NCSC fordert Unternehmen auf, ihre Cyber-Resilienz sofort zu stärken: In unsicheren Zeiten muss der Sicherheitsbetrieb Vorrang vor „Gewissheit“ haben

NCSC warnt Unternehmen: Nicht auf Gewissheit warten, digitale Resilienz muss jetzt angegangen werden

Das britische National Cyber Security Centre (NCSC) hat kürzlich auf der Infosecurity Europe eine deutliche, managementorientierte Warnung ausgesprochen: Vor dem Hintergrund rascher technologischer Veränderungen, anhaltender geopolitischer Spannungen und einer stetig wachsenden Angriffsfläche können Unternehmen Sicherheit nicht länger nach dem Motto „erst reagieren, wenn eindeutigere Bedrohungssignale auftauchen“ betreiben. Paul Chichester, Operations Director des NCSC, erklärte, dass die aktuelle Lage von Unwägbarkeiten geprägt sei, die Herausforderungen für Organisationen komplexer denn je seien und Sicherheitsteams Resilienz unter Unsicherheit aufbauen müssten, statt passiv auf stabile Verhältnisse zu warten.

Diese Aussage richtet sich nicht gegen einen einzelnen konkreten Angriff, sondern ist eine Einschätzung der gesamten Bedrohungslage für Unternehmen. Ihre Bedeutung liegt darin: Wenn sich Bedrohungen schneller verändern, als Governance, Transparenz über Assets und abgestimmte Reaktionsprozesse Schritt halten können, versagt das traditionelle Sicherheitsmodell „bei der Entdeckung reparieren“ rasch. Für CISO, CIO, IT-Leiter und SOC-Teams bedeutet das, dass sich Cybersecurity-Ziele von „möglichst alle Angriffe abwehren“ hin zu „sicherstellen, dass kritische Geschäftsprozesse auch bei einem Angriff weiterlaufen können“ verschieben müssen.

Was passiert ist: NCSC hebt „Resilienz“ zur aktuellen Priorität

Die Kernbotschaft des NCSC konzentriert sich auf vier Punkte:

1. Angriffsfläche reduzieren: Wenn Angreifer keine Möglichkeit haben, die Zielplattform zu erreichen, sinkt der Wert von Frontline-KI oder anderen Angriffswerkzeugen erheblich. 2. Legacy-Systeme und Shadow IT beherrschen: Veraltete Systeme, nicht registrierte Assets und temporäre Deployments im Unternehmen führen dazu, dass Verteidiger die Kontrolle verlieren. 3. Identitäts- und Zugriffskontrollen stärken: Das NCSC betont ausdrücklich, dass Identität zur Grundlage künftiger Sicherheitsarchitekturen geworden ist; Zero Trust und Zugriffsmanagement sind keine optionalen Maßnahmen mehr. 4. Vor einem Vorfall die Reaktion vorbereiten: Tischübungen, Incident-Response-Übungen und Krisenvorbereitung auf Vorstandsebene beeinflussen maßgeblich, wie schnell und wie gut ein Unternehmen in einem realen Vorfall reagiert.

Diese Empfehlungen klingen grundlegend, zeigen aber genau das Problem: In einem komplexen Umfeld entscheidet über die Höhe des Schadens oft nicht, ob ein Unternehmen ein bestimmtes High-End-Tool besitzt, sondern ob grundlegende Asset-Governance, Identitätskontrollen und organisatorische Abstimmung funktionieren.

Technische und Risikobetrachtung: Die Bedrohung ist kein Einzelereignis, sondern ein kombinierter Druck

• Aus Sicht der Angriffsvektoren beschränkt sich das vom NCSC beschriebene Risiko nicht auf eine bestimmte Malware oder eine einzelne Schwachstelle, sondern ist eine zusammengesetzte Bedrohungskonstellation:- Identitätsdiebstahl und Missbrauch von Anmeldedaten: Mit der Verlagerung von Unternehmens-Workloads in die Cloud und auf SaaS-Plattformen greifen Angreifer immer häufiger über Phishing, Session Hijacking, OAuth-Missbrauch und schwache Zugriffskontrollen in die Geschäftsumgebung ein.
• Angriffsfläche durch Altsysteme: Veraltete Endgeräte, nicht gepatchte Server und nicht in die zentrale Verwaltung eingebundene Edge-Geräte bleiben weiterhin risikoreiche Einstiegspunkte für laterale Bewegung und Privilegienausweitung.
• Ausbreitung über Lieferkette und Drittparteien: Wenn sich die IT von Unternehmen stärker auf Managed Services, ausgelagerten Support und die Software-Lieferkette stützt, kann ein einzelner Sicherheitsvorfall leichter zu einem organisationsübergreifenden Risiko werden.
• KI beschleunigt das Angriffstempo: Das NCSC weist darauf hin, dass fortschrittliche KI das Verhältnis zwischen Angriff und Verteidigung verändert. Für Verteidiger bedeutet das, dass automatisierte Aufklärung, Content-Fälschung, massenhafte Phishing-Kampagnen und unterstützte Codegenerierung noch niedrigschwelliger werden.
• Geopolitisch getriebene Cyberaktionen: Das NCSC verknüpft Cyberverhalten zugleich mit staatlichem Handeln und macht deutlich, dass Unternehmen Cyberrisiken in eine breiter gefasste Bewertung von Geschäftskontinuität und geopolitischen Risiken einbeziehen müssen.

