Eine Sicherheitsänderung kann den Zugang zu Geschäftsprozessen beeinflussen

Microsoft fordert Administratoren von Entra ID erneut dazu auf, Benutzer auf phishing-resistente Authentifizierungsverfahren umzustellen. Hintergrund ist die angekündigte Abschaltung der SMS- und Sprachanmeldung im Februar 2027.

Für Unternehmen bedeutet das zunächst keine akute Sicherheitslücke. Es entsteht jedoch ein absehbarer Anpassungsbedarf: Wer für den Zugang zu Microsoft-Diensten weiterhin auf SMS oder Sprachanrufe angewiesen ist, muss mit Einschränkungen bei der Anmeldung rechnen, wenn keine alternative Methode eingerichtet wurde.

Entra ID steuert Zugänge zu Cloud-Diensten und Anwendungen. Fällt eine bisher genutzte Anmeldemethode weg, kann dies deshalb nicht nur einzelne Benutzer betreffen. Je nach Einsatz im Unternehmen können auch Arbeitsabläufe und der Zugriff auf geschäftlich benötigte Daten beeinflusst werden.

Passwörter und SMS bieten keinen gleichwertigen Schutz

Microsoft verweist auf phishing-resistente Verfahren. Dazu gehören insbesondere Passkeys. Diese Verfahren sollen verhindern, dass eine Anmeldung über eine gefälschte Website oder einen manipulierten Anmeldevorgang abgefangen wird.

SMS- und Sprachanmeldungen können zwar als zusätzliche Anmeldemethode dienen, gelten aber nicht als phishing-resistent. Die geplante Abkündigung ist daher zugleich eine Sicherheitsmaßnahme und eine technische Veränderung, die Unternehmen in ihre Zugangsprozesse einordnen müssen.

Entscheidend ist, dass die Umstellung nicht nur als Aufgabe der IT betrachtet wird. Wenn Mitarbeitende, externe Dienstleister oder privilegierte Benutzer unterschiedliche Anmeldewege verwenden, muss nachvollziehbar sein, welche Konten von der Änderung abhängig sind und welche Alternative jeweils vorgesehen ist.

Die größte praktische Schwachstelle ist eine unvollständige Umstellung

Ein Unternehmen kann technisch neue Verfahren freischalten und trotzdem vor einem organisatorischen Problem stehen. Dies ist etwa dann der Fall, wenn Benutzer ihre neue Methode noch nicht eingerichtet haben oder Verantwortliche nicht wissen, welche Konten weiterhin SMS oder Sprachanrufe verwenden.

Besondere Aufmerksamkeit verdienen Zugänge, die für die Administration von Entra ID oder für wichtige Geschäftsprozesse benötigt werden. Eine unterbrochene Anmeldung kann dort die Bearbeitung von Aufgaben erschweren. Das Risiko besteht nicht darin, dass jede Organisation automatisch ausfällt, sondern darin, dass Abhängigkeiten zu spät erkannt werden.

Eine sinnvolle Prüfung beginnt deshalb mit einer Bestandsaufnahme: Welche Authentifizierungsmethoden sind derzeit zugelassen oder im Einsatz? Welche Benutzer und Rollen nutzen sie? Für welche Konten müssen Passkeys oder andere phishing-resistente Verfahren eingerichtet werden?

Die Umstellung sollte vor dem Abschalttermin überprüfbar sein

Aus der Ankündigung von Microsoft lässt sich ein klarer Prüfpfad ableiten. Unternehmen sollten betroffene Benutzer identifizieren, geeignete alternative Verfahren festlegen und die Einrichtung rechtzeitig begleiten. Dabei geht es nicht nur um die technische Aktivierung, sondern auch um verständliche Informationen für die Anwender.

Außerdem sollte geprüft werden, ob die neuen Anmeldemethoden im normalen Arbeitsablauf funktionieren. Dazu gehört, den Zugang zu den tatsächlich benötigten Anwendungen und Daten zu betrachten. So lässt sich erkennen, ob einzelne Rollen, Konten oder Prozesse weiterhin von einer auslaufenden Methode abhängen.

Eine solche Vorbereitung reduziert zugleich das Risiko, dass Mitarbeitende bei Problemen auf unsichere Umgehungen ausweichen. Klare Zuständigkeiten und dokumentierte Abläufe helfen dabei, die Umstellung kontrolliert durchzuführen.

Authentifizierung ist eine Aufgabe von Technik und Organisation

Aus der Perspektive von Tulos zeigt die angekündigte Änderung einen grundsätzlichen Zusammenhang: Informationssicherheit entsteht nicht durch eine einzelne technische Einstellung. Sicherheitsmaßnahmen müssen mit Verantwortlichkeiten, verständlichen Prozessen und praktikablen Arbeitsabläufen zusammenspielen.

Ein Informationssicherheitskonzept kann dabei helfen, Authentifizierung, Zugriffsrechte und organisatorische Zuständigkeiten gemeinsam zu betrachten. Wenn Sie diese Zusammenhänge strukturiert prüfen möchten, finden Sie weitere Informationen zum Informationssicherheitskonzept von Tulos.

Die wichtigsten Fragen und Antworten

Wann stellt Microsoft SMS- und Sprachanmeldungen in Entra ID ein?

Microsoft will diese Authentifizierungsmethoden im Februar 2027 einstellen. Unternehmen sollten daher rechtzeitig prüfen, ob Benutzer oder administrative Konten noch davon abhängig sind.

Warum empfiehlt Microsoft Passkeys oder andere phishing-resistente Verfahren?

