Zero Trust ab 2026: 3 Praxisansätze für Cyberabwehr zwischen KI und Compliance
Künstliche Intelligenz ist weder Fluch noch Segen – sie ist längst Realität, auch in der Cyberabwehr. Sie verändert grundlegend, wie Sicherheitsentscheidungen getroffen werden müssen. In diesem Kontext entwickelt sich Zero Trust ab 2026 zur strategischen Leitplanke der Cyberabwehr: KI automatisiert Zugriffs- und Risikoentscheidungen, während Regulierungen wie NIS2 und DORA den verbindlichen Rahmen für den Schutz von IT- und OT-Umgebungen setzen. Für den Gesamtzusammenhang lohnt es sich, den ersten Teil dieses Zweiteilers zu lesen.
AI & Zero Trust: Risiken und Chancen für moderne Cyberabwehr
KI als Angriffsvektor: Deepfakes, automatisierte Phishing-Angriffe & Co.
Generative KI wie etwa FraudGPT oder WormGPT ermöglicht hyper-personalisierte Phishing-Angriffe, die Multi-Faktor-Authentifizierung (MFA) umgehen. Angreifer nutzen KI-generierte Stimmen, um im Callcenter Zugriff auf Konten zu erhalten.
Praxistipp: Setzen Sie auf Continuous Authentication und nutzen Sie Tools wie «Microsoft Defender for Identity», um das Echtzeit-Verhalten zu analysieren.
KI in der Cyberabwehr: Automatisierte Zero-Trust-Entscheidungen
KI-gestützte Policy-Engines (EDR) treffen 90% der Zero-Trust-Entscheidungen automatisch. Zum Beispiel durch Blockieren eines Logins, weil der Nutzer oder die Nutzerin plötzlich aus einem Hochrisikoland zugreift oder durch Isolieren eines Geräts, das ungewöhnliche Datenflüsse zeigt.
Kritische Reflexion: KI ist kein Allheilmittel. Erst das fortlaufende Training mit kontextspezifischen Daten ermöglicht eine zuverlässige Erkennung ohne übermässige Fehlalarme. Nutzer:innen müssen verstehen, warum ein Zugriff blockiert wurde.
Quantencomputing: Die tickende Zeitbombe für Verschlüsselung
Post-Quantum-Kryptografie: Das Ende von RSA und ECC absehbar
Forschungen zeigen, dass leistungsfähige Quantencomputer voraussichtlich in den 2030er-Jahren gängige Verschlüsselungsverfahren wie RSA-2048 und ECC gefährden werden. Digitale Zertifikate, die auf RSA oder ECC basieren, könnten damit angreifbar werden – mit direkten Auswirkungen auf Zero-Trust-Architekturen.
Kritische Reflexion: Es gibt NIST-standardisierte Algorithmen wie etwas CRYSTALS-Kyber und NTRU als Ersatz für RSA/ECC. Hybride Verschlüsselung (klassisch + PQC) werden als Übergang genutzt. Die Planung und Umsetzung sollte frühzeitig mit den Herstellern von Zero-Trust-Tools erfolgen. Erste ZTNA-Lösungen unterstützen bereits PQC-Kryptografie, eine breite Marktdurchdringung steht jedoch noch aus.
Praxistipp: Erstellen Sie eine Planung für Ihre Organisation mit dem Fokus auf kritische Systeme (z. B. Finanzdaten, OT-Steuerung) und starten Sie 2026 mit Pilotprojekten.
Denn Stillstand erhöht das Cyberrisiko. Eine gezielte Überprüfung Ihrer Zero-Trust-Strategie unterstützt fundierte Entscheidungen zu MFA, Mikrosegmentierung sowie NIS2 und DORA.
Zero Trust Readiness Assessment
Deshalb treiben NIS2 und DORA Zero Trust voran
NIS2 & KRITIS: Zero Trust als neue Pflicht
Auch wenn NIS2 direkt nur für EU-Mitgliedstaaten gilt, sind viele Schweizer Unternehmen betroffen – insbesondere jene mit EU-Kunden oder Tochtergesellschaften. Kritische Infrastrukturen (Energie, Gesundheit, Transport, etc.) sind in der Pflicht, Zero Trust umzusetzen.
Für KRITIS-Organisationen ergeben sich daraus klare Kernanforderungen:
- Risikoanalyse (welche Systeme sind kritisch)
- MFA für alle Zugriffe (inkl. Alle Admin Konten)
- Logmanagement
- Mikrosegmentierung
- Continuous Monitoring
- Incident-Response-Plan mit MTTD
DORA (EU) im Finanzsektor: Zero Trust als Nachweis für den Finanzsektor
Der Digital Operational Resilience Act (DORA) verpflichtet Banken und Versicherungen zum Nachweis, dass sie Angriffe in Echtzeit erkennen (via SIEM + UEBA) und Third-Party-Risiken wie beispielsweise Cloud-Anbieter kontrollieren.
Praxistipp IT: «Nutzen Sie die Regulierung als Chance.» Verbinden Sie DORA/NIS2-Projekte mit der Zero-Trust-Roadmap. Führen Sie externe Audits (z. B. ISO 27001; Zero Trust) durch und nutzen Sie Zero Trust, Secure Access Service Edge (SASE), ZTNA und passwortlose Authentifizierung (FIDO2).
Praxistipp OT: «Nutzen Sie die Regulierung gezielt als Chance für die OT-Sicherheit.» Etablieren Sie externe Audits, etwa nach ISE 62443 oder Zero-Trust-Prinzipien, und priorisieren Sie technische Massnahmen wie OT-spezifische Mikrosegmentierung, Geräte-Zertifikate für alle PLCs sowie passive OT-Überwachung bis hin zu einem OT-SOC. Ergänzend bewähren sich hybride Konzepte aus Air Gap und ZTNA, um kritische Steuerungsnetze kontrolliert abzusichern.
Hypothese aus der Glaskugel
Lassen wir uns von den Gedanken treiben, wohin sich unsere Welt entwickeln könnte.
Weshalb Zero Trust durch KI «unsichtbar» wird
Nutzer:innen merken nicht mehr, dass sie in einer Zero-Trust-Umgebung arbeiten, weil KI-Modelle und Automatisierung alles im Hintergrund regeln. Mitarbeiter greifen auf eine Maschine in der Produktion zu. Die KI prüft automatisch: Ist das Gerät patchbar? Passt das Verhalten zur Nutzer:in? Gibt es Anomalien im Netzwerk? Je nachdem wird der Zugriff gewährt oder blockiert, ohne manuelle Eingabe.
Zero Trust + Digital Twin = Self Healing Security
Digitale Zwillinge von OT-Systemen eröffnen perspektivisch die Möglichkeit, Angriffe virtuell zu simulieren und Sicherheitsregeln automatisiert anzupassen. Ziel ist eine zunehmend proaktive Cyberabwehr, die nicht erst auf Vorfälle reagiert, sondern Risiken frühzeitig antizipiert.
Wann wird Zero Trust zur Pflicht und für wen gilt diese Regulierung?
2030 wird Zero Trust in der EU und in kritischen Infrastrukturen verpflichtend. Cyberversicherungen verlangen bereits jetzt zunehmend Zero-Trust-Nachweise, während fehlende Zero-Trust-Standards entlang der Lieferkette die Risiko- und Kostenfaktoren für alle Beteiligten erhöhen
3 Praxistipps für Cyberabwehr als strategische Leitplanke in IT und OT
Damit Cyberabwehr in IT und OT als strategische Leitplanke wirkt, braucht es wenige, aber gezielt eingesetzte Massnahmen.
Diese drei praxisnahen Handlungsempfehlungen liefern dafür eine belastbare Orientierung:
- Implementieren Sie klassische Multi-Faktor-Authentifizierung (MFA) und Mikrosegmentierung. Ihr Zugewinn ist enorm: Beide Massnahmen umgesetzt, liefern sie bereits rund 80% des gesamten Sicherheitsnutzens.
- Planen Sie zudem frühzeitig den Einsatz von künstlicher Intelligenz (KI) und professionelles SOC Monitoring, denn ohne diese Technologien wird Ihre IT- und OT-Sicherheit nicht mehr ausreichend sein.
- Nutzen Sie ausserdem aktuelle Regulierungen wie NIS2 und DORA gezielt als Hebel, um Budget und interne Akzeptanz für Ihre Sicherheitsmassnahmen zu gewinnen.
Die grösste Gefahr im Cyberraum? Abwarten und nichts tun.
Gern begleiten Sie unsere Expert:innen und unterstützen Sie mit über 350 Fachpersonen bei der Weiterentwicklung und Überprüfung Ihrer Zero-Trust-Strategie mit bewährten Methoden aus der Praxis:
- Umsetzung zentraler Massnahmen wie Multi-Faktor-Authentifizierung (MFA), Mikrosegmentierung, Domain Tiering auf Basis von Best-Practice Baselining
- Entwicklung tragfähiger Strategien für KI-Sicherheit oder Quantenresilienz
- Konkretisierung und Überprüfung von NIS2- oder DORA-Roadmaps
Zero Trust ist wie ein Airbag, man merkt erst, wie wichtig ein Airbag ist, wenn man ihn braucht. Vereinbaren Sie jetzt ein unverbindliches Erstgespräch.
