Mit dem Paradigma der identitätszentrierten Sicherheit verschiebt sich das vorrangige Schutzziel. Nicht mehr Geräte oder das Firmennetzwerk stehen im Mittelpunkt, sondern Identitäten – also wer oder was wann von wo auf welche Daten oder Systeme zugreifen möchte.

Anstatt nur das Eingangstor der Burg zu bewachen, steht bei der Identity First Security auch vor jedem weiteren Raum im Gebäude ein Türsteher. Du wirst also nicht nur einmal am Eingang nach deinem Ausweis gefragt, sondern auch in jedem weiteren Gebäudeabschnitt.

Der Türsteher prüft dabei nicht nur, wer du bist, sondern auch den weiteren Kontext:

Nur, wenn all diese Faktoren passen und plausibel sind, wird Einlass gewährt.

Die Wurzeln der Identity First Security reichen mittlerweile mehrere Jahrzehnte zurück. Bereits nach der Jahrtausendwende konnten Sicherheitsexperten die Anfänge einer „De-Perimeterisierung“ beobachten – das heißt, dass feste Netzwerkgrenzen in einer zunehmend vernetzten Welt immer mehr aufweichen.

Richtig Fahrt nahm die Idee aber erst ab 2010 auf, als das Konzept „Zero Trust“ an Verbreitung gewann. Hier lautet das Motto: Vertraue niemandem, überprüfe alles. Für die praktische Umsetzung dieses Zero-Trust-Gedankens ist die Identity First Security das Herzstück. Regelrecht alternativlos wurde der Ansatz dann durch den massiven Umzug von IT-Infrastruktur in die Cloud und den Durchbruch von Remote Work.

In der klassischen IT-Landschaft liegen alle wichtigen Assets wie Kundendaten und Finanzpläne gebündelt auf einem Server im Keller des Firmengebäudes. Heute sind sie meist verteilt in diversen Cloud-basierten Anwendungen und externen Rechenzentren gespeichert. Es gibt in der Praxis schlichtweg kein zentrales Netzwerk mehr, das wie eine Burg verteidigt werden kann. Die Zugriffskontrollen werden deshalb feingranularer – mit dem Nutzer im Fokus.

Auch Cyberkriminelle haben sich längst auf die neue Situation eingestellt. Sie hacken sich kaum noch durch Firewalls, sondern loggen sich einfach ein – mit Passwörtern, die sie beispielsweise durch Phishing-Kampagnen erbeutet oder im Darknet gekauft haben. Die Identität ist auch für die Angreifer das Hauptziel geworden.

Als übergreifendes Paradigma wird die Identity First Security mit einem ganzen Bündel an Maßnahmen implementiert. Viele davon kennst du sicher schon aus deinem Arbeitsalltag:

Identity First Security gehört zu den wichtigsten Grundsätzen einer modernen Sicherheitsarchitektur. Motiviert ist der Ansatz durch den Wandel der IT-Landschaft und den Trend zur mobilen Arbeit. Die Identität der Nutzer entscheidet darüber, ob ihnen der Zugriff auf bestimmte Daten und Systeme gewährt wird oder nicht. Unternehmen müssen deshalb darauf achten, dass sie an den richtigen Stellen durchsetzungsfähige „Türsteher“ engagiert haben.

Hier findest du alle Infos zur 24/7 Überwachung von IT-Systemen und einem zeitgemäßen Schutz der IT-Infrastruktur durch unser Cyber Security Operation Center

Die Ursprünge der digitalen Honigfallen reichen bis in die 1980er Jahre zurück. Die bekannteste Darstellung aus dieser Zeit skizziert das Sachbuch „Kuckucksei: Die Jagd auf die deutschen Hacker, die das Pentagon knackten“ von Clifford Stoll. Im Laufe der 1990er Jahre entstanden die ersten Open Source-Tools, die das Konzept in die Breite trugen.

Mittlerweile gibt es sehr viele unterschiedliche Formen von Honeypots und benachbarte Konzepte, die sich u.a. im Grad der Interaktion, des Setups (Physical vs. Virtual) und des Umfangs unterscheiden. Dazu gehören beispielsweise folgende Ausprägungen:

Einen guten Überblick der aktuell gängigen Tools gibt die kuratierte Liste „Awesome Honeypots“ auf GitHub.

