Security News #33

Hallo und herzlich willkommen zu Ihrer neuen Folge von Security News Podcast! Schön, dass Sie wieder dabei sind! Ein Schwerpunkt dieser Ausgabe ist der Cyber Resilience Act (CRA), die entsprechenden Meldepflichten und der Stand der Umsetzung. Wir berichten aber auch über den Cyberangriff auf Berlin und über Penetration-Testing. Jetzt reinhören, abonnieren und mit Sicherheit immer gut informiert sein, in weniger als zehn Minuten!

Cyber Resilience Act: Meldepflicht startet

Beginnen wir mit den neuen Meldepflichten aus dem Cyber Resilience Act: Für Hersteller von Produkten mit digitalen Elementen gelten auf dem Binnenmarkt der Europäischen Union (EU) seit dem 11. September 2026 die Meldepflichten des Cyber Resilience Act (CRA). Hersteller müssen aktiv ausgenutzte Schwachstellen sowie schwerwiegende Sicherheitsvorfälle, die sich auf die Sicherheit ihrer Produkte auswirken, melden. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) unterstützt mit Schritt-für-Schritt-Anleitungen.

Die Pflicht zur Meldung aktiv ausgenutzter Schwachstellen und von Sicherheitsvorfällen ist ein wichtiger Meilenstein zur Stärkung der Produktsicherheit im Sinne des CRA. Die Meldungen erfolgen EU-weit einheitlich über die von der Agentur der Europäischen Union für Cybersicherheit (ENISA) entwickelte und bereitgestellte Single Reporting Platform (CRA-SRP). Empfänger der Meldungen sind das jeweils zuständige koordinierende Computer Security Incident Response Team (CSIRT) eines EU-Mitgliedstaates und die ENISA. In Deutschland ist das CERT-Bund im BSI das koordinierende CSIRT.

Mein Kommentar: Die neuen Meldepflichten können einen wesentlichen Beitrag leisten für das so wichtige übergreifende Lagebild.

Den Link gibt es in den Shownotes.

CRA-Plattform für einheitliche Berichterstattung

Nun geht es um die Single Reporting Platform: Die EU-Agentur für Cybersicherheit (ENISA) hat die erste Betriebsfähigkeit der einheitlichen Meldeplattform (SRP) implementiert. Die Agentur hat das Online-Tool entwickelt, betreibt und pflegt es, um Herstellern und Open-Source-Softwareverantwortlichen die Erfüllung ihrer neuen Meldepflichten gemäß dem Cyber ​​Resilience Act (CRA) für aktiv ausgenutzte Sicherheitslücken und schwerwiegende Vorfälle zu ermöglichen. Das SRP (Self-Resilience Platform) wurde zur Unterstützung eines effektiven Schwachstellenmanagements in der gesamten EU entwickelt und ermöglicht es Nutzern, Meldungen einmalig abzugeben und die relevanten Informationen an alle zuständigen Behörden weiterzuleiten.

Mein Kommentar: Die Meldeplattform kann und wird den notwendigen Aufwand zur Umsetzung der Meldepflichten reduzieren, ein wichtiges Instrument.

Sie finden den Link in den Shownotes.

Cyber Resilience Act: Nur 3 von 10 Unternehmen sind vorbereitet

Zur nächsten Meldung rund um den CRA, mit Blick auf die Umsetzung: Seit dem 11. September müssen Hersteller aktiv ausgenutzte Sicherheitslücken und schwerwiegende Sicherheitsvorfälle, etwa in Software oder vernetzten Geräten, innerhalb von 24 Stunden melden und diese Meldung innerhalb von 72 Stunden um weitere Informationen ergänzen. Hinzu kommen verpflichtende Abschlussberichte. Doch noch ist das Gesetz in vielen Unternehmen nicht angekommen. Zwei Drittel der Unternehmen in Deutschland (67 Prozent) ist der Cyber Resilience Act (CRA) zwar ein Begriff, doch nur 29 Prozent ist auch bewusst, was er für das eigene Unternehmen bedeutet. 38 Prozent haben von dem Gesetz gehört, können die Bedeutung für das eigene Unternehmen aber nicht einschätzen. 28 Prozent kennen den CRA überhaupt nicht. Das sind Ergebnisse einer Umfrage unter 1.003 Unternehmen ab 10 Beschäftigten in Deutschland im Auftrag des Digitalverbands Bitkom.

Mein Kommentar: Es besteht dringender Informations- und Handlungsbedarf, die wertvollen Informationen des BSI geben Hilfestellungen.

Den Link zur Umfrage gibt es in den Shownotes.

