Illustration Absmeier foto ki designer

Vernetzte Produktion, intelligente Energieversorgung und digitale Gesundheitsdienste erhöhen die Abhängigkeit von IoT- und OT-Systemen. Damit rückt eine Managementfrage in den Mittelpunkt: Wie bleibt das Unternehmen handlungsfähig, wenn ein Angriff Geräte, Netze oder Lieferketten trifft? Entscheidend sind nicht nur technische Schutzmaßnahmen, sondern klare Zuständigkeiten, belastbare Wiederanlaufpläne, geübte Meldewege und Sicherheit über den gesamten Produktlebenszyklus.

Management Summary

Cyberresilienz ist eine Führungsaufgabe: Geschäftsleitung, IT, Produktion, Recht und Kommunikation brauchen ein gemeinsames Krisenmodell.
Transparenz entscheidet über Reaktionsgeschwindigkeit: Nur bekannte Geräte, Abhängigkeiten, Verantwortliche und Datenflüsse lassen sich priorisiert schützen und wiederherstellen.
Notfallpläne müssen betriebsfähig sein: Rollen, Eskalationswege, Offline-Kontakte, Ersatzprozesse und Wiederanlaufreihenfolgen gehören dokumentiert und geübt.
Regulatorische Fristen verschärfen den Zeitdruck: CRA und NIS2 verlangen strukturierte Meldeprozesse; technische Analyse und Compliance müssen ineinandergreifen.[6][9]
Security by Design senkt Folgerisiken: Beschaffung, Entwicklung, Updates, Schwachstellenmanagement und Außerbetriebnahme müssen den gesamten IoT-Lebenszyklus abdecken.[10]

Die Frage ist längst nicht mehr, ob ein Cyberangriff stattfindet, sondern wann. Iain Davidson, Head of Product Marketing bei Wireless Logic, erläutert, warum die Reaktion auf Cyberangriffe und Fremdzugriffe von vornherein geplant werden muss.[8]

Jedes Jahr im Oktober findet seit 2004 der Cybersecurity Awareness Month statt.[1] Das europäische Pendant, der European Cybersecurity Month (ECSM), startete 2012 als Pilotprojekt und ist seit 2013 ein regelmäßig stattfindendes europaweites Format.[2] Die US-Kampagne der National Cybersecurity Alliance steht 2026 unter dem Motto »Don’t Make It Easy for Them« und setzt auf wiederholbare Sicherheitsgewohnheiten wie starke Passwörter, Multifaktor-Authentifizierung, das Erkennen und Melden von Betrugsversuchen sowie zeitnahe Software-Updates.[3] Dass Investitionen in Cybersicherheit wirtschaftlich relevant sind, zeigt der IBM »Cost of a Data Breach Report 2026«: Die weltweiten Durchschnittskosten eines Datenlecks lagen demnach bei 4,99 Millionen US-Dollar. Als wesentliche Kostentreiber nennt IBM höhere Aufwendungen für Erkennung und Eskalation sowie Geschäftsausfälle.[4]

Da zahlreiche Branchen zunehmend auf vernetzte Geräte angewiesen sind, um ihren Betrieb aufrechtzuerhalten, ist die Widerstandsfähigkeit von Netzwerken wichtiger denn je. Das Internet der Dinge (IoT) verbindet unter anderem intelligente Stromnetze, Maschinen in der Fertigung und Geräte zur Patientenüberwachung. Der ENISA Threat Landscape 2026 bestätigt eine wachsende Angriffsfläche durch digitale Abhängigkeiten; 73 Prozent der erfassten Angriffe richteten sich gegen wesentliche oder wichtige Einrichtungen im Sinne der NIS2-Richtlinie.[5] Die ursprüngliche Aussage, Angriffe auf IoT-Komponenten und operative Technologie gehörten laut ENISA zu den »am schnellsten wachsenden Bedrohungsvektoren«, ließ sich anhand der herangezogenen offiziellen ENISA-Quelle nicht belegen und wurde deshalb präzisiert.

