Wochenbrief

Cyber-Risk Wochenbrief – 26. Oktober 2026

Zeitraum: 20.–26. Oktober 2026 · Recherchestand: Montagvormittag

Diese Woche gibt es vor allem eine technisch außergewöhnlich weitreichende Entwicklung: Zwei kritische Schwachstellen betreffen PHP – und damit eine der verbreitetsten Grundlagen von Websites, Kundenportalen und Verwaltungsanwendungen. Daneben wird der europäische Meldeprozess für Sicherheitslücken in digitalen Produkten praktisch relevant.

1. Kritische PHP-Lücken gefährden Websites und Portale

Bestätigte Fakten: Das PHP-Projekt kündigte am 20. Oktober 2026 ein außerplanmäßiges Sicherheitsupdate an und veröffentlichte die korrigierten Versionen am 21. Oktober.

Die Schwachstellen CVE-2026-109618 und CVE-2026-109619 erreichen jeweils einen CVSS-Wert von 9,2. Beide können unter bestimmten Voraussetzungen eine Codeausführung aus der Ferne ohne vorherige Anmeldung ermöglichen. Betroffen sind grundsätzlich PHP-Installationen, die Webanfragen verarbeiten – unter anderem PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed.

Korrigierte Versionen sind:

• PHP 8.5.12
• PHP 8.4.27
• PHP 8.3.36
• PHP 8.2.35

PHP weist ausdrücklich darauf hin, dass es keine vollständige Ersatzmaßnahme für das Update gibt. CERT-EU berichtete am 23. Oktober, dass technische Details und erste Machbarkeitsnachweise bereits öffentlich zirkulieren. Eine bestätigte aktive Ausnutzung wurde in den herangezogenen Primärmeldungen jedoch noch nicht festgestellt.

Zusätzlich wurde am 23. Oktober CVE-2026-115560 bekannt. Diese dritte RCE-Lücke betrifft laut PHP nur ungewöhnlich konfigurierte Anwendungen; hierfür wurde zunächst eine Konfigurationsmaßnahme statt eines weiteren Sofortupdates empfohlen. 

Einordnung

Das Besondere ist nicht nur die Schwere, sondern die enorme Verbreitung von PHP. Betroffen sein können:

• Unternehmens- und Gemeindewebsites,
• WordPress-Installationen,
• Kunden- und Bürgerportale,
• Laravel-Anwendungen,
• Buchungs- und Formularsysteme,
• eingebettete PHP-Komponenten in Drittprodukten.

Ein Update des CMS oder der eigentlichen Webanwendung genügt nicht zwingend. Entscheidend ist die PHP-Version auf dem Server beziehungsweise im Container. Bei gemanagtem Hosting muss deshalb der Hostinganbieter bestätigen, ob ein korrigiertes oder wirksam zurückportiertes Paket installiert wurde.

Konsequenzen für Makler und Kunden

• Für extern erreichbare Websites und Portale umgehend eine schriftliche Bestätigung des Hosting- oder IT-Dienstleisters zum Patchstand einholen.
• Nicht nur die sichtbare Website prüfen: Staging-Systeme, alte Subdomains, interne Verwaltungsoberflächen, vergessene Anwendungen und eingebettete PHP-Produkte erfassen.
• Als Nachweis sollten mindestens Versionsstand, Installationszeitpunkt, betroffene Systeme und der erfolgreiche Neustart der PHP-Worker dokumentiert werden.
• Bei verspätetem Update zusätzlich Logs und Webdateien auf verdächtige Änderungen, Webshells oder ungewöhnliche Prozesse untersuchen lassen.
• PHP 8.1 und ältere Versionen sind regulär nicht mehr unterstützt. Ein technisch erreichbares Altsystem sollte nicht allein aufgrund seiner geringen Nutzung als unkritisch eingestuft werden.
• Cyberpolicen auf Kosten für vorsorgliche Forensik, Wiederherstellung kompromittierter Webanwendungen, Datenschutzberatung und Dienstleistervorfälle prüfen.
• Wird über ein betroffenes Portal auf Kunden-, Mitarbeiter- oder Bürgerdaten zugegriffen, können parallel Cyberversicherung, DSGVO und gegebenenfalls NIS2-Meldeprozesse relevant werden.
• Für die Geschäftsleitung zählt die dokumentierte Reaktion: Wann wurde die Warnung bekannt, wer prüfte die Betroffenheit und wann wurde das Update tatsächlich bestätigt?

2. Cyber Resilience Act: EU-Meldeplattform wird zum operativen Prozess

Bestätigte Fakten: ENISA aktualisierte die zentrale Meldeplattform des Cyber Resilience Act am 20. Oktober 2026 auf Version 1.2.1. Dabei wurde insbesondere das Verfahren zur Einbindung zusätzlicher Beauftragter und Stellvertreter geändert.

Über diese Plattform müssen Hersteller seit 11. September 2026 aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle bei Produkten mit digitalen Elementen melden. Die Plattform verteilt die Meldung an die jeweils zuständigen nationalen Stellen. 

Einordnung

Das Plattformupdate schafft keine neue materielle Verpflichtung. Es zeigt aber, dass die CRA-Meldepflicht inzwischen ein laufender organisatorischer Prozess ist. Hersteller benötigen nicht nur einen technischen Zugang, sondern auch Vertretungsregelungen für den Fall, dass die primär zuständige Person bei einer kritischen Meldung nicht verfügbar ist.

Für normale Anwenderunternehmen entsteht daraus nicht automatisch eine eigene CRA-Meldepflicht. Relevant wird der CRA aber für Softwareanbieter, Hersteller vernetzter Geräte und Unternehmen, die digitale Produkte unter eigenem Namen auf den EU-Markt bringen.

Konsequenzen für Makler und Kunden

• Bei Software- und Technologieunternehmen klären, ob sie rechtlich Hersteller, Importeur, Händler oder lediglich Anwender eines digitalen Produkts sind.
• Verantwortliche und Stellvertretungen für CRA-Meldungen schriftlich festlegen und Zugänge vor einem Vorfall testen.
• Meldeprozesse mit NIS2, DSGVO, Produkthaftung und Cyberversicherung abstimmen; eine CRA-Meldung ersetzt diese Prozesse nicht.
• Versicherungsbedingungen darauf prüfen, ob regulatorische Beratung, Schwachstellenkoordination, Produktrückruf beziehungsweise Austauschmaßnahmen und Krisenkommunikation erfasst sind.
• Bei kommunalen Beschaffungen verlangen, dass Hersteller Sicherheitslücken melden, Updates bereitstellen und die Kommune über notwendige Schutzmaßnahmen informieren.
• Aus einer Herstellerwarnung muss beim Kunden ein nachvollziehbarer Vorgang werden: Eingang, Bewertung, Verantwortlicher, Frist, Umsetzung und Kontrolle.

1. Manipulierte Kühlanlagen: Cyber wird zum Warenschaden

Bestätigte Fakten: Das französische CERT-FR erweiterte seine Warnung zu kompromittierten Kälteanlagensteuerungen am 13. Oktober um weitere Geräte und aktualisierte am 16. Oktober die Handlungsempfehlungen. Betroffen sind Steuerungen von Danfoss sowie Copeland/Dixell XWEB. Die Erstwarnung stammt vom 12. Oktober. CERT-FR empfiehlt insbesondere, öffentlich erreichbare Verwaltungsoberflächen abzusichern und Konfigurationen einschließlich der Abtauzeiten zu kontrollieren. Bemerkenswert: Vor einer Unterbrechung der Datenübertragung zum Kältedienstleister sollen auch Versicherungsbedingungen geprüft werden. CERT-FR: Warnung und Aktualisierungen. CERT-FR

CERT.at berichtete am 13. Oktober über die Manipulation französischer Kühlanlagen in der Nacht vom 11. auf 12. Oktober, durch die Gefriergut unbrauchbar wurde. Eine vergleichbare unmittelbare Gefahr für die österreichische Einzelhandelskühlkette leitete CERT.at aus seinen Untersuchungen ausdrücklich nicht ab. geht das auch bei uns?

