsleitung sollte Status, wesentliche Risiken, Prioritäten, Ressourcen, Eskalationen und akzeptierte Restrisiken regelmäßig behandeln und protokollieren. Dabei ist ein realistischer Maßnahmenplan mit Verantwortlichen und Terminen wertvoller als eine pauschale Erklärung, sämtliche Anforderungen seien bereits erfüllt.

Bei der Lieferkette sollte das Unternehmen von seinen regulierten Diensten und kritischen Geschäftsprozessen ausgehen. Daraus lässt sich ableiten, welche Systeme, Daten, Schnittstellen und externen Anbieter für die Leistungserbringung unverzichtbar sind. Das Ergebnis ist keine ungewichtete Lieferantenliste, sondern ein risikobasiertes Abhängigkeitsbild. Eine zunächst überschaubare Gruppe besonders kritischer Anbieter gründlich zu behandeln, ist wirksamer, als hunderte wenig relevante Lieferanten mit einem identischen Standardfragebogen zu belasten.

Für diese kritischen Beziehungen sollten vorhandene Nachweise genutzt werden, bevor eigene umfangreiche Prüfungen gestartet werden. Dazu können der konkrete Geltungsbereich einer ISO-27001-Zertifizierung, BSI-C5- oder SOC-Berichte, Zusammenfassungen technischer Prüfungen, Wiederanlauftests, Informationen zum Schwachstellen- und Patchmanagement, Incident-Prozesse sowie Nachweise über privilegierte Zugriffskontrollen gehören. Entscheidend ist nicht das bloße Vorhandensein eines Dokuments, sondern ob es die tatsächlich bezogene Leistung erfasst und erkannte Abweichungen nachvollziehbar behandelt.

Die Vertragsseite sollte ebenfalls nach Kritikalität priorisiert werden. Bei besonders relevanten Anbietern braucht das Unternehmen eine ausreichend schnelle Vorfallinformation, weil die eigene frühe Meldung an das BSI innerhalb von 24 Stunden nach Kenntniserlangung erfolgen muss. Verträge und Betriebsvereinbarungen sollten außerdem eine Zusammenarbeit bei Analyse und Forensik, geeignete Protokollierung, Schwachstellenbehandlung, Regelungen zu Unterauftragnehmern, belastbare Wiederanlaufziele, angemessene Nachweis- oder Kontrollrechte sowie Vorkehrungen für Ausstieg, Datenrückgabe und sichere Löschung ermöglichen. Das BSI empfiehlt gerade für Lieferantenbeziehungen Regelungen zu Vorfallmeldungen, Sicherheitsnachweisen, Unteraufträgen, Überprüfungsrechten und Vertragsbeendigung.  

Das bedeutet nicht, dass bis Ende Juli sämtliche Altverträge neu verhandelt werden müssen. Kritische Verträge und anstehende Verlängerungen haben Vorrang. Wo ein Unternehmen gegenüber einem großen Plattform- oder Cloud-Anbieter kaum Verhandlungsmacht besitzt, sollte es die standardisierten Bedingungen, verfügbaren Prüfberichte und verbleibenden Lücken dokumentieren. Anschließend sind kompensierende Maßnahmen zu prüfen, etwa zusätzliche Backups, eine technische Trennung, eigene Protokollierung, geringere Berechtigungen, ein getesteter Notbetrieb oder ein realistischer Exit-Plan. Auch die bewusste Akzeptanz eines Restrisikos kann Teil eines ordnungsgemäßen Risikomanagements sein, wenn sie informiert, begründet, zeitlich überprüfbar und auf der richtigen Leitungsebene beschlossen wird.

Besondere Aufmerksamkeit verdient der Melde- und Eskalationsprozess. Die gesetzliche Uhr beginnt nicht erst, wenn die Rechtsabteilung eine abschließende Bewertung erstellt hat. Für erhebliche Sicherheitsvorfälle sieht das BSI eine frühe Meldung innerhalb von 24 Stunden, eine weitergehende Meldung innerhalb von 72 Stunden und grundsätzlich eine Abschlussmeldung innerhalb eines Monats vor. Ein Unternehmen sollte deshalb praktisch testen, ob ein Vorfall bei einem Dienstleister am Wochenende tatsächlich rechtzeitig den internen Incident-Verantwortlichen, die Geschäftsleitung und die zuständige Meldestelle erreicht.  

Ein solcher Test liefert häufig mehr Erkenntnisse als weitere Richtliniendokumente. Dasselbe gilt für die Wiederherstellung aus Backups, den Ausfall eines zentralen Cloud-Dienstes, den Entzug kompromittierter Lieferantenzugänge oder die Fortführung eines kritischen Prozesses ohne den Hauptdienstleister. NIS-2 verlangt Wirksamkeit. Eine theoretisch vollständige Richtlinie ohne getestete Abläufe ist deshalb weniger belastbar als ein noch nicht perfektes, aber praktisch erprobtes System mit dokumentierten Verbesserungsmaßnahmen.

Was bis zum 31. Juli realistisch erreicht sein sollte

Die verbleibenden Tage sollten nicht für den Versuch verwendet werden, kurzfristig den Anschein vollständiger Compliance zu erzeugen. Entscheidend ist zunächst, eine überfällige Registrierung abzuschließen und einen belastbaren Ausgangspunkt zu schaffen.

Ein Unternehmen sollte erklären und belegen können, warum es in den Anwendungsbereich fällt oder warum nicht, welche regulierten Dienste betroffen sind, wer auf Geschäftsleitungsebene verantwortlich ist, wie erhebliche Vorfälle erkannt und gemeldet werden, welche externen Abhängigkeiten besonders kritisch sind und wie erkannte Lücken bearbeitet werden. Dazu gehören eine dokumentierte Betroffenheitsanalyse, eine aktuelle Risiko- und Maßnahmenübersicht, eine nachvollziehbare Lieferantenpriorisierung, klare Verantwortlichkeiten, Geschäftsleitungsentscheidungen und ein terminierter Verbesserungsplan.

In den darauffolgenden Wochen sollte die Prüfung der kritischen Lieferanten vertieft, die Nachweislage bewertet und der größte Vertrags- und Kontrollbedarf behandelt werden. Parallel sollten mindestens ein Incident-Szenario und ein Wiederherstellungsszenario praktisch erprobt werden. Danach muss aus dem Projekt ein wiederkehrender Prozess werden, in dem Risiken, Lieferantenveränderungen, Vorfälle, Tests und Restmaßnahmen regelmäßig an die Geschäftsleitung berichtet werden.

Das größte Risiko ist nicht die unvollständige Checkliste, sondern unbegründete Untätigkeit

Der 31. Juli 2026 ist relevant, aber nicht in der häufig behaupteten Form. Er ist keine gesetzliche Schonfrist für NIS-2 und keine Verlängerung der Pflichten zur Lieferkettensicherheit. Er markiert die vom BSI kommunizierte Erwartung, dass eine bereits seit März überfällige Registrierung endlich abgeschlossen wird.

Das BSI kann Unternehmen kontrollieren. Es wird angesichts der Zahl der regulierten Einrichtungen jedoch selektiv, risikoorientiert und bei wichtigen Einrichtungen überwiegend anlassbezogen vorgehen müssen. Ein Sicherheitsvorfall, eine verspätete Meldung, eine ignorierte Behördenanfrage oder das vollständige Fehlen dokumentierter Sicherheitsentscheidungen erhöht die Wahrscheinlichkeit einer vertieften Prüfung erheblich.

Bußgelder sind real, aber nicht automatisch und nicht für jeden Verstoß gleich hoch. Für die verspätete Registrierung liegt die gesetzliche Obergrenze bei 500.000 Euro, nicht bei zehn Millionen Euro. Die hohen Bußgeldrahmen betreffen vor allem substanzielle Verstöße gegen Risikomanagement-, Dokumentations- und Meldepflichten. Persönliche Haftung der Geschäftsleitung setzt ebenfalls eine schuldhafte Pflichtverletzung, einen Schaden und Kausalität voraus. Sie ist kein Automatismus, wird aber dort ernst, wo elementare Governance fehlt und erkennbare Risiken dauerhaft ignoriert werden.

Pragmatische NIS-2-Umsetzung bedeutet deshalb nicht, sämtliche denkbaren Maßnahmen gleichzeitig umzusetzen. Sie bedeutet, die eigene Betroffenheit sauber zu entscheiden, sich zu registrieren, die kritischen Dienste und Lieferanten zu priorisieren, Vorfälle und Wiederanlauf praktisch vorzubereiten und jede wesentliche Entscheidung nachvollziehbar zu dokumentieren. Ein Unternehmen mit einem ehrlichen, risikobasierten und nachweisbar voranschreitenden Programm steht regulatorisch deutlich besser da als eines mit perfekten Richtlinien, aber ohne funktionierende Prozesse.

Der Beitrag gibt eine allgemeine rechtliche und organisatorische Einordnung wieder und ersetzt nicht die Prüfung des konkreten Unternehmens, seiner Dienste und möglicher sektorspezifischer Sonderregelungen.

Der Beitrag Die BSI-„Nachfrist“ endet am 31. Juli – doch die Pflichten zur Lieferkettensicherheit gelten längst erschien zuerst auf Business Resilience Podcast.

Unternehmen müssen heute gleichzeitig Cyberangriffe, Lieferkettenstörungen, geopolitische Konflikte, Extremwetter, regulatorische Anforderungen und den Ausfall zentraler Dienstleister beherrschen. Mit dem Neustart dieses Blogs wollen wir diese Entwicklungen nicht isoliert betrachten. Wir zeigen, wie Governance, Informationssicherheit, Business Continuity und Krisenmanagement zu einer belastbaren Business Resilience zusammengeführt werden können.

Die vergangenen Jahre haben den Begriff der Krise verändert. Betriebsunterbrechungen entstehen nicht mehr ausschließlich durch spektakuläre Einzelereignisse. Häufig sind es Abhängigkeiten, die über Jahre gewachsen sind: ein zentraler Cloud-Dienstleister, eine nicht mehr lieferbare Komponente, ein fehlerhaftes Softwareupdate, ein überlasteter Netzbetreiber, fehlendes Schlüsselpersonal oder eine kritische Anwendung, für die es keinen realistisch erprobten Ersatzbetrieb gibt.

Gleichzeitig wächst der regulatorische Druck. NIS-2, DORA, der Cyber Resilience Act, der AI Act und weitere nationale wie europäische Vorgaben verlangen von Unternehmen mehr als technische Schutzmaßnahmen und formale Dokumentation. Gefordert wird zunehmend der Nachweis, dass Risiken wirksam gesteuert, Vorfälle rechtzeitig erkannt, kritische Leistungen geschützt und Organisationen auch unter schwierigen Bedingungen geführt werden können.

Business Resilience wird damit zu einer zentralen Managementaufgabe.

Vom Fachblog zur Plattform für operative Resilienz

Der Business Resilience Podcast ist aus der Überzeugung entstanden, dass Krisenmanagement, Business Continuity und Informationssicherheit nicht im theoretischen Raum stattfinden. Sie müssen sich in realen Situationen bewähren – unter Zeitdruck, bei unvollständiger Informationslage und häufig mit erheblichen wirtschaftlichen, rechtlichen und gesellschaftlichen Konsequenzen.

Mit dem Neustart des Blogs führen wir diesen Gedanken konsequent weiter. Der Blog wird die Themen des Podcasts vertiefen, aktuelle Entwicklungen einordnen und praktische Erfahrungen mit regulatorischen, organisatorischen und strategischen Fragestellungen verbinden.

Dabei geht es nicht um die nächste isolierte Methode und nicht um Compliance als Selbstzweck. Entscheidend ist die Frage:

Was muss eine Organisation tatsächlich können, wenn ihre normalen Strukturen nicht mehr ausreichen?

Diese Frage verbindet alle Themen, mit denen wir uns künftig beschäftigen werden.

Governance: Verantwortung lässt sich nicht delegieren

Cybersecurity, Business Continuity und Krisenvorsorge wurden lange als Aufgaben spezialisierter Fachbereiche behandelt. Die Geschäftsleitung erhielt Berichte, genehmigte Budgets und verließ sich darauf, dass die zuständigen Funktionen Risiken angemessen beherrschten.

Dieses Modell reicht nicht mehr aus.

Das Bundesamt für Sicherheit in der Informationstechnik stellt im Zusammenhang mit NIS-2 ausdrücklich fest, dass Cybersicherheit zur Aufgabe der Unternehmensleitung wird. Geschäftsführungen betroffener Einrichtungen müssen Risikomanagementmaßnahmen umsetzen lassen, ihre Umsetzung überwachen und sich selbst zu Cyberrisiken und deren Management schulen lassen. Die Verantwortung für geeignete, verhältnismäßige und wirksame Maßnahmen liegt damit nicht allein bei IT, Informationssicherheit oder Compliance. (⁠BSI)

Für Unternehmen bedeutet das einen grundlegenden Perspektivwechsel. Ein Managementbericht, der ausschließlich technische Kennzahlen enthält, schafft noch keine belastbare Entscheidungsgrundlage. Geschäftsleitungen müssen verstehen:

• Welche Produkte und Leistungen für das Unternehmen existenziell sind.
• Von welchen Prozessen, Personen, Systemen und Dienstleistern diese abhängen.
• Welche Ausfallzeiten wirtschaftlich und rechtlich noch vertretbar sind.
• Welche Vorsorgemaßnahmen tatsächlich umgesetzt und erprobt wurden.
• Welche Restrisiken bewusst akzeptiert werden.

Governance beschreibt deshalb nicht nur Zuständigkeiten. Gute Governance sorgt dafür, dass Risiken sichtbar werden, Entscheidungen nachvollziehbar getroffen und Maßnahmen konsequent umgesetzt werden.

Compliance: Nicht nur nachweisen, sondern beherrschen

Die europäische Regulierung verschiebt den Fokus erkennbar von abstrakten Sicherheitsanforderungen hin zur operativen Widerstandsfähigkeit.

DORA wird im Finanzsektor bereits seit dem 17. Januar 2025 angewendet. Die Verordnung verlangt, dass Finanzunternehmen ihre IKT-Risiken systematisch steuern und ihre digitale operative Resilienz in die übergeordneten betrieblichen Strukturen integrieren. Dazu gehören unter anderem das Management von IKT-Vorfällen, Resilienztests und die Steuerung kritischer Drittdienstleister. (⁠EUR-Lex)

Auch der Cyber Resilience Act greift zunehmend praktisch. Ab dem 11. September 2026 müssen Hersteller aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle bei Produkten mit digitalen Elementen melden. Die wesentlichen Produktanforderungen gelten ab dem 11. Dezember 2027. Hersteller müssen sich daher bereits heute mit sicherer Entwicklung, Schwachstellenmanagement, Updatefähigkeit und den Verantwortlichkeiten über den gesamten Produktlebenszyklus auseinandersetzen. (⁠Digitale Strategie Europa)

Diese Vorschriften haben unterschiedliche Anwendungsbereiche. Inhaltlich weisen sie jedoch in dieselbe Richtung: Unternehmen sollen Risiken nicht nur beschreiben, sondern wirksam kontrollieren können.

Ein zertifiziertes Managementsystem, eine Richtlinie oder eine sauber ausgefüllte Checkliste können dafür wichtige Grundlagen schaffen. Sie ersetzen aber nicht die operative Umsetzung. Die entscheidenden Fragen lauten daher nicht nur:

Ist der Prozess dokumentiert?

Sondern auch:

Ist er bekannt? Funktioniert er unter Zeitdruck? Sind die notwendigen Personen erreichbar? Stehen alternative Kommunikationswege zur Verfügung? Wurde der Wiederanlauf tatsächlich getestet?

Der Blog wird deshalb regulatorische Anforderungen regelmäßig aus zwei Perspektiven betrachten: Was verlangt die jeweilige Vorschrift formal – und was muss eine Organisation praktisch tun, damit daraus echte Widerstandsfähigkeit entsteht?

Business Continuity: Kritische Leistungen in den Mittelpunkt stellen

Business Continuity Management wird häufig auf Notfallhandbücher, Wiederanlaufpläne oder eine jährliche Business-Impact-Analyse reduziert. Ein wirksames BCMS beginnt jedoch nicht bei der Dokumentation, sondern bei der Geschäftsleistung.

Welche Leistungen müssen auch während einer Störung weiter erbracht werden? Welche dürfen kurzzeitig eingeschränkt werden? Welche Abhängigkeiten können den Betrieb vollständig zum Stillstand bringen?

Erst aus diesen Fragen lassen sich angemessene Vorsorgestrategien entwickeln.

Dabei reicht es nicht, einzelne Anwendungen nach ihrer technischen Bedeutung zu priorisieren. Kritische Leistungen entstehen aus dem Zusammenspiel von Personal, Gebäuden, Informationen, IT-Systemen, Produktionsanlagen, Lieferanten, Logistik, Energieversorgung und externen Partnern. Der Ausfall nur einer dieser Ressourcen kann genügen, um einen gesamten Prozess zu unterbrechen.

Künftige Beiträge werden sich deshalb unter anderem mit folgenden Fragen beschäftigen:

• Wie werden kritische Geschäftsleistungen nachvollziehbar identifiziert?
• Wie belastbar sind Business-Impact-Analysen in der Praxis?
• Welche Wiederanlaufzeiten sind technisch tatsächlich erreichbar?
• Wie lassen sich IT Service Continuity und fachliches BCM verbinden?
• Wie werden Lieferanten und Cloud-Dienstleister in die Vorsorge einbezogen?
• Wie lässt sich feststellen, ob Notfallpläne im Ernstfall funktionieren?

Besondere Aufmerksamkeit verdient dabei die zunehmende Konzentration auf wenige zentrale Dienstleister und Plattformen. Digitalisierung steigert Effizienz, kann gleichzeitig aber neue systemische Abhängigkeiten erzeugen. Der nächste großflächige Ausfall muss deshalb keineswegs auf einen Cyberangriff zurückgehen. Auch fehlerhafte Updates, Konfigurationsfehler, Netzstörungen oder Kaskadeneffekte können weitreichende Betriebsunterbrechungen verursachen.

Cyber Resilience: Vom Schutzwall zur Wiederherstellungsfähigkeit

Klassische Informationssicherheit konzentriert sich stark auf Prävention: Angriffe sollen verhindert, Schwachstellen geschlossen und unberechtigte Zugriffe abgewehrt werden. Diese Maßnahmen bleiben unverzichtbar. Dennoch kann keine Organisation garantieren, dass ein erfolgreicher Angriff oder ein schwerer technischer Ausfall niemals eintritt.

Cyber Resilience beginnt dort, wo reine Prävention an ihre Grenzen stößt.

