Cyber Resilience: KI verändert die Bedrohungslage

Cyber Security verringert die Gefahr, dass Cyber-Attacken Erfolg haben. Cyber Resilience sorgt dafür, dass Unternehmen trotz eines erfolgreichen Angriffs handlungsfähig bleiben oder schnell wieder werden. Ob Resilienz als nachgeordnet zu betrachten ist, weil sie zum Tragen kommt, wenn die Security versagt hat, oder ob Security ein wichtiger Baustein systemischer Resilienz ist, darüber lässt sich streiten. Unbestritten ist, dass beides rasant an Bedeutung gewinnt. Nicht nur, weil Vernetzung und Digitalisierung auf staatlicher Ebene, in der Wirtschaft und der Gesellschaft insgesamt schneller voranschreiten als das Bewusstsein für die damit verbundenen Gefahren.

Die jüngste Studie zur ‚Industrial Security’ des VDMA mit Fraunhofer AISEC zeigt zwar, dass sich die Cyber Resilience der Unternehmen gegenüber 2019 verbessert hat. Dennoch bleibe Handlungsbedarf, findet VDMA-Security-Experte Maximilian Moser. Es sei erstaunlich, wie hartnäckig sich klassische Fehleinschätzungen halten: „Wir sind kein Ziel. Wir sind nicht groß oder wichtig genug. Die Systeme sind abgeschottet. Unsere Firewalls, regeln das schon. Da kümmert sich die IT drum. Und schlichtweg: Warum sollte heute auf einmal etwas passieren, da ist noch nie etwas passiert“, hört er immer wieder. Moser warnt: „Sicherheit ist ein kontinuierlicher Prozess. Die Bedrohungslandschaft ändert tagtäglich.“ Selbstredend müssen Ziel und erwartetes Ergebnis den Aufwand eines Angriffs rechtfertigen. Allerdings gingen Automatisierung und Digitalisierung schon immer Hand in Hand und das nutzen auch Angreifer.

Enabler KI verschärft die Situation

Aktuell verringert sich der Aufwand gerade noch einmal drastisch. Der Grund: die jüngsten Entwicklungsfortschritte in Sachen KI. „Wir sind mittlerweile mit KI-Modellen konfrontiert, die vielleicht nicht besser, aber wesentlich schneller als menschliche IT-Spezialisten Schwachstellen in Software aufspüren und eine Ausnutzbarkeit herstellen. Das ist eine neue Qualität, die vorher so nicht da war“, betont Dr. Matthias Meyer, Bereichsleiter Softwaretechnik und IT-Sicherheit am Fraunhofer IEM. „Mit solchen Tools wird es auch für weniger versierte Akteure, die selbst nicht programmieren können, viel einfacher Schaden anzurichten“, erklärt er.

Das Problem ist jedoch nicht nur, dass KI auf Bestellung Schad-Code schreibt. Oder dass der Zeitraum das Beheben einer identifizierten Schwachstelle bevor Angreifer sie ausnutzen, auf unter 24 Stunden schrumpfen kann. Nachdenklich macht auch die Verfügbarkeit. So waren im Juni 2026 neue KI-Modelle von Anthropic zunächst ausschließlich ausgewählten US-Nutzern zugänglich, nur um wenige Tage nach dem Launch wegen einer Anordnung des US-Handelsministeriums ohne Vorwarnung über mehrere Wochen komplett abgeschaltet zu werden.

„Die Abhängigkeit von amerikanischen Unternehmen, gerade von den Hyperscalern, ist angesichts der aktuellen geopolitischen Geschehnisse im Hinblick auf Cyber Security und Resilience als durchaus kritisch anzusehen“, sagt Maximilian Moser. Wer sich gegen KI-gedopte Angriffsszenarien adäquat wehren will, wird dies künftig nur mit eigenem KI-Einsatz schaffen können.

Sicherheitslage auf angespanntem Niveau

Doch auch jenseits von KI hat sich die Situation über die letzten Jahre deutlich verschärft. So bescheinigt der aktuelle Lagebericht des Bundesamtes für Sicherheit in der Informationstechnik (BSI) Deutschland eine IT-Sicherheitslage auf „weiterhin angespannten Niveau“. Bundesinnenminister Alexander Dobrindt geht mittlerweile nicht mehr nur von einer „abstrakten“, sondern von einer „hohen Bedrohungslage“ für Deutschland aus, mehr Cyberangriffe inklusive.

Bereits laut der im September 2025 erschienen Bitkom-Wirtschaftsschutz-Studie waren neun von zehn (87%) der befragten Unternehmen in den zwölf Monaten zuvor Opfer von Diebstahl – Daten und IT-Geräte – sowie digitaler und analoger Industriespionage oder Sabotage geworden. Dabei entstand ein Schaden von 289,2 Mrd EUR, wovon 202,4 Mrd EUR alleine durch Cyberangriffe verursacht wurden. Zum Vergleich: In den Vorjahreszeiträumen beliefen sich die Gesamtschäden auf 266,6 Mrd EUR (2024) und 205,9 Mrd EUR (2023).

