Praxiswissen aus der Compliance-Welt — von unseren Beratern für Sie.
Sieben Einträge ins Stammbuch der Prüfer: Was Zertifizierungsstellen und Auditoren nach dem GUTcert-Vorfall an ihrer eigenen Praxis ändern müssen.
OpenKRITIS mappt die NIS2-Durchführungsverordnung auf C5:2026 und ISO 27001. Was die Zuordnung leistet, wo beide Normen keine Entsprechung bieten.
Zeigen statt verschicken: Sechs Stellen im Zertifizierungszyklus, an denen Sie gegensteuern können – plus zehn Fragen an Ihre Zertifizierungsstelle.
Löschkonzept-Serie Teil 3: Das Prüfschema für Betroffenenanfragen, das Mapping ins ISMS und was ein Auditor auf drei Stufen tatsächlich sehen will.
640 GB Daten bei einer Zertifizierungsstelle abgeflossen, darunter womöglich Netzpläne und Auditfeststellungen. Eine nüchterne Einordnung des Risikos.
Löschkonzept-Serie Teil 2: Backups und Logfiles als eigene Datenarten mit eigenem Zweck. Was die Aufsicht wirklich verlangt, jenseits der fünf Bedingungen.
ENISA zählt 124 hacktivistische OT-Behauptungen – die meisten sind heiße Luft. Der Wiper-Angriff auf Polens Energieversorger zeigt, worauf es ankommt.
Löschkonzept-Serie Teil 1: Warum das Inventar nach Datenarten statt nach Systemen aufgebaut werden muss – und wo die meisten Konzepte im Audit scheitern.
Wiederkehrende Feststellungen sind fast nie ein Wissensproblem. Was BSIG und ISO 27001 wirklich verlangen – und warum NIST gerade nachzieht.
Simulierte Zutrittsversuche sind der belastbarste Awareness-Wirksamkeitsnachweis – aber ohne Regelwerk gehen sie schief. Golden Rule, Mitbestimmung, Scope.
CADA gilt frühestens 2029, die Entscheidungen darüber fallen in der Energiewirtschaft aber jetzt. Ein Planungsauftrag mit unbequemem Fälligkeitsdatum.
Das OLG Hamm rechnet Chatbot-Aussagen dem Betreiber zu. Für die Geschäftsleitung zählt aber die Beweislastfrage: Womit belegen Sie Ihre Sorgfalt?
Warum interne Audits und Managementbewertung über den Zertifizierungserfolg entscheiden – und wie Sie die Herbstsaison rückwärts vom Audittermin planen.
C5-Testat konkret: Typ 1 vs. Typ 2, Übergangsfrist bis 1. Juni 2027 – und Empfehlungen für Anbieter und Nutzer – Teil 3 unserer Serie zum BSI C5:2026.
A5-Konsultation, CRA-Meldepflicht, E-Evidence, BSIG-Änderung, C5-Fristen: Der Regulierungskalender kennt keine Sommerpause. Ein Aufräumplan für die nächsten Wochen.
Kapitel 5 des C5:2026 im Detail: 622 Kriterien in 17 Bereichen, dazu die Standard-Verwandtschaft von ISO 27001 bis NIS-2 – Teil 2 der Serie.
OWASP Top 10 for Agentic AI 2026 im ISMS-Blick: Was das Risikoframework für ISO 27001, NIS-2 und Ihr Risikomanagement bedeutet – plus fünf Sofortmaßnahmen.
CRA macht die SBOM zur Pflicht, NIS2 und DORA verlangen sie faktisch. Seit Juli 2026 neue internationale Baseline – für Käufer, SaaS-Nutzer und Eigenentwickler.
Der neue BSI-Kriterienkatalog C5:2026 ist da. Wen er verpflichtet, was sich gegenüber C5:2020 ändert und welche Fristen jetzt zählen – Teil 1 unserer Serie.
Bilanz des PQC-Sommer-Sprints: Was nach zehn Quick Wins erreicht ist, was noch fehlt – und wie daraus ein tragfähiges PQC-Programm wird.