Sie umfasst die Fähigkeit, Angriffe frühzeitig zu erkennen, Auswirkungen zu begrenzen, kritische Leistungen aufrechtzuerhalten und Systeme kontrolliert wiederherzustellen. Dazu müssen Informationssicherheit, Incident Response, IT-Betrieb, Business Continuity, Krisenmanagement, Kommunikation und Unternehmensleitung zusammenarbeiten.

Wie anspruchsvoll diese Zusammenarbeit ist, zeigt auch die europäische Entwicklung. ENISA übt im Rahmen von „Cyber Europe“ regelmäßig großflächige, grenzüberschreitende Cyberkrisen. 2026 wurde dabei erstmals auch die Aktivierung der europäischen Cybersecurity Reserve in ein Übungsszenario eingebunden. Im Mittelpunkt steht nicht allein die technische Reaktion, sondern die koordinierte Bewältigung komplexer Vorfälle über Organisations- und Staatsgrenzen hinweg. (⁠ENISA)

Für Unternehmen bedeutet dies: Ein Incident-Response-Plan allein ist noch keine Cyberresilienz. Er muss mit geschäftlichen Prioritäten, Wiederanlaufverfahren, Entscheidungsbefugnissen und Krisenkommunikation verbunden werden.

Krisenmanagement: Entscheiden, wenn Gewissheit fehlt

Krisen unterscheiden sich von normalen Betriebsstörungen nicht nur durch ihre Schwere. Sie verändern die Bedingungen, unter denen Entscheidungen getroffen werden.

Informationen sind widersprüchlich. Die Lage entwickelt sich dynamisch. Zuständigkeiten überschneiden sich. Medien, Kunden, Behörden, Beschäftigte und Geschäftspartner erwarten gleichzeitig Antworten. Hinzu kommen rechtliche Risiken, persönliche Betroffenheit und erheblicher Zeitdruck.

Ein funktionierender Krisenstab benötigt deshalb mehr als einen Alarmierungsplan und vorbereitete Protokollvorlagen. Er braucht:

• ein gemeinsames Lageverständnis,
• klare Rollen und Entscheidungsbefugnisse,
• geeignete Kommunikationsstrukturen,
• eine belastbare Arbeitsmethodik,
• vordefinierte Eskalationswege,
• trainierte Führungskräfte,
• und die Fähigkeit, Entscheidungen regelmäßig zu überprüfen.

Das BBK weist darauf hin, dass erfolgreiches Krisenmanagement die Zusammenarbeit staatlicher und privater Akteure erfordert. Gerade bei kritischen Infrastrukturen und großflächigen Störungen können Unternehmen Krisen nicht ausschließlich innerhalb ihrer eigenen Organisationsgrenzen bewältigen.

Im Blog werden wir daher nicht nur über Aufbauorganisationen und Krisenhandbücher schreiben. Wir werden uns auch mit Entscheidungspsychologie, Stabsarbeit, Krisenkommunikation, Übungen und den typischen Fehlern in realen Krisensituationen beschäftigen.

Geopolitik, Lieferketten und kritische Infrastruktur

Die Risikolandschaft wird zunehmend durch miteinander verknüpfte Entwicklungen bestimmt. Der Global Risks Report 2026 des World Economic Forum nennt geoökonomische Konfrontationen als bedeutendstes kurzfristiges globales Risiko. Es folgen zwischenstaatliche Konflikte, Extremwetter, gesellschaftliche Polarisierung sowie Fehl- und Desinformation. (⁠World Economic Forum)

Für Unternehmen sind das keine abstrakten Szenarien. Geopolitische Spannungen können Energiepreise, Handelswege, Rohstoffverfügbarkeit, Absatzmärkte und technologische Abhängigkeiten verändern. Extremwetter kann Produktionsstandorte, Transportachsen oder die Verfügbarkeit von Beschäftigten beeinträchtigen. Desinformation kann in einer ohnehin angespannten Lage zusätzlichen Reputations- und Entscheidungsdruck erzeugen.

Resilienz erfordert deshalb ein breiteres Risikoverständnis. Unternehmen müssen nicht jedes Ereignis exakt vorhersagen. Sie müssen jedoch erkennen, welche Entwicklungen ihre kritischen Leistungen beeinträchtigen könnten, welche Frühindikatoren relevant sind und welche Handlungsoptionen vorbereitet werden sollten.

Szenarioplanung, Horizon Scanning und Stresstests werden daher künftig ebenso Bestandteil des Blogs sein wie klassische BCM- und Cybersecurity-Themen.

Künstliche Intelligenz: Neue Fähigkeiten, neue Abhängigkeiten

Künstliche Intelligenz verändert nicht nur Geschäftsmodelle. Sie verändert auch die Sicherheits- und Krisenlandschaft.

KI kann bei der Auswertung großer Informationsmengen, der Lagebeobachtung, der Erkennung von Anomalien und der Vorbereitung von Entscheidungsoptionen unterstützen. Gleichzeitig schafft sie neue Risiken: manipulierte Inhalte, überzeugende Phishing-Angriffe, automatisierte Angriffsmuster, unklare Datenherkünfte und eine zunehmende Abhängigkeit von externen Modellen und Plattformen.

Im Krisenmanagement stellt sich außerdem eine grundsätzliche Frage: Welche Entscheidungen dürfen durch KI vorbereitet oder beeinflusst werden – und wo muss menschliche Verantwortung eindeutig erhalten bleiben?

Der Blog wird KI deshalb weder als universelle Lösung noch ausschließlich als Bedrohung behandeln. Entscheidend ist, wie sie kontrolliert, nachvollziehbar und resilient in bestehende Strukturen integriert werden kann.

Übungen: Der Unterschied zwischen Planung und Können

Viele Organisationen besitzen umfangreiche Notfall- und Krisendokumentationen. Dennoch zeigt sich erst in Übungen oder realen Ereignissen, ob die vorgesehenen Strukturen funktionieren.

Erreicht die Alarmierung tatsächlich alle relevanten Personen? Können Führungskräfte auf die erforderlichen Informationen zugreifen? Ist die Ausweichkommunikation nutzbar? Versteht der Krisenstab seine Rollen? Können IT und Fachbereiche gemeinsam priorisieren? Sind Entscheidungen dokumentierbar? Ist die externe Kommunikation abgestimmt?

Übungen schaffen keine absolute Sicherheit. Sie machen jedoch Annahmen, Schnittstellenprobleme und fehlende Fähigkeiten sichtbar, bevor daraus im Ernstfall erhebliche Schäden entstehen.

Dabei muss nicht jede Übung ein groß angelegtes, mehrtägiges Szenario sein. Tabletop-Übungen, Alarmierungstests, technische Wiederanlauftests und gezielte Funktionstests können bereits wichtige Erkenntnisse liefern. Entscheidend ist, dass Übungen nicht als einmalige Pflichtveranstaltung verstanden werden, sondern als Teil eines kontinuierlichen Lernprozesses.

Worum es in diesem Blog künftig gehen wird

Der neu ausgerichtete Blog verbindet sechs zentrale Themenfelder:

Business Continuity: kritische Leistungen, Abhängigkeiten, Vorsorgestrategien und Wiederanlauf.

Governance: Verantwortung, Entscheidungsstrukturen, Risikosteuerung und Management Accountability.

Compliance: NIS-2, DORA, CRA, AI Act, Standards und ihre praktische Umsetzung.

Informationssicherheit und Cyber Resilience: Schutz, Erkennung, Reaktion und Wiederherstellung.

Notfallmanagement: vorbereitete Verfahren für Situationen, in denen der Normalbetrieb nicht mehr ausreicht.

Krisenmanagement: Führung, Kommunikation und Entscheidungen unter außergewöhnlichen Bedingungen.

Diese Themen werden nicht getrennt nebeneinanderstehen. Der Mehrwert entsteht gerade aus ihren Verbindungen.

Nachweisbar geregelt. Operativ wirksam.

Business Resilience bedeutet nicht, jede Störung verhindern zu können. Es bedeutet auch nicht, für jedes denkbare Szenario einen eigenen Plan zu erstellen.

Resiliente Organisationen kennen ihre kritischen Leistungen. Sie verstehen ihre Abhängigkeiten. Sie treffen Vorsorge, schaffen klare Verantwortlichkeiten und trainieren ihre Entscheidungsfähigkeit. Vor allem aber prüfen sie regelmäßig, ob ihre Konzepte auch außerhalb des Papiers funktionieren.

Mit dem Neustart dieses Blogs wollen wir dazu fachliche Orientierung bieten: fundiert, kritisch und mit einem klaren Blick auf die betriebliche Realität.

Wir werden regulatorische Entwicklungen einordnen, etablierte Methoden hinterfragen, Erfahrungen aus Projekten und Übungen aufgreifen und aktuelle Ereignisse aus der Perspektive der Business Resilience analysieren.

Denn am Ende entscheidet nicht allein, ob eine Organisation ihre Anforderungen dokumentiert hat.

Entscheidend ist, ob sie handlungsfähig bleibt, wenn es darauf ankommt.

Der Beitrag Business Resilience neu gedacht: Warum Regelkonformität allein nicht mehr ausreicht erschien zuerst auf Business Resilience Podcast.

Gerade diese Art von Lage verdient mehr Aufmerksamkeit. Denn sie entsteht nicht plötzlich, ist meteorologisch meist absehbar und trifft dennoch auf Strukturen, die im Regelbetrieb bereits wenig Reserve haben.

Nach Angaben der Stadt Köln kam es am Samstag, 27. Juni 2026, zu 1.136 Einsätzen der Leitstelle, davon 936 im Rettungsdienst. An einem normalen Tag liegt die Zahl der Einsätze deutlich niedriger. Zusätzlich wurden weitere Rettungswagen und Notarzteinsatzfahrzeuge in Dienst genommen. In der Messehalle Köln-Deutz wurde ein Notfallversorgungszentrum eingerichtet, um Krankenhäuser zu entlasten. Zusammen mit einer sogenannten Kälteinsel standen mehrere hundert Feldbetten zur Verfügung.

Das ist bemerkenswert, weil hier Maßnahmen sichtbar wurden, die üblicherweise eher aus Katastrophenschutz- und MANV-Konzepten bekannt sind: zusätzliche rettungsdienstliche Ressourcen, überörtliche Unterstützung, vorbereitete Behandlungsstrukturen und die organisatorische Entlastung klinischer Notaufnahmen.

Auch Einheiten aus dem Umland wurden alarmiert. Unter anderem wurde aus dem Oberbergischen Kreis über eine ÜMANV-B1-Lage berichtet, also überörtliche Unterstützung bei einem Massenanfall von Verletzten oder Erkrankten. In der Messehalle Köln-Deutz sollten Behandlungsplatzstrukturen aufgebaut werden. Solche Konzepte sind in Nordrhein-Westfalen grundsätzlich vorbereitet, etwa über den BHP 50 NRW, der für die zeitlich begrenzte notfallmedizinische Versorgung einer größeren Zahl von Verletzten oder Erkrankten vorgesehen ist.

Wichtig ist dabei die Einordnung: Das bedeutet nicht, dass die gesamte Versorgung „zusammengebrochen“ ist. Aber es zeigt, dass extreme Hitze eine Sonderlage erzeugen kann, die weit über individuelle Gesundheitsrisiken hinausgeht.

Besonders betroffen ist die gesamte Versorgungskette. Rettungsdienst, Leitstelle, Notaufnahmen, Intensivstationen, Normalstationen, Pflegebereiche, Transportdienste, Rechtsmedizin und Bestattungswesen hängen funktional zusammen. Wenn an mehreren Stellen gleichzeitig zusätzliche Belastung entsteht, reichen lokale Einzelmaßnahmen oft nicht mehr aus.

Berichtet wurde, dass Notaufnahmen in Köln deutlich stärker frequentiert waren als üblich. In den zentralen Notaufnahmen und Intensivbereichen der Kölner Kliniken mussten nach Medienberichten deutlich mehr Menschen reanimiert werden als an vergleichbaren Tagen. Gleichzeitig wurden viele Patientinnen und Patienten wegen hitzebedingter Beschwerden behandelt, darunter Dehydratation, Kreislaufprobleme, Erschöpfung und schwere Verläufe bis hin zur intensivmedizinischen Versorgung.

Auch die Zahl der Todesfälle lag nach Berichten von WDR und Kölner Stadt-Anzeiger deutlich über dem üblichen Niveau. Genannt wurden etwa 120 Todesfälle zwischen Freitag und Sonntag in Köln, also ein Vielfaches eines normalen Wochenendes. Fachlich ist hier Zurückhaltung wichtig: Das sind nicht automatisch „120 Hitzetote“. Todesursachen sind komplex, besonders bei älteren oder vorerkrankten Menschen. Aber eine solche Häufung ist ein ernst zu nehmendes Signal für Übersterblichkeit im zeitlichen Zusammenhang mit extremer Hitze.

Wenig öffentlich diskutiert wurden die nachgelagerten Folgen. Aus Berichten und Angaben im politischen Raum geht hervor, dass es im Raum Köln und Leverkusen auch bei Abtransport und Unterbringung Verstorbener zu Engpässen kam. Bestattungsunternehmen, Kühlkapazitäten, Krankenhäuser, Rechtsmedizin und polizeiliche Abläufe sind Teil derselben Lagebewältigung. Wenn diese Strukturen an Grenzen kommen, zeigt sich, dass Hitzeschutz nicht nur eine Frage von Trinktipps und Warn-Apps ist, sondern eine Frage operativer Resilienz.

Genau hier liegt aus meiner Sicht der entscheidende Punkt.

Hitze ist als Gesundheitsrisiko bekannt. Das Umweltbundesamt, das Bundesgesundheitsministerium, das Robert Koch-Institut und viele kommunale Gesundheitsakteure weisen seit Jahren darauf hin, dass hohe Temperaturen insbesondere ältere Menschen, chronisch Kranke, Säuglinge, Kleinkinder, pflegebedürftige Menschen, Wohnungslose und sozial isolierte Personen gefährden. Auch Beschäftigte im Freien, Menschen in schlecht isolierten Wohnungen und Personen mit Herz-Kreislauf- oder Atemwegserkrankungen gehören zu den besonders vulnerablen Gruppen.

Neu ist nicht die medizinische Erkenntnis. Neu ist die Häufigkeit, mit der solche Lagen in Zukunft zu erwarten sind, und die Frage, ob unsere Versorgungsstrukturen darauf ausreichend vorbereitet sind.

Für Krankenhäuser ist das besonders relevant. Viele Klinikgebäude sind baulich nicht auf längere Hitzeperioden ausgelegt. OP-Bereiche, Intensivstationen und einzelne Funktionsbereiche sind häufig klimatisiert; Normalstationen, Flure, Wartebereiche, Patientenzimmer oder Personalräume dagegen oft nur teilweise oder gar nicht. Gleichzeitig benötigen gerade vulnerable Patientinnen und Patienten eine Umgebung, in der Kreislaufbelastung, Flüssigkeitsmanagement und Medikamentenrisiken kontrolliert werden können.

Hitzeschutz im Krankenhaus ist deshalb keine Komfortfrage. Es geht um Patientensicherheit, Arbeitsfähigkeit des Personals, Infektionsschutz, technische Betriebssicherheit und Notfallkapazität.

Das macht die aktuelle Debatte um Krankenhausfinanzierung besonders relevant. Wer Kliniken dauerhaft am Limit finanziert, nimmt ihnen Spielräume für Resilienz. Klimaanpassung kostet Geld: Verschattung, Dämmung, Lüftung, Kühlung vulnerabler Bereiche, Trinkwasserversorgung, bauliche Anpassungen, Redundanzen, Personalreserve, Schulung und belastbare Alarm- und Einsatzplanung. Diese Maßnahmen lassen sich nicht nebenbei aus ohnehin angespannten Budgets finanzieren.

Aus dem Hitzewochenende lassen sich deshalb einige nüchterne Schlussfolgerungen ziehen:

Erstens: Hitzelagen sollten verbindlicher Bestandteil von Krankenhausalarm- und Einsatzplänen, Rettungsdienstbedarfsplanung und kommunaler Gefahrenabwehr sein. Nicht als allgemeiner Sommerhinweis, sondern mit konkreten Auslösewerten, Rollen, Kommunikationswegen und Ressourcen.

Zweitens: Notaufnahmen und Rettungsdienste brauchen definierte Entlastungsmechanismen für vorhersehbare Spitzenlagen. Dazu gehören zusätzliche Einsatzmittel, frühzeitige Lagebilder, strukturierte Patientensteuerung und vorbereitete Unterstützungsangebote durch Hilfsorganisationen und Katastrophenschutz.

Drittens: Kliniken benötigen finanzierte Hitzeschutzpläne. Viele Arbeitshilfen existieren bereits. Entscheidend ist die Umsetzung in Gebäuden, Prozessen und Personalplanung.

Viertens: Die Versorgung Verstorbener muss in solchen Lagen mitgedacht werden. Kühlkapazitäten, Transport, Rechtsmedizin, Bestatter, polizeiliche Abläufe und Ausweichstrukturen gehören zur Krisenplanung. Das ist ein sensibler Bereich, aber gerade deshalb darf er nicht erst im Ereignis improvisiert werden.

Fünftens: Kommunale Hitzeschutznetzwerke sollten vulnerablen Menschen aktiv helfen, bevor der Rettungsdienst gerufen werden muss. Hausärztliche Versorgung, Pflege, Apotheken, Sozialdienste, Wohnungswirtschaft, Seniorenarbeit, Ordnungsamt, Hilfsorganisationen und Nachbarschaftsstrukturen können hier gemeinsam viel leisten.

Die Lehre aus Köln sollte nicht sein, die Lage dramatischer darzustellen, als sie war. Die Lehre sollte sein, sie ernst genug zu nehmen.

Extreme Hitze ist ein planbares Gesundheitsrisiko. Sie trifft nicht nur Einzelpersonen, sondern belastet gleichzeitig viele Bereiche der Daseinsvorsorge. Genau deshalb gehört sie in die gleiche strategische Kategorie wie andere vorhersehbare Lagen: vorbereitet, finanziert, geübt und ausgewertet.

In der öffentlichen Diskussion blieb dieses Wochenende vergleichsweise randständig. Dabei liefert es wichtige Hinweise für die nächsten Jahre. Wenn Rettungsdienst, Kliniken und Katastrophenschutz bei einer Hitzelage zusätzliche Strukturen aktivieren müssen, sollte das kein Nebenthema sein – insbesondere nicht in einer Phase, in der über weitere Einsparungen und Strukturveränderungen im Krankenhausbereich diskutiert wird.

Resilienz entsteht nicht im Ereignis. Sie entsteht vorher.