Mehr als jeder vierte Angriff (28 %) ließ sich einem ausländischen Nachrichtendienst zuordnen, 2023 waren es lediglich sieben Prozent. Besonders häufig weisen die Spuren nach Russland und China. Um die eigentliche Identität der Angreifer zu verschleiern, führen oft scheinbar unabhängig agierende Akteure die Angriffe aus. Sie stellen eine „fortgeschrittene, andauernde Bedrohung“ dar, einen „Advanced Persistent Threat“ (APT). Nach Erkenntnissen des Bundesamtes für Verfassungsschutz (BfV) zeigen insbesondere „mutmaßlich russische APT-Gruppierungen“ einen „hohen Grad an technischen Fähigkeiten“ und „verfügen über umfangreiche finanzielle Mittel“.

Meist sind sie deutlich besser aufgestellt, als ihre Opfer. Auf der Suche nach dem schwächsten Glied nehmen zwei Drittel aller Cyberattacken mittlerweile ganze Lieferketten ins Visier. Das erste angegriffene Unternehmen in der Kette ist dann nicht unbedingt das eigentliche Ziel, sondern oft nur Mittel zum Zweck, um besser geschützte Unternehmen an der Spitze der Supply Chain zu treffen.

Einer der häufigsten Angriffsvektoren ist nach wie vor Phishing: Als Köder dienen vertrauenerweckende E-Mail-Nachrichten oder Websites, die dazu verleiten sollen kompromittierte Links anzuklicken oder Dateien zu öffnen. Sind auf diese Weise Zugangs-Codes und andere Barrieren gefallen, können nicht nur sensible Informationen abfließen. Es lässt sich auch Malware einschleusen, die es ermöglicht, auf sensible Daten zuzugreifen oder das infizierte IT-System zu sperren oder anderweitig zu schädigen.

Im Maschinenbau führen laut ‚Industrial Security’-Studie des VDMA Phishing und Social Engineering gemeinsam die Liste der Bedrohungen mit der höchsten Risikoeinschätzung an. Social Engineering zielt darauf ab, sich das Vertrauen des Opfers zu erschleichen und dieses dann zu einem bestimmten Verhalten zu verleiten. Menschliches Fehlverhalten und Sabotage landete auf Platz Zwei, gefolgt von Soft- und Hardware-Schwachstellen in der Lieferkette.

Cyber Resilience EU-weit stärken

Um Angriffsflächen zu reduzieren und das Sicherheitsniveau insgesamt anzuheben, werden seitens der EU auf regulatorischer Ebene seit geraumer Zeit verschiedene Maßnahmen eingeleitet. Für viele produzierende Unternehmen derzeit von besonderer Bedeutung sind die neue Richtlinie zur Sicherung von Netz- und Informationssystemen NIS 2, der Cyber Resilience Act (CRA) sowie die Maschinenverordnung:

• Network and Information Security Directive – NIS 2

NIS 2 soll unter anderem sowohl die Lieferkettensicherheit, als auch das Business Continuity Management verbessern. In Deutschland wurde sie mit dem BSI-Gesetz Anfang Dezember 2025 in nationales Recht umgesetzt. Sie betrachtet Cybersicherheit auf Unternehmensebene. NIS 2 regelt sowohl die IT-Sicherheit als auch die der Produktionsumgebung. Betroffene Unternehmen müssen grundlegende Maßnahmen wie Risikomanagement oder klare Zuständigkeiten verpflichtend umsetzen und sie müssen sich selbständig beim BSI registrieren. Sicherheitsrelevante Vorfälle unterliegen einem strikten Melderegime. Bei Verstößen drohen empfindliche Geldbußen und – neu – auch die Geschäftsführung wird in Haftung genommen.

• Cyber Resilience Act (CRA)

Die EU-Verordnung zur Cyber Resilience trat im Dezember 2024 unmittelbar in Kraft. Sie legt verbindliche Anforderungen für den gesamten Lebenszyklus digitaler und vernetzter Produkte fest, die in der EU auf den Markt gebracht werden. Die Meldepflicht für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle gilt seit dem 11. September 2026, die Übergangsfrist für die Umsetzung weiterer Auflagen endet mit dem 10. Dezember 2027. Danach müssen alle in Umlauf gebrachte Produkte mit digitalen Elementen – Hardware wie Software, etablierte wie neue Produkte – den Vorgaben der CRA genügen. Harmonisierte Normen sollen die im CRA festgeschriebenen Anforderungen näher spezifizieren. Kernpunkte sind eine sichere Software-Architektur (Security by Design) und ein aktives Schwachstellenmanagement.

Was der Einkauf im Maschinenbau jetzt absichern muss

Der Cyber Resilience Act verändert den Einkauf im Maschinenbau grundlegend. Künftig zählen nicht nur Preis, Lieferzeit und Qualität, sondern auch Softwaretransparenz, Support und Meldefähigkeit.

