Was ist passiert?
ENISA hat am 22. September 2026 den aktuellen europäischen Cyber-Bedrohungsbericht veröffentlicht. Dafür wurden Vorfälle und Ereignisse aus dem Zeitraum 1. Januar bis 31. Dezember 2025 ausgewertet. Die Behörde beschreibt eine Bedrohungslage, die nicht nur von einzelnen Angriffen, sondern zunehmend von der engen Vernetzung digitaler Dienste und Infrastrukturen geprägt ist.
Zu den bestätigten Kernaussagen gehört: Ransomware bleibt die kurzfristig folgenreichste Vorfallsart, Schwachstellen werden weiterhin regelmäßig als Eintrittspunkt genutzt und Angriffe über Lieferketten oder Drittanbieter können besonders weitreichende Auswirkungen haben. ENISA nennt ausdrücklich sogenannte „cyber dependencies“ – also digitale Abhängigkeiten – als Faktor, der die Angriffsfläche erweitert.
Bei den analysierten Fällen, in denen ENISA den konkreten Eintrittsweg bestimmen konnte, spielte die Ausnutzung von Schwachstellen eine wesentliche Rolle. Gleichzeitig beobachtete die Behörde weiterhin Social Engineering und Phishing als häufige Methoden, mit denen Vertrauen ausgenutzt wird.
Wichtig für die Einordnung: Der Bericht beschreibt die europäische Gesamtlage und keinen konkreten aktuellen Angriff auf ein bestimmtes Unternehmen, eine Gemeinde oder einen Energieversorger.
Wer ist von digitalen Abhängigkeiten betroffen?
Praktisch jede Organisation arbeitet heute mit externen digitalen Diensten. Dazu gehören beispielsweise Cloud-Plattformen, Softwareanbieter, IT-Betreuer, Fernwartungsunternehmen, Managed Service Provider, Telekommunikationsdienste oder Hersteller technischer Systeme.
Eine solche Zusammenarbeit ist normal und häufig unverzichtbar. Das Sicherheitsrisiko entsteht nicht allein dadurch, dass ein Dienst von außen bezogen wird. Entscheidend ist, welche Zugriffsrechte ein Anbieter besitzt, welche Systeme von ihm abhängen und welche Folgen ein Ausfall oder eine Kompromittierung hätte.
ENISA stellt fest, dass weiterhin gezielt Abhängigkeiten angegriffen werden – darunter Lieferketten und Drittanbieter. Solche Angriffe können laut Behörde großflächige oder besonders folgenreiche Auswirkungen haben.
Der Bericht zeigt auch die besondere Bedeutung für öffentliche und kritische Bereiche: 73 Prozent der im Bericht betrachteten Zielorganisationen gehörten zu wesentlichen oder wichtigen Einrichtungen im Sinne von NIS2. Die öffentliche Verwaltung war mit 32 Prozent der erfassten Fälle der am häufigsten betroffene Sektor.
Diese Zahlen bedeuten nicht, dass jede öffentliche Einrichtung gleich stark gefährdet ist. Sie zeigen jedoch, dass Organisationen mit wichtigen öffentlichen oder infrastrukturellen Aufgaben ihre Abhängigkeiten besonders gut kennen sollten.
Warum ist das für kommunale und energetische Infrastruktur relevant?
Digitale Prozesse bestehen heute selten aus einem einzigen System. Ein Verwaltungsportal kann beispielsweise von einer Cloud-Plattform, einem Identitätsdienst und einem externen IT-Betreuer abhängen. Eine technische Anlage kann wiederum Fernwartung, Herstellersoftware, Netzwerkkomponenten und zentrale Managementsysteme benötigen.
Je mehr solcher Abhängigkeiten bestehen, desto wichtiger wird die Frage: Was passiert, wenn einer dieser Bausteine ausfällt oder kompromittiert wird?
Für Energie- und kommunale Infrastruktur ist dabei vor allem der Zugriff externer Dienstleister relevant. Wartungszugänge können notwendig sein, sollten aber nicht automatisch dauerhaft und unbegrenzt erreichbar sein. Das BSI empfiehlt für kritische Infrastrukturen unter anderem klar geregelte Anforderungen an Drittanbieter, darunter Vulnerability- und Patch-Management, abgesicherte Fernzugänge, Zugriffsschutz, Asset-Management, Logging und Benachrichtigungen bei Sicherheitsvorfällen.
Auch ENISA sieht die Lieferkettensicherheit als eigenen Bestandteil eines systematischen Cyber-Risikomanagements. In seiner technischen NIS2-Umsetzungshilfe führt die Agentur unter anderem Supply-Chain-Security, Zugriffssteuerung, Asset-Management, Business Continuity und Incident Handling als zentrale Maßnahmen auf.