Zero Trust Readiness Assessment
Über weitere Entwicklungen und aktuelle Analysen zur Cybersicherheit können Sie informiert bleiben. Einfach unsere Blog-Updates abonnieren und die neuesten Artikel in Ihrem Postfach abrufen! Wir freuen uns auf Sie.
InfoGuard AG
Lindenstrasse 10
CH6340 Baar
Telefon: +41 (41) 7491900
https://www.infoguard.ch
Marketing Manager
Telefon: +41 (41) 74919-00
E-Mail: estelle.ouhassi@infoguard.ch
Cyber Security Radar 2026: Die zentralen Traktanden für CISOs und CIOs
Wie die Vorjahre war auch das vergangene Jahr geprägt von einer Vielzahl verschiedener Schwerpunktthemen, die im Zusammenhang mit neuen Technologien, steigenden regulatorischen Anforderungen und der wachsenden Bedrohungslage stehen.
Ein Blick nach vorne zeigt: Wer die Cybersicherheit 2026 verstehen will, kommt an einer präzisen Rückblende nicht vorbei.
FINMA und revDSG erklärt: Welche Pflichten gelten heute?
Das FINMA-Rundschreiben RS 2023/1 und das revidierte Datenschutzgesetz (revDSG) sind bereits länger in Kraft.
Die Anforderungen des FINMA-Rundschreibens RS 2023/1 werden durch aufsichtsrechtliche Prüfungen streng kontrolliert, und die FINMA veröffentlicht in unregelmässiger Frequenz Aufsichtsmitteilungen mit Hinweisen und Erläuterungen (z. B. FINMA-Aufsichtsmitteilung 05/2025 «Operationelle Resilienz bei Banken, Personen nach Art.1b BankG, Wertpapierhäusern und Finanzmarktinfrastrukturen»).
Finanzinstitute müssen ein Bündel von sich ergänzenden technischen und organisatorischen Massnahmen (TOMs) umsetzen, um ein ganzheitliches Management von Cyber- und IKT-Risiken, den Schutz von kritischen Daten, die durchgängige Incident-Behandlung (Erkennung, Analyse, Bewertung, Reaktion, Einhalten von Meldefristen) sowie ein effektives Risikomanagement von Dienstleistern nachzuweisen. Zusätzlich sind sie gefordert, die Resilienz zu stärken und diese regelmässig zu überprüfen.
Das revidierte Datenschutzgesetz (revDSG) warf medial keine allzu grossen Wellen. Jedoch verlangt dieses, dass die Verletzung der Datensicherheit (z. B. ein Datenabfluss im Rahmen einer Ransomware-Attacke) dem Eidgenössischen Öffentlichkeits- und Datenschutzbeauftragten (EDÖB) gemeldet werden muss, wenn ein hohes Risiko für betroffene Personen besteht.
NIS2 und DORA: Bekannte Anforderungen, verschärfte Durchsetzung in der Schweiz
Obwohl die Schweiz kein EU-Mitglied ist, werden NIS2 (Network and Information Security Directive 2) und DORA («Digital Operational Resilience Act» – NIS2 für den Finanzsektor) auch hierzulande relevant(er). Schweizer Unternehmen, welche in der EU tätig sind, müssen die entsprechenden Vorgaben wie strengere Meldepflichten, Resilienz-Tests, die durchgängige Ereignisbehandlung (Erkennung, Analyse, Bewertung, Reaktion) und ICT-Risikomanagement umsetzen.
Die nationale Umsetzung von NIS2 bringt diverse rechtliche, organisatorische und technische Herausforderungen für Unternehmen. Die Richtline ist bewusst technologieneutral und lässt den EU-Mitgliedsstaaten Interpretationsspielraum, was zu unterschiedlichen nationalen Mindeststandards führt. Aktuell haben diverse Staaten noch kein nationales Gesetz verabschiedet, was zu fehlender Rechtssicherheit führt.
CRA: Warum Produktsicherheit über den gesamten Lebenszyklus entscheidet
Unabhängig davon, dass die Schweiz kein EU-Mitglied ist und der Cyber Resilience Act (CRA) während einer Übergangsfrist zurzeit noch nicht verbindlich ist, müssen die Anforderungen im Lebenszyklus (von der Entwicklung über das Testen bis hin zur Wartung und Support) von Produkten berücksichtigt werden. Beschaffer in europäischen Unternehmen fordern bereits heute den Nachweis, dass die Sicherheit solcher Produkte während der gesamten Nutzungszeit sichergestellt ist.
KI im Alltag: Wenn Künstliche Intelligenz unsichtbar mitentscheidet
Der Einsatz von KI hat rapide zugenommen, sei es durch die Integration in Suchmaschinen, in Produktivitäts-Software (wie Microsoft Office) und Browser (z. B. Microsoft Edge) oder durch die Verwendung in Unternehmen zur Automatisierung bzw. Digitalisierung von Abläufen. Für Benutzer wird es zunehmend schwieriger zu erkennen, wo KI bereits Teil der Prozesse und Abläufe ist. Gleichzeitig befinden sich Unternehmen in dauerndem Wettlauf mit Anbietern von KI, um eine sichere und konforme Nutzung zu gewährleisten.
Cyberangriffe im Wandel: Automatisierte Ransomware trifft Gross und Klein
Angreifer setzen vermehrt auf KI, um Phishing-Emails und Schadsoftware zu erstellen oder Sicherheitslösungen zu umgehen. Die Folge davon sind hochgradig personalisierte und automatisierte Ransomware-Angriffe mit deutlich erhöhter Erfolgsquote. Vermehrt fanden auch eine doppelte oder dreifache Erpressung mit den entwendeten Daten statt. Nicht zu vernachlässigen sind opportunistische Angriffe, die (nicht gepatchte) Schwachstellen ausnutzen. Das Ökosystem der Angreifer funktioniert weiterhin erfolgreich, und die Spezialisierung unter den Angreifergruppen wird sich noch verstärken.
Supply Chain und Cloud: Third Party Risk Management ist Pflicht
Heute verlässt sich kaum ein Unternehmen noch ausschliesslich auf eigene Ressourcen. Ohne die Nutzung von IT-Anbietern, externen Dienstleistern oder Cloud-Diensten ist ein modernes Geschäftsmodell kaum mehr möglich. Gleichzeitig haben Angriffe über Zulieferer, Dienstleister und Partner in den letzten Jahren stetig zugenommen. Das systematische Third-Party-Risk-Management (TPRM) wurde zum «Muss» für Unternehmen und ist nicht zuletzt in den Fokus der Regulatoren gerückt.
Cyber-Hygiene: Schwachstellenmanagement, Backups und Awareness als Fundament
Bewährte Verfahren zur Sicherstellung einer Basis-Resilienz – kurz Cyber-Hygiene genannt – stehen nach wie vor im Fokus. Insbesondere wenn es darum geht, ein Sicherheitsdispositiv rasch und zielgerichtet aufzubauen, das Angriffen erfolgreich widerstehen kann. Auch letztes Jahr wurden erfolgreiche Angriffe häufig durch grundlegende Mängel wie unzureichendes Schwachstellenmanagement und fehlende Backups ermöglicht. Defizite in Sicherheitskultur, Security Awareness und Monitoring verstärkten diese Wirkung zusätzlich.
Inicident Response und BCM: Stillstand oder Business Continuity?
Der Ausbau der Fähigkeiten zur schnellen Erkennung, Eindämmung und Reaktion auf Cybervorfälle hat sich fortgesetzt. Parallel dazu rücken Massnahmen zur Erhöhung der Ausfallsicherheit in den Fokus mit dem Ziel, die Geschäftskontinuität ganzheitlich zu adressieren. Bestehende Notfallplanungen wurden vermehrt überprüft und vertieft analysiert sowie um die Einbindung von Dienstleistern und Cloud-Diensten erweitert. Dies trug wesentlich dazu bei, die Cyberresilienz der Unternehmen gegen Angriffe nachhaltig zu stärken.
Wie schon 2024 standen Themen wie verschärfte regulatorische Anforderungen, Stärkung der Resilienz gegen Angriffe sowie die rasant wachsende Bedeutung von KI im Fokus.
Strategischer Ausblick: Was prägt Cybersicherheit ab 2026?
Unternehmen sind gefordert, ihr Sicherheitsdispositiv laufend zu überprüfen und konsequent nachzuschärfen. Nur wer identifizierte Schwachstellen systematisch behebt, bleibt angesichts einer dynamischen Bedrohungslage reaktionsfähig und cyberresilient.
Der Ausblick auf 2026 ordnet die prägenden Trends, Herausforderungen und Innovationen ein.
