Wochenbrief

Cyber-Risk Wochenbrief – 31. August 2026

Zeitraum: 25.–31. August 2026. Die wichtigste neue Erkenntnis: Wieder funktionierende Systeme bedeuten noch kein Ende der Cyberkrise.

1. Berlin: Datenabfluss bestätigt – jetzt folgt die Erpressung

Bestätigte Fakten: Gegenüber dem letzten Brief hat sich die Lage wesentlich verändert. Am 26. August bestätigte die Senatskanzlei weitere Datenabflüsse. Am 28. August bestätigte sie die Erpressung und konkretisierte den Ereigniszeitraum auf 7.–12. August 2026, also vor der Netztrennung am 14. August. Inhalt und Umfang werden weiter untersucht; personenbezogene und andere nicht öffentliche Daten können betroffen sein. Forensik und Notfallstab bleiben aktiv. Senatsmitteilung vom 26. August, Senatsmitteilung vom 28. August

Nicht amtlich bestätigt sind in diesen Mitteilungen die kursierenden Angaben zu Datenmenge, Lösegeldhöhe und Tätergruppe.

Einordnung: Der Fall entwickelt sich vom Verfügbarkeitsproblem zum längerfristigen Vertraulichkeits- und Erpressungsschaden. Die frühere Aussage „keine Erkenntnisse über Datenabfluss“ war ein damaliger Ermittlungsstand, keine Entwarnung.

Konsequenz für die Maklerpraxis:

• Bei Firmen und Kommunen zwei getrennte Maßnahmenpläne vorsehen: Betrieb wiederherstellen und Datenabfluss bewältigen.
• Cyberpolicen gezielt auf länger laufende Forensik, Datenschutzberatung, Betroffeneninformation, Krisenkommunikation und Anspruchsabwehr prüfen – auch nach dem technischen Wiederanlauf.
• Im Schadenprozess neue Erkenntnisse fortlaufend an Versicherer und zuständige Berater weitergeben. Für eine mögliche Organhaftungsprüfung sind insbesondere dokumentierte Entscheidungen, Informationsstände und Eskalationen relevant; der Vorfall allein belegt kein Organverschulden.

2. Finanzstabilitätsrat: KI-Cyberrisiken verlangen belastbare Wiederherstellung

Bestätigte Fakten: Der Financial Stability Board veröffentlichte am 31. August 2026 eine Warnung seines Vorsitzenden Andrew Bailey vor den Cyberfähigkeiten leistungsfähiger KI-Modelle. Anlass ist das G20-Finanzministertreffen am 31. August und 1. September. Finanzunternehmen sollen insbesondere Reaktions- und Wiederherstellungsfähigkeiten sowie die Resilienz kritischer Technologie- und gemeinsamer Dienstleister sicherstellen. Das ist eine aufsichtsstrategische Warnung, keine neue EU-Verordnung oder DORA-Novelle. FSB-Mitteilung vom 31. August

Einordnung: Der Beratungsfokus sollte nicht bei „KI macht Phishing überzeugender“ stehen bleiben. Entscheidend sind auch gemeinsame Abhängigkeiten: Ein ausgefallener Dienstleister kann mehrere zentrale Prozesse gleichzeitig treffen.

Konsequenz für die Maklerpraxis:

• Im eigenen Maklerbetrieb und bei Firmenkunden klären: Welche Abläufe hängen gleichzeitig an demselben Cloud-, Identitäts- oder IT-Dienstleister?
• Wiederherstellung praktisch prüfen lassen: Sind Backups, Notfallkontakte und Administrationszugänge noch nutzbar, wenn das zentrale Benutzerkonto-System ausfällt?
• Deckung für Betriebsunterbrechungen durch externe Dienstleister auf Auslöser, Wartezeiten, Sublimits und Ausschlüsse prüfen. Für Kommunen stehen dabei zusätzliche Aufwendungen zur Fortführung von Bürgerleistungen im Vordergrund.

3. Österreich/NIS2: Neue Behördeninformation, keine neue Rechtslage

Das Unternehmensserviceportal betont in seiner Aktualisierung vom 27. August 2026 die mittelbare Betroffenheit kleiner Unternehmen über Lieferketten. Bezugspunkt ist das Inkrafttreten des NISG 2026 am 1. Oktober. Sicherheitsanforderungen und Nachweise können vertraglich weitergegeben werden, auch wenn ein Zulieferer nicht selbst unmittelbar gesetzlich verpflichtet ist.

Beratungsfolge: Bei KMU zusätzlich fragen: „Welche Sicherheitszusagen verlangen eure wichtigsten Auftraggeber?“ Bei Kommunalbetrieben entsprechende Anforderungen an IT- und Fachverfahrensanbieter prüfen. Vertragliche Zusagen, tatsächliche Sicherheitsmaßnahmen und Versicherungsumfang sollten zusammenpassen. Mittelbare Betroffenheit bedeutet nicht automatisch unmittelbare NIS2-Pflichten.