Cyberangriff auf Berlin: „Der Staat darf sich bei der Cybersicherheit nicht selbst ausnehmen“

Die nächste Meldung: Der Cyberangriff auf die Berliner Verwaltung und das damit verbundene Datenleck zeigen aus Sicht von eco – Verband der Internetwirtschaft, wie gefährlich unterschiedliche Sicherheitsstandards für Staat und Wirtschaft sind. Neben personenbezogenen Daten wurden offenbar auch sensible Unterlagen zu Notfallplänen für die Wasserversorgung und zur Erweiterung des Bundeskanzleramts veröffentlicht. eco sieht sich damit in seiner bereits 2024 geäußerten Kritik bestätigt: Auch Landes- und Kommunalbehörden brauchen verbindliche und überprüfbare Cybersicherheitsstandards.

Besonders deutlich wird das am Schutz kritischer Infrastruktur. Ein Wasserversorger kann seine eigenen Systeme umfassend absichern – und trotzdem können sensible Informationen über die Infrastruktur einer Behörde kompromittiert werden.

eco fordert deshalb einen gemeinsamen Notfallplan von Bund, Ländern und Kommunen. Dieser muss festlegen, wie gefährdete Systeme kurzfristig überprüft, kompromittierte Zugänge gesperrt und betroffene Behörden und Einrichtungen informiert werden. Für weitere Angriffe braucht es klare Meldewege, festgelegte Verantwortlichkeiten und regelmäßig erprobte Abläufe.

Darüber hinaus fordert eco einheitlich hohe Sicherheitsstandards für Landes- und Kommunalbehörden, verbindliche Umsetzungsfristen und unabhängige Kontrollen. Die dafür notwendigen Mittel für Fachpersonal, sichere Technik und verpflichtende Schulungen müssen bereitgestellt werden.

Sie finden einen Link dazu in den Shownotes.

Handreichung zu Penetrationstests

Nun eine Meldung zu einer hilfreichen Publikation: Eine aktuelle Handreichung des TeleTrusT-Arbeitskreises “PenTests” richtet sich an Firmen, Behörden und Dienstleister, die Penetrationstests planen, durchführen lassen oder in Auftrag geben möchten. Die Handreichung gibt praktische Ratschläge und hilft dabei, Penetrationstests gut zu organisieren und Gesetze sowie Standards zu beachten.

Mit Hilfe von Penetrationstests können Unternehmen und Institutionen Aspekte ihrer IT-Sicherheit systematisch prüfen und verbessern. Da IT-Systeme komplexer werden, die Gefahr durch Angriffe steigt und immer mehr spezifische Compliance-Anforderungen Penetrationstests einfordern, gewinnen diese zunehmend an Bedeutung. Sie zeigen frühzeitig auf, wo IT-Systeme und Anwendungen anfällig sind. Einmal aufgedeckt, können diese Schwachstellen behoben werden, bevor Angreifer sie ausnutzen.

Im TeleTrusT-AK “PenTests” haben sich erfahrene Fachleute von Penetrationstestanbietern zusammengefunden, um eine praxisnahe Handreichung zu liefern. Ziel ist es, alle Interessierten, die Penetrationstests in einer methodisch sinnvollen Art und Weise durchführen wollen, sowie Auditoren, die die zielführende Ausführung von Penetrationstests bewerten müssen, zu unterstützen.

Mein Kommentar: Penetrationstests helfen dabei, Schwachstellen zu finden, bevor es zu Vorfällen und Meldepflichten kommt.

Sie finden den Link zur Handreichung in den Shownotes.

– Diese Folge wird Ihnen präsentiert von Marktplatz IT-Sicherheit und dem Angebot Attack Surface Management

Das Angriffsflächenmanagement beschreibt den kontinuierlichen Prozess der Überwachung, Entdeckung und Bewertung aller internen und externen Ressourcen eines Unternehmens. Das Ziel besteht darin, potenzielle Schwachstellen und Angriffsvektoren zu identifizieren, nach deren Relevanz zu priorisieren und daraus gezielte Aktionen abzuleiten, welche möglichen Angreifern die Ausnutzung von Schwachstellen erschweren und damit das Risiko von Cyberangriffen reduzieren. Der Marktplatz IT-Sicherheit hilft mit einer interaktiven Liste zu ASM bei der Lösungssuche.

Sie finden den Link zu diesem Angebot von Marktplatz IT-Sicherheit sowie alle anderen Links zu dieser Folge in den Show-Notes zu diesem Podcast.

Das war es für heute.

Ich freue mich, wenn wir uns bald wieder hören und auf wichtigen Events sehen, besuchen Sie den Marktplatz IT-Sicherheit und abonnieren Sie diesen Podcast und die anderen Formate auf dem Marktplatz IT-Sicherheit! Hier werden Sie mit Sicherheit gut informiert! Das war Oliver Schonschek, der News-Analyst vom Marktplatz IT-Sicherheit