Die Europäische Kommission bestätigt, dass Angreifer in ihre Amazon-Cloud-Umgebung eingedrungen sind und mehr als 350 GB Daten einschließlich Mitarbeiterdatenbanken exfiltriert haben — ihr zweiter Sicherheitsvorfall innerhalb von zwei Monaten. Unterdessen kündigt das Forum InCyber 2026 in Lille neue Verpflichtungen für die Akademie für Cybersicherheitskompetenzen an, die NIS2-Durchsetzung führt zu steigenden Strafen, DORA tritt in seine letzte Compliance-Phase ein und die verbotenen Praktiken des EU AI Act werden nun aktiv verfolgt.
Die Europäische Kommission hat bestätigt, dass Angreifer Zugriff auf ihre Amazon Web Services (AWS)-Cloud-Umgebung erlangt haben, in der ihre Europa-Websites gehostet werden. Der Bedrohungsakteur behauptet, mehr als 350 GB Daten exfiltriert zu haben, darunter mehrere Datenbanken mit Mitarbeiterinformationen sowie den Zugang zu einem von Kommissionsmitarbeitern genutzten E-Mail-Server.
Der Angriff wurde am 24. März 2026 entdeckt und betraf Cloud-Systeme, auf denen die öffentlich zugängliche Europa-Webinfrastruktur der Kommission gehostet wird. Obwohl die Europäische Kommission angibt, dass interne Systeme nicht kompromittiert wurden, wird das Ausmaß der Datenexfiltration weiterhin untersucht.
Wichtige Fakten aus der Offenlegung:
Diese Sicherheitsverletzung ist zutiefst ironisch: Die Europäische Kommission — die Institution, die für die Durchsetzung von NIS2, DORA und GDPR verantwortlich ist — hat selbst innerhalb kurzer Zeit zwei erhebliche Sicherheitsvorfälle erlitten. Der Angriff im Januar stand im Zusammenhang mit Schwachstellen in Ivanti Endpoint Manager Mobile, von denen auch die niederländische Datenschutzbehörde und die finnische Regierungsbehörde Valtori betroffen waren.
Die NIS2-Frage: Nach NIS2 müssen EU-Institutionen ein umfassendes Cybersicherheits-Risikomanagement und eine entsprechende Vorfallmeldung umsetzen. Die dürftige Offenlegung der Kommission — keine Grundursache, kein Zeitablauf, keine Angaben zur Datenklassifizierung — bleibt hinter den Transparenzstandards zurück, die NIS2 von regulierten Unternehmen verlangt. Die Botschaft an Organisationen, die NIS2-Compliance erreichen müssen: Selbst die Regulierungsbehörden haben Schwierigkeiten, ihre eigenen Standards einzuhalten.
AWS bestätigte, dass seine Dienste nicht kompromittiert wurden: „Bei AWS gab es kein Sicherheitsereignis, und unsere Dienste funktionierten wie vorgesehen.“ Dies deutet auf kompromittierte Zugangsdaten oder eine Fehlkonfiguration aufseiten der Kommission hin — genau jene Lücke im Modell der geteilten Verantwortung, die DORA und NIS2 schließen sollen.
Das vom 31. März bis 2. April 2026 im französischen Lille stattfindende Forum InCyber 2026 wurde mit neuen Verpflichtungen für die EU-Akademie für Cybersicherheitskompetenzen eröffnet — eine direkte Reaktion auf den wachsenden Fachkräftemangel, der Vorfälle wie den Angriff auf die Kommission wahrscheinlicher macht.
Der 6. NIS-Investitionsbericht der ENISA zeigt eine besorgniserregende Entwicklung: Organisationen verlagern ihre Cybersicherheitsbudgets vom Personal auf Technologie, obwohl NIS2 klar definierte Governance-Rollen und die Verantwortlichkeit der Geschäftsleitung verlangt. Der Fachkräftemangel — schätzungsweise mehr als 500.000 unbesetzte Stellen in der EU — ist inzwischen das größte Hindernis für die NIS2- und DORA-Compliance mittelständischer Unternehmen.
Seit die Frist zur Umsetzung von NIS2 im Oktober 2024 abgelaufen ist, verstärken die EU-Mitgliedstaaten die Durchsetzung. Im ersten Quartal 2026 ist eine deutliche Beschleunigung der regulatorischen Maßnahmen zu beobachten.
| Mitgliedstaat | Maßnahme | Status |
|---|---|---|
| Deutschland | Erste NIS2-Strafe (850.000 €) gegen einen Cloud-Anbieter wegen fehlenden Risikomanagements | Durchsetzung aktiv |
| Frankreich | 14 Einrichtungen werden untersucht (Gesundheitswesen, digitale Infrastruktur) | Untersuchung läuft |
| Niederlande | Verpflichtende Selbsteinschätzung für alle wesentlichen und wichtigen Einrichtungen bis Juni 2026 | Orientierungsphase |
| Rat der EU | Sanktionen gegen chinesische und iranische Unternehmen wegen Cyberangriffen auf kritische Infrastruktur | Sanktionen aktiv |
Der Rat der Europäischen Union verhängte vergangene Woche Sanktionen gegen drei chinesische und iranische Unternehmen, weil sie Cyberangriffe auf die kritische Infrastruktur von EU-Mitgliedstaaten orchestriert hatten. Dies ist das erste Mal, dass die erweiterten Rahmenwerke von NIS2 für Lieferketten und Bedrohungsinformationen gemeinsam mit außenpolitischen Sanktionen der EU herangezogen wurden — eine Verknüpfung von Cybersicherheitsregulierung und geopolitischer Durchsetzung.
