Datenschutz & Sicherheit
BSI-Chefin: Cyberschutz-Verpflichtung für Firmen ab 2026
Die Bundesregierung will die NIS2-Richtlinie der EU für den verpflichtenden Schutz wichtiger Anlagen und Unternehmen vor Cyberangriffen in Deutschland bis Anfang 2026 gesetzlich verankern. „Das Bundesinnenministerium treibt dieses Thema im Moment mit Hochdruck voran“, sagte die Präsidentin des Bundesamtes für Sicherheit in der Informationstechnik (BSI), Claudia Plattner, der Deutschen Presse-Agentur. „Ich habe die Hoffnung, dass wir es schaffen, dass es Anfang 2026 in Kraft treten kann.“
Zu dem Entwurf, der unter anderem die Pflicht zur Risikoanalyse und zur Meldung von Sicherheitsvorfällen bestimmt, wurden laut Innenministerium Anfang Juli die Länder und betroffene Verbände angehört. „Wichtig ist, dass die Unternehmen und Institutionen den Startschuss hören“, sagt die BSI-Chefin.
Schutz vor Erpressern und Sabotage
Mit der Umsetzung der europäischen Richtlinie soll mehr Cybersicherheit von Unternehmen und Institutionen geschaffen werden. Als wichtige Einrichtung im Sinne des Gesetzes gelten unter anderem größere Unternehmen der Sektoren Energie, Verkehr, Trinkwasser, Lebensmittelproduktion, Abwasser und Telekommunikation. Die Idee dahinter: Wenn sie nicht mehr arbeitsfähig wären – etwa weil ein Hacker ihre Daten verschlüsselt oder den Zugriff darauf blockiert hat – hätte das erhebliche Auswirkungen auf die Bevölkerung.
Die Pflicht zur Umsetzung bestimmter Sicherheitsmaßnahmen zur Abwehr und Bewältigung von Cyberangriffen soll künftig schätzungsweise rund 29.000 Unternehmen betreffen und damit deutlich mehr als bisher. Aktuell betreut das BSI rund 4.500 Betreiber kritischer Infrastruktur, die bestimmte Standards in Sachen Cybersicherheit erfüllen müssen. Seit ungefähr vier Monaten ist die NIS-2-Betroffenheitsprüfung des BSI online. Damit kann jeder herausfinden, ob die geplanten strengeren Regeln für ihn gelten oder nicht. Der Test wurde laut BSI schon mehr als 200.000 Mal genutzt. Plattner hat dennoch den Eindruck: „Die Anforderungen, die auf die betroffenen Unternehmen und Einrichtungen zukommen, haben viele derjenigen, die es angeht, immer noch nicht richtig auf dem Schirm.“
Umsetzungsfrist lief im Oktober ab
Die Frist für die NIS-2-Richtlinie ist am 17. Oktober 2024 abgelaufen. Bis zu diesem Datum hätten alle EU-Mitgliedstaaten die Richtlinie in nationales Recht umsetzen müssen. Deutschland und zahlreiche andere EU-Staaten haben die Frist nicht eingehalten. Die Ampel-Koalition hatte im Juli 2024 im Kabinett einen entsprechenden Gesetzentwurf beschlossen. Nach dem Auseinanderbrechen der Koalition von SPD, Grünen und FDP fand sich dafür jedoch keine Mehrheit mehr im Bundestag.
„Dadurch, dass wir es in der letzten Legislaturperiode nicht mehr geschafft haben, ist da jetzt wirklich Tempo gefordert“, mahnt die BSI-Präsidentin. Aus ihrer Sicht sei es daher besser, die Richtlinie rasch umzusetzen und später gegebenenfalls noch einmal nachzubessern. Denn deutsche Unternehmen, Behörden, Forschungsinstitute und auch Einrichtungen in der Politik würden auf einem relativ hohen Niveau dauerhaft angegriffen und das Gesetz werde dafür sorgen, das Risiko zu reduzieren, dass diese Angriffe erfolgreich sind.