Hitzeschutz ist Gesundheitsschutz. Hitzeschutz ist Teil von Bevölkerungsschutz. Und Hitzeschutz braucht eine Finanzierung, die der Realität extremer Wetterlagen gerecht wird.

Quellen: Stadt Köln, WDR, Kölner Stadt-Anzeiger, Deutscher Wetterdienst, Umweltbundesamt, Bundesgesundheitsministerium, Krankenhausgesellschaft NRW, Deutsche Krankenhausgesellschaft, Landeskonzepte Katastrophenschutz NRW.

Der Beitrag Hitzeschutz gehört in die Versorgungsplanung – nicht nur in die Wettervorhersage erschien zuerst auf Business Resilience Podcast.

Mit dem am 20. Mai 2026 vom Bundeskabinett beschlossenen „Pakt für den Bevölkerungsschutz“ reagiert die Bundesregierung auf eine Lage, die sich in den vergangenen Jahren grundlegend verändert hat: Russlands Angriffskrieg gegen die Ukraine, hybride Bedrohungen, Cyberangriffe, Extremwetterereignisse und die wachsende Bedeutung ziviler Verteidigung haben den Bevölkerungsschutz aus der fachpolitischen Nische in den Kern staatlicher Sicherheitsvorsorge gerückt. Die Bundesregierung beschreibt den Pakt als Modernisierungsschub für Bevölkerungsschutz und Zivile Verteidigung; vorgesehen sind Investitionen von insgesamt zehn Milliarden Euro bis 2029.

Der politische Impuls ist erheblich. Doch gerade aus den Reihen jener Organisationen, die im Einsatzfall Menschen betreuen, evakuieren, versorgen, retten und medizinisch unterstützen, kommt deutliche Kritik. Malteser, ASB und DLRG begrüßen zwar, dass der Bund das Thema aufwertet, sehen aber wesentliche Schwachstellen: zu wenig rechtliche Verbindlichkeit, zu geringe Einbindung der Hilfsorganisationen, fehlende Helfergleichstellung, unklare operative Verantwortung des Bundes und eine Resilienzstrategie, die aus ihrer Sicht deutlich zu schmal angelegt ist. Der S+K Verlag fasst diese Kritik unter der Überschrift zusammen, das Ehrenamt bleibe außen vor.

Was die Bundesregierung vorlegt

Der Pakt setzt sichtbar auf staatliche Koordination, technische Modernisierung und zivil-militärische Verzahnung. Geplant sind ein Steuerungsstab „Kommando Zivile Verteidigung“ im Bundesinnenministerium beziehungsweise beim BBK, der Ausbau der Zivilen Alarmplanung, ein gemeinsames digitales Lagebild Inland in Echtzeit, Investitionen in Warn- und Kommunikationssysteme, eine Weiterentwicklung der Warn-App NINA, die Fortsetzung der Sirenenförderung und eine stärkere Aus- und Fortbildung der Einsatzkräfte für den Zivilschutz. Auch das THW soll mit resilienten Standorten, Logistikzentren und besserer Ausstattung gestärkt werden.

Das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe stellt den Pakt ebenfalls als Stärkung der zivilen Verteidigung dar. Im Mittelpunkt stehen nach BBK-Darstellung zehn Milliarden Euro bis 2029, moderne Ausrüstung für Einsatzkräfte, verbesserte Warnsysteme, Trinkwasser- und Notstromversorgung sowie die Einbindung von Zivilschutzwissen in Schule und Bevölkerung. Sichtbar wurde der Pakt auch öffentlichkeitswirksam durch die Übergabe von Zivilschutzfahrzeugen und eine Präsentation von CBRN-Fähigkeiten in Berlin.

Damit adressiert der Bund reale Defizite. Warninfrastruktur, Lagebilder, Kommunikationsfähigkeit, robuste Standorte und ergänzende Ausstattung sind keine Nebenthemen, sondern Grundbedingungen für handlungsfähige Krisenstäbe und einsatzbereite Kräfte. Trotzdem trifft die Kritik der Hilfsorganisationen einen zentralen Punkt: Bevölkerungsschutz ist nicht nur eine Frage von Technik, Fahrzeugen und Stabsstrukturen. Er ist ein Hilfeleistungssystem, das im Ernstfall nur funktioniert, wenn Personal, Rechtsrahmen, Ausbildung, Finanzierung und operative Rollen zusammenpassen.

Der föderale Knoten bleibt ungelöst

Die strukturelle Schwierigkeit liegt im deutschen System selbst. Bevölkerungsschutz ist ein Oberbegriff für den Zivilschutz des Bundes und den Katastrophenschutz der Länder und Kommunen. Der Bund ist für den Schutz der Zivilbevölkerung im Spannungs- und Verteidigungsfall zuständig, während der Katastrophenschutz in Friedenszeiten Aufgabe der Länder ist. Operativ greifen diese Bereiche aber ineinander: Bei lokalen Schadenslagen arbeiten Feuerwehren, THW, ASB, DRK, Malteser, Johanniter und DLRG zusammen; der Bund wiederum nutzt im Zivilschutzfall vorhandene Katastrophenschutzeinheiten der Länder und ergänzt sie mit Ausstattung und Ausbildung.

Genau an dieser Schnittstelle setzen die Malteser an. Ihr Bundesbeauftragter für Krisenresilienz, Sicherheitspolitik und Zivil-Militärische Zusammenarbeit, Martin Schelleis, kritisiert, dass der Pakt keinen ausreichend ganzheitlichen, abgestimmten und rechtlich tragfähigen Ansatz enthalte. Zivil- und Katastrophenschutz griffen auf dieselben Personen und Strukturen zurück, doch Prozesse, Bedarfe, Führung und Lagebild seien nicht ausreichend vernetzt. Die Malteser fordern daher unter anderem eine Reform des Zivilschutz- und Katastrophenhilfegesetzes sowie mehr operative Verantwortung des Bundes bei Betreuung, Unterbringung und sanitätsdienstlicher Versorgung im Zivilschutzfall.

Die Kritik ist fachlich bedeutsam, weil sie über die Frage einzelner Förderprogramme hinausgeht. Ein digitales Lagebild nützt nur dann vollständig, wenn Zuständigkeiten, Meldewege, Einsatzwerte, Führungsbeziehungen und Personalverfügbarkeit verlässlich geklärt sind. Eine neue Ausstattung entfaltet nur dann Wirkung, wenn die Einheiten, die sie bedienen sollen, auch üben, ausbilden, Personal freistellen lassen und im Ereignisfall rechtssicher handeln können. Der Pakt stärkt die vertikale Steuerungsfähigkeit des Bundes; die Hilfsorganisationen verlangen zusätzlich eine horizontale Einsatzlogik über Bund, Länder, Kommunen und Organisationen hinweg.

Helfergleichstellung als Achillesferse

Der schärfste Kritikpunkt betrifft das Ehrenamt. Das DRK beschreibt die bundesweite Helfergleichstellung als zentrales Anliegen: Ehrenamtliche Helferinnen und Helfer in Hilfsorganisationen sollen rechtlich mit Einsatzkräften der Freiwilligen Feuerwehren und des THW gleichgestellt werden, insbesondere bei Freistellung, Entgeltfortzahlung, Versicherungsschutz und sozialer Absicherung. Das DRK verweist zugleich auf die föderal unterschiedlichen Regelungen und fordert eine flächendeckende Gleichstellung auch für Aus- und Fortbildung, Übungen sowie Einsätze unterhalb der Katastrophenschwelle.

Diese Frage ist nicht bloß eine Gerechtigkeitsdebatte innerhalb des Ehrenamts. Sie entscheidet über Einsatzfähigkeit. Wer tagsüber bei einem Arbeitgeber beschäftigt ist, muss für Ausbildung, Übung und Einsatz verlässlich freigestellt werden können. Arbeitgeber brauchen Klarheit über Entgeltfortzahlung und Erstattungen. Selbstständige benötigen Regelungen für Verdienstausfall. Ohne solche Mechanismen bleiben zusätzliche Fahrzeuge, Module oder Ausbildungskapazitäten im Zweifel ungenutzt, weil die Menschen fehlen, die sie betreiben sollen.

Die DLRG argumentiert in dieselbe Richtung. Sie lobt das Investitionsvorhaben, warnt aber, dass ehrenamtliche Kräfte der Hilfsorganisationen ohne rechtliche Anpassungen von den vorgesehenen Maßnahmen nicht ausreichend profitieren würden. Nach Darstellung der DLRG sind Helferinnen und Helfer anerkannter Hilfsorganisationen schlechter gestellt als Kräfte von Feuerwehr und THW; Ute Vogt fordert deshalb eine bundeseinheitliche Regelung nach dem Vorbild des THW-Gesetzes.

Technik ersetzt keine Trägerstrukturen

Der ASB formuliert die Kritik besonders deutlich. Nach seiner Einschätzung setzt der Pakt die zivile Verteidigung zwar auf die politische Agenda, entziehe sich aber in zentralen Fragen der Verantwortung. Das Programm beschreibe vor allem den Ausbau staatlicher und technischer Krisenfähigkeit, lasse die soziale und operative Realität des Bevölkerungsschutzes aber weitgehend außer Acht. Der ASB bemängelt unter anderem, dass gesetzliche Regelungen zur Helferfreistellung unangetastet bleiben und zentrale Finanzierungsfragen nicht ausreichend gelöst werden.

Das betrifft auch die Mobile Betreuungsreserve des Bundes. Das BBK beschreibt das Mobile Betreuungsmodul 5.000 als weitgehend autark funktionierende mobile Unterkunfts- und Betreuungseinrichtung für bis zu 5.000 unverletzt betroffene Menschen, vergleichbar mit einer mobilen Kleinstadt. Das Pilotprojekt „Labor Betreuung 5.000“ wird durch das BBK koordiniert und gemeinsam mit DRK, ASB, DLRG, Johannitern und Maltesern umgesetzt; ein zweites Modul wird durch den ASB realisiert.

Gerade dieses Beispiel zeigt die Lücke zwischen Konzept und Verstetigung. Betreuung im Zivilschutz ist materialintensiv, personalintensiv und logistisch anspruchsvoll. Zelte, Sanitärcontainer, Küchen, Stromversorgung, Transport, Registrierung, soziale Betreuung, medizinische Schnittstellen und Betrieb über längere Zeiträume lassen sich nicht ad hoc improvisieren. Wenn solche Module politisch gewollt sind, brauchen sie dauerhafte Finanzierung, klare Trägerschaft, regelmäßige Übungen und verbindliche Personalmodelle. Der ASB kritisiert deshalb, dass die Verstetigung und vollständige Ausfinanzierung der MBM 5.000 nicht abgesichert sei.

Wasserrettung und Sanitätsversorgung zeigen die Breite des Problems

Die Kritik der DLRG macht deutlich, dass Bevölkerungsschutz nicht allein von Landfahrzeugen, Stabsräumen und Warn-Apps her gedacht werden kann. Hochwasser, Starkregen, beschädigte Wasserbauwerke, Evakuierungen über Gewässer und Einsätze in überfluteten Gebieten gehören zu realistischen Szenarien. Die DLRG fordert daher, die Wasserrettung im ZSKG zu verankern und für den Zivilschutzfall ergänzende Ausstattung vorzusehen.

Der geltende Zuschnitt des Zivilschutzes konzentriert sich in der ergänzenden Ausstattung des Bundes traditionell auf Bereiche wie Betreuung, Sanitätswesen, Brandschutz und CBRN-Schutz. Das BBK beschreibt ausdrücklich, dass Spezialtechnik des Bundes der Betreuung, dem Sanitätswesen, dem Brandschutz und dem CBRN-Schutz dient und den Ländern in Friedenszeiten für den Katastrophenschutz zur Verfügung gestellt wird.

Die fachliche Frage lautet daher, ob der Pakt die tatsächlichen Einsatzszenarien breit genug abbildet. Moderne Krisenvorsorge muss Massenbetreuung, sanitätsdienstliche Versorgung, Evakuierung, Wasserrettung, CBRN-Lagen, Strom- und Trinkwasserausfälle, Kommunikation, psychosoziale Unterstützung und Lageführung zusammendenken. Wird der Pakt dagegen vor allem als Beschaffungsprogramm verstanden, besteht die Gefahr, dass einzelne Fähigkeiten gestärkt werden, ohne dass daraus ein belastbares Gesamtsystem entsteht.

Resilienz der Bevölkerung braucht mehr als Information

Ein weiterer Streitpunkt ist die Bevölkerung selbst. Die Bundesregierung will das bundesweite Warnsystem verbessern, NINA weiterentwickeln, Sirenen zentral ansteuerbar machen, Selbstschutzwissen ausbauen und Zivilschutz stärker in Schulen verankern. Das ist wichtig, denn Warnung wirkt nur, wenn Menschen verstehen, was sie tun sollen, und wenn Haushalte, Einrichtungen und Kommunen vorbereitet sind.

Gleichzeitig ist Resilienz mehr als ein Ratgeber, eine Kampagne oder Unterrichtsmaterial. Die Bundeszentrale für politische Bildung weist darauf hin, dass das gesellschaftliche Bewusstsein für Bevölkerungsschutz zwar wächst, aber nur langsam in Vorsorgehandeln, krisenrelevante Kompetenzen oder Engagement in den auf Ehrenamt angewiesenen Hilfsorganisationen mündet.

Hier liegt eine strategische Lücke. Eine Bevölkerung, die in Krisen handlungsfähig sein soll, braucht niedrigschwellige Bildungsangebote, Erste-Hilfe- und Selbstschutzkompetenzen, lokale Anlaufstellen, verlässliche Kommunikation, Unterstützung vulnerabler Gruppen und eine Kultur regelmäßiger Übungen. Hilfsorganisationen können genau diese Brücke zwischen Staat und Bevölkerung schlagen, weil sie vor Ort präsent sind, Ausbildungserfahrung haben und Vertrauen in der Fläche genießen. Wenn sie im Pakt jedoch vor allem als spätere Nutzer von Ausstattung erscheinen, bleibt ein großer Teil ihres Potenzials ungenutzt.

Anerkennung reicht nicht ohne Verbindlichkeit

Das DRK begrüßt, dass Bevölkerungsschutz politisch wieder auf der Tagesordnung steht, fordert aber zugleich, die anerkannten Hilfsorganisationen stärker in die Planungen einzubeziehen und Mittel zu verstetigen. DRK-Präsident Hermann Gröhe spricht von erheblichem Nachholbedarf; DRK-Generalsekretär Christian Reuter verweist darauf, dass Versorgung, Betreuung und Widerstandskraft der Bevölkerung ohne gut ausgestattete Hilfsorganisationen nicht tragfähig ausgebaut werden können.

Damit entsteht ein klares Bild: Der Pakt ist ein notwendiger Schritt, aber noch kein vollständiger Systemumbau. Er stärkt das, was staatlich gut steuerbar und politisch sichtbar ist: Investitionen, Warnsysteme, Fahrzeuge, THW-Strukturen, digitale Lagebilder und zivil-militärische Koordination. Die Hilfsorganisationen fordern dagegen, auch das weniger sichtbare Fundament zu regeln: Rechtsstatus, Freistellung, Finanzierung, Übungsfähigkeit, Einbindung in Lage- und Führungsstrukturen sowie operative Zuständigkeiten für Betreuung und Versorgung.

Der eigentliche Test liegt in der Umsetzung

Ob der Bevölkerungsschutzpakt trägt, wird sich nicht an der Summe von zehn Milliarden Euro allein entscheiden. Entscheidend wird sein, ob aus dem Pakt ein verbindliches Arbeitsprogramm entsteht, das die föderale Trennung zwischen Zivilschutz und Katastrophenschutz praxistauglich überbrückt. Dazu gehört ein gemeinsames Lagebild ebenso wie ein gemeinsames Verständnis davon, wer im Ernstfall führt, wer betreibt, wer Personal stellt, wer Material vorhält, wer Kosten trägt und wie Ehrenamtliche rechtlich abgesichert werden.

Die Hilfsorganisationen verlangen keine Randkorrekturen, sondern eine Verschiebung des Blickwinkels. Bevölkerungsschutz beginnt nicht erst beim Gerät, sondern bei den Menschen, die es einsetzen. Er endet nicht bei der Warnmeldung, sondern bei der Fähigkeit, Betroffene zu retten, zu betreuen, medizinisch zu versorgen und über Tage oder Wochen zu stabilisieren. Genau dort entscheidet sich, ob der Pakt ein Modernisierungsschub für das gesamte Hilfeleistungssystem wird oder vor allem ein großes Investitionsprogramm für staatliche Strukturen bleibt.

Der Beitrag Bevölkerungsschutzpakt: Milliardenprogramm mit offener Flanke beim Ehrenamt erschien zuerst auf Business Resilience Podcast.

Eine aktuelle Sophos-Untersuchung zeigt das sehr deutlich: IT- und Cybersecurity-Teams verbringen im Durchschnitt 39 Prozent ihrer Zeit mit Compliance-Aufgaben. 82 Prozent der befragten Verantwortlichen befürchten, nicht vollständig compliant zu sein. Im Median müssen Unternehmen fünf verschiedene Compliance-Standards gleichzeitig erfüllen. 79 Prozent haben Schwierigkeiten, mit den laufenden Änderungen Schritt zu halten.

Das Problem ist damit nicht nur „zu viel Regulierung“. Das Problem ist, dass Regulierung heute sichtbar macht, was in vielen Unternehmen lange zu wenig strukturiert wurde.

Compliance ist kein Papierproblem mehr

Lange wurde Compliance in vielen Organisationen wie ein Nachweisproblem behandelt. Man bereitete Audits vor, sammelte Screenshots, schrieb Richtlinien, aktualisierte Excel-Listen und hoffte, dass der Prüfer keine zu tiefen Fragen stellt.

Diese Zeit ist vorbei.

NIS2, DORA, DSGVO, ISO 27001, branchenspezifische Anforderungen, Kundenanforderungen, Lieferkettenprüfungen und künftig verstärkt auch KI-Regulierung greifen immer stärker ineinander. NIS2 schafft in der EU einen einheitlichen Rechtsrahmen für Cybersicherheit in 18 kritischen Sektoren und bringt Risikomanagement, Meldepflichten, Aufsicht und Managementverantwortung stärker zusammen.   In Deutschland ist das NIS2-Umsetzungsgesetz am 6. Dezember 2025 in Kraft getreten; es erweitert die Anforderungen an Unternehmen und Branchen, verschärft Meldepflichten und sieht strengere Sanktionen vor.

