Wenn ein KMU an einem Montagmorgen entdeckt, dass seine Backups am Wochenende verschlüsselt wurden, stellt sich nicht mehr die Frage, ob Cybersicherheit ein vorrangiges Thema ist. Die Ransomware hat zugeschlagen, das IT-Team improvisiert, und die Geschäftsführung erkennt, dass der Notfallplan auf einem Post-it stand. Dieses Szenario begegnet uns immer häufiger, auch in Strukturen, die dachten, sie hätten die Grundlagen abgedeckt.
Die Cyber-Nachrichten von 2026 beschränken sich nicht auf eine Liste von behobenen Schwachstellen oder zerschlagenen Hackergruppen. Sie beleuchten konkrete Diskrepanzen zwischen den Anforderungen der Vorschriften, den Versprechen der Tools und dem, was die Teams vor Ort tatsächlich bewältigen können.
NIS2 in Frankreich: eine Verpflichtung, die auf dem Papier noch nicht existiert
Seit zwei Jahren wird in allen Webinaren über NIS2 gesprochen. Berater verkaufen Compliance-Audits, die Anbieter zeigen “NIS2 ready”-Abzeichen auf ihren Lösungen. Vor Ort sieht die rechtliche Realität jedoch ganz anders aus.
Die europäische Richtlinie NIS2 (EU 2022/2555) sollte bis zum 17. Oktober 2024 in nationales Recht umgesetzt werden. Am 11. September 2026 ist jedoch kein französisches Umsetzungsgesetz erlassen worden. Der Resilienzgesetzesentwurf befindet sich noch im parlamentarischen Prüfungsverfahren, ohne festen Zeitplan für die Veröffentlichung der Durchführungsverordnungen.
Die direkte Konsequenz für französische Unternehmen: Die NIS2-Verpflichtungen sind rechtlich nicht durchsetzbar, solange das Gesetz und seine Verordnungen nicht veröffentlicht sind. Man kann die Neuigkeiten auf Cyber Vista verfolgen, um die Kluft zwischen den regulatorischen Ankündigungen und deren operativer Umsetzung zu messen.
Das bedeutet jedoch nicht, dass man warten sollte. Unternehmen, die bereits mit europäischen Partnern arbeiten, die in ihrem Land NIS2 unterliegen (Deutschland, Belgien, Niederlande), stehen unter realem vertraglichem Druck. Ihre Kunden und Auftraggeber verlangen Compliance-Garantien, ob französisches Gesetz oder nicht.
DORA und der Finanzsektor: die Regulierung, die seit 2025 wirklich gilt
Während NIS2 in Frankreich ins Stocken gerät, zeigt ein anderer europäischer Text bereits Wirkung. Die Verordnung DORA (EU 2022/2554) ist seit dem 17. Januar 2025 direkt anwendbar, ohne dass eine Umsetzung erforderlich ist. Sie betrifft Banken, Versicherer, Vermögensverwalter, Zahlungsdienstleister und deren kritische IT-Dienstleister.
Vor Ort stellt DORA präzise Anforderungen an die digitale operationale Resilienz. Die IT-Teams der Finanzinstitute müssen ihre Abhängigkeiten von Drittanbietern kartieren, regelmäßig ihre Wiederherstellungsfähigkeiten testen und jedes signifikante Ereignis dokumentieren.
Für Fintechs und Cloud-Anbieter, die den Finanzsektor bedienen, ist der Wandel spürbar. Ein Hosting-Anbieter, der seine DORA-Compliance nicht nachweisen kann, riskiert, seine Bankverträge zu verlieren. Die Rückmeldungen zur tatsächlichen Compliance-Belastung variieren je nach Größe der Struktur, aber der rechtliche Rahmen lässt keine Zweifel.
Ransomware 2026: Der Datenraub ersetzt die reine Verschlüsselung
Der weltweite Bericht 2026 zur Incident Response von Unit 42 von Palo Alto Networks dokumentiert eine bemerkenswerte Entwicklung. Die Verschlüsselung von Daten tritt in 78 % der im Jahr 2025 erfassten Erpressungsfälle auf, ein Rückgang im Vergleich zu über 90 % zwischen 2021 und 2024.