Kriminelle und politische Akteure
Aktuell beobachtet das BSI nach eigenen Angaben viele Lieferketten-Angriffe. Dabei geht es etwa um Ingenieursbüros oder IT-Firmen, bei denen sich hinterher oft herausstellt, dass nicht der Dienstleister das eigentliche Angriffsziel war, sondern Firmen oder Institutionen, die ihre Kunden sind. „Das können auch Behörden oder Institutionen aus dem politischen Raum sein“, sagt Plattner. Manchmal sei auch nicht ganz klar, ob es um eine rein kriminelle Operation geht oder womöglich auch ein staatlicher Akteur im Hintergrund eine Rolle spielt. In einigen Fällen sei beides relevant. „Es gibt da unheilige Allianzen zwischen finanziell motivierten und politischen Akteuren“, berichtet die BSI-Präsidentin.
Ein Hackerangriff hatte in den vergangenen Tagen einen massiven IT-Ausfall verursacht und für Probleme in den deutschen Einrichtungen des Gesundheitskonzerns Ameos gesorgt. In Sachsen-Anhalt waren am Donnerstag mehrere Internetseiten von Ministerien kurzzeitig nicht aufrufbar. Grund sei ein Überlastungsangriff einer prorussischen Hackergruppe auf das Landesportal, hieß es.
BSI bietet Unterstützung an
Der Aufwand, den die einzelnen Unternehmen und Einrichtung betreiben müssen, um die Verpflichtungen aus der NIS-2-Richtlinie zu erfüllen, ist nach Einschätzung von Plattner nicht pauschal zu beziffern. Wer eine gute IT-Abteilung habe und sich auch jetzt schon um Cybersicherheit kümmere, werde die Herausforderungen häufig auch „mit Bordmitteln“ bewältigen können. Bei denjenigen, die sich noch nie um das Thema gekümmert hätten, werde dagegen „die Lernkurve deutlich steiler sein“. Die Leiterin der Bundesbehörde, die ihren Hauptsitz in Bonn hat, verspricht hier Unterstützung. „Wir bemühen uns, das mit unseren Informations- und Beratungsangeboten für die Unternehmen so schmerzfrei wie möglich zu machen.“
Lesen Sie auch
(nie)
Datenschutz & Sicherheit
Vor 25 Jahren tanzte der Techno-Wikinger auf der Fuckparade
Ziemlich genau vor 25 Jahren weist ein muskulöser Mann mit geflochtenem Wikingerbart einen rempelnden Besucher auf der Fuckparade am 8. Juli 2000 zurecht und tanzt dann mit freiem Oberkörper wild und etwas aggressiv zu einem Techno-Track hinter einem Wagen her. Er wird dabei gefilmt. Was er damals nicht weiß: Dass er zu einer legendären Figur der Technokultur und zu einem frühen großen Memes der Internetgeschichte werden würde.
Doch das sollte noch etwas dauern. Der Filmemacher Matthias Fritsch hatte das etwa vierminütige Video sechs Jahre nach dem Tanz auf der Protestparade auf das damals noch brandneue YouTube gestellt. Doch erst im Jahr 2007 geht das Filmchen wirklich viral, als jemand es auf die Seite Break.com stellt. Das mittlerweile als „Technoviking“ benannte Video wird nicht nur millionenfach geschaut, sondern auch tausendfach geremixt. Menschen stellen die Szene nach, es gibt den Wikinger in Videospielen, in Musikvideos, als Auto-Aufkleber, als Action Figur und KI-generierten Anime-Star.
Ungefragt monetarisiert
Der Techno-Wikinger selbst findet allerdings keinen Gefallen an seinem weltweiten Ruhm. Er schickt im Jahr 2009 seinen Anwalt zu Filmemacher Fritsch, um eine weitere Verbreitung des Videos zu verhindern, welches Fritsch auf YouTube monetisiert hatte. Der tanzende Mann, den das Internet zum Wikinger erklärt hatte, brachte damals laut Fritsch hervor, dass das Video ohne seine Zustimmung produziert und veröffentlicht sowie für Merchandising-Zwecke verwendet worden sei.
