Die Lage der IT-Sicherheit in Deutschland 2024

Der neue BSI-Lagebericht zur IT-Sicherheit 2024 dokumentiert ein weiteres Jahr mit weiteren Cyberbedrohungen. Der Lagebericht zeigt eindeutig, das Thema IT-Sicherheit wird jeden Tag wichtiger und ist damit längst Chefsache. Die tägliche Gefahr durch Cyberbedrohungen ist vielfältig und wird zunehmend durch Angriffe auf kritische Infrastrukturen systemrelevant.

Ransomware, DDoS, staatlich unterstützte Spionage und die zunehmende Ausnutzung kritischer Schwachstellen machen IT-Sicherheit endgültig zu einem Faktor für wirtschaftliche Stabilität, gesellschaftliche Resilienz und nationale Sicherheit.

Der BSI-Lagebericht zeigt jedoch auch positive Entwicklungen. Vor allem die Professionalisierung der Cybersicherheitsmaßnahmen sowie die wachsende Sensibilität bei Unternehmen sind klare positive Entwicklungen. Die Normen und Gesetze wie die NIS-2 und den CRA zeigen einen klaren politischen Willen, die digitale Verteidigungsfähigkeit Europas strukturell zu stärken.

Anbei findest du die wichtigsten Erkenntnisse des BSI-Lageberichts zur IT-Sicherheit 2024.

Bedrohungslage: Professionalisierung, Spezialisierung, Monetarisierung

Cyberkriminelle Organisationen agieren 2024 arbeitsteilig wie ein digitaler illegaler Handelsplatz und bieten verschiedene Dienstleistungen und Produkte. Die folgende Liste zeigt eine Liste dieser Serviceangebote:

• Ransomware-as-a-Service (RaaS)
• Access-Broker mit gestohlenen Anmeldedaten
• EDR-Killer
• Zero-Day-Exploits zum Kauf
• Malware-as-a-Service (MaaS)

Insbesondere die Ransomware-Gruppen (u. a. LockBit, Black Basta, 8Base, Play und Cloak) entwickeln sich zu globalen Akteuren. Allein LockBit veröffentlichte in Deutschland 40 Leak-Opfer innerhalb eines Jahres. Die Opfer sind nicht nur Konzerne, sondern zunehmend KMU, Kommunen, Universitäten und sogar IT-Dienstleister. Die Konsequenzen sind massive Kollateralschäden mit zum Teil nicht definierten wirtschaftlichen Schäden.

Parallel dazu agieren 22 APT-Gruppen mit politischen Zielen. APT (Advanced Persistent Threats) sind langfristig angelegte, hochspezialisierte Cyberangriffe, die meist von staatlich unterstützten Gruppen durchgeführt werden und gezielt auf sensible Informationen oder kritische Infrastrukturen abzielen.

Geopolitische Krisen wie beispielsweise der russische Krieg gegen die Ukraine oder der Nahostkonflikt zeigen, wie Spionage, Desinformation und DDoS-Angriffe miteinander verwoben werden.

Zusammenfassend ist zu sagen, dass die Bedrohungslage so professionell und arbeitsteilig ist wie nie zuvor. Das Schadensausmaß steigt über alle Branchen und Unternehmensgrößen hinweg. Selbst kleine Unternehmen werden immer mehr zum Angriffsziel.

Angriffsflächen: Digitalisierung erzeugt neue Einfallstore

Im Jahr 2023 wurden durchschnittlich 78 neue Schwachstellen pro Tag veröffentlicht, viele davon im Perimeterbereich (Firewalls, VPNs), oft sogar als Zero-Day-Schwachstellen, also vor Veröffentlichung eines Patches bereits aktiv ausgenutzt.

Daneben gibt es noch viele weitere Angriffsflächen, wie die folgende Liste nicht abschließend zeigt:

• Schwachstellen in vernetzten Geräten (IoT)
• Cloud-Dienste mit falsch konfigurierten Identitäten
• fehlende MFA (Multi-Faktor-Authentisierung) bei diversen Systemen
• unsichere KI-Systeme

Das BSI hebt erstmals explizit die Rolle großer Sprachmodelle (LLMs) wie beispielsweise ChatGPT hervor. Diese können für Phishing, Social Engineering und Codegenerierung missbraucht werden. ChatGPT selbst kann aber auch als Sicherheitsrisiko dargestellt werden, beispielsweise durch irreführende Ausgaben oder schadhaften Code.