Dieser Rückgang der Verschlüsselung bedeutet nicht, dass die Bedrohung abnimmt. Der reine Datenraub etabliert sich als eigenständige Erpressungsmethode. Angreifer exfiltrieren sensible Dateien und drohen, sie zu veröffentlichen, ohne sich die Mühe zu machen, irgendetwas zu verschlüsseln. Der Druck liegt auf dem Ruf und der regulatorischen Compliance des Opfers, nicht auf der Unverfügbarkeit seiner Systeme.
Für die Verteidigungsteams ändert dieser Wandel die operative Situation:
- Die Erkennung von Datenexfiltrationen (laterale Bewegungen, große Transfers nach außen) wird kritischer als der klassische Schutz gegen Ransomware
- Die Notfallwiederherstellungspläne müssen einen Krisenkommunikations- und regulatorischen Benachrichtigungsbereich integrieren, nicht nur die Wiederherstellung der Backups
- Die Netzwerksegmentierung und die Kontrolle über privilegierte Zugriffe begrenzen die Exfiltrationsfläche viel effektiver als nachträgliche Entschlüsselungslösungen
Was sich in der täglichen Sicherheitslage ändert
Es reicht nicht mehr aus, nur zu überprüfen, ob die Backups funktionieren. Die Überwachung der ausgehenden Netzwerkströme wird zur operativen Priorität. Ein Transferpeak zu einem externen Server um 3 Uhr morgens sollte einen Alarm auslösen, nicht ein Protokoll, das niemand vor Montag einsehen kann.
Offensive KI und gezieltes Phishing: die Bedrohung, die am schnellsten zunimmt
Personalisierte Phishing-Angriffe durch generative KI und Sprach-Deepfakes gehören zu den am schnellsten wachsenden Angriffsvektoren.
Vor Ort zeigt sich, dass KI-generierte Phishing-Angriffe grammatikalisch einwandfrei und kontextualisiert sind. Eine betrügerische E-Mail kann den Namen eines internen Projekts, den Schreibstil eines Kollegen oder sogar die Stimme eines Führungskräfte während eines Telefonanrufs imitieren. Einige Sekunden Sprachaufnahme reichen aus, um ein glaubwürdiges Modell zu trainieren.
Angesichts dieser Machtverschiebung zeigen die klassischen Schulungen zur Phishing-Sensibilisierung ihre Grenzen. Mitarbeiter aufzufordern, Rechtschreibfehler zu erkennen, funktioniert nicht mehr, wenn die KI keine macht.
- Phishing-Simulationen müssen KI-generierte Szenarien mit realistischen kontextuellen Vorwänden beinhalten
- Die Identitätsüberprüfung über einen zweiten Kanal (Rückruf, Bestätigung über interne Nachrichten) bleibt die zuverlässigste Abwehr gegen Sprach-Deepfakes
- Verhaltensbasierte Erkennungstools in Messaging-Diensten (Analyse von Versandmustern, ungewöhnlichen Anhängen) ergänzen sinnvoll die traditionellen Anti-Spam-Filter
Cybersicherheit von KMU: eine Kluft, die sich zu großen Unternehmen vergrößert
Große Unternehmen investieren in SOC, stellen Analysten ein, setzen EDR-Lösungen auf jedem Arbeitsplatz ein. KMU hingegen arbeiten oft mit einem allgemeinen IT-Dienstleister, der sowohl den Netzwerkdrucker als auch die Passwortpolitik verwaltet.
Die Mehrheit der französischen KMU hat weder einen dedizierten CISO noch einen formalisierten Notfallplan. Wenn eine Ransomware zuschlägt, ist die erste Reaktion, den gewohnten Dienstleister anzurufen, der nicht immer die erforderlichen forensischen Fähigkeiten hat.
Es gibt Unterstützungsangebote (Cybermalveillance.gouv.fr, regionale Diagnosen), aber ihre Akzeptanz bleibt langsam. Das Haupthemmnis ist nicht das Softwarebudget, sondern die menschliche Zeit. In einer Struktur mit 30 Personen hat niemand drei Tage Zeit, um ein Cyber-Reifeaudit durchzuführen.
Die regulatorische Diskrepanz rund um NIS2 verbessert die Situation nicht. Ohne klare gesetzliche Verpflichtung wird Cybersicherheit weiterhin als Kostenfaktor und nicht als Bedingung für operationale Überlebensfähigkeit wahrgenommen. Die jüngsten Vorfälle, Datenlecks, die fast die Hälfte der Franzosen betreffen, laut Cybermalveillance.gouv.fr, sollten jedoch ausreichen, um diese Wahrnehmung zu ändern.