Einordnung: Das ist keine bloße IT-Betriebsunterbrechung. Eine digitale Manipulation kann Waren verderben lassen und damit die Schnittstelle zwischen Cyber-, Sach-, Kühlgut- und Betriebsunterbrechungsversicherung treffen.

Konsequenzen für Michael und die Kundenberatung:

• Lebensmittelhandel, Gastronomie, Kühlhäuser und kommunale Verpflegung gezielt nach fernwartbaren Kühlanlagen fragen.
• Schriftlich klären, welcher Vertrag cyberverursachten Warenverderb und die daraus folgende Betriebsunterbrechung erfasst. Eine Cyberpolice allein ist kein Nachweis ausreichender Sachschadendeckung.
• Sichere Ersatzüberwachung vorsehen, wenn Fernzugriffe eingeschränkt werden: Die Schutzmaßnahme darf nicht unbemerkt die Temperaturüberwachung beseitigen.
• Technische Sofortmaßnahmen und versicherungsvertragliche Abstimmung koordiniert durchführen.

2. BeyondTrust: Fernwartung als privilegierter Angriffsweg

Bestätigte Fakten: BeyondTrust veröffentlichte am 15. Oktober die kritische Schwachstelle CVE-2026-102764 in Remote Support; der Herstellerbericht wurde am 16. Oktober aktualisiert. Dokumentiert sind Angriffe vom 29. Augustauf eine gehostete und eine selbst betriebene Instanz. Patches wurden bereits am 8. Oktober bereitgestellt; SaaS-Instanzen wurden automatisch aktualisiert. Selbst betriebene Systeme benötigen eine Prüfung des Patchstands.

Für Privileged Remote Access empfiehlt BeyondTrust wegen gemeinsam genutzten Codes ebenfalls den Patch, bestätigt dort aber keine erfolgreiche Ausnutzungsmöglichkeit. Herstellerbericht mit Ereigniszeitleiste. BeyondTrust

Einordnung: Ein kompromittierter Fernwartungszugang ist besonders gefährlich, weil er administrative Verbindungen zu weiteren Systemen vermitteln kann. Ein heute aktueller Patchstand beantwortet nicht, ob zuvor bereits ein Einbruch stattgefunden hat.

Konsequenzen für Makler, Firmen und Kommunen:

• Auch beim Systemhaus nachfragen, ob BeyondTrust für Kundenzugriffe eingesetzt wird.
• Patchbestätigung und Prüfung auf frühere Kompromittierung getrennt anfordern.
• Bei Verdachtsmomenten Incident Response und Versicherer früh einbinden; Beweise vor Wiederherstellungsmaßnahmen sichern.
• In der Deckungsprüfung Dienstleistervorfälle, kompromittierte Zugangsdaten und Wiederherstellungskosten ausdrücklich berücksichtigen.

D&O-Perspektive: Die praktische Aufsichtsfrage lautet: Wer prüft eine konkrete Herstellerwarnung, bis wann erfolgt die Rückmeldung und wer kontrolliert offene Maßnahmen? Das ist eine organisatorische Schlussfolgerung, keine neue Gerichtsentscheidung.

3. Cisco: Neue aktive Angriffe über E-Mail-Anhänge

Bestätigte Fakten: CERT.at warnte am 15. Oktober vor CVE-2026-76519 im Cisco Secure Email Gateway, bewertet mit CVSS 9,8. Bei betroffener Konfiguration können präparierte E-Mail-Anhänge eine vollständige Gerätekompromittierung ermöglichen. Die Schwachstelle wird laut Cisco bereits ausgenutzt; der Beginn der Angriffe wird in der CERT.at-Warnung nicht genannt.

Updates sind verfügbar. CERT.at empfiehlt zusätzlich eine Kompromittierungsprüfung und warnt, dass ein Upgrade bei betroffenen virtuellen Appliances forensische Daten zerstören kann. CERT.at: Warnung und Maßnahmen. Show

Einordnung: Dies ist eine neue Schwachstelle, nicht die Wiederholung der Cisco-Meldungen aus den vergangenen Briefen. Erneut wird ein Schutzsystem selbst zum Einfallstor.

Konsequenz: Betroffene Kunden sollten durch ihre IT sowohl den wirksamen Update-Stand als auch die Untersuchung möglicher Vorangriffe bestätigen lassen. Bei Verdacht gehört die Beweissicherung vor einen unkoordinierten Neuaufbau.

NIS2, DORA, FIDA und Versicherungsmarkt

DORA – neue Aufsichtsankündigung, keine neue Pflicht: Die europäischen Aufsichtsbehörden veröffentlichten am 13. Oktober ihr Arbeitsprogramm für 2027. Digitale operationelle Resilienz und die Überwachung kritischer IKT-Drittdienstleister bleiben Schwerpunkte. Für betroffene Finanzkunden unterstreicht das die Bedeutung belastbarer Dienstleisterkontrollen; daraus entsteht aber keine neue allgemeine DORA-Pflicht für jeden Makler oder Firmenkunden. EIOPA: Arbeitsprogramm 2027.

Zeitraum: 29. September bis 5. Oktober 2026

Österreich hat in dieser Woche den Schritt von der NIS2-Vorbereitung zum laufenden Rechts- und Meldebetrieb vollzogen. Parallel zeigt eine aktiv ausgenutzte Cisco-Schwachstelle, weshalb Verantwortlichkeiten und Meldewege schon vor einem Angriff geklärt sein müssen.

1. Österreich: NISG 2026 ist in Kraft

Bestätigte Fakten: Seit 1. Oktober 2026 gilt das österreichische NISG 2026. Gleichzeitig haben das neue Bundesamt für Cybersicherheit und die Anwendung „NIS2-Services“ im Unternehmensserviceportal ihren Betrieb aufgenommen.

Für wesentliche und wichtige Einrichtungen gelten nun bei erheblichen Cybersicherheitsvorfällen:

• Frühwarnung unverzüglich, spätestens innerhalb von 24 Stunden
• ausführlichere Meldung spätestens innerhalb von 72 Stunden
• Abschlussbericht grundsätzlich innerhalb eines Monats
• Fortschrittsbericht, wenn die Vorfallsbehandlung noch läuft
• zusätzliche Meldepflichten, etwa nach der DSGVO, bleiben daneben bestehen

Die erstmalige Registrierung muss nach Angaben des Innenministeriums grundsätzlich bis 1. Jänner 2027 erfolgen. Unternehmen sollten bereits jetzt USP-Zugang, ID Austria und die Verfahrensrollen „NIS Registrierung“ beziehungsweise „NIS Meldung“ einrichten. Für öffentliche Verwaltungen wird noch an einer Anbindung über den Portalverbund gearbeitet; bei technischer Nichtverfügbarkeit stehen alternative Formulare bereit. bmi.gv.at

Einordnung: NIS2 ist in Österreich keine bevorstehende Regulierung mehr. Ein erheblicher Vorfall kann schon jetzt eine laufende 24-Stunden-Frist auslösen. Die noch offene Registrierung oder eine ungeklärte interne Zuständigkeit setzen diese Frist nicht aus.

Besonders wichtig ist die Trennung von:

• NIS2-Meldung,
• Datenschutzmeldung,
• Information des Cyberversicherers,
• Beauftragung der Incident-Response-Dienstleister,
• Kommunikation mit Kunden, Bürgern und Vertragspartnern.

Eine Meldung ersetzt die anderen Prozesse nicht.