Auch DORA zeigt, wohin die Reise geht. Für den Finanzsektor gilt seit dem 17. Januar 2025 ein Rahmen, der digitale operationelle Resilienz nicht mehr als IT-Nebenthema behandelt, sondern als Voraussetzung dafür, dass Banken, Versicherer, Investmentfirmen und andere Finanzunternehmen ICT-Störungen, Cyberangriffe und Ausfälle überstehen können. DORA umfasst unter anderem ICT-Risikomanagement, Drittparteienrisiken, Resilienztests, Incident Reporting und Informationsaustausch.

Die eigentliche Schwachstelle heißt fehlende Transparenz

Viele Unternehmen können heute nicht belastbar beantworten, welche Systeme geschäftskritisch sind, welche Daten wo verarbeitet werden, welche Dienstleister an welchen Prozessen hängen, welche Berechtigungen tatsächlich notwendig sind und welche technischen Ausnahmen seit Jahren toleriert werden.

Genau hier entsteht der Compliance-Druck.

Ein Unternehmen, das seine Assets nicht vollständig kennt, kann Schwachstellen nicht priorisieren. Ein Unternehmen, das seine Lieferkette nicht versteht, kann Drittparteienrisiken nicht steuern. Ein Unternehmen, das Rollen und Berechtigungen nicht sauber pflegt, kann Zugriffskontrollen nicht glaubwürdig nachweisen. Ein Unternehmen, das Incidents nur improvisiert behandelt, wird Meldefristen nicht sicher einhalten.

Compliance ist deshalb kein zusätzlicher Ordner im Intranet. Compliance ist der Stresstest für die eigene Steuerungsfähigkeit.

Das World Economic Forum beschreibt genau diese Entwicklung: Cybersecurity-Komplexität wird durch geopolitische Risiken, neue Technologien, Lieferkettenabhängigkeiten und regulatorische Fragmentierung verstärkt. 54 Prozent der großen Organisationen sehen Lieferkettenprobleme als größte Hürde für Cyberresilienz. Gleichzeitig berichten mehr als 76 Prozent der CISOs, dass fragmentierte Regulierung über verschiedene Rechtsräume hinweg ihre Fähigkeit zur Compliance erheblich beeinflusst.

Regulierung zwingt zum Aufräumen

Aus meiner Sicht müssen Unternehmen jetzt aufräumen, was sie viele Jahre verbummelt haben oder erst unter regulatorischem Druck umsetzen.

Das klingt hart, ist aber notwendig. Viele Sicherheits- und Compliance-Probleme sind nicht neu. Sie wurden nur zu lange als technische Randthemen behandelt. Unklare Systemverantwortung, veraltete Anwendungen, Schatten-IT, unvollständige Notfallpläne, manuelle Berechtigungsprozesse, lückenhafte Protokollierung, schlecht gepflegte CMDBs und fehlende Lieferantentransparenz waren schon vor NIS2, DORA oder dem AI Act Risiken.

Neu ist, dass diese Risiken jetzt nicht mehr nur im Maschinenraum der IT bleiben. Sie werden prüfbar. Sie werden meldepflichtig. Sie werden haftungsrelevant. Und sie werden zu einem Thema für Geschäftsführung, Vorstand, Aufsichtsrat und Kunden.

PwC kommt in den Global Digital Trust Insights 2025 zu einem ähnlichen Befund: Nur 2 Prozent der befragten Unternehmen geben an, Cyberresilienz organisationsweit umgesetzt zu haben, obwohl Cyberrisiken zu den wichtigsten Risiken zählen. Gleichzeitig berichten 96 Prozent, dass Cyberregulierung ihre Investitionen erhöht hat.

Die gefährliche Illusion: Mehr Tools lösen das Problem

Viele Unternehmen reagieren auf neue Anforderungen reflexartig mit neuen Tools. Ein weiteres GRC-System. Ein neues Dashboard. Noch ein Scanner. Noch eine Plattform für Vendor Risk Management.

Das kann sinnvoll sein. Aber Tools lösen kein Strukturproblem, wenn vorher die Grundlagen fehlen.

Wer nicht weiß, welche Systeme relevant sind, bekommt auch mit dem besten Tool nur schön visualisierte Unschärfe. Wer keine klaren Verantwortlichkeiten hat, automatisiert im Zweifel nur die Unverbindlichkeit. Wer jeden Standard einzeln bearbeitet, produziert doppelte Nachweise, widersprüchliche Kontrollbeschreibungen und Audit-Stress.

Der entscheidende Schritt ist daher nicht zuerst Technologie. Der entscheidende Schritt ist Ordnung.

Unternehmen sollten ihre regulatorischen Anforderungen auf ein gemeinsames Kontrollmodell abbilden. Viele Vorgaben fragen im Kern ähnliche Dinge ab: Risikomanagement, Zugriffsschutz, Schwachstellenmanagement, Backup und Wiederherstellung, Incident Response, Lieferantensteuerung, Protokollierung, Schulung, Governance und Nachweisführung. Wer diese Anforderungen einzeln behandelt, verliert Zeit. Wer sie harmonisiert, gewinnt Steuerungsfähigkeit.

Frameworks wie das NIST Cybersecurity Framework 2.0 können dabei als gemeinsame Sprache dienen, weil sie Organisationen dabei unterstützen, Cyberrisiken strukturiert zu steuern.   Entscheidend ist aber nicht, welches Framework auf dem Deckblatt steht. Entscheidend ist, ob die Kontrollen im Betrieb tatsächlich funktionieren.

Vom Audit-Modus in den Betriebsmodus

Viele Organisationen arbeiten in Wellen. Kurz vor dem Audit steigt die Aktivität. Dokumente werden nachgezogen, Nachweise werden gesucht, Verantwortliche werden erinnert, Lücken werden erklärt.

Das ist ineffizient und riskant.

Moderne Compliance muss kontinuierlich funktionieren. Nachweise sollten möglichst aus dem Betrieb entstehen, nicht erst für den Prüftermin nachgebaut werden. Ein sauber gepflegtes Asset-Inventar, automatisierte Schwachstellenscans, nachvollziehbare Berechtigungsprozesse, getestete Backups, dokumentierte Incident-Übungen und transparente Lieferantenbewertungen sind nicht nur Audit-Unterlagen. Sie sind operative Sicherheitsinstrumente.

Der Anspruch muss lauten: Wir erfüllen Anforderungen nicht, weil ein Prüfer kommt. Wir erfüllen sie, weil unser Unternehmen sonst nicht belastbar steuerbar ist.

Managementverantwortung statt IT-Abschiebung

Ein weiterer Fehler besteht darin, Compliance vollständig an IT und Security zu delegieren. Natürlich müssen CIO, CISO, Datenschutz, Risk Management und Compliance eng zusammenarbeiten. Aber die Ursache vieler Probleme liegt außerhalb der IT.

Fachbereiche kaufen Software ein. Einkauf verhandelt Lieferantenverträge. HR betreibt sensible Mitarbeiterprozesse. Legal bewertet Meldepflichten. Produktteams bauen digitale Services. Geschäftsführungen entscheiden über Budgets, Risikoappetit und Prioritäten.

Deshalb muss Cybersicherheit als Unternehmensrisiko geführt werden. NIS2 macht genau diese Verschiebung sichtbar, indem Top-Management-Verantwortung ausdrücklich gestärkt wird.   Wer Compliance weiterhin als IT-Aufgabe behandelt, wird an der Schnittstelle zwischen Verantwortung und Umsetzung scheitern.

KI erhöht den Druck zusätzlich

Mit KI kommt die nächste Komplexitätswelle. Der EU AI Act ist der weltweit erste umfassende Rechtsrahmen für KI und arbeitet risikobasiert. Hochrisiko-KI-Systeme unterliegen strengen Anforderungen wie Risikomanagement, Datenqualität, Protokollierung, Dokumentation, Transparenz, menschlicher Aufsicht, Robustheit, Cybersecurity und Genauigkeit.

Das bedeutet: Unternehmen müssen nicht nur wissen, welche klassischen IT-Systeme sie betreiben. Sie müssen auch wissen, wo KI eingesetzt wird, welche Daten genutzt werden, wer Entscheidungen überwacht, welche Risiken bestehen und wie Ergebnisse nachvollziehbar bleiben.

Auch hier gilt: Wer heute keine saubere Daten- und Prozessgovernance hat, wird KI-Compliance nicht durch ein nachträgliches Policy-Dokument lösen.

Der Lösungsansatz: Aufräumen, vereinheitlichen, automatisieren

Unternehmen sollten jetzt nicht versuchen, jede neue Regulierung isoliert abzuarbeiten. Das führt zu Parallelwelten. Sinnvoller ist ein integrierter Ansatz.

Am Anfang steht eine ehrliche Bestandsaufnahme. Welche regulatorischen Anforderungen gelten wirklich? Welche Kunden- und Branchenanforderungen kommen hinzu? Welche Systeme, Daten, Prozesse, Standorte und Dienstleister sind betroffen? Welche Nachweise existieren bereits und welche werden nur behauptet?

Danach braucht es ein gemeinsames Kontrollmodell. Nicht fünf Compliance-Projekte mit fünf Datenmodellen, sondern ein Steuerungsmodell, das Anforderungen aus NIS2, DORA, DSGVO, ISO 27001, Kundenverträgen und internen Richtlinien zusammenführt. Jede Kontrolle sollte einen Eigentümer, einen Zweck, eine Umsetzungsform, einen Nachweis und eine Prüffrequenz haben.

Anschließend muss die technische Basis bereinigt werden. Veraltete Systeme, unklare Schnittstellen, überprivilegierte Konten, Schatten-IT, unklassifizierte Datenbestände und nicht getestete Notfallkonzepte sind keine Schönheitsfehler. Sie sind Compliance- und Sicherheitsrisiken.

Erst dann entfaltet Automatisierung ihren Wert. Automatisierte Evidenzsammlung, kontinuierliches Kontrollmonitoring, zentrale Asset-Daten, Identity Governance, Vulnerability Management, SIEM-/XDR-Integration und strukturierte Vendor-Risk-Prozesse können den manuellen Aufwand deutlich reduzieren. Aber Automatisierung braucht klare Prozesse, sonst digitalisiert sie nur das Chaos.

Compliance muss leichter werden, nicht lauter

Die gute Nachricht ist: Richtig umgesetzt macht Compliance Unternehmen nicht langsamer, sondern belastbarer.

Ein Unternehmen mit klaren Verantwortlichkeiten entscheidet schneller. Ein Unternehmen mit sauberer Systemübersicht reagiert schneller auf Schwachstellen. Ein Unternehmen mit getesteten Notfallplänen meldet und kommuniziert sicherer. Ein Unternehmen mit harmonisierten Kontrollen spart Audit-Aufwand. Ein Unternehmen mit nachvollziehbarer Lieferantensteuerung reduziert Abhängigkeiten.

Die Herausforderung besteht also nicht darin, noch mehr Papier zu produzieren. Die Herausforderung besteht darin, Compliance in die tägliche Steuerung des Unternehmens zu integrieren.

Wer jetzt nur dokumentiert, verliert

Der aktuelle Compliance-Druck ist unbequem. Aber er ist auch eine Chance.

Er zwingt Unternehmen dazu, die Grundlagen endlich ernst zu nehmen: Transparenz über Assets und Daten. Klare Verantwortung. Belastbare Prozesse. Technische Hygiene. Lieferantenkontrolle. Geübte Incident Response. Kontinuierliche Nachweise. Management-Awareness.

Regulierung ist dabei nicht der eigentliche Gegner. Der eigentliche Gegner ist die Illusion, man könne moderne digitale Risiken mit alten, manuellen und fragmentierten Strukturen beherrschen.

Unternehmen, die jetzt nur Dokumente nachziehen, werden weiter unter Druck stehen. Unternehmen, die jetzt aufräumen, vereinheitlichen und automatisieren, können aus Compliance einen echten Resilienzvorteil machen.

Der Beitrag Compliance-Druck in der IT: Jetzt wird sichtbar, was jahrelang liegen blieb erschien zuerst auf Business Resilience Podcast.

Die Warnung klingt dramatisch: Die Welt sei auf einen digitalen „Super-GAU“ nicht vorbereitet. Doch hinter dieser Zuspitzung steckt kein Science-Fiction-Szenario, sondern eine nüchterne Risikoanalyse. Der von ITU, UNDRR und Sciences Po vorgestellte Bericht „When digital systems fail“ beschreibt, wie stark moderne Gesellschaften inzwischen von digitalen Grundstrukturen abhängen: Stromversorgung, Satellitennavigation, Unterseekabel, Rechenzentren, Mobilfunk, Zahlungsverkehr, Gesundheitsdaten, Notfallwarnungen und staatliche Dienste greifen ineinander. Fällt ein Teil aus, kann die Störung schnell weit über den ursprünglichen Auslöser hinaus eskalieren. Genau diese Kettenreaktionen bezeichnen die Autorinnen und Autoren als Risiko einer „digitalen Pandemie“.

Das Entscheidende daran: Der nächste große digitale Ausfall muss kein Cyberangriff sein. Er kann durch einen Sonnensturm, extreme Hitze, ein beschädigtes Unterseekabel, einen Satellitenausfall, eine fehlerhafte Softwareaktualisierung oder eine Stromnetzstörung ausgelöst werden. Damit verschiebt sich die Debatte. Es geht nicht mehr nur um IT-Sicherheit im engeren Sinne, sondern um digitale Resilienz als Bestandteil von Katastrophenschutz, Unternehmensführung und nationaler Sicherheitsarchitektur.

Digitalisierung hat Effizienz geschaffen, aber auch neue Abhängigkeiten

Viele Organisationen haben in den vergangenen Jahren erfolgreich digitalisiert. Prozesse wurden automatisiert, Daten in Clouds verlagert, Lieferketten vernetzt, Zahlungen dematerialisiert und Kundeninteraktionen in Apps verschoben. Das hat Geschwindigkeit, Skalierung und Komfort ermöglicht. Gleichzeitig sind analoge Ausweichverfahren vielerorts verschwunden oder nie ernsthaft getestet worden.

Der UN-Bericht benennt genau diese Verwundbarkeit: Gesellschaften verlassen sich auf digitale Systeme, ohne ausreichend analoge Fähigkeiten und belastbare Fallback-Optionen vorzuhalten. Das ist ein strategisches Problem. Denn Resilienz entsteht nicht dadurch, dass jedes Einzelsystem möglichst effizient läuft. Sie entsteht dadurch, dass ein Gesamtsystem auch dann handlungsfähig bleibt, wenn mehrere Annahmen gleichzeitig brechen.

Ein Beispiel aus der jüngeren Vergangenheit zeigt, wie gering die technische Ursache im Verhältnis zur gesellschaftlichen Wirkung sein kann. Beim CrowdStrike-Ausfall im Juli 2024 waren nach Microsoft-Schätzung rund 8,5 Millionen Windows-Geräte betroffen, weniger als ein Prozent aller Windows-Maschinen. Dennoch waren die Auswirkungen breit spürbar, weil betroffene Systeme in Unternehmen eingesetzt wurden, die kritische Dienste betreiben. Microsoft selbst sprach anschließend von der vernetzten Natur des Ökosystems aus Cloud-Anbietern, Softwareplattformen, Sicherheitsanbietern und Kunden.

Drei Szenarien, ein gemeinsames Muster

Die ZEIT-Meldung zur dpa-Berichterstattung greift drei Szenarien aus dem UN-Kontext auf, die auf den ersten Blick sehr unterschiedlich wirken: ein Sonnensturm wie 1859, eine Extremhitze wie 2003 und ein massives Unterseeereignis wie 2022 bei Tonga. Gemeinsam ist ihnen, dass sie digitale Infrastruktur nicht isoliert treffen, sondern Abhängigkeiten sichtbar machen, die im Normalbetrieb kaum wahrgenommen werden.

Ein schwerer Sonnensturm könnte Satellitennavigation, Funkverbindungen und Stromnetze beeinträchtigen. NOAA beschreibt, dass koronale Massenauswürfe geomagnetische Stürme auslösen können, die zusätzliche Ströme im Boden induzieren, Stromnetze belasten und GPS- beziehungsweise GNSS-Signale stören. In einer Wirtschaft, die auf präzise Zeitstempel, Navigation, Hochfrequenzhandel, Logistik und automatisierte Steuerung angewiesen ist, wird daraus sehr schnell mehr als ein technisches Problem.

Extreme Hitze wiederum trifft nicht nur Menschen und Energieversorgung, sondern auch die digitale Infrastruktur selbst. Rechenzentren brauchen Energie und Kühlung. Die IEA meldete im April 2026, dass der Strombedarf von Rechenzentren 2025 um 17 Prozent gestiegen sei und sich bis 2030 voraussichtlich verdoppeln werde; zugleich verweist sie auf Engpässe bei Netzanbindungen, Transformatoren, Gasturbinen, Chips und weiteren Komponenten. Parallel erhöhen Hitzewellen den Kühlbedarf und belasten Stromnetze, was die Verwundbarkeit digitaler Dienste weiter vergrößert.

Das dritte Szenario sind Unterseekabel. Sie sind die unsichtbaren Hauptschlagadern der globalen Vernetzung. Die ITU beziffert das globale Netz auf rund 500 Kabel mit mehr als 1,7 Millionen Kilometern Länge; mehr als 99 Prozent des internationalen Datenverkehrs laufen über solche Kabel, und jährlich werden weltweit über 200 Störungen gemeldet. Wer Cloud, Videokonferenzen, Zahlungsverkehr, internationale Lieferketten oder Echtzeitdaten nutzt, hängt an dieser physischen Infrastruktur, auch wenn sie im Alltag kaum sichtbar ist.

Compliance reicht nicht mehr

In Europa ist das Thema nicht unbekannt. NIS2 erweitert die Anforderungen an Cybersicherheit und Risikomanagement in 18 kritischen Sektoren, DORA verpflichtet Finanzunternehmen seit Januar 2025 zu digitaler operationaler Resilienz, und die CER-Richtlinie adressiert die Widerstandsfähigkeit kritischer Einrichtungen gegenüber natürlichen und menschengemachten Risiken. Diese Regulierungen sind wichtig, weil sie Cyber- und Infrastrukturresilienz näher an Vorstand, Geschäftsführung und Aufsicht heranrücken.

Aber Regulierung allein erzeugt noch keine Handlungsfähigkeit. Viele Unternehmen behandeln Resilienz weiterhin als Compliance-Projekt, nicht als Führungsaufgabe. Sie dokumentieren Risiken, statt sie operativ zu testen. Sie prüfen Lieferanten, ohne echte Konzentrationsrisiken zu verstehen. Sie halten Backups vor, ohne Wiederanlaufzeiten unter realistischen Störbedingungen zu üben. Sie schreiben Notfallhandbücher, die im Ernstfall in genau den Systemen liegen, die gerade nicht verfügbar sind.

