Jeder neunte Internetnutzer in Deutschland (11 Prozent) wurde im vergangenen Jahr Opfer von Cyberkriminalität. Das geht aus dem aktuellen Cybersicherheitsmonitor 2026 (CyMon) hervor, der vom Bundesamt für Sicherheit in der Informationstechnik (BSI) und der Polizeilichen Kriminalprävention der Länder und des Bundes (ProPK) veröffentlicht wurde. Insgesamt war bereits mehr als jeder Vierte (27 Prozent) in seinem Leben schon einmal von Straftaten im digitalen Raum betroffen.

Die Studie besteht vor allem aus einer repräsentativen Umfrage unter 3060 Personen ab 16 Jahren, die im Januar 2026 bundesweit interviewt wurden.

Fast jedes Opfer erlitt einen Schaden

Besonders häufig schlagen Kriminelle beim Onlineshopping zu: Der Betrug beim Online-Einkauf ist mit 22 Prozent das am weitesten verbreitete Delikt unter den Betroffenen. Darauf folgen der unberechtigte Fremdzugriff auf Online-Accounts (14 Prozent), Betrug beim Onlinebanking (13 Prozent) sowie Phishing-Angriffe (12 Prozent). Für die Opfer bleiben die Taten selten ohne Konsequenzen: Fast neun von zehn Betroffenen (88 Prozent) erlitten einen Schaden – bei einem Drittel (33 Prozent) handelte es sich dabei um handfeste finanzielle Verluste. Zu den weiteren Schäden zählen Vertrauensverluste in Onlinedienste (29 Prozent) und verlorene Zeit (23 Prozent).

Trotz der hohen Betroffenheitsquote verhalten sich viele Verbraucherinnen und Verbraucher im digitalen Raum unzureichend geschützt. Die Studie verzeichnet einen anhaltenden Trend zur Sorglosigkeit. Mehr als die Hälfte der Befragten (55 Prozent) hält ihr persönliches Risiko, Opfer von Cyberkriminalität zu werden, für gering oder ausgeschlossen. Dementsprechend informieren sich lediglich 14 Prozent regelmäßig über Cybersicherheit, während 40 Prozent sich nur hin und wieder damit beschäftigen.

Trügerisches Sicherheitsgefühl

Auch bei der aktiven Prävention gibt es Nachholbedarf. Von 19 vorgeschlagenen Schutzmaßnahmen sind der Mehrheit lediglich starke Passwörter und Antivirenprogramme überhaupt bekannt, die letztlich von 46 beziehungsweise 40 Prozent genutzt werden. Als Gründe für die mangelnde Absicherung nannten viele ein trügerisches subjektives Sicherheitsgefühl (27 Prozent) oder empfinden die Maßnahmen als zu kompliziert (23 Prozent) und überfordernd (23 Prozent).

Hersteller und Anbieter in die Pflicht nehmen

Kommt es zu einem Angriff, erstatten 32 Prozent der Opfer Anzeige bei der Polizei, während 35 Prozent den Betreiber des jeweiligen Dienstes kontaktieren. Stefanie Hinz, Vorsitzende des ProPK, betonte bei der Vorstellung der Studie, dass Cyberkriminalität durch gefälschte E-Mails oder Betrug beim Einkauf längst in der Mitte der Gesellschaft angekommen sei. BSI-Präsidentin Claudia Plattner forderte, Cybersicherheit müsse im Alltag „einfacher, präsenter und verständlicher werden“. Sie nahm dabei auch die Industrie in die Pflicht: „Hersteller und Anbieter digitaler Geräte und Anwendungen müssen sichere Produkte und Dienste zum Standard machen.“

(dmk)

Die Webserver- und Verwaltungssoftware cPanel und WebHost Manager (WHM) sind abermals verwundbar. Im schlimmsten Fall kann Schadcode auf Systeme gelangen und diese kompromittieren. Admins sollten die dagegen abgesicherten Ausgaben zeitnah installieren.

Erst kürzlich warnten die Entwickler vor einer „kritischen“ Sicherheitslücke (CVE-2026-41940), über die Angreifer ohne Anmeldung auf das Controlpanel zugreifen können. Diese Lücke nutzen Angreifer bereits aus, und in Deutschland wurden schon mehr als 4000 Instanzen attackiert.

