Schulung - Security Awareness Live

Eine vermeintliche Microsoft-Nachricht, eine dringende Anfrage der Geschäftsführung oder eine geänderte Bankverbindung eines Lieferanten: Cyberkriminelle versuchen gezielt, Mitarbeitende zu einer schnellen und unüberlegten Handlung zu bewegen. Die Interaktion eines Mitarbeitenden kann dabei der Anfang einer Angriffskette sein – vom Diebstahl von Zugangsdaten über die Ausbreitung im Unternehmensnetz bis hin zu Datendiebstahl und Ransomware.Genau diese Situationen trainieren wir in unserem interaktiven Online-Workshop „Security Awareness Live“. Remote #Schulung und #Workshop

Seminarinhalte (Auswahl) und Ziele	Einführung & aktuelle Gefahrenlage: Einordnung aktueller Cyberangriffe und typischer Angriffsszenarien aus dem Arbeitsalltag. Interaktiver Praxis-Workshop: Die Teilnehmenden bewerten realistische Situationen und entscheiden selbst, ob beispielsweise eine Nachricht vertrauenswürdig ist, ein Link geöffnet oder eine MFA-Anfrage bestätigt werden sollte. Angriffsmethoden erkennen: Phishing, Social Engineering, CEO Fraud, gefälschte Anmeldeseiten und MFA-Angriffe. Phishing-Simulation: Interaktive Angriffssituationen mit gemeinsamer Analyse ausgewählter Fälle. STOP – PRÜFEN – MELDEN: Einüben einer einfachen Verhaltensregel für verdächtige Nachrichten und Sicherheitsvorfälle. Security-Awareness-Test: Persönlicher Abschlusstest zu Phishing, Passwörtern, Social Engineering, Anhängen, QR-Codes, Updates, Fernzugriffen und Sicherheitsvorfällen.
Zielgruppe | Max. Tln	Mitarbeitende ohne besondere IT-Kenntnisse. Small Team: max. 5 Teilnehmende. Team: max. 10 Teilnehmende.
Voraussetzungen	Keine besonderen IT-Kenntnisse erforderlich. Teilnahme an Microsoft Teams sowie Internetzugang erforderlich. Die benötigten Zugänge für Phishing-Simulation und Security-Awareness-Test werden im Rahmen des Workshops bereitgestellt.
Zeitrahmen	Dauer : 09:00 bis 11:00 Uhr. (Zeitrahmen) Pause: von 10:00-10:15.
Bemerkungen	Ausschließlich Remote als Live-Online-Workshop über Microsoft Teams. Durch die begrenzte Gruppengröße werden die Teilnehmenden aktiv eingebunden; Entscheidungen und Fragen aus dem eigenen Arbeitsalltag können gemeinsam diskutiert werden.
Folgende Leistungen sind vom Kunden zu erbringen bzw. vorzubereiten	Teilnahme über Microsoft Teams. Geeigneter PC/Notebook mit Internetzugang sowie Headset/Mikrofon. Die Teilnehmenden sollten während des Workshops aktiv an Übungen, Simulationen und Diskussionen teilnehmen können.
Preisinfo Small Team Preisinfo Team	800 € zzgl. MwSt. pauschal, 1 bis maximal 5 Teilnehmende. 1.500 € zzgl. MwSt. pauschal, 6 bis maximal 10 Teilnehmende. Im Preis enthalten: Live-Moderation, aktuelle Praxisfälle, interaktive Übungen, Phishing-Simulation und persönlicher Security-Awareness-Test.

KI Werkzeug keine Abkürzung: Wie das GWS Compliance Paket entstanden ist

Künstliche Intelligenz verändert die Softwareentwicklung. Wer heute behauptet, dass sich komplexe Anwendungen nicht schneller entwickeln lassen als noch vor wenigen Jahren, verkennt die Möglichkeiten moderner KI-gestützter Entwicklung.

Aber ebenso irreführend ist die Vorstellung, eine KI könne auf Knopfdruck ein marktreifes Produkt entwickeln.

Die Wahrheit liegt – wie so oft – dazwischen.

Bei der Entwicklung des GWS Compliance Pakets haben wir die Vorteile moderner KI konsequent genutzt. Sie hat uns dabei unterstützt, Code zu erzeugen, Lösungsansätze vorzuschlagen, Dokumentationen vorzustrukturieren und Entwicklungsprozesse zu beschleunigen. Das hat die Produktivität deutlich erhöht und uns ermöglicht, schneller von der Idee zur funktionierenden Lösung zu gelangen.

Doch die eigentliche Entwicklungsleistung bestand nicht darin, eine KI arbeiten zu lassen – sondern darin, sie richtig einzusetzen.

