Cyber-Risk Wochenbrief – 7. September 2026

Zeitraum: 1.–7. September 2026. Zwei Entwicklungen sind diese Woche besonders relevant: In Berlin ist aus der Erpressungsdrohung eine tatsächliche Veröffentlichung sensibler Daten geworden. Gleichzeitig treten in wenigen Tagen erstmals operative Meldepflichten des EU Cyber Resilience Act in Kraft.

1. Berlin: Gestohlene Daten und Zugangsdaten veröffentlicht

Bestätigte Fakten: Am 4. September 2026 bestätigte das Land Berlin die Veröffentlichung gestohlener Verwaltungsdaten. Daraufhin wurde am 5. September eine zentrale Steuerungseinheit unter Leitung des Chief Digital Officer eingerichtet. Sie koordiniert die Auswertung, die Information Betroffener sowie die Weitergabe sicherheitsrelevanter Erkenntnisse an Landes- und Bundesstellen.

In der Nacht zum 6. September veröffentlichten die Täter ein weiteres Datenpaket, das laut Senatskanzlei auch Zugangsdaten enthält. Schutzmaßnahmen wurden deshalb nachgeschärft; dadurch können erneut Einschränkungen bei Fachverfahren der Bauverwaltung entstehen. Mitteilung vom 4. September, Steuerungseinheit vom 5. September, weiteres Datenpaket vom 6. September

Einordnung: Der Schaden entwickelt sich weiter, obwohl die betroffenen Verwaltungen bereits wieder an das Landesnetz angeschlossen waren. Veröffentlichte Zugangsdaten können neue Angriffe, Identitätsmissbrauch, gezieltes Phishing und Angriffe auf verbundene Systeme ermöglichen. Schutzmaßnahmen nach einem Leak können daher selbst erneut Betriebsunterbrechungen auslösen.

Konsequenz für Makler und Kunden:

  • Nach einem Datenabfluss reicht es nicht, Passwörter einzelner Konten zu ändern. Zu prüfen sind auch technische Schlüssel, Dienstkonten, Schnittstellen, Zertifikate, Fernzugänge und Zugangsdaten externer Dienstleister.
  • Cyberpolicen sollten Kosten für fortlaufende Forensik, Credential-Rotation, Krisenkommunikation, Betroffeneninformation und präventive Systemabschaltungen erfassen.
  • Bei Betriebsunterbrechung ist zu klären, ob auch eine vorsorgliche Abschaltung beziehungsweise Einschränkung aufgrund eines bereits erkannten Sicherheitsrisikos gedeckt ist.
  • Kommunale Notfallpläne müssen eine zweite Krisenphase nach dem Wiederanlauf vorsehen: Veröffentlichung, Missbrauch und Folgeschäden können erst Wochen später beginnen.
  • Für eine mögliche Organhaftung ist entscheidend, ob nach Bekanntwerden der Veröffentlichung angemessen reagiert und jede wesentliche Entscheidung dokumentiert wurde. Die Datenveröffentlichung allein beweist noch keine Pflichtverletzung.

2. EU Cyber Resilience Act: Meldepflichten starten am 11. September

Bestätigte Fakten: Ab 11. September 2026 gilt Artikel 14 des Cyber Resilience Act. Hersteller von Produkten mit digitalen Elementen müssen aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle melden.

Vorgesehen sind:

  • Frühwarnung innerhalb von 24 Stunden
  • vollständige Meldung innerhalb von 72 Stunden
  • Abschlussbericht bei Schwachstellen spätestens 14 Tage nach Verfügbarkeit einer Gegenmaßnahme beziehungsweise bei schweren Vorfällen innerhalb eines Monats

Die Meldung erfolgt über die von ENISA betriebene Single Reporting Platform. Die übrigen wesentlichen Produktpflichten des CRA gelten überwiegend erst ab Dezember 2027. EU-Kommission zu den Meldepflichten, ENISA zur Meldeplattform, Verordnung (EU) 2024/2847

Einordnung: Erstmals wird das Wissen über eine aktiv ausgenutzte Produktlücke selbst zum fristgebundenen regulatorischen Ereignis. Betroffen sein können nicht nur klassische Gerätehersteller, sondern auch Anbieter kommerzieller Software und digitaler Komponenten.

Konsequenz für Makler und Kunden:

  • Bei Herstellern und Softwareanbietern sofort klären, wer über die Einstufung eines Vorfalls entscheidet und wer die 24-Stunden-Meldung auslöst.
  • Produkthaftpflicht, Cyber-, Rückruf- und D&O-Deckung gemeinsam betrachten. Ein Vorfall kann gleichzeitig Produktfehler, Eigenschaden, Kundenschaden und Managementvorwurf auslösen.
  • Deckungsfragen zu behördlichen Verfahren, Meldeberatung, Krisenkosten und Ansprüchen von Abnehmern ausdrücklich prüfen.
  • Kommunen und Unternehmen sollten von Anbietern vertraglich verlangen, über relevante CRA-Meldungen und verfügbare Sicherheitsmaßnahmen unverzüglich informiert zu werden.
  • Der Maklerbetrieb selbst fällt nicht allein wegen der Nutzung von Software unter die Herstellerpflichten. Relevant wird der CRA insbesondere bei selbst entwickelten oder unter eigenem Namen angebotenen digitalen Produkten.

3. EU stellt 96 Millionen Euro für Cyberresilienz bereit

Bestätigte Fakten: Das Europäische Kompetenzzentrum für Cybersicherheit eröffnete am 1. September 2026Förderaufrufe über insgesamt bis zu 96 Millionen Euro. Davon sind unter anderem 20 Millionen Euro für KI-gestützte Cyberlösungen für KMU und 15 Millionen Euro für koordinierte Sicherheitstests kritischer Einrichtungen vorgesehen. Einreichungen sind bis 14. Januar 2027 möglich. ECCC-Ausschreibung vom 1. September

Einordnung: Das ist kein unkomplizierter Zuschuss für den Kauf einer einzelnen Cyberversicherung. Für öffentliche Stellen, Technologiepartner und geeignete Konsortien können jedoch geförderte Penetrationstests, Übungen und Resilienzprojekte entstehen.

Makler-Implikation: Bei größeren Kommunal- und Unternehmenskunden lohnt sich die Frage, ob geplante Cyberübungen oder Resilienzprojekte mit IT-Partnern förderfähig strukturiert werden können. Versicherung und Förderung erfüllen unterschiedliche Aufgaben: Förderung finanziert Prävention, Versicherung trägt definierte Restrisiken.