Rainer Baeder, Senior Business Development Manager, Orange Cyberdefense Germany

• Maschinenverordnung (MVO)

Die Maschinenverordnung löst im Januar 2027 die bisherige Maschinenrichtlinie ab. Sie trat im Juli 2023 in Kraft, zur vollen Anwendung kommt sie ab 20. Januar 2027. Zwar betrachtet auch die MVO in erster Linie die funktionale Sicherheit, sprich Gefahren, die von der Maschine ausgehen. Eine wichtiger neuer Aspekt neben der Safety ist nun jedoch auch ‚Security for Safety’: Gegen Maschinen und Anlagen gerichtete Cyberangriffe sollen die funktionale Sicherheit nicht gefährden oder beeinträchtigen können.

„Das Thema Vernetzung ist über die Jahre immer präsenter geworden. Die Software-Anteile in den Systemen sind gewachsen. Es gibt heute sehr viel mehr Schnittstellen und Maschinen und Anlagen sind deutlich häufiger am Netz. All dies bietet naturgemäß eine größere Angriffsfläche“, sagt Dr. Matthias Meyer. Zugänge für Predictive Maintenance, Fernzugriffe für Wartung durch Hersteller oder der Daten-Austausch mit Office-Netzen, um im eigenen Betrieb mehr über Maschinenzustand oder Auslastung zu erfahren sind längst Tagesgeschäft. IT und OT (Operational Technology) wachsen immer mehr zusammen. Meyer zweifelt vor diesem Hintergrund am Sinn von Air-Gap-Debatten: „OT in einer Halle zu verkapseln und Sicherheit dadurch herzustellen, den Zugang zur Halle zu kontrollieren, diese Art Sicherheitskonzept wird immer löchriger. Das Potenzial durch Digitalisierung lässt sich nur ohne Abkapselungen wirklich heben. Insofern ist Cyber Security essenziell und sie zu regulieren eigentlich nur folgerichtig.“

Folgerichtig nicht zuletzt auch deshalb, weil die neuen Sicherheitsstandards dann für alle Hersteller, die Waren in der EU in Verkehr bringen, gleichermaßen gelten und das Niveau der Cybersicherheit insgesamt angehoben wird. „Unbestritten, für Unternehmen, die sich mit der Thematik bislang weniger befasst haben, ist der Aufwand hoch“, räumt er ein. „Aber angesichts der aktuellen Lage und der geopolitischen Verwerfungen, ist es keine Alternative, die Augen zu verschließen und sich nicht zu schützen.“

Synergien zwischen den neuen Vorgaben nutzen

Ziel von EU- und nationalstaatliche Regulierungsakte ist mehr Resilienz. Unternehmen im Einzelnen und Wirtschaftssysteme im Ganzen sollen gegen Angriffe gehärtet und nach Zwischenfällen rasch wieder funktionsfähig sein. Mögen die Blickwinkel dabei auch unterschiedlich sind: Es lohnt sich NIS 2, CRA und MVO zusammen zu denken, denn es gibt einige Überschneidungen. Unter anderem verlangen alle drei Regelwerke ein umfassendes Risikomanagement oder ähnlich gelagerte Dokumentationspflichten. Um NIS 2 zu genügen, sind Meldewege und -prozesse zu etablieren, die auch der CRA-Compliance dienen. CRA-Compliance wiederum wird mit der MVO zur Voraussetzung für CE-Konformität.

Zentrale Ansatzpunkte finden sich in Normen, an denen sich viele Unternehmen bereits seit längerem orientieren. „Für die klassische IT-Security ist es die ISO 27001, die sehr viele Anforderungen der NIS-2 bereits abdeckt“, berichtet Maximilian Moser. Für Security in der Produktion empfiehlt er IEC 62443, ergänzend prEN 50742 für Safety-Aspekte: „Die IEC 62443 enthält Teile für Betreiber, für Service Provider, für Komponentenhersteller, für Systemintegratoren – eigentlich für jede Art von Stakeholder. Sie ist seit über 10 Jahren etabliert, wird stetig fortgeschrieben und derzeit schrittweise an den CRA angepasst.“

Moser warnt davor, sich bei der Umsetzung von IT-Sicherheitskonzepten und Resilienz-Strategien auf technische Aspekte zu beschränken. „Cyber Resilience umfasst sowohl präventive, als auch wiederherstellende Maßnahmen auf technischer wie auf organisatorischer Ebene und sie schließt auch die Mitarbeiter mit ein. Das Thema an die IT-Abteilung zu delegieren reicht nicht“, stellt Moser klar. Die Folgen von Know-how-Abfluss, Ransomware-Attacken oder anderen Cyberangriffen können schnell an die Existenz gehen. „Ein Unternehmen widerstandsfähig und resilient aufzustellen, ist ganz klar Aufgabe und strategische Verantwortung jeder Geschäftsführung“, betont er.