Phishing-resistente Verfahren sollen verhindern, dass Anmeldedaten über gefälschte Anmeldeseiten oder vergleichbare manipulierte Anmeldevorgänge abgegriffen werden. Microsoft nennt Passkeys als eine Möglichkeit für die Umstellung.

Welche Unternehmen müssen jetzt handeln?

Betroffen sind Unternehmen, die Entra ID nutzen und deren Benutzer oder Administratoren SMS- oder Sprachanmeldungen verwenden. Der konkrete Prüfbedarf hängt davon ab, welche Konten und Geschäftsprozesse diese Methoden einsetzen.

Quelle: Bleeping Computer

Der Beitrag Entra ID ohne SMS: So vermeiden Unternehmen Zugangsprobleme erschien zuerst auf Tulos IT-Sicherheit & Datenschutz aus Köln.

Eine externe Entscheidung kann zentrale Dienste unerreichbar machen

Beim 93. Treffen der Internet-Adressregistry RIPE in Sofia diskutierten Mitglieder, wie sich Betreiber technischer Basisinfrastrukturen gegen mögliche US-Sanktionen wappnen können. RIPE verwaltet IP-Adressen für Europa, den Nahen Osten und Zentralasien.

Der Anlass war unter anderem die Sperrung der Domain des italienischen Providers Autistici/Inventati durch die Registry Public Internet Registry. Nach der Einstufung durch das US-Finanzministerium waren laut heise online 10.000 Blogs, 1500 Webseiten und 16.000 Mailboxen nicht mehr erreichbar.

Der Fall betrifft nicht nur politische Organisationen oder Provider. Er macht sichtbar, dass die Verfügbarkeit digitaler Dienste von externen Stellen abhängen kann: von Domain-Registries, Banken, Zertifikatsanbietern, Cloud-Diensten oder rechtlichen Rahmenbedingungen außerhalb des eigenen Unternehmens.

Die Abhängigkeit liegt oft in mehreren Schichten

Viele zentrale Internetfunktionen unterstehen US-Recht. Dazu gehören laut der Diskussion bei RIPE die zentrale Root Zone des Domain Name System sowie große Registries. Eine Sperrung von .com oder .net könnte deshalb grundsätzlich auch die Erreichbarkeit einer Unternehmensdomain berühren.

Hinzu kommen technische Abhängigkeiten. Für Routing-Zertifikate sind DNS-Abfragen erforderlich, während das DNS seinerseits auf sicheres Routing angewiesen ist. Auch TLS-Zertifikate, die verschlüsselte Verbindungen absichern, stammen bei vielen Diensten von wenigen Anbietern.

Für Unternehmen entsteht daraus vor allem ein Resilienzrisiko: Fällt ein zentraler Dienst aus oder wird seine Nutzung eingeschränkt, können Websites, E-Mail, Zugänge und andere Geschäftsprozesse beeinträchtigt werden. Die verfügbaren Informationen belegen keine akute Bedrohung für jedes Unternehmen. Sie zeigen jedoch, dass einzelne Abhängigkeiten bislang leicht übersehen werden können.

Auch eine Cloud-Strategie kann zum Konzentrationsrisiko werden

Daniel Karrenberg, einer der Gründer von RIPE, sprach sich für eine Verringerung der Abhängigkeit von Hyperscalern im E-Mail-Bereich aus. Das RIPE NCC verabschiedete sich zudem von seiner 2019 gestarteten „Cloud First“-Strategie und plant wieder stärker selbst betriebene Infrastruktur.

Für Entscheider folgt daraus keine pauschale Absage an Cloud-Dienste. Sinnvoll ist vielmehr eine Bestandsaufnahme: Welche Anbieter sind für Domain, DNS, E-Mail, Zertifikate, Hosting und Authentifizierung unverzichtbar? Gibt es alternative Anbieter, eigene Betriebsoptionen oder dokumentierte Übergangslösungen?

Auch Zahlungswege können relevant sein. Das Beispiel Autistici/Inventati zeigt, dass nicht nur technische Sperren, sondern auch die Entscheidung einer Bank zur Einstellung von Konten die Fortführung eines Dienstes beeinflussen kann. Abhängigkeiten sollten deshalb über die IT-Abteilung hinaus betrachtet werden.

Ein Abhängigkeitsregister schafft eine belastbare Entscheidungsgrundlage

Unternehmen sollten kritische Internetdienste mit ihren Abhängigkeiten, Vertragsbeziehungen und Verantwortlichkeiten dokumentieren. Dazu gehören auch Informationen darüber, welche Daten und Geschäftsprozesse bei einem Ausfall betroffen wären und wie lange ein Ersatz realistisch verfügbar sein müsste.

Auf dieser Grundlage lassen sich Prioritäten setzen: redundante Domains und Systeme, alternative Kommunikationswege, mehrere Dienstleister oder stärker selbst betriebene Komponenten können die Abhängigkeit reduzieren. Welche Maßnahme angemessen ist, hängt von Geschäftsmodell, Schutzbedarf und Aufwand ab.

Resilienz beginnt mit klaren Verantwortlichkeiten

Aus Sicht von Tulos sollten Datenschutz, Informationssicherheit und Geschäftsprozesse bei dieser Prüfung zusammen betrachtet werden. Ein Ausfall von E-Mail, Website oder Cloud-Diensten kann nicht nur die Betriebsfähigkeit beeinträchtigen, sondern auch den Zugriff auf Kunden- und Mitarbeiterdaten sowie interne Abläufe erschweren.