Die praktische Schlussfolgerung lautet deshalb nicht, externe Anbieter grundsätzlich zu vermeiden. Entscheidend ist vielmehr, Abhängigkeiten bewusst zu steuern und technische Zugriffe auf das tatsächlich notwendige Maß zu begrenzen.
Was sollte man daraus ableiten?
Organisationen sollten zunächst wissen, welche externen Anbieter überhaupt Zugriff auf ihre Systeme oder Daten besitzen. Dazu gehören nicht nur klassische IT-Dienstleister, sondern beispielsweise auch Hersteller mit Fernwartungszugang, Cloud-Anbieter und spezialisierte Softwareunternehmen.
Für jeden wichtigen Dienst sollte außerdem dokumentiert werden, welche Geschäfts- oder Betriebsprozesse davon abhängig sind. Fällt ein externer Dienst aus, sollte klar sein, welche Folgen das hat und welche Ersatz- oder Notfallverfahren zur Verfügung stehen.
Besonders wichtig ist die technische Trennung. Ein kompromittiertes Dienstleisterkonto sollte nicht automatisch Zugang zu sämtlichen internen Systemen ermöglichen. Zugriffe sollten deshalb auf konkrete Systeme, Zeiten und Aufgaben beschränkt werden.
Ebenso relevant ist die Vertragsgestaltung. Sicherheitsanforderungen, Meldewege bei Vorfällen, Patch- und Schwachstellenmanagement sowie Zuständigkeiten sollten bereits vor einem Sicherheitsproblem eindeutig geregelt sein.
Der aktuelle ENISA-Bericht unterstreicht damit einen Grundsatz moderner Cybersecurity: Die eigene Sicherheit endet nicht an der eigenen Netzwerkgrenze. Je stärker Prozesse digital miteinander verbunden sind, desto wichtiger wird auch die Sicherheit der beteiligten Partner und Dienste.
Handlungsempfehlungen
- Kritische Drittanbieter erfassen: Dokumentieren, welche Cloud-Dienste, Softwareanbieter, IT-Dienstleister und Fernwartungsunternehmen Zugriff auf wichtige Systeme oder Daten haben.
- Abhängigkeiten bewerten: Für zentrale Prozesse festhalten, welche externen Dienste erforderlich sind und welche Auswirkungen deren Ausfall oder Kompromittierung hätte.
- Fernzugänge begrenzen: Externe Zugänge nur für die tatsächlich benötigten Systeme freigeben und möglichst zeitlich begrenzen.
- Mehrfaktor-Authentifizierung einsetzen: Administrative und externe Zugänge mit starker MFA absichern und gemeinsame Benutzerkonten vermeiden.
- Netze segmentieren: Büro-IT, Server, technische Infrastruktur und externe Wartungszugänge soweit sinnvoll voneinander trennen.
- Sicherheitsanforderungen vertraglich festlegen: Patchmanagement, Schwachstellenbehandlung, Incident-Meldung, Zugriffsrechte und Verantwortlichkeiten mit Dienstleistern eindeutig vereinbaren.
- Notfallalternativen planen: Für besonders wichtige externe Dienste prüfen, wie der Betrieb bei einem längeren Ausfall oder Sicherheitsvorfall weitergeführt werden kann.
Quellen
„ENISA Threat Landscape 2026“ – European Union Agency for Cybersecurity (ENISA), 22. September 2026.
Der aktuelle Bericht analysiert die europäische Bedrohungslage und die zunehmende Bedeutung digitaler Abhängigkeiten.
ENISA: Threat Landscape 2026
„Exploring the evolution of the cyber threat landscape: How dependencies weaken our digital resilience“ – ENISA, 22. September 2026.
ENISA fasst zentrale Ergebnisse zusammen, darunter Risiken durch Lieferketten und Drittanbieter sowie die hohe Betroffenheit wesentlicher und wichtiger Einrichtungen.
ENISA: Zusammenfassung zum Threat Landscape 2026
„NIS2 Technical Implementation Guidance“ – European Union Agency for Cybersecurity (ENISA), 26. Juni 2025.
Die technische Umsetzungshilfe behandelt unter anderem Lieferkettensicherheit, Zugriffssteuerung, Asset-Management, Business Continuity und Incident Handling.
ENISA: NIS2 Technical Implementation Guidance
„Best-Practice-Empfehlungen für Anforderungen an Lieferanten“ – Bundesamt für Sicherheit in der Informationstechnik / UP KRITIS.
Das Dokument empfiehlt für kritische Infrastrukturen konkrete Sicherheitsanforderungen an Lieferanten und Dienstleister, darunter abgesicherte Fernzugänge, Patchmanagement, Logging und klare Meldewege.
BSI: Best-Practice-Empfehlungen für Anforderungen an Lieferanten