Datenhoheit und Datensouveränität: Wo Cloud-Nutzung rechtliche Unsicherheiten schafft
Die Nutzung von internationalen Cloud-Diensten (Microsoft, Google, Amazon, etc.) führt dazu, dass nicht immer nachvollziehbar ist, wo Daten physisch verarbeitet und gespeichert werden. Gleichzeitig unterliegen Daten zunehmend mehreren Rechtsordnungen parallel, wie beispielsweise jener der Schweiz, der EU und den USA. Die Bestimmung des jeweils anwendbaren Rechts erschwert sich erheblich und kann zu Unsicherheiten führen.
Künstliche Intelligenz im Wandel: Wenn Angreifer und Verteidiger im selben Tempo lernen
Der Einsatz von generativer KI steigt kontinuierlich an, gleichzeitig nehmen Risiken durch unkontrollierte („Shadow“-)KI-Nutzung zu: Mitarbeitende setzen KI-Tools ein, die nicht von der IT/Security kontrolliert sind bzw. kontrolliert werden können (insbesondere bei Bring-Your-Own-Device, BYOD).
Der Druck, Governance und effektive Kontrollen für die Nutzung von KI zu etablieren, wird immer grösser. Will ein Unternehmen eine eigene KI-Infrastruktur aufbauen und betreiben, so müssen die damit einhergehenden Risiken identifiziert, bewertet und adressiert werden.
Gleichzeitig nutzen Angreifer generative KI und zunehmend auch die nächste Entwicklungsstufe, namentlich agentische KI, für autonome Angriffe. Diese Techniken kommen dabei insbesondere für massgeschneiderte Phishing-Kampagnen, Deepfake-Betrug und weitere Angriffstechniken zur Anwendung. Unternehmen sollten KI nicht nur als unterstützende Tools, sondern dringend als Teil des Risikoumfelds betrachten. Der Einsatz von KI-unterstützter Bedrohungserkennung und automatisierte Abwehrmechanismen sind unentbehrlich, um angemessen und zeitnah reagieren zu können.
Tool-Landschaften: Wie weniger Komplexität mehr Sicherheit schafft
In den vergangenen Jahren und Jahrzehnten haben Unternehmen eine Unzahl spezialisierter Tools und Technologien eingesetzt, um adäquat auf neue Bedrohungen und Risiken zu reagieren. Dies hat zu einer erhöhten Heterogenität und Komplexität, Redundanzen, eingeschränkter Effizienz und stetig steigenden Kosten geführt. Stagnierende oder gar sinkende finanzielle Mittel erhöhen den Druck, Tool-Landschaften zu konsolidieren und Abläufe stärker zu automatisieren.
Cloud, Identitäten und Zero Trust: Kontrolle über System- und Anbietergrenzen
Die Nutzung von Cloud-Infrastrukturen wird weiter zunehmen. Dies erfordert neue Governance- und Kontrollmechanismen, da klassische Kontrollmodelle an ihre Grenzen stossen. Gleichzeitig eröffnen sich neue Angriffsmodelle, die eine Weiterentwicklung bestehender Sicherheitsdispositive erfordern. Eine besondere Herausforderung stellt die Verwaltung von Identitäten über Systemgrenzen hinweg dar. Konzepte wie Zero Trust Architecture (ZTA) werden zunehmend zur Notwendigkeit.
Jüngste Ausfälle bei Amazon und CloudFlare haben die Risiken eines Vendor Lock-ins deutlich gemacht. Im Ernstfall sind Unternehmen nicht mehr in der Lage, ihre Dienste bereitzustellen oder zentrale Geschäftsprozesse aufrechtzuerhalten.
Regulatorik und Compliance in der Chefetage – Aufschub geht nicht!
Im Einklang mit der zunehmenden Digitalisierung, grenzüberschreitenden Datenflüssen und allgegenwärtigem KI-Einsatz entwickeln sich die Regulatorik- und Compliance-Anforderungen, die Unternehmen erfüllen müssen, weiter. Damit rücken Fragen der regulatorischen Steuerung und Haftung zunehmend auch in die Verantwortung von Geschäftsleitungen und Führungsgremien:
- Stärkere Vorgaben für Kritische Infrastrukturen: Getrieben durch die laufenden Angriffe und Erpressungen dürften die Anforderungen an kritische Infrastrukturen weiter zunehmen (z. B. in den Bereichen Verkehr und Transport, EVU, Gesundheit, Wasserversorgung).
- KI-Gesetze: Die KI-Regulierungen (u. a. die KI-Verordnung der CH und EU) fordern von Unternehmen, dass sie Risikobewertungen für KI-Systeme durchführen. Besonders bei hochriskanten Anwendungen wie biometrischer Identifikation werden diese verpflichtend.
- NIS2: Mit der steigenden Anzahl an verabschiedeten nationalen Umsetzungsgesetzen wächst der Druck auf Unternehmen, die Konformität damit bestätigen zu können. Die teilweise unterschiedlichen Mindestanforderungen in den EU-Mitgliedstaaten werden zur Herausforderung, insbesondere für Unternehmen mit lokalen bzw. verteilten Infrastrukturen
Unternehmen müssen frühzeitig regulatorische Trends antizipieren und Massnahmen treffen, um rechtzeitig die geforderte Konformität sicherzustellen.
Lieferketten im Visier: Deshalb wird Vendor-Risk-Management unverzichtbar
Die wachsende Zahl erfolgreicher Angriffe auf Drittanbieter und Software-Lieferketten verschärft die Anforderungen an das Risikomanagement. Software-Bills-of-Material (SBOMs), Lieferketten-Transparenz und strukturierte Vendor-Risk-Management-Prozesse werden damit zur Voraussetzung.
Ransomware: Wenn die dauernde Bedrohung mehrere Eskalationsstufen erreicht
Ransomware-Angriffe bleiben eine dauerhafte Bedrohung. Ihre Ausprägung verändert sich jedoch durch die Verbreitung von Doppel- und Dreifach-Erpressungsmodellen, bei welchen Verschlüsselung, Datenveröffentlichung und DDoS-Attacken kombiniert werden. Besonders betroffen sind Kritische Infrastrukturen wie Banken, Spitäler und Energieversorger, wie Analysen des Bundesamts für Cybersicherheit (BACS) zeigen.
Quantencomputing: Deshalb will Post-Quantum-Kryptografie vorbereitet sein
Die Entwicklung von Quantencomputern schreitet stetig voran. Auch wenn zum heutigen Zeitpunkt nicht absehbar ist, wann Quantencomputer kommerziell verfügbar sein werden und somit aktuelle Verschlüsselungstechniken gefährden könnten, ist Vorsorge angezeigt. Unternehmen sind gefordert, Post-Quantum-Kryptographie zu evaluieren und Migrationspläne zu entwickeln.
Fachkräftemangel und Kompetenzen: Neue Fähigkeiten entscheiden über Resilienz
Der anhaltende Fachkräftemangel an Sicherheitsspezialist:innen stellt Unternehmen auch in Zukunft vor erhebliche Herausforderungen. Zusätzlich gewinnen neue Kenntnisse – etwa in den Bereichen KI-Sicherheit, Cloud-Identitäten und Threat Hunting – an Bedeutung, um auf aktuelle und künftige technologische Entwicklungen und Bedrohungen adäquat reagieren zu können. Gefragt sind deshalb gezielte Investitionen in die Weiterbildung der IT-Fachpersonen.
Alternativ lässt sich fehlende Fachkompetenz im Unternehmen durch einen punktuellen Einsatz externer Expertise sowie durch Organisationsmodelle kompensieren, die Defizite gezielt über Automatisierung und klare Priorisierung abfedern.
Identitätsmanagement: Authentifizierung via Passwort verliert an Bedeutung
Identitäten sind das digitale Gold für Angreifer: Gelangen Cyberkriminelle in den Besitz digitaler Identitäten einschliesslich Passwörtern, erhalten sie weitreichenden Zugriff auf Systeme und Daten. Ein grosses Risiko stellen insbesondere sogenannte Identitätsschulden. Dazu zählen übermässige Berechtigungen sowie veraltete, nicht deaktivierte oder gelöschte Konten, weshalb eine regelmässige Überprüfung von Identitäten und den damit verknüpften Berechtigungen zwingend ist.
Die passwortlose Authentifizierung wie Biometrie, FIDO2 oder Passkey wird sich mittelfristig durchsetzen und zum Standard werden. Aktuell steht dem noch die fehlende Interoperabilität im Weg.
Kostendruck: Trotz begrenzter Mittel bleibt Cyberresilienz unverhandelbar
Die herausfordernde Wirtschaftslage, geprägt durch die von den USA eingeführten Zölle, durch Inflation und steigende Arbeitslosigkeit, verschärft den Druck auf Unternehmen. Für nachhaltige Investitionen in die Informationssicherheit fehlen zunehmend die Mittel. Unabhängig von einer angespannten finanziellen Situation bleibt die Sicherstellung der Cyberresilienz gegenüber sich stetig weiterentwickelnden Angriffen eine nicht verhandelbare Aufgabe.