Unternehmen müssen ihre Denkweise ändern: Es geht nicht mehr allein darum, ob ein Cyberangriff stattfindet, sondern auch darum, wie schnell er erkannt, eingedämmt und bewältigt werden kann. Anlässlich des Cybersecurity Awareness Month sollte IoT-Resilienz über den gesamten Lebenszyklus berücksichtigt werden. Etablierte Sicherheitspraktiken können das Risiko erfolgreicher Angriffe senken; ergänzend zielt »Security by Design« darauf, Sicherheitsanforderungen bereits bei Konzeption und Entwicklung zu berücksichtigen.[1][6]

Während KI Cyberangriffe leichter skalierbar machen kann, entwickelt sich auch die Regulierung weiter. Der Cyber Resilience Act (CRA) ist seit Dezember 2024 in Kraft. Seit dem 11. September 2026 gelten für Hersteller die Meldepflichten nach Artikel 14: Aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle bei Produkten mit digitalen Elementen müssen über die zentrale Meldeplattform gemeldet werden; eine Frühwarnung ist grundsätzlich innerhalb von 24 Stunden, eine vollständige Meldung innerhalb von 72 Stunden abzugeben.[6] Die wesentlichen übrigen Pflichten des CRA gelten ab dem 11. Dezember 2027.[7] Die Einhaltung gesetzlicher Vorschriften ersetzt jedoch nicht die operative Vorsorge: Unternehmen müssen zusätzlich planen, wie Sicherheitsverletzungen im gesamten System erkannt, eingedämmt und bearbeitet werden.

Sicherheit darf nicht nachträglich eingebaut werden. Da sich IoT-Implementierungen in kritischen Infrastrukturen ausweiten, müssen Unternehmen eine kontinuierliche Transparenz über alle Ressourcen hinweg gewährleisten, herstellerunabhängige Pläne zur Reaktion auf Vorfälle umsetzen und bei der Konzeption Resilienz als Priorität festlegen, um schädliche sowie kostspielige Ausfälle zu vermeiden.

Tipps für eine belastbare Cyber-Ausfallplanung

1. Kritische Leistungen zuerst ordnen

Ein wirksamer Notfallplan beginnt nicht bei einzelnen Servern oder Geräten, sondern bei den Leistungen, die das Unternehmen auch unter erschwerten Bedingungen erbringen muss. Fachbereiche, IT, Produktion und Geschäftsleitung sollten gemeinsam bestimmen, welche Prozesse zeitkritisch sind, wie lange ein Ausfall toleriert werden kann und welche Anwendungen, Maschinen, Netzverbindungen, Daten und Dienstleister dafür benötigt werden. Aus dieser Business-Impact-Betrachtung entsteht eine belastbare Prioritätenliste. Wichtig ist, nicht nur den Normalbetrieb abzubilden, sondern auch Mindestleistungen festzulegen: Welche Aufträge müssen weiterlaufen, welche Daten müssen verfügbar bleiben und welche manuellen Ersatzverfahren sind vorübergehend vertretbar?

Praxisbeispiel: Ein Hersteller betrachtet zunächst sein ERP-System als höchste Priorität. Die Analyse zeigt jedoch, dass die Produktion für mehrere Stunden auch mit gedruckten Auftragslisten weiterarbeiten kann, während der Ausfall der zentralen Maschinensteuerung die Fertigung sofort stoppt. Der Notfallplan priorisiert deshalb die Wiederherstellung der Steuerungsumgebung, des Produktionsnetzes und der dafür notwendigen Identitätsdienste vor dem vollständigen ERP-Wiederanlauf.

2. IoT- und OT-Bestand aktuell halten

Unternehmen können nur schützen und wiederherstellen, was sie kennen. Ein zentrales Inventar sollte deshalb nicht nur Gerätetyp und Standort enthalten, sondern auch Eigentümer, betriebliche Funktion, Firmwarestand, Netzwerksegment, Kommunikationspartner, Fernzugänge, Supportstatus und Abhängigkeiten. Besonders wichtig sind nicht dokumentierte Altgeräte, temporär installierte Sensoren sowie Systeme, die von Dienstleistern betreut werden. Das Inventar sollte mit technischen Erkennungsverfahren abgeglichen und nach Änderungen aktualisiert werden. Für jedes kritische Asset braucht es zudem einen benannten Verantwortlichen und eine Entscheidung, wie mit Geräten ohne Sicherheitsupdates umzugehen ist.

Praxisbeispiel: Bei einer Bestandsaufnahme entdeckt ein Logistikunternehmen mehrere ältere Mobilfunk-Gateways, deren Hersteller keine Aktualisierungen mehr liefert. Statt die Geräte unkontrolliert weiterzubetreiben, werden sie in ein getrenntes Netzsegment verschoben, stärker überwacht und nach einem festen Zeitplan ersetzt. Gleichzeitig dokumentiert das Unternehmen, welche Lagerprozesse von den Gateways abhängen.