Ein strukturiertes Risikomanagement hilft dabei, Abhängigkeiten zu bewerten, Verantwortlichkeiten festzulegen und Maßnahmen nachvollziehbar zu priorisieren. Entscheidend ist nicht, jede externe Abhängigkeit zu vermeiden, sondern die Folgen eines Ausfalls zu verstehen und angemessen zu begrenzen.

Die wichtigsten Fragen und Antworten

Ist jedes Unternehmen unmittelbar von einer Domainsperre bedroht?

Nein. Die Diskussion bei RIPE belegt keine unmittelbare Bedrohung für jedes Unternehmen. Sie zeigt jedoch, dass Domains und zentrale Internetdienste von externen Organisationen und rechtlichen Rahmenbedingungen abhängen können. Diese Abhängigkeiten sollten Unternehmen kennen und bewerten.

Welche Dienste sollten Unternehmen besonders prüfen?

Relevant sind insbesondere Domain und DNS, E-Mail, TLS-Zertifikate, Hosting, Cloud-Dienste, Authentifizierung sowie Zahlungswege. Entscheidend ist, ob ein Ausfall den Zugriff auf Unternehmensdaten oder wichtige Geschäftsprozesse beeinträchtigen würde.

Ist eine Rückkehr zu selbst betriebener Infrastruktur immer sinnvoll?

Nein. Selbst betriebene Systeme können Abhängigkeiten reduzieren, verursachen aber zusätzlichen technischen und organisatorischen Aufwand. Eine Entscheidung sollte auf einer Bewertung von Schutzbedarf, Betriebsfähigkeit, Alternativen und Kosten beruhen.

Quelle: heise.de

Der Beitrag Digitale Abhängigkeiten: Das unterschätzte Risiko für Unternehmen erschien zuerst auf Tulos IT-Sicherheit & Datenschutz aus Köln.

Der Beitrag NIS2 und CISO: Warum Führung jetzt zählt erschien zuerst auf Tulos IT-Sicherheit & Datenschutz aus Köln.

Cyberangriffe auf Dienstleister, kritische Sicherheitslücken in Unternehmenssoftware und der Schutz personenbezogener Daten stehen in dieser Woche im Mittelpunkt. Im Folgenden finden Sie eine Übersicht über aktuelle Meldungen.

Datenschutzbehörde untersucht Cyberangriff auf Schweizer Softwareanbieter

Nach einem Cyberangriff auf den Schweizer Softwareanbieter PK Softech AG hat der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) am 22. Oktober eine formelle Untersuchung eingeleitet. Besonders heikel: Bei dem Angriff wurden Daten mehrerer Pensionskassen entwendet, darunter auch Daten der Pensionskasse des Bundes Publica sowie jener der Stadt Zürich. Nach aktuellem Stand wurden dabei auch Informationen von Versicherten erbeutet, wie die Neue Zürcher Zeitung schreibt. Die Untersuchung soll klären, welche personenbezogenen Informationen betroffen sind und ob die Datenverarbeitung durch den Dienstleister den gesetzlichen Anforderungen entsprach.

Das Risiko: Werden personenbezogene Daten an externe Softwareanbieter übermittelt, können Sicherheitsvorfälle beim Dienstleister zahlreiche Unternehmen und deren Kunden gleichzeitig betreffen. Neben dem Datenverlust drohen aufsichtsrechtliche Untersuchungen und erhebliche Reputationsschäden.

Die Erkenntnis: Unternehmen sollten die technischen und organisatorischen Maßnahmen ihrer IT-Dienstleister regelmäßig überprüfen. Dazu gehören klare vertragliche Verantwortlichkeiten, dokumentierte Datenflüsse und verbindliche Prozesse für die Meldung und Bearbeitung von Sicherheitsvorfällen.

PHP-Sicherheitslücke: Sicherheitsupdates allein reichen nicht aus

Erneut war die in der vergangenen Woche entdeckte PHP-Sicherheitslücke ein Thema in den Medien. Mittlerweile sind viele zuvor abgeschaltete Webseiten wieder erreichbar. Sicherheitsexperten warnen allerdings davor, sich allein auf die Installation der bereitgestellten Updates zu verlassen. Wie die Tagesschau berichtet, sollten Webseitenbetreiber ihre Protokolldaten rückwirkend bis zum 17. Oktober überprüfen, da bereits zu diesem Zeitpunkt erste Angriffsversuche registriert wurden. Auch das Bundesamt für Sicherheit in der Informationstechnik (BSI) empfiehlt, PHP-Webserver verstärkt auf Auffälligkeiten zu überwachen. Ein zusätzliches Problem stellen veraltete PHP-Versionen dar, für die keine Sicherheitsupdates mehr verfügbar sind.

Das Risiko: Selbst wenn eine Sicherheitslücke durch ein Update geschlossen wurde, können Angreifer zuvor bereits Zugriff auf betroffene Systeme erlangt haben. Unentdeckte Kompromittierungen können dazu führen, dass Schadsoftware oder unberechtigte Zugänge bestehen bleiben und sensible Unternehmens- oder Kundendaten weiterhin gefährdet sind.

Die Erkenntnis: Unternehmen sollten Sicherheitsupdates nicht als abgeschlossene Einzelmaßnahme betrachten, sondern mit einer systematischen Überprüfung ihrer IT-Systeme verbinden. Dazu gehören die Auswertung von Zugriffs- und Fehlerprotokollen, die Überwachung verdächtiger Aktivitäten und die vollständige Erfassung eingesetzter Softwareversionen. Ein wirksames Schwachstellenmanagement muss deshalb sowohl die schnelle Installation von Updates als auch die nachträgliche Kontrolle möglicher Sicherheitsvorfälle umfassen.

