Iran-verbundene Hacker nehmen Polens Kernforschungszentrum in einem Angriff ins Visier, der vor jeder Auswirkung abgefangen wurde — ein direkter Test der NIS2-Abwehr kritischer Infrastruktur. Das FBI eröffnet eine formale Untersuchung zu Steam-Spielen mit Schadsoftware, die Kryptowährung stahlen. Google legt 17 Mio. USD an Bug-Bounty-Auszahlungen für 2025 offen, während der EU Cyber Resilience Act die Schwachstellen-Offenlegung neu gestaltet. Und 80 Mio. USD fließen binnen einer Woche in zwei Startups für KI-Agenten-Sicherheit.
Polens Nationales Zentrum für Kernforschung (NCBJ), das den einzigen Kernreaktor des Landes (MARIA) betreibt, erkannte und blockierte einen Cyberangriff auf seine IT-Infrastruktur. Polnische Behörden fanden Indikatoren, die auf Iran hindeuten, wobei Ermittler mahnen, dass es sich um False Flags handeln könnte. Der MARIA-Reaktor läuft weiterhin sicher.
Regulierungs-Auswirkung: NIS2 – CER-Richtlinie – Nukleare Sicherheit – EU-Cyberdiplomatie
Polens Nationales Zentrum für Kernforschung (NCBJ) bestätigte diese Woche, dass Hacker seine IT-Infrastruktur in einem offenbar staatlich unterstützten Angriff ins Visier nahmen. Die Sicherheitssysteme des Instituts erkannten das Eindringen früh, und interne Teams blockierten den Angriff, bevor Systeme kompromittiert wurden. Der MARIA-Reaktor – Polens einziger Kernreaktor, genutzt für wissenschaftliche Forschung und die Produktion medizinischer Isotope – lief durchgehend mit voller Leistung weiter.
Reuters berichtete, polnische Ermittler hätten Indikatoren gefunden, die nahelegen, dass Iran hinter dem Angriff stehen könnte, wobei Beamte angesichts der Möglichkeit von False Flags bei der Attribution vorsichtig sind. Das Timing ist bemerkenswert: Polens Verteidigungsminister erklärte kürzlich, Polen beteilige sich nicht am aktuellen Nahostkonflikt, dennoch ist die kritische Infrastruktur des Landes zum Ziel geworden.
Dies ist nicht Polens erster Infrastrukturangriff. Im Januar griff die russische Bedrohungsgruppe APT44 (Sandworm) Polens Stromnetz an und traf rund 30 dezentrale Energieerzeugungsstandorte. Ein ICCT-Bericht platzierte Polen im Februar unter den Hauptzielen russischer Cyber-Akteure, mit 31 bestätigten Vorfällen zwischen Mitte 2025 und Anfang 2026.
Deutschlands BSI hat kerntechnische Anlagen seit jeher unter KRITIS eingestuft, und NIS2 weitet dies auf Forschungseinrichtungen mit nuklearem Material aus. Das Schweizer NCSC und Österreichs nationales CERT sollten Advisories an Kernforschungseinrichtungen herausgeben. Das polnische Angriffsmuster – Forschungsinstitute statt Kraftwerke ins Visier zu nehmen – legt nahe, dass Bedrohungsakteure weichere Ziele im Nuklearsektor ausloten. DACH-Kernforschungseinrichtungen sollten ihre Erkennungsfähigkeiten gegen Nation-State-Bedrohungsmodelle verifizieren.
Regulierungs-Auswirkung: EU Digital Services Act – Verbraucherschutz – Plattformverantwortung
Die Seattle-Division des FBI hat Gamer formell aufgefordert, sich zu melden, falls sie eines von acht bösartigen Steam-Spielen installiert haben, die zwischen Mai 2024 und Januar 2026 Schadsoftware enthielten. Die betroffenen Titel – BlockBlasters, Chemia, Dashverse/DashFPS, Lampy, Lunara, PirateFi und Tokenova – wurden genutzt, um Kryptowährung zu stehlen und Nutzerkonten zu kapern.
Ausgelöst wurde die Untersuchung teils durch einen aufsehenerregenden Fall: Während eines Charity-Livestreams verlor der Videospiel-Streamer Raivo Plavnieks über 32.000 US-Dollar in Kryptowährung, nachdem er BlockBlasters heruntergeladen hatte, ein verifiziertes Steam-Spiel, das zunächst sauber erschien, bevor nach dem Upload Schadsoftware hinzugefügt wurde.
Der Fragebogen des FBI konzentriert sich gezielt auf Kryptowährungsdiebstahl, kompromittierte Konten und gestohlene Gelder und bittet um Screenshots der Kommunikation mit Spiele-Promotern – ein Hinweis darauf, dass die Ermittler Fälle gegen das Vertriebsnetzwerk aufbauen.