3. Wiederanlauf priorisieren

Ein Wiederanlaufplan muss die richtige Reihenfolge technisch und organisatorisch festlegen. Systeme dürfen nicht isoliert betrachtet werden: Eine Anwendung kann erst starten, wenn Identitätsdienste, Namensauflösung, Datenbanken, Netzverbindungen und gegebenenfalls Cloud- oder Lieferantendienste verfügbar sind. Für jede kritische Leistung sollten Wiederanlaufziel, Datenverlusttoleranz, Mindestkonfiguration, Freigabekriterien und verantwortliche Personen dokumentiert sein. Ebenso wichtig ist die Frage, wann ein System bewusst noch nicht wieder verbunden werden darf, weil Ursache und Ausbreitungsweg eines Angriffs ungeklärt sind.

Praxisbeispiel: Nach einem Ransomware-Vorfall stellt ein Krankenhaus nicht sofort alle Systeme wieder online. Zuerst werden ein bereinigtes Kernnetz, die Benutzerverwaltung und die Kommunikation zwischen Notaufnahme und Labor aufgebaut. Erst nach Sicherheitsprüfung folgen weitere klinische Anwendungen. Nicht benötigte Verwaltungsdienste bleiben vorerst abgeschaltet, damit das Wiederanlaufteam seine Kapazitäten auf die Patientenversorgung konzentrieren kann.

4. Krisenkommunikation offline absichern

Während eines Angriffs können E-Mail, Kollaborationsplattform, Verzeichnisdienst und interne Telefonie gleichzeitig ausfallen oder als kompromittiert gelten. Deshalb müssen Kontaktlisten, Eskalationswege, Entscheidungsbefugnisse, Behördenkontakte, Vorlagen für Kunden- und Mitarbeiterinformationen sowie alternative Kommunikationskanäle auch außerhalb des Produktivnetzes verfügbar sein. Gedruckte Kurzfassungen, gesicherte Offline-Dateien und unabhängig betriebene Kommunikationsmittel helfen, handlungsfähig zu bleiben. Zugleich sollte geregelt sein, wer welche Informationen freigibt und wie widersprüchliche Aussagen vermieden werden.

Praxisbeispiel: Ein Mittelständler hinterlegt versiegelte Krisenmappen an zwei Standorten. Sie enthalten Rollen, Mobilnummern, Kontakte zu Forensik, Versicherung und Behörden sowie vorbereitete Textbausteine. Bei einem Identitätsangriff koordiniert das Krisenteam die ersten Stunden über zuvor ausgegebene Notfalltelefone und dokumentiert Entscheidungen in einem papiergestützten Einsatzprotokoll.

5. Meldepflichten in den Ablauf integrieren

Regulatorische Meldungen dürfen im Krisenfall nicht als nachgelagerte Verwaltungsaufgabe behandelt werden. Der Incident-Response-Prozess sollte festlegen, wer einen Vorfall bewertet, welche Fakten innerhalb der ersten Stunden benötigt werden, wer Meldungen freigibt und wie technische Erkenntnisse revisionssicher dokumentiert werden. CRA, NIS2 und branchenspezifische Vorgaben können unterschiedliche Adressaten, Schwellenwerte und Fristen vorsehen. Deshalb sollten Recht, Compliance, Datenschutz, Produktsicherheit und IT-Sicherheit bereits vor einem Vorfall ein gemeinsames Bewertungs- und Freigabeverfahren definieren.[6][9]

Praxisbeispiel: Ein Anbieter vernetzter Geräte nutzt ein einheitliches Erstbewertungsformular. Das Security-Team trägt betroffene Produkte, bekannte Auswirkungen, erste Eindämmungsmaßnahmen und den Stand der Analyse ein. Recht und Produktsicherheit prüfen parallel, ob eine Meldepflicht ausgelöst wurde. Eine feste Vertretungsregel stellt sicher, dass die Bewertung auch nachts oder am Wochenende beginnen kann.

6. Lieferanten einbeziehen

Viele IoT- und OT-Umgebungen hängen von Herstellern, Cloud-Plattformen, Mobilfunkanbietern, Fernwartungsfirmen und spezialisierten Integratoren ab. Verträge sollten deshalb nicht nur Verfügbarkeit versprechen, sondern auch Sicherheitsupdates, Schwachstellenmeldungen, Reaktionszeiten, Protokolldaten, Ansprechpartner, sichere Fernzugriffe und Unterstützung bei der Ursachenanalyse regeln. Unternehmen sollten außerdem wissen, welche Daten und Konfigurationen sie selbst sichern müssen und wie der Betrieb fortgeführt wird, wenn ein Lieferant ausfällt oder nicht erreichbar ist.