Auch die betroffenen Assets zeigen einen klaren „Full-Stack“-Charakter: von Endgeräten, Identitätssystemen und Cloud-Umgebungen über Rechenzentren und Business-Anwendungen bis hin zur Entscheidungs- und Steuerungskette auf Vorstandsebene. Mit anderen Worten: Angreifer zielen nicht zwangsläufig darauf ab, ein Kernsystem mit einem einzigen Schlag zu „durchbrechen“, sondern nähern sich kritischen Assets eher schrittweise über Schwächen bei Identitäten, Konfigurationen und Prozessen an.

Analyse der Auswirkungen auf Unternehmen: Betriebs-, Finanz-, Compliance- und Reputationsrisiken steigen gleichzeitig

Für Unternehmen liegt der Wert solcher Signale nicht darin, „noch einen Sicherheitshinweis“ zu erhalten, sondern darin, dass sie unmittelbar die Veränderung des Geschäftsrisikomodells widerspiegeln.

In Bezug auf operative Risiken kann ein Unternehmen, dem eine einheitliche Governance über Assets, Identitäten und Änderungsprozesse fehlt, durch einen scheinbar lokalen Einbruch schnell mit Authentifizierungsstörungen, einer Herabstufung kritischer Systeme, Ausfällen von Remote-Arbeit oder einer Unterbrechung der Lieferkettenkooperation konfrontiert werden. Für Hersteller, Finanzinstitute, Gesundheitswesen, Logistik und öffentliche Dienste verursacht eine solche Unterbrechung oft früher wirtschaftliche Schäden als ein Datenabfluss.

In Bezug auf finanzielle Risiken bedeutet mangelnde Resilienz in der Regel höhere Kosten für die Vorfallsbewältigung: Forensik, Wiederherstellung, geschäftliche Schadensbegrenzung, juristische Unterstützung, Kundenentschädigungen, regulatorische Maßnahmen sowie potenzielle Umsatzverluste summieren sich. Wenn das Unternehmen zudem stark von Altsystemen abhängt, steigen Wiederherstellungsdauer und Behebungskosten weiter an.

In Bezug auf Compliance-Risiken geraten Organisationen, die ihre grundlegenden Kontrollen nicht nachweisen können, mit Blick auf die bevorstehende Umsetzung des britischen *Cyber Security and Resilience Bill* sowie den allgemeineren Trend zur Regulierung kritischer Infrastrukturen bei Audits, behördlichen Meldungen und Bewertungen von Drittparteirisiken in eine ungünstige Position.

In Bezug auf Marken- und Vertrauensrisiken sind Sicherheitsvorfälle längst nicht mehr nur IT-Incidents, sondern ein wichtiger Maßstab für Kunden, Partner und Investoren, um Managementfähigkeiten zu bewerten. Für Unternehmen, die digitale Leistungen bereitstellen, bedeutet mangelnde Resilienz, dass sich Vertrauenskosten rasch in Geschäftskosten verwandeln.

Branchentrend: von „Eindringung verhindern“ zu „nachhaltig betreiben“Der Hinweis des NCSC spiegelt in Wahrheit einen langfristigen Trend in der Cybersicherheitsbranche wider: Die Verteidigungsziele verlagern sich von bloßen Präventionskontrollen hin zu einem Sicherheitsbetriebsmodell, das Resilienz, Wiederherstellungsfähigkeit und organisatorische Zusammenarbeit in den Mittelpunkt stellt.