Berlin zeigt, warum technischer Wiederanlauf und bewältigter Schaden zwei verschiedene Dinge sind. Gestohlene Daten bleiben gestohlen – auch wenn alle Bildschirme wieder funktionieren. Deshalb gehören Datenschutz, Krisenkommunikation und passende Versicherungsdeckung genauso zur Vorbereitung wie Backups.

„Ein Backup bringt Daten zurück. Es holt sie nicht vom Angreifer zurück.“

„Wenn Wohngeld nicht ausgezahlt werden kann, ist Cybersecurity keine IT-Frage mehr.“

Cyber-Risk Wochenbrief – 24. August 2026

Beobachtungszeitraum: 18.–24. August 2026. Drei Entwicklungen haben unmittelbaren Praxiswert.

1. Berliner Cyberangriff blockiert zeitweise Wohngeld

Bestätigte Fakten: Der Angriff wurde am 14. August entdeckt und am 17. August öffentlich bekannt. Zwei Senatsverwaltungen wurden vorsorglich vom Berliner Landesnetz getrennt. Dadurch waren unter anderem Wohngeldanträge und zeitweise Auszahlungen an mehr als 50.000 Haushalte sowie Leistungen für Kinder und Jugendliche betroffen. Nach Angaben des Senats lagen am 19. August keine Erkenntnisse über den Abfluss sensibler Daten vor.

Seit 23. August sind die Verwaltungen wieder angeschlossen und grundsätzlich arbeitsfähig; vereinzelte Verzögerungen bleiben möglich. Die IT-Systeme werden verstärkt überwacht. Lageinformation vom 19. August, Wiederanlauf vom 23. August

Einordnung: Der wesentliche Schaden lag nicht primär im Datenverlust, sondern in der Unterbrechung gesetzlicher Leistungen. Ein Cybervorfall wird damit unmittelbar zum sozialen und politischen Krisenfall.

Makler- und Kundenfolgen:

• Kommunale Notfallpläne müssen priorisieren, welche Zahlungen und Bürgerleistungen auch ohne Fachverfahren fortgeführt werden müssen.
• Cyberdeckungen öffentlicher Einrichtungen sollten Mehrkosten, Forensik, Wiederherstellung, Krisenkommunikation und externe Ersatzverfahren abbilden – nicht nur klassischen Ertragsausfall.
• Zu prüfen sind Abhängigkeiten zwischen Landes-, Gemeinde- und Bezirksverfahren: Ein technisch nicht selbst betroffener Rechtsträger kann dennoch handlungsunfähig werden.
• Für die D&O- beziehungsweise Organhaftung zählt, ob bekannte Abhängigkeiten, Wiederanlaufziele und Notverfahren dokumentiert beaufsichtigt wurden.

2. AK-Angriff weitet sich auf Salzburger Mitgliederdaten aus

Bestätigte Fakten: Der Angriff auf die AK Oberösterreich ereignete sich am 10. August. Die AK veröffentlichte am 16. August, dass Täter auf Teile ihrer Systeme und auf Daten zugegriffen hatten; wegen gezielter Spurenverwischung ließ sich das genaue Ausmaß zunächst nicht bestimmen. Mitglieder werden gemäß Art. 34 DSGVO postalisch informiert.

Am 17. August stellte sich heraus, dass auch Daten Salzburger Mitglieder betroffen sein könnten. Hintergrund ist ein gemeinsames Mitgliederverwaltungssystem, in dem die AK Oberösterreich bestimmte Verarbeitungen für Salzburg übernimmt. Die AK Salzburg veröffentlichte dies am 18. August. AK Oberösterreich, Veröffentlichung vom 16. August, AK Salzburg, Veröffentlichung vom 18. August

Einordnung: Das ist ein österreichisches Musterbeispiel für ein Risiko, das zwischen klassischem Dienstleistervorfall und gemeinsamer Infrastruktur liegt. Eine organisatorische Effizienzlösung erweitert gleichzeitig den möglichen Schadenradius.

Makler- und Kundenfolgen:

• Bei Firmen und Körperschaften müssen nicht nur externe Cloudanbieter, sondern auch gemeinsam betriebene Fachverfahren und Datenbestände erfasst werden.
• Cyberversicherungen auf Deckung für Datenschutzbenachrichtigung, Callcenter, Identitätsmissbrauch, Phishing-Folgeschäden und externe Forensik prüfen.
• Entscheidend sind Kosten und Zuständigkeiten, wenn ein Systembetreiber Daten mehrerer Rechtsträger verarbeitet.
• Organhaftungsrelevant wird, ob Datenflüsse, Verantwortlichkeiten, Kontrollrechte und Eskalationswege vor dem Vorfall transparent dokumentiert waren.