Konsequenzen für Makler und Kunden:

• Bei Firmenkunden jetzt die Betroffenheitsprüfung dokumentieren – einschließlich Unternehmensgröße, Tätigkeitsbereich und möglicher Einordnung über Konzern- oder Sondertatbestände.
• Bei Kommunen und kommunalen Unternehmen nicht pauschal von einer einheitlichen Betroffenheit ausgehen. Verwaltung, Stadtwerke, Gesundheit, Wasser, Abfall und Verkehr sind getrennt zu prüfen.
• Festlegen, wer einen Vorfall als möglicherweise erheblich einstuft und wer auch nachts, am Wochenende oder bei Abwesenheit eine Meldung auslösen darf.
• Versicherer und Makler müssen so früh eingebunden werden, dass Deckungsanzeige und Auswahl externer Spezialisten nicht an der 24-Stunden-Frist scheitern.
• Cyberpolicen auf Kosten für Rechtsberatung, parallele Meldungen, Forensik, Krisenkommunikation und die Feststellung der Meldepflicht prüfen.
• Für die D&O-Haftung wird die dokumentierte Organisation entscheidend: Geschäftsleitungen müssen nicht jeden Angriff verhindern, aber Zuständigkeiten, Kontrollen und Eskalationswege angemessen einrichten und überwachen.

2. Cisco SD-WAN Manager: Administratorzugriff ohne Anmeldung

Bestätigte Fakten: Cisco veröffentlichte am 30. September 2026 ein kritisches Advisory zu CVE-2026-76504 und aktualisierte es am 2. Oktober.

Die Schwachstelle im Cisco Catalyst SD-WAN Manager erreicht einen CVSS-Wert von 9,8. Ein externer, nicht angemeldeter Angreifer kann über eine manipulierte HTTP-Anfrage die Authentifizierung umgehen und auf die API mit Administratorrechten zugreifen.

Cisco bestätigte, dass die Schwachstelle bereits aktiv ausgenutzt wird. Sie betrifft den SD-WAN Manager unabhängig von seiner Konfiguration. Sicherheitsupdates sind verfügbar; ein zusätzlich angebotener Schutzmechanismus ist laut Cisco nur eine vorübergehende Teilabsicherung. Internetexponierte Systeme sollen außerdem anhand der von Cisco genannten Protokollmerkmale auf eine mögliche frühere Kompromittierung untersucht werden. Cisco

Einordnung: Ein SD-WAN Manager steuert zentrale Netzwerkverbindungen, häufig über mehrere Standorte hinweg. Ein administrativer Zugriff kann daher nicht nur ein einzelnes Gerät, sondern die Vertrauens- und Kommunikationsstruktur einer gesamten Organisation betreffen.

Weil die Ausnutzung bereits läuft, genügt es nicht, lediglich das Update einzuspielen. Es muss auch geprüft werden, ob vor der Aktualisierung bereits unberechtigte Zugriffe stattgefunden haben.

Konsequenzen für Makler und Kunden:

• Kunden und deren IT-Dienstleister kurzfristig fragen, ob Cisco Catalyst SD-WAN Manager eingesetzt wird.
• Patchstand, Internetexposition und Auswertung der relevanten Logs schriftlich bestätigen lassen.
• Bei verdächtigen Spuren unverzüglich Incident Response und Cyberversicherer einbinden.
• Auch ausgelagerte Netzwerkverwaltung berücksichtigen: Die Verantwortung für die Reaktion darf nicht zwischen Kunde, Systemhaus und Managed-Service-Provider verloren gehen.
• Versicherungsverträge auf Schäden durch kompromittierte Netzwerk- und Sicherheitsinfrastruktur sowie auf Dienstleister- und standortübergreifende Betriebsunterbrechungen prüfen.
• Für NIS2- und D&O-Zwecke dokumentieren, wann die Warnung bekannt wurde, wer sie bewertete und welche Maßnahmen mit welcher Begründung beschlossen wurden.

Cyber-Risk Wochenbrief – 28. September 2026

Zeitraum: 22.–28. September 2026

Die wichtigste Entwicklung dieser Woche ist ungewöhnlich: Ein Anbieter für sicheren Datenaustausch empfahl seinen Kunden, die eigene Plattform vorsorglich abzuschalten – nicht nach einem bestätigten Angriff, sondern aufgrund konkreter Warnhinweise vor einem möglicherweise unmittelbar bevorstehenden Angriff.

1. Kiteworks: Präventive Abschaltung wegen konkreter Angriffswarnung

Bestätigte Fakten: Kiteworks veröffentlichte am 25. September 2026 eine Sicherheitsmitteilung. Nach Angaben des Unternehmens hatten US-Bundesbehörden glaubwürdige Hinweise auf einen möglichen bevorstehenden Angriff gegen Kiteworks-Systeme übermittelt.

Kiteworks empfahl seinen Kunden deshalb ein vorsorgliches Abschaltfenster am Wochenende. Die öffentliche Mitteilung nennt ein Zeitfenster von neun Stunden. Gleichzeitig erklärte der Anbieter:

• Es sei bislang keine Kompromittierung von Kiteworks-Systemen bekannt.
• Die Abschaltung sei eine Präventionsmaßnahme und keine Reaktion auf einen bestätigten Sicherheitsvorfall.
• Kiteworks arbeite gemeinsam mit den zuständigen Behörden an der Bewertung der Bedrohung.

Kiteworks wird unter anderem für den geschützten Austausch sensibler und großer Dateien eingesetzt. Offizielle Kiteworks-Mitteilung vom 25. September 2026⁠ 

Einordnung: Dieser Vorgang verschiebt die klassische Entscheidungsfrage. Es geht nicht mehr nur darum, ob nach einem Angriff abgeschaltet werden muss. Verantwortliche müssen entscheiden, ob sie aufgrund belastbarer Warninformationen einen noch funktionsfähigen Dienst präventiv außer Betrieb nehmen.

Dabei entstehen zwei gegenläufige Risiken:

• Weiterbetrieb trotz konkreter Warnung kann einen vermeidbaren Sicherheitsvorfall ermöglichen.
• Eine vorsorgliche Abschaltung kann Geschäftsprozesse unterbrechen, obwohl sich die Bedrohung später nicht bestätigt.

Die bloße Spekulation über eine Zero-Day-Schwachstelle ist bislang nicht offiziell bestätigt und sollte daher nicht als Tatsache dargestellt werden.

Konsequenzen für Makler und Kunden:

• Kunden sollten prüfen, ob Kiteworks selbst betrieben oder über einen IT-Dienstleister eingesetzt wird.
• Notfallpläne müssen auch eine präventive Abschaltung zentraler Dateiübertragungs- und Kommunikationssysteme abbilden.
• Vor einer Abschaltung sollten sichere Ersatzwege festgelegt sein. Unkontrolliertes Ausweichen auf private E-Mail-Konten oder frei verfügbare Filesharing-Dienste kann das Risiko noch erhöhen.
• Cyberpolicen sollten darauf geprüft werden, ob Betriebsunterbrechungen und Mehrkosten auch bei einer begründeten präventiven Abschaltung ohne bereits bestätigte Kompromittierung gedeckt sind.
• Besonders relevant sind Deckungsauslöser wie „Sicherheitsverletzung“, „drohende Sicherheitsverletzung“, behördliche Anordnung und freiwillige Schadenminderung.
• Entscheidungen sollten mit Zeitpunkt, Informationsstand, Alternativen und Freigabe durch die Verantwortlichen dokumentiert werden. Das ist auch für eine spätere D&O-Beurteilung entscheidend.
• Bei Kommunen muss geklärt sein, wie sensible Unterlagen während des Ausfalls weiterhin sicher mit Behörden, Rechtsberatern und Dienstleistern ausgetauscht werden können.

2. EU-Rechnungshof: Die europäische Cyberkrisenkoordination funktioniert nur teilweise

Bestätigte Fakten: Der Europäische Rechnungshof veröffentlichte am 21. September 2026, nach dem Redaktionsschluss des letzten Briefs, seinen Sonderbericht 19/2026 zur Erkennung und Bewältigung von Cybervorfällen.