Der eigentliche Reifegrad zeigt sich nicht im Audit, sondern im Stresstest. Kann ein Unternehmen kommunizieren, wenn E-Mail, Teams, Mobilfunk oder zentrale Identitätsdienste ausfallen? Kann es Zahlungen abwickeln, wenn ein Zahlungsdienstleister, eine Bankenschnittstelle oder ein Rechenzentrum nicht verfügbar ist? Kann es Kunden informieren, wenn die Website offline ist? Können Mitarbeitende an kritischen Standorten ohne Cloud-Dokumentation, ohne SaaS-Zugriff und ohne zentrale Ticketsysteme weiterarbeiten? Und weiß die Geschäftsführung, welche Prozesse nach 24, 72 oder 168 Stunden wirklich überlebenswichtig sind?

Resilienz beginnt mit einer unbequemen Frage

Die wichtigste Frage lautet nicht: „Sind unsere Systeme sicher?“ Sie lautet: „Welche gesellschaftlichen, wirtschaftlichen und operativen Funktionen müssen wir auch dann erbringen, wenn digitale Normalität ausfällt?“

Diese Perspektive verändert Prioritäten. Dann geht es nicht nur um Firewalls, EDR, Backups und Incident Response, sondern um minimale Betriebsfähigkeit. Es geht um Abhängigkeiten von Strom, Kühlung, Netzanbindung, Cloud-Regionen, Satellitenzeit, DNS, Identitätsprovidern, Zahlungsdienstleistern, Telekommunikationsanbietern und physischen Standorten. Es geht um Datenportabilität, alternative Kommunikationswege, manuelle Freigabeprozesse, Offline-Dokumentation, analoge Notfallroutinen und klare Entscheidungsrechte unter Unsicherheit.

Das ist kein Plädoyer gegen Digitalisierung. Im Gegenteil. Je digitaler eine Organisation wird, desto professioneller muss sie die physischen und organisatorischen Voraussetzungen ihrer digitalen Leistungsfähigkeit verstehen. Resiliente Digitalisierung bedeutet nicht Rückkehr zum Papier. Sie bedeutet, digitale Systeme so zu bauen, zu betreiben und zu steuern, dass Ausfälle eingeplant, begrenzt und beherrschbar werden.

Digitale Resilienz wird zum Wettbewerbsfaktor

Der UN-Bericht ist deshalb mehr als eine Warnung an Staaten. Er ist auch ein Weckruf für Unternehmen. In einer vernetzten Wirtschaft wird Resilienz zur Vertrauenswährung. Kunden, Aufsichtsbehörden, Investoren und Partner werden zunehmend danach fragen, ob Organisationen nicht nur wachsen und skalieren können, sondern auch unter Stress verlässlich bleiben.

Die Unternehmen, die hier früh handeln, werden sich unterscheiden. Sie werden Abhängigkeiten kartieren, Szenarien über Organisationsgrenzen hinweg üben, analoge Rückfallebenen bewusst erhalten, technische Redundanz mit organisatorischer Entscheidungskraft verbinden und Resilienz nicht an die IT delegieren. Sie werden verstehen, dass Business Continuity, Cybersecurity, physische Sicherheit, Energieversorgung, Lieferkettenmanagement und Krisenkommunikation nicht getrennte Disziplinen sind, sondern Bestandteile derselben Führungsaufgabe.

Der digitale „Super-GAU“ ist nicht unausweichlich. Aber die Wahrscheinlichkeit schwerer digitaler Kettenreaktionen steigt, wenn wir Systeme immer enger koppeln und gleichzeitig so tun, als ließen sich Risiken weiterhin einzeln betrachten. Die eigentliche Botschaft des UN-Berichts lautet daher: Wir müssen nicht weniger digital werden. Wir müssen erwachsener digital werden.

Der Beitrag Digitale Resilienz: Warum der nächste globale Ausfall kein Hackerangriff sein muss erschien zuerst auf Business Resilience Podcast.

Diese Bedeutung hat in den vergangenen Jahren deutlich zugenommen. Geopolitische Spannungen, der Krieg gegen die Ukraine, Angriffe auf Unterseekabel, Drohnenüberflüge, Sabotageverdacht und Cyberattacken zeigen, dass maritime Infrastruktur heute Teil eines hybriden Konfliktraums ist. Häfen stehen dabei besonders im Fokus, weil sie digitale Komplexität, physische Verwundbarkeit und wirtschaftliche Relevanz miteinander verbinden.

Cybersicherheit in Häfen ist daher keine technische Spezialdisziplin mehr. Sie ist eine Frage der Resilienz, der Unternehmensführung und zunehmend auch der nationalen Sicherheit.

Die Digitalisierung macht Häfen effizienter und angreifbarer

Moderne Häfen funktionieren nur noch durch digitale Vernetzung. Containerbewegungen, Terminalsteuerung, Zeitfensterbuchungen, Zollprozesse, Gefahrgutdokumentation, Zutrittskontrollen, Kamerasysteme, Energieversorgung, Bahnanschlüsse, Krananlagen und Wartungsprozesse sind über IT- und OT-Systeme miteinander verbunden. Diese Vernetzung sorgt für Geschwindigkeit, Transparenz und Effizienz. Gleichzeitig entsteht eine Angriffsfläche, die weit über klassische Büro-IT hinausgeht.

Ein Angriff muss heute nicht mehr zwingend physische Schäden verursachen, um erhebliche Wirkung zu entfalten. Es reicht, Datenflüsse zu stören, Buchungssysteme zu manipulieren, Zugänge zu kompromittieren, Identitäten zu missbrauchen oder Terminalprozesse zu verlangsamen. Wenn ein Hafen nicht mehr weiß, welcher Container wann wohin muss, welches Fahrzeug berechtigt ist, welches Schiff priorisiert wird oder welche Daten verlässlich sind, entsteht schnell operativer Stillstand.

Besonders kritisch ist die enge Taktung. Häfen sind keine isolierten Anlagen mit großzügigen Puffern. Sie sind Knotenpunkte hochoptimierter Lieferketten. Verzögerungen in einem Terminal können sich auf Speditionen, Reedereien, Bahnbetreiber, Industrieunternehmen und Endkunden auswirken. Cybersicherheit wird damit unmittelbar zur Frage der Lieferfähigkeit.

IT und OT lassen sich nicht mehr getrennt betrachten

Viele Organisationen haben ihre Sicherheitsarchitektur historisch aus der IT heraus entwickelt. Firewalls, Endpoint-Schutz, E-Mail-Security, Backups und Benutzerverwaltung standen im Mittelpunkt. In Häfen reicht dieser Blick nicht aus. Die eigentliche operative Verwundbarkeit entsteht dort, wo klassische IT mit industriellen Steuerungssystemen, Sensorik, Fernwartung, Zutrittskontrolle und physischer Infrastruktur verschmilzt.

Terminal Operating Systems, Port Community Systems, Kransteuerungen, Gate-Systeme, Energieanlagen und industrielle Netzwerke haben andere Anforderungen als Office-Umgebungen. Sie müssen hochverfügbar sein, laufen oft über viele Jahre, lassen sich nicht beliebig patchen und werden häufig von spezialisierten Herstellern oder Wartungspartnern betreut. Genau daraus entstehen Risiken. Was aus betrieblicher Sicht sinnvoll ist, kann aus Sicherheitsperspektive zur Schwachstelle werden.

Fernwartungszugänge sind ein gutes Beispiel. Für den Betrieb sind sie praktisch, manchmal unverzichtbar. Aus Sicht eines Angreifers sind sie attraktive Einstiegspunkte. Gleiches gilt für gemeinsam genutzte Konten, veraltete Systeme, unvollständige Asset-Inventare oder Netzwerke, die historisch gewachsen sind und nie konsequent segmentiert wurden. In einer maritimen Umgebung können solche Schwächen direkte Auswirkungen auf reale Abläufe haben.

Hybride Bedrohungen verbinden Cyberangriff und Sabotage

Die Sicherheitslage verändert sich nicht nur durch mehr Cyberkriminalität. Entscheidend ist die Verbindung unterschiedlicher Angriffsmuster. Digitale Angriffe, physische Sabotage, Spionage, Desinformation, Drohneneinsatz und Störungen von Kommunikations- oder Energieinfrastruktur können Teil desselben Lagebilds sein. Genau diese Kombination macht hybride Bedrohungen so schwer beherrschbar.

Ein isolierter Ransomware-Vorfall ist bereits belastend. Wird er aber mit Drohnenaktivität, Störungen in der Energieversorgung, Kommunikationsproblemen oder verdächtigen Vorfällen auf dem Gelände kombiniert, entsteht eine völlig andere Krisendynamik. Dann geht es nicht mehr nur um IT-Wiederherstellung. Es geht um Lagebewertung, Entscheidungsfähigkeit, Behördenkommunikation, physische Sicherheit, operative Priorisierung und öffentliche Kommunikation.

Für Hafenbetreiber bedeutet das, dass Cybersicherheit nicht allein im Security Operations Center entschieden wird. Sie muss mit Werkschutz, Betrieb, Krisenstab, Rechtsabteilung, Kommunikation, Behördenkontakten, Dienstleistern und Management verbunden sein. Wer hybride Bedrohungen ernst nimmt, baut keine isolierten Sicherheitsinseln, sondern integrierte Reaktionsfähigkeit.

Die Lieferkette ist Teil der Angriffsfläche

Ein Hafen ist kein einzelnes Unternehmen, sondern ein Ökosystem. Reedereien, Terminalbetreiber, Speditionen, Bahnunternehmen, Zoll, Sicherheitsdienste, Energieversorger, IT-Dienstleister, Softwareanbieter, Wartungsfirmen und Behörden greifen täglich ineinander. Diese Struktur ist leistungsfähig, aber sie vergrößert auch die Angriffsfläche.

Viele Angriffe beginnen nicht beim offensichtlich kritischen Ziel. Sie beginnen bei einem Dienstleister mit schwächerem Sicherheitsniveau, bei einem kompromittierten Benutzerkonto, bei einer unzureichend abgesicherten Schnittstelle oder bei Software, die in vielen Organisationen gleichzeitig eingesetzt wird. Für Angreifer ist der indirekte Weg oft einfacher als der direkte Angriff auf den Hafenbetreiber selbst.

Deshalb reicht es nicht, nur die eigene Infrastruktur zu härten. Maritime Cybersicherheit muss Lieferketten, Dienstleister und gemeinsame Prozesse einschließen. Verträge müssen Sicherheitsanforderungen konkret definieren. Zugänge müssen nachvollziehbar, begrenzt und überprüfbar sein. Kritische Dienstleister müssen in Notfallpläne eingebunden werden. Und es muss vor einem Vorfall klar sein, wer welche Verantwortung trägt.

In einer Krise ist keine Zeit, Zuständigkeiten neu zu verhandeln. Entscheidend ist, ob Kommunikationswege, Eskalationsstufen und Wiederanlaufprozesse bereits eingeübt sind.

Regulierung erhöht den Druck auf die Unternehmensführung

Mit europäischen und nationalen Vorgaben wie NIS2, der CER-Richtlinie und KRITIS-bezogenen Anforderungen verschiebt sich die Verantwortung für Cybersicherheit weiter in Richtung Unternehmensleitung. Es geht nicht mehr nur um technische Schutzmaßnahmen, sondern um nachweisbares Risikomanagement, Meldeprozesse, Governance, Lieferkettensicherheit und organisatorische Resilienz.

Für Hafenunternehmen und verbundene Akteure bedeutet das einen deutlichen Reifegradsprung. Sicherheitskonzepte müssen belastbar dokumentiert sein. Risiken müssen regelmäßig bewertet werden. Vorfälle müssen erkannt, klassifiziert und gemeldet werden können. Maßnahmen müssen nicht nur existieren, sondern im Ernstfall funktionieren.

Das ist ein wichtiger Unterschied. Compliance zeigt, dass Anforderungen adressiert wurden. Resilienz zeigt, dass eine Organisation auch unter Druck handlungsfähig bleibt. Gerade in Häfen ist dieser Unterschied entscheidend, weil technische Ausfälle unmittelbar operative und wirtschaftliche Folgen haben können.

Resilienz beginnt mit Transparenz

Viele Sicherheitsprogramme scheitern nicht an fehlender Technologie, sondern an mangelnder Übersicht. Wer nicht weiß, welche Systeme im Einsatz sind, welche Abhängigkeiten bestehen, welche Dienstleister Zugriff haben und welche Prozesse wirklich kritisch sind, kann Risiken kaum sinnvoll priorisieren.

Ein belastbares Asset- und Abhängigkeitsmanagement ist deshalb die Grundlage maritimer Cybersicherheit. Es muss klar sein, welche IT- und OT-Systeme für den Hafenbetrieb unverzichtbar sind, welche Datenflüsse geschäftskritisch sind und welche Komponenten bei einem Ausfall zuerst wiederhergestellt werden müssen. Ohne diese Transparenz bleiben Notfallpläne abstrakt.

Dazu gehört auch eine ehrliche Bewertung alter Systeme. In vielen industriellen Umgebungen laufen Anlagen über lange Zeiträume zuverlässig. Genau deshalb geraten sie aus dem Blick. Aus Sicherheitsperspektive können aber veraltete Betriebssysteme, nicht dokumentierte Schnittstellen oder nicht mehr unterstützte Komponenten erhebliche Risiken darstellen. Resilienz entsteht nicht dadurch, alles sofort zu ersetzen. Sie entsteht dadurch, Risiken sichtbar zu machen und kontrolliert zu behandeln.

Security by Design muss in Hafenmodernisierung integriert werden

Viele Häfen investieren in Modernisierung, Automatisierung und neue Kapazitäten. Diese Investitionen sind notwendig, weil Handelsvolumen, Energiewende, militärische Mobilität und internationale Wettbewerbsfähigkeit neue Anforderungen stellen. Gleichzeitig darf Digitalisierung nicht erst nachträglich abgesichert werden.

Security by Design muss Teil jeder Modernisierung sein. Neue Systeme müssen segmentierbar, überwachbar, updatefähig und notfalltauglich sein. Identitäten und Berechtigungen müssen konsequent verwaltet werden. Schnittstellen zu Partnern müssen kontrolliert werden. Datenintegrität muss genauso wichtig sein wie Verfügbarkeit. Und Wiederanlaufprozesse müssen bereits in der Architektur mitgedacht werden.

Das gilt besonders für automatisierte Terminals, digitale Leitstände, cloudbasierte Plattformen, IoT-Sensorik und KI-gestützte Optimierungssysteme. Je stärker operative Entscheidungen datengetrieben werden, desto wichtiger wird die Frage, ob diese Daten echt, vollständig und unverändert sind. Manipulierte Daten können in einem Hafen genauso gefährlich sein wie ausgefallene Systeme.

Übungen sind wichtiger als Papierkonzepte

Viele Organisationen verfügen über Notfallpläne. Die entscheidende Frage ist, ob diese Pläne unter realistischen Bedingungen funktionieren. Ein Cybervorfall im Hafenbetrieb verläuft selten sauber nach Handbuch. Informationen sind unvollständig, Systeme reagieren unerwartet, Dienstleister sind nicht sofort erreichbar, Medien fragen nach, Behörden benötigen Lagebilder und der Betrieb muss parallel weiterlaufen.

Deshalb müssen maritime Organisationen regelmäßig Szenarien üben, die technische, operative und kommunikative Aspekte verbinden. Es reicht nicht, Ransomware im Büro-Netzwerk zu simulieren. Realistische Szenarien betreffen Terminalausfälle, manipulierte Ladungsdaten, gestörte Zutrittskontrollen, kompromittierte Dienstleisterzugänge, gleichzeitige physische Sicherheitslagen oder den Ausfall zentraler Kommunikationssysteme.

Solche Übungen zeigen, wo Prozesse funktionieren und wo Annahmen zu optimistisch sind. Sie machen sichtbar, welche Entscheidungen vorbereitet werden müssen, welche Daten im Krisenfall benötigt werden und welche manuellen Rückfallverfahren tatsächlich tragfähig sind. Gerade in kritischen Infrastrukturen ist Übung keine Formalität, sondern ein zentraler Bestandteil professioneller Sicherheitssteuerung.

Cybersicherheit wird zum Wettbewerbsfaktor

Häfen konkurrieren nicht nur über Lage, Kapazität und Effizienz. Zunehmend wird auch Verlässlichkeit zum Standortfaktor. Kunden, Reedereien, Industrieunternehmen und staatliche Akteure werden künftig stärker darauf achten, ob ein Hafen auch unter Störbedingungen handlungsfähig bleibt. Wer Sicherheits- und Resilienzfähigkeit glaubwürdig nachweisen kann, schafft Vertrauen.

Das betrifft auch Versicherbarkeit, Finanzierung, regulatorische Bewertung und Partnerschaften. In einer Welt, in der Lieferketten anfälliger und geopolitische Risiken sichtbarer werden, gewinnt operative Stabilität wirtschaftlichen Wert. Cybersicherheit ist damit nicht nur Kostenstelle, sondern Teil des Leistungsversprechens eines Hafens.

Professionelle Betreiber werden Cybersicherheit deshalb nicht als reaktive Abwehr verstehen, sondern als strategische Fähigkeit. Sie werden Sicherheitsarchitektur, Risikomanagement, Krisenorganisation und Lieferkettensteuerung zusammenführen. Sie werden technische Maßnahmen mit Managementverantwortung verbinden. Und sie werden nicht nur fragen, ob ein Angriff verhindert werden kann, sondern wie schnell der Betrieb nach einer Störung wieder kontrolliert funktioniert.

Maritime Resilienz braucht gemeinsame Verantwortung

Kein Hafen kann diese Aufgabe allein lösen. Maritime Cybersicherheit braucht Zusammenarbeit zwischen Betreibern, Behörden, Sicherheitsorganisationen, Technologieanbietern, Reedereien, Logistikunternehmen und politischen Entscheidern. Gemeinsame Lagebilder, klare Meldewege, branchenspezifische Standards und belastbare Informationsaustauschformate werden immer wichtiger.

Dabei geht es nicht um Alarmismus. Es geht um nüchterne Vorbereitung auf eine Realität, in der kritische Infrastruktur stärker in den Fokus von Kriminellen, staatlichen Akteuren und hybriden Operationen rückt. Häfen sind offene, komplexe und leistungsorientierte Systeme. Genau deshalb müssen sie so geschützt werden, dass Sicherheit den Betrieb ermöglicht und nicht blockiert.