Hinter jedem generierten Code standen Menschen, die:

• Anforderungen analysiert und priorisiert haben,
• einen belastbaren Architektur- und Entwicklungsprozess definierten,
• Ergebnisse geprüft und validiert haben,
• Fehler identifizierten und behoben,
• Dokumentationen erstellt und ergänzt,
• Sicherheits- und Datenschutzanforderungen bewertet,
• Compliance-Vorgaben umgesetzt und
• die Qualität des Gesamtsystems sichergestellt haben.

Gerade im Compliance-Umfeld reicht funktionierender Code allein nicht aus. Entscheidend ist, dass Prozesse nachvollziehbar, dokumentiert und revisionssicher umgesetzt werden. Datenschutz, Informationssicherheit und regulatorische Anforderungen lassen sich nicht einfach generieren – sie müssen verstanden, bewertet und verantwortet werden.

KI kennt weder die unternehmensspezifischen Risiken noch trägt sie Verantwortung für Entscheidungen. Sie kann Vorschläge machen, aber sie entscheidet nicht über Sicherheitskonzepte, Datenschutzmaßnahmen oder die fachliche Korrektheit einer Lösung.

Das GWS Compliance Paket ist deshalb ein gutes Beispiel dafür, wie moderne Entwicklung heute aussehen kann: KI übernimmt zeitintensive Routinearbeiten und unterstützt Entwickler bei der Umsetzung. Den entscheidenden Unterschied machen jedoch die Menschen, die den Rahmen schaffen, den Prozess steuern und die Ergebnisse kritisch hinterfragen.

Ich bin überzeugt, dass genau darin die Zukunft der Softwareentwicklung liegt. Nicht "KI ersetzt Entwickler", sondern Entwickler, die KI sinnvoll einsetzen, werden deutlich leistungsfähiger.

Innovation entsteht nicht durch Automatisierung allein. Sie entsteht dort, wo Technologie auf Erfahrung, Fachwissen und Verantwortungsbewusstsein trifft.

Genau diesen Weg sind wir bei der Entwicklung des GWS Compliance Pakets gegangen – und genau deshalb ist daraus mehr geworden als nur ein weiteres Softwareprojekt.

#Compliance

Kritische Veeam‑Sicherheitslücken: BSI warnt

Für Veeam Backup & Replication wurden im März 2026 mehrere kritische Sicherheitslücken (CVSS bis 9,9) veröffentlicht. Das BSI (CERT‑Bund) stuft die Lage als kritisch ein und empfiehlt sofortige Updates auf die vom Hersteller bereitgestellten Fix‑Versionen.

Betroffen sind insbesondere Backup‑Server mit Domänenanbindung sowie Umgebungen, in denen Veeam‑Rollen wie Backup Operator oder Backup Viewer vergeben sind.

Welche Versionen sind betroffen?

Nach Hersteller‑ und BSI‑Angaben gelten folgende Versionen als verwundbar:

• Veeam Backup & Replication 12
  • 12.3.2.4165 und alle früheren 12.x‑Builds
• Veeam Backup & Replication 13
  • 13.0.1.1071 und alle früheren 13.x‑Builds

Mehrere der Schwachstellen ermöglichen Remote Code Execution (RCE) – teilweise bereits mit niedrigen Rollenrechten wie Backup Viewer.

Welche Versionen sind sicher?

Die Sicherheitslücken gelten laut Veeam als behoben ab:

• ✅ Veeam Backup & Replication 12.3.2.4465
• ✅ Veeam Backup & Replication 13.0.1.2067

Diese Versionen schließen alle aktuell bekannten kritischen CVEs für die jeweiligen Hauptversionen. [veeam.com], [veeam.com]

Einschätzung des BSI

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt ausdrücklich vor dem Weiterbetrieb ungepatchter Systeme. In der Warnmeldung wird auf das hohe Missbrauchspotenzial hingewiesen, insbesondere da Backup‑Systeme häufig weitreichende Zugriffsrechte besitzen.

SQL Express, PostgreSQL und Versionen < V12

• PostgreSQL wird erst ab Veeam V12 unterstützt
• Installationen unterhalb von V12 müssen zuerst aktualisiert werden
• Eine Neuinstallation ist nicht grundsätzlich nötig, kann aber erforderlich sein, wenn:
  • sehr alte SQL‑Versionen im Einsatz sind
  • das Betriebssystem nicht mehr kompatibel ist

Der Wechsel von SQL Express zu PostgreSQL ist keine Update‑Installation, sondern eine Migration der Konfigurationsdatenbank.

Kurzfazit für Admins

• ❗ BSI warnt – Update ist dringend
• ❗ Ungepatchte Backup‑Server sind ein Hochrisiko‑Ziel
• ✅ Sicher ab 12.3.2.4465 bzw. 13.0.1.2067
• ✅ Veeam < V12 zuerst upgraden, PostgreSQL erst danach
• ✅ Migration ≠ Neuinstallation

Wie hoch ist das Cyberrisiko Ihres Unternehmens wirklich?