Unfreiwillige Offenbarung bei Berliner Linkspartei

Eine versehentlich versandte Interviewfassung mit internen Kommentaren bringt die Berliner Linken-Politikerin Elif Eralp in Bedrängnis. Wie Cicero und Spiegel Online berichteten, hatte Eralp bei der Freigabe eines Spiegel-Interviews versehentlich eine Version mit persönlichen Anmerkungen zurückgeschickt. Darin äußerte sie Angst vor einem mutmaßlichen Terrorsympathisanten aus dem Umfeld ihrer Partei und Sorgen um die Sicherheit ihrer Familie. Die eigentlich vertraulichen Aussagen wurden dadurch öffentlich.

Das Risiko: Vertrauliche Informationen gelangen nicht nur durch Hackerangriffe oder vorsätzlichen Datenmissbrauch an die Öffentlichkeit. Häufig reichen menschliche Fehler wie ein falscher E-Mail-Anhang, übersehene Kommentare oder eine unzureichend geprüfte Dokumentenversion aus. Die Folgen können erhebliche persönliche, politische und wirtschaftliche Schäden sein.

Die Erkenntnis: Informationssicherheit ist nicht allein eine technische Herausforderung. Klare Freigabeprozesse, regelmäßige Mitarbeiterschulungen und regelmäßige Mitarbeiterschulungen gehören ebenfalls zum Sicherheitsmanagement.

Kritische Oracle-Sicherheitslücke: Angreifer suchen bereits nach verwundbaren Systemen

Eine kritische Schwachstelle in der Oracle E-Business Suite ermöglicht es Angreifern unter bestimmten Voraussetzungen, ohne vorherige Anmeldung die Kontrolle über betroffene Systeme zu übernehmen. Am 28. Oktober berichtete BleepingComputer, dass Sicherheitsforscher inzwischen gezielte Suchaktivitäten nach ungepatchten Installationen beobachten. Oracle veröffentlichte bereits am 20. Oktober entsprechende Sicherheitsupdates, diese wurden aber noch nicht von allen Unternehmen umgesetzt.

Das Risiko: ERP-Systeme verarbeiten häufig besonders sensible Geschäfts-, Finanz- und Personaldaten. Ein erfolgreicher Angriff kann deshalb nicht nur den laufenden Geschäftsbetrieb beeinträchtigen, sondern auch zum Abfluss vertraulicher Unternehmensinformationen führen.

Die Erkenntnis: Sicherheits-Updates sollten möglichst zeitnah umgesetzt werden. Wichtig ist deshalb ein zielführendes Informationssicherheits-Managementsystem (ISMS).

Cyberangriff auf den Paritätischen Wohlfahrtsverband: Sensible Daten betroffen

Der Paritätische Wohlfahrtsverband in Nordrhein-Westfalen ist Opfer eines Hackerangriffs geworden. Unbekannte konnten dabei personenbezogene Daten erbeuten, darunter möglicherweise auch sensible Informationen wie Bankverbindungen. Noch ist unklar, ob neben den 425 direkt beim Landesverband Beschäftigten auch Mitarbeitende der rund 3.100 Mitgliedsorganisationen betroffen sind. Der Verband hat nach eigenen Angaben die ausgenutzten Schwachstellen behoben, zusätzliche Sicherheitsmaßnahmen eingeführt und möglicherweise Betroffene informiert. Zudem wurden die Datenschutzaufsichtsbehörde eingeschaltet, Strafanzeige erstattet und externe IT-Fachleute hinzugezogen. Darüber berichtet die WELT.

Das Risiko: Cyberangriffe auf Verbände und andere Organisationen können weitreichende Folgen haben, wenn personenbezogene Daten zentral gespeichert und verarbeitet werden. Neben dem möglichen Missbrauch sensibler Informationen drohen erhebliche organisatorische Belastungen durch die Untersuchung des Vorfalls, die Information Betroffener und die Erfüllung gesetzlicher Meldepflichten.

Die Erkenntnis: Unternehmen und Organisationen sollten Zugriffsrechte auf personenbezogene Daten regelmäßig überprüfen, technische und organisatorische Schutzmaßnahmen dokumentieren und verbindliche Abläufe für Datenschutzverletzungen festlegen. Dazu gehört insbesondere, Sicherheitsvorfälle schnell zu erkennen, ihre Auswirkungen zu bewerten und gegebenenfalls die zuständige Datenschutzaufsicht innerhalb der gesetzlichen Fristen zu informieren.

Datenpanne bei Sony: Rund 2,5 Millionen Kundendatensätze betroffen

Die Sony-Tochter Sony Network Communications hat einen Datenschutzvorfall bestätigt, bei dem rund 2,5 Millionen Datensätze mit personenbezogenen Informationen aktueller und ehemaliger Kunden kompromittiert wurden, wie BleepingComputer schreibt. Das japanische Unternehmen bietet unter anderem Internet- und Telekommunikationsdienstleistungen an.

Das Risiko: Große Kundendatenbestände sind für Cyberkriminelle besonders attraktiv. Entwendete personenbezogene Informationen können für gezielte Phishing-Angriffe, Identitätsmissbrauch und weitere Betrugsversuche verwendet werden. Auch ehemalige Kunden können betroffen sein, wenn ihre Daten weiterhin gespeichert werden.

Die Erkenntnis: Unternehmen sollten prüfen, welche Kundendaten tatsächlich noch benötigt werden und wie lange sie gespeichert bleiben. Datensparsamkeit, konsequente Löschkonzepte und eine wirksame Zugriffsbeschränkung reduzieren mögliche Schäden bei einem Sicherheitsvorfall.

