Computer-Security durch die Cloud

Stand: Oktober 2026

Das BKA hat für 2025 genau 1.041 angezeigte Ransomware-Angriffe gezählt. Die Berichte der Sicherheitsanbieter zählen meist weltweit, und für einen Mittelständler in Deutschland sagt eine globale Zahl wenig. Die zehn Werkzeuge hier arbeiten mit deutschen Zahlen oder prüfen Ihre eigene Domain und Ihren eigenen Mandanten.

Ransomware-Lage und der eigene Mandant

1. Cyber-Lagebild Deutschland

Ein Unternehmen aus Ihrem Gewerbegebiet war zwei Wochen lang nicht lieferfähig, angeblich nach einem Ransomware-Angriff. In der nächsten Runde der Geschäftsleitung soll jemand sagen, ob das ein Einzelfall war.

Das Cyber-Lagebild Deutschland von frag.hugo zählt jeden Tag, wie viele Organisationen mit Sitz in Deutschland auf den Leak-Seiten von Erpressergruppen auftauchen. Auf Leak-Seiten veröffentlichen Täter gestohlene Daten, wenn niemand zahlt. Grundlage ist RansomLook vom luxemburgischen CIRCL, aus dessen rund 23.600 Einträgen seit Anfang 2024 das Lagebild 485 Fälle mit Deutschland-Bezug herausfiltert.

Bei unserem Besuch im Oktober 2026 standen 22 Fälle in den letzten 30 Tagen in der Zählung. In zwölf Monaten waren 45 Tätergruppen aktiv, und die drei aktivsten allein stehen für 44 Prozent der Fälle. Die Lage hängt also an wenigen Gruppen, deren Vorgehen sich gezielt beobachten lässt. Opfernamen nennt die Seite nicht.

Tatzeitpunkt und Bundesland erfasst das Lagebild nicht. Wer zahlt oder still verhandelt, taucht auf keiner Leak-Seite auf, und jeder Eintrag ist eine Behauptung der Täter. Einen Teil des Anstiegs gegenüber 2025 erklärt die Methodik selbst mit ausführlicheren Quelldaten.

2. Microsoft-365-Härtungs-Check

Bei einem Geschäftspartner kam ein Angreifer über ein altes IMAP-Postfach herein, das nur ein Kennwort verlangte. Ihre IT-Leiterin will wissen, ob bei Ihnen noch solche Zugänge offen sind.

Das PowerShell-Skript im Microsoft-365-Härtungs-Check von hagel IT prüft zwölf Einstellungen im Mandanten, also Ihrer Microsoft-365-Umgebung. Darunter sind veraltete Anmeldeverfahren wie IMAP mit bloßem Kennwort, die Mehr-Faktor-Anmeldung, Weiterleitungen nach außen und Konten, die sich seit 90 Tagen nicht angemeldet haben.

Lesen darf das Skript alles, was es für diese zwölf Punkte braucht, schreiben darf es nichts. Nachvollziehen lässt sich das im öffentlichen GitHub-Repository des Skripts, wo der Quellcode unter MIT-Lizenz liegt. Den Befund gibt es in einer Fassung für die IT und einer für die Geschäftsführung.

Virenschutz und Patchstand der Laptops, Firewall, WLAN und Datensicherung prüft das Skript nicht, ebenso wenig sucht es nach Spuren eines Angriffs. Gefundene Mängel beheben Sie selbst. Ohne jemanden, der PowerShell 7 bedienen kann, kommen Sie nicht weit.

3. Have I Been Pwned

Ein Fachportal, bei dem sich Ihre Einkäuferin mit der Firmenadresse registriert hatte, meldet einen Einbruch in seine Kundendatenbank.

Have I Been Pwned zeigt, ob eine E-Mail-Adresse in bekannt gewordenen Datenlecks steckt. Praktischer als die einmalige Abfrage ist die Benachrichtigung, die der Dienst verschickt, sobald die Adresse in einem neuen Leck auftaucht. Aus Deutschland kommt er nicht, für diese Frage ist er aber die übliche Anlaufstelle.

Lecks, die nie veröffentlicht wurden, kennt die Datenbank nicht. Ein sauberes Ergebnis beweist deshalb nicht, dass ein Kennwort sicher ist.

KI-Dienste und die Lieferkette der Cloud

4. Schatten-KI-Check

In Teams-Besprechungen sitzt seit Kurzem ein Notizdienst als zusätzlicher Teilnehmer, eingeladen von jemandem aus dem Team. Freigegeben hat ihn niemand. Solche KI-Dienste ohne Freigabe nennt man Schatten-KI.