Eine strategische Checkliste: So handeln Sicherheitsverantwortliche proaktiv
Die kommenden Jahre bringen grosse Herausforderungen mit sich, die zugleich strategische Chancen eröffnen. Schweizer Unternehmen, welche die regulatorischen Vorgaben erfüllen, KI strategisch einsetzen und ihre Cyberresilienz systematisch stärken, reduzieren nicht nur inhärente Risiken, sondern sichern sich auch nachhaltige Wettbewerbsvorteile.
Für eine praxisnahe Orientierung benennt die folgende Checkliste die künftigen Prioritäten für CISOs, CIOs und IT-Sicherheitsverantwortliche.
- Regulatorische Compliance sicherstellen
▪️ FINMA-, NIS2-, DORA- und CRA-Anforderungen umsetzen
▪️ Organisationen wie Energieversorgungsunternehmen (EVU) auf neue Vorgaben vorbereiten
▪️ Datenhoheit/Datensouveränität sicherstellen - KI und Automatisierung nutzen
▪️ KI-gestützte Abwehrsysteme einführen
▪️ Agentic KI und autonome Bedrohungen aktiv verfolgen - Ransomware- und Lieferkettenrisiken minimieren
▪️ Zero-Trust-Architekturen implementieren
▪️ Drittanbieter regelmässig prüfen
▪️ Unabhängigkeit von Lieferanten sicherstellen - Identitätsmanagement und Quantenresistenz vorbereiten
▪️ IAM-Systeme bereinigen
▪️ Zero Trust Architecture (ZTA) evaluieren, insbesondere für Cloud-Dienste
▪️ Post-Quantum-Kryptographie evaluieren - Kostendruck und Fachkräfte
▪️ Sicherstellung der finanziellen Mittel trotz der angespannten Wirtschaftslage
▪️ Reduktion der Komplexität und Kosten in den eingesetzten Technologien
▪️ Sicherstellen des Know-hows und der Kompetenzen im Unternehmen
Die 3 Handlungsfelder der Cyber Security – eine Daueraufgabe auf C-Level
Die Informationssicherheit bleibt weiterhin ein dynamisches und sich ständig weiterentwickelndes Feld. Für die Führungsverantwortlichen ist es entscheidend, als Organisation agil zu bleiben und sich kontinuierlich über neue Bedrohungen und technologische Entwicklungen zu informieren.
Eine regelmässige Prüfung und Entwicklung des Sicherheitsdispositivs ist notwendig, um die Integrität, Vertraulichkeit und Verfügbarkeit von Informationen und Systemen und somit die Business Continuity zu gewährleisten. Annahmen sollten kritisch hinterfragt und Massnahmen konsequent nachgeschärft werden. Cybersicherheit ist kein abgeschlossener Zustand, sondern eine kontinuierliche Management- und Resilienzaufgabe.
Entscheidend ist dabei eine strukturierte, risikoorientierte Herangehensweise, die über punktuelle Sicherheitsmassnahmen hinausgeht.
In der Praxis bewährt, hat sich insbesondere der Fokus auf drei zentrale Handlungsfelder:
- Regulatorische Konformität und Governance sicherstellen:
Anforderungen aus FINMA-Rundschreiben, NIS2, DORA oder Datenschutzvorgaben systematisch einordnen, umsetzen und nachweisfähig verankern. - Cyberresilienz und Incident-Response-Fähigkeiten stärken:
Erkennungs-, Reaktions- und Wiederherstellungsprozesse gezielt ausbauen, Business Continuity absichern und Abhängigkeiten von Dienstleistern und Cloud-Anbietern berücksichtigen. - Technologische Risiken priorisieren und Komplexität reduzieren:
Identitätsmanagement, Cloud- und Lieferkettenrisiken sowie KI-basierte Bedrohungen ganzheitlich bewerten und Sicherheitsarchitekturen konsolidieren.
Verschaffen Sie sich Klarheit über den Sicherheitsstatus Ihrer Organisation. Mit einer fundierten Standortbestimmung identifizieren Sie den Handlungsbedarf. Unsere Sicherheitsspezialist:innen unterstützen Sie bei der Weiterentwicklung Ihrer Cyberresilienz, um Ihre Handlungsfähigkeit auch unter zunehmendem regulatorischem und wirtschaftlichem Druck zu sichern.
Über weitere Entwicklungen und aktuelle Analysen zur Cybersicherheit können Sie informiert bleiben. Einfach unsere Blog-Updates abonnieren und die neuesten Artikel in Ihrem Postfach abrufen! Wir freuen uns auf Sie.
InfoGuard AG
Lindenstrasse 10
CH6340 Baar
Telefon: +41 (41) 7491900
https://www.infoguard.ch
Marketing Manager
Telefon: +41 (41) 74919-00
E-Mail: estelle.ouhassi@infoguard.ch
Agentische KI im Angriff: Wie Human-AI-Teaming die Cyberabwehr neu ausrichtet
Trotz steigender Investitionen in Sicherheitsbudgets nimmt die Zahl erfolgreicher Cyberangriffe weiter zu. In der Schweiz und in Deutschland bearbeitete InfoGuard in diesem Jahr über 310 Ransomware-Fälle – rund 20 Prozent mehr als im Vorjahr. Diese Zahlen unterstreichen die zunehmende Präzision und Professionalität moderner, KI-gestützter Angriffsmuster. Haupttreiber dieser Entwicklung sind vor allem die rasanten Fortschritte in der künstlichen Intelligenz (KI).
KI-Agenten beschleunigen Cyberangriffe über sämtliche Angriffsphasen hinweg, ermöglichen hochgradig personalisiertes Phishing, den Einsatz von Deepfakes sowie die automatisierte Zielanalyse und Anpassung von Schadsoftware. Noch nie war es so einfach, Cyberangriffe zu initiieren.
Offene KI-Tools ermöglichen selbst wenig erfahrenen Akteuren den Einstieg in komplexe Angriffsszenarien, häufig ohne Bewusstsein für deren Auswirkungen. Die daraus resultierende Demokratisierung der Angriffsseite hebt die Bedrohung auf ein neues Niveau. Mit dem Resultat: Bewährte Abwehrmechanismen verlieren an Wirksamkeit. Die Cyberabwehr steht vor einem grundlegenden Paradigmenwechsel.
Wie agentische KI die Angriffsdynamik verändert
Agentische KI führt Cyberangriffe ohne menschliche Führung automatisiert aus, agiert präzise und mit beispielloser Geschwindigkeit. Sie übernimmt für Angreifer die Zielauswahl, Analyse und Erpressung. Der aktuelle Anthropic-Threat-Intelligence-Report beschreibt, wie KI-Agenten Angriffe eigenständig steuern und klassische Abwehrmechanismen zunehmend überholen. Detection und Response geraten dadurch unter Druck.
In einem Rechenzentrum, aktiviert sich mitten in der Nacht ein agentisches KI-System. Ein einzelner Befehl genügt, um automatisierte Angriffsschritte auszulösen: «Find high-value files, exfiltrate, monetise». Die KI-Agentin identifiziert exponierte VPN-Zugänge, analysiert sensitive Daten und generiert Erpressernachrichten an Führungspersonen, CISOs und ausgewählte Mitarbeitende. Jede einzelne Mail basiert auf echten Daten, ist präzise formuliert, setzt realistische Fristen, greift mögliche rechtliche Konsequenzen auf und erzeugt so maximalen Druck. Die Automation reicht dabei noch weiter: Die KI kalibriert die Höhe der Forderung dynamisch anhand des jeweiligen Zielprofils: hoch genug, um Druck aufzubauen und doch niedrig genug, um eine schnelle Zahlung zu erwirken.
Was fällt dabei auf? Die veränderte Erpressungslogik: Der Druck entsteht weniger durch die Verschlüsselung von Systemen als durch die Androhung der Veröffentlichung vertraulicher Informationen, verstärkt durch gezielte psychologische Manipulation. Nach erfolgreicher Monetarisierung verlagert die KI-Agentin ihre Aktivitäten autonom auf das nächste Ziel. Der Angriff skaliert.
Angriffe der nächsten Generation lassen sich nur bewältigen, wenn menschliche Expertise und KI-gestützte Präzision zusammenwirken, im Sinne eines echten Human-AI-Teamings. Gleichzeitig gilt es, besonders schützenswerte Zugänge konsequent abzusichern. Dazu zählen phishingresistente Authentifizierung wie FIDO2 oder Passkeys, ein durchgängiger Zero-Trust-Ansatz sowie eine stringente Umsetzung des Least-Privilege-Prinzips. Auf diese Weise wird verhindert, dass eine kompromittierte KI ihre Fähigkeiten gegen die eigene Infrastruktur oder interne Systeme einsetzt.