Das Ergebnis: Der europäische Kooperationsrahmen habe sich verbessert, sei aber wegen Umsetzungsverzögerungen und eines eingeschränkten Informationsaustauschs bislang nur teilweise wirksam. Kritisiert werden insbesondere:

• unzureichender Informationsaustausch zwischen Mitgliedstaaten,
• Verzögerungen bei der Umsetzung europäischer Instrumente,
• Überschneidungen zwischen beteiligten Stellen,
• noch nicht vollständig einsatzbereite gemeinsame Warn- und Reaktionsmechanismen,
• verspätete nationale Umsetzung der NIS2-Richtlinie.

Der Rechnungshof empfiehlt unter anderem klarere Zuständigkeiten, besseren Informationsaustausch und eine raschere Umsetzung des europäischen Cyberwarnsystems. Sonderbericht 19/2026 des Europäischen Rechnungshofs⁠ 

Einordnung: Unternehmen und Kommunen dürfen nicht davon ausgehen, dass eine Meldung automatisch bei allen Stellen ankommt, die sie für die Krisenbewältigung benötigen. Gesetzliche Meldung, technische Warnung, Information des Versicherers und Kommunikation mit betroffenen Partnern bleiben getrennte Prozesse.

Konsequenzen für Makler und Kunden:

• Notfallpläne benötigen eine eigene Melde- und Kommunikationsmatrix: Behörde, Datenschutzaufsicht, CSIRT, Versicherer, Makler, IT-Dienstleister und betroffene Vertragspartner.
• Bei grenzüberschreitenden Vorfällen darf nicht darauf vertraut werden, dass Behördeninformationen automatisch zwischen den Ländern weitergegeben werden.
• Cyberpolicen sollten Unterstützung bei parallelen Meldepflichten sowie Kosten für Rechtsberatung und Incident-Koordination einschließen.
• Kommunen und öffentliche Unternehmen sollten festlegen, wer nationale und gegebenenfalls europäische Koordinierungsstellen kontaktiert.
• Für die Geschäftsleitung ist nicht nur die technische Reaktion relevant. Auch verspätete oder unvollständige Eskalation kann später zum Organisations- und Haftungsthema

Cyber-Risk Wochenbrief – 21. September 2026

Zeitraum: 15.–21. September 2026.

Die wichtigste Erkenntnis dieser Woche: Ein Cyberangriff muss Daten weder löschen noch verschlüsseln, um einen erheblichen Schaden zu verursachen. Das zeigt der Datenschutzvorfall an der LMU München besonders deutlich.

1. LMU München: sensible Daten vermutlich kopiert

Bestätigte Fakten: Die Ludwig-Maximilians-Universität München identifizierte den Vorfall am 16. September 2026 und informierte am 19. September öffentlich darüber. Ein Angreifer konnte auf Stammdaten aus dem Immatrikulationssystem zugreifen. Die LMU muss derzeit davon ausgehen, dass Daten auch abgerufen wurden.

Möglicherweise betroffen sind:

• Namen, Geburtsdaten und Anschriften
• Telefonnummern und E-Mail-Adressen
• IBAN und Kontoinhaber
• Krankenversicherungsnummern
• BAföG-Nummern
• Informationen zu früheren Abschlüssen
• in Einzelfällen besonders geschützte Daten nach Art. 9 DSGVO, etwa zu Beurlaubungsgründen

Die Daten wurden nach bisherigem Stand weder verändert noch gelöscht. Prüfungsinformationen, konkrete Studieninhalte und individuelle Leistungen seien nicht betroffen. Die LMU isolierte das betroffene System, schaltete vorsorglich weitere Systeme ab und richtete einen vom Präsidenten geleiteten Koordinierungsstab ein. 

Einordnung: Das ist ein gutes Beispiel für einen reinen Vertraulichkeitsschaden. Die Originaldaten sind weiterhin vorhanden – trotzdem entsteht ein erheblicher Cyber- und Datenschutzschaden. Besonders kritisch ist die Kombination aus Identitäts-, Kontakt-, Bank- und Versicherungsdaten. Damit lassen sich äußerst glaubwürdige Betrugsversuche konstruieren.

Konsequenzen für Makler und Kunden:

• Cyberdeckungen dürfen nicht nur auf Verschlüsselung und Betriebsunterbrechung geprüft werden.
• Wichtig sind Forensik, Datenschutzberatung, Betroffeneninformation, Callcenter, Darknet-Monitoring, Identitätsschutz und Krisenkommunikation.
• Der mögliche Missbrauch kann erst Wochen oder Monate später auftreten.
• Vorsorglich abgeschaltete, nachweislich nicht kompromittierte Systeme können zusätzliche Betriebsunterbrechungen verursachen. Die Deckung solcher Präventionsmaßnahmen sollte ausdrücklich geprüft werden.
• Bei öffentlichen Einrichtungen, Bildungsträgern und Gesundheitsorganisationen muss festgestellt werden, welche besonders sensiblen Daten gemeinsam in einem Fachverfahren gespeichert werden.
• Für die Organhaftung ist wesentlich, ob nach Entdeckung angemessen eskaliert, dokumentiert und beaufsichtigt wurde. Der Angriff allein beweist keine Pflichtverletzung.

2. Cisco Secure Email Gateway: aktiv ausgenutzte kritische Schwachstelle

Bestätigte Fakten: Österreichs staatliches Informationsportal Onlinesicherheit veröffentlichte am 15. September 2026eine Warnung zu CVE-2026-76461. Die Schwachstelle betrifft Cisco Secure Email Gateway, erreicht einen CVSS-Wert von 9,8 und wird laut Cisco bereits ausgenutzt.

Nicht authentifizierte Angreifer können aus der Ferne Befehle mit Root-Rechten auf dem zugrunde liegenden System ausführen. Updates sind verfügbar. 

Daneben wurde am 16. September auch eine aktiv ausgenutzte Authentifizierungsumgehung in Cisco Identity Services Engine bekannt. Ein Angreifer kann dabei ohne vorherige Anmeldung auf die Verwaltungsoberfläche zugreifen. 

Einordnung: Hier sind ausgerechnet Systeme betroffen, die E-Mail-Verkehr und digitale Identitäten schützen sollen. Sicherheitsprodukte sind besonders wertvolle Angriffsziele, weil sie privilegierte Zugänge besitzen und an zentralen Stellen des Netzwerks stehen.

Konsequenzen für Makler und Kunden:

• Sofort feststellen, ob Cisco Secure Email Gateway oder Cisco ISE eingesetzt wird – gegebenenfalls auch durch externe IT-Dienstleister.
• Installation der Updates und anschließende Kompromittierungsprüfung dokumentieren.
• Nicht nur den Hersteller, sondern auch Managed-Service-Provider und betreuende Systemhäuser einbeziehen.
• Bei bereits beobachteter Ausnutzung reicht die Aussage „Patch wurde installiert“ nicht zwingend aus. Es muss auch geprüft werden, ob der Angriff möglicherweise vorher stattgefunden hat.
• Cyberpolicen auf Incident-Response-Leistungen ohne bereits sichtbaren Schaden sowie auf Dienstleister- und Lieferkettenvorfälle prüfen.
• Für NIS2-Unternehmen gehört die dokumentierte Reaktion auf eine konkrete, aktiv ausgenutzte Schwachstelle zur Managementaufsicht.

3. NIS2 in Österreich: Lieferketten werden zum zentralen Thema

Die Wirtschaftskammer Wien wies in der Berichtswoche nochmals auf das Inkrafttreten des NISG 2026 am 1. Oktoberhin. Nach den dort veröffentlichten Studienergebnissen erfolgt bereits jeder fünfte Cyberangriff in Wien über die Lieferkette, während erst 19 Prozent der befragten Unternehmen entsprechende Sicherheitsmaßnahmen etabliert haben. 