Ihre IT funktioniert. Entscheidend ist jedoch nicht der Betrieb, sondern ob angemessene Maßnahmen nachvollziehbar dokumentiert sind. Cyberangriffe, Ausfälle oder Datenschutzvorfälle sind heute keine reinen IT‑Themen mehr. Sie betreffen unternehmerische Verantwortung, Versicherbarkeit und Entscheidungsrisiken der Geschäftsführung.

Viele Geschäftsführer verlassen sich auf ihre IT – wissen aber nicht, ob die Anforderungen von BSI, Versicherern und Geschäftspartnern tatsächlich erfüllt werden.

Nach dem Sicherheitscheck wissen Sie, welche Risiken bestehen, welche Maßnahmen fehlen und welche Themen sofort Handlungsbedarf haben.

Der IT‑Sicherheitscheck nach BSI‑Standards unterstützt die Geschäftsführung dabei, IT‑Risiken bewusst zu bewerten und Entscheidungen zu treffen - umgesetzt durch die IT.

[linkbutton link="https://tech-nachrichten.de/it-sicherheits-check/" label="Details zum IT‑Sicherheitscheck nach BSI‑Standards"]

Typische Anlässe für den IT‑Sicherheitscheck:
– Anfrage einer Cyberversicherung oder Bank
– Wirtschafts‑ oder IT‑Prüfung
– Unsicherheit rund um Haftung und NIS2
– fehlende Entscheidungsgrundlage für die Geschäftsführung

Was häufig unterschätzt wird

Versicherungen prüfen im Schadenfall, ob angemessene IT‑Sicherheitsmaßnahmen bestanden.
Wirtschaftsprüfer und Banken erwarten strukturierte, nachvollziehbare Dokumentationen.
NIS2 schafft keine IT‑Sicherheit, sondern ergänzt Pflichten und Sanktionen.
Ohne aktuelle Einordnung verbleibt das Risiko vollständig beim Unternehmen.

Was der IT-Sicherheitscheck leistet

Der IT‑Sicherheitscheck ist eine GAP‑Analyse nach BSI‑Grundschutz‑Standards.
Er zeigt strukturiert den aktuellen Stand der IT‑Sicherheit, bestehende Abweichungen zu anerkannten Standards, priorisierte Handlungsfelder sowie eine Management‑Zusammenfassung als Entscheidungsgrundlage.

Kein Testat, keine Zertifizierung, sondern eine fachlich fundierte Einordnung.

Wann der IT-Sicherheitscheck sinnvoll ist

Vor oder nach Wirtschafts‑ und IT‑Prüfungen.
Im Zusammenhang mit Cyber‑ oder Betriebsunterbrechungsversicherungen.
Vor Kredit‑ oder Finanzierungsgesprächen.
Bei Unsicherheit rund um Haftung und NIS2.
Als objektive Grundlage für Management‑Entscheidungen.

Das Ergebnis

Eine transparente Einordnung, ob Ihre IT angemessen aufgestellt ist – und wo konkreter Handlungsbedarf besteht.

Hinweis für Systemkoordinierende (Syskos)

Wenn Sie diesen Beitrag lesen, ist das Thema kein reines IT-Thema mehr.

Der IT-Sicherheitscheck hilft dabei, Risiken bewusst auf Geschäftsführungsebene einzuordnen und zu entscheiden.

Ein möglicher Impuls an die Geschäftsleitung:

„Ich kann die IT umsetzen – aber ob wir diese Risiken tragen, sollte auf Geschäftsführungsebene entschieden werden. Dafür ist der IT-Sicherheitscheck gedacht.“

Weitere Schritte - jetzt Status feststellen lassen!

Der IT-Sicherheitscheck liefert eine strukturierte, nachvollziehbare Entscheidungsgrundlage für:

Wie ist der aktuelle Stand Ihrer IT-Sicherheit?

Für Ihre Fragen stehe ich Ihnen gern persönlich oder telefonisch zur Verfügung.

👉 Mehr darüber erfahren ⏭

Passwort-Richtlinien: aktuelle BSI-Empfehlungen und internationale Standards

Leider wird immer wieder in Prüferberichten ein "Mangel" deklariert, dass Kennwörter nicht regelmäßig geändert werden. Gerne möchten wir hierzu eine fachliche Einordnung geben, da sich die Empfehlungen zur Passwortsicherheit in den letzten Jahren grundlegend geändert haben.

