foto ki designer

Management Summary

• Urlaubszeit ist Risikobetrieb: Reduzierte Personalstärke, höhere Abhängigkeit von IT-Systemen und wachsende Angriffsflächen machen die Sommermonate zu einer Phase mit erhöhtem Kontrollbedarf.
• KI verändert das Schwachstellenmanagement: Frontier-KI-Modelle beschleunigen die Entdeckung und Veröffentlichung von Verwundbarkeiten; Patch-, CERT- und Threat-Feed-Prozesse müssen deshalb auch in Ferienzeiten aktiv bleiben.
• Klare Rollen verhindern Wissensmonopole: Ein offiziell definierter Reduced Staff Operating Mode mit Stellvertretungen, Eskalationswegen und Bereitschaften reduziert operative Blindstellen.
• Cyberresilienz entscheidet sich vor dem Vorfall: Backup-Integrität, Restore-Tests, Rollback-Verfahren und dokumentierte Notfalländerungen müssen vor der Urlaubssaison belastbar geprüft sein.
• Tabletop-Tests schaffen Handlungssicherheit: Durchgespielte Incident-Response-Runbooks für Ransomware, Account-Takeover und Cloud-Ausfälle helfen Teams, auch mit kleiner Besetzung schnell und koordiniert zu reagieren.

Die Ferienzeit ist eine Zeit eines »besonderen Betriebsmodus mit erhöhten Kontrollanforderungen«, wie es in bürokratischer Sprache heißt – unter Technikern auch als »erhöhte Aufmerksamkeit« bekannt. Diesen Sommer sollten IT-Teams ihre Aufmerksamkeit stärker auf Schwachstellen, vorgezogene Patch-Zyklen und das Incident Management richten, denn Mythos und andere Frontier-KI-Modelle haben die Risikobewertung verändert. Es werden mehr Schwachstellen veröffentlicht, welche die Resilienz einer Organisation bedrohen. Es gilt, den Fokus neu auszurichten, bevor die neuen KI-Gefahren im operativen Betrieb ankommen.

Die Statistiken der vergangenen drei Sommer zeigen keinen signifikanten Anstieg der Cyberangriffe, auch wenn die Risiken für Branchen mit besonders hohen saisonalen Umsätzen in der Sommerzeit höher sind, darunter etwa Tourismus, Reiseveranstalter, Hotels und Logistikunternehmen. CheckPoint hat in einer aktuellen Analyse auf diese Zusammenhänge hingewiesen. Diese Unterenehmen geraten offenbar in diesen Monaten verstärkt in den Fokus der Cyberkriminellen, da sie in ihrer Hauptumsatz-Saison stark von funktionierenden IT-Systemen abhängig und daher leichter durch Ransomware zu erpressen sind. Eine weitere Gefahr für die Tourismusbranche sind etwa Angriffe zur Datenspionage. Statistiken der europäischen Agentur für Cybersicherheit ENISA und des Computer Emergency Response Teams CERT-EU belegen das generelle Risiko, dass die Gesamtzahl der Angriffe auf alle Branchen kontinuierlich von Jahr zu Jahr steigt. Checkpoint hatte für das Sommerquartal 2025 anhand der Auswertung von Data-Leakage-Seiten eine im Jahresvergleich steigende Aktivität der Hacker belegt.

Um diese wichtige, aber risikobehaftete Urlaubszeit gut zu überstehen, empfehlen ENISA und andere Organisationen oder auch IT-Berater deshalb eine klare Strategie: Vorbereitung vor der Sommerperiode, strengere Kontrollen während dieser Monate sowie die Analyse der nach dem Sommer gewonnenen Erkenntnisse, um Maßnahmen für die Urlaubssaison im Winter anzupassen.

Die Cyberresilienz-Experten von Commvault geben daher sechs praktische Ratschläge, wie sich IT-Verantwortliche angemessen auf die Sommerperiode vorbereiten können:

1. Den Sommer-Betriebsmodus offiziell erklären:
   Sicherheitsexperten fordern klare Rollen, Verantwortlichkeiten und die Verfügbarkeit von Sicherheitsfunktionen. Auch das BSI warnt, dass Personalabwesenheiten und Wissensmonopole Geschäftsprozesse gefährden können. Die Verantwortlichen für die Sicherheit, Sicherung und Verfügbarkeit der IT und der Daten sollten daher für die Monate Juli und August einen »Reduced Staff Operating Mode« erklären und definieren. Dieser regelt den Vorrang kritischer Services und berücksichtigt die Minimalvorgaben an eine notwendige Betriebsfähigkeit. Er benennt auch die Verantwortlichen, Stellvertretungen, Bereitschaftsdienste, hinterlegt die einschlägigen Kontakte in der Supply Chain und definiert Eskalationszeiten.
2. Stellvertreter einsetzen und Vier-Augen-Prinzip durchsetzen:
   Kein kritischer Prozess sollte von einer einzelnen Person abhängen: Administratoren, Security Operation Center sowie die Verantwortlichen für Netzwerk, Identity Access Management, Backup, Cloud, Service Desk, Einkauf/Finanzen und Kommunikationsfreigaben benötigen benannte Vertreter. Ebenso wichtig sind Inventare privilegierter Konten sowie deren regelmäßige Validationen.
3. Patch- und Schwachstellenüberwachung aktiv halten:
   Die Zahl der durch KI-Modelle wie Mythos offengelegten Schwachstellen wird steigen. Das so beschleunigte und häufigere Aufkommen von Angriffen oder Angriffsversuchen erfordert möglicherweise zusätzliche Aufmerksamkeit. Kritische Schwachstellen dürfen nicht bis nach den Ferien warten: Die IT-Sicherheitsverantwortlichen müssen sicherstellen, dass tägliche bzw. regelmäßige Checks von CERT/CSIRT-, Anbieter- und Threat-Feeds erfolgen und Risiken priorisiert werden. Kompensierende Maßnahmen sind im Vorfeld zu testen, zu implementieren und zu dokumentieren. Die allgemeine Empfehlung lautet, relevante Schwachstellenkanäle zu überwachen, Scans durchzuführen und kritische Verwundbarkeiten schnell zu behandeln.
4. Nicht-kritische Änderungen einfrieren; kritische und Notfalländerungen definieren:
   Für die Urlaubszeit gilt: Notfall-Prozesse für kritische Patches und Vorfälle sind aufrechtzuerhalten, nicht Kritisches ist zu verschieben. Ein in der Branche akzeptiertes Notfallmanagement verlangt, Patches und Änderungen geplant, genehmigt, dokumentiert, getestet und durch eine Recovery-Lösung abzusichern; Ebenso wichtig sind Änderungsverfahren mit verbundener Risikoanalyse, Tests, Rollback und Dokumentation.
5. Backup und Recovery tatsächlich überprüfen:
   Gerade vor dem Sommerbetriebsmodus ist es wichtig, die Funktionsfähigkeit von Backups zu überprüfen. Verantwortliche sollten sich nicht nur vergewissern, ob Backups laufen, sondern, ob sie damit kritische Dienste tatsächlich wiederherstellen können: Zum Testkatalog gehören Restore-Tests sowie das Überprüfen der Integrität der Daten, Offsite-/Offline-/Immutable-Kopien, getrennte Administratorrechte und der Zugang auf eine dokumentierte Recovery auch dann, wenn das Unternehmensnetzwerk nicht verfügbar ist. Auch die Commvault-Experten raten zu Backup-Plänen, zu einer sicheren getrennter Speicherung, Integritätsprüfungen und regelmäßigen Wiederherstellungstests.
6. Incident-Response-Runbooks durchspielen:
   Gerade vor der Sommerferienzeit empfiehlt sich ein Tabletop-Test für mindestens drei Ausfallszenarien: Phishing/Account-Takeover, Ransomware/Backup-Manipulation, kritischer SaaS-/Cloud-Ausfall. Die ENISA empfiehlt getestete Incident-Response-Verfahren, Playbooks/Runbooks und jährliche Tests mit Lessons Learned.

Cyber-Resilienz im Sommer erfordert eine starke Koordination menschlicher und technischer Fähigkeiten, insbesondere angesichts des Aufstiegs von KI. Sie erfordert außerdem Rückhalt und Unterstützung aus den Geschäftsbereichen, damit nichtkritische geschäftliche Änderungen reduziert und der Druck auf Teams verringert wird. Diese bekommen so mehr Zeit, ihre Prozesse anzupassen. Der Sommer sollte nicht zum Krisensommer werden – er sollte vielmehr der Moment sein, in dem die Teammitglieder ihre Stärke zu entwickeln.

Mark Molyneux, Field CTO bei Commvault. Bildquelle: Commvault.

FAQ

Warum ist die Sommerzeit für IT-Teams besonders kritisch?
Viele Organisationen arbeiten mit reduzierter Besetzung, während kritische Services weiter verfügbar sein müssen. Dadurch steigt das Risiko, dass Schwachstellen, Angriffe oder Ausfälle später erkannt und langsamer bearbeitet werden.

Was bedeutet »Reduced Staff Operating Mode«?
Gemeint ist ein bewusst definierter Betriebsmodus für Zeiten geringer Personalstärke. Er legt fest, welche Services Priorität haben, wer verantwortlich ist, welche Stellvertretungen greifen und wie schnell eskaliert werden muss.

Welche Maßnahmen sollten vor der Urlaubsperiode geprüft werden?
Zu den wichtigsten Punkten gehören aktive Patch- und Schwachstellenüberwachung, getestete Backup- und Restore-Prozesse, dokumentierte Notfalländerungen, aktuelle Kontaktlisten und durchgespielte Incident-Response-Runbooks.

Warum spielen Backup und Recovery eine so zentrale Rolle?
Im Ernstfall reicht es nicht, dass Backups vorhanden sind. Entscheidend ist, ob kritische Dienste tatsächlich sauber, schnell und nachvollziehbar wiederhergestellt werden können – auch dann, wenn Teile der Infrastruktur kompromittiert sind.

Wie helfen Tabletop-Übungen im Incident Management?
Sie machen sichtbar, ob Rollen, Eskalationswege, technische Maßnahmen und Kommunikationsprozesse im Ernstfall funktionieren. Besonders bei kleiner Besetzung reduzieren sie Unsicherheit und beschleunigen koordinierte Entscheidungen.