← Zurück zum Blog

EU-Chips-Act-Umsetzungsdialog, Dell & HP liefern quantenresistente Sicherheit, PwC warnt: KI beschleunigt Angriffe, GitHub erweitert KI-Scanning, Coruna-Spyware mit Operation Triangulation verknüpft

Exekutiv-Vizepräsidentin Virkkunen leitet ein Chips-Act-Umsetzungstreffen mit Führungskräften der Halbleiterindustrie. Dell und HP kündigen quantenresistente Gerätesicherheit im Einklang mit den NIST-PQC-Standards an. PwC stellt fest, dass KI die Geschwindigkeit von Cyberangriffen verstärkt, während sich Identitätsdiebstahl industrialisiert. GitHub erweitert das KI-gestützte Sicherheits-Scanning über CodeQL hinaus. Kaspersky führt das Coruna-Exploit-Framework auf Operation Triangulation zurück — und entfacht die EU-Spyware-Debatte neu.

---

1. EU-Chips-Act-Umsetzungsdialog — Cybersicherheit von Chips in kritischer Infrastruktur

Am 26. März 2026 leitete Exekutiv-Vizepräsidentin Henna Virkkunen ein hochrangiges Treffen, das Halbleiterhersteller, Vertreter der Mitgliedstaaten und Betreiber kritischer Infrastruktur zusammenbrachte, um den Umsetzungsfortschritt des EU Chips Act zu bewerten. Der Rechtsakt, der im September 2023 in Kraft trat, zielt darauf ab, den globalen Halbleiter-Marktanteil der EU bis 2030 auf 20 % zu verdoppeln.

Das Treffen konzentrierte sich auf drei kritische Bereiche:

• Lieferkettenresilienz: Kartierung von Abhängigkeiten von Chip-Fertigungsanlagen außerhalb der EU, insbesondere für Chips in den Sektoren Energie, Telekommunikation und Verteidigung
• Strategische Autonomie: Fortschritt beim 43-Milliarden-Euro-Investitionsplan für Halbleiter-Fertigungskapazitäten in der EU
• Cybersicherheit von Chips: Neue Diskussion über Sicherheitsanforderungen auf Hardware-Ebene für Chips, die in NIS2-designierten wesentlichen Diensten eingesetzt werden

Schnittstelle von NIS2 und CRA

Die Cybersicherheitsdimension ist der Punkt, an dem der Chips Act auf NIS2 und den Cyber Resilience Act (CRA) trifft. Nach NIS2 müssen wesentliche Einrichtungen ihre Lieferketten absichern — und dazu gehört die Hardware, von der sie abhängen. Der CRA wiederum wird Cybersicherheitsanforderungen an Produkte mit digitalen Elementen stellen, was ausdrücklich Halbleiter mit eingebetteter Firmware einschließt.

VP Virkkunen merkte an, dass „Lieferkettensicherheit auf Silizium-Ebene beginnt", und signalisierte, dass künftige Chips-Act-Durchführungsmaßnahmen Hardware-Sicherheitszertifizierungsanforderungen für Chips in EU-kritischer Infrastruktur umfassen könnten.

Was das für Ihre Organisation bedeutet

• Kartieren Sie Ihre Hardware-Lieferkette — welche Chips treiben Ihre kritischen Systeme an, und wo werden sie gefertigt?
• Bewerten Sie, ob Ihre Halbleiterlieferanten Hardware-Sicherheitsnachweise bereitstellen
• Beobachten Sie Chips-Act-Durchführungsmaßnahmen auf neue Zertifizierungsanforderungen
• Berücksichtigen Sie Sicherheit auf Hardware-Ebene in NIS2-Lieferketten-Risikobewertungen

---

2. Dell & HP rollen quantenresistente Gerätesicherheit aus

Dell und HP haben unabhängig voneinander die Integration NIST-standardisierter Post-Quanten-Kryptoalgorithmen in ihre neuesten Unternehmens-Gerätelinien angekündigt. Dells neue OptiPlex- und Latitude-Serien umfassen PQC-basierte Firmware-Signierung und Secure Boot, während HPs neue LaserJet-Enterprise-Drucker mit quantenresistenten Zertifikatsketten ausgeliefert werden.