Aktuelle Empfehlung des BSI (Bundesamt für Sicherheit in der Informationstechnik)

Das BSI empfiehlt keine regelmäßigen, anlasslosen Passwortänderungen mehr. In einer offiziellen Veröffentlichung vom Januar 2025 führt das BSI ausdrücklich aus, dass:

„regelmäßige, anlassunabhängige Passwortwechsel erfahrungsgemäß dazu führen, dass zunehmend schwächere Passwörter genutzt werden und daher nicht gefordert oder technisch erzwungen werden sollten.“

Stattdessen empfiehlt das BSI:

• starke, lange Passwörter,
• die konsequente Nutzung von Mehrfaktor-Authentifizierung (MFA),
• sowie anlassbezogene Passwortänderungen, z. B. bei Verdacht auf Kompromittierung oder nach Sicherheitsvorfällen.
  [bsi.bund.de]

Diese Empfehlung ist auch im BSI‑Grundschutz seit mehreren Jahren verankert und stellt den aktuellen Stand der Technik dar.

Erkenntnisse aus Studien und Sicherheitsforschung

Empirische Studien – unter anderem aus der Sicherheitsforschung der Ruhr‑Universität Bochum – zeigen, dass erzwungene regelmäßige Passwortwechsel häufig zu:

• vorhersehbaren Mustern („Sommer2025“, „Passwort2025!“),
• minimalen Abwandlungen bestehender Passwörter,
• und vermehrter Passwort‑Wiederverwendung

führen und damit die tatsächliche Sicherheit reduzieren.
[news.rub.de]

Internationale Standards (NIST)

Auch das US‑amerikanische National Institute of Standards and Technology (NIST) – international maßgeblich für IT‑Sicherheitsstandards – verbietet in seiner aktuellen Richtlinie SP 800‑63B Revision 4 explizit regelmäßige Passwortabläufe, sofern kein Sicherheitsvorfall vorliegt.

Dort wird festgehalten, dass:

• periodische Passwortrotationen nicht zulässig sind,
• stattdessen lange Passphrasen und MFA eingesetzt werden sollen,
• Passwortänderungen nur bei Kompromittierungsverdacht erfolgen dürfen.
  [captaindns.com]

Diese NIST‑Empfehlungen werden inzwischen auch von europäischen Stellen – inklusive des BSI – übernommen.

Einordnung zur aktuellen Konfiguration

Dass ein Passwort aus August 2025 weiterhin gültig ist, entspricht somit keinem Sicherheitsmangel, sondern vielmehr den aktuellen Empfehlungen der IT‑Sicherheitsbehörden, sofern:

• ein starkes Passwort verwendet wird,
• MFA aktiviert ist,
• und organisatorische Prozesse für anlassbezogene Passwortänderungen existieren.

Stattdessen empfiehlt das BSI:

• starke, lange Passwörter,
• die konsequente Nutzung von Mehrfaktor-Authentifizierung (MFA),
• sowie anlassbezogene Passwortänderungen, z. B. bei Verdacht auf Kompromittierung oder nach Sicherheitsvorfällen.
  [bsi.bund.de]

Diese Empfehlung ist auch im BSI‑Grundschutz seit mehreren Jahren verankert und stellt den aktuellen Stand der Technik dar.

Cloud‑Passwortmanager: Zero Knowledge reicht nicht

Passwortmanager gelten seit Jahren als eine der wichtigsten Basistechnologien für IT‑Sicherheit – gerade in Organisationen mit vielen Nutzerkonten, Cloud‑Diensten und mobilen Arbeitsplätzen. Umso aufmerksamer sollte man werden, wenn Sicherheitsforscher nun zeigen, dass selbst Cloud‑basierte Passwortmanager mit Zero‑Knowledge‑Versprechen unter bestimmten Bedingungen angreifbar sind.

Genau das haben Forscher der ETH Zürich bei einer Untersuchung mehrerer verbreiteter Passwortmanager aufgezeigt. Ihre Ergebnisse sorgen aktuell für Diskussionen – auch, weil sie ein zentrales Sicherheitsversprechen infrage stellen: Dass Anbieter selbst im Kompromittierungsfall keinen Zugriff auf Passwörter haben können. [heise.de]

Was wurde untersucht – und warum ist das relevant?

Die Forscher haben drei weit verbreitete Cloud‑basierte Passwortmanager analysiert: Bitwarden, LastPass und Dashlane. Die Auswahl erfolgte nicht zufällig, sondern aufgrund ihrer hohen Verbreitung und ihres Marktanteils. Ziel war es zu prüfen, ob die versprochene Ende‑zu‑Ende‑Verschlüsselung („Zero Knowledge“) auch unter realistischen Angriffsannahmen standhält.

Das Ergebnis:
Unter bestimmten Voraussetzungen – insbesondere bei einer vollständigen Kompromittierung der Server‑Infrastruktur – lassen sich Angriffe konstruieren, bei denen Passwörter oder ganze Tresore wiederhergestellt werden können. In mehreren Angriffsszenarien ist zusätzlich eine Interaktion der Nutzer erforderlich, etwa durch manipulierte Antworten des Servers.