Sommer-Sprint Cloud-Sicherheit, das Resümee: Zehn Wochen, zehn Schritte — und ein Unternehmen, das seine Cloud-Landschaft besser im Griff hat als zuvor. Wir ziehen Bilanz, ordnen das Erreichte in C5:2026 ein und zeigen, wie aus dem Sprint dauerhafte Routine wird.
Die neuesten Entwicklungen bei Europol und der US-Cybersicherheit haben erneut die Diskussion um Datenschutz und Cybersicherheit befeuert. Wir erklären, was das für Unternehmen bedeutet.
Die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) hat neue Empfehlungen für den Umgang mit Cookie-Bannern vorgelegt. Erfahren Sie, was dies für Unternehmen bedeutet.
Vier Vorschläge in drei Wochen wollen dasselbe: eine Stelle, die Frontier-KI prüft. Warum Europa die beste Antwort hat – und sie gerade nicht ausspielt.
Das BSI hat den A5-Prüfkatalog für vertrauenswürdige KI als Community Draft vorgelegt. Konsultation bis 31. August 2026 – Überblick und Mitwirkungshinweise.
Quick Win 10: Kürzere Zertifikatslaufzeiten sind gelebte Krypto-Agilität. Wie Sie sie verkürzen, ohne die operative Last zu erhöhen.
Sommer-Sprint Cloud-Sicherheit, Woche 10: Wenn ein Konto übernommen wird oder Daten verschwinden, entscheidet die erste Stunde. Wie Sie einen schlanken Notfallplan erstellen, der festhält, wer was tut, wen man anruft — und der auch funktioniert, wenn die Cloud gerade nicht erreichbar ist.
AI Act, NIS-2, CRA, DORA – im Sommer 2026 zeigt sich, wie das EU-Regulierungsmodell an sich selbst arbeitet. Eine kritische Zwischenbilanz.
Quick Win 9: TLS, S/MIME, Code-Signing, Geräte-Identitäten – wie Sie ein belastbares Zertifikats-Inventar aufbauen, ohne ein Discovery-Tool zu kaufen.
Sommer-Sprint Cloud-Sicherheit, Woche 9: Konten ausgeschiedener Mitarbeiter, vergessene Test-Logins, nie deaktivierte Praktikantenzugänge — sie alle sind offene Türen. Wie Sie verwaiste Konten aufspüren und das Offboarding so regeln, dass keine neuen entstehen.
Am 2. August 2026 wird der EU AI Act ernst: Hochrisiko-KI, Transparenzpflichten, Deployer-Regeln. Was auch „normale" Unternehmen jetzt umsetzen müssen.
Quick Win 8: Backups sind die langlebigsten Datenkopien im Unternehmen. Symmetrische Verschlüsselung quantensicher konfigurieren, Schlüsselhülle härten.
Sommer-Sprint Cloud-Sicherheit, Woche 8: Wer nicht protokolliert, merkt einen Einbruch oft erst Monate später — oder gar nicht. Wie Sie die Audit-Protokolle Ihrer Cloud-Dienste einschalten, sinnvolle Alarme einrichten und für den Ernstfall vorsorgen, ohne in Daten zu ertrinken.
Aktuelle Entwicklungen in der Datenschutzlandschaft und die Auswirkungen auf Unternehmen, insbesondere im Zusammenhang mit Webseiten-Scraping und generativer KI.
In diesem Blog-Beitrag werden wir uns mit den neuesten Entwicklungen im Datenschutzrecht auseinandersetzen und erklären, was sie praktisch bedeutet. Erfahren Sie mehr über die Identifizierung personenbezogener Daten, die Überarbeitung der DSGVO und die Neudefinition von 'personenbezogenen Daten'.
Quick Win 7: Microsoft 365, AWS und Co. tragen einen Großteil Ihrer Krypto-Last. Welche Fragen Sie stellen und wie Sie die Antworten prüffähig ablegen.