Die maritime Wirtschaft steht damit vor einem Reifegradsprung. Wer Häfen digitalisiert, muss sie auch widerstandsfähiger machen. Wer Effizienz steigert, muss Abhängigkeiten beherrschbar halten. Wer Infrastruktur modernisiert, muss Cyberresilienz von Anfang an einplanen.

Häfen sind Knotenpunkte der Wirtschaft. In einer angespannten geopolitischen Lage werden sie zugleich zu Knotenpunkten der Sicherheit. Ihre Zukunftsfähigkeit entscheidet sich nicht allein an Kaikanten, Kränen und Umschlagzahlen, sondern auch daran, wie gut sie digitale Angriffe, physische Störungen und hybride Bedrohungen verkraften.

Der Beitrag Häfen im Fadenkreuz: Warum maritime Cybersicherheit zur strategischen Aufgabe wird erschien zuerst auf Business Resilience Podcast.

In Deutschland ist die Umsetzung seit dem 6. Dezember 2025 in Kraft. Damit ist NIS-2 kein abstraktes Zukunftsthema mehr, sondern operative Compliance-Realität für betroffene Unternehmen und Einrichtungen. Die Bundesregierung formuliert das Ziel klar: wichtige Einrichtungen und den europäischen Binnenmarkt schützen, Abwehrfähigkeit stärken und einheitliche Sicherheitsstandards verbindlich machen.

NIS-2 ist kein IT-Projekt, sondern ein Führungs- und Resilienzthema

Viele Unternehmen starten bei NIS-2 reflexartig mit Tools, Policies oder technischen Einzelmaßnahmen. Das ist nachvollziehbar, greift aber zu kurz. NIS-2 fragt nicht zuerst, ob ein Unternehmen ein bestimmtes Produkt eingeführt hat. NIS-2 fragt, ob Cyberrisiken systematisch gesteuert werden, ob Verantwortlichkeiten klar sind, ob kritische Dienste auch unter Stress handlungsfähig bleiben und ob Sicherheitsvorfälle fristgerecht erkannt, bewertet und gemeldet werden können.

Der erste pragmatische Schritt ist daher die saubere Betroffenheitsprüfung. In Deutschland unterscheidet das novellierte BSI-Gesetz unter anderem zwischen „besonders wichtigen Einrichtungen“ und „wichtigen Einrichtungen“; zentrale Pflichten finden sich etwa in den Regelungen zu Risikomanagement, Registrierung, Meldung, Nachweis und Geschäftsleitung.   Das BSI stellt dafür eine Betroffenheitsprüfung und einen Entscheidungsbaum bereit, weist aber ausdrücklich darauf hin, dass das Ergebnis nicht rechtlich bindend ist und im Zweifel juristische Beratung hinzugezogen werden sollte.

Gerade hier entstehen in der Praxis die ersten Fehlentscheidungen. Manche Unternehmen unterschätzen ihre Rolle in einem regulierten Sektor, andere betrachten nur die Muttergesellschaft und übersehen Tochtergesellschaften, Betriebsstätten, verbundene Dienste oder grenzüberschreitende Leistungsbeziehungen. Eine belastbare Betroffenheitsanalyse gehört deshalb dokumentiert. Sie sollte nicht nur beantworten, ob NIS-2 gilt, sondern auch warum diese Einschätzung getroffen wurde, welche Gesellschaften und Leistungen umfasst sind und wer die Verantwortung für die weitere Umsetzung trägt.

Die Geschäftsführung gibt nicht nur frei, sie steuert

NIS-2 hebt Cybersicherheit auf die Ebene der Unternehmensleitung. Die EU-Kommission betont ausdrücklich die Verantwortung der obersten Leitung für Nichtbeachtung von Cyber-Risikomanagementmaßnahmen und damit den Schritt „in den Boardroom“.   In der deutschen Umsetzung spiegelt sich das unter anderem in den Pflichten der Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen wider.

Praktisch bedeutet das: Die Geschäftsführung muss nicht jedes technische Detail selbst bewerten, aber sie muss den Rahmen setzen. Dazu gehören ein klares Risikoverständnis, ein genehmigtes Sicherheitsbudget, eine belastbare Governance, definierte Rollen, regelmäßige Berichte und die Bereitschaft, Restrisiken bewusst zu akzeptieren oder eben nicht. Cybersecurity wird damit Teil der Unternehmenssteuerung, vergleichbar mit Finanzen, Recht, Datenschutz oder Arbeitssicherheit.

Ein wirksamer NIS-2-Ansatz beginnt deshalb mit einer Managemententscheidung: Welche kritischen Leistungen müssen geschützt werden? Welche Ausfallzeiten sind akzeptabel? Welche Risiken sind geschäftskritisch? Welche Investitionen sind notwendig, um ein angemessenes Sicherheitsniveau zu erreichen? Wer diese Fragen nicht beantwortet, wird später zwar Dokumente haben, aber keine Steuerungsfähigkeit.

Das ISMS ist der operative Kern der NIS-2-Konformität

Ein Informationssicherheitsmanagementsystem, kurz ISMS, ist der Ort, an dem NIS-2 praktisch beherrschbar wird. Ein gutes ISMS übersetzt regulatorische Anforderungen in ein wiederholbares System aus Verantwortlichkeiten, Risikoanalysen, Schutzmaßnahmen, Nachweisen, Kontrollen und Verbesserungen. ISO/IEC 27001 beschreibt ein ISMS als System, das Vertraulichkeit, Integrität und Verfügbarkeit von Informationen durch einen Risikomanagementprozess schützt.   Der BSI IT-Grundschutz und der künftige Grundschutz++ sind nach Angaben des BSI kompatibel zur ISO 27001 und bieten für deutsche Organisationen eine etablierte methodische Brücke.

Für NIS-2 ist entscheidend, dass das ISMS nicht als Zertifizierungsprojekt missverstanden wird. Eine Zertifizierung kann sinnvoll sein, etwa für Kundenanforderungen, Ausschreibungen, Nachweispflichten oder internationale Governance. Sie ersetzt aber nicht automatisch die konkrete NIS-2-Umsetzung. Umgekehrt kann ein Unternehmen auch ohne sofortige Zertifizierungsambition sehr pragmatisch beginnen: kritische Assets erfassen, Risiken bewerten, Maßnahmen priorisieren, Lieferanten einbeziehen, Incident Response definieren und die Wirksamkeit regelmäßig überprüfen.

Der Unterschied zwischen Papierlage und echter Konformität zeigt sich im Ernstfall. Gibt es ein aktuelles Asset- und Serviceverzeichnis? Sind Identitäten, Berechtigungen und privilegierte Zugriffe kontrolliert? Sind Schwachstellenprozesse messbar? Sind Backups geschützt und getestet? Gibt es ein Lagebild aus Logging, Monitoring und Incident Response? Werden Sicherheitsentscheidungen nachvollziehbar dokumentiert? Genau an diesen Stellen wird aus einem ISMS ein Steuerungssystem statt einer Dokumentenablage.

BCM macht aus Sicherheit echte Widerstandsfähigkeit

NIS-2 ist eng mit Resilienz verbunden. Es reicht nicht, Angriffe zu verhindern. Unternehmen müssen auch in der Lage sein, Sicherheitsvorfälle zu bewältigen, Dienste wiederherzustellen und in Krisensituationen entscheidungsfähig zu bleiben. Das ist der Punkt, an dem Business Continuity Management ins Zentrum rückt.

BCM beantwortet die Fragen, die in vielen Sicherheitsprogrammen zu spät gestellt werden: Welche Geschäftsprozesse sind zeitkritisch? Welche Systeme, Daten, Standorte, Personen und Dienstleister hängen daran? Welche Wiederanlaufzeiten sind realistisch? Welche manuellen Ausweichprozesse gibt es? Wer entscheidet in der Krise, wer kommuniziert und wer dokumentiert? Der BSI-Standard 200-4 bietet hierfür eine praxisnahe Anleitung zum Aufbau eines Business Continuity Management Systems.

In der NIS-2-Praxis sollten ISMS und BCM nicht nebeneinander herlaufen. Das ISMS identifiziert und behandelt Informationssicherheitsrisiken. Das BCM bewertet die Auswirkungen auf Geschäftsprozesse und sorgt für Wiederanlauf- und Krisenfähigkeit. Incident Response verbindet beide Welten: technisch analysieren, organisatorisch eskalieren, regulatorisch melden, geschäftlich stabilisieren. Wenn diese Kette nicht geübt ist, entstehen im Vorfall die teuersten Lücken.

Besonders relevant sind die Meldepflichten. Das BSI beschreibt für betroffene Einrichtungen Meldefristen von 24 Stunden für die frühe Erstmeldung, 72 Stunden für die Meldung und 30 Tagen für Abschluss- beziehungsweise Folgemeldungen; die Meldung umfasst unter anderem Schweregrad, Auswirkungen, Kompromittierungsindikatoren und Kontaktinformationen.   Wer diese Fristen erst dann organisatorisch klärt, wenn ein Ransomware-Vorfall läuft, ist zu spät. Meldefähigkeit muss vorbereitet, geübt und in Krisenhandbüchern verankert sein.

KI ist kein Shortcut, sondern ein neuer Risikobaustein

Künstliche Intelligenz spielt in der NIS-2-Umsetzung eine doppelte Rolle. Einerseits kann KI helfen, Sicherheitsereignisse schneller zu korrelieren, Phishing zu erkennen, Schwachstellen zu priorisieren, Dokumentation vorzubereiten oder Awareness zielgruppengerechter zu machen. Andererseits schafft KI neue Angriffsflächen und Governance-Fragen. Das BSI weist darauf hin, dass generative KI-Modelle neue IT-Sicherheitsrisiken erzeugen und bekannte Bedrohungen verstärken können.

Pragmatisch heißt das: KI-Systeme gehören in das ISMS. Sie sind Assets, Anwendungen, Datenverarbeiter, Lieferantenleistungen oder produktive Komponenten und müssen entsprechend bewertet werden. Welche Daten dürfen in externe Modelle eingegeben werden? Welche Fachprozesse nutzen KI bereits informell? Welche KI-Funktionen sind in Sicherheitswerkzeugen, Cloud-Diensten oder Softwareprodukten enthalten? Welche Risiken entstehen durch Prompt Injection, Datenabfluss, fehlerhafte Empfehlungen, Modellabhängigkeiten oder unklare Verantwortlichkeiten?

KI kann NIS-2-Umsetzung beschleunigen, aber sie ersetzt keine Governance. Gerade im Sicherheitsbetrieb sollte klar geregelt sein, welche KI-Ausgaben automatisch verarbeitet werden dürfen, wo menschliche Freigabe notwendig bleibt und wie Fehlentscheidungen nachvollzogen werden. Wer KI im SOC, im Schwachstellenmanagement oder in der Incident Response nutzt, sollte Nachvollziehbarkeit, Datenklassifizierung, Rollenmodelle und Lieferantenkontrolle besonders ernst nehmen.

Lieferkette, Cloud und Dienstleister entscheiden mit über Konformität

NIS-2 betrachtet Cybersicherheit nicht isoliert innerhalb der eigenen Unternehmensgrenzen. Die Richtlinie adressiert ausdrücklich Lieferketten, Dienstleisterbeziehungen und Sicherheitsaspekte in Beschaffung, Entwicklung und Betrieb. Die EU-Kommission nennt Supply-Chain-Sicherheit und Verwundbarkeitsmanagement als Bestandteile nationaler Cybersicherheitsstrategien und NIS-2-Pflichten.

Das ist einer der größten Praxishebel. Viele kritische Dienste hängen heute an Cloud-Plattformen, Managed Service Providern, SaaS-Anbietern, Softwarelieferanten, Rechenzentren, OT-Dienstleistern oder spezialisierten Integratoren. NIS-2-konform kann ein Unternehmen nur werden, wenn diese Abhängigkeiten bekannt, bewertet und vertraglich beherrscht werden. Dazu gehören Sicherheitsanforderungen in Verträgen, Meldeketten bei Vorfällen, Prüf- und Auskunftsrechte, Mindeststandards für Zugriffsschutz, Regelungen zu Subdienstleistern und realistische Exit- beziehungsweise Wiederanlaufoptionen.

Gerade mittelständische Unternehmen sollten hier pragmatisch priorisieren. Nicht jeder Lieferant braucht denselben Prüfaufwand. Kritisch sind jene Dienstleister, die Zugang zu sensiblen Daten, administrativen Rechten, produktionsnahen Systemen oder geschäftskritischen Prozessen haben. Dort lohnt sich eine tiefe Prüfung deutlich mehr als ein generischer Fragebogen an alle Lieferanten.

Der pragmatische Weg zur NIS-2-Konformität

NIS-2-konform wird ein Unternehmen nicht durch ein einzelnes Projekt, sondern durch ein belastbares Betriebsmodell. Der Start sollte nüchtern sein: Betroffenheit klären, Ergebnis dokumentieren, Geschäftsführung einbinden, Verantwortliche benennen, Registrierungspflichten erfüllen und die wichtigsten Sicherheits- und Meldeprozesse priorisieren. Das BSI beschreibt, dass betroffene Einrichtungen sich registrieren, erhebliche Sicherheitsvorfälle melden sowie Risikomanagementmaßnahmen implementieren und dokumentieren müssen.   Die Registrierung erfolgt über das BSI-Portal; laut BSI müssen Einrichtungen sich spätestens drei Monate nach erstmaliger oder erneuter NIS-2-Betroffenheit registrieren.

Danach sollte kein blinder Vollausbau folgen, sondern eine risikobasierte Roadmap. Ein Unternehmen braucht zuerst Klarheit über seine kritischen Services, Kronjuwelen, technischen Abhängigkeiten und realen Bedrohungen. Auf dieser Basis lassen sich vorhandene Maßnahmen gegen NIS-2-Anforderungen spiegeln und Lücken priorisieren. Typischerweise entstehen daraus Arbeitsstränge für Governance, ISMS, BCM, Incident Response, Schwachstellenmanagement, Lieferantensteuerung, Identitäts- und Zugriffsmanagement, Logging, Awareness und Nachweisführung.

Der Maßstab sollte dabei „angemessen und wirksam“ sein, nicht „maximal kompliziert“. NIS-2 verlangt keine Sicherheitsbürokratie um ihrer selbst willen. Sie verlangt, dass Risiken erkannt, behandelt, überwacht und im Ernstfall beherrscht werden. Ein schlankes, gut gelebtes ISMS ist besser als ein überdimensioniertes Regelwerk, das niemand nutzt.

Wo externe Unterstützung wirklich sinnvoll ist

Externe Unterstützung ist besonders dort wertvoll, wo Unabhängigkeit, Spezialwissen oder Umsetzungsgeschwindigkeit entscheidend sind. Das beginnt bei der rechtlichen Betroffenheitsprüfung, wenn Konzernstrukturen, Sektorzuordnung, Schwellenwerte oder grenzüberschreitende Dienste nicht eindeutig sind. Es setzt sich fort bei Gap-Analysen, weil ein externer Blick erfahrungsgemäß schneller erkennt, ob Maßnahmen nur dokumentiert oder tatsächlich wirksam sind.

Auch beim Aufbau oder der Weiterentwicklung von ISMS und BCM ist Unterstützung sinnvoll, wenn interne Teams zwar fachlich stark sind, aber keine Zeit haben, Methodik, Governance, Dokumentation und Umsetzung parallel aufzubauen. Bei technischen Themen wie Architekturreviews, Cloud- und OT-Security, Active-Directory-Härtung, Schwachstellenmanagement, Backup-Resilienz, SIEM/SOC-Anbindung oder Incident-Response-Übungen sollte externe Expertise gezielt dort eingesetzt werden, wo internes Know-how fehlt oder eine unabhängige Validierung gebraucht wird.

Wichtig ist dabei die richtige Rollenverteilung. Berater, Auditoren, MDR-Anbieter, Juristen oder Incident-Response-Teams können beschleunigen, prüfen, entlasten und fachlich absichern. Die Verantwortung für Cyberrisiken, Prioritäten und Restrisikoentscheidungen bleibt jedoch im Unternehmen. Externe Unterstützung ist dann am wertvollsten, wenn sie nicht nur Dokumente liefert, sondern Fähigkeiten aufbaut.

Aus Regulierung wird Steuerbarkeit

NIS-2 sollte nicht als isolierte Compliance-Pflicht behandelt werden. Richtig umgesetzt, entsteht daraus ein integriertes Steuerungssystem für digitale Resilienz. Die Geschäftsführung setzt Richtung und Risikobereitschaft. Das ISMS macht Risiken, Maßnahmen und Nachweise beherrschbar. Das BCM stellt Handlungsfähigkeit und Wiederanlauf sicher. Incident Response verbindet Technik, Organisation und Meldepflichten. KI wird als Werkzeug genutzt, aber als Risiko kontrolliert. Lieferanten werden nicht nur eingekauft, sondern in die Sicherheitsarchitektur eingebunden.

Unternehmen, die diesen Zusammenhang verstehen, werden nicht nur regulatorisch robuster. Sie können gegenüber Kunden, Aufsichtsbehörden, Versicherern, Partnern und Mitarbeitenden glaubwürdig zeigen, dass sie wissen, welche Dienste kritisch sind, welche Risiken bestehen, wer entscheidet, wie ein Vorfall bewältigt wird und wie der Geschäftsbetrieb wieder stabil läuft. Genau dort beginnt echte NIS-2-Konformität.

Der Beitrag Pragmatisch NIS-2-konform werden erschien zuerst auf Business Resilience Podcast.

Stryker zeigt die neue Logik der Angreifer

Am 11. und 12. März 2026 informierte Stryker Kunden mehrfach, dass der Angriff die interne Microsoft-Umgebung treffe, Mako-, Vocera- und LIFEPAK-Systeme aber sicher nutzbar blieben. Gleichzeitig teilte der Konzern mit, dass nur Bestellungen vor dem Vorfall sicher im System sichtbar seien, spätere Aufträge geprüft werden müssten und das elektronische Bestellsystem so schnell wie möglich wiederhergestellt werde. Aus Irland wurde gemeldet, dass am Standort Cork mehr als 5.000 Beschäftigte nach Hause geschickt wurden. Handala reklamierte parallel die Löschung von mehr als 200.000 Systemen, Servern und Mobilgeräten; diese Zahl ist bislang nicht unabhängig bestätigt.

Gerade im Medizintechniksektor ist das hochgefährlich, weil nicht nur Bürosysteme, sondern Bestellketten, Service und Klinikkommunikation mitschwingen. Ein Arzt eines US-Universitätsklinikums berichtete KrebsOnSecurity, dass Materialien für chirurgische Eingriffe zeitweise nicht mehr über Stryker bestellt werden konnten. Zugleich ordnen mehrere Threat-Intelligence-Teams Handala als Persona von Void Manticore ein, einem mit dem iranischen MOIS verknüpften Akteur, dessen Arbeitsweise destruktive Wiper-Angriffe mit Einfluss- und Leckoperationen verbindet. Der Fall Stryker ist damit weniger ein gewöhnlicher Cybercrime-Vorfall als ein Beispiel für wirtschaftliche Sabotage an einem neuralgischen Punkt der Gesundheitsversorgung.