Die nächste Generation digitaler Honigfallen ist in der Lage, den realistischen Anschein der Schein-Umgebungen noch mal zu erhöhen. Sie setzt dafür auf Large Language Models (LLMs). Eingehende Befehle (beispielsweise über SSH, HTTP oder industrielle Protokolle) werden rein von der KI simuliert und beantwortet, was einen sehr sicheren Honeypot-Betrieb gewährleistet. 

Gleichzeitig können diese Systeme dynamisch überzeugende Systemzustände, Fehlermeldungen sowie massenhaft glaubwürdige Honeytokens generieren. Durch Verhaltensanpassungen fesseln LLM-Honeypots Angreifer deutlich länger – im Fachjargon spricht man von einer erhöhten „Dwell Time“. Sie erschweren außerdem die automatisierte Enttarnung durch Honeypot-Detektionssysteme der Angreifer. 

Der Einsatz dieser Täuschungsmanöver bringt Unternehmen und Sicherheitsforschern drei entscheidende Vorteile:

Welche Erkenntnisse ein Honeypot liefern kann, zeigt beispielhaft die dokumentierte Analyse „Who showed up?“ eines offenen SSH-Ports. Die ersten zwei Zugriffsversuche erfolgten bereits in den ersten 60 Sekunden. Innerhalb von 54 Tagen gab es mehr als 250.000 Zugriffsversuche von mehr als 7.500 IP-Adressen. Das am häufigsten ausprobierte Passwort war „123456“. Die Angriffe häuften sich nachts zwischen eins und vier Uhr.

Honeypots haben sich von einem Spezialwerkzeug für Security-Experten zu einem gängigen Tool der IT-Sicherheit weiterentwickelt. Sie sind eine zentrale Säule, um Angriffswege zu erkennen und Verhaltensmuster von Cyberkriminellen zu analysieren. Mit KI-gestützten Honeypots steht bereits die nächste Generation der Täuschungssysteme in den Startlöchern.

Neben Sicherheitsforschern setzen mittlerweile auch immer mehr Unternehmen auf Honeypots zur Einhaltung von Compliance-Vorgaben. So sind die digitalen Honigtöpfe beispielsweise im Kontext von NIS-2 ein anerkanntes Werkzeug, um gesetzlich geforderte Maßnahmen zur Angriffserkennung umzusetzen. Sie ermöglichen eine proaktive Gefahrenerkennung und schließen die Lücke zu klassischen präventiven Maßnahmen wie Firewalls.

Hier findest du Infos zur 24/7 Überwachung der IT-Systeme und einem zeitgemäßen Schutz der IT-Infrastruktur

Klassische Hackerangriffe nutzen Sicherheitslücken im Softwarecode aus, um Systeme zu kapern. Bei KI-Assistenten reicht es, die KI mit einer Prompt Injection zu Handlungen zu überreden, die eigentlich nicht vorgesehen sind. Warum das häufig funktioniert, hängt mit der grundlegenden Funktionsweise moderner KI-Systeme zusammen. Da Large Language Models (LLMs) so konstruiert sind, dass sie menschliche Sprache verarbeiten, können sie nicht sauber zwischen einer vertrauenswürdigen Anweisung von dir und bösartigen Befehlen von außen unterscheiden.

Dass die Manipulation von KI-Assistenten längst keine Zukunftsmusik mehr ist, zeigen zum Beispiel folgende Vorfälle:

Auch wenn Sicherheitslücken wie diese von den Herstellern in der Regel schnell gefixt werden, zeigen die Beispiele sehr anschaulich das Schadenspotenzial und die Kreativität von Hackern im Kontext von Prompt Injections.

Um interne KI-Assistenten sicher zu betreiben, reicht ein klassischer Virenscanner nicht mehr aus. Unternehmen müssen vielmehr eine mehrstufige Sicherheitsstrategie implementieren. Dazu gehören u.a. folgende Maßnahmen:

Interne KI-Assistenten bieten ein enormes Potenzial, um die Produktivität zu steigern. Doch der tiefe Systemzugriff macht sie zu einem hochgradig attraktiven Einfallstor für kriminelle Akteure und zu einem neuen Ausgangspunkt für Wirtschaftsspionage und Datendiebstahl. Wer KI-Assistenten erfolgreich und sicher einsetzen will, muss von Anfang an klare Zugriffsgrenzen ziehen, kritische Schritte menschlich überwachen und neue technische Sicherheitsmaßnahmen wie automatisierte Filter implementieren. Nur so bleibt der smarte Helfer ein treuer Diener und wird nicht zum feindlichen Spion.

