EU-Kommission untersucht AWS-Cloud-Einbruch, während der Rat chinesische & iranische Cyber-Firmen sanktioniert; überarbeiteter Cybersecurity Act nimmt ausländische Zulieferer ins Visier

Die Europäische Kommission untersucht einen schweren Einbruch in ihre Amazon-Cloud-Umgebung, bei dem angeblich 350 GB gestohlen wurden — was dringende Fragen zum Drittparteienrisiko-Management unter NIS2 und DORA aufwirft. Der EU-Rat sanktioniert drei Unternehmen, die mit staatlich gestützten Cyberangriffen verbunden sind. Ein vorgeschlagener überarbeiteter Cybersecurity Act würde die Entfernung risikoreicher ausländischer Zulieferer aus Telekommunikationsnetzen vorschreiben. Die CRA-Verwaltungskooperationsgruppe hält ihre erste Sitzung ab, und das KI-Board tagt zum siebten Mal zur Governance des EU AI Act.

1. AWS-Einbruch bei der EU-Kommission: 350-GB-Datendiebstahl erschüttert die Cloud-Sicherheitsaufstellung der EU

Die Europäische Kommission untersucht einen Sicherheitsvorfall, nachdem ein Bedrohungsakteur unautorisierten Zugriff auf mindestens eines ihrer Amazon-Web-Services-(AWS)-Konten erlangt hat. Der Angreifer behauptet, über 350 Gigabyte Daten exfiltriert zu haben, darunter mehrere Datenbanken und E-Mail-Server-Inhalte von Kommissionsmitarbeitern.

Was geschah

Laut Berichten von BleepingComputer wurde der Einbruch relativ schnell vom Incident-Response-Team der Kommission erkannt. Der Bedrohungsakteur legte Screenshots vor, die Zugriff auf Mitarbeiterdaten und interne E-Mail-Systeme belegen. Bemerkenswert: Der Angreifer erklärte, keine Erpressung zu versuchen, sondern die Daten zu einem späteren Zeitpunkt öffentlich zu leaken.

Es ist der zweite große Einbruch bei der Kommission im Jahr 2026. Im Februar legte die Institution offen, dass ihre Mobile-Device-Management-(MDM)-Plattform am 30. Januar kompromittiert wurde — ein Vorfall, der mit Ivanti-EPMM-Code-Injection-Schwachstellen verknüpft ist, die auch die niederländische Datenschutzbehörde und Finnlands Valtori-Agentur betrafen.

Zentrale regulatorische Erkenntnisse

• NIS2 Artikel 21(2)(d): Verlangt „Sicherheit der Lieferkette, einschließlich sicherheitsbezogener Aspekte der Beziehungen zwischen jeder Einrichtung und ihren direkten Anbietern oder Dienstleistern“ — AWS als direkter Dienstleister
• DORA Artikel 28: Schreibt vor, dass Finanzunternehmen und kritische Institutionen robuste vertragliche Vereinbarungen mit IKT-Drittdienstleistern unterhalten, einschließlich Ausstiegsstrategien und Datenportabilität
• DSGVO Artikel 33: Die Kommission muss den EDSB binnen 72 Stunden benachrichtigen, falls personenbezogene Daten von EU-Bürgern kompromittiert wurden

2. EU-Rat sanktioniert chinesische und iranische Unternehmen wegen staatlich gestützter Cyberangriffe

Der Rat der Europäischen Union hat Cyber-Sanktionen gegen drei Unternehmen und zwei Personen verhängt, weil sie Cyberangriffe gegen kritische Infrastruktur von Mitgliedstaaten orchestriert haben — die bedeutendste Ausweitung des EU-Cyber-Sanktionsregimes seit seiner Einführung 2019.

Sanktionierte Einheiten

Die beiden sanktionierten Personen sind Mitgründer von Anxun Information Technology (i-Soon), der chinesischen Firma, deren massives Datenleck im Februar 2024 ihre Operationen als regierungsnaher Hacking-Auftragnehmer offenlegte.

Regulatorische Bedeutung

Diese Sanktionen stärken unmittelbar den sich entwickelnden Cyber-Abschreckungsrahmen der EU unter NIS2. Erwägungsgrund 9 der Richtlinie verweist ausdrücklich auf die Notwendigkeit koordinierter Reaktionen auf staatlich gestützte Bedrohungen, und Artikel 13 beauftragt EU-CyCLONe (das Cyber Crisis Liaison Organisation Network) mit der Unterstützung eines „koordinierten Managements großangelegter Cybersicherheitsvorfälle“.

3. Überarbeiteter Cybersecurity Act: verpflichtende Entfernung risikoreicher ausländischer Zulieferer

Die Europäische Kommission hat weitreichende neue Cybersecurity-Gesetzgebung vorgeschlagen, die ihr die Befugnis geben würde, die Entfernung risikoreicher ausländischer Zulieferer aus europäischen Telekommunikationsnetzen anzuordnen — ein Schritt über die 2020 eingeführte freiwillige 5G-Security-Toolbox hinaus.

