Aktuelles von isidaten
Bleiben Sie auf dem Laufenden über die neuesten Entwicklungen in Datenschutz und Informationssicherheit.
Hier erscheint täglich Neues. Bleiben Sie dran: RSS-Feed · LinkedIn · X
Sie suchen einen bestimmten Stichtag? Der Compliance-Kalender führt Fristen und Termine, jeweils mit Fundstelle.
Wer den Passwortwechsel abschafft, muss Leaks erkennen
Viele Häuser haben den Passwortwechsel alle 90 Tage abgeschafft, mit dem BSI auf ihrer Seite. Der IT-Grundschutz knüpft das aber an eine Bedingung: Wer nicht mehr nach Kalender wechseln lässt, muss erkennen, wenn ein Passwort kompromittiert ist. Woher diese Erkenntnis kommen kann, und was danach passieren muss.
Weiterlesen
Wer eine Lücke findet, braucht eine Adresse
Eine Sicherheitsforscherin findet eine Schwachstelle in Ihrem Produkt und sucht einen Kontakt. Sie findet das Impressum, info@ und einen Chatbot. Der Cyber Resilience Act verlangt ab Dezember 2027 eine Kontaktadresse für Schwachstellenmeldungen und ein Konzept zur koordinierten Offenlegung. Die security.txt nach RFC 9116 ist der Ort, an dem Forscher zuerst nachsehen, und sie veraltet still.
Weiterlesen
Ein Grundschutz-Check ist kein Audit
Grundbegriffe, Folge 7: „Wir hatten im Frühjahr ein Audit.“ Oft war es ein IT-Grundschutz-Check, den der ISB mit den Verantwortlichen selbst durchgeführt hat. Das ist wertvoll, aber etwas anderes. Der BSI-Standard 200-2 unterscheidet drei Prüfungen: den Check als Soll-Ist-Vergleich, die IS-Revision als regelmäßige Überprüfung der Wirksamkeit und das Audit durch unabhängige Stellen. Wer prüft, wogegen, und mit welcher Folge.
Weiterlesen
Nachweise gehören nicht in den Mailanhang
Vor dem Audit kommt die Anforderungsliste, und dann gehen Exporte, ZIP-Dateien und Freigabelinks an die Prüfstelle. Nach dem Audit weiß niemand mehr, wo die Kopien liegen, welcher Stand vorlag und wer sie gesehen hat. Der IT-Grundschutz-Baustein DER.3.1 verlangt das Gegenteil: Prüfer greifen nicht ein, Zugriffe werden danach entzogen, und nur Berechtigte kommen an die Unterlagen.
Weiterlesen
Auf die, die um 17:55 den Phishing-Verdacht noch melden
Stille Arbeit, Folge 2: Freitag, kurz vor Feierabend, ein Klick auf einen Link, der sich falsch anfühlt. Zwei Möglichkeiten: den Rechner zuklappen und hoffen, oder anrufen und sagen, dass man vielleicht etwas angeklickt hat. Warum die zweite oft die früheste Erkennung ist, die ein Haus bekommt, wo der IT-Grundschutz sie verlangt, und warum sie so selten gedankt wird.
Weiterlesen
Für das BSI ein Rechenzentrum, für das EnEfG nicht
Maschinenraum, Folge 2: Drei Racks im Keller, vierzig Kilowatt, „wir haben kein Rechenzentrum“. Für das Energieeffizienzgesetz stimmt das, denn es zählt Kilowatt und beginnt bei 300. Der IT-Grundschutz zählt etwas anderes: die Bedeutung für die Aufgaben. Danach ist der einzige zentrale Serverraum grundsätzlich wie ein Rechenzentrum zu behandeln. Zwei Definitionen, zwei verschiedene Antworten auf dieselbe Frage.
