Das Klumpenrisiko, das kein Lieferanten-Audit sieht
Warum Einzel-Audits das Klumpenrisiko übersehen und wie ein Board Konzentrations- und Vierte-Partei-Risiko steuert.
Autorenprofil
Tobias Massow
Tobias Massow ist Geschäftsführer der Evernine Media GmbH und Herausgeber von SecurityToday. Er verantwortet die strategische Ausrichtung des Magazins und des gesamten MBF Media Netzwerks.
Beiträge von Tobias Massow
82 Beiträge 
Der Cyber Resilience Act trifft auch Ihren Bestand
Ab dem 11. September 2026 gilt eine neue Pflicht, die viele Unternehmen noch unterschätzen. Wer vernetzte Produkte in der EU verkauft, muss aktiv ausgenutzte …
Zero Trust beim Energieversorger: Was die NIS2-Audits jetzt aufdecken
BSI startet im Sommer 2026 die ersten NIS2-Audits bei KRITIS-Energieversorgern. Was OT-Zero-Trust wirklich tragen muss - jenseits der Identity-Logik.
DORA und NIS2: Warum Banken-Audits jetzt kollidieren
DORA und NIS2 greifen ineinander, die Audit-Pfade laufen parallel. Drei Realitäten, warum Banken sich beim Doppel-Umsetzen verheben.
Adaptive MFA: die Werkseinstellung reicht nicht
Adaptive MFA ist meist aktiviert, aber nicht eingestellt: Wie risikobasierte Authentifizierung jenseits der Werkseinstellung wirklich schützt.
Wo der Mittelstand bei NIS2 technisch noch hinterherhinkt
NIS2-Check für den Mittelstand: fünf technische Lücken, die im Audit auffallen, und wie sie sich vor der ersten Prüfung schließen lassen.
Ivanti Connect Secure wieder in der CISA KEV: Dritter Vorfall in 18 Monaten
CISA hat eine neue Ivanti-Connect-Secure-Schwachstelle in die KEV aufgenommen. Mandiant meldet aktive Ausnutzung in KRITIS-Netzen. Was CISOs jetzt entscheiden müssen.
AI-Phishing: Mail-Filter werden blind
AI-Phishing umgeht klassische Mail-Filter wie Gmail, SpamAssassin und Proofpoint. Was CISOs 2026 an der Detection-Architektur ändern müssen.
Die Hintertür in fast jedem deutschen Webhosting-Vertrag
Eine kritische Schwachstelle in der meistgenutzten Hosting-Oberfläche im Mittelstand erlaubt Angreifern Vollzugriff ohne Login. Das BSI hat reagiert, doch die Patch-Verantwortung liegt bei jedem …
Source-Code-Leaks: Wie Angreifer Patches umgehen
Trellix, Okta, LastPass - drei Security-Anbieter, drei Source-Code-Breaches, ein Muster. Angreifer kompromittieren gezielt Sicherheitsanbieter, um Schwachstellen in deren Produkten vor den eigenen Kunden zu …
Git-Push reicht für RCE auf GitHub-Enterprise-Servern
CVE-2026-3854 (CVSS 8.7): GitHub Enterprise RCE via git push. 88% der Self-Hosted-Instanzen ungepatcht. Patches seit 10. März verfügbar.
Bitwarden CLI: Supply-Chain-Angriff via GitHub Actions
Bitwarden-CLI 22.04.2026: Die GitHub Action checkmarx/ast-github-action ist der Hebel. CI-Runner und Action-Hashes für DACH-DevSecOps jetzt prüfen.
Healthcare-Datenleak: 96 Stunden bis zur Meldung
April 2026: Welle von Healthcare-Breaches. Anonymer DACH-Incident-Report mit 500k Patientendaten, 96h-Rekonstruktion, NIS2/DSGVO-Pflichten.
PaperCut-Lücke wird wieder aktiv ausgenutzt
PaperCut NG/MF ist seit 20. April 2026 zurück im CISA-KEV. CVE-2023-27351 wird aktiv ausgenutzt. 72-Stunden-Inventar-Sweep und Härtungsmaßnahmen für Security-Teams.
Infostealer knacken MFA über gestohlene Cookies
RedLine, Lumma, Raccoon: Infostealer-Malware stiehlt Session-Cookies und umgeht MFA. Was 2026 wirklich hilft.
Secure-Boot-Zertifikate laufen im Juni 2026 aus: Was IT-Teams bis zum Stichtag für ihre Windows-Flotte aufsetzen müssen
Secure-Boot-Zertifikate 2026: Nicht warten! So sichern Sie Ihre Windows-Flotte rechtzeitig vor kritischen Sicherheitslücken.
Cyber Resilience Act: Jetzt Prozesse sichern
Ab 11.09.2026 gilt die CRA-Meldepflicht: 24h Early Warning, 72h Vollmeldung, 14 Tage Abschlussbericht. Was Security-Teams jetzt aufsetzen müssen.
Claude Mythos: Lagebewertung für Security-Teams
KI-Modelle erkennen Schwachstellen: Wie bewerten Sie die Bedrohung durch "Claude Mythos"? Experten-Tipps für Ihr Security-Team.
E-Mail-Authentifizierung: Vermeiden Sie SPF-Fehler
Gmail lehnt Mails ohne DMARC ab. So richten Sie SPF, DKIM und DMARC in 5 Tagen korrekt ein.
Post-Quantum-Kryptographie: Warum Unternehmen jetzt ihre Verschlüsselung umstellen müssen
NIST hat drei Post-Quantum-Standards finalisiert. BSI-Deadline 2030/2032. Warum die PQC-Migration jetzt beginnen muss.
On-Premise-KI als Sicherheitsstrategie: Was Gemma 4 für den Datenschutz bedeutet
Mit Open-Source-Modellen wie Googles Gemma 4 lässt sich KI erstmals in produktionsreifer Qualität vollständig On-Premise betreiben. Kein Datenabfluss, keine Drittanbieter-Abhängigkeit, keine Compliance-Grauzone.