NIS2 wird kleinere Unternehmen nicht nur über eine unmittelbare gesetzliche Betroffenheit erreichen. Größere Auftraggeber, Kommunen und regulierte Unternehmen werden Sicherheitsanforderungen vertraglich an ihre Dienstleister weitergeben.

Cyber-Risk Wochenbrief – 15. September 2026

Diese Woche dominieren zwei operative Entwicklungen: Die ersten Meldepflichten des Cyber Resilience Act sind tatsächlich gestartet, und zwei bereits ausgenutzte Windows-Lücken erhöhen den Handlungsdruck beim Patchmanagement.

1. Cyber Resilience Act: Die Meldeplattform ist jetzt operativ

Bestätigte Fakten: ENISA nahm am 11. September 2026 die erste Betriebsstufe der Single Reporting Platform in Betrieb. Seit diesem Tag müssen Hersteller aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle ihrer digitalen Produkte über diese Plattform melden. Die Fristen betragen grundsätzlich 24 Stunden für die Frühwarnungund 72 Stunden für die vollständige Meldung. ENISA stellt inzwischen auch Benutzerhandbücher, Erklärvideos, FAQs und einen Helpdesk bereit. ENISA-Mitteilung vom 11. September, EU-Kommission zu Verfahren und Fristen

Wichtig: Die Meldepflicht betrifft auch Produkte, die bereits vor der vollständigen Anwendung der übrigen CRA-Pflichten im Dezember 2027 auf dem EU-Markt bereitgestellt wurden.

Einordnung: Aus einer angekündigten Verpflichtung ist ein operativer Prozess geworden. Hersteller müssen jetzt nicht nur Sicherheitsvorfälle bearbeiten, sondern innerhalb weniger Stunden rechtlich belastbar entscheiden, ob eine CRA-Meldung erforderlich ist.

Konsequenz für Makler und Kunden:

• Bei Software-, Geräte- und Maschinenherstellern prüfen, ob Produktverzeichnis, Einstufungsprozess, Meldeverantwortung und Vertretungsregelung tatsächlich eingerichtet sind.
• Cyber-, Produkthaftpflicht-, Rückruf- und D&O-Deckung gemeinsam betrachten: Ein Vorfall kann Eigenschäden, Kundenansprüche, Behördenverfahren und Vorwürfe gegen die Geschäftsleitung auslösen.
• Deckung für externe Meldeberatung, Forensik und Krisenkommunikation prüfen. Behördliche Geldbußen sind davon getrennt und nicht automatisch versicherbar.
• Firmen und Kommunen sollten Lieferanten vertraglich verpflichten, sie unverzüglich über CRA-Meldungen, betroffene Produkte und erforderliche Gegenmaßnahmen zu informieren.
• Für den Makler selbst besteht Handlungsbedarf, wenn unter eigenem Namen vertriebene Software, Kundenportale oder andere digitale Produkte als Herstellerleistung einzuordnen sind.

2. Zwei aktiv ausgenutzte Windows-Lücken

Bestätigte Fakten: Microsoft veröffentlichte am 8. September 2026 Sicherheitsupdates für zwei bereits aktiv ausgenutzte Schwachstellen:

• CVE-2026-85880: Speicherfehler in Windows ALPC, der einem bereits angemeldeten Angreifer lokale Rechteausweitung ermöglicht.
• CVE-2026-81963: Schwachstelle im Windows Update Stack, durch die ein lokaler Angreifer über manipulierte Verknüpfungen höhere Rechte erlangen kann.

Beide Schwachstellen sind insbesondere als zweite Angriffsstufe relevant: Nach dem ersten Zugang können Angreifer ihre Berechtigungen erweitern und sich tiefer im System festsetzen. Microsoft zu CVE-2026-85880, Microsoft zu CVE-2026-81963, CISA-Katalog aktiv ausgenutzter Schwachstellen

Einordnung: Eine lokale Rechteausweitung ist kein selbstständiger Einbruch durch die Eingangstür. In Kombination mit Phishing, gestohlenen Zugangsdaten oder einer anderen Einstiegslücke kann sie aber aus einem einzelnen kompromittierten Konto einen weitreichenden Angriff machen.

Konsequenz für Makler und Kunden:

• Kunden sollten die Sicherheitsupdates priorisiert installieren und die erfolgreiche Verteilung auf Servern und Arbeitsplatzgeräten dokumentieren.
• Nicht nur nach einem Patchplan fragen, sondern nach Nachweisen über tatsächliche Installation, Ausnahmen und Kompensationsmaßnahmen.
• Bei Cyberversicherungen können nachweislich ignorierte, aktiv ausgenutzte Schwachstellen Diskussionen über Risikofragen, Obliegenheiten und Schadenminderung verschärfen.
• Kommunen müssen besonders Geräte außerhalb der zentralen Verwaltung, Außenstellen und von Dienstleistern betreute Systeme berücksichtigen.
• Für die Organhaftung zählt nicht, dass jede Schwachstelle sofort geschlossen wird, sondern ob bekannte akute Risiken angemessen priorisiert, eskaliert und dokumentiert wurden.

3. Berlin richtet zentrale Anlaufstelle für Betroffene ein

Bestätigte Fakten: Das Land Berlin eröffnete am 10. September 2026 eine zentrale Informations- und Kontaktstelle für Bürger, Unternehmen und Beschäftigte, die vom veröffentlichten Datenbestand betroffen sein könnten. Die individuelle Auswertung und risikobasierte Benachrichtigung dauern an. Berlin warnt ausdrücklich vor Identitätsmissbrauch und betrügerischen Nachrichten, die sich als Behördenkommunikation ausgeben. Senatsmitteilung vom 10. September, Informationsportal für Betroffene

Einordnung: Die Entwicklung bestätigt die im letzten Brief beschriebene zweite Krisenphase. Nach Forensik und Wiederanlauf entstehen nun über längere Zeit Beratungs-, Benachrichtigungs- und Betrugsfolgekosten.

Konsequenz für Makler und Kunden: Bei der Deckungsprüfung sollten Betroffenenhotline, Identitätsschutz, Datenschutzberatung, fortlaufende Kommunikation und personelle Mehrkosten berücksichtigt werden. Für Kommunen ist eine zentrale, glaubwürdige Informationsstelle zugleich eine Sicherheitsmaßnahme: Sie erschwert es Angreifern, das Informationsvakuum für Folge-Phishing zu nutzen.

„Cyber-Compliance scheitert selten am Meldeportal. Sie scheitert an ungeklärter Verantwortung davor.“

Cyber-Risk Wochenbrief – 7. September 2026

Zeitraum: 1.–7. September 2026. Zwei Entwicklungen sind diese Woche besonders relevant: In Berlin ist aus der Erpressungsdrohung eine tatsächliche Veröffentlichung sensibler Daten geworden. Gleichzeitig treten in wenigen Tagen erstmals operative Meldepflichten des EU Cyber Resilience Act in Kraft.

1. Berlin: Gestohlene Daten und Zugangsdaten veröffentlicht

Bestätigte Fakten: Am 4. September 2026 bestätigte das Land Berlin die Veröffentlichung gestohlener Verwaltungsdaten. Daraufhin wurde am 5. September eine zentrale Steuerungseinheit unter Leitung des Chief Digital Officer eingerichtet. Sie koordiniert die Auswertung, die Information Betroffener sowie die Weitergabe sicherheitsrelevanter Erkenntnisse an Landes- und Bundesstellen.

In der Nacht zum 6. September veröffentlichten die Täter ein weiteres Datenpaket, das laut Senatskanzlei auch Zugangsdaten enthält. Schutzmaßnahmen wurden deshalb nachgeschärft; dadurch können erneut Einschränkungen bei Fachverfahren der Bauverwaltung entstehen. Mitteilung vom 4. September, Steuerungseinheit vom 5. September, weiteres Datenpaket vom 6. September

Einordnung: Der Schaden entwickelt sich weiter, obwohl die betroffenen Verwaltungen bereits wieder an das Landesnetz angeschlossen waren. Veröffentlichte Zugangsdaten können neue Angriffe, Identitätsmissbrauch, gezieltes Phishing und Angriffe auf verbundene Systeme ermöglichen. Schutzmaßnahmen nach einem Leak können daher selbst erneut Betriebsunterbrechungen auslösen.