KI-Entwicklungsplattform Warp: Daten durch Angriff auf Dienstleister offengelegt

Der Anbieter der KI-gestützten Entwicklungsumgebung Warp hat einen Sicherheitsvorfall bestätigt, bei dem Protokolldaten von KI-Agenten und technische Nutzungsinformationen durch einen Angriff auf einen externen Dienstleister offengelegt wurden. Nach Angaben des Unternehmens könnten etwa ein Prozent der Nutzer betroffen sein. Ob auch Quellcode, Zugangsdaten oder vertrauliche Eingaben kompromittiert wurden, ist noch nicht abschließend geklärt, wie BleepingComputer am 27. Oktober berichtete.

Das Risiko: KI-Anwendungen können vertrauliche Informationen nicht nur in ihren eigentlichen Arbeitsergebnissen, sondern auch in Protokollen und Telemetriedaten speichern. Werden solche Informationen bei externen Anbietern verarbeitet, entstehen zusätzliche Angriffsflächen.

Die Erkenntnis: Unternehmen sollten bei der Einführung von KI-Werkzeugen prüfen, welche Daten protokolliert, gespeichert und an Drittanbieter weitergegeben werden. Klare Nutzungsrichtlinien, Zugriffsbeschränkungen und regelmäßige Sicherheitsprüfungen gehören zu einem wirksamen KI-Risikomanagement.

Was Unternehmen daraus lernen

Die Meldungen dieser Woche verdeutlichen drei zentrale Herausforderungen: Sicherheitsrisiken durch externe Dienstleister, unzureichend geschützte personenbezogene Daten und kritische Schwachstellen in weitverbreiteter Software. Unternehmen sollten deshalb ihre Dienstleisterkontrollen, Lösch- und Berechtigungskonzepte sowie ihr Patchmanagement regelmäßig überprüfen. Auch die Nutzung KI-gestützter Anwendungen muss in bestehende Datenschutz- und Sicherheitsprozesse integriert werden.

Eine strukturierte NIS2-Readiness und eine gezielte Audit-Vorbereitung helfen dabei, Sicherheitsmaßnahmen systematisch zu bewerten, Verantwortlichkeiten festzulegen und die erforderlichen Nachweise zu dokumentieren.

Sie möchten Ihre Datenschutz- und Informationssicherheitsprozesse überprüfen lassen? Nehmen Sie über unser Kontaktformular Kontakt mit Tulos auf und fordern Sie ein individuelles Angebot an.

Der Beitrag Tulos Presseschau vom 29.10.2026 zu Datenschutz und Datensicherheit erschien zuerst auf Tulos IT-Sicherheit & Datenschutz aus Köln.

Fake Work: Eine wachsende Herausforderung für Unternehmen

Immer mehr Unternehmen beobachten, dass ihre Mitarbeitenden zwar beschäftigt wirken, jedoch nicht notwendigerweise produktiv sind. Der Begriff „Fake Work“ beschreibt Tätigkeiten, die keinen echten Wertbeitrag leisten, sondern oft lediglich aus organisatorischen Vorgaben resultieren. Dies führt dazu, dass Unternehmen Ressourcen verschwenden und die Effizienz ihrer Prozesse gefährden.

Die verstärkte Nutzung von KI kann dieses Problem noch verschärfen. Denn während KI theoretisch dazu beitragen kann, Routineaufgaben zu automatisieren und Freiräume für kreative Tätigkeiten zu schaffen, führt sie in der Praxis häufig zu einer Verdichtung der Arbeit. Mitarbeitende stehen unter dem Druck, trotz Automatisierung höhere Leistung zu erbringen, was zu einer Überlastung führen kann.

Die Auswirkungen auf Geschäftsprozesse und die Unternehmenskultur

Die Rückkehr zu alten Arbeitsmustern, wie der Präsenzpflicht im Büro, zeigt, dass viele Organisationen in eine Art Regression verfallen. Diese Rückkehr zu traditionelleren Arbeitsweisen geht oft mit einem Verlust von Vertrauen und einer Zunahme an Mikromanagement einher. Solche Umstände können die Motivation der Mitarbeitenden beeinträchtigen und die Innovationskraft eines Unternehmens mindern.

Ein weiterer Aspekt ist die messbare Leistung. In der modernen Arbeitswelt ist es oft schwierig, zwischen echter Leistung und bloßer Beschäftigung zu unterscheiden. Dies führt dazu, dass Unternehmen Schwierigkeiten haben, die tatsächliche Produktivität ihrer Mitarbeitenden zu bewerten. Stattdessen könnte eine Fokussierung auf Ergebnisse und Output die Effizienz steigern und die Kultur der „Busy Work“ hinterfragen.

Handlungsbedarf erkennen: Maßnahmen zur Effizienzsteigerung

Angesichts dieser Herausforderungen sollten Unternehmen Maßnahmen ergreifen, um die Effizienz ihrer Arbeitsprozesse zu erhöhen. Dazu gehören unter anderem:

• Regelmäßige Überprüfung der Arbeitsabläufe, um echte Wertschöpfung zu identifizieren und zu fördern.
• Schulungen zur Sensibilisierung der Mitarbeitenden für die Unterschiede zwischen produktiver Arbeit und Fake Work.
• Implementierung von Feedback-Mechanismen, um die tatsächliche Leistung zu messen und zu bewerten.
• Förderung einer Unternehmenskultur, die Vertrauen und Eigenverantwortung unterstützt.

Diese Schritte können dazu beitragen, die negativen Effekte von Fake Work zu minimieren und die Produktivität nachhaltig zu steigern.

