Windows-Lücken: Patch-Reihenfolge für kritische Assets
Windows Patch Management nach Risiko: CERT-Bund-Warnungen staffeln kritische Assets über Ring-Rollout und parallele Detection.
Was ist KRITIS? Betreiber, Pflichten und Schwellen
Was KRITIS bedeutet, welche Betreiber betroffen sind und welche Pflichten, Schwellenwerte und Meldungen das BSI verlangt.
Der schwächste Zulieferer öffnet die kritische Anlage
Das KRITIS-Dachgesetz macht die Zuverlässigkeit der Zulieferer zur Betreiberpflicht. Der Governance-Fahrplan bis zur Registrierung.
Das Klumpenrisiko, das kein Lieferanten-Audit sieht
Warum Einzel-Audits das Klumpenrisiko übersehen und wie ein Board Konzentrations- und Vierte-Partei-Risiko steuert.
Schwachstellen-Triage: CVSS allein steuert falsch
CVSS allein steuert Schwachstellenpriorisierung falsch. Exposition, Exploit-Nähe und Asset-Kritikalität ordnen die Queue nach erreichbarer Angriffsfläche.
Falsch-Positive im SOC: Signal von Rauschen trennen
False-Positive-Reduktion im SOC: Detection Engineering prüft Intent, Telemetrie, Kontext und Eskalationsreife vor dem Live-Gang.
Fünf Posten, die vor dem SIEM Budget brauchen
Security-Budget als Risikofinanzierung: welche fünf Posten ein CISO vor dem ersten teuren Tool finanziert und wie Paragraf 30 BSIG das stützt.
Was die Geschäftsführung unter NIS2 dokumentieren muss
Das BSIG verlangt keinen förmlichen Beschluss, aber nachweisbare Umsetzung. Sechs Dokumente, die im BSI-Audit über die Nachweisführung entscheiden.
Fünf Kennzahlen, die der Aufsichtsrat wirklich versteht
Welche fünf Kennzahlen ein CISO an den Aufsichtsrat berichten sollte und warum geblockte Angriffe nichts über die Cyber-Risikolage aussagen.
Welche Controls beim Tool-Abbau nicht wegfallen dürfen
Security-Stack konsolidieren spart Kosten. Welche Controls nach Paragraf 30 BSIG erhalten bleiben müssen, damit die Einsparung keine NIS2-Lücke reißt.
Teilzeit-CISO: Was extern liegen darf, was intern bleiben muss
Ein vCISO übernimmt die Security-Facharbeit im Mittelstand. Welche Verantwortung nach Paragraf 38 BSIG zwingend bei der Geschäftsführung bleibt.
Welche Entscheidungsrechte des CISO schriftlich geregelt sein müssen
CISO-Mandat 2026: Welche Entscheidungs-, Veto- und Eskalationsrechte schriftlich geregelt sein müssen, damit im Incident klar ist, wer handeln darf.
Lieferkettenrisiko ist ein Programm, keine Audit-Liste
Lieferkettenrisiko nach NIS2 und DORA: Warum der Vendor-Fragebogen nicht reicht und wie ein TPRM-Programm mit Tiering, Register und Ownership wirklich trägt.
Warum das ISO-Zertifikat dem BSI allein nicht reicht
ISO 27001 gilt vielen als NIS2-Nachweis. Das BSI sieht das anders. Wo das Zertifikat trägt und wo Scope, Meldepflicht und Paragraf 38 mehr verlangen.
BSI warnt vor ungepatchten Ivanti-Systemen
Zwei Ivanti EPMM Zero-Days wurden Ende April 2026 in Serie ausgenutzt - 130 unique IP-Adressen hatten die Schwachstellen innerhalb von 24 Stunden nach der …
Samsung MagicINFO-Lücken von Botnets ausgenutzt
Die CISA hat innerhalb einer Woche Ende April 2026 acht neue Einträge in ihren Known Exploited Vulnerabilities Catalog aufgenommen. Drei Systeme stechen heraus: Samsung …
Aufsichtsbehörden jagen KMUs mit 72-Stunden-Falle
4,5+ Mrd. EUR kumulierte DSGVO-Bußgelder - 2026 rücken KMUs ins Visier. Die 72-Stunden-Meldepflicht nach Art. 33 wird zum häufigsten Auslöser. Drei Maßnahmen für Security-Teams.
Bakeca und Enel: Italien verschärft DSGVO-Vollzug
Im April 2026 hat die rumänische Datenschutzbehörde Renault Commercial Roumanie nach einem Cyberangriff mit unzureichenden Sicherheitsmaßnahmen sanktioniert, die spanische AEPD verhängte 950.000 Euro gegen …
Healthcare-Datenleak: 96 Stunden bis zur Meldung
April 2026: Welle von Healthcare-Breaches. Anonymer DACH-Incident-Report mit 500k Patientendaten, 96h-Rekonstruktion, NIS2/DSGVO-Pflichten.
Squidex-Patch schließt kritische Upload-Schwachstelle
Squidex SSRF CVE-2026-41172 ist gepatcht in Version 7.23.0. Operations-Teams brauchen darüber hinaus einen 72-Stunden-Plan: Egress-Allowlist, IMDSv2-Lockdown und WAF-Profil-Review.
Infostealer knacken MFA über gestohlene Cookies
RedLine, Lumma, Raccoon: Infostealer-Malware stiehlt Session-Cookies und umgeht MFA. Was 2026 wirklich hilft.