Aufgrund der Berühmtheit des Techno Vikings könne er seinen Arbeitsplatz verlieren, sein Bild würde zudem von Rechtsradikalen missbraucht. Der Wikinger beruft sich auf das Recht am eigenen Bild, also das Recht selbst darüber bestimmen zu dürfen, ob und in welchem Zusammenhang Bilder von ihm veröffentlicht werden. Doch das Video ist längst außer Kontrolle geraten, das ganze zum größten deutschen Meme überhaupt geworden.
Dann lässt sich der Wikinger vier Jahre Zeit bis zur nächsten Aktion.
Das Recht am eigenen Bild
Im Jahr 2013, die Videos haben damals um die 40 Millionen Views, kommt es dann vor dem Berliner Landgericht zum Prozess (netzpolitik.org berichtete) – wegen Verletzung des Persönlichkeitsrechts. Das Verfahren mit dem Aktenzeichen 27 O 632/12 (PDF) endet mit einem Teilerfolg für den Wikinger. Filmemacher Fritsch muss nicht nur knapp 9.500 Euro an den Mann zahlen, sondern darf das Video in dieser Form und andere Bildnisse des Techno Vikings nicht mehr verbreiten. Das Geld ist eine Beteiligung des Wikingers an den Einnahmen auf YouTube, zudem muss Fritsch für die Anwaltkosten des Klägers aufkommen.
Frisch selbst kann nicht von dem Fall lassen. Er macht ein Crowdfunding und dreht einen Dokumentarfilm über den Techno Viking. Zudem legt er ein Archiv zum Meme an. Trotz des Gerichtsurteils lässt sich das Meme nicht mehr stoppen, auch heute ist das Originalvideo in verschiedensten Ecken und Plattformen des Internets zu finden. Der Fall vor Gericht zeigt die Grenzen im Bereich Urheberrecht, Persönlichkeitsrecht und Kunstfreiheit in einem bisher so nie dagewesenen digitalen Umfeld mit eigenen Regeln und Dynamiken.
Die Geschichte des Techno-Wikingers nimmt Entwicklungen der Digitalkultur vorweg. Das heimliche Filmen in der Öffentlichkeit hat sich heute zu einem eigenen Genre in den sozialen Medien entwickelt. Auf der Jagd nach authentischen Inhalten setzen sich moderne Content Creator:innen über die Privatsphäre und Rechte ihrer Mitmenschen hinweg – das Bild wird zur Beute und schamlos monetarisiert. Andere Influencer:innen drücken ahnungslosen Leuten Geld, Geschenke und Blumen in die Hand – und stellen den Film dann als „Random Act of Kindness“ auf TikTok. Dagegen war die doch eher zufällige Meme-Werdung des Wikingers doch eher harmlos.
Bis heute ist die Identität des Techno-Wikingers nicht bekannt. Er muss sehr gute Freunde mit Sinn für Privatsphäre haben: Sie haben sich weder verplappert noch ihn verraten.
Datenschutz & Sicherheit
Qantas: Erste Details nach Cyber-Vorfall bekannt
In der vergangenen Woche wurde bekannt, dass es einen Cyberangriff auf die australische Fluggesellschaft Qantas gegeben hat. Dabei haben sich Cyberkriminelle Zugang zu Daten von Millionen Qantas-Kunden verschafft. Jetzt hat die Airline erste Zwischenergebnisse der Untersuchung des Vorfalls veröffentlicht.