Die Tulos-Perspektive: Unterstützung durch gezielte Maßnahmen

Um den Herausforderungen von Fake Work und den damit verbundenen Risiken effektiv zu begegnen, kann die Unterstützung durch externe Experten sinnvoll sein. Tulos Consulting bietet Ihnen die Möglichkeit, durch maßgeschneiderte Datenschutz- und Informationssicherheitslösungen Ihre Prozesse zu optimieren. Insbesondere eine umfassende Datensicherheits-Audit kann Ihnen helfen, Schwächen in Ihren Abläufen zu identifizieren und gezielt zu verbessern.

Die wichtigsten Fragen und Antworten

Was ist Fake Work und warum ist es ein Problem für Unternehmen?

Fake Work bezeichnet Tätigkeiten, die keinen echten Wertbeitrag leisten und oft aus organisatorischen Vorgaben resultieren. Dies kann zu Ressourcenverschwendung und ineffizienten Prozessen führen.

Wie beeinflusst Künstliche Intelligenz Fake Work?

Obwohl KI Routineaufgaben automatisieren kann, führt sie häufig zu einer Verdichtung der Arbeit. Mitarbeitende stehen unter Druck, trotz Automatisierung höhere Leistung zu erbringen, was zu Überlastung führen kann.

Welche Maßnahmen können Unternehmen ergreifen, um Fake Work zu reduzieren?

Unternehmen sollten Arbeitsabläufe regelmäßig überprüfen, Schulungen anbieten, Feedback-Mechanismen implementieren und eine Kultur des Vertrauens und der Eigenverantwortung fördern.

Wie kann Tulos Consulting Unternehmen unterstützen?

Tulos Consulting bietet maßgeschneiderte Lösungen im Bereich Datenschutz und Informationssicherheit an, darunter auch Datensicherheits-Audits, um Schwächen in den Prozessen zu identifizieren und zu verbessern.

Quelle: t3n

Der Beitrag Fake Work erkennen und Effizienz steigern erschien zuerst auf Tulos IT-Sicherheit & Datenschutz aus Köln.

Ein Gericht macht fehlende Zugriffskontrolle zum Datenschutzproblem

Das Bundesgericht für den südlichen Bezirk von New York hat entschieden, dass das US-Personalbüro für Bundesbedienstete (OPM) mit der Freigabe umfangreicher Datenzugriffe für Mitarbeiter des Department of Government Efficiency (DOGE) gegen den US-amerikanischen Privacy Act verstieß.

Betroffen waren zentrale Datenbanken mit sensiblen Informationen von Millionen Beschäftigten. Nach der Darstellung des Gerichts erfolgten die Zugriffe ohne nachgewiesenen dienstlichen Bedarf. Außerdem habe das OPM gesetzliche Pflichten zur Datensicherheit ignoriert und geschützte personenbezogene Datensätze unzulässig offengelegt.

Für Unternehmen liegt die Bedeutung nicht in der politischen Besonderheit des Falls. Entscheidend ist das zugrunde liegende Muster: Eine organisatorische Begründung wie Modernisierung oder neue Aufgaben rechtfertigt keinen pauschalen Zugriff auf besonders schützenswerte Daten.

Das Prinzip der minimalen Rechtevergabe ist keine Formalität

Das Gericht stellte fest, dass Grundsätze wie Least Privilege missachtet wurden. Damit ist gemeint, dass Beschäftigte und externe Kräfte nur die Berechtigungen erhalten, die sie für eine konkrete Aufgabe tatsächlich benötigen.

Auch vorgeschriebene Sicherheitsschulungen wurden bei vielen DOGE-Agenten erst Wochen nach der Freigabe der Zugriffsrechte absolviert. Für Unternehmen entsteht daraus ein nachvollziehbares Risiko: Wer sensible Daten bereits einsehen kann, bevor Regeln, Zuständigkeiten und sichere Abläufe vermittelt wurden, kann Schutzvorgaben leichter falsch anwenden oder umgehen.

Besonders problematisch war laut Gericht zudem, dass interne Datenbankverwalter zeitweise blockiert wurden, während externe Kräfte parallel uneingeschränkten Systemzugriff erhielten. Das zeigt, dass Berechtigungen nicht isoliert betrachtet werden dürfen. Auch die Frage, wer Freigaben erteilen, kontrollieren und im Konfliktfall begrenzen kann, gehört zur Informationssicherheit.

Technische Protokolle ersetzen keine verantwortliche Organisation

Das Gericht betonte, dass strenge Protokolle allein keinen vollständigen Schutz garantieren, wenn Handelnde Schutzvorgaben umgehen. Protokollierung kann nachvollziehbar machen, wer auf Daten zugegriffen hat. Sie verhindert aber nicht automatisch, dass ein Zugriff von vornherein zu weit reicht oder organisatorische Kontrollen außer Kraft gesetzt werden.

Unternehmen sollten deshalb prüfen, ob sensible Kunden-, Mitarbeiter- oder Unternehmensdaten nach einem klaren Bedarfskonzept geschützt sind. Dazu gehören nachvollziehbare Rollen, dokumentierte Freigaben, regelmäßige Überprüfungen und ein geregelter Entzug von Berechtigungen, wenn Aufgaben oder Zuständigkeiten enden.

Ebenso wichtig ist die Reihenfolge: Sicherheitsunterweisungen und klare Vorgaben sollten vor der Freischaltung erfolgen, nicht erst danach. Bei externen Kräften müssen Auftrag, Zugriffsumfang und Verantwortlichkeit besonders eindeutig festgelegt werden. Das Urteil belegt keinen konkreten Schaden bei einem Unternehmen, macht aber sichtbar, wie aus unkontrollierten Zugriffsrechten ein Datenschutz- und Verantwortungsproblem werden kann.