Die Erpressungsmaske fällt

Der Unterschied zwischen Erpressung und Zerstörung ist strategisch. Klassische Ransomware will Daten grundsätzlich wieder freigeben können, weil nur dann ein Opfer zahlt. Wiper-Angriffe brauchen diese Logik nicht. Kaspersky beschreibt ExPetr/NotPetya ausdrücklich als „Data destroyer“ und als destruktive Malware, die als Ransomware verkleidet wurde. Das Weiße Haus nannte NotPetya 2018 den destruktivsten und kostspieligsten Cyberangriff der Geschichte; Merck erklärte später offiziell, der Juni-Angriff habe 2017 alleine rund 260 Millionen US-Dollar Umsatz gekostet.

Dasselbe Muster zeigte sich 2022 in der Ukraine. Microsoft meldete damals zerstörerische Malware, die als Ransomware getarnt war und infizierte Systeme unbrauchbar machen sollte; CISA warnte später gesammelt vor WhisperGate, HermeticWiper, IsaacWiper und CaddyWiper als destruktiven Werkzeugen, die seit Januar 2022 gegen ukrainische Organisationen eingesetzt wurden. Die Erpressungsbotschaft war also nur Fassade, der operative Zweck blieb Verwüstung.

Sabotage als politisches Instrument

Der Angriff auf Stryker ist politisch deshalb so relevant, weil er das Muster moderner Cyberkonflikte sehr klar zeigt: Es geht nicht zwingend mehr um ein kriminelles Geschäftsmodell mit Lösegeld und Verhandlungskanal, sondern um unmittelbare Störung, öffentliche Wirkung und strategische Botschaften. Stryker meldete am 11. und 12. März 2026 eine globale Störung seiner Microsoft-Umgebung, sprach aber zugleich von keinem erkannten Ransomware- oder Malware-Befund. Parallel reklamierte die Iran-nahe Persona Handala den Angriff als Vergeltung und ordnete ihn propagandistisch in den aktuellen Konflikt ein. Genau diese Mischung aus operativer Lähmung und politischer Rahmung macht solche Vorfälle für Unternehmen so gefährlich.

Dahinter steht eine nüchterne Logik: Wer Geld verdienen will, muss dem Opfer eine Rückkehr in den Normalbetrieb zumindest theoretisch offenhalten. Wer hingegen politischen Druck erzeugen will, profitiert viel stärker von sichtbarer Zerstörung, Unsicherheit und öffentlicher Eskalation. Microsoft, Mandiant und Check Point haben in mehreren Iran-nahen Kampagnen genau dieses Muster beschrieben: technische Zerstörung oder massive Störung wird mit Leaks, Telegram-Personas, ideologischen Botschaften und begleitenden Informationsoperationen verbunden. In Albanien bestand die Kampagne laut Microsoft aus Erstzugang, Datenabfluss, Verschlüsselung und Zerstörung sowie flankierenden Informationsoperationen; Mandiant bewertete ROADSWEEP ausdrücklich als politisch motivierte disruptive Operation. Microsoft beschreibt zudem, dass Irans destruktive Angriffe im Kontext des Gaza-Krieges regelmäßig von Online-Einflussoperationen begleitet wurden. Aus Unternehmenssicht ist das entscheidend: Der Angriff ist dann nicht nur ein IT-Vorfall, sondern Teil einer politischen Inszenierung.

Schneller politischer Effekt, maximale mediale Wirkung

Der schnelle politische Effekt entsteht, weil Wiper- und Sabotageangriffe keine lange Verhandlungsphase brauchen. Sobald Bestellsysteme, Produktion, Kommunikation oder Verwaltung ausfallen, entsteht sofort öffentlicher Druck auf Management, Behörden und oft auch auf Regierungen. Bei Stryker betraf die Störung nach Unternehmensangaben nicht nur interne IT, sondern auch Auftragsabwicklung, Produktion und Versand. Ein prominenter US-Hersteller aus dem Gesundheitssektor ist dafür ein besonders wirksamer Druckpunkt, weil jede Störung sofort Fragen nach Versorgungssicherheit, Patientennähe und Resilienz aufwirft. Genau deshalb bewerteten Analysten die Zielwahl im Fall Stryker als Eskalation mit überproportionalen politischen Folgewirkungen.

Zur maximalen medialen Wirkung gehört, dass die Täter ihre Angriffe fast nie nur technisch denken. Die politische Komponente wird gezielt sichtbar gemacht: mit Leakseiten, Telegram-Kanälen, Banner-Motiven, politisch codierten Dateinamen, öffentlich verbreiteten Behauptungen und taktisch getimten Veröffentlichungen. Microsoft beschreibt für Albanien ausdrücklich eine parallele Verstärkung der Kampagne durch Informationsoperationen und öffentliche Narrative. Check Point ordnet Void Manticore, die Infrastruktur hinter Personas wie Homeland Justice und Handala, als Akteur ein, der destruktive Wiper-Angriffe mit Einflussoperationen verbindet. Die Unschärfe zwischen Staat, Proxy und scheinbar autonomem „Hacktivismus“ ist dabei kein Nebeneffekt, sondern politisch nützlich: Sie schafft Wirkung, ohne dass staatliche Verantwortlichkeit immer sofort offen sichtbar wird.

Welche Ziele verfolgt dieses Vorgehen?

Die Ziele solcher Kampagnen sind meist nicht rein technisch, sondern strategisch. Es geht um Vergeltung für reale oder behauptete gegnerische Aktionen, um Abschreckung, um psychologischen Druck auf die Zivilgesellschaft, um die Demütigung eines Gegners und um die Erzeugung des Eindrucks, dass dessen Staat oder Wirtschaft verwundbar ist. Im Albanien-Fall hielt Microsoft fest, dass Messaging, Timing und Zielauswahl auf eine direkte und proportionale Vergeltungslogik hindeuteten. Mandiant sah die ROADSWEEP-Kampagne als politisch motivierte disruptive Operation im Umfeld einer Konferenz der iranischen Opposition. Bei Iran-nahen Kampagnen gegen Israel dokumentierte Microsoft wiederum, dass die Cyberaktivität ausdrücklich darauf ausgerichtet war, den politischen und militärischen Unterstützungsraum Israels anzugreifen und durch Einflussoperationen zu vergrößern.

Für den Fall Stryker bedeutet das: Selbst wenn die genaue operative Motivlage derzeit nicht unabhängig verifiziert ist, war das Unternehmen für die Angreifer propagandistisch ein ideales Ziel. Handala stellte Stryker als „Zionist-rooted“ dar; zugleich ist Stryker ein global sichtbarer US-Medizintechnikkonzern, dessen Ausfall nicht nur interne Bürosysteme, sondern Bestellungen, Lieferketten und kliniknahe Abläufe berühren kann. Hinzu kommt, dass Stryker 2019 das israelische Unternehmen OrthoSpace übernommen hat. Ob genau dieser Faktor den Ausschlag gab, ist offen. Aber die Propagandasprache der Täter zeigt, wie Unternehmen mit Israel-, USA- oder verteidigungsnaher Symbolik in eine politische Feindbildlogik eingeordnet werden.

Welche Unternehmen stehen im Fokus?

Im Fokus stehen typischerweise Unternehmen und Organisationen, die zugleich symbolisch aufgeladen und operativ empfindlich sind. Dazu zählen Regierungsstellen, Parlamente, Airlines, Telekommunikationsanbieter, Energie- und Wasserversorger, Gesundheitsorganisationen, Rüstungs- und Logistikbezüge, aber auch deren Lieferanten, Cloud-Dienstleister und technische Dienstleister. Microsoft stellte für den Gaza-Krieg fest, dass 43 Prozent der von Microsoft beobachteten iranischen Nationalstaaten-Cyberaktivität auf Israel entfielen — mehr als auf die nächsten 14 Zielländer zusammen. Unit 42 erwartet bei Iran-bezogenen Eskalationen einen Fokus auf regionale Gegner wie Israel, auf „high-value targets“ wie Politiker und Entscheidungsträger sowie auf kritische Infrastrukturen, Lieferketten, Anbieter und Provider. Check Point zeigte außerdem, dass destruktive Akteure wie Void Manticore gezielt auf bereits kompromittierte „High-Value“-Umgebungen aufsetzen können, nachdem andere iranische Akteure dort zuvor Zugang geschaffen haben.

Gerade für Unternehmen ist das der unangenehme Punkt: Man muss kein Rüstungskonzern oder Ministerium sein, um politisch interessant zu werden. Es reicht oft, in einer als gegnerisch markierten Lieferkette zu stehen, kritische Dienstleistungen für einen Staat oder eine Branche zu erbringen oder sich öffentlich leicht in ein ideologisches Narrativ einbauen zu lassen. Ein Gesundheitsunternehmen wie Stryker passt in dieses Muster besonders gut, weil es einerseits zivil wirkt, andererseits aber wegen seiner Größe, globalen Reichweite und Systemrelevanz starke wirtschaftliche und mediale Erschütterungen auslösen kann.

Warum auch Zufallsopfer getroffen werden können

Genauso wichtig ist aber die andere Seite: Viele Opfer sind nicht das eigentliche politische Hauptziel, sondern Kollateral- oder Anschlussopfer. Das kann passieren, weil ein Angriff technisch zu breit angelegt ist, weil er über gemeinsame Software verteilt wird oder weil ein Dienstleister, Provider oder Management-System kompromittiert wird. Die britische Regierung hielt bei NotPetya fest, dass sich der Angriff als kriminelles Unternehmen tarnte, sein eigentlicher Zweck aber Störung war; die primären Ziele lagen in ukrainischen Finanz-, Energie- und Regierungssektoren, doch das indiskriminierende Design ließ die Schadsoftware weit über diese Zielgruppe hinaus auf andere europäische und russische Unternehmen überspringen. Beim Angriff auf Viasats KA-SAT-Netz waren mehrere tausend Kunden in der Ukraine und zehntausende weitere in Europa betroffen, nachdem Angreifer über eine fehlkonfigurierte VPN-Appliance in das vertrauenswürdige Managementsegment gelangt waren.

Dasselbe Prinzip gilt für moderne Supply-Chain- und Dienstleisterpfade. Check Point beschrieb 2025 eine Handala-nahe Kampagne, bei der E-Mails von einem kompromittierten Konto eines israelischen CRM-Anbieters an Hunderte Organisationen verschickt wurden. Die eigentliche Wiper-Funktion wurde also über einen vertrauenswürdigen Zwischenknoten an viele nachgelagerte Opfer getragen und zugleich mit einer politischen Botschaft flankiert. Für Unternehmen heißt das: Selbst wer politisch nicht im Zentrum steht, kann getroffen werden, weil er Kunde, Partner, Lieferant oder technischer Nachbar eines eigentlichen Ziels ist. In geopolitischen Cyberkampagnen ist das kein Unfall am Rand, sondern häufig Teil der Wirkung.

Jeder kann Opfer werden

Die politische Pointe lautet deshalb: Diese Angriffe sollen nicht nur Systeme zerstören, sondern Macht demonstrieren. Sie bestrafen, signalisieren, eskalieren und erzeugen Schlagzeilen. Für Unternehmen steigt damit das Risiko erheblich, weil sie nicht nur wegen ihres Marktwerts oder ihrer Zahlungsfähigkeit angegriffen werden, sondern wegen ihrer Symbolkraft, ihrer Verbindungen und ihrer Funktion als gesellschaftlicher Druckpunkt. In einer solchen Logik kann ein Konzern entweder bewusst als politisches Ziel ausgewählt werden — oder als scheinbar randständiger Player zum Zufallsopfer einer größeren Sabotagekampagne werden.Der Angriff auf Stryker im März 2026 markiert keine Anomalie, sondern eine Eskalationslinie, die sich seit Jahren abzeichnet. Stryker bestätigte eine globale Störung seiner Microsoft-Umgebung infolge eines Cyberangriffs und betonte zugleich, es gebe keinen Hinweis auf Ransomware oder Malware. Genau diese Kombination ist der Kern des Problems: Immer öfter geht es nicht mehr um Verhandlung und Monetarisierung, sondern um operative Lähmung, Signalwirkung und Zerstörung. Sicherheitsforscher von Check Point beschreiben, dass iranische Akteure Cyberkriminalität und Hacktivismus seit Langem als Deckmantel für destruktive Aktivitäten nutzen; Kaspersky stufte bereits NotPetya als destruktive Malware ein, die nur als Ransomware getarnt war.

Stryker zeigt die neue Logik der Angreifer

Am 11. und 12. März 2026 informierte Stryker Kunden mehrfach, dass der Angriff die interne Microsoft-Umgebung treffe, Mako-, Vocera- und LIFEPAK-Systeme aber sicher nutzbar blieben. Gleichzeitig teilte der Konzern mit, dass nur Bestellungen vor dem Vorfall sicher im System sichtbar seien, spätere Aufträge geprüft werden müssten und das elektronische Bestellsystem so schnell wie möglich wiederhergestellt werde. Aus Irland wurde gemeldet, dass am Standort Cork mehr als 5.000 Beschäftigte nach Hause geschickt wurden. Handala reklamierte parallel die Löschung von mehr als 200.000 Systemen, Servern und Mobilgeräten; diese Zahl ist bislang nicht unabhängig bestätigt.

Gerade im Medizintechniksektor ist das hochgefährlich, weil nicht nur Bürosysteme, sondern Bestellketten, Service und Klinikkommunikation mitschwingen. Ein Arzt eines US-Universitätsklinikums berichtete KrebsOnSecurity, dass Materialien für chirurgische Eingriffe zeitweise nicht mehr über Stryker bestellt werden konnten. Zugleich ordnen mehrere Threat-Intelligence-Teams Handala als Persona von Void Manticore ein, einem mit dem iranischen MOIS verknüpften Akteur, dessen Arbeitsweise destruktive Wiper-Angriffe mit Einfluss- und Leckoperationen verbindet. Der Fall Stryker ist damit weniger ein gewöhnlicher Cybercrime-Vorfall als ein Beispiel für wirtschaftliche Sabotage an einem neuralgischen Punkt der Gesundheitsversorgung.

Die Erpressungsmaske fällt

Der Unterschied zwischen Erpressung und Zerstörung ist strategisch. Klassische Ransomware will Daten grundsätzlich wieder freigeben können, weil nur dann ein Opfer zahlt. Wiper-Angriffe brauchen diese Logik nicht. Kaspersky beschreibt ExPetr/NotPetya ausdrücklich als „Data destroyer“ und als destruktive Malware, die als Ransomware verkleidet wurde. Das Weiße Haus nannte NotPetya 2018 den destruktivsten und kostspieligsten Cyberangriff der Geschichte; Merck erklärte später offiziell, der Juni-Angriff habe 2017 alleine rund 260 Millionen US-Dollar Umsatz gekostet.

Dasselbe Muster zeigte sich 2022 in der Ukraine. Microsoft meldete damals zerstörerische Malware, die als Ransomware getarnt war und infizierte Systeme unbrauchbar machen sollte; CISA warnte später gesammelt vor WhisperGate, HermeticWiper, IsaacWiper und CaddyWiper als destruktiven Werkzeugen, die seit Januar 2022 gegen ukrainische Organisationen eingesetzt wurden. Die Erpressungsbotschaft war also nur Fassade, der operative Zweck blieb Verwüstung.

Sabotage als politisches Instrument

Der Angriff auf Stryker ist politisch deshalb so relevant, weil er das Muster moderner Cyberkonflikte sehr klar zeigt: Es geht nicht zwingend mehr um ein kriminelles Geschäftsmodell mit Lösegeld und Verhandlungskanal, sondern um unmittelbare Störung, öffentliche Wirkung und strategische Botschaften. Stryker meldete am 11. und 12. März 2026 eine globale Störung seiner Microsoft-Umgebung, sprach aber zugleich von keinem erkannten Ransomware- oder Malware-Befund. Parallel reklamierte die Iran-nahe Persona Handala den Angriff als Vergeltung und ordnete ihn propagandistisch in den aktuellen Konflikt ein. Genau diese Mischung aus operativer Lähmung und politischer Rahmung macht solche Vorfälle für Unternehmen so gefährlich.

Dahinter steht eine nüchterne Logik: Wer Geld verdienen will, muss dem Opfer eine Rückkehr in den Normalbetrieb zumindest theoretisch offenhalten. Wer hingegen politischen Druck erzeugen will, profitiert viel stärker von sichtbarer Zerstörung, Unsicherheit und öffentlicher Eskalation. Microsoft, Mandiant und Check Point haben in mehreren Iran-nahen Kampagnen genau dieses Muster beschrieben: technische Zerstörung oder massive Störung wird mit Leaks, Telegram-Personas, ideologischen Botschaften und begleitenden Informationsoperationen verbunden. In Albanien bestand die Kampagne laut Microsoft aus Erstzugang, Datenabfluss, Verschlüsselung und Zerstörung sowie flankierenden Informationsoperationen; Mandiant bewertete ROADSWEEP ausdrücklich als politisch motivierte disruptive Operation. Microsoft beschreibt zudem, dass Irans destruktive Angriffe im Kontext des Gaza-Krieges regelmäßig von Online-Einflussoperationen begleitet wurden. Aus Unternehmenssicht ist das entscheidend: Der Angriff ist dann nicht nur ein IT-Vorfall, sondern Teil einer politischen Inszenierung.

Schneller politischer Effekt, maximale mediale Wirkung

Der schnelle politische Effekt entsteht, weil Wiper- und Sabotageangriffe keine lange Verhandlungsphase brauchen. Sobald Bestellsysteme, Produktion, Kommunikation oder Verwaltung ausfallen, entsteht sofort öffentlicher Druck auf Management, Behörden und oft auch auf Regierungen. Bei Stryker betraf die Störung nach Unternehmensangaben nicht nur interne IT, sondern auch Auftragsabwicklung, Produktion und Versand. Ein prominenter US-Hersteller aus dem Gesundheitssektor ist dafür ein besonders wirksamer Druckpunkt, weil jede Störung sofort Fragen nach Versorgungssicherheit, Patientennähe und Resilienz aufwirft. Genau deshalb bewerteten Analysten die Zielwahl im Fall Stryker als Eskalation mit überproportionalen politischen Folgewirkungen.

