WIR SCHÜTZEN
KRITISCHE SYSTEME

Beim ASOS-Hack erfuhren Millionen Kundinnen und Kunden vom Cyberangriff nicht durch das Unternehmen, sondern durch die Angreifer selbst – per Push-Nachricht aus der eigenen App. In dieser Folge von Cybersecurity Basement analysieren Michael und Andreas Papadaniil, CEO von suresecure, wie die neue Gruppe vorgegangen ist und warum der Vorfall weit über ASOS hinaus relevant ist.

Über Phishing und Social Engineering erlangten die Angreifer Zugangsdaten zu einer SaaS-Plattform und damit Zugriff auf Marketingdaten wie Namen, E-Mail-Adressen und Telefonnummern. Als die Erpressung nicht zum Ziel führte, nutzten sie den Push-Kanal, um den Vorfall öffentlich zu machen. Damit lag die Krisenkommunikation nicht mehr bei ASOS.

Michael und Andreas sprechen darüber,

• warum Security-Awareness-Schulungen das Risiko senken, aber keinen vollständigen Schutz bieten,
• welche Rolle MFA, Auto-Logout, Monitoring von Authentifizierungslogs und ein Vier-Augen-Prinzip für kritische Aktionen spielen,
• was in der Krisenkommunikation schiefgelaufen ist und warum Playbooks im Ernstfall Zeit und Reputation sichern,
• wie sich Reputationsschäden auf den Aktienkurs auswirken und weshalb eine Business-Impact-Analyse für jedes Unternehmen anders aussieht,
• und was die Verbindung der Gruppe zu Vorfällen bei KLM und H&M für die kommenden Monate bedeuten könnte.

Passende Folgen:

Ransomware as a Service: ein Geschäftsmodell. Cybercrime ist längst ein All-inclusive-Service

Crowdstrike im Fokus: Wenn Updates schiefgehen

Beware of the Bears: Cyberangriff auf die SPD

Vollständig gilt der Cyber Resilience Act (CRA) erst ab Dezember 2027. Seit dem 11. September 2026 müssen Hersteller von Software und Hardware aber bereits aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden, die erste Frühwarnung innerhalb von 24 Stunden. Doch wie soll das funktionieren, wenn viele Unternehmen Angriffe auf ihre Produkte gar nicht erkennen können?

In dieser Folge von Cybersecurity Basement spricht Michael mit Andreas Papadaniil, Gründer und Geschäftsführer der suresecure GmbH, über den Cyber Resilience Act und seine Folgen. Die beiden ordnen ein, wie sich der CRA von NIS2 abgrenzt, was Security by Design in der Praxis bedeutet und warum Schwachstellenmanagement und SBOM (Software Bill of Materials) viele Hersteller vor große Herausforderungen stellen.

Außerdem geht es darum, warum sich bisher so wenige Unternehmen für NIS2 registriert haben, wie Geschäftsführer zwischen Investitionen in IT-Sicherheit und dem Risiko von Sanktionen abwägen und ob Europa mit seinen Regeln Vorreiter ist oder sich selbst ausbremst. 

Ein ehrlicher Blick auf Regulatorik und Cybersecurity.

Philipp Skucha nennt es selbst beim Namen: Der aktuelle Cyberversicherungsmarkt fühlt sich streckenweise an wie ein Ramschladen. Zu viele Versicherer, Fintechs und internationale Player drängen gleichzeitig auf den deutschen Markt, die durchschnittliche Schadenhöhe sinkt, die Wirtschaft schwächelt – und das Ergebnis sind Bedingungen, die vor wenigen Jahren schlicht undenkbar waren: kürzere Fragebögen, zweijährige Vertragslaufzeiten, neue Klauseln für Zulieferer- und Abnehmerausfälle.

Im Gespräch mit Host Michael Döhmen erklärt der Geschäftsführer der securance GmbH, wo diese Entwicklung trotzdem an ihre Grenzen stößt. MFA für Admins und Remote-Zugriffe bleibt zum Beispiel ein hartes No-Go, an dem selbst Versicherer mit vollen Beständen nicht rütteln. Und der mit Abstand häufigste Grund, warum eine Cyberversicherung im Schadensfall doch nicht zahlt, ist bis heute derselbe: ein falsch oder ungenau beantworteter Fragebogen.

Philipp erklärt außerdem, warum ein ausführlicher Risikodialog dem starren Fragebogen oft überlegen ist und welche Klauseln – etwa für Zulieferer- oder Abnehmerausfälle – heute überhaupt erst verhandelbar sind, die vor wenigen Jahren noch undenkbar waren.

In dieser Folge könnt ihr mehr über die Gründung der securance erfahren:

Wenn Cyberversicherung und Security eins werden: Die Gründung der securance GmbH