Konsequenz für Makler und Kunden:

• Nach einem Datenabfluss reicht es nicht, Passwörter einzelner Konten zu ändern. Zu prüfen sind auch technische Schlüssel, Dienstkonten, Schnittstellen, Zertifikate, Fernzugänge und Zugangsdaten externer Dienstleister.
• Cyberpolicen sollten Kosten für fortlaufende Forensik, Credential-Rotation, Krisenkommunikation, Betroffeneninformation und präventive Systemabschaltungen erfassen.
• Bei Betriebsunterbrechung ist zu klären, ob auch eine vorsorgliche Abschaltung beziehungsweise Einschränkung aufgrund eines bereits erkannten Sicherheitsrisikos gedeckt ist.
• Kommunale Notfallpläne müssen eine zweite Krisenphase nach dem Wiederanlauf vorsehen: Veröffentlichung, Missbrauch und Folgeschäden können erst Wochen später beginnen.
• Für eine mögliche Organhaftung ist entscheidend, ob nach Bekanntwerden der Veröffentlichung angemessen reagiert und jede wesentliche Entscheidung dokumentiert wurde. Die Datenveröffentlichung allein beweist noch keine Pflichtverletzung.

2. EU Cyber Resilience Act: Meldepflichten starten am 11. September

Bestätigte Fakten: Ab 11. September 2026 gilt Artikel 14 des Cyber Resilience Act. Hersteller von Produkten mit digitalen Elementen müssen aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle melden.

Vorgesehen sind:

• Frühwarnung innerhalb von 24 Stunden
• vollständige Meldung innerhalb von 72 Stunden
• Abschlussbericht bei Schwachstellen spätestens 14 Tage nach Verfügbarkeit einer Gegenmaßnahme beziehungsweise bei schweren Vorfällen innerhalb eines Monats

Die Meldung erfolgt über die von ENISA betriebene Single Reporting Platform. Die übrigen wesentlichen Produktpflichten des CRA gelten überwiegend erst ab Dezember 2027. EU-Kommission zu den Meldepflichten, ENISA zur Meldeplattform, Verordnung (EU) 2024/2847

Einordnung: Erstmals wird das Wissen über eine aktiv ausgenutzte Produktlücke selbst zum fristgebundenen regulatorischen Ereignis. Betroffen sein können nicht nur klassische Gerätehersteller, sondern auch Anbieter kommerzieller Software und digitaler Komponenten.

Konsequenz für Makler und Kunden:

• Bei Herstellern und Softwareanbietern sofort klären, wer über die Einstufung eines Vorfalls entscheidet und wer die 24-Stunden-Meldung auslöst.
• Produkthaftpflicht, Cyber-, Rückruf- und D&O-Deckung gemeinsam betrachten. Ein Vorfall kann gleichzeitig Produktfehler, Eigenschaden, Kundenschaden und Managementvorwurf auslösen.
• Deckungsfragen zu behördlichen Verfahren, Meldeberatung, Krisenkosten und Ansprüchen von Abnehmern ausdrücklich prüfen.
• Kommunen und Unternehmen sollten von Anbietern vertraglich verlangen, über relevante CRA-Meldungen und verfügbare Sicherheitsmaßnahmen unverzüglich informiert zu werden.
• Der Maklerbetrieb selbst fällt nicht allein wegen der Nutzung von Software unter die Herstellerpflichten. Relevant wird der CRA insbesondere bei selbst entwickelten oder unter eigenem Namen angebotenen digitalen Produkten.

3. EU stellt 96 Millionen Euro für Cyberresilienz bereit

Bestätigte Fakten: Das Europäische Kompetenzzentrum für Cybersicherheit eröffnete am 1. September 2026Förderaufrufe über insgesamt bis zu 96 Millionen Euro. Davon sind unter anderem 20 Millionen Euro für KI-gestützte Cyberlösungen für KMU und 15 Millionen Euro für koordinierte Sicherheitstests kritischer Einrichtungen vorgesehen. Einreichungen sind bis 14. Januar 2027 möglich. ECCC-Ausschreibung vom 1. September

Einordnung: Das ist kein unkomplizierter Zuschuss für den Kauf einer einzelnen Cyberversicherung. Für öffentliche Stellen, Technologiepartner und geeignete Konsortien können jedoch geförderte Penetrationstests, Übungen und Resilienzprojekte entstehen.

Makler-Implikation: Bei größeren Kommunal- und Unternehmenskunden lohnt sich die Frage, ob geplante Cyberübungen oder Resilienzprojekte mit IT-Partnern förderfähig strukturiert werden können. Versicherung und Förderung erfüllen unterschiedliche Aufgaben: Förderung finanziert Prävention, Versicherung trägt definierte Restrisiken.

Cyber-Risk Wochenbrief – 31. August 2026

Zeitraum: 25.–31. August 2026. Die wichtigste neue Erkenntnis: Wieder funktionierende Systeme bedeuten noch kein Ende der Cyberkrise.

1. Berlin: Datenabfluss bestätigt – jetzt folgt die Erpressung

Bestätigte Fakten: Gegenüber dem letzten Brief hat sich die Lage wesentlich verändert. Am 26. August bestätigte die Senatskanzlei weitere Datenabflüsse. Am 28. August bestätigte sie die Erpressung und konkretisierte den Ereigniszeitraum auf 7.–12. August 2026, also vor der Netztrennung am 14. August. Inhalt und Umfang werden weiter untersucht; personenbezogene und andere nicht öffentliche Daten können betroffen sein. Forensik und Notfallstab bleiben aktiv. Senatsmitteilung vom 26. August, Senatsmitteilung vom 28. August

Nicht amtlich bestätigt sind in diesen Mitteilungen die kursierenden Angaben zu Datenmenge, Lösegeldhöhe und Tätergruppe.

Einordnung: Der Fall entwickelt sich vom Verfügbarkeitsproblem zum längerfristigen Vertraulichkeits- und Erpressungsschaden. Die frühere Aussage „keine Erkenntnisse über Datenabfluss“ war ein damaliger Ermittlungsstand, keine Entwarnung.

Konsequenz für die Maklerpraxis:

• Bei Firmen und Kommunen zwei getrennte Maßnahmenpläne vorsehen: Betrieb wiederherstellen und Datenabfluss bewältigen.
• Cyberpolicen gezielt auf länger laufende Forensik, Datenschutzberatung, Betroffeneninformation, Krisenkommunikation und Anspruchsabwehr prüfen – auch nach dem technischen Wiederanlauf.
• Im Schadenprozess neue Erkenntnisse fortlaufend an Versicherer und zuständige Berater weitergeben. Für eine mögliche Organhaftungsprüfung sind insbesondere dokumentierte Entscheidungen, Informationsstände und Eskalationen relevant; der Vorfall allein belegt kein Organverschulden.

2. Finanzstabilitätsrat: KI-Cyberrisiken verlangen belastbare Wiederherstellung

Bestätigte Fakten: Der Financial Stability Board veröffentlichte am 31. August 2026 eine Warnung seines Vorsitzenden Andrew Bailey vor den Cyberfähigkeiten leistungsfähiger KI-Modelle. Anlass ist das G20-Finanzministertreffen am 31. August und 1. September. Finanzunternehmen sollen insbesondere Reaktions- und Wiederherstellungsfähigkeiten sowie die Resilienz kritischer Technologie- und gemeinsamer Dienstleister sicherstellen. Das ist eine aufsichtsstrategische Warnung, keine neue EU-Verordnung oder DORA-Novelle. FSB-Mitteilung vom 31. August

Einordnung: Der Beratungsfokus sollte nicht bei „KI macht Phishing überzeugender“ stehen bleiben. Entscheidend sind auch gemeinsame Abhängigkeiten: Ein ausgefallener Dienstleister kann mehrere zentrale Prozesse gleichzeitig treffen.