Sommer-Sprint Cloud-Sicherheit, Woche 7: Offene Freigabe-Links, externe Gäste von vorgestern, „für alle sichtbar" eingestellte Ordner — über die Jahre sammeln sich stille Datenlecks an. Wie Sie Freigaben systematisch zurückholen und Zugriffe auf das Nötige begrenzen.
Quick Win 6: VPN-Gateways sind die langlebigsten Krypto-Tunnel im Unternehmen. Wie Sie klären, was Ihr Anbieter heute kann und was geplant ist.
Sommer-Sprint Cloud-Sicherheit, Woche 6: „Liegt doch in der Cloud, ist also gesichert" — ein gefährlicher Irrtum. Warum Sie Ihre Cloud-Daten eigenständig sichern müssen, wie Sie die Wiederherstellung einmal proben und warum eine Exit-Strategie dazugehört.
Weniger Datenschutz-Bürokratie ohne Absenkung des Schutzniveaus: Wie Frankreich, Luxemburg, Estland und Spanien es vormachen — fünf Säulen für Deutschland.
Quick Win 5: OpenSSH bietet seit Version 9 quantenresistenten Schlüsselaustausch – aktiviert ist er selten. Server und Clients in einer Stunde umstellen.
Sommer-Sprint Cloud-Sicherheit, Woche 5: In der Cloud sichert der Anbieter die Plattform — den Rest verantworten Sie. Wie Sie mit einer einfachen Matrix festhalten, wer was absichert, und so die gefährlichen Zuständigkeitslücken sichtbar machen.
Quick Win 4: Mit aktuellen Webservern wird die eigene Website zur quantenresistenten Gegenstelle – oft per Konfigurationsklick, von Cloudflare bis nginx.
Sommer-Sprint Cloud-Sicherheit, Woche 4: Ein C5-Testat ist der belastbarste Nachweis dafür, dass ein Cloud-Anbieter seine Hausaufgaben macht. Wie Sie Testate gezielt anfordern, das Deckblatt überwinden und die für Sie wichtigen Stellen im Prüfbericht finden.
Die NIST Cybersecurity hat neue Leitlinien für die Produkt-Sicherheit im IoT veröffentlicht. Wir erklären, was dies für Unternehmen bedeutet und wie sie sich auf die neuen Anforderungen vorbereiten können.
Quick Win 3: Moderne Browser sprechen längst hybrides ML-KEM – wenn sie aktuell und richtig konfiguriert sind. Die Flotte in einer Woche PQC-ready.
Sommer-Sprint Cloud-Sicherheit, Woche 3: Administratorkonten sind die Kronjuwelen jeder Cloud-Umgebung. Wie Sie überflüssige Rechte aufräumen, das Prinzip der minimalen Berechtigung umsetzen und das tägliche Arbeiten vom Administrieren trennen.
Das BSI mahnt Unternehmen zur Registrierung bei NIS2, Schwachstellen in FortiSandbox werden angegriffen und ein Rechtsstreit um eine Sendung von Jan Böhmermann sorgt für Aufmerksamkeit. Welche Auswirkungen haben diese Entwicklungen auf die Informationssicherheit?
Ein Überblick über aktuelle Entwicklungen in der Informationssicherheit, einschließlich Urteilen und Datenschutzvorfallen, die Unternehmen vor Herausforderungen stellen.
Der Einsatz von Künstlicher Intelligenz (KI) in der öffentlichen Verwaltung wirft datenschutzrechtliche Bedenken auf. Unternehmen müssen sich auf die möglichen Folgen vorbereiten und ihre Daten und Systeme schützen.
Quick Win 2: SHA-1 und MD5 sind klassisch gebrochen und tauchen häufiger auf als die IT vermutet. Wie Sie sie systematisch aufspüren und ersetzen.
Sommer-Sprint Cloud-Sicherheit, Woche 2: Gestohlene Passwörter sind die häufigste Eintrittstür in Cloud-Konten — und MFA schließt sie zuverlässig. Wie Sie Zwei-Faktor-Schutz flächendeckend ausrollen, ohne Ihr Team zu verärgern.