Am 20. Januar schlug die Kommission neue Cybersicherheitsvorschriften vor, um ausländische Hochrisikolieferanten aus der kritischen Infrastruktur der EU auszuschließen — damit würden die Lieferkettenanforderungen von NIS2 auf vollständige Beschaffungsverbote für Einrichtungen ausgeweitet, die als Sicherheitsbedrohung gelten. Angesichts der eigenen Sicherheitsverletzung der Kommission dürfte dieses Vorhaben das Gesetzgebungsverfahren beschleunigt durchlaufen.
Da DORA seit dem 17. Januar 2025 vollständig anwendbar ist, stehen Finanzinstitute nun unter aktiver regulatorischer Aufsicht. Das erste Quartal 2026 markiert den Übergang von der Vorbereitung zur Durchsetzungsbereitschaft.
Überschneidung zwischen dem Angriff auf die Kommission und DORA: Viele Finanzinstitute nutzen AWS und andere Cloud-Anbieter, die auch EU-Institutionen bedienen. Der Angriff auf die Kommission wirft Fragen zum Konzentrationsrisiko auf — einem zentralen Anliegen von DORA. Wenn ein Angreifer in die AWS-Umgebung der Kommission eindringen kann, was bedeutet das für Finanzunternehmen, die eine ähnliche Cloud-Infrastruktur nutzen? Die Aufsichtsbehörden werden die Bewertungen von Cloud-Konzentrationsrisiken im zweiten Quartal 2026 voraussichtlich genauer prüfen.
Seit dem 2. Februar 2026 gelten die Bestimmungen des EU AI Act zu verbotenen Praktiken. Organisationen, die AI-Systeme in der EU einsetzen, müssen verbotene Anwendungen bereits eingestellt haben.
| Datum | Anforderung | Auswirkung |
|---|---|---|
| Mai 2026 | Vorschriften für AI-Modelle mit allgemeinem Verwendungszweck (Kapitel V) | Alle GPAI-Anbieter müssen Transparenz, Urheberrechtskonformität und Risikobewertungen umsetzen |
| August 2026 | Anforderungen an Hochrisiko-AI-Systeme (Kapitel III) | Registrierung, Konformitätsbewertung und Überwachung nach dem Inverkehrbringen für Hochrisikosysteme |
| August 2027 | Vollständige Anwendung des AI Act | Alle Bestimmungen einschließlich eingebetteter AI in Produkten, die unter bestehendem EU-Recht reguliert werden |
Eine aktuelle Analyse von SecurityWeek zeigt, wie LLMs unbemerkt die organisatorische Zugriffskontrolle untergraben. AI-Systeme können komplexen Richtliniencode (Rego, Cedar) innerhalb von Sekunden generieren, doch eine einzige fehlende Bedingung oder ein halluziniertes Attribut kann Sicherheitsmodelle nach dem Prinzip der minimalen Rechte unbemerkt außer Kraft setzen. Nach den anstehenden GPAI-Anforderungen des AI Act müssen Anbieter solche Risiken bewerten und mindern — eine weitere Compliance-Ebene für Organisationen, die AI in sicherheitskritischen Kontexten einsetzen.
Die Lloyds Banking Group meldete einen Datensicherheitsvorfall, von dem 450.000 Personen betroffen waren, nachdem ein fehlerhaftes Softwareupdate dazu geführt hatte, dass Nutzer des Mobile-Bankings die Transaktionen anderer Nutzer der Anwendung sehen konnten. Dabei handelt es sich nicht um einen Cyberangriff, sondern um einen Softwarequalitätsfehler, der eine meldepflichtige Datenschutzverletzung nach GDPR auslöste.
Regulatorische Überschneidung: Dieser Vorfall löst Verpflichtungen nach GDPR (Offenlegung personenbezogener Daten), DORA (ICT-Vorfall mit Auswirkungen auf Finanzdienstleistungen) und möglicherweise NIS2 (Auswirkungen auf kritische Infrastruktur) aus. Die Überschneidung der Vorschriften bedeutet, dass ein einzelner Vorfall mehrere parallele regulatorische Untersuchungen auslösen kann — ein Multiplikatoreffekt bei der Compliance, auf den sich Organisationen vorbereiten müssen.
Die AWS-Sicherheitsverletzung bei der Europäischen Kommission ist mehr als ein Sicherheitsvorfall — sie stellt die regulatorische Glaubwürdigkeit infrage. Die Institution, die NIS2, DORA und den AI Act vorantreibt, hat nun innerhalb von zwei Monaten zwei Sicherheitsverletzungen erlitten und zu beiden Vorfällen nur minimale Transparenz geboten.
Für Organisationen, die sich in der Compliance-Landschaft zurechtfinden müssen, ist die Botschaft vielschichtig:
Automatisierte Compliance-Zuordnung für NIS2, DORA, GDPR und EU AI Act. Regulatorische Überwachung und Lückenanalyse in Echtzeit.
Kostenlose Compliance-Bewertung starten →Bleiben Sie compliant. Bleiben Sie informiert. Bleiben Sie sicher.
🗡️ KENSAI-Team für Compliance & Vorschriften
1. April 2026
🛡️ Ist Ihre Website sicher?
Entdecken Sie Schwachstellen, bevor Angreifer es tun.
Website kostenlos scannen →