Die Agence Nationale de la Sécurité des Systèmes d’Information (ANSSI) und das deutsche Bundesamt für Sicherheit in der Informationstechnik (BSI) haben sich auf eine enge Zusammenarbeit bei Cloud-Sicherheitskriterien verständigt. Die Kooperation zweier wichtiger europäischer Akteure soll einen Tag vor dem deutsch-französischen Digitalgipfel ein Aufbruchsignal sein: Bei erhöhtem Sicherheitsbedarf soll künftig grenzüberschreitend gedacht werden.

„Wir müssen einen unterbrechungsfreien Betrieb und eine effektive Kontrolle über unsere sensiblen Daten in den Clouds sicherstellen“, sagt BSI-Präsidentin Claudia Plattner. Frankreich und Deutschland gehe es darum, „Hand in Hand die Risiken zu adressieren, die durch extraterritoriales Recht oder Abhängigkeiten entstehen“, ergänzt ANSSI-Generaldirektor Vincent Strubel.

Sicherheitsanforderungen uneinheitlich

Europäische Cloudanbieter stehen bislang vor dem Problem, dass jeder der 27 EU-Nationalstaaten für Remoteanwendungen und Speicher jeweils eigene Vorgaben für „sichere Clouds“ hat, für die oft auch einzeln Zertifizierungen und Sicherheitsüberprüfungen durchgeführt werden müssen.

Mit dem von der EU-Kommission angekündigten „Cloud Sovereignty Framework“ soll sich das grundsätzlich ändern. Darauf wollen die beiden Cybersicherheitsbehörden in Bonn und Paris nun aufbauen. Ziel sei es, kompatible Kriterien und Methoden zu deren Einhaltung zu entwickeln.

ANSSI treibt seit 2016 das an die ISO 270001-Norm angelehnte SecNumCloud-Framework voran. Auch das BSI arbeitet an Cloud-Mindeststandards, derzeit sind die sogenannten C5-Kriterienkataloge die Vorgaben der Bonner IT-Sicherheitsspezialisten.

Angesichts stark steigender Nachfrage seitens geheimschutzbedürftiger Stellen hatte Plattner zuletzt grundsätzliche Überlegungen veröffentlicht, wie Daten mit einem geringeren Schutzniveau auch in der US-Cloud gespeichert werden könnten. Dafür musste die BSI-Präsidentin aus Teilen der europäischen Open-Source-Community einige Kritik einstecken. Die gemeinsame Erklärung von BSI und ANSSI enthält nun ein klares Bekenntnis zu europäischen Stakeholdern und Open Source-Technologien.

Betrieb im Ausland vereinfachen

Zögen die beiden Schwergewichte unter den EU-Cybersicherheitsbehörden aber tatsächlich dauerhaft an einem Strang, könnten sie gleich zwei Probleme adressieren: zum einen, dass die Kosten für Anbieter – und in der Folge die Preise für Anwender – durch die Vielzahl der nationalen Vorschriften hoch sind. Zum anderen, dass hierdurch auch das Betreiben von Rechenzentren nach nationalen Vorschriften im EU-Ausland vereinfacht wird.

Allerdings ist die Idee, gemeinsam an den Kriterien für sichere Cloudumgebungen zu arbeiten, nicht ganz neu: Vor neun Jahren wollten der damalige BSI-Präsident Arne Schönbohm und sein französischer Counterpart Guilaume Poupard bereits ein Label für eine „European Secure Cloud“ entwickeln, als Zeichen der guten deutsch-französischen Digitalkooperation. Und auch dieses Mal heißt es in der gemeinsamen Erklärung der beiden Seiten an relevanter Stelle: Das gemeinsame Vorgehen solle stattfinden, „wo möglich“.

(vbr)

Die Berliner Schwarz-Rote Landesregierung möchte der Hauptstadt ein neues Polizeigesetz (ASOG) verpassen. An diesem gab es schon bei der Sachverständigenanhörung Ende September viel Kritik. Dort sprachen Expert:innen von einer „Abkehr von der grundrechtsfreundlichen Politik“: So soll neben einem automatischen Datenabgleich mit biometrischen Daten auch er Einsatz von Videoüberwachung mit Verhaltensscannern sowie der Einsatz von Staatstrojanern möglich werden.