Die Bundesregierung plant die Abschaffung des Datenschutzbeauftragten bis Ende 2026. Was bedeutet dies für Unternehmen? Welche Auswirkungen hat dies auf die Datenverarbeitung, Compliance und Cybersicherheit?
Quick Win 1: In einem Arbeitstag zur belastbaren Übersicht über die eingesetzten kryptografischen Verfahren – mit kostenlosen Tools und einer Tabelle.
Sommer-Sprint Cloud-Sicherheit, Woche 1: Bevor Sie irgendetwas absichern, müssen Sie wissen, was Sie überhaupt nutzen. Wie Sie in einer Stunde ein belastbares Cloud-Inventar erstellen — inklusive der Schatten-IT, die niemand offiziell beschafft hat.
Auftakt zum PQC-Sommer-Sprint: Zehn sofort umsetzbare Schritte heben das Krypto-Niveau im Mittelstand – ohne formales Migrationsprojekt.
Zehn Wochen, zehn konkrete Quick Wins: Wir nehmen den überarbeiteten BSI-Kriterienkatalog C5:2026 zum Anlass für einen Sommer-Sprint, der sich an Cloud-Nutzer im Mittelstand richtet. Jeden Montag ein Schritt, den Sie ohne großes Projekt selbst umsetzen können.
Fast jedes Unternehmen verlässt sich täglich auf Open-Source-Software — auch bei sicherheitskritischen Funktionen. Doch viele dieser Projekte werden von wenigen, oft unbezahlten Maintainern getragen. Wer sie finanziell unterstützt, stärkt indirekt die eigene Cybersicherheit.
Die G7-Staaten haben unter Federführung des BSI eine Richtlinie für eine „SBOM for AI" veröffentlicht. Sie schafft Transparenz über Modelle, Trainingsdaten und Abhängigkeiten — und sollte für Unternehmen, die KI einsetzen, zum festen Bestandteil der Cybersicherheit werden.
Die Frist zur NIS-2-Registrierung beim BSI ist verstrichen, doch nur ein Bruchteil der betroffenen Unternehmen hat sich gemeldet. Der häufigste Irrtum: „Wir sind doch keine kritische Infrastruktur." Warum auch Industrie, Lebensmittel und Co. betroffen sein können.
Die Verwendung von synthetischen Daten in der künstlichen Intelligenz (KI)-Entwicklung bringt Vorteile wie verbesserte Qualität und Effizienz, aber auch neue Herausforderungen für den Datenschutz.
Mit C5:2026 hat das BSI seinen Kriterienkatalog für sicheres Cloud-Computing grundlegend überarbeitet: 168 statt 121 Kriterien, neue Themen wie Post-Quantum-Kryptografie und Lieferkettensicherheit. Warum der Katalog nicht nur Cloud-Anbieter, sondern auch Cloud-Nutzer angeht.
NIS-2 schreibt Kryptografie verbindlich vor — anders als das ISMS nach ISO 27001. Gleichzeitig stellt die Post-Quantum-Ära die gesamte klassische Verschlüsselung in Frage. Wer jetzt handelt, schlägt zwei Fliegen mit einer Klappe.
Unternehmen mit einem Qualitätsmanagementsystem nach ISO 9001 haben bei der Implementierung eines ISMS nach ISO 27001 erhebliche Vorteile. Welche Synergien es gibt und wie Sie diese nutzen.
Die NIS2-Richtlinie ist in Kraft — und betrifft deutlich mehr Unternehmen als die Vorgängerregelung. Ein Überblick über die wichtigsten Anforderungen und konkrete Schritte zur Umsetzung.
Der Weg zur ISO-27001-Zertifizierung ist anspruchsvoll. Diese fünf häufigen Fehler sehen wir immer wieder — und so umgehen Sie sie.
Datenschutz und IT-Sicherheit werden in vielen Unternehmen getrennt behandelt. Dabei gibt es erhebliche Synergien — besonders bei der Umsetzung von ISO 27001 und DSGVO.