Deshalb funktioniert moderne Cyberabwehr mit KI besser
Moderne Cyberabwehr muss mit der Geschwindigkeit, Skalierbarkeit und Komplexität heutiger Angriffe Schritt halten. Genau hier verschiebt KI die Kräfteverhältnisse zugunsten der Verteidigung. Angreifer erzielen ein Tempo, für das menschliche Analyst*innen Tage benötigen würden. Bereits eine einzige Schwachstelle kann erheblichen Schaden verursachen. Verteidiger hingegen müssen jedes potenzielle Einfallstor erkennen und gegen modernste Angriffsdynamiken absichern. Ohne KI ist die Abwehr kaum mehr umsetzbar, insbesondere in komplexen IT- und OT-Umgebungen.
KI-gestützte Verfahren zur frühzeitigen Anomalie-Erkennung haben sich in der Abwehr hochkomplexer Angriffsmuster etabliert. Die daraus gewonnenen Erkenntnisse fliessen in zentralen Cyber-Threat-Intelligence-Plattformen ein, werden dort konsolidiert und für neue Anwendungsszenarien kontextualisiert und in automatisierte Threat-Hunting-Prozesse überführt. Ziel ist es, die Detektionsfähigkeit kontinuierlich zu schärfen, relevante Muster frühzeitig zu erkennen und Managed-Detection-and-Response-Umgebungen wirksam gegen modernste Angriffstaktiken abzusichern.
Ein wesentlicher Bestandteil dieser Verteidigungslogik ist das Human-AI-Teaming: ein klar strukturiertes Zusammenspiel menschlicher Expertise und KI-gestützter Analyse. Während KI-Systeme ihre Stärken bei Geschwindigkeit, Skalierbarkeit und der Erkennung von Mustern in grossen Datenmengen ausspielen, bringt der Mensch sein Kontextwissen, Erfahrung und ethisches Urteilsvermögen ein.
Wie KI die Incident Response beschleunigt und präzisiert
KI-basierte Incident Response ermöglicht es, Sicherheitsvorfälle deutlich schneller und gezielter zu analysieren. Indem die KI Root-Cause-Analysen automatisiert und Protokoll- und Sensordaten korreliert, entlastet sie die Analyst*innen im Security Operations Center (SOC). Dank der Vorarbeit von KI-Systemen erhält das SOC-Team innerhalb weniger Minuten einen Überblick, validiert Ergebnisse, überprüft Hypothesen und leitet, gestützt auf aktuellen Threat-Intelligence-Erkenntnissen, vertiefte Analysen ein.
Darüber hinaus unterstützt KI die operative Reaktion auf Sicherheitsvorfälle. Sie empfiehlt konkrete Massnahmen wie die Isolation kompromittierter Systeme, das Sperren gefährdeter Konten oder Zurücksetzen von Zugriffstokens. Diese Schritte können die Spezialist*innen im SOC unmittelbar auslösen und in Echtzeit umsetzen.
Im Zentrum des Human-AI-Teaming-Ansatzes steht dabei nicht der Ersatz menschlicher Expertise, sondern deren gezielte Stärkung. KI beschleunigt Analyse- und Entscheidungsprozesse und erhöht deren Präzision, während die Verantwortung und finale Entscheidung beim Menschen verbleiben.
Prognose: So entwickelt sich die Cyberabwehr 2026 weiter
Cyberabwehr ist auch 2026 gefordert. Die Verteidigung muss ihre Fähigkeiten der jeweils aktuellen Bedrohungslage anpassen und strategisch konsequent weiterentwickeln. Vor dem Hintergrund, dass Cyberkriminalität an Tempo gewinnt, KI-gestützte Malware zunimmt und Abhängigkeiten in Lieferketten noch stärker in den Fokus rücken, müssen Verteidigungsstrategien früher ansetzen, breiter wirken und stärker automatisiert sein – selbstverständlich ohne die Kontrolle aus der Hand zu geben.
Agentische KI ist in den vom Computer Security Incident Response Team (CSIRT) von InfoGuard bearbeiteten Vorfällen bislang noch nicht als unmittelbare Angreiferin in Erscheinung getreten. Die Auswirkungen sind jedoch deutlich spürbar.
Diese Dynamik wird sich 2026 weiter verschärfen. InfoGuard richtet ihre Cyberabwehr deshalb konsequent auf Human-AI-Teaming aus. Im Kern steht eine leistungsfähige KI-Plattform, ergänzt durch eine gezielt abgesicherte KI-Infrastruktur und die Integration ausgewählter Partnertechnologien.
Zentral ist, ausschliesslich kontrollierbare Technologien einzusetzen – eine Anforderung, die im KI-Umfeld besondere Bedeutung hat. Der Betrieb von KI-Modellen setzt Erklärbarkeit und Sicherheit entlang der gesamten Wertschöpfungskette voraus: von der Datenbasis über Training und Inferenz bis hin zur durchgängigen Kontrolle der Pipeline. Um Datenschutz- und Transparenzanforderungen zuverlässig zu erfüllen, setzt InfoGuard auf einen Mix aus eigenen und integrierten Plattformen mit klarer Governance und vollständiger Auditierbarkeit.
Wenn KI angreift: Cyberresilienz mit InfoGuard neu denken
KI-basierte Cyberangriffe bedrohen Organisationen aller Sektoren und Grössen stärker denn je. Sowohl ihre Anzahl als auch ihre Komplexität nehmen markant zu. Verantwortliche sind jetzt mehr denn je gefordert, bestehende Sicherheitsdispositive kritisch zu überprüfen, neu zu bewerten und konsequent weiterzuentwickeln.
InfoGuard begleitet Unternehmen, Betreiber kritischer Infrastrukturen und Behörden mit über 350 ausgewiesenen Sicherheitsexpertinnen und -experten.
So unterstützen Sie unsere SOC- und Threat-Intelligence-Teams:
- KI-gestütztes 24/7-Eyes-on-Glass-Monitoring aus eigenen SOCs in der Schweiz und Deutschland
- Proaktive Bedrohungserkennung und Musteranalyse zur Identifizierung subtiler und komplexer Angriffsmuster
- Profundes Experten- und Prozesswissen im SOC und CSIRT für vertiefte Analysen und wirksame Handlungsempfehlungen, bevor Schaden entsteht.
Cyberabwehr wirkt so nicht nur reaktiv, sondern vorausschauend als Grundlage für nachhaltige Resilienz im digitalen Zeitalter.
Entscheiden Sie heute, wie sicher Ihr Unternehmen morgen ist.
InfoGuard AG
Lindenstrasse 10
CH6340 Baar
Telefon: +41 (41) 7491900
https://www.infoguard.ch
Marketing Manager
Telefon: +41 (41) 74919-00
E-Mail: estelle.ouhassi@infoguard.ch
Incident-Response-Analysen in der VDI: Velociraptor scannt in Rekordzeit!
In digitalen Unternehmenslandschaften wächst die Abhängigkeit von «Virtual Desktop Infrastructure (VDI)»-Plattformen. Während einige Umgebungen auf nicht-persistente Sitzungen mit Golden-Image-Wiederherstellung setzen, speichern andere Benutzerdaten dauerhaft in VHDX-Dateien (Virtual Hard Disk v2) auf Remote-Servern – ein entscheidender Unterschied für die forensische Analyse.
Gerade in weitreichenden VDI-Umgebungen wie Citrix stellt diese Architektur einen Knackpunkt für Incident Response und Forensik und erschwert die Identifikation des initialen Angriffspunkts erheblich. VHDX-Dateien enthalten oft wertvolle forensische Artefakte wie NTUSER.DAT-Hives, welche Spuren der Programmausführung aufweisen können. Die manuelle Untersuchung wird jedoch bei mehreren tausend Benutzerprofilen ineffizient.
Die anschliessend präsentierte Methode zeigt, wie sich die forensische Analyse von VHDX-basierten Benutzerprofilen mit dem DFIR-Tool Velociraptor automatisieren lässt. Das Ziel: Forensische Untersuchungen effizient und zuverlässig zu skalieren, ohne die forensische Integrität zu beeinträchtigen.
Deshalb gilt VHDX als wertvoller Artefakt-Lieferant
VHDX ist ein Dateiformat, das eine virtuelle Festplatte repräsentiert und ein eigenes Partitionslayout sowie Dateisystem enthält. VHDX wird in VDI-Umgebungen häufig verwendet, um Benutzerdaten wie Roaming-Profil und NTUSER.DAT-Registry-Hive zu speichern.
Aus forensischer Sicht können VHDX-Dateien besonders wertvolle Artefakte enthalten, etwa Beweise für Programmausführungen über UserAssist sowie Persistenz-Mechanismen über Registry-Run-Keys, welche beide normalerweise in der NTUSER.DAT zu finden sind.
VDI-Plattformen speichern oft den Inhalt von «C:Users<Username>» in einer eigenen VHDX-Datei, wobei jedes Benutzerprofil als eigenständiges virtuelles Festplattenabbild betrachtet wird.
Velociraptor im Einsatz: So gelingt die automatisierte VHDX-Forensik
Velociraptor ist ein modernes, quelloffenes DFIR-Tool, das von zahlreichen Unternehmen verwendet wird, um Bedrohungen zu identifizieren, Artefakte zu sammeln und skalierbare Untersuchungen in grossen Unternehmensumgebungen durchzuführen.
