Oktober 2026
Alle 22 isidaten-Artikel aus dem Oktober 2026.
Ein vergessener Server zieht trotzdem Strom
Maschinenraum, Folge 4: In fast jedem Serverraum läuft ein Gerät, das niemand mehr braucht und niemand abschalten will. Es zieht Strom, muss gekühlt werden und belegt Höheneinheiten. Was das Energieeffizienzgesetz dazu verlangt, warum Abschalten am Eigentümer scheitert und wie man Ghost-Server findet, ohne einen produktiven Server zu erwischen.
Weiterlesen
Der Aufzugsnotruf muss vor dem 2G-Netz umziehen
Die drei deutschen Netzbetreiber schalten 2G im Jahr 2028 ab, die Telekom voraussichtlich zum 30. Juni. Wer einen Aufzug betreibt, muss dafür sorgen, dass der Notruf im Fahrkorb ständig einen Notdienst erreicht. Hängt er an einem 2G-Modul, endet das mit der Abschaltung. Was jetzt zu klären ist.
Weiterlesen
Bei 47 Tagen erneuert niemand mehr von Hand
Öffentliche TLS-Zertifikate dürfen seit März 2026 höchstens 200 Tage gelten, ab März 2027 100 und ab März 2029 nur noch 47. Was der Fahrplan des CA/Browser Forums für den Betrieb bedeutet, welche Systeme zum Problem werden und was bis zu den 100 Tagen erledigt sein sollte.
Weiterlesen
Die erste Post vom BSI ist eine Anhörung
Das BSI hat angekündigt, noch im vierten Quartal 2026 mit der Durchsetzung von NIS2 zu beginnen. Zuerst trifft es Einrichtungen, die sich offensichtlich hätten registrieren müssen, und zuerst kommt eine Anhörung, kein Bußgeld. Was das BSIG dafür vorsieht, was ab 2027 folgt und was im Haus vorbereitet sein sollte, bevor der Brief kommt.
Weiterlesen
Ein Testat ist kein Zertifikat
Grundbegriffe, Folge 8: Im Lieferantenfragebogen steht „ISO 27001 zertifiziert“, „C5-Testat“, „BSI-geprüft“ oder „akkreditiert“. Vier Antworten, die ähnlich klingen und Verschiedenes bedeuten. Wer prüft, wer den Prüfer prüft, und was am Ende auf dem Papier steht: Zertifizierung, Akkreditierung und Attestierung, mit den Stellen aus EU-Recht, BSI-Gesetz und dem C5 des BSI.
Weiterlesen
Der Datenschutzbeauftragte ist gegangen, die Aufsicht kennt noch seinen Namen
Die Bestellung lag im Ordner, die Meldung an die Aufsichtsbehörde ging vor vier Jahren raus, auf der Website steht noch die alte Adresse. Dann wechselt die Person, und keiner der drei Orte erfährt davon. Was Art. 37 DSGVO und der IT-Grundschutz zu Beauftragten verlangen und warum eine Bestellung erst mit ihrem Ende zum Problem wird.
Weiterlesen
Auf die, die in der Stabsübung sagen: „Das wissen wir nicht“
Stille Arbeit, Folge 3: Zwanzig Minuten in der Stabsübung, die Leitung fragt, ob die Sicherungen betroffen sind. Am Tisch sagt jemand „Nein“, weil es immer so war. Und dann sagt jemand anderes: „Das wissen wir nicht.“ Warum dieser Satz die Übung erfolgreich macht und wo BSI-Standard 200-4 ihn verlangt.
Weiterlesen
A/B ist erst redundant, wenn jede Seite allein trägt
Maschinenraum, Folge 3: Zwei Stromschienen, zwei Leisten pro Rack, jeder Server mit zwei Netzteilen. Auf dem Plan ist das redundant. Ob es das auch ist, entscheidet sich an drei Stellen: an der Last jeder Seite, an der Frage, wo A und B zusammenlaufen, und an den Geräten, deren zweites Netzteil an derselben Leiste hängt. Was der IT-Grundschutz dazu sagt und wie man es prüft.
