:quality(90):no_upscale()){kind=logo}
Angreifer sind mittlerweile schneller als die Maßnahmen, die zu ihrer Abwehr entwickelt wurden
STATUS: Sich wandelnde Bedrohungslage SCHWERIGKEITSGRAD: 7/10 ZIELGRUPPE: Verantwortliche für Sicherheit in den Bereichen Regierung, kritische Infrastruktur sowie Transport und Logistik
12. Oktober 2026
·Blog
·Sichere Kommunikation
:quality(90):no_upscale())
Sicherheitsverantwortliche von Google, Mandiant, Symantec, Trellix und der CISA warnen davor, dass „ KI “ die Hürde für raffinierte Cyberangriffe senkt und die Zeitspanne zwischen der Offenlegung einer Sicherheitslücke und deren Ausnutzung auf wenige Minuten verkürzt. Dies führt dazu, dass Behörden und Organisationen mit kritischer Infrastruktur zunehmend darauf vorbereitet sein müssen, den Betrieb auch im Falle einer Kompromittierung aufrechtzuerhalten – und nicht nur, diese zu verhindern.2,3
Was ist passiert?
Angriffe durch Nationalstaaten nutzen bekannte Sicherheitslücken fast augenblicklich als Waffe aus.
Auf dem Billington Cybersecurity Summit Anfang dieses Monats beschrieben hochrangige Sicherheitsverantwortliche und Regierungsvertreter einen bereits im Gange befindlichen Wandel: Das „ KI “ senkt die technischen Hürden für Angriffe auf Nationalstaatsniveau und verkürzt gleichzeitig die Reaktionszeit der Verteidiger. „Die Schwelle für die Komplexität eines Angriffs auf staatlicher Ebene ist gesunken“, sagte Vikram Thakur, technischer Direktor bei Symantec by Broadcom, und warnte davor, dass „ KI “ es nun sogar gewöhnlichen Cyberkriminellen ermöglicht, Angriffe zu starten, die wie staatliche Operationen aussehen.1
Die konkreteste Veränderung ist die Geschwindigkeit. John Hultquist, Chefanalyst bei Googles Threat Intelligence Group, beschrieb einen Wandel weg von Angreifern, die täglich manuell nach neuen Schwachstellen suchen, hin zu autonomen Systemen, die ununterbrochen auf der Suche sind und so die Zeitspanne zwischen Bekanntwerden und Ausnutzung auf Minuten oder Sekunden verkürzen. John Fokker von Trellix brachte die praktische Konsequenz auf den Punkt: Unternehmen haben nun nur noch wenige Sekunden Zeit, um eine Sicherheitslücke zu schließen, bevor bereits jemand eingedrungen ist.1 Dieser Zeitrahmen macht routinemäßige Patch-Zyklen – selbst disziplinierte – für sich genommen zu einem unzuverlässigen Schutz.
US-Beamte betrachten dies als ein aktuelles Planungsproblem und nicht als ein zukünftiges Risiko. Der amtierende Direktor der CISA, Nick Andersen, skizzierte das konkrete Szenario, auf das sich Sicherheitsteams nun in ihren Planungen einstellen müssen: einen Moment, in dem eine gegnerische Nation dazu übergeht, zivile kritische Infrastrukturen direkt zu beeinträchtigen, anstatt sich lediglich darin zu positionieren. Charles Carmakal von Mandiant, der Eindringversuche in Organisationen verfolgt, die in der Lage sind, kritische Infrastrukturen zu stören, formuliert die offene Frage auf dieselbe Weise: Der Zugang ist in vielen Fällen bereits vorhanden, und die verbleibende Variable ist, ob ein geopolitischer Auslöser die Abwägung hinsichtlich seiner Nutzung verändert.1
Das ist kein hypothetisches Szenario, das sich auf ein Land beschränkt. In diesem Jahr wurden in mehreren Regionen Angriffe und Störungen gemeldet, darunter eine anhaltende Kampagne gegen mehr als 100 US-amerikanische Wasserversorger2sowie ein viertägiger Ausfall bei einem britischen Stromerzeuger, der auf mutmaßliche staatlich gestützte Aktivitäten zurückgeführt wird3sowie bestätigte Kampagnen zur Übernahme von Konten hochrangiger EU-Beamter4– all dies passt zu dem Muster, das Experten beschreiben: Angreifer, die sich innerhalb ziviler Infrastruktur positionieren oder gegen diese vorgehen, weit außerhalb eines erklärten Konflikts. Die von Carmakal beschriebene Vorpositionierung ist nicht mehr nur Theorie. In diesem Jahr hat sie bereits zu tatsächlichen Ausfällen und Kontoübernahmen in mehreren Regionen beigetragen.