Als Handlungsempfehlung wird mitgegeben, dass die Unternehmen ihre IT-Architekturen kontinuierlich monitoren, segmentieren und patchen müssen. Der Einsatz von KI-gestützte Tools benötigt eigene Sicherheitskonzepte und vor allem viel Sensibilität.

Gefährdungslage: Angriffe werden gezielter und gravierender

Besonders gravierend ist der Trend zu gezielten Angriffen auf kritische Infrastrukturen und IT-Dienstleister, die viele Organisationen in der Fläche in Mitleidenschaft ziehen und für ein großes Schadenausmaß sorgen. Ein dokumentierter Fall eines erfolgreichen Angriffs betraf 72 Kommunen und 1,7 Millionen Bürger, deren Verwaltungssysteme (z. B. für Elterngeld, Kfz-Zulassung) teilweise komplett ausfielen. Durch die weitere Digitalisierung von Verwaltungsprozessen erhöht sich das Schadensausmaß weiter.

Des Weiteren zeigt der BSI-Lagebericht noch weitere Trends im Bereich der Gefährdungslage:

• DDoS-Angriffe mit Bandbreiten >10 Gbit/s haben sich verdoppelt (auf 13 % Anteil)
• Angriffe auf Public-Clouds nehmen zu (z. B. Microsoft-Zertifikatsdiebstahl)
• Vermehrte Phishing-Kampagnen
• Datenlecks durch unsichere oder falsch konfigurierte Server
• Zunehmender Identitätsdiebstahl in E-Mail-Infrastrukturen

Die Gefährdung ist nicht nur technischer Natur, sondern ist auch durch organisatorische Schwächen (fehlendes Patchmanagement, kein Notfallplan, fehlende Awareness) verursacht. Wie so oft müssen Informationssicherheit und IT-Sicherheit gemeinsam geplant und umgesetzt werden.

Schadensausmaß: Von Datendiebstahl bis Betriebsstillstand

Die Auswirkungen erfolgreicher Angriffe waren 2024 vielfältig und teilweise katastrophal. Die folgende Liste gibt einige Beispiele:

• CrowdStrike-Vorfall im Juli 2024 - Weltweite IT-Ausfälle nach einem fehlerhaften Update. Das war kein Angriff, zeigt aber die massiven Konsequenzen.
• Zunahme an Datenlecks – Die Zahl mutmaßlicher Leak-Opfer durch Ransomware ist weiter gestiegen.
• Hohe Lösegeldforderungen – Exfiltrierte Daten sind teurer als verschlüsselte, das unterstreicht die Monetarisierungsstrategie vieler Angreifer.
• Verstärkte Angriffe auf die Lieferkette – IT-Dienstleister als Multiplikatoren mit immensem Schadensausmaß.
• Verlust von Vertrauen in digitale Systeme – mit messbarem Reputationsschaden und Verlangsamung der Digitalisierung. Das hat wiederum starke Auswirkungen auf die deutsche Wirtschaft und Wettbewerbsfähigkeit.

Resilienz: Fortschritte sichtbar, aber heterogen

Positiv hervorzuheben ist die zunehmende Resilienz in einzelnen Bereichen:

• Verstärkter Schutz der Bundesverwaltung – Täglich 15 Schwachstellenwarnungen, 368 gesperrte Domains, 750.000 E-Mails gefiltert
• KRITIS-Betreiber zeigen Reifegradsteigerungen bei ISMS und BCMS, jedoch aber weiterhin nur mittleres Niveau
• Cloud-Anbieter verbessern durch Automation und Detektion ihre Reaktionszeiten
• EUDI-Wallet und eIDAS 2.0 stärken elektronische Identitäten in Europa.

Gleichzeitig stellt das BSI fest, dass die Resilienz ungleich verteilt ist. Besonders KMU und kommunale Einrichtungen sind weiter unterversorgt, sowohl technisch als auch personell.