Schwachstellen schließen

Die drei neuen Sicherheitslücken (CVE-2026-29202 „hoch“, CVE-2026-292203 „hoch“, CVE-2026-29201 „mittel“) sind im Sicherheitsbereich der cPanel-Website ausgelistet. Im ersten Fall werden Nutzereingaben im Kontext des create_user-Plug-ins nicht ausreichend überprüft, sodass Angreifer im Namen eines bereits authentifizierten Nutzers Schadcode auf Systeme schieben und ausführen können.

Durch die zweite Lücke können Angreifer aufgrund einer unsicheren Verarbeitung von Symlinks DoS-Zustände und somit Abstürze auslösen oder sicher höhere Nutzerrechte verschaffen. Im dritten Fall sind unbefugte Dateizugriffe vorstellbar. Wie diese Attacken konkret ablaufen könnten, ist bislang unklar.

Für die neuen Schwachstellen hat der Softwareentwickler bislang keine Warnung vor bereits laufenden Attacken ausgesprochen. Admins sollten aber nicht zu lange warten und die zum Download stehenden Sicherheitsupdates installieren. Diese Versionen von cPanel, WHM und WP Squared sind gegen die geschilderten Attacken abgesichert:

• 11.136.0.9
• 11.134.0.25
• 11.132.0.31
• 11.130.0.22
• 11.126.0.58
• 11.124.0.37
• 11.118.0.66
• 11.110.0.116
• 11.110.0.117
• 11.102.0.41
• 11.94.0.30
• 11.86.0.43
• 11.136.1.10 (WP Squared)

(des)

Im Juni gelten für alle EU-Länder die Regeln des „Gemeinsamen Europäischen Asylsystems“ (GEAS). GEAS ist ein von der EU verabschiedetes Paket aus zehn Verordnungen und Richtlinien, das viele Verschärfungen am bisherigen Asylsystem mit sich bringt. Unter anderem sind das Schnellverfahren an EU-Außengrenzen, Freiheitseinschränkungen für Asylsuchende und eine erhebliche Ausweitung des europäischen Fingerabdrucksystems Eurodac.

Menschenrechts- und Asylorganisationen haben die GEAS-Reform immer wieder scharf kritisiert. Pro Asyl etwa nannte das Paket eine „Einigung auf Kosten der Menschenrechte von Geflüchteten“ und warf zuletzt der Bundesregierung vor, dass sie nationale Regelungen zur Reform „mit voller Härte“ umgesetzt habe. Denn auch wenn GEAS für einheitlichere Verfahren zwischen den Mitgliedstaaten sorgen soll, gibt es Spielraum für die einzelnen Länder. In Deutschland hat der Bundestag erst Ende Februar die nationalen Regeln beschlossen.

Doch mit den gesetzlichen Änderungen sind die Vorbereitungen auf das neue EU-Asylregime noch lange nicht abgeschlossenen. Die neuen Regeln aus den EU-Verordnungen von GEAS führen dazu, dass Prozesse und auch jede Menge IT-Systeme in Deutschland umgestellt werden müssen.

„Eine erhebliche Herausforderung“

Der Präsident des Bundesamts für Migration und Flüchtlinge (BAMF), Hans-Eckhard Sommer, schrieb in einer Stellungnahme im November 2025: „Neue Verfahren gilt es zu implementieren, nahezu alle Dienstanweisungen sind neu zu schreiben, das IT-System muss neu entwickelt werden.“ Die Bundesregierung schrieb im Januar 2026, die „umfassenden Abstimmungen stellen für alle Beteiligten eine erhebliche Herausforderung dar“.

Doch wie realistisch ist es, dass alles Nötige bis zum 12. Juni, dem offiziellen Startdatum von GEAS, funktioniert? Gerade vor dem Hintergrund, dass die nationalen Umsetzungsregeln erst im Februar beschlossen worden sind?