Die CISA-eigenen Leitlinien für CISOs spiegeln den Wandel von Prävention hin zu Resilienz wider. Andersen erklärte auf dem Gipfel, dass bei Tabletop-Übungen längere Störungen in den Bereichen Stromversorgung, Telekommunikation, Wasserversorgung, Cloud-Dienste oder bei Lieferanten nicht mehr einfach als außerhalb des Anwendungsbereichs abgetan werden können. Von Organisationen wird nun erwartet, dass sie Pläne für die Aufrechterhaltung des Betriebs im Falle einer Kompromittierung erstellen und nicht nur darauf abzielen, diese zu verhindern.1
Was sie herausgefunden haben und was das bedeutet
Ergebnis | Was das bedeutet | Operative Konsequenz | Offene Frage |
KI verringert den Zeitraum zwischen der Offenlegung einer Sicherheitslücke und deren Ausnutzung auf wenige Minuten, wobei Forscher eine Zukunft beschreiben, in der autonome Systeme kontinuierlich nach neuen Schwachstellen suchen, anstatt darauf zu warten, dass ein Mensch diese überprüft. | Selbst ein disziplinierter Patch-Rhythmus reicht allein nicht mehr als Schutz aus, da sich das Zeitfenster für die Ausnutzung einer Sicherheitslücke schließen kann, bevor ein Patch-Zyklus abgeschlossen ist. | Unternehmen, die sich ausschließlich auf ein planmäßiges Schwachstellenmanagement verlassen, hinken einem Angreifer, der weder schläft noch auf einen günstigen Zeitpunkt für einen Angriff wartet, strukturell hinterher. | Wie viele der derzeitigen Patch- und Änderungsmanagementprozesse gehen von einem Reaktionszeitfenster aus, das in Tagen statt in Minuten gemessen wird? |
Experten beschreiben „ KI “ als eine Methode, die die Grenze zwischen Nationalstaaten und kriminellen Strukturen verwischt und es auch weniger erfahrenen Akteuren ermöglicht, Angriffe durchzuführen, die den Anschein erwecken, als seien sie staatlich gestützt. | Unternehmen können sich nicht mehr allein auf die Raffinesse der Angriffe verlassen, um festzustellen, mit wem sie es zu tun haben. Die Anzeichen, die früher darauf hindeuteten, dass ein Angriff staatlich unterstützt war, werden immer unzuverlässiger. | Eine Organisation, die sich selbst nie als strategisch bedeutsam angesehen hat, könnte mit Methoden auf Nationalstaatsebene konfrontiert werden, die von einem Akteur angewendet werden, der keinerlei staatliche Unterstützung genießt – und umgekehrt. | Wird in aktuellen Bedrohungsmodellen noch sinnvoll zwischen kriminellen Akteuren und staatlichen Akteuren unterschieden, oder hat diese Unterscheidung an Bedeutung verloren? |
Die CISA hat die CISOs angewiesen, ihre Planung so auszurichten, dass sie auch bei länger andauernden Störungen der Strom-, Telekommunikations-, Wasser- und Cloud-Versorgung sowie bei Ausfällen von Lieferanten den Betrieb aufrechterhalten können, anstatt davon auszugehen, dass solche Szenarien bei der Planung außer Acht gelassen werden können. | Die Haltung der Bundesregierung hat sich von der Unterstützung von Organisationen bei der Verhinderung eines Vorfalls hin zur Unterstützung bei der Bewältigung eines solchen Vorfalls verschoben – ein wesentlich anderer Planungsansatz. | Eine Organisation, deren Notfallplan eine länger andauernde Störung der Infrastruktur nach wie vor als einen seltenen Sonderfall mit geringer Eintrittswahrscheinlichkeit behandelt, steht nun im Widerspruch zu der Regierungsbehörde, die die Maßnahmen zur Bewältigung genau dieses Szenarios koordiniert. | Wurde bei der letzten Tabletop-Übung Ihrer Organisation ein derart schwerwiegendes Szenario tatsächlich durchgespielt, oder wurde davon stillschweigend ausgegangen, dass es nicht eintreten würde? |
Warum das wichtig ist
Alte Annahme | Aktuelle Realität | BlackBerry-Antwort |
Ein sinnvoller Patch-Rhythmus, wöchentliche oder monatliche Schwachstellenscans sowie planmäßige Updates stellen einen angemessenen Schutz gegen einen ernstzunehmenden Angreifer dar. | Sicherheitsforscher beschreiben, dass sich die Zeitspanne zwischen der Bekanntgabe einer Sicherheitslücke und deren Ausnutzung auf wenige Minuten verkürzt, was auf „ KI “-Systeme zurückzuführen ist, die kontinuierlich statt nur in regelmäßigen Abständen überwachen. | BlackBerry®UEM sorgt kontinuierlich für die Einhaltung der Gerätekonformität, anstatt sich an einem Scan-Zyklus zu orientieren, und schließt so die Lücke zwischen der Verfügbarkeit eines Patches und der tatsächlichen Überprüfung, ob ein Gerät aktualisiert wurde. |