Weiterlesen
Eine Befundliste ist noch keine Priorität
Der Scanner meldet viertausend Schwachstellen, der Pentest vierzig Feststellungen, die Angriffsflächenanalyse ein Dutzend offene Dienste. Jede Liste stimmt, zusammen sind sie nicht abzuarbeiten. Das BSIG verlangt kein Abarbeiten, sondern ein Management von Schwachstellen und eine Bewertung der Wirksamkeit. Warum eine Sortierung nach CVSS dafür nicht reicht und was Continuous Threat Exposure Management anders macht.
Weiterlesen
Wenn der Lieferant auf der Leak-Site steht
Ransomware-Gruppen veröffentlichen die Namen ihrer Opfer, oft bevor deren Kunden davon erfahren. Steht dort Ihr Lohnbuchhalter oder Ihr Cloud-Anbieter, beginnt für Sie eine Prüfung, die Sie nicht abwarten können. Was die DSGVO dem Auftragsverarbeiter vorschreibt, ab wann Ihre eigene Frist läuft und welche vier Fragen in der ersten Stunde beantwortet sein sollten.
Weiterlesen
Forensik beginnt vor dem Vorfall
Nach einem Angriff fragen Leitung, Versicherer und Aufsicht nach dem Einfallstor. Ob es darauf eine Antwort gibt, entscheidet sich oft in der ersten Stunde, und meist durch einen gut gemeinten Neustart. Der BSI-Baustein DER.2.2 macht deshalb drei Dinge zur Basis-Anforderung, die vor dem Vorfall erledigt sein müssen: rechtliche Klärung, ein Leitfaden für Erstmaßnahmen und ein vorab ausgewählter Forensik-Dienstleister.
Weiterlesen
Eine Anforderung ist keine Maßnahme
Grundbegriffe, Folge 6: „Ist die Maßnahme umgesetzt?“ Wer aus dem IT-Grundschutz kommt, meint damit etwas anderes als jemand, der nach ISO 27001 arbeitet. Das Kompendium trennt Baustein, Anforderung und Maßnahme sauber: was abgesichert wird, was erfüllt sein muss und wie es bei Ihnen erfüllt wird. In der deutschen ISO-Fassung heißt dagegen das Control „Maßnahme“. Dasselbe Wort, zwei Ebenen.
Weiterlesen
Eine Kennzahl ohne Rechenweg misst nichts
ISO 27001 verlangt in Abschnitt 9.1 nicht einfach Kennzahlen, sondern Festlegungen: was gemessen wird, mit welcher Methode, wann, von wem, und wer die Ergebnisse auswertet. Die Methode soll vergleichbare und reproduzierbare Ergebnisse liefern. Warum genau daran viele Sicherheitskennzahlen scheitern, und woran man eine Zahl erkennt, die nur Aktivität zählt.
Weiterlesen
Auf die, die die Rücksicherung testen
Stille Arbeit, Folge 1: Eine Datensicherung, die jede Nacht grün meldet, sagt nichts darüber, ob sich aus ihr etwas zurückholen lässt. Das weiß nur, wer es ausprobiert, an einem Dienstagnachmittag, ohne Anlass und ohne Publikum. Warum der IT-Grundschutz genau das als Basis-Anforderung verlangt, und warum es trotzdem so selten jemand sieht.
Weiterlesen
Ein PUE aus dem Datenblatt ist keine Messung
Maschinenraum, Folge 1: Ab dem 1. Juli 2027 gilt für bestehende Rechenzentren ein gesetzlicher PUE-Grenzwert, im Jahresdurchschnitt. Viele haben einen PUE, aber oft aus dem Datenblatt, aus Nennleistungen oder von einem kühlen Tag im Februar. Was das Energieeffizienzgesetz unter der Kennzahl versteht, wo sie sich schönrechnen lässt, und warum die Novelle daran nichts ändert.
Weiterlesen
Ein Audittermin ist noch kein Auditprogramm
Viele interne ISO-27001-Audits sind ein Termin im November, kurz vor dem Überwachungsaudit, durchgeführt von der Person, die das ISMS auch betreibt. Die Norm verlangt in Abschnitt 9.2 etwas anderes: ein Programm, das Häufigkeit und Umfang aus der Bedeutung der Prozesse und den Ergebnissen früherer Audits ableitet, und Auditoren, die objektiv und unparteiisch sind. Was das in einer kleinen Organisation praktisch heißt.