Wichtig: Es geht nicht um einen einfachen Remote‑Hack oder eine triviale Ausnutzung durch beliebige Angreifer. Dennoch zeigen die Ergebnisse, dass das Sicherheitsmodell komplexer ist, als viele Marketingaussagen vermuten lassen.

Warum das Zero‑Knowledge‑Prinzip hier an Grenzen stößt

Cloud‑Passwortmanager werben damit, dass der Anbieter selbst keinen Zugriff auf die gespeicherten Geheimnisse hat. Die Studie zeigt jedoch:
Sobald ein Angreifer die Serverlogik kontrolliert, kann er unter Umständen Einfluss auf Schlüsselableitungen, Objektintegrität oder Wiederherstellungsmechanismen nehmen.

Die Forscher sprechen davon, dass dadurch das Zero‑Knowledge‑Modell faktisch unterlaufen wird, weil die Integrität der verschlüsselten Daten nicht mehr vollständig garantiert ist.

Für Systemkoordinatoren ist das ein entscheidender Punkt:
Verschlüsselung schützt Daten nur dann zuverlässig, wenn alle beteiligten Komponenten – Client, Server, Protokolle und Prozesse – korrekt zusammenspielen.

Responsible Disclosure – und unterschiedliche Bewertungen

Die betroffenen Hersteller wurden bereits frühzeitig informiert und erhielten Zeit, die gemeldeten Schwachstellen zu bewerten und zu beheben. Laut Heise haben die Anbieter unterschiedlich reagiert:

• Ein Großteil der identifizierten Probleme wurde inzwischen behoben
• Einige Punkte werden von Herstellern als bewusste Designentscheidungen bewertet
• Die Einschätzung des Risikos reicht von „mittel“ bis „niedrig“, abhängig vom Bedrohungsmodell [heise.de]

Aus administrativer Sicht ist das nicht ungewöhnlich: Sicherheitsforschung und Produktrealität treffen hier aufeinander. Dennoch bleibt die Erkenntnis, dass Cloud‑Vertrauen immer ein kalkuliertes Risiko darstellt.

Was bedeutet das konkret für Unternehmen und Syskos?

Für den Alltag in IT‑Betrieb, Verwaltung oder Mittelstand heißt das nicht, dass Passwortmanager „unsicher“ oder überflüssig sind. Im Gegenteil: Sie bleiben ein zentrales Sicherheitswerkzeug. Aber der Umgang damit sollte reifer werden.

Wichtige Lehren aus der Studie:

1. Cloud ≠ automatisch Zero Trust
   Auch bei Zero‑Knowledge‑Architekturen bleibt der Anbieter Teil der Sicherheitskette.
2. Client‑Sicherheit ist entscheidend
   Mehrere Angriffsszenarien setzen Nutzerinteraktion voraus – geschulte Anwender und saubere Endgeräte bleiben essenziell.
3. Updates und Reaktionsfähigkeit zählen
   Wie schnell Anbieter auf Meldungen reagieren, ist ein wichtiges Auswahlkriterium.
4. Notfall‑ und Wiederherstellungsfunktionen kritisch prüfen
   Genau diese Mechanismen sind oft funktional notwendig – aber sicherheitstechnisch heikel.

Cloud oder Self‑Hosted? Eine alte Frage, neu bewertet

Für viele Organisationen stellt sich erneut die Frage:
Cloud‑Passwortmanager oder selbst betriebene Lösungen?

Self‑Hosted‑Varianten reduzieren die Abhängigkeit von externen Infrastrukturen, erhöhen aber gleichzeitig die Betriebsverantwortung. Cloud‑Dienste bieten Komfort und Skalierbarkeit, verlangen jedoch Vertrauen in Architektur und Anbieter.

Die Studie liefert kein pauschales Urteil, aber sie liefert Argumente dafür, diese Entscheidung bewusst und risikoorientiert zu treffen – nicht allein auf Basis von Marketingversprechen.

Fazit: Mehr Realismus, weniger Sicherheitsmythen

Die Untersuchung der ETH Zürich zeigt vor allem eines:
IT‑Sicherheit ist kein Zustand, sondern ein kontinuierlicher Aushandlungsprozess zwischen Komfort, Architektur und Bedrohungsmodellen.

Passwortmanager bleiben unverzichtbar – aber sie sind kein Allheilmittel. Für Systemkoordinatoren bedeutet das, Sicherheitsversprechen kritisch zu hinterfragen, Herstellerreaktionen zu beobachten und das eigene Schutzkonzept regelmäßig zu überprüfen.

Oder anders gesagt:
Zero Knowledge ist ein wichtiges Prinzip – aber kein Ersatz für professionelles Risikomanagement.