Audits schaffen Klarheit über Berechtigungen und Verantwortlichkeiten

Der Fall zeigt aus Sicht von Tulos, dass Datenschutz und Informationssicherheit bei Zugriffsentscheidungen zusammengehören. Ein wirksamer Schutz sensibler Daten braucht technische Begrenzungen, klare organisatorische Abläufe und Menschen, die ihre Verantwortung und die geltenden Regeln verstehen.

Ein Audit kann dabei helfen, bestehende Berechtigungen, Freigabeprozesse und Sicherheitsmaßnahmen systematisch zu überprüfen. Für Unternehmen, die insbesondere den Umgang mit personenbezogenen Daten bewerten möchten, bietet sich ein Datenschutz-Audit an. So lassen sich Schwachstellen gezielt erkennen, ohne aus jedem einzelnen Zugriffsvorgang einen akuten Sicherheitsvorfall abzuleiten.

Die wichtigsten Fragen und Antworten

Was bedeutet Least Privilege für Unternehmen?

Das Prinzip verlangt, dass Beschäftigte und externe Kräfte nur die Zugriffsrechte erhalten, die sie für ihre konkrete Aufgabe benötigen. Pauschale oder dauerhaft umfassende Berechtigungen widersprechen diesem Grundgedanken.

Warum reicht eine Protokollierung von Zugriffen nicht aus?

Protokolle dokumentieren Zugriffe und können spätere Prüfungen unterstützen. Sie verhindern jedoch nicht automatisch, dass Berechtigungen zu weit gefasst sind oder organisatorische Kontrollen umgangen werden.

Wann sollten Sicherheitsschulungen stattfinden?

Aus dem Fall lässt sich ableiten, dass Schulungen und klare Vorgaben vor der Freischaltung sensibler Systeme erfolgen sollten. So kennen Personen ihre Pflichten, bevor sie auf geschützte Daten zugreifen können.

Quelle: heise.de

Der Beitrag Zu viele Zugriffsrechte gefährden Datenschutz und Sicherheit erschien zuerst auf Tulos IT-Sicherheit & Datenschutz aus Köln.

Zwei kritische Schwachstellen in PHP betreffen nicht nur einzelne Websites, sondern ganze Webanwendungen, die auf dieser verbreiteten Programmiersprache aufbauen. Für Unternehmen ist das relevant, weil daraus unter bestimmten Voraussetzungen ein Risiko für Datenzugriffe, Manipulationen und Ausfälle entsteht. Wer jetzt weiß, wo PHP im eigenen Umfeld eingesetzt wird und wie der Patchstatus aussieht, kann die Lage deutlich besser einschätzen.

Am 21. Oktober 2026 wurden zwei schwerwiegende Sicherheitslücken in PHP öffentlich bekannt, die unter dem Namen „PHP2Shell“ zusammengefasst werden. PHP ist die technische Grundlage vieler Websites, Shops und Content-Management-Systeme wie WordPress. Die Schwachstellen liegen nicht in einer einzelnen Seite, sondern in der PHP-Installation selbst. Genau deshalb reicht es nicht aus, nur auf das Frontend oder ein CMS-Update zu schauen.

Unter bestimmten Voraussetzungen kann ein Angreifer aus der Ferne Befehle auf einem verwundbaren Server ausführen. Das ist technisch besonders relevant, weil damit nicht nur Inhalte verändert, sondern auch vertrauliche Informationen ausgelesen oder Schadsoftware nachgeladen werden können. Eine Sicherheitslücke bedeutet allerdings nicht automatisch, dass ein System بالفعل kompromittiert wurde.

Für Entscheider ist vor allem wichtig, die eigene Angriffsfläche realistisch zu bewerten. Nicht jede WordPress-Website ist automatisch betroffen. Ausschlaggebend sind die tatsächlich eingesetzte PHP-Version, ihr Patchstatus und die vorhandenen Schutzmaßnahmen. Auch die Beobachtung automatisierter Angriffsversuche nach der öffentlichen Bekanntgabe zeigt vor allem eines: Solche Lücken werden schnell gescannt, aber nicht jeder Versuch führt zu einem erfolgreichen Einbruch.

Welche Risiken für Unternehmen entstehen können

Die Folgen hängen davon ab, welche Daten auf dem betroffenen Server liegen und welche Berechtigungen der kompromittierte Prozess besitzt. Besonders kritisch wird es, wenn über die Anwendung Kontaktdaten, Zugangsdaten, Kunden- und Zahlungsinformationen oder sogar Geschäftsgeheimnisse erreichbar sind. Dann geht es nicht nur um einen technischen Vorfall, sondern auch um mögliche Folgen für Datenschutz, Geschäftsbetrieb und Vertrauen.

Realistisch sind vor allem diese Auswirkungen: Ausfälle von Websites und Online-Shops, Kosten für Analyse und Wiederherstellung, der Verlust vertraulicher Informationen sowie mögliche Erpressungsversuche. Wenn personenbezogene Daten betroffen sind, kann zusätzlich die Frage nach einer Datenschutzverletzung nach Art. 33 und 34 DSGVO relevant werden. Entscheidend ist dabei nicht die Lücke an sich, sondern ob tatsächlich ein Risiko für Rechte und Freiheiten natürlicher Personen entstanden ist.