Hinter diesem Trend stehen mehrere strukturelle Veränderungen:

• Eine hypervernetzte Umgebung wird zum Normalfall: Cloud, SaaS, Fernzugriff, API-Integrationen und Drittanbieterdienste koppeln Unternehmenssysteme eng miteinander; die Angriffsfläche wächst dadurch naturgemäß.
• KI verändert die Verteidigungsgrenzen: Nicht nur Angreifer nutzen KI; auch Verteidiger müssen auf Automatisierung, erweiterte Analytik und Threat Intelligence zurückgreifen, um Erkennungs- und Reaktionszeiten zu verkürzen.
• Komplexität übertrifft Einzelfehler: Immer mehr Vorfälle entstehen nicht durch eine einzelne Schwachstelle, sondern durch die Kombination aus Fehlkonfigurationen, übermäßigen Berechtigungen, unzureichender Identitätsverwaltung und fehlenden Prozessen.
• Die Zusammenarbeit zwischen öffentlichem und privatem Sektor nimmt zu: Dass das NCSC betont, die Regierung könne das Problem nicht allein lösen, zeigt, dass sich Sicherheitsgovernance in Richtung sektorübergreifender, lieferkettenübergreifender und branchenübergreifender Zusammenarbeit entwickelt.

Daher handelt es sich eher um eine branchenweite Neuausrichtung als um eine isolierte Warnung. Wenn Unternehmen Sicherheitsbudgets weiterhin vor allem in den Perimeterschutz stecken und dabei Identity Governance, Asset-Transparenz und Übungsmechanismen vernachlässigen, könnten sie in der nächsten Welle komplexer Angriffe einen deutlich höheren Preis zahlen.

Verteidigungs- und Handlungsempfehlungen: Resilienz in die Governance integrieren, statt nur davon zu sprechen

Für Unternehmen lassen sich die Empfehlungen des NCSC in eine Reihe umsetzbarer Arbeitspakete übersetzen:

• #### Auf Unternehmensebene
• Eine vollständige Asset-Inventur aufbauen, die Cloud, Endgeräte, Identitäten, Anwendungen und Drittanbieter-Zugänge abdeckt.
• Shadow IT und nicht genehmigte SaaS-Nutzung bereinigen.
• Kritische Geschäftsprozesse den technischen Abhängigkeiten zuordnen und Single Points of Failure identifizieren.

• #### Identitäts- und Zugriffssicherheit
• MFA verpflichtend einführen, mit Priorität für Administratoren, Fernzugriffe und Konten mit hohen Berechtigungen.
• Eine Zero-Trust-Architektur vorantreiben, um Standardvertrauen und Möglichkeiten zur lateralen Bewegung zu begrenzen.
• Berechtigungen, Sitzungen und Aktivitäten privilegierter Konten regelmäßig überprüfen.

• #### Auf technischer Ebene
• Mit SIEM / XDR / EDR die domänenübergreifende Sichtbarkeit erhöhen.
• Threat Intelligence mit Log-Analyse verbinden und den Fokus auf Identitätsanomalien, Konfigurationsabweichungen und risikoreiche Zugriffe legen.
• Schwachstellenmanagement und Patch-Zyklen stärken, insbesondere bei Altsystemen und Edge-Geräten.

• #### Auf Managementebene
• Regelmäßige Tabletop-Übungen zur Incident Response durchführen und dabei Recht, Compliance, Kommunikation und Geschäftsverantwortliche einbeziehen.
• Lieferanten und Drittanbieter in Sicherheitsgovernance und Business-Continuity-Planung einbeziehen.
• Auf Vorstandsebene „Wiederherstellungsfähigkeit“-Kennzahlen definieren, nicht nur Kennzahlen zum „Nicht kompromittiert worden sein“.

SecurityPost InsightDas vom NCSC diesmal ausgesandte Signal bedeutet im Kern nicht, dass „das Sicherheitsteam wieder Überstunden machen muss“, sondern dass sich die Logik der digitalen Unternehmenssteuerung verändert: Wenn Angreifer KI, Schwachstellen bei Identitäten, vernetzte Lieferketten und geopolitische Unsicherheiten nutzen können, um fortlaufend Druck auszuüben, dann braucht ein Unternehmen in Wahrheit ein Sicherheitskonzept, das Chaos aushält und sich im Chaos wieder erholen kann. Für die Führungsebene bedeutet das: Cybersicherheit kann nicht länger als eine Sammlung isolierter Kontrollmaßnahmen betrachtet werden, sondern muss als zentraler Bestandteil der geschäftlichen Resilienz verstanden werden.

Drei Trends sind in Zukunft besonders wichtig: Erstens wird Identität weiterhin das zentrale Schlachtfeld für Angriff und Verteidigung sein; zweitens werden die Anforderungen von Unternehmen an Incident-Übungen und Wiederherstellungsfähigkeit deutlich steigen; drittens wird die Regulierung zunehmend darauf achten, ob eine Organisation „nachweisen kann, dass sie widerstandsfähig ist“, und nicht nur, ob sie „verspricht, sicher zu sein“. Für CISOs ist es jetzt am wichtigsten, nicht auf die genaue Form der nächsten Krise zu warten, sondern sicherzustellen, dass das Unternehmen bereits die Fähigkeit besitzt, in einem unsicheren Umfeld kontinuierlich weiterzuarbeiten.