Nur Organisationen mit offensichtlichem strategischem Wert – Rüstungsunternehmen, große Versorgungsunternehmen und Regierungsbehörden – müssen Bedrohungen durch Nationalstaaten aktiv modellieren. | Experten beschreiben, dass „ KI “ die Grenze zwischen kriminellen und staatlich geförderten Fähigkeiten verwischt, was bedeutet, dass der Grad der Raffinesse allein nicht mehr Aufschluss darüber gibt, wer hinter einem Angriff steckt. | BlackBerry® SecuSUITE® und BlackBerry® AtHoc® basieren auf der Annahme, dass jede Organisation, die sensible Koordinationsaufgaben wahrnimmt, ein plausibles Ziel darstellt – und zwar kein nur unter bestimmten Umständen mögliches –, unabhängig davon, wie die Organisation ihr eigenes strategisches Profil einschätzt. |
Bei der Planung der Geschäftskontinuität kann man längere Ausfälle der Stromversorgung, der Telekommunikation, der Wasserversorgung oder der Cloud durchaus als Randfall betrachten, der so unwahrscheinlich ist, dass man ihn in einer Simulationsübung einfach außer Acht lassen kann. | Die CISA weist die CISOs nun direkt darauf hin, dass diese Annahme nicht mehr akzeptabel ist, und tatsächliche Vorfälle in diesem Jahr zeigen bereits, dass sich dieses Szenario tatsächlich abspielt. | BlackBerry AtHoc wurde speziell für das von der CISA beschriebene Szenario entwickelt, nämlich die Koordination von Personal und Maßnahmen, wenn das primäre Netzwerk oder die Infrastruktur, auf die eine Organisation angewiesen ist, ausgefallen ist. |
Empfohlene Maßnahmen
Aktion | Was das in der Praxis bedeutet |
SOFORT | Prüfen Sie, ob bei der letzten Kontinuitätsübung Ihrer Organisation tatsächlich eine länger andauernde Störung der Strom-, Telekommunikations-, Wasserversorgung oder der Cloud-Dienste getestet wurde oder ob diese als außerhalb des Untersuchungsumfangs liegend ausgeklammert wurde. |
SOFORT | Überprüfen Sie erneut, ob Ihr Bedrohungsmodell „Nationalstaaten“ und „Kriminelle“ weiterhin als getrennte Reaktionsstufen behandelt, da es mit Hilfe von KI-basierten Tools mittlerweile beiden Akteursgruppen möglich ist, ähnlich aussehende Angriffe durchzuführen. |
KURZFRISTIG | Verlagern Sie die Überprüfung der Geräte- und Patch-Compliance von periodischen Scans hin zu einer kontinuierlichen Überwachung, da das Zeitfenster für Angriffe, das diesen Wandel vorantreibt, mittlerweile in Minuten statt in Tagen gemessen wird. |
KURZFRISTIG | Ermitteln Sie, welche Vermögenswerte, Forschungsergebnisse, Lieferanten, Kundenbeziehungen, Verträge und Zugänge zur Infrastruktur Ihrer Organisation für einen ausländischen Gegner strategisch relevant sein könnten, auch wenn diese Relevanz von außen nicht offensichtlich ist. |
LAUFEND | Beobachten Sie die Leitlinien der CISA und entsprechende internationale Vorgaben hinsichtlich der sprachlichen Verlagerung von einem präventionsorientierten hin zu einem resilienzorientierten Ansatz, da diese Schwerpunktverlagerung häufig formellen politischen oder beschaffungstechnischen Änderungen vorausgeht. |
Position im Bereich „BlackBerry Secure Communications“
CISOs waren sich der Risiken durch Nationalstaaten bereits bewusst. Was sich geändert hat, ist die Zeit, die ihnen bleibt, um darauf zu reagieren: Ein Angreifer, der früher Tage brauchte, um von einer bekannt gewordenen Schwachstelle zu einem funktionierenden Exploit zu gelangen, überbrückt diese Lücke nun innerhalb von Minuten, und ein Unternehmen, das davon ausging, nicht strategisch interessant genug zu sein, um ins Visier zu geraten, hat keine verlässliche Möglichkeit mehr, diese Annahme zu überprüfen. Die erfolgreiche Bewältigung dieses Wandels hängt weniger von der Geschwindigkeit der Patches ab, sondern vielmehr davon, ob ein Unternehmen über eine Möglichkeit verfügt, die Koordination aufrechtzuerhalten, wenn die Infrastruktur, auf die es sich normalerweise stützt, nicht mehr verfügbar ist.
Quellenangaben:
1. CISOs können die Bedrohung durch Nationalstaaten nicht länger ignorieren (CSO Online, Cynthia Brumfield, 22. September 2026).
2. CISA fordert den Wasser- und Abwassersektor nachdrücklich auf, OT vor Angriffen auf SPSen zu schützen (Cybersecurity and Infrastructure Security Agency (CISA), 30. Juli 2026).
3. Kleiner britischer Stromerzeuger nach Cyberangriff mit Verbindungen zum Iran abgeschaltet: „The Telegraph“ (CNBC, 23. August 2026).
4. Staatlich unterstützte Hacker hatten es auf EU-Beamte auf WhatsApp abgesehen, wie ein Dokument zeigt (POLITICO Europe, Sam Clark, 25. August 2026).
:quality(90):no_upscale())