Der Selbsttest zur Schatten-KI von frag.hugo fragt nach Zugang, Regeln, Schulung, Verträgen und Mitbestimmung, beim Bestand ausdrücklich auch nach Notizdiensten wie Otter, Fireflies oder Read.ai. Er liefert einen Punktwert von 0 bis 100, eine von drei Stufen und drei Maßnahmen, die zu den Antworten passen. Schon ein einziger blinder Fleck verhindert die oberste Stufe.

Welche Notizdienste tatsächlich im Mandanten hängen, müssen Sie selbst nachsehen, denn der Test greift auf nichts zu. Nur wer die KI-Richtlinie als PDF anfordert, gibt Firma und E-Mail-Adresse an.

5. Subprozessor-Monitor

Ihr Onlineshop rechnet über Stripe ab. Im Vertrag steht, dass Stripe Unterauftragsverarbeiter hinzunehmen darf und Sie widersprechen können, falls Ihnen einer nicht passt. Jeder dieser Unterauftragnehmer ist ein Glied in der Lieferkette Ihrer Kundendaten, und jedes kann zum Einfallstor werden.

Das Widerspruchsrecht aus Art. 28 Abs. 2 DSGVO nützt nur dem, der die Änderung bemerkt. Der tägliche Abgleich der Unterauftragnehmer-Listen bei frag.hugo übernimmt das für 17 Anbieter, von Microsoft 365 über AWS und Cloudflare bis Stripe, dessen Liste allein 84 Einträge hat. In den 90 Tagen vor unserem Besuch im Oktober 2026 meldete er 13 Änderungen, etwa drei neue Unterauftragsverarbeiter bei Google Workspace am 20. Oktober.

Bei Microsoft erkennt der Monitor nur, dass sich die Liste geändert hat, die neuen Namen aber nicht automatisch, weil Microsoft sie nicht maschinenlesbar veröffentlicht. Anbieter mit Listen hinter einem Login fehlen ganz.

Blick von außen auf die Domain

6. E-Mail-Sicherheitscheck

Für eine Messe hat das Marketing vor zwei Jahren eine zweite Domain registriert. Mails gingen darüber nie raus, also hat sich niemand um ihre DNS-Einträge gekümmert. Als Absender missbrauchen lässt sie sich trotzdem.

Der kostenlose Check für SPF, DKIM und DMARC von frag.hugo liest nach Eingabe des Domainnamens zehn Prüfpunkte aus dem öffentlichen DNS und probiert 20 übliche DKIM-Selektoren durch, darunter die von Microsoft 365 und Google Workspace. DKIM ist die digitale Signatur im Kopf jeder Mail. Für fehlende Einträge liefert der Check fertigen Text zum Kopieren, und die geprüfte Domain wird laut Seite nicht gespeichert.

Wer heute schon über Ihre Domain versendet, zeigt das DNS nicht. Postfächer, zweiter Faktor und heimliche Weiterleitungen bleiben dem Check ebenso verborgen wie DKIM-Selektoren mit eigenen Namen außerhalb der 20.

7. internet.nl

Der Wechsel zu einem neuen Hoster steht an, und Ihre IT will vorher wissen, welche modernen Standards der alte nie eingerichtet hat.

internet.nl, der Standardtest der niederländischen Regierung, prüft Website, Mail-Domain und die eigene Verbindung auf IPv6, DNSSEC, HTTPS, STARTTLS, DANE und RPKI. In seiner Hall of Fame standen im Oktober 2026 genau 4.807 Domains mit zweimal 100 Prozent. Wer vor und nach dem Umzug testet, sieht, ob der neue Hoster hält, was er verspricht.

Über Kennwörter, Konten und Abläufe im Betrieb sagt der Wert nichts. Er bescheinigt moderne Technik.

Bußgelder, Herstellerpflichten und ein Gesamtstand

8. DSGVO-Bußgeld-Datenbank

Ein Server mit Kundendaten war monatelang ungepatcht, die Panne ist gemeldet. Jetzt will die Geschäftsführung wissen, wie solche Verfahren ausgehen können, abseits der Rekordstrafen aus den Schlagzeilen.

Die Sammlung belegter DSGVO-Bußgelder bei frag.hugo enthält 101 Fälle, 62 davon aus Deutschland, jeder mit Primärquelle und mit dem Betrag, der nach einer Gerichtsentscheidung tatsächlich gilt. Lehrreich ist der Fall 1&1. Das Unternehmen sollte 9,55 Millionen Euro zahlen, das Gericht senkte den Betrag auf 900.000 Euro. Wer die Datenbank nach Branche und verletztem Artikel filtert, findet schnell Fälle, die dem eigenen nahekommen. Für Datenschutzfragen jenseits der Sicherheit lohnt ein Blick auf die 18 Datenschutz-Werkzeuge bei frag.hugo.