Auf einer eigens dafür eingerichteten Webseite liefert Qantas einen aktualisierten Status. Demnach hat die Fluggesellschaft Fortschritte bei der forensischen Analyse der Kundendaten auf dem kompromittierten System gemacht. Das Unternehmen bekräftigt, dass weder Kreditkarteninformationen, noch persönliche finanzielle Informationen oder Ausweis-Details auf dem System gespeichert wurden und daher auch nicht zugreifbar waren.
Daten von Qantas-Vielfliegern seien nicht betroffen – Passwörter, PINs und Log-in-Details wurden weder abgegriffen noch kompromittiert. Die Daten, die die Angreifer kompromittiert haben, seien nicht ausreichend, um Zugriff auf die Vielfliger-Accounts zu erlangen. Es gebe zudem keine Hinweise, dass die gestohlenen Daten veröffentlicht wurden. Qantas beobachtet mit der Unterstützung von Cyber-Sicherheitsexperten die Lage weiter.
Große Datenmenge zugreifbar
Nachdem die Analysten die Dubletten entfernt haben, blieben noch 5,7 Millionen Kunden-Datensätze übrig. Einzelne spezielle Datenfelder variieren von Kunde zu Kunde, aber die Daten setzen sich offenbar folgendermaßen zusammen: 4 Millionen Datensätze beschränken sich auf den Namen, die E-Mail-Adresse und Qantas-Vielflieger-Details. Davon bestanden 1,2 Millionen Datensätze lediglich aus Namen und E-Mail-Adresse und bei 2,8 Millionen war auch die Vielflieger-Nummer enthalten; die Tier-Ebene war bei einem Großteil verzeichnet, bei einigen Kunden auch Punktestand und Status-Credits.
Die restlichen 1,7 Millionen Kundendaten bestehen aus einer Kombination von einigen der vorgenannten Datenfelder und zusätzlich noch einem oder mehreren der folgenden Punkte: Adressen (1,3 Millionen), Geburtsdatum (1,1 Millionen), Telefonnummern (900.000), Geschlecht (400.000) sowie Essensvorlieben (von 10.000 Kunden).
Qantas will nun vom Datenleck betroffene Kunden mit E-Mails kontaktieren und sie darüber informieren, welche Daten in dem kompromittierten System über sie abgelegt waren. Die Kunden sollten jedoch aufmerksam bleiben und insbesondere bei E-Mails, Textnachrichten oder Telefonanrufen angeblich von Qantas Vorsicht walten lassen. Das Unternehmen frage Kunden niemals nach Passwörtern oder persönliche und finanzielle Informationen. Die Identität sollten sie dadurch prüfen, dass sie sie auf einer Nummer zurückrufen, die auf offiziellen Qantas-Kanälen angegeben ist. Zudem sollten Betroffene Zwei-Faktor-Authentifizierung etwa für persönliche E-Mail- und Online-Konten aktivieren.
(dmk)
Datenschutz & Sicherheit
EU unterstützt Initiative für Unabhängigkeit von Big Tech
Ob Rechenzentren, Websuche, soziale Medien oder Betriebssysteme – digitale Infrastruktur ist so wichtig für das Funktionieren von Alltag und Demokratie, ähnlich wie Straßen, Brücken oder Stromnetze. Menschen verlassen sich jeden Tag darauf. Doch was ist, wenn die Infrastruktur sich dem Einfluss der Öffentlichkeit entzieht?
Spätestens mit Beginn der zweiten Amtszeit von US-Präsident Donald Trump ist die Frage nach Europas Abhängigkeit in Sachen digitale Infrastruktur drängender denn je. Die Gesellschaft für Informatik spricht gar von der Gefahr eines Killswitchs, wonach Trump die Macht besäße, Big-Tech-Unternehmen wie Microsoft dazu zu bringen, ihren Support für Software in Deutschland einzustellen – und damit ganze Behörden lahmzulegen.