3. Aktive Bedrohung für Siemens-S7-Steuerungen

Bestätigte Fakten: CISA, NSA, FBI, US-Energiebehörde und EPA veröffentlichten am 19. August eine gemeinsame Warnung vor aktiver Angriffsvorbereitung gegen internetoffene oder unzureichend segmentierte Siemens-S7-Steuerungen.

Betroffen sind die Reihen S7-200, S7-300, S7-400, S7-1200 und S7-1500 einschließlich sicherheitsgerichteter F-Modelle. Angreifer verwenden KI-generierte Skripte und frei verfügbare Bibliotheken, um Steuerungen zu finden, auszulesen und möglicherweise Steuerungslogik zu verändern. Die bislang beschriebenen Aktivitäten richten sich gegen US-Anlagen; Angriffe auf österreichische oder deutsche Systeme bestätigt die Warnung nicht. Gemeinsames Advisory AA26-231A vom 19. August

Einordnung: Wegen der Verbreitung dieser Steuerungen ist die Angriffsmethode auch für Industrie, Energie-, Wasser- und Kommunalbetriebe in Österreich und Deutschland relevant. KI senkt hier nicht nur die Kosten für Phishing, sondern auch für die Entwicklung industrieller Angriffswerkzeuge.

Makler- und Kundenfolgen:

• Kunden sollten sofort S7-Bestände, Firmwarestände, Internet-Erreichbarkeit, Port 102 und Fernzugänge von Integratoren prüfen.
• Cyberpolicen auf OT-Einschluss, Sachschäden, Betriebsunterbrechung ohne IT-Verschlüsselung sowie Ausschlüsse für Maschinen- und Personenschäden kontrollieren.
• Sach-, Maschinenbruch-, Betriebsunterbrechungs- und Cyberversicherung müssen gemeinsam betrachtet werden; gerade bei manipulierten Steuerungen drohen Deckungslücken an den Spartengrenzen.
• Für NIS2-Unternehmen ist die dokumentierte Reaktion auf eine konkrete Hersteller- und Behördenwarnung Teil einer verteidigungsfähigen Managementaufsicht.

„Cyberresilienz beginnt dort, wo der Bildschirm schwarz bleibt – aber der öffentliche Auftrag trotzdem erfüllt wird.“

1. Ransomware legt öffentliche Einrichtung mit sieben Standorten lahm

Bestätigte Fakten: Die Stiftung Brandenburgische Gedenkstätten meldete am 11. August einen Ransomware-Angriff, der bereits am 5. August festgestellt worden war. Betroffen sind die Geschäftsstelle und sieben Gedenkstätten. Teile der Systeme und Daten wurden verschlüsselt; nach aktuellem Stand muss auch von einem Datenabfluss ausgegangen werden. Die gesamte IT wurde getrennt, ein BSI-empfohlener Forensikdienstleister eingeschaltet und auf Ausweichprozesse umgestellt. Der Besuchsbetrieb läuft weiter, während E-Mail, Telefonie und Buchungsprozesse beeinträchtigt sind. Mitteilung der Stiftung

Einordnung: Das ist ein nahezu mustergültiges Beispiel dafür, dass Betriebsfortführung und IT-Wiederherstellung zwei unterschiedliche Aufgaben sind. Die Kernleistung kann weiterlaufen, während Verwaltung und Kommunikation digital ausfallen.

Makler-Implikation:

• Bei Kommunen und öffentlichen Einrichtungen nicht nur nach Backups fragen, sondern nach tatsächlich getesteten Ausweichprozessen.
• Cyberdeckung auf Forensik, Wiederherstellung, Datenabfluss, Betriebsunterbrechung und Krisenkommunikation prüfen.
• Rechnungsbetrug nach einem Datenabfluss ausdrücklich mitdenken: Gestohlene Verträge und Partnerdaten ermöglichen sehr überzeugende Folgeangriffe.
• Kunden sollten alternative Kontaktwege und Zahlungsfreigaben bereits im Notfallplan hinterlegt haben.

2. Drei aktiv ausgenutzte Schwachstellen – darunter Windows und Cisco-Firewalls

Bestätigte Fakten: CISA nahm am 11. August drei Schwachstellen wegen nachgewiesener aktiver Ausnutzung in den KEV-Katalog auf:

• CVE-2026-20349 – Cisco ASA und Firepower Threat Defense
• CVE-2026-68820 – Windows Ancillary Function Driver for WinSock
• CVE-2026-72898 – Metabase SQL Injection

CISA empfiehlt Organisationen generell, KEV-Schwachstellen bei der Behebung zu priorisieren. CISA-Warnung vom 11. August

Einordnung: Besonders relevant ist die Kombination aus internetnaher Sicherheitsinfrastruktur, verbreiteten Windows-Systemen und einem Analysewerkzeug, das häufig sensible Unternehmensdaten verarbeitet. „Firewall vorhanden“ bedeutet daher nicht automatisch „Firewall sicher“.