Das ist wegen der „Harvest now, decrypt later"-Bedrohung bedeutsam: Gegner sammeln bereits heute verschlüsselte Daten und planen, sie zu entschlüsseln, sobald Quantencomputer leistungsfähig genug sind. Indem Dell und HP PQC auf Hardware-Ebene einbetten, bieten sie eine Verteidigung gegen dieses langfristige Risiko.

Regulatorische Landschaft für PQC

• NIST-PQC-Standards: FIPS 203 (ML-KEM), FIPS 204 (ML-DSA) und FIPS 205 (SLH-DSA) wurden 2024 finalisiert — dies sind die Algorithmen, die Dell und HP implementieren
• EU-CRA-Implikationen: Der Cyber Resilience Act verlangt von Produkten mit digitalen Elementen „aktuelle" kryptografische Schutzmechanismen — PQC-Konformität könnte de facto zur Anforderung werden
• ENISA-Leitlinien: ENISAs Post-Quanten-Migrations-Roadmap 2025 empfiehlt Organisationen, „ohne Verzögerung" mit dem Übergang zu PQC zu beginnen
• NIS2-Relevanz: Wesentliche Einrichtungen müssen Sicherheitsmaßnahmen nach dem „Stand der Technik" umsetzen — quantenresistente Kryptografie wird zunehmend als Teil dieses Standards betrachtet

Was das für Ihre Organisation bedeutet

• Inventarisieren Sie alle kryptografischen Implementierungen in Ihrer Infrastruktur — identifizieren Sie, was eine PQC-Migration benötigt
• Priorisieren Sie PQC-fähige Hardware in kommenden Beschaffungszyklen
• Entwickeln Sie eine Post-Quanten-Migrations-Roadmap im Einklang mit den ENISA-Leitlinien
• Bewerten Sie die „Harvest now, decrypt later"-Exponierung für sensible Daten mit langfristigen Vertraulichkeitsanforderungen

---

3. PwC: KI verstärkt Angriffsgeschwindigkeit, Identitätsdiebstahl industrialisiert sich

PwCs Global Digital Trust Insights 2026-Umfrage — mit über 4.000 Führungskräften aus Wirtschaft und Technologie in 77 Ländern — liefert eine ernüchternde Bewertung: KI verschiebt den Vorteil zu den Angreifern. Zentrale Erkenntnisse:

• 67 % der Führungskräfte sagen, generative KI habe die Angriffsfläche ihrer Organisation in den vergangenen 12 Monaten vergrößert
• KI-gestützte Phishing-Kampagnen sind in 48 % der Tests inzwischen nicht mehr von legitimer Kommunikation zu unterscheiden
• Identitätsdiebstahl hat sich industrialisiert: Gestohlene Zugangsdaten, synthetische Identitäten und deepfake-gestützte Identitätsvortäuschung werden als paketierte „Identity Kits" auf Darknet-Märkten verkauft
• Die mittlere Zeit bis zur Ausnutzung neuer Schwachstellen ist von 32 Tagen auf 5 Tage gesunken, getrieben von KI-gestützter Exploit-Entwicklung

Implikationen für die NIS2-Identity-Governance

Nach NIS2 Artikel 21 müssen wesentliche und wichtige Einrichtungen Maßnahmen für Zugriffskontrolle und Identitätsmanagement umsetzen. Die PwC-Ergebnisse legen nahe, dass klassische Identity-Governance — Passwörter, einfache MFA, manuelle Bereitstellung — nicht mehr ausreicht. Die Anforderung des „Stands der Technik" in der Verordnung weist zunehmend auf Folgendes hin:

• Phishing-resistente Authentifizierung: FIDO2/WebAuthn-Hardware-Schlüssel oder Passkeys
• Kontinuierliche Identitätsverifizierung: Echtzeit-Verhaltensanalytik, nicht nur Prüfungen zum Anmeldezeitpunkt
• Zero-Trust-Architektur: Niemals vertrauen, immer verifizieren — besonders bei privilegiertem Zugriff
• KI-gestützte Erkennung von Identitätsbedrohungen: KI einsetzen, um KI-gestützte Identitätsangriffe zu bekämpfen

Was das für Ihre Organisation bedeutet

• Bewerten Sie die Reife Ihrer Identity-Governance gegen die PwC-Ergebnisse — verteidigen Sie gegen Bedrohungen von 2024 oder von 2026?
• Beschleunigen Sie den Rollout phishing-resistenter MFA (FIDO2/Passkeys) für alle privilegierten Konten
• Implementieren Sie kontinuierliches Identitäts-Monitoring, nicht nur Prüfungen zum Authentifizierungszeitpunkt
• Mappen Sie Ihre Identity-Governance-Kontrollen auf die Anforderungen von NIS2 Artikel 21

---

4. GitHub erweitert KI-gestütztes Sicherheits-Scanning über CodeQL hinaus

GitHub hat eine bedeutende Erweiterung seiner Code-Security-Plattform angekündigt und integriert KI-gestütztes Scanning, das über den regelbasierten Ansatz von CodeQL hinausgeht. Das neue System nutzt große Sprachmodelle, die auf Schwachstellenmuster trainiert wurden, um Sicherheitsprobleme im Code zu erkennen, die klassische statische Analysewerkzeuge übersehen.

Zu den wichtigsten Verbesserungen gehören:

• Sprachabdeckung: Das KI-Scanning deckt nun über 15 Sprachen ab, verglichen mit CodeQLs 9, darunter Rust, Go, Swift und Kotlin
• Kontextbewusste Erkennung: Die KI versteht Fehler in der Geschäftslogik, nicht nur das Musterabgleichen bekannter Schwachstellensignaturen
• Automatisierte Fix-Vorschläge: KI-generierte Patches für erkannte Schwachstellen, was die Behebungszeit verkürzt
• Lieferkettenanalyse: Tiefergehendes Scanning transitiver Abhängigkeiten für Open-Source-Komponenten

Implikationen des EU Cyber Resilience Act

Der CRA verlangt von Herstellern von Produkten mit digitalen Elementen, Schwachstellenbehandlungsprozesse über den gesamten Produktlebenszyklus umzusetzen. Für Softwareentwickler bedeutet das:

• Shift-Left-Security: Die CRA-Anforderung „Security by Design" macht automatisiertes Sicherheits-Scanning während der Entwicklung — nicht erst vor dem Release — faktisch verpflichtend
• SBOM-Anforderungen: Der CRA schreibt Software Bills of Materials vor; GitHubs erweitertes Abhängigkeits-Scanning unterstützt dies direkt
• Kontinuierliche Überwachung: Produkte müssen nach dem Release auf Schwachstellen überwacht werden; GitHubs KI-Scanning lässt sich auf bestehende Codebasen anwenden

Was das für Ihre Organisation bedeutet

• Evaluieren Sie GitHubs erweitertes KI-Scanning für Ihre Entwicklungs-Pipelines
• Stellen Sie sicher, dass Ihre CI/CD-Pipeline automatisiertes Sicherheits-Scanning enthält, das die CRA-Anforderung „Security by Design" erfüllt
• Verifizieren Sie, dass Ihre SBOM-Generierung transitive Abhängigkeiten abdeckt
• Dokumentieren Sie Ihren Schwachstellenbehandlungsprozess als Nachweis für die CRA-Konformität

---

5. Coruna-iOS-Exploit-Framework auf Operation Triangulation zurückgeführt

Die jüngste Untersuchung von Kaspersky hat eine definitive technische Verbindung zwischen dem Coruna-Exploit-Framework und Operation Triangulation hergestellt, der ausgeklügelten iOS-Spionagekampagne, die erstmals 2023 dokumentiert, aber bis 2019 zurückverfolgt wurde. Coruna nutzt Zero-Click-Schwachstellen in iOS aus, um persistente Überwachungsfähigkeiten ohne jede Nutzerinteraktion zu installieren.