Die Bundestagsabgeordnete Clara Bünger von der Linksfraktion im Bundestag hat bei der Regierung nachgefragt. Die Antworten offenbaren, wie viele Anpassungen notwendig sind. Und dass es nicht nur zeitlich knapp wird, all das bis Juni fertig zu bekommen, sondern auch ziemlich teuer.

BAMF liegt im Zeitplan

Beim BAMF, der deutschen Asylbehörde, müssen demnach 14 IT-Anwendungen und Verfahren angepasst werden, darunter die Schnittstelle zur Erstregistrierung von Asylsuchenden und die Schnittstelle des BAMF zum Ausländerzentralregister, einer der größten zentralen Datenbanken in Deutschland. Dafür sind rund 18,5 Millionen Euro Budget im Haushalt eingeplant, schreibt die Bundesregierung. Man befinde sich im Zeitplan und eine rechtzeitige Umsetzung bis Juni sei vorgesehen.

Aufseiten der Polizei gibt es bei Bundespolizei und BKA Änderungsbedarf, allen voran beim INPOL-Zentralsystem. Mehr als die Hälfte der in INPOL gespeicherten Personen sind Geflüchtete. Doch der derzeitige Zeitplan sieht vor, dass einige Komponenten bis Juni funktionieren. Bei der Bundespolizei seien aber noch bis November 2026 Anpassungen geplant, beim BKA sogar bis „Ende 2028“.

Keine Kostenübersicht bei der Bundespolizei

Während das BKA bis dahin mit rund 15 Millionen Euro Kosten rechnet, kann die Bundespolizei zum erwarteten Geldaufwand nichts sagen: „Zur Gesamthöhe der erforderlichen Programmierkosten sowie deren anteilige Berechnung auf die einzelnen Kooperationspartner kann zum jetzigen Zeitpunkt noch keine Aussage getroffen werden“, heißt es in der Antwort.

Auch beim Bundesamt für Verfassungsschutz wird es wohl Änderungen geben. Aber welche das sind, ist offenbar bislang nicht final festgelegt. Es würden „derzeit fachliche und organisatorische Abläufe geprüft, um eventuellen Anpassungsbedarf festzustellen“, schreibt die Bundesregierung.

Eine Behörde, die weniger im Licht der Öffentlichkeit steht und die mit der GEAS-Reform noch wichtiger für das deutsche Asylsystem wird, ist das Bundesverwaltungsamt (BVA). Während das BAMF die Register-führende Behörde für das Ausländerzentralregister ist, übernimmt auch das BVA Aufgaben wie Datenverarbeitung und ‑pflege für die Riesendatensammlung, die Informationen über Asylsuchende und andere Menschen mit ausländischer Staatsbürgerschaft enthält. Das AZR braucht einige neue Datenfelder, etwa dazu, ob es bei der Abfrage von Datenbanken im Rahmen der Sicherheitskontrolle einen Treffer gab oder ob besondere Vulnerabilitäten wie Behinderungen oder Traumatisierungen bei der Person festgestellt wurden.

Bundesverwaltungsamt bekommt neue Aufgaben

Künftig bekommt das BVA weitere zentrale Verantwortlichkeit: Es wird der „nationale und technische Zugangspunkt für Eurodac“ sein – bislang übernimmt diese Aufgabe das BKA. Damit die Fingerabdruck- und weitere Daten aus Eurodac dann bei den Nutzer-Behörden landen, muss das BVA neue Software entwickeln. GEAS bringt für Eurodac einen weitreichenden Ausbau mit sich: Es werden beispielsweise weitaus mehr Daten gespeichert, etwa Gesichtsbilder, Passkopien und ob eine Person als Sicherheitsrisiko eingestuft wird. Strafverfolgungsbehörden sollen zudem leichter auf die Daten in Eurodac zugreifen können.

Durch die großen Anpassungen im BVA fallen dort wohl auch die höchsten Kosten für die GEAS-IT-Reform an: Rund 85 Millionen Euro Sachkosten schätzt die Bundesregierung, die wohl vor allem an externe Dienstleister gehen. Dazu kommen geschätzte 34 Millionen Euro für den „technische Betriebsdienstleister ITZBund“. Dazu heißt es aber:

Eine weitere Spezifizierung der Kosten ist noch nicht möglich, weil es sich wegen der langen Laufzeit des Projektes noch überwiegend um Expertenschätzungen handelt.