Makler-Implikation: Bei laufenden Ausschreibungen oder Verlängerungen sollte kurzfristig erhoben werden, ob die betroffenen Produkte eingesetzt werden und ob Patch-, Workaround- und Kompromittierungsprüfungen dokumentiert sind. Die bloße Zusage „Updates werden regelmäßig eingespielt“ ist für aktiv ausgenutzte Lücken zu unbestimmt.

3. KI-Betrug: Cyberversicherung ist nicht automatisch die richtige Deckung

Bestätigte Fakten: Der GDV warnte am 12. August vor zunehmend überzeugendem Voice-Cloning und KI-Avataren. Entscheidend ist seine versicherungstechnische Abgrenzung: Löst ein Mitarbeiter aufgrund einer gefälschten Stimme oder eines Deepfake-Meetings selbst eine Zahlung aus, ist regelmäßig die Vertrauensschadenversicherung einschlägig. Eine Cyberversicherung kommt typischerweise erst dann ins Spiel, wenn Täter Systeme kompromittieren und dort technische Schäden verursachen. GDV-Beitrag vom 12. August

Einordnung: „KI-Betrug“ ist kein einheitliches Versicherungsereignis. Derselbe Angriff kann Vertrauensschaden, Cyber-, Haftpflicht- und möglicherweise D&O-Fragen auslösen.

Makler-Implikation: Cyber- und Vertrauensschadenversicherung gemeinsam prüfen. Besonders wichtig sind:

• Fake-President- und Social-Engineering-Definitionen
• Überweisungen durch berechtigte Mitarbeiter
• Rückruf- und Vier-Augen-Vorgaben als Obliegenheiten
• Sublimits und Selbstbehalte
• Abgrenzung zwischen Vermögensabfluss und anschließendem Systemeinbruch

4. NIS2 und D&O: Österreich nähert sich dem 1. Oktober

Bestätigte Fakten: Das österreichische NISG 2026 tritt am 1. Oktober 2026 in Kraft. Leitungsorgane müssen die Einhaltung der Risikomanagementmaßnahmen sicherstellen und beaufsichtigen sowie speziell für sie gestaltete Cybersicherheitsschulungen absolvieren. Laut WKO sind keine persönlichen Verwaltungsstrafen für Leitungsorgane vorgesehen; bei sorgfaltswidrigem Verhalten können jedoch Schadenersatzansprüche entstehen. Gesetz im RIS, WKO-FAQ zum NISG 2026

In Deutschland weist das BSI aktuell ausdrücklich darauf hin, dass die Registrierungsfrist bereits abgelaufen ist. Bis 30. Juni waren 17.729 Unternehmen registriert; das BSI geht von rund 29.500 betroffenen Einrichtungen aus. BSI-Information

Einordnung: Ein Cyberangriff begründet nicht automatisch persönliche Geschäftsführerhaftung. Kritisch wird es, wenn Entscheidungen, Aufsicht, Schulungen und Reaktionen auf bekannte Mängel nicht nachvollziehbar dokumentiert sind.

Makler-Implikation: Jetzt ist der richtige Zeitpunkt für einen kombinierten Check aus NIS2-Betroffenheit, dokumentierter Managemententscheidung, Cyberversicherung und D&O-Bedingungen. Die Police ersetzt die Governance nicht – eine belastbare Governance verbessert aber Versicherbarkeit und Verteidigungsposition.

DORA und FIDA

Im Berichtszeitraum gab es keine neue offizielle Maßnahme, die eine unmittelbare Anpassung der Beratungspraxis auslöst.

Bei DORA bleibt der Schwerpunkt auf nachweisbarer operativer Resilienz und dem Management von ICT-Drittdienstleistern. Der erste DORA-Vorfallsbericht der europäischen Aufsichtsbehörden zeigte bereits, dass Systemausfälle und externe Ereignisse die wichtigsten Auslöser waren; nur zehn Prozent der gemeldeten Großvorfälle waren unmittelbar Cyberangriffe. EIOPA/ESAs-Bericht

Bei FIDA liegt weiterhin kein final beschlossenes Regelwerk vor. In der Kommunikation mit Kunden sollte FIDA deshalb als strategisch relevante Open-Finance-Entwicklung, nicht als bereits feststehende aktuelle Compliancepflicht dargestellt werden.