Doch auch, wenn dieses Szenario nicht eintritt, birgt der Einfluss von Tech-Riesen wie Microsoft und Oracle in EU-Staaten wie Deutschland zunehmend Risiken. Gut 96 Prozent der Behörden auf Bundesebene nutzen in Deutschland etwa die Bürosoftware von Microsoft und sind damit auch der Preispolitik des Konzerns ausgeliefert. Zudem sind viele Datenbanken des Bundes auf Software von Oracle angewiesen.
Vier EU-Staaten wollen Kräfte bündeln
Gegen diese Übermacht regt sich Widerstand, etwa in Schleswig-Holstein. Das Bundesland hat mit seiner Open-Source-Strategie Microsoft abgeschworen. Und auch die Region Lyon in Frankreich hat den Wechsel zu Linux gewagt.
Um gemeinsam eine digitale Infrastruktur aufzubauen, die sich von US-Herstellern unabhängig macht, wollen die EU-Mitgliedstaaten Deutschland, die Niederlande, Frankreich und Italien Kräfte bündeln. Diese Woche haben sie das Papier zur Gründung eines neuen europäischen Konsortiums unterschrieben. Es geht um Digitale Infrastrukturen für digitale Gemeingüter, auf Englisch: „European Digital Infrastructure Consortium for Digital Commons“ (DC-EDIC).
Die Initiative wird vom Europäischen Konsortium für digitale Infrastruktur (EDIC) unterstützt und hat zuvor von der EU-Kommission grünes Licht bekommen. Das DC-EDIC finanziert sich aus den Beiträgen der Mitglieder und soll digitale Gemeingüter entwickeln, pflegen und nachhaltig finanzieren. Zudem soll es die Community rund um digitale Gemeingüter zu stärken.
Alternativen zu Microsoft
Konkrete Projekte sind beispielsweise Microsoft-Alternativen wie La Suite Numerique aus Frankreich oder die Kollaborationssoftware openDesk, ein Projekt des öffentlich finanzierten Zentrums für digitale Souveränität (ZenDiS). Das ZenDiS hat die Initiative für das neue DC-EDIC selbst mitangestoßen, zusammen mit der ebenso vom Bund finanzierten Sovereign Tech Agency (STA).
Die gemeinnützige europäische Organisation Open Future setzt sich für digitale Gemeingüter ein und begrüßt die Initiative. Europa mangele es derzeit unter anderem an einer interoperablen Cloud-Infrastruktur, Tools zur Wahrung der Privatsphäre und offenen Protokollen für soziale Netzwerke. Nur auf dieser technologischen Basis könne man „das öffentliche Interesse schützen und Konzentration von Macht verhindern“. Das Konsortium könne künftig eine entscheidende Rolle spielen.
Gemeinsam mit den Partnern wolle man nun das DC-EDIC zügig errichten, heißt es von der STA auf Anfrage. In Deutschland werde die STA diesen Prozess zusammen mit dem Bundesministerium für Digitales und Staatsmodernisierung und dem ZenDiS voranbringen.
-
Online Marketing & SEOvor 4 Wochen
TikTok trackt CO₂ von Ads – und Mitarbeitende intern mit Ratings
-
Apps & Mobile Entwicklungvor 4 Wochen
Metal Gear Solid Δ: Snake Eater: Ein Multiplayer-Modus für Fans von Versteckenspielen
-
Digital Business & Startupsvor 2 Wochen
80 % günstiger dank KI – Startup vereinfacht Klinikstudien: Pitchdeck hier
-
UX/UI & Webdesignvor 4 Wochen
Philip Bürli › PAGE online
-
Social Mediavor 1 Monat
Aktuelle Trends, Studien und Statistiken
-
Social Mediavor 4 Wochen
LinkedIn Feature-Update 2025: Aktuelle Neuigkeiten
-
Online Marketing & SEOvor 4 Wochen
#WantaFanta: Warum Fanta und Nico Santos der Gen Z Wünsche erfüllen
-
Social Mediavor 4 Wochen
“Wir haben doch nichts zu erzählen…” – 3 Tricks für neue Social Media Content Ideen