Die Cyberbedrohung im Jahr 2025 zu messen, bedeutet zunächst, ein Paradoxon zu akzeptieren: Die Anzahl der bestätigten Vorfälle, die der ANSSI gemeldet wurden, bleibt nahe ihrem vorherigen Niveau, während die Fälle von Datenexfiltration zunehmen. Der diskrete Diebstahl von Dateien schreitet schneller voran als sichtbare Angriffe wie Ransomware. Für jeden, der persönliche oder berufliche Daten speichert, stellt sich nicht mehr die Frage, ob ein Angriff stattfinden wird, sondern durch welchen Vektor er erfolgen wird und wie lange er unsichtbar bleibt.
Stille Exfiltration gegen Ransomware: zwei Bedrohungen, zwei Logiken
Ransomware verschlüsselt und lähmt. Ihre Wirkung ist sofort, laut und oft medialisiert. Die Datenexfiltration hingegen erfolgt im Hintergrund: Ein Angreifer kopiert sensible Dateien, ohne einen Alarm auszulösen, und droht dann, sie zu veröffentlichen oder zu verkaufen.
Der Panorama-Bericht zur Cyberbedrohung 2025, veröffentlicht von der ANSSI am 11. März 2026, zeigt, dass die Vorfälle der Exfiltration im Vergleich zu 2024 zugenommen haben. Dieser Trend verändert die Hierarchie der Schutzprioritäten: Ein System nach einer Verschlüsselung wiederherzustellen, reicht nicht mehr aus, wenn die Daten bereits kopiert und verbreitet wurden.
| Kriterium | Ransomware | Datenexfiltration |
|---|---|---|
| Sichtbarkeit des Angriffs | Sofort (System blockiert) | Oft verspätet (Wochen, Monate) |
| Ziel des Angreifers | Direktes finanzielles Lösegeld | Wiederverkauf oder Erpressung zur Offenlegung |
| Hauptauswirkung | Unterbrechung der Aktivität | Datenleck von persönlichen oder strategischen Informationen |
| Priorisierte Schutzmaßnahme | Isolierte Backups, Wiederherstellungsplan | Erkennung abnormaler ausgehender Datenströme, Verschlüsselung im Ruhezustand |
| Durchschnittliche Erkennungszeit | Einige Stunden | Mehrere Wochen je nach Kontext |
Die IT-Sicherheit auf die bloße Prävention von Ransomware zu reduzieren, bedeutet, die Eingangstür abzuschließen und ein Fenster offen zu lassen. Unternehmen, die in die Überwachung der ausgehenden Datenströme investieren, kombiniert mit einer systematischen Verschlüsselung sensibler Dateien, decken beide Szenarien ab. Um diese Verteidigungsmechanismen zu vertiefen, beschreibt die IT-Sicherheit auf Wiki Dark die Ansätze, die auf jede Art von Bedrohung zugeschnitten sind.
Edge-Geräte und Dienstleister: die unterschätzten Angriffsvektoren
Firewalls, VPN-Gateways und andere Geräte, die im Internet exponiert sind, gehören zu den wiederkehrenden Zielen, die die ANSSI in ihrem Bericht 2025 identifiziert hat. Ein nicht angewendeter Patch auf einem Edge-Gerät kann direkten Zugang zum internen Netzwerk bieten, ohne dass der Arbeitsplatz eines Mitarbeiters kompromittiert ist.
Der andere blinde Fleck betrifft die Dienstleister. Das Panorama beschreibt Kompromittierungen, die über Subunternehmer erfolgen, die legitimen Zugang zu den Systemen ihrer Kunden hatten. Ein schlecht geschützter Anbieter wird zu einem indirekten Eingang für das auftraggebende Unternehmen.
Es ergeben sich zwei Ansätze zur Risikominderung:
- Sicherheitsupdates auf Peripheriegeräten kurzfristig nach ihrer Veröffentlichung anwenden, insbesondere auf Geräten, die direkt über das Internet zugänglich sind.