Die entscheidende Entwicklung ist, dass Coruna nicht mehr auf staatlich unterstützte Spionage beschränkt ist. Kaspersky fand Belege dafür, dass das Framework in Finanzangriffen eingesetzt wird — gegen Banking-Apps, Kryptowährungs-Wallets und Zahlungssysteme auf kompromittierten iOS-Geräten. Das deutet darauf hin, dass das Exploit-Kit entweder kommerziell verkauft wurde oder an finanziell motivierte Bedrohungsakteure durchgesickert ist.

Kontext der EU-Spyware-Regulierung

Die Coruna-Enthüllungen kommen zu einem entscheidenden Zeitpunkt für die EU-Governance von Überwachungstechnologie:

• EU-Spyware-Untersuchung: Die Empfehlungen des PEGA-Ausschusses des Europäischen Parlaments von 2023 sind weitgehend unumgesetzt — Coruna zeigt, warum Handeln dringend ist
• Dual-Use-Exportkontrollen: Die EU-Verordnung 2021/821 über Dual-Use-Güter erfasst Überwachungstechnologie, doch die Durchsetzung bleibt über die Mitgliedstaaten hinweg uneinheitlich
• ePrivacy-Implikationen: Der Einsatz von Zero-Click-Exploits zum Zugriff auf Gerätedaten verletzt die Schutzbestimmungen der ePrivacy-Richtlinie zur Vertraulichkeit der Kommunikation direkt
• NIS2-Lieferkettenrisiko: Wenn Exploit-Kits auf Staatsniveau für Finanzkriminalität zweckentfremdet werden, sehen sich NIS2-designierte Einrichtungen einer neuen Kategorie von Lieferkettenbedrohung gegenüber — kompromittierte Mobilgeräte von Führungskräften und privilegierten Nutzern

Was das für Ihre Organisation bedeutet

• Erzwingen Sie sofortige iOS-Updates auf allen unternehmensverwalteten Geräten — Zero-Click-Exploits zielen auf bekannte Schwachstellen
• Implementieren Sie Mobile Device Management (MDM) mit verpflichtender Einhaltung von Sicherheitspatches
• Bewerten Sie das Risiko einer Mobilgeräte-Kompromittierung in Ihrer NIS2-Risikobewertung — besonders für Geräte von Führungskräften und privilegierten Nutzern
• Beobachten Sie Entwicklungen der EU-Spyware-Regulierung — neue Regeln könnten Organisationen Pflichten auferlegen, die Überwachungstechnologie in ihren Netzen entdecken

---

Zusammenfassung der heutigen Regulierungslandschaft

Entwicklung	Regulierung	Auswirkung	Erforderliche Maßnahme
EU-Chips-Act-Dialog	Chips Act / NIS2 / CRA	Hardware-Sicherheitszertifizierung für kritische Chips	Halbleiter-Lieferkettenrisiken kartieren
Dell & HP quantenresistente Sicherheit	CRA / NIS2	PQC kommt in Unternehmens-Hardware an	Post-Quanten-Migrationsplanung beginnen
PwC-Bericht zu KI-Angriffen	NIS2	Identity-Governance-Lücke wächst	Phishing-resistente MFA, kontinuierliches Monitoring einführen
GitHub-KI-Sicherheits-Scanning	CRA	Shift-Left-Security-Werkzeuge werden erweitert	KI-Scanning in CI/CD-Pipelines integrieren
Coruna-Spyware / Operation Triangulation	ePrivacy / Dual-Use	Staatliche Exploits für Finanzkriminalität zweckentfremdet	iOS-Patching erzwingen, Mobilgeräte-Risiko bewerten