Heute fand die 2. Lesung im Berliner Innenausschuss statt. Eingeflossen ist die Kritik der Sachverständigen in einen aktualisierten Vorschlag jedoch kaum, laut Opposition hat sie die Koalition in ihrem Änderungsantrag nicht ausreichend berücksichtigt. Von Kosmetik ist die Rede.

Besonders brisant: Eine Änderung erweitert nun sogar die Befugnisse der Polizei noch einmal. Demnach soll die Polizei künftig biometrische Daten zu Gesichtern und Stimmen auch von Kontakt- und Begleitpersonen der Verdächtigen mittels automatisierter Anwendungen biometrisch mit öffentlich zugänglichen Daten aus dem Internet abgleichen dürfen.

„Grundrechtsbeeinträchtigungen unbeteiligter Personen“

In einer Stellungnahme (PDF) kritisiert die Berliner Datenschutzbeauftragte, dass die ausdrückliche Einbeziehung von Kontakt- und Begleitpersonen den Personenkreis der Betroffenen erheblich erweitere. Damit würde die Streubreite des ohnehin intensiven Eingriffs weiter erhöht. Die Polizei erlange einen „erheblichen Beurteilungsspielraum“. Entsprechend berge das Gesetz das Risiko, dass Personen einbezogen werden, die tatsächlich in keiner Weise an der Straftatenbegehung beteiligt sind.

Dabei verweist die Datenschützerin, dass dies im Kontext der biometrischen Fernidentifizierung, die bereits aufgrund der Nutzung künstlicher Intelligenz und der Vielzahl durchsuchter Internetquellen eine hohe Streubreite aufweist, zu einer „Potenzierung der Grundrechtsbeeinträchtigungen unbeteiligter Personen“ führe. Die Datenschutzbeauftragte hält dies für nicht verhältnismäßig.

„Abkehr von der grundrechtsfreundlichen Politik“

Einfallstor für eine Superdatenbank

Kritik kam in der Ausschusssitzung von den Grünen und der Linken. Gegenüber netzpolitik.org mahnte der grüne Innenpolitiker Vasili Franco, dass die Kritik aus der Sachverständigenanhörung nicht genug berücksichtigt worden sei. „Stattdessen wird der biometrische Abgleich im Internet von Kontakt- und Begleitpersonen und die weitgehende Verwendung von Verkehrs- und Nutzungsdaten zur Erstellung von Persönlichkeitsprofilen möglich gemacht. Durch das Polizeigesetz kann zukünftig jedermann in Berlin zur Gefahr gemacht werden, sobald man in das Visier der Polizei gerät“, so Franco weiter.

Dass in der Vergangenheit Informationen durch Sicherheitsbehörden nicht rechtzeitig zusammengeführt wurden, dürfe nicht als Einfallstor für eine Superdatenbank und Datenanalysen mit unklarer Zweckbestimmung dienen, so Franco. „Ein gutes Polizeigesetz muss konkrete Antworten darauf geben, was die Polizei darf und was sie nicht darf.“

„Grundrechtseingriffe von extremer Intensität“

Auch der linke Innenpolitiker Niklas Schrader sagt, dass die Koalition mit ihrem Änderungsantrag vor allem redaktionelle und kosmetische Änderungen vorgenommen habe. „Insgesamt bleibt es bei einem massiven Überwachungsausbau, den CDU und SPD planen“, sagt Schrader gegenüber netzpolitik.org.