Neue Regulierungen: Cybersicherheit wird verpflichtend

Der neue BSI-Lagebericht zur IT-Sicherheit 2024 beleuchtet detailliert die aktuellen regulatorischen Rahmenbedingungen:

NIS-2 (aktuell in der Umsetzung in Deutschland)

• Gilt für mehr als 30 000 Unternehmen
• Pflicht zur Einführung von Cybersicherheitsmaßnahmen,
• Pflicht zur Meldung von Vorfällen.

Cyber Resilience Act (CRA)

• Gilt ab Oktober 2024, jedoch mit einer Karenzzeit von 36 Monaten
• Stellt klare Anforderungen an vernetzte Produkte und Software:
  • Security by Design & Default,
  • Risikomanagement
  • Pflicht zu lebenslangen Sicherheitsupdates,
  • Verpflichtung zur Meldung und Behebung von Schwachstellen.

Diese neuen Anforderungen bedeuten nicht nur technische Anpassungen, sondern erfordern auch neue Governance-Strukturen, Prozesse, Rollen und Audits.

KRITIS-Unternehmen: Fortschritte jedoch kein Grund zur Entwarnung

Kritische Infrastrukturen (KRITIS) wie Energieversorgung, Gesundheitswesen, Transport oder Telekommunikation stehen seit Jahren im Zentrum regulatorischer Bemühungen. Der BSI-Lagebericht 2024 zeigt: Es gibt Fortschritte, aber auch strukturelle Defizite.

Reifegrad steigt auf mittleres Niveau

Die Betreiber kritischer Infrastrukturen sind gesetzlich verpflichtet, sowohl ein Informationssicherheitsmanagementsystem (ISMS) als auch ein Business-Continuity-Managementsystem (BCMS) zu etablieren. Diese werden alle zwei Jahre einem Reifegrad-Assessment unterzogen:

• 140 von 671 Betreibern konnten ihren ISMS-Reifegrad verbessern
• 114 Betreiber haben Fortschritte beim BCMS erzielt

Insgesamt bewegen sich die Reifegrade auf mittlerem Niveau der 5-stufigen Skala. Besonders kritisch: Die Unterschiede zwischen den Sektoren sind erheblich. Einige Branchen wie beispielsweise Energie oder IT-Dienstleister schneiden deutlich besser ab als etwa der Gesundheitssektor oder der Bereich Wasser/Abwasser.

Professionelle Angriffe auf KRITIS-Unternehmen nehmen zu

KRITIS-Unternehmen stehen besonders im Fokus von Ransomware- und APT-Angreifern. Der BSI-Lagebericht dokumentiert Angriffe auf kommunale Rechenzentren mit massiven Auswirkungen auf Verwaltungs- und Sozialdienste.

Auch DDoS-Angriffe, welche häufig gesteuert durch geopolitisch motivierte Gruppierungen sind, zielen gezielt auf KRITIS, um öffentliche Verunsicherung zu erzeugen. Die tatsächlichen Schäden sind oft gering, die vermeintliche Wirkung durch mediale Darstellung, aber enorm.

Neue Meldepflichten durch NIS-2

Mit der Umsetzung der NIS-2-Richtlinie erweitert sich der Kreis meldepflichtiger Einrichtungen massiv. Auch viele Unternehmen, die bislang nicht als „kritisch“ eingestuft wurden, müssen nun die folgenden Anforderungen erfüllen:

• IT-Sicherheitsmaßnahmen nachweisen
• Sicherheitsvorfälle melden
• Prozesse dokumentieren und auditierbar machen

Fazit: Cybersicherheit ist eine Gemeinschaftsaufgabe

Der BSI-Bericht ist kein Alarmismus, sondern eine realistische Lagebeschreibung und ein Appell. Unternehmen, öffentliche Institutionen und Zivilgesellschaft sind gemeinsam gefordert, IT-Sicherheit als Grundvoraussetzung für digitale Souveränität zu verstehen und umzusetzen. Informationssicherheit und IT-Sicherheit müssen zur Chefsache werden.

Bei SecuraPoint begleiten wir dich dabei von der Strategie über Audit & Governance bis zur Umsetzung.

Quellen: BSI – Die Lage der IT-Sicherheit in Deutschland 2024