Steam hat riesige Nutzerbasen in Deutschland, Österreich und der Schweiz. Deutsche Verbraucherzentralen sollten diese Untersuchung auf betroffene DACH-Nutzer hin beobachten. Die BNetzA als deutsche DSA-Durchsetzungsbehörde muss möglicherweise bewerten, ob Valves Inhaltsmoderation DSA-Standards erfüllt.
Regulierungs-Auswirkung: EU Cyber Resilience Act – Koordinierte Schwachstellen-Offenlegung – NIS2
Google hat offengelegt, im Jahr 2025 über 17 Millionen US-Dollar an Bug-Bounty-Prämien ausgezahlt zu haben, davon mehr als 3,7 Millionen US-Dollar an Chrome-Schwachstellenforscher und über 3,5 Millionen US-Dollar für Cloud-Sicherheitsmängel. Die Zahlen unterstreichen das Ausmaß des Schwachstellen-Ökosystems – und kommen, während der EU Cyber Resilience Act (CRA) den Umgang von Organisationen mit Schwachstellen-Offenlegung grundlegend verändern wird.
Der CRA, der Ende 2024 in Kraft trat und dessen Anforderungen bis 2027 schrittweise greifen, schreibt vor, dass Hersteller von Produkten mit digitalen Elementen Richtlinien zur koordinierten Schwachstellen-Offenlegung etablieren, aktiv ausgenutzte Schwachstellen binnen 24 Stunden an ENISA melden und Sicherheitsupdates über die erwartete Produktlebensdauer bereitstellen müssen.
Googles Bug-Bounty-Zahlen sind bedeutsamer Kontext: Sie zeigen, dass ein ausgereiftes Schwachstellen-Offenlegungsprogramm bei einem einzigen Unternehmen jährlich Tausende gültiger Meldungen erzeugt. Der CRA wird ähnliche Programme von jedem Softwarehersteller verlangen, der in der EU verkauft, einschließlich kleiner und mittlerer Unternehmen.
Deutschlands BSI bereitet aktiv CRA-Umsetzungsleitlinien vor. Schweizer Softwareunternehmen, die in den EU-Markt verkaufen, müssen konform sein, obwohl die Schweiz kein EU-Mitglied ist. Österreichische und deutsche Startups sollten jetzt beginnen, Richtlinien zur Schwachstellen-Offenlegung zu etablieren, bevor die vollen CRA-Anforderungen 2027 greifen.
Regulierungs-Auswirkung: EU-KI-Verordnung – NIS2-KI-Systeme – DORA-Betriebsresilienz
Zwei KI-Sicherheits-Startups traten diese Woche mit jeweils 40 Millionen US-Dollar aus dem Stealth-Modus und bringen damit zusammen 80 Millionen US-Dollar in den jungen Markt für KI-Agenten-Sicherheit. Bold Security nutzt KI, um Geräte in aktive Schutzagenten zu verwandeln, die Nutzerverhalten verstehen, während Onyx Security eine Steuerungsebene baut, die Organisationen hilft, autonome KI-Agenten zu beaufsichtigen und zu steuern.
Das Timing ist kein Zufall. Die Anforderungen der EU-KI-Verordnung an hochriskante KI-Systeme treiben dringenden Bedarf an Werkzeugen, die KI-Agenten in Unternehmensumgebungen überwachen, kontrollieren und auditieren können.
Onyx Securitys Fokus auf eine Steuerungsebene für autonome KI-Agenten adressiert direkt eine Lücke, die die EU-KI-Verordnung identifizierte: Organisationen, die hochriskante KI-Systeme einsetzen, müssen Fähigkeiten zur menschlichen Aufsicht aufrechterhalten und Risikomanagementsysteme implementieren.
Der starke Finanzsektor der DACH-Region (Schweizer Banken, deutsche Versicherer, österreichische Fintechs) wird zu den Ersten gehören, die kombinierten Anforderungen aus KI-Verordnung und DORA an die KI-Agenten-Governance gegenüberstehen. KENSAIs KI-gestütztes Sicherheits-Scanning demonstriert bereits jene Art autonomer KI-Agenten-Aufsicht, die Regulierer fordern.
Von NIS2-Anforderungen an kritische Infrastruktur bis zur KI-Agenten-Governance der EU-KI-Verordnung — die regulatorische Landschaft zieht sich zu. KENSAI hilft Ihnen, Schwachstellen zu identifizieren, bevor Regulierer es tun.
Kostenlosen Sicherheitsscan starten →Der KENSAI Intelligence Desk veröffentlicht tägliche Regulierungs-Überblicke zu Entwicklungen bei NIS2, DORA, DSGVO, EU-KI-Verordnung und CRA. Compliance ist nicht optional – sie ist Infrastruktur.
🛡️ Ist Ihre Website sicher?
Entdecken Sie Schwachstellen, bevor Angreifer es tun.
Scannen Sie Ihre Website kostenlos →