Mit neuen Instrumenten wie der KI-gestützten Videoüberwachung mit Verhaltensanalyse oder der Verknüpfung und automatisierte Auswertung von Polizeidaten könnten potentiell alle Berliner:innen polizeilich erfasst werden, so Schrader weiter. Das geplante ASOG enthalte „verfassungsrechtlich bedenkliche Regelungen und Grundrechtseingriffe von extremer Intensität und Streubreite“. Sein Fazit fällt dementsprechend kritisch aus: „SPD und CDU in Berlin oder CSU in Bayern, das nimmt sich in der Innenpolitik mittlerweile nichts mehr.“

Protest von Bürgerrechtsorganisationen

Mehrere Bürgerrechtsorganisationen hatten zuletzt die Pläne für das neue Polizeigesetz kritisiert und einen Stopp des Gesetzgebungsverfahrens gefordert. In einem offenen Brief monieren die Organisationen den möglichen Einsatz einer orts- und verhaltensübergreifenden Analyseplattform zum biometrischen Abgleich mit über das Internet öffentlich zugänglichen personenbezogenen Daten und die automatisierte Verhaltensmustererkennung.

Zudem lasse das Polizeigesetz zu, dass Datenbestände der Polizei losgelöst von konkreten Anlässen dauerhaft zusammengeführt werden könnten. Hierdurch entstünde eine Superdatenbank mit „Möglichkeiten zum Erstellen von Bewegungsprofilen, Verhaltensmuster- und Sozialkontaktanalysen“. In einem Interview mit der taz kritisierte Lukas Theune, Geschäftsführer des Republikanischen Anwalt:innenverbandes (RAV), der Gesetzentwurf solle der Polizei gläserne Bürger:innen ermöglichen.

Das neue Polizeigesetz soll am 4. Dezember im Berliner Angeordnetenhaus beschlossen werden.

Cyberangriffe haben weitreichende finanzielle Konsequenzen, die weit über die unmittelbaren technischen Schäden hinausgehen. Wie eine aktuelle Studie des Datensicherheitsanbieters Cohesity zeigt, mussten weltweit 70 Prozent der börsennotierten Unternehmen nach einem schwerwiegenden Cyberangriff ihre Gewinn- oder Finanzprognosen revidieren. 68 Prozent verzeichneten spürbare Auswirkungen auf ihren Aktienkurs.

Die Untersuchung „Risk-Ready or Risk-Exposed: The Cyber Resilience Divide“ definiert einen erheblichen Cyberangriff als Vorfall mit messbaren Auswirkungen auf Finanzen, Reputation, Betrieb oder Kundenabwanderung. Mehr als die Hälfte der befragten Unternehmen (54 Prozent weltweit, 52 Prozent in Deutschland) erlebte in den vergangenen zwölf Monaten mindestens einen solchen Angriff.

Deutsche Unternehmen zeigen sich dabei vergleichsweise robuster: Nur 52 Prozent der börsennotierten Firmen hierzulande mussten ihre Finanzprognosen anpassen, lediglich 45 Prozent sahen Auswirkungen auf den Aktienkurs. Bei nicht börsennotierten Unternehmen widmeten in Deutschland 62 Prozent Budget von Innovation und Wachstum zur Wiederherstellung nach Angriffen um – gegenüber 73 Prozent weltweit.

„Diese Ergebnisse zeigen, dass deutsche Unternehmen vergleichsweise gut aufgestellt sind, um die geschäftlichen Auswirkungen eines Cyberangriffs klein zu halten“, erklärt Patrick Englisch, Director & Head of Technology Sales Central Europe bei Cohesity. Allerdings schätzen 54 Prozent der deutschen Befragten ihre Cyberresilienz-Strategie als verbesserungswürdig ein.

Hohe Kosten und rechtliche Konsequenzen

Die finanziellen Schäden sind erheblich: 31 Prozent der deutschen Unternehmen verloren zwischen einem und zehn Prozent ihres Jahresumsatzes durch Cyberattacken, weltweit waren es 36 Prozent. Rechtliche und regulatorische Konsequenzen wie Geldstrafen und Gerichtsverfahren trafen 89 Prozent der deutschen Firmen – ein nur geringfügig besserer Wert als die 92 Prozent weltweit.

