← Zurück zum Blog

März-Sicherheitsbericht: Kritische Infrastruktur unter Beschuss

Fünf Tage vor der BSI-Registrierungsfrist am 6. März 2026 intensivieren Bedrohungsakteure ihre Angriffe auf KRITIS-Betreiber. Fünf kritische CVEs wurden diese Woche veröffentlicht, während Wasserversorger, Energienetze und Krankenhäuser koordinierten Angriffen ausgesetzt sind.

---

🚨 Kritische Schwachstellen dieser Woche

Weitere kritische CVEs

CVE	Produkt	CVSS	Auswirkung
CVE-2026-22002	Cisco ASA	9,8	Firewall-Bypass → Netzwerkzugriff
CVE-2026-22003	FortiGate	9,6	SSL-VPN-Authentifizierungsumgehung
CVE-2026-22004	VMware vCenter	9,1	SSRF führt zu RCE
CVE-2026-22005	Apache Tomcat	8,8	Path-Traversal → beliebiger Dateizugriff

⚡ Angriffswelle auf kritische Infrastrukturen

Das BSI und ENISA haben diese Woche gemeinsame Warnungen vor koordinierten Angriffen auf kritische Infrastrukturen in NATO- und EU-Mitgliedstaaten herausgegeben. Das Timing—nur 5 Tage vor der NIS2-Registrierungsfrist—ist kein Zufall.

Betroffene Sektoren

• Wasserversorgung (Deutschland): BSI untersucht Vorfälle bei zwei kommunalen Wasserwerken. Angreifer erlangten Zugriff über exponierte SCADA-Schnittstellen und modifizierten Chlordosierungsparameter.
• Energieversorgung (Deutschland): Zwei regionale Netzbetreiber melden Einbrüche in OT-Netzwerke. Quelle: Spear-Phishing-Kampagnen gegen Netzleittechnik-Ingenieure.
• Gesundheitswesen (Frankreich): Ransomware-Angriff auf Krankenhaus-Netzwerk in Lille. 12 Krankenhäuser mussten Notfallpatienten umleiten. Patientendaten verschlüsselt.
• Verkehr (Italien): Logistiksystem des Hafens Genua für 18 Stunden ausgefallen. Container-Tracking und Abrechnungssysteme offline.

🇩🇪 NIS2-Frist: Noch 5 Tage

Die BSI-Registrierungsfrist endet am 6. März 2026. Schätzungsweise 30.000 Organisationen sind registrierungspflichtig—aber derzeit liegt die Compliance-Quote unter 40 %.

Was passiert nach dem 6. März?

Nicht-konforme Organisationen riskieren:

• Sofortige Bußgelder: Bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes
• Persönliche Haftung: Vorstände und Geschäftsführer können strafrechtlich belangt werden
• Öffentliche Bekanntmachung: BSI wird Listen nicht-konformer Unternehmen veröffentlichen (Reputationsschaden)
• Geschäftliche Einschränkungen: Möglicher Ausschluss von öffentlichen Ausschreibungen

🔍 Threat-Intelligence-Highlights

Russische APT ändert Taktik

Mandiant berichtet, dass APT28 (Fancy Bear) von Spionage zu Vorbereitung disruptiver Angriffe auf europäische Energieinfrastruktur gewechselt ist. Die Gruppe platziert persistente Hintertüren in OT-Netzwerken—keine Datenexfiltration, sondern Vorbereitung koordinierter Sabotage.

Beobachtete TTPs:

• Initial Access über Spear-Phishing in IT-Netzwerke
• Lateral Movement via kompromittierte VPN-Credentials
• Persistence durch modifizierte Firmware auf Industrie-Controllern
• C2 über DNS-Tunneling (umgeht die meisten IDS)

Ransomware-Gangs nutzen Compliance-Fristen aus

LockBit 4.0 und BlackCat-Affiliates zielen explizit auf Organisationen kurz vor NIS2/DORA-Fristen. Lösegeldforderungen enthalten jetzt Drohungen, Nicht-Compliance an Regulierungsbehörden zu melden—doppelte Erpressung.

✅ Empfohlene Maßnahmen

1. Sofortiges Patching: Alle oben aufgeführten kritischen CVEs (GitLab, Cisco ASA, FortiGate, VMware, Tomcat)
2. OT-Exposure-Audit: Wenn Sie KRITIS-Betreiber sind, gehen Sie von einem Breach aus. Segmentieren Sie OT-Netzwerke sofort.
3. NIS2-Compliance-Sprint: Wenn Sie sich noch nicht beim BSI registriert haben, bleiben Ihnen 5 Tage. Priorisieren Sie dies über alle anderen Projekte.
4. Incident-Response-Test: Können Sie einen Breach innerhalb von 24 Stunden erkennen? NIS2 verlangt das. Wenn nicht, sind Sie nicht-konform.
5. Lieferketten-Audit: NIS2 macht Sie haftbar für Software-Schwachstellen Dritter. Scannen Sie alle Dependencies jetzt.

📚 Weitere Ressourcen

• KENSAI NIS2-Compliance-Leitfaden — Schritt-für-Schritt-Checkliste für deutsche Organisationen
• BSI Offizielles NIS2-Portal — Registrierung und Leitlinien
• NIS2-Compliance-Krise 2026 — Detaillierte Analyse

---