In einem früheren Beitrag, gehen wir darauf ein, wie Velociraptor Artefakte erstellt und für die effiziente forensische Analyse eingesetzt wird.
Velociraptor unterstützt VHDX-Accessoren, die eine direkte Analyse von virtuellen Festplattenabbildungen ermöglichen. Dafür werden üblicherweise spezielle Artefakte für jeden Anwendungsfall benötigt, zum Beispiel für die Analyse von UserAssist oder Registry-Hives innerhalb einer gemounteten VHDX-Datei. Somit wäre für jede forensische Überprüfung ein spezifisches Artefakt nötig, das die VHDX-Struktur interpretieren kann.
Ein skalierbarerer Ansatz ist die Wiederverwendung existierender Velociraptor-Artefakte wie Windows.Registry.UserAssist oder Windows.Registry.NTUser ohne Anpassung.
Ziel dieser Forschung war es, genau dies zu ermöglichen: Die Verwendung nativer Artefakte bei der Analyse von in VHDX-basierten Benutzerprofilen gespeicherten Daten zu ermöglichen.
Dazu werden virtuelle Velociraptor-Clients genutzt: Instanzen, deren Umgebung auf eine bestimmte VHDX-Datei umgemappt ist und ähnlich wie Velociraptor im Deaddisk-Modus arbeitet. In diesem Beitrag nennen wir sie virtuelle Velociraptor-Clients.
Das Prinzip ist einfach: Ein virtueller Client läuft auf dem Dateiserver, auf dem die VHDX-Profile gespeichert werden, und seine Konfiguration wird so umgemappt, dass sie auf eine oder mehrere VHDX-Images zeigt. Dafür sind einige technische Schritte nötig, um eine zuverlässige Funktion zu gewährleisten.
«Wer VHDX-Analysen automatisiert, verschafft sich im Ernstfall den entscheidenden Zeitvorteil – und legt damit den Grundstein für eine erfolgreiche forensische Aufklärung.»
Vertiefen Sie Ihr technisches Know-how: Die ausführliche Schritt-für-Schritt-Anleitung in unserem «IG Labs»-Blog zeigt, wie Sie die technische Umsetzung meistern.
Forensische VHDX-Analysen nur am Offline-Profil? Unbedingt.
Alle Tests dieser Arbeit wurden bewusst an Offline-VHDX-Dateien durchgeführt, also an Profilen, die nicht mehr aktiv von Diensten wie Citrix oder Windows-Profilmanagement verwaltet werden, um die Datenintegrität und forensische Nachvollziehbarkeit sicherzustellen.
In Live-Umgebungen, in welchen VHDX-Profile noch im Einsatz oder gemountet sind, lohnt sich die Betrachtung der folgenden Risiken:
- Writeback-Konflikte: Wenn Velociraptor oder das Betriebssystem versucht, auf eine aktive VHDX-Datei zu schreiben, kann dies zu Datenkorruption oder Race Conditions führen.
- Profil-Sperrung: Manche Virtualisierungsplattformen sperren VHDX-Dateien während ihres Einsatzes, was Remapping verhindert oder zu Ausführungsausfällen führt.
- Systemperformance: Das Mounten und Scannen vieler VHDX-Dateien kann die Systemlast enorm erhöhen.
Empfehlungen für den sicheren Umgang mit VHDX-Profilen:
- Untersuchungen wenn möglich immer an Kopien der VHDX-Dateien durchführen.
- Nicht blind in Live-Citrix- oder VDI-Umgebungen einsetzen, ohne kontrolliert getestet zu haben.
- Mit kleinen Nutzergruppen starten und die Batchgrösse an die Ressourcen anpassen.
- Ressourcenverbrauch (I/O, Speicher, offene Handles) beim Skalieren auf viele Profile beobachten.
Forensik neu gedacht: Skalierbare Effizienz mit Velociraptor
Die entwickelte VHDX-Artefaktsuite für Velociraptor eröffnet neue Dimensionen in der digitalen Forensik. Sie ermöglicht eine skalierbare und effiziente Untersuchung von Benutzerprofilen, die in VHDX-Dateien gespeichert sind – und das mit bewährten Standard-Artefakten wie UserAssist- oder NTUSER.DAT-Parsern, ganz ohne Anpassung.
In unseren Tests liessen sich über 1’000 VHDX-Profile in weniger als einer Minute analysieren – bei gleichbleibend hoher forensischer Integrität und deutlich reduziertem Aufwand gegenüber herkömmlichen Verfahren. Das beschleunigt nicht nur die Triage, sondern entlastet auch Security-Teams in zeitkritischen DFIR-Situationen.
Zwar empfiehlt sich für den produktiven Einsatz eine schrittweise Validierung in Live-Umgebungen, doch das Ergebnis ist wegweisend: Forensische Untersuchungen werden planbarer, schneller und verlässlicher – ohne Kompromisse bei Präzision oder Sicherheit.
Fazit: Wer VHDX-Analysen automatisiert, gewinnt entscheidende Zeit im Ernstfall.
Algorithmus und Erfahrung kombiniert: Die Zukunft forensischer Präzision
Täglich setzt unser CSIRT-Team Velociraptor in komplexen Analysen ein – effizient, zuverlässig und forensisch präzise. Profitieren Sie von dieser Erfahrung und bringen Sie Ihre eigenen Untersuchungsprozesse auf das nächste Level – mit der Expertise eines ISO 27001:2022-zertifizierten Incident-Response-Teams.
InfoGuard AG
Lindenstrasse 10
CH6340 Baar
Telefon: +41 (41) 7491900
https://www.infoguard.ch
Marketing Manager
Telefon: +41 (41) 74919-00
E-Mail: estelle.ouhassi@infoguard.ch
ISG & NIS2 mit ISMS nach ISO 27001 umsetzen: 6 Schlüsselbranchen im Fokus
Das Informationssicherheitsgesetz (ISG) ist ein wichtiger Schritt zur Stärkung der Cyberresilienz. Das ISG verpflichtet Bundesbehörden, Drittparteien und Betreiber kritischer Infrastrukturen, ein Informationssicherheits-Managementsystem (ISMS) zu etablieren und Cyberangriffe innert 24 Stunden zu melden, sofern diese die Funktionsfähigkeit der Organisation gefährdet und zu schwerwiegenden Auswirkungen führen.
Diese Regelungen betreffen kritische Infrastrukturen wie Spitäler, Energieversorger, Transportunternehmen, viele weitere Sektoren und Bundesbehörden. Die Einführung eines ISMS nach dem internationalen Standard ISO/IEC 27001:2022 wird als Best Practice empfohlen, um die gesetzlichen Anforderungen zu erfüllen und gleichzeitig das Vertrauen von Kunden und Partnern zu stärken.
Rail & Transportation – Cybersicherheit im Schienenverkehr
Die CySec-Rail-Richtlinie des Bundesamts für Verkehr (BAV) verlangt von allen Eisenbahnunternehmen die Einführung eines ISMS. Die Richtlinie orientiert sich an ISO 27001 und legt den Fokus auf den Schutz von Steuerungs-, Signal- und Kommunikationssystemen.
Für Schweizer Unternehmen, die in der EU tätig sind oder mit EU-Partnern zusammenarbeiten, gilt zusätzlich die NIS2-Richtlinie der EU. Diese schreibt vor, dass Betreiber kritischer Transportinfrastrukturen ein ISMS einführen und Cybervorfälle innerhalb von 24 Stunden melden müssen.
Die Kernanforderungen:
- Risikomanagement zum Schutz von Stellwerken, Signalanlagen und Zugleitsystemen vor Cyberangriffen.
- Lieferketten-Sicherheit für Systematische Überprüfung der Cybersicherheit von Zulieferern und Dienstleistern.
- Nachweis der Compliance durch ISO 27001 oder IEC 62443.
- Notfallpläne! Entwicklung und regelmässige Überprüfung von Notfallplänen für den Cyberernstfall.
Gesundheitssektor – Schutz von Patientendaten und Systemen
Das Informationssicherheitsgesetz (ISG) sieht vor, dass Spitäler, Apotheken und Pflegeheime ein ISMS einführen müssen. Cyberangriffe, welche die Funktionsfähigkeit gefährden oder zu Datenabfluss führen, müssen innerhalb von 24 Stunden an das Bundesamt für Cybersicherheit (BACS) gemeldet werden.
Die Kernanforderungen:
- Risikomanagement, Durchführung von Schutzbedarfsanalysen für Patientendaten, IT-Systeme und medizinische Geräte.
- Meldepflicht! Einrichtung klarer Prozesse für die 24-Stunden-Meldepflicht an das BACS.
- Einführung eines ISMS nach ISO 27001:2022 zur Erfüllung der Compliance-Anforderungen und Stärkung des Vertrauens von Patienten und Partnern.
- Schulungen und regelmässige Sensibilisierung der Mitarbeiter für Cybersicherheitsrisiken.