Zur maximalen medialen Wirkung gehört, dass die Täter ihre Angriffe fast nie nur technisch denken. Die politische Komponente wird gezielt sichtbar gemacht: mit Leakseiten, Telegram-Kanälen, Banner-Motiven, politisch codierten Dateinamen, öffentlich verbreiteten Behauptungen und taktisch getimten Veröffentlichungen. Microsoft beschreibt für Albanien ausdrücklich eine parallele Verstärkung der Kampagne durch Informationsoperationen und öffentliche Narrative. Check Point ordnet Void Manticore, die Infrastruktur hinter Personas wie Homeland Justice und Handala, als Akteur ein, der destruktive Wiper-Angriffe mit Einflussoperationen verbindet. Die Unschärfe zwischen Staat, Proxy und scheinbar autonomem „Hacktivismus“ ist dabei kein Nebeneffekt, sondern politisch nützlich: Sie schafft Wirkung, ohne dass staatliche Verantwortlichkeit immer sofort offen sichtbar wird.

Welche Ziele verfolgt dieses Vorgehen?

Die Ziele solcher Kampagnen sind meist nicht rein technisch, sondern strategisch. Es geht um Vergeltung für reale oder behauptete gegnerische Aktionen, um Abschreckung, um psychologischen Druck auf die Zivilgesellschaft, um die Demütigung eines Gegners und um die Erzeugung des Eindrucks, dass dessen Staat oder Wirtschaft verwundbar ist. Im Albanien-Fall hielt Microsoft fest, dass Messaging, Timing und Zielauswahl auf eine direkte und proportionale Vergeltungslogik hindeuteten. Mandiant sah die ROADSWEEP-Kampagne als politisch motivierte disruptive Operation im Umfeld einer Konferenz der iranischen Opposition. Bei Iran-nahen Kampagnen gegen Israel dokumentierte Microsoft wiederum, dass die Cyberaktivität ausdrücklich darauf ausgerichtet war, den politischen und militärischen Unterstützungsraum Israels anzugreifen und durch Einflussoperationen zu vergrößern.

Für den Fall Stryker bedeutet das: Selbst wenn die genaue operative Motivlage derzeit nicht unabhängig verifiziert ist, war das Unternehmen für die Angreifer propagandistisch ein ideales Ziel. Handala stellte Stryker als „Zionist-rooted“ dar; zugleich ist Stryker ein global sichtbarer US-Medizintechnikkonzern, dessen Ausfall nicht nur interne Bürosysteme, sondern Bestellungen, Lieferketten und kliniknahe Abläufe berühren kann. Hinzu kommt, dass Stryker 2019 das israelische Unternehmen OrthoSpace übernommen hat. Ob genau dieser Faktor den Ausschlag gab, ist offen. Aber die Propagandasprache der Täter zeigt, wie Unternehmen mit Israel-, USA- oder verteidigungsnaher Symbolik in eine politische Feindbildlogik eingeordnet werden.

Welche Unternehmen stehen im Fokus?

Im Fokus stehen typischerweise Unternehmen und Organisationen, die zugleich symbolisch aufgeladen und operativ empfindlich sind. Dazu zählen Regierungsstellen, Parlamente, Airlines, Telekommunikationsanbieter, Energie- und Wasserversorger, Gesundheitsorganisationen, Rüstungs- und Logistikbezüge, aber auch deren Lieferanten, Cloud-Dienstleister und technische Dienstleister. Microsoft stellte für den Gaza-Krieg fest, dass 43 Prozent der von Microsoft beobachteten iranischen Nationalstaaten-Cyberaktivität auf Israel entfielen — mehr als auf die nächsten 14 Zielländer zusammen. Unit 42 erwartet bei Iran-bezogenen Eskalationen einen Fokus auf regionale Gegner wie Israel, auf „high-value targets“ wie Politiker und Entscheidungsträger sowie auf kritische Infrastrukturen, Lieferketten, Anbieter und Provider. Check Point zeigte außerdem, dass destruktive Akteure wie Void Manticore gezielt auf bereits kompromittierte „High-Value“-Umgebungen aufsetzen können, nachdem andere iranische Akteure dort zuvor Zugang geschaffen haben.

Gerade für Unternehmen ist das der unangenehme Punkt: Man muss kein Rüstungskonzern oder Ministerium sein, um politisch interessant zu werden. Es reicht oft, in einer als gegnerisch markierten Lieferkette zu stehen, kritische Dienstleistungen für einen Staat oder eine Branche zu erbringen oder sich öffentlich leicht in ein ideologisches Narrativ einbauen zu lassen. Ein Gesundheitsunternehmen wie Stryker passt in dieses Muster besonders gut, weil es einerseits zivil wirkt, andererseits aber wegen seiner Größe, globalen Reichweite und Systemrelevanz starke wirtschaftliche und mediale Erschütterungen auslösen kann.

Warum auch Zufallsopfer getroffen werden können

Genauso wichtig ist aber die andere Seite: Viele Opfer sind nicht das eigentliche politische Hauptziel, sondern Kollateral- oder Anschlussopfer. Das kann passieren, weil ein Angriff technisch zu breit angelegt ist, weil er über gemeinsame Software verteilt wird oder weil ein Dienstleister, Provider oder Management-System kompromittiert wird. Die britische Regierung hielt bei NotPetya fest, dass sich der Angriff als kriminelles Unternehmen tarnte, sein eigentlicher Zweck aber Störung war; die primären Ziele lagen in ukrainischen Finanz-, Energie- und Regierungssektoren, doch das indiskriminierende Design ließ die Schadsoftware weit über diese Zielgruppe hinaus auf andere europäische und russische Unternehmen überspringen. Beim Angriff auf Viasats KA-SAT-Netz waren mehrere tausend Kunden in der Ukraine und zehntausende weitere in Europa betroffen, nachdem Angreifer über eine fehlkonfigurierte VPN-Appliance in das vertrauenswürdige Managementsegment gelangt waren.

Dasselbe Prinzip gilt für moderne Supply-Chain- und Dienstleisterpfade. Check Point beschrieb 2025 eine Handala-nahe Kampagne, bei der E-Mails von einem kompromittierten Konto eines israelischen CRM-Anbieters an Hunderte Organisationen verschickt wurden. Die eigentliche Wiper-Funktion wurde also über einen vertrauenswürdigen Zwischenknoten an viele nachgelagerte Opfer getragen und zugleich mit einer politischen Botschaft flankiert. Für Unternehmen heißt das: Selbst wer politisch nicht im Zentrum steht, kann getroffen werden, weil er Kunde, Partner, Lieferant oder technischer Nachbar eines eigentlichen Ziels ist. In geopolitischen Cyberkampagnen ist das kein Unfall am Rand, sondern häufig Teil der Wirkung.

Jeder kann Opfer werden

Die politische Pointe lautet deshalb: Diese Angriffe sollen nicht nur Systeme zerstören, sondern Macht demonstrieren. Sie bestrafen, signalisieren, eskalieren und erzeugen Schlagzeilen. Für Unternehmen steigt damit das Risiko erheblich, weil sie nicht nur wegen ihres Marktwerts oder ihrer Zahlungsfähigkeit angegriffen werden, sondern wegen ihrer Symbolkraft, ihrer Verbindungen und ihrer Funktion als gesellschaftlicher Druckpunkt. In einer solchen Logik kann ein Konzern entweder bewusst als politisches Ziel ausgewählt werden — oder als scheinbar randständiger Player zum Zufallsopfer einer größeren Sabotagekampagne werden.

Der Beitrag Sabotage statt Lösegeld: Warum destruktive Cyberangriffe für Unternehmen zur größeren Gefahr werden erschien zuerst auf Business Resilience Podcast.

Die eigentliche Verschiebung: vom technischen Einbruch zur glaubhaften Täuschung

Die auffälligste Veränderung liegt nicht in einer mystischen „Super-KI“, sondern im Angriff auf Vertrauen. KI wird bereits genutzt, um Skripte zu schreiben, Zielpersonen zu recherchieren, bekannte Schwachstellen schneller auszunutzen, Phishing-Nachrichten glaubwürdiger zu formulieren und Inhalte sprachlich sowie kulturell an Zielgruppen anzupassen. Der typische Angriff beginnt und endet deshalb immer seltener nur in der E-Mail. Er verläuft heute über E-Mail, Messenger, SMS, Telefon, Sprachmemo, Videokonferenz und im Zweifel noch über einen zweiten „Bestätigungskanal“, der ebenfalls gefälscht ist.

Ein besonders aufschlussreiches Praxisbeispiel ist der viel beachtete Fall des Ingenieurunternehmens Arup in Hongkong. Dort wurde ein Mitarbeiter nach einer ersten täuschend echten Kontaktaufnahme in eine angeblich vertrauliche Videokonferenz gelotst. In dieser Konferenz erschienen vermeintlich bekannte Kollegen und Führungskräfte. Am Ende wurden Überweisungen in Millionenhöhe freigegeben. Der Fall zeigt, wie sich klassische Social-Engineering-Methoden durch KI qualitativ verändern. Es braucht nicht zwingend einen hochkomplexen technischen Systemeinbruch, wenn sich Entscheidungsprozesse durch künstlich erzeugte Glaubwürdigkeit manipulieren lassen.

Gleichzeitig entsteht eine zweite Entwicklung, die oft unterschätzt wird. KI ist nicht nur Werkzeug des Angreifers, sondern selbst neues Angriffsziel. Unternehmen integrieren generative Systeme, Assistenten und automatisierte Entscheidungsunterstützung zunehmend in ihre Prozesse. Damit vergrößert sich die Angriffsfläche. Wer also nur auf Deepfakes schaut, übersieht die eigentliche operative Realität: Alte Schwächen bleiben hochrelevant, werden aber durch KI in ihrer Wirkung verstärkt.

Warum KI Betrugsmodelle plötzlich skaliert

Der entscheidende Effekt von KI ist ökonomisch. Früher erforderte eine überzeugende Betrugsmasche Zeit, Sprachgefühl, Recherche, Textarbeit und häufig mehrere Beteiligte. Heute kann ein Modell innerhalb weniger Minuten eine Zielperson analysieren, eine passende Ansprache erzeugen, Tonalität imitieren und mehrere Varianten für unterschiedliche Kommunikationskanäle liefern. Dadurch kippt die Kostenstruktur krimineller Kampagnen. Aus Massenphishing wird massenhaftes Spear Phishing.

Genau das ist der strategische Kern der Veränderung. Betrüger müssen nicht mehr mit schlechter Sprache, auffälligen Formulierungen oder kulturell unpassender Ansprache arbeiten. KI liefert Texte, die grammatikalisch sauber, kontextbezogen und oft erstaunlich überzeugend sind. Das erhöht nicht nur die Erfolgsquote, sondern senkt gleichzeitig die Einstiegshürde für weniger erfahrene Täter. Wo früher Erfahrung, Personal und Zeit erforderlich waren, reichen heute Werkzeuge, die breit verfügbar und leicht bedienbar sind.

Hinzu kommt, dass KI Betrug nicht nur an der Kommunikationsoberfläche verbessert, sondern tiefer in Finanz- und Identitätsprozesse eingreift. Synthetische Identitäten, manipulierte Ausweisdokumente, automatisiert erzeugte Selbstauskünfte und professionell gefälschte Verifikationsunterlagen verschieben Betrug in die operative Infrastruktur. Es geht also längst nicht mehr nur darum, Menschen mit einer überzeugenden Nachricht hereinzulegen. Es geht darum, ganze Prozessketten von der Kontaktaufnahme bis zur Geldwäsche effizienter und schwerer erkennbar zu machen.

Deepfakes verlassen die Bühne der Kuriositäten

Lange wurden Deepfakes vor allem als Reputationsproblem diskutiert, also als gefälschte Videos, virale Täuschungen oder politische Desinformation. Das greift inzwischen zu kurz. Die Technologie ist benutzerfreundlicher geworden, qualitativ besser und deutlich breiter verfügbar. Dadurch verschiebt sich Deepfake-Technik von der spektakulären Einzelfälschung in die operative Kriminalität. Sie wird zu einem normalen Baustein in Betrugs- und Social-Engineering-Ketten.

Gerade im Bereich Stimme und Bewegtbild ist diese Entwicklung besonders brisant. Denn audiovisuelle Evidenz hatte in Unternehmen lange einen Sonderstatus. Eine vertraute Stimme am Telefon oder bekannte Gesichter in einer Videokonferenz galten als zusätzliche Vertrauensschicht. Dieses Sicherheitsgefühl ist überholt. Heute kann genau dieser Moment der vermeintlichen Bestätigung der eigentliche Täuschungspunkt sein.

Auch staatliche Stellen warnen inzwischen vor Fällen, in denen hochrangige Personen imitiert wurden, um Vertrauen aufzubauen, Gespräche auf andere Plattformen zu verlagern oder Zugang zu sensiblen Konten und Informationen zu erhalten. Deepfakes dienen damit nicht mehr nur dazu, „echt auszusehen“. Sie werden genutzt, um Freigaben, Identitätsannahmen und Kommunikationsroutinen gezielt zu manipulieren.

Die Chancen liegen auf der Verteidigungsseite – wenn Prozesse mitwachsen

So bedrohlich diese Entwicklung ist, sie hat auch eine zweite Seite. Dieselbe Technologie lässt sich defensiv sehr wirksam einsetzen. KI kann große Mengen an Threat Intelligence auswerten, Anomalien in Kommunikationsmustern erkennen, Schutzlücken sichtbar machen und Sicherheitsvorfälle schneller priorisieren. Sie kann Administratoren entlasten, Warnsignale korrelieren und Reaktionszeiten deutlich verkürzen.

Besonders interessant ist ihr Potenzial bei der Erkennung synthetischer Inhalte. Verfahren zur Analyse von Stimmen, Wasserzeichen, Herkunftsnachweisen und Authentifizierungsmechanismen entwickeln sich spürbar weiter. Auch bei Identitätsprüfungen können dynamische Verifikationsprozesse helfen, etwa wenn eine Freigabe nicht allein auf Stimme, Gesicht oder E-Mail basiert, sondern auf mehreren unabhängigen Kontrollmechanismen.

Trotzdem wäre es ein Fehler, den KI-Hype mit Cyberresilienz zu verwechseln. Die meisten erfolgreichen Angriffe scheitern nicht an fehlender Hightech-Abwehr, sondern an unzureichenden Prozessen, schwachen Identitätskontrollen, fehlender Kanaltrennung und mangelnder Sensibilisierung. Wer in einer KI-getriebenen Betrugslandschaft nur auf neue Erkennungstechnologie setzt, aber seine Freigabeprozesse nicht verändert, bekämpft Symptome statt Ursachen.

Was sich bei den Angriffsvektoren konkret verändert

Angriffsvektoren werden durch KI vor allem hybrider. Der klassische technische Angriff wird zunehmend mit psychologischer Täuschung kombiniert. Angreifer verbinden Daten aus sozialen Netzwerken, Unternehmenswebseiten, Leaks, Geschäftsberichten und öffentlich zugänglichen Medieninhalten zu glaubwürdigen Narrativen. Dadurch entstehen Angriffe, die nicht nur technisch vorbereitet, sondern kommunikativ inszeniert sind.

Die Grenze zwischen Social Engineering, Identitätsbetrug und technischem Angriff verschwimmt. Eine Phishing-Mail ist heute oft nur der Einstieg in eine mehrstufige Operation. Es folgt ein Anruf mit geklonter Stimme, danach eine Nachricht über einen anderen Kanal, später möglicherweise eine Videokonferenz mit manipulierten Bild- und Tonfragmenten. Das Ziel ist nicht mehr nur der Klick auf einen Link. Ziel ist die schrittweise Herstellung von Vertrauen bis zur Freigabe von Geld, Zugangsdaten oder internen Informationen.

Genau deshalb müssen Unternehmen umdenken. Wer Angriffe weiterhin nur als IT-Thema betrachtet, unterschätzt ihre tatsächliche Natur. Die neue Bedrohungslage betrifft nicht nur Firewalls, E-Mail-Filter oder Endpoint Security, sondern ebenso Finanzprozesse, Vorstandskommunikation, HR, Lieferantenmanagement und alle Bereiche, in denen Identität und Autorisierung eine Rolle spielen.

Zukunftsprognose: Mehr Täuschung, mehr Automatisierung, mehr Druck auf Prozesse

Die nahe Zukunft gehört nicht dem vollständig autonomen KI-Hacker, der selbstständig komplexe Netzwerke kompromittiert. Sie gehört dem hochproduktiven Angreifer, der bekannte Taktiken mit KI verfeinert und massiv skaliert. Genau das macht die Lage so ernst. Die Werkzeuge werden besser, die Kosten sinken und die Reichweite steigt.

Zu erwarten sind mehr multimodale Betrugsfälle, bei denen Text, Stimme, Bild und Video kombiniert werden. Ebenso ist mit mehr synthetischen Identitäten zu rechnen, die in Kontoeröffnungen, Zahlungsprozessen und Betrugsnetzwerken eingesetzt werden. Deepfakes werden glaubwürdiger, leichter herzustellen und stärker in alltägliche Angriffsszenarien eingebettet sein. Parallel dazu werden Unternehmen mit der Herausforderung konfrontiert, dass KI nicht nur von außen gegen sie eingesetzt wird, sondern auch intern neue Schwachstellen erzeugt.

Die strategische Trennlinie verläuft deshalb künftig nicht mehr nur zwischen technisch gut und schlecht geschützten Organisationen. Sie verläuft zwischen Unternehmen, die Verifikation systematisch in ihre Abläufe einbauen, und jenen, die noch auf Bauchgefühl, bekannte Stimmen und vertraute Gesichter vertrauen. In einer Welt synthetischer Kommunikation reicht Plausibilität nicht mehr aus. Sicherheit entsteht nur dort, wo Identität, Autorisierung und Prozesskontrolle neu gedacht werden.

Industrialisierung bekannter Täuschungsmuster

KI macht Cybercrime nicht automatisch genialer. Aber sie macht ihn effizienter, glaubwürdiger und in großem Maßstab reproduzierbar. Genau darin liegt ihre eigentliche Sprengkraft. Die gefährlichste Veränderung ist nicht der einzelne neue Angriff, sondern die Industrialisierung bekannter Täuschungsmuster.

Für Unternehmen bedeutet das: Die zentrale Frage lautet nicht mehr nur, wie man Systeme schützt. Die entscheidende Frage ist, wie man Vertrauen schützt. Wer das früh erkennt, wird KI nicht nur als Bedrohung begreifen, sondern auch als Werkzeug, um Resilienz neu zu definieren.

Der Beitrag KI im Cybercrime: Warum Angriffe nicht radikal neu, aber gefährlich effizienter werden erschien zuerst auf Business Resilience Podcast.