---

Quelle & weiterführende Lektüre:
Heise Online: Schwachstellen in Cloud‑basierten Passwort‑Managern
[heise.de]

Was ist aktuell zur NIS2-Registrierung

📌 Übergang und Portalstatus

• Mit dem #NIS2 Umsetzungsgesetz ist die Richtlinie in deutsches Recht übernommen worden und die Registrierungs- und Meldepflichten gelten seit dem 6. Dezember 2025.
• Ein zweistufiger Registrierungsprozess, bei dem Unternehmen zuerst ein „Mein Unternehmenskonto“ (MUK) einrichten müssen und dann im neuen BSI-Portal den eigentlichen NIS2-Eintrag vornehmen.

📌 MIP2-Portal (alt)

• Das alte MIP2-Portal (Melde- und Informationsportal für KRITIS, das vormals ausschließlich für KRITIS-Betreiber vorgesehen war) wird nicht mehr der alleinige bzw. dauerhafte Registrierungsort für alle wichtigen Unternehmen sein.
• Informationen vom BSI betonen: bei dem für Anfang Januar 2026 angekündigten BSI-Portal handelt es sich nicht mehr um das MIP2 – das neue Portal ersetzt es für die NIS2-Registrierung.

🧠 Was bedeutet das für Unternehmen

• Wichtige und besonders wichtige Einrichtungen müssen sich nach NIS2 beim BSI registrieren:
• 1) MUK Konto erstellen: https://info.mein-unternehmenskonto.de/
• 2) BSI Anleitung zur Registrierung und Meldung im BAI Portal: https://www.bsi.bund.de/DE/Themen/Regulierte-Wirtschaft/NIS-2-regulierte-Unternehmen/NIS-2-MUK/MUK_node.html
• Die Registrierungs-Frist beträgt drei Monate nach Feststellung der Betroffenheit bzw. nach Inkrafttreten (also bis etwa März 2026)
• Die Registrierungspflicht besteht weiterhin – sie wird nur nicht mehr ausschließlich über das alte MIP2 abgewickelt, sondern über das neue kombinierte BSI-/BBK-Portal. (BSI)

📌 Zusammengefasst

Punkt	Status
Registrierungspflicht für wichtige/essentielle Unternehmen	Ja, weiterhin Pflicht
Nutzung des alten MIP2-Portals als dauerhafter Registrierungsort	Nein
Neues BSI-Portal zur NIS2-Registrierung	seit Anfang Januar 2026
Vorbereitung über „Mein Unternehmenskonto“ (MUK)	Empfohlen/erforderlich
Deadline für Registrierung	3 Monate nach Betroffenheitserkenntnis / Gesetzesinkrafttreten

📝 Fazit

Die Pflicht zur Registrierung unter NIS2 für wichtige Unternehmen existiert weiter, wurde aber von der früher allein relevanten MIP2-Plattform weg- und in ein neues BSI-Portal überführt.

IT-Sicherheit mit BSI-Grundschutz, IT-Compliance

[sticky_expire date="2026-02-01"]Auch wenn Ihr Unternehmen nicht direkt vom NIS2-Umsetzungsgesetz betroffen ist, lohnt sich der Blick auf den BSI-Grundschutz. Warum?

• Höhere Versicherungsleistungen im Schadensfall
  Versicherer prüfen zunehmend, ob grundlegende Sicherheitsmaßnahmen umgesetzt wurden – andernfalls drohen Leistungskürzungen.
• Bezahlbare Prämien sichern
  Wer in IT-Sicherheit investiert, profitiert oft von günstigeren Cyber-Versicherungen.
• Wettbewerbsvorteil durch Vertrauen
  Immer mehr Geschäftspartner erwarten ein Mindestmaß an IT-Sicherheit – machen Sie sich zum verlässlichen Partner.

Mit gezielten Maßnahmen zur Cyberabwehr schützen Sie nicht nur Ihr Unternehmen, sondern stärken auch Ihre Position am Markt.

Wir freuen uns auf Ihren Auftrag. Sie können alle oben genannten Workshops über unseren Vertrieb, Team SCT oder das Kontaktformular dieser Website beauftragen.

NIS-2 Gesetz in Kraft getreten 6.12.2025

Das NIS‑2‑Umsetzungsgesetz ist am 6. Dezember 2025 in Kraft getreten und begründet für betroffene Unternehmen umfassende Anforderungen an das IT‑Risikomanagement, die Dokumentation und die Meldeprozesse. Die gesetzlichen Vorgaben verlangen angemessene technische und organisatorische Maßnahmen, lassen jedoch Spielraum bei deren konkreter Ausgestaltung.

IT‑Sicherheitschecks, Audits und strukturierte Überprüfungen dienen in diesem Zusammenhang als geeignete Instrumente zur Standortbestimmung, Priorisierung von Handlungsfeldern und zur Vorbereitung auf interne oder externe Prüfungen, stellen jedoch keine Maßnahmenumsetzung dar.