Weiterlesen
Im Intranet abgelegt ist nicht zur Kenntnis gegeben
Die Richtlinie zur IT-Nutzung ist freigegeben, liegt im Intranet, und eine Rundmail hat darauf hingewiesen. Im Audit reicht das nicht. Der IT-Grundschutz verlangt, dass neue Beschäftigte die Richtlinie bestätigen, bevor sie die IT nutzen, und dass alle sie nach größeren Änderungen erneut bestätigen. Das Intranet ist der Ort zum Nachlesen, nicht der Nachweis.
Weiterlesen
Wer den Passwortwechsel abschafft, muss Leaks erkennen
Viele Häuser haben den Passwortwechsel alle 90 Tage abgeschafft, mit dem BSI auf ihrer Seite. Der IT-Grundschutz knüpft das aber an eine Bedingung: Wer nicht mehr nach Kalender wechseln lässt, muss erkennen, wenn ein Passwort kompromittiert ist. Woher diese Erkenntnis kommen kann, und was danach passieren muss.
Weiterlesen
Wer eine Lücke findet, braucht eine Adresse
Eine Sicherheitsforscherin findet eine Schwachstelle in Ihrem Produkt und sucht einen Kontakt. Sie findet das Impressum, info@ und einen Chatbot. Der Cyber Resilience Act verlangt ab Dezember 2027 eine Kontaktadresse für Schwachstellenmeldungen und ein Konzept zur koordinierten Offenlegung. Die security.txt nach RFC 9116 ist der Ort, an dem Forscher zuerst nachsehen, und sie veraltet still.
Weiterlesen
Ein Grundschutz-Check ist kein Audit
Grundbegriffe, Folge 7: „Wir hatten im Frühjahr ein Audit.“ Oft war es ein IT-Grundschutz-Check, den der ISB mit den Verantwortlichen selbst durchgeführt hat. Das ist wertvoll, aber etwas anderes. Der BSI-Standard 200-2 unterscheidet drei Prüfungen: den Check als Soll-Ist-Vergleich, die IS-Revision als regelmäßige Überprüfung der Wirksamkeit und das Audit durch unabhängige Stellen. Wer prüft, wogegen, und mit welcher Folge.
Weiterlesen
Nachweise gehören nicht in den Mailanhang
Vor dem Audit kommt die Anforderungsliste, und dann gehen Exporte, ZIP-Dateien und Freigabelinks an die Prüfstelle. Nach dem Audit weiß niemand mehr, wo die Kopien liegen, welcher Stand vorlag und wer sie gesehen hat. Der IT-Grundschutz-Baustein DER.3.1 verlangt das Gegenteil: Prüfer greifen nicht ein, Zugriffe werden danach entzogen, und nur Berechtigte kommen an die Unterlagen.
Weiterlesen
Auf die, die um 17:55 den Phishing-Verdacht noch melden
Stille Arbeit, Folge 2: Freitag, kurz vor Feierabend, ein Klick auf einen Link, der sich falsch anfühlt. Zwei Möglichkeiten: den Rechner zuklappen und hoffen, oder anrufen und sagen, dass man vielleicht etwas angeklickt hat. Warum die zweite oft die früheste Erkennung ist, die ein Haus bekommt, wo der IT-Grundschutz sie verlangt, und warum sie so selten gedankt wird.
Weiterlesen
Für das BSI ein Rechenzentrum, für das EnEfG nicht
Maschinenraum, Folge 2: Drei Racks im Keller, vierzig Kilowatt, „wir haben kein Rechenzentrum“. Für das Energieeffizienzgesetz stimmt das, denn es zählt Kilowatt und beginnt bei 300. Der IT-Grundschutz zählt etwas anderes: die Bedeutung für die Aufgaben. Danach ist der einzige zentrale Serverraum grundsätzlich wie ein Rechenzentrum zu behandeln. Zwei Definitionen, zwei verschiedene Antworten auf dieselbe Frage.