Besonders problematisch: Über 80 Prozent der Unternehmen in Deutschland und weltweit zahlten im vergangenen Jahr Lösegeld bei Ransomware-Angriffen. Mehr als ein Drittel davon überwies sogar über eine Million Dollar an die Erpresser.

Automatisierung als Schwachstelle

Ein kritischer Unterschied zeigt sich bei der Automatisierung der Angriffsabwehr: Während weltweit 44 Prozent der Attacken automatisch erkannt und verifiziert werden, sind es in Deutschland nur 35 Prozent. Hierzulande überwiegt mit 42 Prozent die manuelle Verifizierung vor einer Reaktion – weltweit liegt dieser Wert bei 37 Prozent.

Die Wiederherstellung von Daten aus Backups dauert in den allermeisten Unternehmen mehr als einen Tag (Deutschland: 94 Prozent, weltweit: 96 Prozent). In jedem zehnten Fall benötigen Firmen mindestens eine Woche für die vollständige Datenwiederherstellung. Entsprechend fordern 63 Prozent der deutschen Befragten eine stärkere Automatisierung bei Erkennung, Reaktion und Recovery.

Die Forderung nach mehr Automatisierung deckt sich mit Erkenntnissen aus anderen aktuellen Untersuchungen. Eine im Oktober 2025 veröffentlichte Studie des Branchenverbands eco hatte bereits gezeigt, dass rund 40 Prozent der deutschen Unternehmen KI-gestützte Systeme zur Anomalieerkennung und Incident Response einsetzen. Die Bedrohungslage bewerten laut eco 88 Prozent der IT-Sicherheitsfachleute als hoch oder sehr hoch.

Deutsche Vorsicht als Sicherheitsvorteil

Interessanterweise erweist sich die oft kritisierte deutsche Zurückhaltung bei neuen Technologien als Sicherheitsvorteil: Während weltweit 37 Prozent der Befragten angeben, dass GenAI-Tools in ihren Unternehmen deutlich schneller eingeführt werden, als sie es für sicher halten, sind es in Deutschland nur 29 Prozent. Die als typisch erachtete deutsche Skepsis bremst also offenbar eine zu schnelle Einführung von Tools, deren Sicherheitsstandards noch nicht ausreichend überprüft wurden.

Trotz der vergleichsweise besseren Werte bleibt Deutschland explizit nicht von den Herausforderungen verschont, die das Bundesamt für Sicherheit in der Informationstechnik in seinem aktuellen Lagebericht beschreibt. Besonders staatlich gelenkte Angriffe und Ransomware stellen anhaltende Bedrohungen dar.

KI als zentrales Werkzeug der Zukunft

Für die Zukunft setzen die Unternehmen auf künstliche Intelligenz: 41 Prozent der deutschen Befragten erwarten, dass KI bis Ende 2026 eine zentrale Rolle in ihrer Datensicherheitsstrategie einnehmen wird – weltweit sind es 37 Prozent. Fast alle Teilnehmer sehen einen begrenzten Einsatz von KI zur Unterstützung menschlicher Entscheidungen oder zur Automatisierung von Routineaufgaben vorher. Nur ein Prozent will KI ausschließlich zur Erfüllung von Compliance-Anforderungen nutzen.

„Automatisierung lohnt sich in jedem Fall“, betont Englisch. „Schließlich haben in Deutschland und weltweit jeweils über 80 Prozent der Unternehmen im letzten Jahr Lösegeld in Zusammenhang mit Ransomware bezahlt – über ein Drittel sogar mehr als eine Million Dollar. Jeder abgewehrte Angriff bedeutet damit direkt messbare Kosteneinsparungen.“

Die Studie basiert auf einer Umfrage unter 3.200 IT- und Sicherheitsverantwortlichen, davon 400 aus Deutschland. Die Befragung wurde im September 2025 von Vanson Bourne im Auftrag von Cohesity durchgeführt. Die Befragten repräsentieren Unternehmen mit mindestens 1.000 Mitarbeitern aus öffentlichen und privaten Sektoren in elf Ländern. Details zu den Ergebnissen finden sich bei Cohesity.

(fo)