Ausgangslage und Pflichten

Unternehmen müssen zahlreiche Vorschriften erfüllen, die jeweils angemessene technische und organisatorische Maßnahmen verlangen, deren Ausgestaltung risikobasiert zu erfolgen hat, unter anderem aus dem Genossenschaftsgesetz, dem Bundesdatenschutzgesetz, der Abgabenordnung, der GDPdU, dem KWG, dem NIS‑2‑Umsetzungsgesetz sowie den MaRisk.
Je nach Unternehmenstyp und Branche können zusätzlich Prüfungen durch Wirtschaftsprüfer, Verbände oder Revisoren erfolgen.

In Zusammenarbeit mit unserem Partner, der AWADO Wirtschaftsprüfungsgesellschaft haben wir folgende Strategie zur Vorgehensweise für Sie zusammengestellt. Mit der Kombination der folgenden Workshops erzielen Sie das bestmögliche Resultat im Rahmen der NIS-2-Anforderungen.

BSI Grundschutz überprüfen (GWS)

Die Wirksamkeit von technisch/organisatorischen Maßnahmen ist regelmäßig zu überprüfen Dazu sind die beiden GWS BSI-Testate geeignet.

GWS IT-Sicherheitscheck (BSI): Sicher. Strukturiert. Zertifiziert.

Mit unserem IT-Sicherheitscheck auf Basis der BSI-Standards 200-1 und 200-2 bieten wir Ihnen eine praxisorientierte Analyse Ihrer IT-Sicherheitslage. Gemeinsam mit Ihren Systemverantwortlichen führen wir einen strukturierten Workshop durch, in dem wir auf Grundlage Ihrer technischen IT-Dokumentation einen fundierten Soll-Ist-Vergleich erstellen.

• Best-Practice-Analyse: Auswahl relevanter Themen aus den BSI-Grundschutzkatalogen 200-1/2 und ISA DE 315.
• Workshop mit Systemkoordinatoren: Gemeinsame Erhebung und Bewertung Ihrer IT-Infrastruktur (Server, PCs, Netzwerk).
• Zertifizierte Expertise: Bewertung durch unseren TÜV-geprüften IT-Sicherheitsmanager und -Auditor.
• Maßnahmenempfehlungen: Konkrete Handlungsempfehlungen zur Erfüllung der identifizierten Anforderungen.
• Umfangreiches Unterlagenpaket: Inklusive Beschreibungen, Mustertexte, Dokumentenvorlagen und Anforderungen aus BSI-Katalogen und Versicherungsrichtlinien.
• Checklisten & Arbeitsmaterialien: Zur eigenständigen Weiterpflege im Word- und Excel-Format.

Ihr Mehrwert: Sie erhalten eine transparente Übersicht über Ihre aktuelle Sicherheitslage, konkrete Maßnahmen zur Verbesserung und alle Werkzeuge zur nachhaltigen Dokumentation und Weiterentwicklung Ihrer IT-Sicherheit.

GWS Notfallplan und Risikoanalyse (BSI):  Basierend auf den BSI-Standards 200-3 und 200-4 sowie der NIS2-Richtlinie entwickeln wir gemeinsam mit Ihnen einen maßgeschneiderten Notfallplan und führen eine fundierte Risikoanalyse durch. Ziel ist es, Ihre IT-Umgebung auf mögliche Ausfälle vorzubereiten und geeignete Maßnahmen zur Schadensbegrenzung zu definieren.

• Strukturierte Risikoanalyse: Bewertung Ihrer IT-Infrastruktur anhand von Checklisten, Fragenkatalogen und gelieferten Daten – aufbauend auf dem vorherigen IT-Sicherheitscheck.
• Individueller Notfallplan: Erstellung eines praxisnahen Handlungsleitfadens für den Ernstfall – abgestimmt auf Ihre Geschäftsprozesse und Schadensklassen.
• Berücksichtigung gesetzlicher Anforderungen: Integration relevanter Vorgaben aus der NIS2-Direktive und dem BSI-Grundschutz.
• Dokumentation & Vorsorge: Analyse bestehender Schutzmaßnahmen und Definition konkreter Schritte zur Schadensvermeidung und -bewältigung.
• Professionelle Umsetzung: Durchführung durch unseren TÜV-geprüften IT-Sicherheitsmanager und -Auditor.
• Umfangreiche Mustervorlagen: Aktualisierte Vorlagen und Dokumente zur schnellen und effizienten Umsetzung – individuell angepasst an Ihre Organisation.

Ihr Vorteil: Sie erhalten ein belastbares Sicherheitskonzept, das nicht nur regulatorischen Anforderungen entspricht, sondern auch im Ernstfall klare Orientierung bietet.

GWS Folge-Audits alle 12 Monate: Kontinuität schaffen. Sicherheit erhalten. Fortschritt dokumentieren.

