August 2026
Alle 31 isidaten-Artikel aus dem August 2026.
Drei Tage vor der Frist
Am 8. September sind wir auf der DIGITAL X in Köln, alle drei Gründer. Drei Tage später greift die erste scharfe Pflicht aus dem Cyber Resilience Act. Und wer im Juli bei uns am Tisch saß, hätte ein anderes Produkt gesehen.
Weiterlesen
Bedrohung ist nicht Gefährdung
Grundbegriffe, Folge 1: Bedrohung, Schwachstelle, Gefährdung und Risiko bauen im IT-Grundschutz aufeinander auf und meinen vier verschiedene Dinge. Dazu der Begriff, den das BSI 2017 abgeschafft hat und den fast alle weiter verwenden.
Weiterlesen
Die NDA-Pflicht bleibt offen
Den Haken bei „NDA-pflichtig“ zu setzen erledigt nichts. Solange keine Unterzeichnung hinterlegt ist, weist das Projekt die Partei weiter als offen aus. Warum das der Sinn der Sache ist und weshalb eine abgelehnte Sicherheitsfreigabe mehr wert ist als ein leeres Feld.
Weiterlesen
Die schlechteste Klausel gewinnt
Vier von fünf Unterklauseln erfüllt ergibt keine achtzig Prozent, sondern den Status der fünften. Warum das Norm-Cockpit bewusst nicht mittelt, was die Zwischenstufe „teilweise“ leistet und weshalb ein begründeter Ausschluss selbst ein Nachweis ist.
Weiterlesen
Eine VM, drei Zeugen
Der Hypervisor sieht die virtuelle Maschine, der Netzwerk-Scan sieht sie, der Software-Scan auch. Wer das nicht zusammenführt, hat sie dreimal im Inventar und eine Asset-Zahl, die von der Anzahl der Scanner abhängt statt von der Anzahl der Maschinen.
Weiterlesen
Zweimal gepflegt ist einmal falsch
Der Hauptprozess zeigt keine einzige Verknüpfung, obwohl er erkennbar kritisch ist. Alles hängt an den Teilprozessen. Warum Doppelpflege die schlechtere Antwort darauf ist und wie ein Prozess Verknüpfungen anzeigen kann, ohne sie zu besitzen.
Weiterlesen
Das Altgerät meldet sich auch
Beim Notebook-Tausch meldet sich das Altgerät genauso zuverlässig wie das neue. Wer die Erfolgskontrolle eines Rollouts nur fragt, ob es Kontakt gab, bekommt bei jedem Ziel ein Ja. Warum die Prüfung am Abschlusszeitpunkt hängt und ein Fehlschlag nie zurücksetzt.
Weiterlesen
Alt heißt nicht ausgenommen
Der Cyber Resilience Act gilt ab Dezember 2027, und Bestandsprodukte sind bis dahin geschont. Für die Meldepflicht ab dem 11. September gilt genau das nicht: Ein eigener Absatz nimmt die Schonung ausdrücklich zurück.
Weiterlesen
Vier mal zwanzig sind sechzig
Ein Raum mit vier Kühlgeräten zu je 20 kW trägt keine 80 kW redundant, sondern 60. An jedem Gerät kann trotzdem N+1 gepflegt sein. Das Etikett ist ein Versprechen, die Rechnung ist die Wirklichkeit.
Weiterlesen
Die Metrik zählt, nicht die Zahl
Hundert Installationen sind keine hundert Lizenzen. Sie sind hundert, zwölf oder null, je nachdem, wie der Hersteller zählt. Wer eine Lizenzbilanz aus einer Installationsliste ableitet, rechnet an der Frage vorbei.
Weiterlesen
Nicht bedienbar, nicht bestanden
Eine Pflichtschulung mit 98 Prozent Abschlussquote sieht gut aus. Über die fehlenden zwei Prozent sagt sie nichts. Wer die Schulung nicht bedienen konnte, steht im Bericht genauso da wie jemand, der sie nicht wollte.
Weiterlesen
Der Behelf wird Bestandteil
WiBA sah aus wie eine Einstiegshilfe für kleine Kommunen, die man später gegen das Richtige tauscht. Das BSI hat inzwischen entschieden: Die Checklisten werden fester Bestandteil des Nachfolgers vom IT-Grundschutz-Kompendium.
Weiterlesen
Dafür gibt es keinen guten Grund
Jeder Sicherheitsalarm beginnt mit derselben Frage: War das jemand von uns? Ein Köder beantwortet sie vorab. Er hat keinen betrieblichen Zweck, also gibt es für seine Nutzung keine harmlose Erklärung.
Weiterlesen
Unverbindlich, aber maschinenlesbar
Das BSI hat die TR-03183-1 in Version 1.0.0 veröffentlicht: eine Einstiegshilfe in den Cyber Resilience Act, ohne Konformitätsvermutung. Der interessanteste Teil steht am Rand: Die Maßnahmenauswahl kommt zusätzlich im maschinenlesbaren Format OSCAL, allerdings nur auf Anfrage.
Weiterlesen
Einzeln erlaubt, zusammen kritisch
Der Schweregrad einer Cloud-Fehlkonfiguration steht im Katalog. Nur kennt der Katalog die Ressource nicht, auf der die Prüfung anschlägt. Wie wir das aufgelöst haben, und warum ein einzelner Risikofaktor dabei nichts anhebt.
Weiterlesen
Woran würden Sie es merken?