Operational Technology (OT) – Sicherheit für industrielle Steuerungssysteme
Die NIS2-Richtlinie der EU und das schweizerische ISG verlangen die Einführung eines ISMS für Betreiber kritischer OT-Systeme, z.B. in der Energieversorgung, Wasseraufbereitung, etc. Es gilt eine 24-Stunden-Meldepflicht für Cyberangriffe.
Der internationale Standard IEC 62443 dient als Referenz für die Sicherheit industrieller Steuerungssysteme und wird in der Schweiz und der EU anerkannt.
Die Kernanforderungen:
- OT-Sicherheitsmassnahmen zum Schutz von Steuerungsnetzwerken durch Zugangskontrollen und regelmässige Sicherheitsaudits.
- Integration in ISMS der OT-Sicherheit in das übergeordnete ISMS (z.B. nach ISO 27001:2022).
- Meldepflicht! 24-Stunden-Meldepflicht von Cyberangriffen auf OT-Systeme.
- Dokumentation! Lückenlose Protokollierung aller Sicherheitsvorfälle und Massnahmen.
Kritische Infrastrukturen – Energie, Wasser, Finanzen und digitale Infrastruktur
Die NIS2-Richtlinie der EU und das schweizerische ISG verpflichten Betreiber kritischer Infrastrukturen zur Einführung eines ISMS, zur Durchführung regelmässiger Audits und zur Meldung von Cybervorfällen innerhalb von 24 Stunden. Die Anforderungen gelten für 18 kritische Sektoren, darunter Energie, Wasser und digitale Infrastruktur.
Die Kernanforderungen:
- Risikomanagement, Identifikation und Bewertung von Risiken für Verfügbarkeit, Integrität und Vertraulichkeit.
- Zertifizierung nach ISO 27001:2022 oder Branchenstandards wie IEC 62443 für OT.
- Lieferketten-Sicherheit, Systematische Überprüfung der Cybersicherheit von Partnern und Zulieferern.
- Kontinuierliche Verbesserung und regelmässige Überprüfung und Anpassung der Sicherheitsmassnahmen.
Banken, Versicherungen und öffentliche Verwaltungen: Hohe Standards für sensible Daten
Die FINMA setzt für Banken und Versicherungen klare Risikomanagement-Richtlinien voraus. Das ISG verpflichtet alle Bundesbehörden zur Einführung eines ISMS und zur Meldung von Cyberangriffen.
Die Kernanforderungen:
- Risikomanagement zum Schutz von Kundendaten, Finanztransaktionen und behördlichen Informationen.
- Ein ISMS nach ISO 27001:2022 wird empfohlen, um Compliance mit FINMA und ISG nachzuweisen.
- 24-Stunden-Meldepflicht!
- Interne Richtlinien! Entwicklung und Umsetzung interner Sicherheitsrichtlinien.
ISMS nach ISO 27001:2022 als strategische Notwendigkeit
Die Anforderungen aus ISG und NIS2 wie auch die 24-Stunden-Meldepflicht sind nicht nur gesetzliche Pflichten, sondern zugleich der Schlüssel zu einer zukunftsfähigen Sicherheitsstrategie. Ein ISMS nach ISO 27001:2022 ist der Goldstandard und schafft Transparenz, stärkt das Vertrauen von Kunden wie auch Partnern und reduziert Lieferkettenrisiken nachhaltig. Wer Informationssicherheit (ISMS) und Datenschutz (DSMS) in einem integrierten Managementsystem kombiniert, profitiert von höherer Effizienz, klaren Abläufen und messbarer Compliance.
Mit InfoGuard als Partner gewinnen Sie beides: Rechtssicherheit und Resilienz. Kontaktieren Sie uns, unsere Spezialist*innen unterstützen Sie bei der erfolgreichen Umsetzung der Massnahmen zu den gesetzlichen Vorlagen und entwickeln Ihre Sicherheitsarchitektur gemeinsam mit Ihnen weiter.
InfoGuard AG
Lindenstrasse 10
CH6340 Baar
Telefon: +41 (41) 7491900
https://www.infoguard.ch
Marketing Manager
Telefon: +41 (41) 74919-00
E-Mail: estelle.ouhassi@infoguard.ch
Begrenzte Ressourcen? Keine Ausrede für unzureichende Cyberabwehr.
Echtzeit-Alarm: Cyberangriffe auf Rekordniveau
Im ersten Halbjahr 2025 stieg die Zahl komplexer Cyberangriffe auf Schweizer Organisationen um satte 115 Prozent – ein Spitzenwert, der die Schweiz stärker trifft als ihre Nachbarländer. Gleichzeitig setzen fast 90 Prozent der Unternehmen auf automatisierte Prozesse mit KI-Unterstützung. Die Folge: Mit der rasant wachsenden Verbreitung von AI-Anwendungen verlieren heutige Sicherheitsaspekte zunehmend an Wirkung.
Auch die Praxis bestätigt den Trend. Das CSIRT von InfoGuard bewältigte bereits im ersten Halbjahr 184 Cybervorfälle. Zum Vergleich: Im Jahr 2024 bearbeitete das Incident-Response-Team 264 Vorfälle.
Angriffsziel Schweiz: Internationale Cyberbanden wittern das Big Business.
Wohlstand und Innovationskraft machen Schweizer Unternehmen besonders attraktiv für Cyberkriminelle. Trotz hoher Digitalisierung mangelt es in vielen Organisationen an Cyberreife – ein Vorteil, den Angreifer gezielt ausnutzen. Cyberkriminelle setzen auf den Faktor Mensch, suchen vergessene Entwicklungs- oder Testsysteme und manipulieren sogar Sicherheits-Tools, um unentdeckt zu bleiben.
Parallel dazu wachsen die blinden Flecken: Legacy-, Test- und Development-Systeme öffnen Einfallstore und geraten verstärkt ins Visier von Cyberkriminellen. Nur eine ganzheitliche Cyberabwehr mit vollständiger Sichtbarkeit über alle IT-, OT- und IoT-Umgebungen sowie kontinuierlicher Innovation sichert langfristige Wettbewerbsfähigkeit.
Deshalb wirkt KI als Treiber für massentauglichen Cybercrime
Generative KI-Medelle verschieben das Kräfteverhältnis zwischen Angriff und Verteidigung radikal. Denn KI senkt die Wissensdefizite bei Cyberkriminellen massiv und stattet sie mit hochentwickelten, verhaltensbasierten Werkzeugen aus.
Statt spezialisierter Hackerteams reicht heute ein KI-Sprachmodell, um täuschend echte Phishing-Kampagnen, Schadsoftware oder Deepfakes zu erstellen. Hinzu kommen CEO-Fraud, Spearphishing und Ransomware-as-a-Service – ein Geschäftsmodell, das selbst wenig technikaffinen Tätern Angriffe ermöglicht.
Cybercrime setzt mit KI-basierten Angriffsmethoden neue Massstäbe in Tempo und Täuschungskraft. Genau hier entscheidet sich, wer vorbereitet ist: Strategie, Innovation, klare Prozesse und smartes Know-how bilden das Fundament, während regelmässige Penetrationstests, offensive Forschung und enge Partnerschaften diese wirksam ergänzen. So entsteht ein nachhaltiger Innovationsvorsprung und echte Widerstandsfähigkeit.
Strategie und digitale Intelligenz: So überlisten Sie Hacker!
Cyberkriminelle brauchen nur eine einzige Schwachstelle, während Verteidiger alle potenziellen Lücken absichern müssen. Diese Asymmetrie macht deutlich: Organisationen brauchen smartere Mittel als die Angreifer. Wirksame Cyberabwehr erfordert deshalb das Zusammenspiel von innovativer Technologie, etablierten Prozessen und menschlicher Expertise – klassische Schutzmechanismen allein reichen nicht mehr.
Entscheidend sind eine durchgehende 24/7-Überwachung, KI-gestützte Detektion und sofortige Reaktion. Ein Security Operations Center (SOC) mit integriertem Computer Security Incident Response Team (CSIRT) bietet genau das – inklusive Pre-Breach-Aktivitäten, die Angriffe stoppen, bevor Schaden entsteht.
Die kommenden Jahre werden Organisationen aller Grössen – insbesondere KMU – stark fordern. Klassische Abwehrmechanismen stossen an Grenzen, während generative KI den digitalen Wettlauf verschärft und die Lücke zwischen Angriff und Verteidigung weiter vergrössert. Fundierte Threat Intelligence und entschlossenes Handeln sind jetzt unerlässlich, um Widerstandskraft und Handlungsfähigkeit sicherzustellen.
Cyberfit trotz knapper Ressourcen: 4 Handlungsempfehlungen stärken Ihre Resilienz
Begrenzte Mittel sind kein Hindernis: Mit einer ganzheitlichen Sicherheitsstrategie wird Cyberresilienz zum wirksamen Schutzschild gegen Bedrohungen.
Diese vier Massnahmen sind ausschlaggebend:
- Threat Intelligence: Bedrohungen frühzeitig erkennen und einordnen.