Um Ihre IT-Sicherheitsmaßnahmen nachhaltig zu begleiten und kontinuierlich zu verbessern, bieten wir regelmäßige Folge-Audits im Abstand von 12 Monaten an. Dabei werden Veränderungen in Ihrer IT-Infrastruktur sowie der aktuelle Umsetzungsstand der empfohlenen Maßnahmen überprüft und dokumentiert.

• Regelmäßige Überprüfung: Jährliche Kontrolle Ihrer IT-Sicherheitslage auf Basis der vorherigen Analyse und Dokumentation.
• Aktualisierung der Maßnahmen: Bewertung neuer Risiken und Anpassung bestehender Sicherheitsmaßnahmen.
• Transparente Planung: Das Datum für Ihr nächstes Audit finden Sie auf dem Deckblatt Ihres letzten Testats (Durchführungsdatum + 12 Monate).
• Verlässliche Begleitung: Durchführung durch unsere zertifizierten IT-Sicherheits-Experten.

Ihr Vorteil: Sie behalten Ihre IT-Sicherheit im Blick, erfüllen fortlaufend regulatorische Anforderungen und schaffen Vertrauen bei Kunden, Partnern und Versicherern.

Cyber Security Abwehr Check (netgo)

Starke Partnerschaft für Ihre IT-Sicherheit.

Unser Partner netgo unterstützt Sie mit bewährten Sicherheitslösungen und umfassender Beratung. Gemeinsam bieten wir technische und organisatorische Maßnahmen, um Ihre kritischen Systeme zuverlässig zu schützen.

netgo Cyber Resilience Workshop (1 Tag – Remote oder vor Ort)

In diesem Workshop analysieren wir Ihre aktuelle IT-Sicherheitslage – strukturiert, praxisnah und strategisch. Wir betrachten

• Technische Systeme
• Organisatorische Abläufe
• Menschliche Faktoren

Ziel: Eine fundierte Standortbestimmung und konkrete Empfehlungen zur Stärkung Ihrer Cyber-Resilienz.

Sicherheitslösungen & Monitoring - netgo bietet moderne Lösungen wie:

• Meldesysteme & Alarmierung
• Monitoring & SIEM (Security Information and Event Management)
• MDR (Managed Detection & Response)

Diese Systeme ermöglichen es, Bedrohungen frühzeitig zu erkennen und sofort zu reagieren.
Durch das Outsourcing entlasten Sie Ihre internen IT-Verantwortlichen und reduzieren Risiken sowie mögliche Schäden. 👉 Tipp: Lesen Sie dazu auch den Artikel im GWS-Blog.

NIS-2 Compliance herstellen (AWADO)

NIS-2 individuelle Betroffenheits-Analyse (wenn nicht schon vorhanden) und NIS2-Compliance-Check: (zusätzlich zu beauftragen, Ausführung durch unseren Partner: AWADO).

Schritt für Schritt zur NIS2-Konformität.

NIS2-Workshop: Geltungsbereich & Bestandsaufnahme: Der Workshop ist der erste Schritt auf dem Weg zur NIS2-Compliance.

• Ob Ihr Unternehmen vom NIS2-Umsetzungsgesetz betroffen ist.
• Welche Geschäftsprozesse besonders schützenswert sind.
• Wie Ihr aktuelles IT-Managementsystem aufgebaut ist.

Ziel ist ein gemeinsames Verständnis Ihrer Organisation und eine erste Einschätzung zur Relevanz der NIS2-Anforderungen.

NIS2-Compliance-Check: Wenn eine Betroffenheit festgestellt wurde, folgt der Compliance-Check.

• Den aktuellen Stand Ihrer IT-Systeme und Managementprozesse.
• Die Umsetzung der technischen und organisatorischen Maßnahmen nach § 30 NIS2UmsuCG.
• Die Anforderungen des BSI und den aktuellen Gesetzesstand.

Am Ende erhalten Sie eine Präsentation mit:

• Identifizierten Lücken
• Konkreten Handlungsempfehlungen zur Erreichung der NIS2-Konformität

Management-Schulungen nach NIS2: Diese Schulungen sind für Geschäftsleitungen verpflichtend, wenn NIS2 zutrifft.

• Grundlagen der NIS2-Gesetzgebung.
• Pflichten für Ihr Unternehmen und wie Sie diese erfüllen.
• Einführung in das Risikomanagement nach NIS2.
• Vorgehen zur Bewertung von Cyber-Risiken.
• Die 10 Mindestanforderungen an das Risikomanagement.
• Technische und organisatorische Schutzmaßnahmen.
• Aktuelle Bedrohungslagen und Schutzstrategien.

Ihr Vorteil: Sie erhalten Klarheit, Sicherheit und konkrete Werkzeuge zur Umsetzung der gesetzlichen Anforderungen.