Hier findest du Infos zur 24/7 Überwachung der IT-Systeme und einem zeitgemäßen Schutz der IT-Infrastruktur

Die These, dass Cybersecurity zu einer Token-Schlacht wird, hängt eng mit der Evolution aktueller KI-Modelle zusammen. Als Anthropic sein Modell Claude Mythos zunächst nicht der Öffentlichkeit zugänglich machte, vermuteten manche Beobachter einen Marketing-Coup, um Begehrlichkeiten zu wecken. Mittlerweile zeigen aber erste unabhängige Analysen, dass die Cyber-Fähigkeiten von Mythos tatsächlich weitreichend sind.

Eine Analyse des britischen AI Security Institute (AISI) simulierte den Angriff auf ein Unternehmensnetzwerk mittels KI. Mythos war dabei als einziges Modell komplett erfolgreich – und zwar in 3 von 10 Versuchen. Die Forscher gehen zudem davon aus, dass das Modell mehr Sicherheitslücken finden kann, wenn mehr Token eingesetzt werden. Dies ist der eigentliche Game Changer: Das Finden von Sicherheitslücken wird so zu einem reinen KI-gestützten Suchproblem. Angreifer müssen keine genialen Hacker sein. Sie müssen nur genug Budget aufwenden, um eine KI so lange auf deine Systeme anzusetzen, bis sie eine Lücke findet.

Ob sich die These bestätigt, dass KI-Modelle mit mehr Token-Einsatz auch sukzessive mehr Sicherheitslücken finden, wird sich zeigen. So oder so bricht für die Cybersecurity aktuell eine neue Ära an; das Cyber-Wettrüsten geht weiter. Wenn KI-Modelle wie Mythos selbst in Betriebssystemen Schwachstellen aufdecken, die 27 Jahre lang unentdeckt geblieben sind, schrillen nicht umsonst die Alarmglocken.

Unternehmen sollten die Entwicklung im Blick behalten und insbesondere die Risiken von „Vibe Coding“-Lösungen berücksichtigen. Code mag dadurch billiger werden, aber Sicherheit wird drastisch teurer. Eine wichtige grundsätzliche Strategie besteht darin, die Angriffsfläche zu reduzieren: „Keep it simple“. Wer seine Systeme vereinfacht und unnötige Tools und Systeme über Bord wirft, ist in der besseren Ausgangssituation für eine resiliente IT-Landschaft.

Hier findest du Infos zur 24/7 Überwachung der IT-Systeme und einem zeitgemäßen Schutz der IT-Infrastruktur

LOTL-Angriffe nutzen legitime Systemtools wie PowerShell, Windows Management Instrumentation (WMI) oder den Task Scheduler. Diese Werkzeuge sind eigentlich für Administratoren gedacht, werden aber von Angreifern missbraucht, um Daten zu stehlen, Systeme zu manipulieren oder sich dauerhaft einzunisten. Der Angriffstyp wird manchmal auch als „dateilose Malware“ bezeichnet.

Der Vorteil für die Angreifer: Da keine fremden Dateien eingeschleust werden, schlagen klassische Sicherheitstools wie Virenscanner oft nicht an. Die Attacke wirkt wie eine normale Systemaktivität und bleibt dadurch lange Zeit unentdeckt – manchmal sogar über Monate oder Jahre.

Trotz der steigenden Bedrohung gibt es konkrete Schritte, um das Risiko von LOTL- und LOLLM-Angriffen zu verringern:

LOTL-Angriffe sind vergleichbar mit der Reise von Frodo: unsichtbar, ausdauernd und mit einem klaren Ziel. Mit KI und der Evolution zu LOLLM entsteht jedoch eine neue Bedrohungsklasse, die noch präziser und schneller agiert und deutlich schwerer zu stoppen ist.

Für Privatanwender und Unternehmen bedeutet das: Wachsam bleiben und moderne Schutzmaßnahmen einsetzen. Die gute Nachricht ist schließlich, dass sich auch die Verteidigungsmethoden weiterentwickeln. Lösungen, die Anomalien im eigenen System erkennen, kommen auch Angriffen mit dateiloser Malware auf die Spur.

Passend zum Thema: Mit unserem Cyber Security Operations Center schützen wir deine IT-Infrastruktur rund um die Uhr.