Praxisbeispiel: Ein Produktionsbetrieb stellt bei einer Übung fest, dass nur der Maschinenhersteller die Steuerung aus einer Sicherung wiederherstellen kann. Daraufhin werden Wiederanlaufzeiten, Rufbereitschaft und die regelmäßige Übergabe geprüfter Konfigurationssicherungen vertraglich festgelegt. Zusätzlich erhält das interne Team eine dokumentierte Notprozedur für einen eingeschränkten manuellen Betrieb.

7. Tabletop-Übungen durchführen

Pläne zeigen ihren Wert erst unter realistischen Bedingungen. In einer Tabletop-Übung durchläuft ein interdisziplinäres Team ein Angriffsszenario Schritt für Schritt: Wer trifft die erste Entscheidung? Welche Systeme werden getrennt? Wann werden Geschäftsleitung, Behörden, Kunden oder Lieferanten informiert? Welche Informationen fehlen? Gute Übungen prüfen nicht nur Technik, sondern auch Zuständigkeiten, Entscheidungswege, Kommunikationsfähigkeit und Zielkonflikte. CISA stellt dafür anpassbare Tabletop-Pakete mit Szenarien und Auswertungsunterlagen bereit.[11]

Praxisbeispiel: In einer Übung wird ein kompromittierter Fernwartungszugang simuliert. Die IT will die Verbindung sofort abschalten, die Produktion warnt jedoch vor einem ungeplanten Maschinenstopp. Das Team entwickelt daraufhin eine abgestufte Maßnahme: Zugang sperren, betroffene Systeme segmentieren, sichere Betriebszustände herstellen und erst danach kontrolliert abschalten. Die Übung macht sichtbar, welche Entscheidungskriterien bisher fehlten.

8. Nach Übungen und Vorfällen nachsteuern

Eine Übung oder ein Vorfall ist erst abgeschlossen, wenn die Erkenntnisse in überprüfbare Verbesserungen überführt wurden. Jede Feststellung sollte eine konkrete Maßnahme, eine verantwortliche Person, einen Termin und ein Erfolgskriterium erhalten. Dabei sind nicht nur technische Lücken relevant, sondern auch unklare Rollen, fehlende Kontaktdaten, ungeeignete Verträge oder nicht verfügbare Ersatzprozesse. Fortschritte sollten regelmäßig an das Management berichtet und offene Punkte nach Risiko priorisiert werden. Das BSI strukturiert Notfallmanagement in Vorbereitung, Bereitschaft, Bewältigung und Nachbereitung.[12]

Praxisbeispiel: Nach einer Krisenübung dokumentiert ein Unternehmen 18 Feststellungen. Statt alle gleich zu behandeln, ordnet es sie nach Geschäftsrisiko. Fehlende Offline-Kontaktdaten und eine nicht getestete Wiederherstellung der Produktionsdatenbank müssen innerhalb von 30 Tagen behoben werden; redaktionelle Verbesserungen am Handbuch folgen später. In der nächsten Übung wird gezielt geprüft, ob die priorisierten Maßnahmen wirksam umgesetzt wurden.