Zentrale Bestimmungen

• Verpflichtende Risikobewertungen: EU-weite Bewertungen über 18 kritische Sektoren auf Basis der Herkunftsländer der Zulieferer und der Implikationen für die nationale Sicherheit
• Entfernung risikoreicher Zulieferer: Befugnis, Ausrüstung von als Sicherheitsrisiko eingestuften Anbietern in Mobilfunknetzen einzuschränken oder zu verbieten
• Vereinfachte Zertifizierung: Freiwillige, von der ENISA verwaltete Zertifizierungsschemata zur Reduzierung des regulatorischen Aufwands
• Erweiterte ENISA-Befugnisse: Frühwarnungen bei Bedrohungen, zentrale Anlaufstelle für Vorfallmeldungen, Ransomware-Reaktionskoordination mit Europol
• Cybersecurity-Fachkräfte: EU-weite Skills-Attestierungsschemata und eine Pilot-Cybersecurity-Skills-Academy

„Cybersecurity-Bedrohungen sind nicht nur technische Herausforderungen. Sie sind strategische Risiken für unsere Demokratie, Wirtschaft und Lebensweise“, sagte EU-Tech-Kommissarin Henna Virkkunen. Der Cybersecurity Act würde unmittelbar nach Genehmigung in Kraft treten, wobei die Mitgliedstaaten ein Jahr Zeit hätten, die Änderungen in nationales Recht umzusetzen.

Wie sich das mit NIS2 und DORA überschneidet

Der überarbeitete Cybersecurity Act ergänzt NIS2, ersetzt sie aber nicht. Während NIS2 Basis-Sicherheitsanforderungen für wesentliche und wichtige Einrichtungen festlegt, zielt dieser neue Act speziell auf Lieferketten-Souveränität auf Infrastrukturebene. Für Finanzinstitute unter DORA ist die Implikation klar: IKT-Drittparteien-Konzentrationsrisiko mit Nicht-EU-Zulieferern wird verschärfter regulatorischer Prüfung unterliegen.

4. Cyber Resilience Act: erste Sitzung der Verwaltungskooperationsgruppe

Die erste Sitzung der Verwaltungskooperationsgruppe für den Cyber Resilience Act (CRA) fand am 20. März 2026 statt — ein entscheidender Schritt zur Vorbereitung der Durchsetzung der Verordnung, die verpflichtende Cybersecurity-Anforderungen für alle in der EU verkauften digitalen Produkte auferlegen wird.

Was der CRA verlangt

Der CRA gilt für alle Produkte mit digitalen Elementen — von Consumer-IoT-Geräten bis zu Industriesoftware. Hersteller müssen:

• Cybersecurity-Risikobewertungen vor dem Inverkehrbringen durchführen
• Sicherheitsupdates über die erwartete Produktlebensdauer (mindestens 5 Jahre) bereitstellen
• Aktiv ausgenutzte Schwachstellen binnen 24 Stunden an die ENISA melden
• Software Bills of Materials (SBOMs) für alle Produkte pflegen

Die ENISA hat zudem eine Umfrage unter KMU gestartet, um CRA-Bewusstsein, Bereitschaft und Unterstützungsbedarf zu bewerten — in Anerkennung dessen, dass kleinere Unternehmen unverhältnismäßige Compliance-Lasten tragen.

5. Siebte Sitzung des EU-KI-Boards: Ausgestaltung der AI-Act-Governance

Die siebte Sitzung des EU-KI-Boards fand am 20. März 2026 statt und brachte Vertreter der Mitgliedstaaten zusammen, um die jüngsten Entwicklungen der KI-Strategie der Kommission und die laufende Umsetzung des EU AI Act zu erörtern.

Wo der AI Act steht

Die phasenweise Umsetzung des EU AI Act verläuft weiterhin planmäßig:

Das KI-Board dient als zentrales Governance-Gremium zur Koordinierung der AI-Act-Durchsetzung über die Mitgliedstaaten hinweg. Zentrale Diskussionsthemen der siebten Sitzung waren:

• Harmonisierte Normen für Bewertungen von Hochrisiko-KI-Systemen
• KI-Reallabore — Umsetzungsfortschritt in den Mitgliedstaaten
• Abstimmung mit dem KI-Büro zu Verhaltenskodizes für KI-Modelle mit allgemeinem Verwendungszweck
• Mechanismen der grenzüberschreitenden Durchsetzungszusammenarbeit

Das größere Bild: Die regulatorische Festung der EU nimmt Gestalt an

Die Entwicklungen dieser Woche zeigen, wie schnell die Cybersecurity- und Digitalregulierungslandschaft der EU konvergiert. Fünf große Rahmenwerke sind nun gleichzeitig aktiv oder treten in die Durchsetzung ein:

Der eigene AWS-Einbruch der Kommission — so peinlich er ist — könnte die legislative Dringlichkeit beschleunigen. Nichts motiviert regulatorisches Handeln so sehr, wie selbst zum Opfer zu werden.