Zu jeder Angriffstechnik fragt man üblicherweise: Haben wir eine Maßnahme dagegen? Die unbequemere Frage ist die nach der Sichtbarkeit. MITRE ATT&CK beantwortet sie, und wir haben diese Antwort jetzt importierbar gemacht.
Weiterlesen
Löschen müssen und nicht dürfen
Die Löschfrist ist abgelaufen, aber ein Verfahren läuft noch. Drei Mechanismen regeln das, und sie werden ständig verwechselt: Die Frist sagt wann, die Versiegelung sagt nicht ändern, die Sperrung sagt nicht löschen.
Weiterlesen
Eine Antwort beweist gar nichts
Im März hat das NIST seinen DNS-Leitfaden nach dreizehn Jahren neu gefasst. Wir haben die Prüfungen daraus gebaut und dabei gelernt, wie leicht ein DNS-Test das Falsche misst.
Weiterlesen
Versiegeln können wir, öffnen nicht
Notfallpläne liegen meist in genau dem System, das im Ernstfall weg ist. Unser neues Notfallsystem geht deshalb von einer unbequemen Annahme aus: Im Ernstfall ist die Plattform selbst die kompromittierte Seite.
Weiterlesen
Die Pflicht, die schon gilt
Beim Data Act steht überall der 12. September 2026. Wer das für den Startschuss hält, übersieht zweierlei: Der Stichtag ist genau genommen der Tag danach, und die praktisch wichtigste Pflicht gilt bereits seit einem Jahr.
Weiterlesen
Wenn beide Seiten recht haben
Ein Dokument liegt in der E-Akte und im ISMS. Solange sich nur eine Seite ändert, ist der Abgleich einfach. Ändern sich beide, braucht es eine Entscheidung, und die kann kein Werkzeug allgemein treffen.
Weiterlesen
Nicht sauber, sondern unbekannt
Ein Patch-Bericht kennt meist zwei Zustände: gepatcht oder Lücke. Der dritte fehlt und wird stillschweigend zum ersten geschlagen: Geräte, die nie befragt wurden. Warum das ein eigenes Feld verdient, und was daraus für die Verteilung folgt.
Weiterlesen
Wer zusieht, wird gesehen
Fernwartung ist der weitreichendste Zugriff im IT-Betrieb. Mitbestimmungspflichtig ist sie nicht deshalb, weil jemand überwachen will, sondern weil das Werkzeug es könnte. Deshalb startet unser Fernwartungsmodul gesperrt.
Weiterlesen
Nicht konform ist eine zulässige Antwort
Die Erklärung zur Barrierefreiheit ist das einzige Compliance-Dokument, das die eigenen Mängel öffentlich benennen muss. Es gibt drei Konformitätsstufen, und die schlechteste ist erlaubt. Was fehlt, ist nicht die Ausrede, sondern der Unterbau.
Weiterlesen
Zwei Fragen an ein Backup
Lief die Sicherung? Und wo steht, dass sie laufen musste, wie lange aufbewahrt wird und ob jemand die Kopien noch ändern kann? Das sind zwei Fragen an zwei Adressaten. Was der Cohesity-Konnektor deshalb an zwei getrennte Stellen schreibt, und wo er bewusst gar nichts schreibt.
Weiterlesen
Ausnutzbar ist nicht ausgenutzt
Am 11. September greift die Meldepflicht aus dem Cyber Resilience Act, zwei Jahre bevor die Verordnung vollständig gilt. 24 Stunden ab Kenntnis. Nur: Kenntnis wovon genau? Die Verordnung unterscheidet drei Sorten Schwachstelle, und meldepflichtig ist allein die dritte.
Weiterlesen
Das Gesetz ändert sich leise
Am 24. Juli hat die EU die KI-Verordnung geändert. Wir haben die Änderung mitbekommen und trotzdem die falsche Fundstelle zitiert. Was dieser Fehler darüber verrät, auf welcher Ebene ein Rechtskataster führen muss.
Weiterlesen
Weitergeleitet ist nicht gemeldet
Die Klickrate misst, wer scheitert. Die Melderate misst, wer schützt. Nur muss der Meldeweg dann etwas taugen, und Weiterleiten ist nicht gleich Weiterleiten: Beim gewohnten Weiterleiten im Text gehen genau die Angaben verloren, die zur Bewertung nötig wären.
Weiterlesen
Wie misst man Menschen, ohne sie zu überwachen?
Einen Human-Risk-Index zu berechnen ist technisch trivial, die Daten liegen längst vor. Schwierig ist, was man danach damit darf. Warum bei dieser Kennzahl die Voreinstellungen die eigentliche Aussage sind und wozu eine Mindestgruppengröße gut ist.
Weiterlesen
Verschoben ist nicht ausgesetzt
Heute gilt die KI-Verordnung allgemein. Die Hochrisiko-Pflichten, über die alle reden, sind allerdings seit Ende Juli auf Dezember 2027 verschoben. Was bleibt, betrifft dafür fast jeden: die Transparenzpflichten aus Artikel 50.
Weiterlesen
99,9 Prozent wovon?
Eine Verfügbarkeitszahl ohne Definition ist eine Meinung. Was als Ausfall zählt, ob ein HTTP 200 überhaupt etwas beweist und wie Wartungsfenster in die Rechnung eingehen, entscheidet über die Zahl mehr als die Technik dahinter.
Weiterlesen