Das heißt, die Kosten könnten sich auch weiter erhöhen. Rechnet man allein die bezifferten Kosten aus der Antwort der Bundesregierung zusammen, sind das rund 150,2 Millionen Euro – ohne Bundespolizei, Verfassungsschutz und ohne die Länder, die ebenfalls ihre Systeme anpassen müssen.

Für eine unabhängige Asylverfahrensberatung, die Bundesinnenminister Dobrindt ab nächstem Jahr streichen will, sind im aktuellen Haushaltsjahr im Vergleich dazu 25 Millionen Euro vorgesehen.

Kritik an der Kostenkalkulation

Dass die Bundesregierung nicht in der Lage ist, die Kosten für die GEAS-Umsetzung seriös zu kalkulieren, hatte auch bereits der Normenkontrollrat (NKR) während des Gesetzgebungsprozesses zur deutschen Umsetzung kritisiert. Im GEAS-Anpassungsfolgengesetz geht es unter anderem um die Strukturen, die für die Auszahlungen von Asylbewerberleistungen nötig sind und dazu konnte die Bundesregierung keinerlei Kostenschätzung vorlegen, vor allem zum Aufwand in den Ländern.

„Die Darstellung der Regelungsfolgen ist weder nachvollziehbar noch methodengerecht“, schrieb der NKR, der prüft, welche Kosten neue Gesetze verursachen. „Aus Sicht des NKR hätte seit dem Beschluss des Bundeskabinetts in der vergangenen Legislaturperiode ausreichend Zeit bestanden“, den Aufwand gemeinsam mit den Ländern näherungsweise abzuschätzen. So fürchtet der NKR „unnötige Kosten durch mögliche Doppelentwicklungen sowie Abstimmungsaufwände“. Die Bundesregierung wies diese Kritik zurück.

Evaluieren will die Bundesregierung die entstehenden Ausgaben für die IT-seitige GEAS-Umsetzung auch im Nachhinein nicht. Denn, so schreibt sie als Begründung in ihrer Antwort auf die Kleine Anfrage: Die Kosten fielen „überwiegend durch die zwingende Umsetzung von EU-Recht“ an.

„Verzögerungen dürfen nicht zulasten Geflüchteter gehen“

Fragestellerin Clara Bünger sagt gegenüber netzpolitik.org: „Die Umsetzung der GEAS-Reform droht ins Chaos zu führen.“ Sie habe nicht den Eindruck, „dass die Behörden darauf vorbereitet sind oder auch nur realistisch abschätzen können, welche Probleme auf sie zukommen. Teilweise gibt es nicht einmal tragfähige Kostenabschätzungen.“

Sie befürchtet, dass das zulasten Geflüchteter geht und diese Nachteile erleiden, wenn IT-Systeme noch nicht funktionieren: „Dafür braucht es Lösungen, nicht erst in einem Jahr, sondern so schnell wie möglich.“

Neben Deutschland müssen auch alle anderen EU-Staaten die GEAS-Vorgaben umsetzen. Um den Stand der Umsetzung zu begleiten, erstellt die EU-Kommission Berichte zum „Stand der Umsetzung des Migrations- und Asylpakets“. Bislang gibt es drei dieser Berichte, aus Juni und November 2025 sowie vom 8. Mai 2026. Demnach haben fünf Mitgliedstaaten die nationalen Gesetzgebungsprozesse abgeschlossen, in den anderen Ländern stehen eigene Regelungen noch aus und befinden sich in verschiedenen Stadien. In Frankreich etwa fehlen weiterhin nationale Umsetzungsgesetze, eine Debatte im Parlament soll Ende Mai stattfinden.

Die Eurodac-Integration bezeichnet die EU-Kommission als „Schlüssel zur Verwirklichung“ von GEAS. 19 Mitgliedstaaten hätten bis Ende April Konformitätstests erfolgreich abgeschlossen, Deutschland befindet sich nicht in der Liste der aufgezählten Länder, liege aber bei der Eurodac „generell im Zeitplan“.