Weiterlesen
Eine Befundliste ist noch keine Priorität
Der Scanner meldet viertausend Schwachstellen, der Pentest vierzig Feststellungen, die Angriffsflächenanalyse ein Dutzend offene Dienste. Jede Liste stimmt, zusammen sind sie nicht abzuarbeiten. Das BSIG verlangt kein Abarbeiten, sondern ein Management von Schwachstellen und eine Bewertung der Wirksamkeit. Warum eine Sortierung nach CVSS dafür nicht reicht und was Continuous Threat Exposure Management anders macht.
Weiterlesen
Wenn der Lieferant auf der Leak-Site steht
Ransomware-Gruppen veröffentlichen die Namen ihrer Opfer, oft bevor deren Kunden davon erfahren. Steht dort Ihr Lohnbuchhalter oder Ihr Cloud-Anbieter, beginnt für Sie eine Prüfung, die Sie nicht abwarten können. Was die DSGVO dem Auftragsverarbeiter vorschreibt, ab wann Ihre eigene Frist läuft und welche vier Fragen in der ersten Stunde beantwortet sein sollten.
Weiterlesen
Forensik beginnt vor dem Vorfall
Nach einem Angriff fragen Leitung, Versicherer und Aufsicht nach dem Einfallstor. Ob es darauf eine Antwort gibt, entscheidet sich oft in der ersten Stunde, und meist durch einen gut gemeinten Neustart. Der BSI-Baustein DER.2.2 macht deshalb drei Dinge zur Basis-Anforderung, die vor dem Vorfall erledigt sein müssen: rechtliche Klärung, ein Leitfaden für Erstmaßnahmen und ein vorab ausgewählter Forensik-Dienstleister.
Weiterlesen
Eine Anforderung ist keine Maßnahme
Grundbegriffe, Folge 6: „Ist die Maßnahme umgesetzt?“ Wer aus dem IT-Grundschutz kommt, meint damit etwas anderes als jemand, der nach ISO 27001 arbeitet. Das Kompendium trennt Baustein, Anforderung und Maßnahme sauber: was abgesichert wird, was erfüllt sein muss und wie es bei Ihnen erfüllt wird. In der deutschen ISO-Fassung heißt dagegen das Control „Maßnahme“. Dasselbe Wort, zwei Ebenen.
Weiterlesen
Eine Kennzahl ohne Rechenweg misst nichts
ISO 27001 verlangt in Abschnitt 9.1 nicht einfach Kennzahlen, sondern Festlegungen: was gemessen wird, mit welcher Methode, wann, von wem, und wer die Ergebnisse auswertet. Die Methode soll vergleichbare und reproduzierbare Ergebnisse liefern. Warum genau daran viele Sicherheitskennzahlen scheitern, und woran man eine Zahl erkennt, die nur Aktivität zählt.
Weiterlesen
Auf die, die die Rücksicherung testen
Stille Arbeit, Folge 1: Eine Datensicherung, die jede Nacht grün meldet, sagt nichts darüber, ob sich aus ihr etwas zurückholen lässt. Das weiß nur, wer es ausprobiert, an einem Dienstagnachmittag, ohne Anlass und ohne Publikum. Warum der IT-Grundschutz genau das als Basis-Anforderung verlangt, und warum es trotzdem so selten jemand sieht.
Weiterlesen
Ein PUE aus dem Datenblatt ist keine Messung
Maschinenraum, Folge 1: Ab dem 1. Juli 2027 gilt für bestehende Rechenzentren ein gesetzlicher PUE-Grenzwert, im Jahresdurchschnitt. Viele haben einen PUE, aber oft aus dem Datenblatt, aus Nennleistungen oder von einem kühlen Tag im Februar. Was das Energieeffizienzgesetz unter der Kennzahl versteht, wo sie sich schönrechnen lässt, und warum die Novelle daran nichts ändert.
Weiterlesen