Weiterlesen
Die Norm beginnt nicht bei Anhang A
In vielen Häusern heißt ISO 27001 „die 93 Controls“. Anhang A ist aber nur die Liste, gegen die man die eigene Risikobehandlung abgleicht. Zertifiziert wird das Managementsystem in den Kapiteln 4 bis 10: Kontext, Geltungsbereich, Führung, Risiken, Ziele, Audit, Managementbewertung. Warum genau dort die Lücken liegen und woran man sieht, ob ein Abschnitt belegt ist oder nur angekreuzt.
Weiterlesen
Die Praxis sieht man von außen
NIS2 verlangt, bei der Lieferkette die Cybersicherheitspraxis der Anbieter zu berücksichtigen. Ein Fragebogen liefert dafür eine Selbstauskunft. Ob ein Lieferant seine Mail-Domain absichert, Zertifikate erneuert oder Fernwartung offen ins Internet stellt, sieht man dagegen von außen, ohne zu fragen. Was eine Außennote belegt, was sie nicht belegt, und warum „nicht gemessen“ nie „sauber“ heißen darf.
Weiterlesen
Eine Leitlinie ist keine Richtlinie
Grundbegriffe, Folge 5: Leitlinie, Richtlinie, Sicherheitskonzept und Arbeitsanweisung landen in vielen Häusern im selben Ordner und oft im selben Dokument. Der BSI-Standard 200-1 unterscheidet sie nach Zweck, Zielgruppe und Freigeber. Wer die Ebenen mischt, bekommt eine Leitlinie, die niemand ändern darf, und Anweisungen, die niemand liest.
Weiterlesen
Versichert, solange Sie es beweisen
Eine Cyberversicherung zahlt für den Angriff, aber nur bei erfüllten Obliegenheiten: Mehr-Faktor-Anmeldung, Offline-Sicherung, Patchfrist. Bei grober Fahrlässigkeit darf der Versicherer kürzen, und das Gegenteil muss das versicherte Unternehmen beweisen, mitten im Wiederanlauf. Was § 28 VVG dazu sagt und warum der Nachweis vor dem Schaden entstehen muss.
Weiterlesen
Die Vertretung ist kein Schlupfloch
Meldefristen laufen weiter, wenn die zuständige Person im Urlaub ist, also braucht jede Rolle eine Vertretung. Der IT-Grundschutz setzt dabei eine Grenze, die im Alltag regelmäßig fällt: Auch Vertreter unterliegen der Funktionstrennung. Warum die Vertretung oft genau die Person ist, die den Antrag gestellt hat, und was eine Freigabe während der Abwesenheit festhalten muss.
Weiterlesen
Ja zu welchem Text?
Artikel 7 DSGVO verlangt, dass der Verantwortliche eine Einwilligung nachweisen kann. Ein Häkchen mit Datum beweist nur, dass jemand irgendwann Ja gesagt hat. Der Europäische Datenschutzausschuss verlangt mehr: die Information, die die Person in diesem Moment gesehen hat. Warum die Version des Einwilligungstextes der eigentliche Nachweis ist, und was nach einer wesentlichen Änderung passieren muss.
Weiterlesen
Installiert ist nicht wirksam
Dass ein Endpunktschutz läuft, steht im Inventar. Ob er anschlägt, wenn auf einem Rechner tausend Dateien in einer Minute verschlüsselt werden, steht nirgends, bis es passiert. § 30 BSIG verlangt Verfahren zur Bewertung der Wirksamkeit. Wie man die prüft, ohne Schadsoftware ins Haus zu holen.
Weiterlesen
Hoch mal mittel ist keine Zahl
NIS2 verlangt Maßnahmen, die „unter Berücksichtigung der Kosten der Umsetzung“ dem Risiko angemessen sind. Eine Risikomatrix kann diese Rechnung nicht liefern, weil auf beiden Seiten keine Zahl steht. Was eine Dreipunktschätzung und 10.000 simulierte Jahre daraus machen, und warum der Seed wichtiger ist als die Kommastelle.