- Die Zugriffsrechte für Dienstleister einschränken und prüfen, indem das Prinzip der minimalen Berechtigung angewendet wird (Zugriff, der auf das unbedingt Notwendige für die Aufgabe beschränkt ist).
- Das Netzwerk segmentieren, damit die Kompromittierung eines Subunternehmers nicht den Zugang zu allen internen Systemen ermöglicht.
Diese Maßnahmen erfordern kein erhebliches Budget. Sie beruhen eher auf organisatorischer Strenge als auf dem Kauf teurer technischer Lösungen.
Grenzen der Cyberstatistiken: was die Zahlen nicht sagen
Die von der ANSSI veröffentlichten Daten basieren auf den Ereignissen, die ihr bekannt sind. Die Agentur selbst weist darauf hin, dass ihre sektoralen Verteilungen keine umfassende Messung der Bedrohung in Frankreich darstellen. Ein KMU, das Opfer eines Datendiebstahls wird und den Vorfall nicht meldet, erscheint in keinem Panorama.
Diese Intransparenz erschwert die Bewertung der tatsächlichen Folgen eines Vorfalls für kleine Strukturen. Die Kosten für die Wiederherstellung, der Verlust von Aktivitäten und mögliche regulatorische Sanktionen summieren sich, bleiben jedoch aufgrund unzureichender Meldungen weitgehend unterdokumentiert.
Warum die Unterberichterstattung die Risikowahrnehmung verfälscht
Wenn die Mehrheit der KMU ihre Vorfälle nicht meldet, unterschätzen die nationalen Statistiken mechanisch das tatsächliche Volumen der Angriffe. Die Führungskräfte, die ihre Situation mit diesen öffentlichen Zahlen vergleichen, kommen fälschlicherweise zu dem Schluss, dass das Risiko für eine Struktur ihrer Größe marginal bleibt.
Die Kombination aus massiver Unterberichterstattung und anerkanntem Mangel an Vorbereitung schafft eine Diskrepanz zwischen der Risikowahrnehmung und der Realität. Die veröffentlichten branchenspezifischen Daten dienen als Warnsignal, nicht als zuverlässiges Thermometer.
Datenschutz im Unternehmen: Maßnahmen, die das Risiko konkret reduzieren
Die Verschlüsselung von Daten im Ruhezustand und während der Übertragung bleibt die erste technische Barriere gegen Exfiltration. Eine gestohlene verschlüsselte Datei hat keinen Wert für den Angreifer, wenn er nicht über den Entschlüsselungsschlüssel verfügt. Die asymmetrische Verschlüsselung (ein öffentlicher Schlüssel zum Verschlüsseln, ein privater Schlüssel zum Entschlüsseln) eignet sich für den Austausch zwischen Partnern, während die symmetrische Verschlüsselung (ein geteilter Schlüssel) besser für die interne Speicherung geeignet ist.
Die Erkennung abnormaler Verhaltensweisen im Netzwerk bildet die zweite Säule. Ein massiver Dateiübertrag zu einem externen Server um drei Uhr morgens sollte einen automatischen Alarm auslösen. Ohne diese Überwachung kann eine Exfiltration Wochen dauern, ohne entdeckt zu werden.
Die Schulung der Teams schließt den Kreis. Kompromittierte Zugänge durch Phishing sind ein häufiges Eintrittsvektor. Ein Mitarbeiter, der eine betrügerische E-Mail identifiziert, unterbricht die Angriffsreihe, bevor sie die Systeme erreicht.
Der Datenschutz basiert nicht auf einem einzelnen Werkzeug, sondern auf der Kohärenz zwischen Verschlüsselung, Netzwerküberwachung, Zugangsmanagement und Sensibilisierung. Unternehmen, die eines dieser Glieder vernachlässigen, lassen einen ausnutzbaren Angriffspunkt, unabhängig vom Budget, das in die anderen investiert wird.