Konsequenz für die Maklerpraxis:

• Im eigenen Maklerbetrieb und bei Firmenkunden klären: Welche Abläufe hängen gleichzeitig an demselben Cloud-, Identitäts- oder IT-Dienstleister?
• Wiederherstellung praktisch prüfen lassen: Sind Backups, Notfallkontakte und Administrationszugänge noch nutzbar, wenn das zentrale Benutzerkonto-System ausfällt?
• Deckung für Betriebsunterbrechungen durch externe Dienstleister auf Auslöser, Wartezeiten, Sublimits und Ausschlüsse prüfen. Für Kommunen stehen dabei zusätzliche Aufwendungen zur Fortführung von Bürgerleistungen im Vordergrund.

3. Österreich/NIS2: Neue Behördeninformation, keine neue Rechtslage

Das Unternehmensserviceportal betont in seiner Aktualisierung vom 27. August 2026 die mittelbare Betroffenheit kleiner Unternehmen über Lieferketten. Bezugspunkt ist das Inkrafttreten des NISG 2026 am 1. Oktober. Sicherheitsanforderungen und Nachweise können vertraglich weitergegeben werden, auch wenn ein Zulieferer nicht selbst unmittelbar gesetzlich verpflichtet ist.

Beratungsfolge: Bei KMU zusätzlich fragen: „Welche Sicherheitszusagen verlangen eure wichtigsten Auftraggeber?“ Bei Kommunalbetrieben entsprechende Anforderungen an IT- und Fachverfahrensanbieter prüfen. Vertragliche Zusagen, tatsächliche Sicherheitsmaßnahmen und Versicherungsumfang sollten zusammenpassen. Mittelbare Betroffenheit bedeutet nicht automatisch unmittelbare NIS2-Pflichten.

Berlin zeigt, warum technischer Wiederanlauf und bewältigter Schaden zwei verschiedene Dinge sind. Gestohlene Daten bleiben gestohlen – auch wenn alle Bildschirme wieder funktionieren. Deshalb gehören Datenschutz, Krisenkommunikation und passende Versicherungsdeckung genauso zur Vorbereitung wie Backups.

„Ein Backup bringt Daten zurück. Es holt sie nicht vom Angreifer zurück.“

„Wenn Wohngeld nicht ausgezahlt werden kann, ist Cybersecurity keine IT-Frage mehr.“

Cyber-Risk Wochenbrief – 24. August 2026

Beobachtungszeitraum: 18.–24. August 2026. Drei Entwicklungen haben unmittelbaren Praxiswert.

1. Berliner Cyberangriff blockiert zeitweise Wohngeld

Bestätigte Fakten: Der Angriff wurde am 14. August entdeckt und am 17. August öffentlich bekannt. Zwei Senatsverwaltungen wurden vorsorglich vom Berliner Landesnetz getrennt. Dadurch waren unter anderem Wohngeldanträge und zeitweise Auszahlungen an mehr als 50.000 Haushalte sowie Leistungen für Kinder und Jugendliche betroffen. Nach Angaben des Senats lagen am 19. August keine Erkenntnisse über den Abfluss sensibler Daten vor.

Seit 23. August sind die Verwaltungen wieder angeschlossen und grundsätzlich arbeitsfähig; vereinzelte Verzögerungen bleiben möglich. Die IT-Systeme werden verstärkt überwacht. Lageinformation vom 19. August, Wiederanlauf vom 23. August

Einordnung: Der wesentliche Schaden lag nicht primär im Datenverlust, sondern in der Unterbrechung gesetzlicher Leistungen. Ein Cybervorfall wird damit unmittelbar zum sozialen und politischen Krisenfall.

Makler- und Kundenfolgen:

• Kommunale Notfallpläne müssen priorisieren, welche Zahlungen und Bürgerleistungen auch ohne Fachverfahren fortgeführt werden müssen.
• Cyberdeckungen öffentlicher Einrichtungen sollten Mehrkosten, Forensik, Wiederherstellung, Krisenkommunikation und externe Ersatzverfahren abbilden – nicht nur klassischen Ertragsausfall.
• Zu prüfen sind Abhängigkeiten zwischen Landes-, Gemeinde- und Bezirksverfahren: Ein technisch nicht selbst betroffener Rechtsträger kann dennoch handlungsunfähig werden.
• Für die D&O- beziehungsweise Organhaftung zählt, ob bekannte Abhängigkeiten, Wiederanlaufziele und Notverfahren dokumentiert beaufsichtigt wurden.

2. AK-Angriff weitet sich auf Salzburger Mitgliederdaten aus

Bestätigte Fakten: Der Angriff auf die AK Oberösterreich ereignete sich am 10. August. Die AK veröffentlichte am 16. August, dass Täter auf Teile ihrer Systeme und auf Daten zugegriffen hatten; wegen gezielter Spurenverwischung ließ sich das genaue Ausmaß zunächst nicht bestimmen. Mitglieder werden gemäß Art. 34 DSGVO postalisch informiert.

Am 17. August stellte sich heraus, dass auch Daten Salzburger Mitglieder betroffen sein könnten. Hintergrund ist ein gemeinsames Mitgliederverwaltungssystem, in dem die AK Oberösterreich bestimmte Verarbeitungen für Salzburg übernimmt. Die AK Salzburg veröffentlichte dies am 18. August. AK Oberösterreich, Veröffentlichung vom 16. August, AK Salzburg, Veröffentlichung vom 18. August

Einordnung: Das ist ein österreichisches Musterbeispiel für ein Risiko, das zwischen klassischem Dienstleistervorfall und gemeinsamer Infrastruktur liegt. Eine organisatorische Effizienzlösung erweitert gleichzeitig den möglichen Schadenradius.

Makler- und Kundenfolgen:

• Bei Firmen und Körperschaften müssen nicht nur externe Cloudanbieter, sondern auch gemeinsam betriebene Fachverfahren und Datenbestände erfasst werden.
• Cyberversicherungen auf Deckung für Datenschutzbenachrichtigung, Callcenter, Identitätsmissbrauch, Phishing-Folgeschäden und externe Forensik prüfen.
• Entscheidend sind Kosten und Zuständigkeiten, wenn ein Systembetreiber Daten mehrerer Rechtsträger verarbeitet.
• Organhaftungsrelevant wird, ob Datenflüsse, Verantwortlichkeiten, Kontrollrechte und Eskalationswege vor dem Vorfall transparent dokumentiert waren.

3. Aktive Bedrohung für Siemens-S7-Steuerungen

Bestätigte Fakten: CISA, NSA, FBI, US-Energiebehörde und EPA veröffentlichten am 19. August eine gemeinsame Warnung vor aktiver Angriffsvorbereitung gegen internetoffene oder unzureichend segmentierte Siemens-S7-Steuerungen.

Betroffen sind die Reihen S7-200, S7-300, S7-400, S7-1200 und S7-1500 einschließlich sicherheitsgerichteter F-Modelle. Angreifer verwenden KI-generierte Skripte und frei verfügbare Bibliotheken, um Steuerungen zu finden, auszulesen und möglicherweise Steuerungslogik zu verändern. Die bislang beschriebenen Aktivitäten richten sich gegen US-Anlagen; Angriffe auf österreichische oder deutsche Systeme bestätigt die Warnung nicht. Gemeinsames Advisory AA26-231A vom 19. August

Einordnung: Wegen der Verbreitung dieser Steuerungen ist die Angriffsmethode auch für Industrie, Energie-, Wasser- und Kommunalbetriebe in Österreich und Deutschland relevant. KI senkt hier nicht nur die Kosten für Phishing, sondern auch für die Entwicklung industrieller Angriffswerkzeuge.