FAQ

Was bedeutet Cyberresilienz?
Cyberresilienz beschreibt die Fähigkeit einer Organisation, Cybervorfälle vorzubereiten, zu erkennen, zu bewältigen und den Geschäftsbetrieb kontrolliert wiederherzustellen. Das NIST Cybersecurity Framework 2.0 ordnet diese Aufgabe in die sechs Funktionen Govern, Identify, Protect, Detect, Respond und Recover ein.[13]
Warum reicht klassische IT-Sicherheit nicht aus?
Schutzmaßnahmen können Risiken reduzieren, schließen Vorfälle aber nicht aus. Resilienz ergänzt Prävention um Erkennung, Reaktion, Wiederanlauf und die Aufrechterhaltung kritischer Leistungen.
Welche Systeme sollten Unternehmen zuerst absichern?
Priorität haben Systeme, deren Ausfall sicherheitskritische, regulatorische oder besonders hohe betriebliche Folgen hätte. Grundlage sind eine Business-Impact-Analyse, ein aktuelles Asset-Inventar und dokumentierte Abhängigkeiten.
Was muss ein Incident-Response-Plan mindestens enthalten?
Er sollte Rollen, Entscheidungsbefugnisse, Eskalations- und Meldewege, technische Erstmaßnahmen, Beweissicherung, interne und externe Kommunikation sowie Kriterien für Wiederanlauf und Abschluss regeln. CISA empfiehlt klar ausführbare Pläne und Strategien.[14]
Wie oft sollten Notfallpläne getestet werden?
Eine starre allgemeingültige Frist nennt die herangezogene CISA-Quelle nicht. Sinnvoll sind risikobasierte und regelmäßige Übungen sowie zusätzliche Tests nach wesentlichen Änderungen; CISA stellt dafür anpassbare Tabletop-Pakete mit Szenarien und Auswertungsunterlagen bereit.[11]
Was verlangt der Cyber Resilience Act bei Vorfällen?
Seit dem 11. September 2026 müssen Hersteller aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle bei Produkten mit digitalen Elementen melden. Vorgesehen sind eine Frühwarnung binnen 24 Stunden und eine vollständige Meldung binnen 72 Stunden; weitere Abschlussberichte folgen abhängig vom Fall.[6]
Welche Meldefristen gelten nach NIS2?
Für erhebliche Sicherheitsvorfälle sieht NIS2 grundsätzlich eine Frühwarnung innerhalb von 24 Stunden und eine Vorfallmeldung innerhalb von 72 Stunden vor. Die konkrete Anwendbarkeit und nationale Umsetzung sind im Einzelfall zu prüfen.[9]
Welche Rolle spielt Security by Design bei IoT?
Sicherheitsanforderungen sollten bereits in Anforderungen, Architektur und Entwicklung einfließen und über Bereitstellung, Wartung und Außerbetriebnahme fortgeführt werden. ENISA betrachtet hierfür ausdrücklich den gesamten IoT-Lebenszyklus.[10]
Wie lassen sich Lieferantenrisiken begrenzen?
Unternehmen sollten Sicherheitsanforderungen, Update- und Supportzeiträume, Schwachstellenmeldungen, Fernzugriffe, Reaktionszeiten und Exit-Szenarien vertraglich und technisch festlegen. Entscheidend ist außerdem, Abhängigkeiten von Cloud-, Netz- und Wartungsdiensten sichtbar zu machen.
Woran erkennt das Management Fortschritt?
Geeignete Kennzahlen sind unter anderem Inventarabdeckung, Zeit bis zur Erkennung und Eindämmung, Wiederanlaufzeit kritischer Leistungen, Anteil getesteter Notfallpläne, offene kritische Schwachstellen, Patch-Zeiten sowie fristgerecht abgearbeitete Übungsmaßnahmen. NIST CSF 2.0 kann dabei als gemeinsamer Steuerungsrahmen dienen.[13]

Quellen

[1] https://www.nist.gov/cybersecurity-awareness-month

[2] https://www.bsi.bund.de/DE/Service-Navi/Veranstaltungen/ECSM/ecsm_node.html

[3] https://staysafeonline.org/programs/about-cybersecurity-awareness-month/

[4] https://www.ibm.com/reports/data-breach

[5] https://www.enisa.europa.eu/topics/cyber-threats/threat-landscape

[6] https://digital-strategy.ec.europa.eu/en/policies/cra-reporting

[7] https://digital-strategy.ec.europa.eu/en/library/commission-publishes-new-guidance-support-timely-cyber-resilience-act-implementation

[8] https://wirelesslogic.com/de/blog/author/iain-davidsonwirelesslogic-com

[9] https://www.enisa.europa.eu/topics/state-of-cybersecurity-in-the-eu/threats-and-incidents

[10] https://www.enisa.europa.eu/publications/guidelines-for-securing-the-internet-of-things

[11] https://www.cisa.gov/resources-tools/services/cisa-tabletop-exercise-packages

[12] https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Informationen-und-Empfehlungen/Empfehlungen-nach-Angriffszielen/Unternehmen-allgemein/IT-Notfallkarte/Massnahmenkatalog/massnahmenkatalog.html

[13] https://www.nist.gov/cyberframework

[14] https://www.cisa.gov/topics/cyber-threats-and-response/incident-response

Management Summary, FAQ und Bild wurden mit Hilfe von KI erstellt

944 Artikel zu „Cyberresilienz“

IT-Security | News | Tipps | Trends 2026 | Trends Security | Whitepaper

Cyberresilienz statt Schuldzuweisung: Sicherheit muss menschliche Fehler einkalkulieren

8. Oktober 2026

Cybersecurity scheitert im Alltag selten an einer einzigen fehlenden Lösung. Häufiger treffen menschliche Fehlentscheidungen auf knappe Budgets, unvollständige Prozesse und schwer bedienbare Schutzmaßnahmen. Der Kaseya Cybersecurity Report 2026 fordert deshalb einen Perspektivwechsel: Unternehmen sollten Fehler einkalkulieren, Hürden für sicheres Verhalten senken und ihre Reaktionsfähigkeit regelmäßig unter realistischen Bedingungen testen. Bild: Cyberresilienz verbindet sichere Kommunikation,…