Gerichte haben drei Bescheide drastisch gesenkt, die Datenbank führt sie alle. Erfasst sind ausgewählte, belegte Fälle, eine Vollerhebung ist das nicht.

9. CRA-Hersteller-Check

Ihr Betrieb verkauft eine kleine Firewall für Arztpraxen, zusammengestellt aus zugekaufter Hardware und angepasster Software. Damit fällt das Gerät unter den Cyber Resilience Act, die EU-Verordnung für Produkte mit digitalen Elementen, und Firewalls gehören dort zur strengeren Klasse II.

Der Fragebogen zum Cyber Resilience Act von frag.hugo klärt in höchstens elf Schritten Rolle, Produktklasse, Pflichten und Fristen. Die Meldepflicht nach Art. 14 gilt seit dem 11. September 2026, mit einer Frühwarnung binnen 24 Stunden. Vollständig gilt der CRA ab dem 11. Dezember 2027, der Bußgeldrahmen reicht bis 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes.

Klasse I umfasst laut Seite 19 Kategorien, der Fragebogen fragt nur eine Auswahl ab. Ein Durchgang klärt ein Produkt, und reine Cloud-Dienste ordnet die Seite NIS2 zu.

10. BSI-Selbsttest EPIC

Die neue Kollegin in der IT-Leitung will in ihrer ersten Woche einen groben Stand der Informationssicherheit, bevor sie in die Technik einsteigt.

Beim BSI gibt es dafür den ExPress Informationssicherheits Check, kurz EPIC, einen Web-Fragebogen für Behörden und Unternehmen. Er umfasst 32 Fragen in sechs Themenfeldern, laut BSI in zehn bis fünfzehn Minuten, mit einer Auswertung je Themenfeld.

EPIC fragt ab, was Sie wissen. Ob eine Einstellung so gesetzt ist, wie Sie antworten, prüft er nicht, dafür sind die technischen Werkzeuge weiter oben da.

Datengrundlage der zehn Werkzeuge

Datengrundlage und Eingaben der zehn Werkzeuge, Stand Oktober 2026

Werkzeug	Datengrundlage	Was Sie preisgeben
Cyber-Lagebild	Leak-Seiten über RansomLook (CIRCL), täglicher Abruf	nichts
Microsoft-365-Härtungs-Check	Ihr eigener Mandant, nur lesend	nichts, das Skript läuft bei Ihnen
Have I Been Pwned	bekannt gewordene Datenlecks	eine E-Mail-Adresse
Schatten-KI-Check	Ihre Selbsteinschätzung	Ihre Antworten
Subprozessor-Monitor	öffentliche Listen von 17 Anbietern, täglicher Abgleich	nichts, für den Mail-Alarm eine Adresse
E-Mail-Sicherheitscheck	öffentliches DNS Ihrer Domain	den Domainnamen, wird nicht gespeichert
internet.nl	öffentliches DNS und Ihr Webserver	Domain oder Website-Adresse
DSGVO-Bußgeld-Datenbank	Bescheide und Urteile mit Primärquelle	nichts, die Filter laufen im Browser
CRA-Hersteller-Check	Verordnungstext und Leitlinie der Kommission	Antworten, die im Browser bleiben
BSI-Selbsttest EPIC	Ihre Selbsteinschätzung	32 Antworten

Womit Sie anfangen

Ohne eigene IT-Abteilung fangen Sie mit dem Mail-Check an, weil er nur einen Domainnamen braucht. Geben Sie alle Ihre Domains ein, auch die, über die nie Mails laufen.

Mit Microsoft 365 und jemandem, der PowerShell kennt, lohnt der Härtungs-Check als Erstes. Sein Bericht für die Geschäftsführung zeigt, welche Einstellungen zuerst geändert werden sollten.

Brauchen Sie Zahlen für die Entscheidung über das Sicherheitsbudget, nehmen Sie das Lagebild und sagen dazu, dass es nur die öffentlich gewordenen Fälle zeigt.

Verkaufen Sie Geräte oder Software unter eigenem Namen, gehört der CRA-Check nach vorn. Die Meldepflicht läuft seit September 2026.

Wer erst wissen will, wo der Betrieb insgesamt steht, beantwortet die 32 Fragen beim BSI und greift danach zu den Werkzeugen für die schwächsten Themenfelder.