Um den unsichtbaren Schadcode in beliebte Bibliotheken einzuschleusen, verstecken die Cyber-Kriminellen ihn in legitim wirkenden Beiträgen zu Open Source-Projekten. Die Projektinhaber bekommen einen sog. „Pull Request“ – also die Bitte, Änderungen in den Hauptcode zu ziehen. Wenn die Änderungen tatsächlich einen bestehenden Bug beheben oder beispielsweise Fehler in der Dokumentation ausbügeln – also inhaltlich und technisch sauber sind – werden die Beiträge typischerweise von den Projektinhabern angenommen. So funktioniert ganz grundlegend die Entwicklung von Open Source Software.

Doch genau an dieser Stelle werden die Projektinhaber überrumpelt, wenn die manuelle Prüfung des Codes (Code Review) keine Auffälligkeiten zu Tage bringt, da die kritischen Teile nicht sichtbar sind. Die Angreifer nutzen also genau dieses Vertrauensverhältnis aus, das dem Open Source-Ökosystem zugrunde liegt. Mit Hilfe von KI können sie solche Angriffe nun plötzlich skalieren. Die KI hilft ihnen dabei, potenzielle Code-Beiträge zu identifizieren und Lösungen in hoher Qualität bereitzustellen, die im Normalfall von jedem Projektinhaber dankbar angenommen werden.

Diese neue Dimension der Skalierbarkeit potenziert das Risikopotenzial von Supply-Chain-Angriffen. Früher war für erfolgreiche Angriffe dieser Art jede Menge Geduld gefragt. Das eindrücklichste Beispiel ist der sogenannte XZ-Utils-Backdoor, der 2024 aufflog. Ein einzelner Angreifer gab sich zwei Jahre lang als scheinbar vertrauenswürdiger Entwickler in einem verbreiteten Linux-Paket aus. Er baute über die Zeit Vertrauen auf, übernahm schrittweise Verantwortung im Projekt, und schleuste am Ende eine Hintertür ein, die OpenSSH-Server auf Millionen von Systemen angreifbar gemacht hätte. Zum Glück wurde sie gerade noch rechtzeitig vor dem breiten Rollout entdeckt.

Die XZ-Utils-Backdoor zeigt, wie handwerklich aufwendig sowie zeit- und ressourcenaufwändig Supply-Chain-Angriffe traditionell waren. Die neue Generation dieser Angriffe ist das Gegenteil davon: Sie sind schnell erstellt, zielen auf eine breite Angriffsfläche, und laufen weitgehend automatisiert ab. Das Open Source-Ökosystem, das gerade durch eine Flut an KI-generiertem Code ohnehin unter Druck steht, steht vor der Herausforderung, neue Sicherheitsmechanismen zu entwickeln.

Die neue Welle der Supply Chain-Angriffe erzeugt zwar neue Herausforderungen, doch es gibt bereits erste Ansätze, um sie zu kontern:

Supply Chain-Attacken werden raffinierter und gewinnen durch KI an Tempo und Breite. Das Perfide an den Angriffen ist, dass sie gezielt das Vertrauen im gewachsenen Open Source-Ökosystem ausnutzen. Für die Sicherheit von Software wird ein sorgsames Management der verwendeten Drittbibliotheken und Abhängigkeiten entscheidend. Denn laut dem aktuellen Open Source Security and Risk Analysis Report (OSSRA 2026) enthält nahezu jede Anwendung (98%) auch Open Source-Bestandteile und ist damit für Supply Chain-Angriffe anfällig.

Hier findest du Infos zur 24/7 Überwachung der IT-Systeme und einem zeitgemäßen Schutz der IT-Infrastruktur

Das NISG 2026 sieht empfindliche Verwaltungsstrafen vor.

Je nach Kategorie des Unternehmens können Strafen in unterschiedlichen Höhen ausfallen:

Zusätzlich drohen:

Viele Geschäftsführer stellen sich aktuell eine ganz zentrale Frage: „Muss ich jetzt selbst zum IT-Experten werden?“

Die klare Antwort: Nein.
Aber: Du trägst als Geschäftsführer die Verantwortung.

Denn das NISG 2026 macht Cybersicherheit zur Chefsache. Das bedeutet nicht, dass du technische Details verstehen oder selbst umsetzen musst, aber es muss sichergestellt werden, dass die richtigen Maßnahmen im Unternehmen erfolgen.