Weiterlesen
Grün ohne Beleg
Ab dem 27. September 2026 stehen „umweltfreundlich“ ohne Nachweis, „klimaneutral“ durch Kompensation und Siegel ohne Zertifizierung auf der schwarzen Liste der unlauteren Geschäftspraktiken. Die Richtlinie (EU) 2024/825 zielt auf die Website, und dort weiß meist niemand, auf wie vielen Seiten „nachhaltig“ steht.
Weiterlesen
Der Server ist nicht das Kronjuwel
Grundbegriffe, Folge 4: Informationsverbund, Zielobjekt und Asset werden im Alltag für dasselbe gehalten wie ein Inventar. Der IT-Grundschutz meint drei verschiedene Dinge, und keines davon ist eine Geräteliste. Warum 3.000 Clients ein Zielobjekt sein können und das Kronjuwel nie ein System ist.
Weiterlesen
Was der Agent nie tut
Ein Dienst, der auf jedem Gerät als SYSTEM läuft, ist das mächtigste Stück Software im Haus. Der isidaten-Agent kam in vier der letzten sechs Artikel vor, immer als Werkzeug. Hier geht es um ihn selbst: fünf Dinge, die er grundsätzlich nicht tut, und warum eine gestohlene Datenbank damit nicht die Flotte steuert.
Weiterlesen
Wer das Drehbuch kennt, übt nicht
Der BSI-Standard 200-4 erlaubt der Übungsleitung, eine Einlage früher, später oder gar nicht einzuspielen. Das geht nur, wenn der Stab das Drehbuch nicht sieht. Was eine Stabsübung von einer Lesung unterscheidet, welche Zeit der Standard gemessen haben will, und was eine Teilnehmerseite deshalb nie zeigen darf.
Weiterlesen
Seite zwei ist unauffällig
Active Directory beantwortet jede Suche mit höchstens 1.000 Objekten. Wer nicht weiterblättert, prüft die ersten 1.000 Konten und hält den Rest für sauber. Warum ein Härtungsbericht sagen muss, was er nicht gesehen hat, und was das für Score, Reifegrad und den Baustein APP.2.2 heißt.
Weiterlesen
Ein Niveau, sieben Zahlen
„Welchen Security Level hat Ihre Produktion?“ Die ehrliche Antwort ist weder 2 noch 3. IEC 62443 kennt vier Stufen, sieben Grundanforderungen und drei Buchstaben, und erst zusammen ergeben sie eine Aussage. Was hinter dem Vektor steckt und warum die Steuerung bisher auf keiner Schwachstellenliste stand.
Weiterlesen
Die zweite Stückliste
Die Software-Stückliste kennt inzwischen jeder, der Cyber Resilience Act verlangt sie. Die zweite Stückliste kennt kaum jemand: Welche kryptografischen Verfahren laufen wo? Seit 2024 gibt es dafür ein Format, und in isidaten drei Wege, sie zu füllen.
Weiterlesen
Ein Vorfall, zwei Uhren
Seit März hat ein Betreiber kritischer Anlagen zwei Aufsichtsakten: die für Cybersicherheit beim BSI und die für physischen Schutz beim BBK. Beide verlangen Meldungen binnen 24 Stunden. Danach zählen sie verschieden, und wer beide von einem Kalendereintrag aus führt, verpasst eine.
WeiterlesenArchiv nach Monat
- Oktober 2026 (13)
- September 2026 (31)
- August 2026 (31)
- Juli 2026 (32)
- Juni 2026 (7)
- Dezember 2025 (1)
- November 2025 (2)
- Juli 2025 (2)
- April 2025 (1)
- März 2025 (1)
- Februar 2025 (1)
Fragen zu einer Neuerung?
Sprechen Sie mit uns – wir zeigen Ihnen die aktuellen Funktionen und Integrationen gern in einer Demo.