- Innovative Technologien: KI-gestützte Angriffserkennung und sofortige Reaktion.
- SOC & CSIRT: 24/7-Überwachung und Incident-Response durch Expert*innen.
- Entschlossenes Handeln: Klare Abläufe und schnelle Entscheidungen im Ernstfall.
Wo interne Ressourcen fehlen, sichern externe Cyber-Security-Services die essenziellen Werte: Reputation, Innovationskraft und Wettbewerbsfähigkeit. InfoGuard setzt auf zwei dedizierte SOC in der Schweiz und in Deutschland, betrieben von über 90 erfahrenen SOC- und CSIRT-Spezialist*innen. Ob Managed oder Co-Managed SOC: unsere offene XDR-Architektur, ISO-27001-Zertifizierung und Mitgliedschaften wie FIRST garantieren maximale Sicherheit im 24/7-Live-Betrieb.
So schützen Sie Ihr Unternehmen wirkungsvoll, bevor aus einer Schwachstelle ein sicherheitskritischer Vorfall entsteht und schaffen zugleich dauerhafte Resilienz. Kontaktieren Sie uns und lassen Sie sich praxisnah und mit erprobter Expertise auf dem Weg zu maximaler Sicherheit begleiten.
InfoGuard AG
Lindenstrasse 10
CH6340 Baar
Telefon: +41 (41) 7491900
https://www.infoguard.ch
Marketing Manager
Telefon: +41 (41) 74919-00
E-Mail: estelle.ouhassi@infoguard.ch
Beyond TTX: Durch Cyber-Threat-Simulationen zur strategischen Resilienz
Stellen Sie sich vor: Montagmorgen, 06:00 Uhr. Die IT-Infrastruktur verhält sich plötzlich ungewöhnlich. Mehrere Systeme sind nicht erreichbar, der E-Mail-Verkehr bricht ein, VPN-Verbindungen brechen ab oder geraten ins Stocken. Gleichzeitig meldet der Helpdesk: «Das System ist langsam – oder ganz weg.»
Sind Sie angegriffen worden? Vielleicht. Doch möglicherweise handelt es sich auch um eine realitätsnahe Inszenierung, die den Ernstfall simuliert: Eine Cyber-Threat-Simulation unter kontrollierten Bedingungen, die sämtliche Rollen umfasst. Ein echter Erkenntnisgewinn!
Simulation statt TTX: So trainieren zentrale Rollen für den Ernstfall
Eine Cyber-Threat-Simulation ist eine realistische, aber meist nicht-technische Cyberkrisenübung, die weit über ein einfaches Tabletop Exercise (TTX) hinausgeht.
Im Mittelpunkt einer diskussionsbasierten Simulation stehen die tatsächlichen operationellen Entscheidungsprozesse, die Kommunikation sowie die Koordination auf allen Ebenen der Organisation – sie geht weit über eine Diskussionsrunde und Dokumentenbesprechung hinaus.
Dafür vertreten Repräsentantinnen und Repräsentanten verschiedener Unternehmensbereiche – von IT, Management und Kommunikation über Security, Betriebsführung und Recht bis hin zu Partnern, Lieferanten und Dienstleistern – ihre Rollen und spielen gemeinsam ein komplexes Bedrohungsszenario durch. So wird sichtbar, wie die Organisation auf eine komplexe Cyberbedrohung reagiert.
Feuerprobe für die Cyber Defence: Lernen aus dem Ernstfall
In einer unserer jüngsten Simulationen wurde ein mehrstufiges Angriffsszenario durchgespielt:
- 06:00 (simuliert): Ein Mitarbeitender klickt ahnungslos auf einen Link in einem Phishing-Mail, kurz darauf ist eine Schadsoftware unbemerkt aktiv.
- 09:00: Vermeintliche Angreifer bewegen sich durch das interne Netzwerk, sammeln Berechtigungen und greifen sensible Systeme an.
- 10:00: Während das IT-Team plötzlich mit einem DDoS-Angriff auf die externe Infrastruktur kämpft, erfolgt im Hintergrund eine gezielte Daten-Exfiltration.
Die Situation eskaliert – und genau das ist der Punkt! Denn in der Übung darf es krachen, jedoch keinesfalls im echten Cyber Threat! Schliesslich gilt das für eine positive Fehlerkultur zentrale Statement: «Scheitern ist erlaubt, aber nur in der Simulation.»
Was im Krisenmodus funktionierte:
- Rollen und Eskalationspfade waren teilweise bekannt und wurden genutzt.
- Die technische Lageeinschätzung funktionierte, zumindest auf Abteilungsebene.
- Es wurde aktiv kommuniziert – auch unter Druck.
Pain Points, die im Krisenmodus sichtbar wurden:
- Wer genau die externe Kommunikation freigibt, war unklar.
- Entscheidungen wurden teils verzögert oder zu spät getroffen.
- Die parallele Verarbeitung mehrerer Bedrohungslagen (DDoS + Daten-Exfiltration) überforderte viele Beteiligte.
- OT- und andere Fachabteilungen wurden zu spät einbezogen.
Was dabei gelernt wurde:
Entscheidungswege, Kommunikationsstrukturen und die Zusammenarbeit zwischen den Teams müssen optimiert, das Verständnis und die Zusammenarbeit intensiviert werden.
Cybersimulation: Diese 6 Rollen entscheiden über Resilienz und Krisenmanagement
Im Ernstfall greifen Policies zu kurz. Erst eine realistische Simulation zeigt auf, dass Resilienz weit über technische Schutzmassnahmen hinausgehen muss.
Eine praxisnahe Simulation beleuchtet folgende sechs Rollen:
- IT: Erkennung allein reicht nicht – Reaktion zählt
- Management: Entscheidungen unter Unsicherheit trainieren
- Kommunikation: Wer spricht mit wem – und wann?
- Betrieb: Prozesse kritisch hinterfragen, bevor es brennt
- Partner & Lieferanten: Externe Zusammenarbeit und Abhängigkeiten verstehen
- Legal & Compliance: Rechtliche und regulatorische Anforderungen einhalten
Simulieren ohne Risiko statt Kontrollverlust im Rechenzentrum
Ein durchdachter Cyber-Threat-Stresstest macht sichtbar:
- Wo Silos stehen und wo Lücken klaffen.
- Wo Dokumente zwar existieren, aber nicht allen bekannt sind.
- Wo Menschen unter Druck improvisieren oder erstarren.
Genau deshalb lohnt sich das Training! Es ist der Probelauf für den Ernstfall: Wer regelmässig übt, ist in der Krisensituation gewappnet.
Simulationen sind somit kein Nice-to-have, sondern eine grundlegende Voraussetzung für Resilienz. Sie gelten für alle Organisationen – ob Grossunternehmen oder KMU – mit digitalen Kernprozessen, Kundendaten, kritischer Infrastruktur oder hohem Reputationsrisiko.
Der angekündigte Belastungstest zeigt:
- Wo die Vorbereitung trägt.
- Wo Optimierung dringend notwendig ist.
- In welchen Bereichen bereits echte Resilienz vorhanden ist.
Sie überlegen, wie die Übung einer Cyberkrise für Ihr Unternehmen aussehen könnte? Dann starten Sie mit einer simplen Frage: «Wer weiss bei uns, was zu tun ist – wenn plötzlich niemand mehr versteht, was los ist?».
Sollten Sie diese Frage nicht eindeutig beantworten können, ist jetzt der richtige Zeitpunkt, eine Simulation gemeinsam mit erfahrenen Expertinnen und Experten vorzubereiten.
Deshalb sind Cyber-Threat-Simulationen mit InfoGuard sinnvoll
Eine strategisch durchdachte Simulation ist weit mehr als eine Pflichtübung. Sie ist zentraler Hebel für Widerstandsfähigkeit und echte Cybersicherheit gegen den Worst Case.
Weshalb sind Simulationen von Vorteil?
- Simulationen stärken die Widerstandsfähigkeit Ihres Teams,
- decken Schwachstellen im Krisenmanagement auf und
- fördern gemeinsames, lösungsorientiertes Handeln.
Stärken Sie die Resilienz Ihres Unternehmens und fördern Sie eine offene Fehlerkultur.
Profitieren Sie von Tabletop Exercises (TTX) und entwickeln Sie dabei praxiserprobte Strategien und Abläufe – von der strategischen Krisenorganisation bis zur operativen Wiederherstellung.
Ob für den Krisenstab, die technische IT-Notfallorganisation oder im Rahmen eines Management-Workshops: Bereiten Sie Ihr Unternehmen auf reale Krisenszenarien vor. Kontaktieren Sie uns, unsere Tabletop-Spezialist*innen sind für Sie da.
InfoGuard AG
Lindenstrasse 10
CH6340 Baar
Telefon: +41 (41) 7491900
https://www.infoguard.ch
Marketing Manager
Telefon: +41 (41) 74919-00
E-Mail: estelle.ouhassi@infoguard.ch