Konkret heißt das für die Geschäftsführung:

Der*die Geschäftsführer*in muss nicht alles selbst machen, aber sie müssen sicherstellen, dass alles gemacht wird.

In der Praxis zeigt sich immer wieder ein ähnliches Bild: Viele Unternehmen haben sich bereits mit IT-Sicherheit beschäftigt, aber nicht in der ausführlichen Form, wie es das NISG 2026 verlangt. Die häufigsten Schwachstellen sind dabei weniger technischer Natur, sondern liegen in Struktur, Prozessen und Nachweisbarkeit.

In vielen Unternehmen gibt es kein klares Bild darüber, welche Cyberrisiken tatsächlich bestehen. Oft werden Sicherheitsmaßnahmen „nach Bauchgefühl“ umgesetzt, ohne systematische Bewertung:

Ohne strukturierte Risikoanalyse fehlt die Grundlage für fundierte Entscheidungen, was das Thema Cybersicherheit angeht.

Ein sehr häufiger Fall: Technische Sicherheitsmaßnahmen existieren durchaus (z. B. Firewalls, Backups, Zugriffsregeln), aber sie sind nicht sauber dokumentiert. Das Problem dabei ist, dass im Prüfungsfall nicht gilt, was umgesetzt wurde, sondern was nachweisbar ist.

Fehlende Dokumentation bedeutet:

Wer ist im Unternehmen eigentlich für Cybersecurity zuständig?

Oft ist das nicht eindeutig geregelt:

• IT kümmert sich „irgendwie“
• Externe Dienstleister sind eingebunden
• Die Geschäftsführung geht von funktionierenden Prozessen aus

Doch ohne klar definierte Rollen entstehen Lücken, insbesondere bei Entscheidungen, Eskalationen oder Meldungen im Ernstfall. Das NISG 2026 verlangt hier klare Strukturen und Zuständigkeiten.

Viele Unternehmen haben zumindest theoretisch einen Notfallplan, aber kaum jemand hat ihn jemals getestet. Im Ernstfall führt das zu Zeitverlust, Unsicherheit bei Entscheidungen und einer Fehlkommunikation intern und extern. Ein funktionierender Incident-Response-Prozess muss nicht nur existieren, sondern auch realistisch durchdacht und getestet sein.

In vielen Unternehmen wurden zwar einzelne Sicherheitsmaßnahmen umgesetzt, jedoch ohne ein übergeordnetes Konzept. Dadurch entstehen oft Lücken zwischen den einzelnen Bereichen, Ressourcen werden ineffizient eingesetzt und wichtige Themen nicht richtig priorisiert.

Das NISG 2026 fordert jedoch einen ganzheitlichen, risikobasierten Ansatz und keine Sammlung isolierter Einzelmaßnahmen.

Ein Aspekt wird häufig unterschätzt – ist aber zentral: Behörden prüfen nicht nur, ob Maßnahmen existieren, sondern ob sie nachvollziehbar dokumentiert und begründet sind.

Das bedeutet konkret:

Nur wenn diese Fragen beantwortet werden können, gilt ein Unternehmen als „compliant“.

STABILO International GmbH: ein traditionsreiches Unternehmen mit Blick nach vorne

Die STABILO International GmbH verantwortet die internationale Vermarktung und Weiterentwicklung der Marke STABILO. Das Unternehmen entwickelt und vertreibt ein breites Sortiment an Schreib-, Zeichen- und Kreativprodukten, die weltweit in Schule, Studium, Beruf und Freizeit eingesetzt werden.

Mit einem starken Fokus auf Innovation, Design und Qualität prägt STABILO seit vielen Jahren den Markt für Schreibgeräte und Kreativprodukte. Ziel ist es, Menschen jeden Alters beim Schreiben, Lernen und kreativen Gestalten zu inspirieren und ihnen zuverlässige Werkzeuge für ihre Ideen an die Hand zu geben.

Das Projekt: Umstieg von SourceOne auf MailMeter

Als Teil der Schwan-STABILO Unternehmensgruppe arbeitet die STABILO International GmbH in einem Umfeld mit mehreren eigenständigen Unternehmen und IT-Abteilungen. In diesem Kontext standen STABILO und techbold vor der Aufgabe, die bestehende Archivumgebung SourceOne durch das moderne System MailMeter zu ersetzen. Ziel war es, vor Beginn einer geplanten IT-Modernisierung die Grundlage für eine effiziente und sichere E-Mail-Archivierung zu schaffen.