Makler- und Kundenfolgen:

• Kunden sollten sofort S7-Bestände, Firmwarestände, Internet-Erreichbarkeit, Port 102 und Fernzugänge von Integratoren prüfen.
• Cyberpolicen auf OT-Einschluss, Sachschäden, Betriebsunterbrechung ohne IT-Verschlüsselung sowie Ausschlüsse für Maschinen- und Personenschäden kontrollieren.
• Sach-, Maschinenbruch-, Betriebsunterbrechungs- und Cyberversicherung müssen gemeinsam betrachtet werden; gerade bei manipulierten Steuerungen drohen Deckungslücken an den Spartengrenzen.
• Für NIS2-Unternehmen ist die dokumentierte Reaktion auf eine konkrete Hersteller- und Behördenwarnung Teil einer verteidigungsfähigen Managementaufsicht.

„Cyberresilienz beginnt dort, wo der Bildschirm schwarz bleibt – aber der öffentliche Auftrag trotzdem erfüllt wird.“

1. Ransomware legt öffentliche Einrichtung mit sieben Standorten lahm

Bestätigte Fakten: Die Stiftung Brandenburgische Gedenkstätten meldete am 11. August einen Ransomware-Angriff, der bereits am 5. August festgestellt worden war. Betroffen sind die Geschäftsstelle und sieben Gedenkstätten. Teile der Systeme und Daten wurden verschlüsselt; nach aktuellem Stand muss auch von einem Datenabfluss ausgegangen werden. Die gesamte IT wurde getrennt, ein BSI-empfohlener Forensikdienstleister eingeschaltet und auf Ausweichprozesse umgestellt. Der Besuchsbetrieb läuft weiter, während E-Mail, Telefonie und Buchungsprozesse beeinträchtigt sind. Mitteilung der Stiftung

Einordnung: Das ist ein nahezu mustergültiges Beispiel dafür, dass Betriebsfortführung und IT-Wiederherstellung zwei unterschiedliche Aufgaben sind. Die Kernleistung kann weiterlaufen, während Verwaltung und Kommunikation digital ausfallen.

Makler-Implikation:

• Bei Kommunen und öffentlichen Einrichtungen nicht nur nach Backups fragen, sondern nach tatsächlich getesteten Ausweichprozessen.
• Cyberdeckung auf Forensik, Wiederherstellung, Datenabfluss, Betriebsunterbrechung und Krisenkommunikation prüfen.
• Rechnungsbetrug nach einem Datenabfluss ausdrücklich mitdenken: Gestohlene Verträge und Partnerdaten ermöglichen sehr überzeugende Folgeangriffe.
• Kunden sollten alternative Kontaktwege und Zahlungsfreigaben bereits im Notfallplan hinterlegt haben.

2. Drei aktiv ausgenutzte Schwachstellen – darunter Windows und Cisco-Firewalls

Bestätigte Fakten: CISA nahm am 11. August drei Schwachstellen wegen nachgewiesener aktiver Ausnutzung in den KEV-Katalog auf:

• CVE-2026-20349 – Cisco ASA und Firepower Threat Defense
• CVE-2026-68820 – Windows Ancillary Function Driver for WinSock
• CVE-2026-72898 – Metabase SQL Injection

CISA empfiehlt Organisationen generell, KEV-Schwachstellen bei der Behebung zu priorisieren. CISA-Warnung vom 11. August

Einordnung: Besonders relevant ist die Kombination aus internetnaher Sicherheitsinfrastruktur, verbreiteten Windows-Systemen und einem Analysewerkzeug, das häufig sensible Unternehmensdaten verarbeitet. „Firewall vorhanden“ bedeutet daher nicht automatisch „Firewall sicher“.

Makler-Implikation: Bei laufenden Ausschreibungen oder Verlängerungen sollte kurzfristig erhoben werden, ob die betroffenen Produkte eingesetzt werden und ob Patch-, Workaround- und Kompromittierungsprüfungen dokumentiert sind. Die bloße Zusage „Updates werden regelmäßig eingespielt“ ist für aktiv ausgenutzte Lücken zu unbestimmt.

3. KI-Betrug: Cyberversicherung ist nicht automatisch die richtige Deckung

Bestätigte Fakten: Der GDV warnte am 12. August vor zunehmend überzeugendem Voice-Cloning und KI-Avataren. Entscheidend ist seine versicherungstechnische Abgrenzung: Löst ein Mitarbeiter aufgrund einer gefälschten Stimme oder eines Deepfake-Meetings selbst eine Zahlung aus, ist regelmäßig die Vertrauensschadenversicherung einschlägig. Eine Cyberversicherung kommt typischerweise erst dann ins Spiel, wenn Täter Systeme kompromittieren und dort technische Schäden verursachen. GDV-Beitrag vom 12. August

Einordnung: „KI-Betrug“ ist kein einheitliches Versicherungsereignis. Derselbe Angriff kann Vertrauensschaden, Cyber-, Haftpflicht- und möglicherweise D&O-Fragen auslösen.

Makler-Implikation: Cyber- und Vertrauensschadenversicherung gemeinsam prüfen. Besonders wichtig sind:

• Fake-President- und Social-Engineering-Definitionen
• Überweisungen durch berechtigte Mitarbeiter
• Rückruf- und Vier-Augen-Vorgaben als Obliegenheiten
• Sublimits und Selbstbehalte
• Abgrenzung zwischen Vermögensabfluss und anschließendem Systemeinbruch

4. NIS2 und D&O: Österreich nähert sich dem 1. Oktober

Bestätigte Fakten: Das österreichische NISG 2026 tritt am 1. Oktober 2026 in Kraft. Leitungsorgane müssen die Einhaltung der Risikomanagementmaßnahmen sicherstellen und beaufsichtigen sowie speziell für sie gestaltete Cybersicherheitsschulungen absolvieren. Laut WKO sind keine persönlichen Verwaltungsstrafen für Leitungsorgane vorgesehen; bei sorgfaltswidrigem Verhalten können jedoch Schadenersatzansprüche entstehen. Gesetz im RIS, WKO-FAQ zum NISG 2026

In Deutschland weist das BSI aktuell ausdrücklich darauf hin, dass die Registrierungsfrist bereits abgelaufen ist. Bis 30. Juni waren 17.729 Unternehmen registriert; das BSI geht von rund 29.500 betroffenen Einrichtungen aus. BSI-Information

Einordnung: Ein Cyberangriff begründet nicht automatisch persönliche Geschäftsführerhaftung. Kritisch wird es, wenn Entscheidungen, Aufsicht, Schulungen und Reaktionen auf bekannte Mängel nicht nachvollziehbar dokumentiert sind.

Makler-Implikation: Jetzt ist der richtige Zeitpunkt für einen kombinierten Check aus NIS2-Betroffenheit, dokumentierter Managemententscheidung, Cyberversicherung und D&O-Bedingungen. Die Police ersetzt die Governance nicht – eine belastbare Governance verbessert aber Versicherbarkeit und Verteidigungsposition.

DORA und FIDA

Im Berichtszeitraum gab es keine neue offizielle Maßnahme, die eine unmittelbare Anpassung der Beratungspraxis auslöst.

Bei DORA bleibt der Schwerpunkt auf nachweisbarer operativer Resilienz und dem Management von ICT-Drittdienstleistern. Der erste DORA-Vorfallsbericht der europäischen Aufsichtsbehörden zeigte bereits, dass Systemausfälle und externe Ereignisse die wichtigsten Auslöser waren; nur zehn Prozent der gemeldeten Großvorfälle waren unmittelbar Cyberangriffe. EIOPA/ESAs-Bericht

Bei FIDA liegt weiterhin kein final beschlossenes Regelwerk vor. In der Kommunikation mit Kunden sollte FIDA deshalb als strategisch relevante Open-Finance-Entwicklung, nicht als bereits feststehende aktuelle Compliancepflicht dargestellt werden.