Auch außerhalb des Unternehmens können Folgen entstehen. Privatpersonen sind nicht direkt über ihre eigenen Geräte von dieser serverseitigen PHP-Lücke betroffen. Wenn aber Online-Dienste Daten verlieren, können Phishing, Kontomissbrauch oder Identitätsdiebstahl die Folge sein. Für Unternehmen bedeutet das: Ein Angriff auf die Webanwendung kann mittelbar auch Kunden und Geschäftspartner betreffen.

Was jetzt praktisch zu tun ist

Die wichtigste Maßnahme ist eine vollständige Übersicht über alle PHP-Installationen im Unternehmen, einschließlich Kundenportalen und internen Webanwendungen. Nur wer weiß, wo PHP eingesetzt wird, kann den Patchstatus systematisch prüfen. Updates sollten unverzüglich eingespielt werden. Wenn eine Aktualisierung kurzfristig nicht möglich ist, sollte der öffentliche Zugriff eingeschränkt oder das System vorübergehend offline genommen werden.

Daneben sollten Server- und Zugriffsprotokolle, Dateiveränderungen und verdächtige Prozesse geprüft werden. Backups müssen ebenfalls kontrolliert sein, damit im Ernstfall eine belastbare Wiederherstellung möglich ist. Wichtig ist außerdem, nicht nur auf ein WordPress-Update zu vertrauen: Auch die zugrunde liegende PHP-Installation muss abgesichert sein. Laut den veröffentlichten Sicherheitsinformationen sind für die betroffenen unterstützten Versionszweige insbesondere PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 relevant; bei Distributionen und Hostern können Sicherheitskorrekturen jedoch zurückportiert sein. Deshalb zählt der tatsächliche Patchstatus.

Wenn bereits ein Angriff vermutet wird, sollte das betroffene System gesichert und gegebenenfalls isoliert werden, ohne unnötig Beweismittel zu vernichten. Protokolle und Systeminformationen sollten erhalten bleiben, damit sich Umfang und Ursache später nachvollziehen lassen. Anschließend sind mögliche Hintertüren, kompromittierte Zugangsdaten und der Zustand der Systeme zu prüfen, bevor die Umgebung wieder in Betrieb geht.

Warum das Thema auch für Datenschutz und ISMS relevant ist

PHP2Shell zeigt sehr deutlich, dass technische Schwachstellen nicht nur ein IT-Problem sind. Wenn ein Angreifer über eine Webanwendung auf personenbezogene Daten zugreifen kann, entstehen auch datenschutzrechtliche Pflichten. Zudem wird sichtbar, wie wichtig klar geregelte Zuständigkeiten, strukturierte Patch-Prozesse und ein vorbereitetes Notfallmanagement sind.

Ein Informationssicherheitsmanagementsystem nach ISO/IEC 27001 hilft dabei, solche Risiken systematisch zu beherrschen. Es schafft Transparenz über IT-Systeme, unterstützt die Bewertung von Schwachstellen und sorgt dafür, dass Updates und Vorfälle kontrolliert behandelt werden. Auch Art. 32 DSGVO und der BSI-IT-Grundschutz zielen in dieselbe Richtung: angemessene technische und organisatorische Maßnahmen statt reiner Reaktion im Ernstfall. Ein ISMS verhindert nicht jede Lücke, verbessert aber die Reaktionsfähigkeit deutlich.

Rufen Sie uns an. Tulos ist Ihr kompetenter Partner, wenn es um Informationssicherheit und Datenschutz geht. Lassen Sie uns gemeinsam prüfen, ob Ihre Webanwendungen, Update-Prozesse und Notfallabläufe ausreichend abgesichert sind. Besuchen Sie unsere Seite zu ISMS-Implementierung für weitere Informationen.

Fazit

PHP2Shell ist ernst zu nehmen, weil die Schwachstellen weit verbreitete Webanwendungen betreffen können. Entscheidend ist aber eine nüchterne Bewertung: Nicht jede Website ist betroffen, nicht jeder Angriffsversuch war erfolgreich und nicht jede Lücke führt automatisch zu einem Datenschutzvorfall. Für Unternehmen zählt jetzt vor allem, ob sie ihre PHP-Installationen kennen, Updates sauber umsetzen und im Ernstfall handlungsfähig sind.

Wer hier vorbereitet ist, reduziert nicht nur das technische Risiko, sondern auch die Folgen für Betrieb, Datenschutz und Reputation. Wenn Sie prüfen möchten, ob Ihre Organisation bei solchen Vorfällen ausreichend aufgestellt ist, unterstützen wir Sie bei der Analyse, bei technischen und organisatorischen Maßnahmen sowie beim Aufbau belastbarer Informationssicherheitsprozesse.

Der Beitrag PHP2Shell: Ist Ihre Website wirklich geschützt? erschien zuerst auf Tulos IT-Sicherheit & Datenschutz aus Köln.

Der Beitrag Datenschutz-Schulungen: Pflicht oder Kür? erschien zuerst auf Tulos IT-Sicherheit & Datenschutz aus Köln.

Datenschutz und Datensicherheit bleiben in dieser Woche ein wiederkehrendes Thema in den Medien. Unten finden Sie ausgewählte Meldungen mit konkretem Unternehmensbezug.

Notfall-Updates nach Entdeckung der kritischen PHP2Shell-Lücken

Selten ist es der Fall, dass nahezu alle großen Nachrichtenportale über das Thema Informationssicherheit berichten. Diese Woche war das der Fall, denn eine kritische Sicherheitslücke in der Web-Programmiersprache PHP (PHP2Shell) zwingt aktuell weltweit Betreiber von Webseiten und Online-Diensten zum Handeln. Da Angreifer ohne Anmeldung fremden Schadcode ausführen und die Kontrolle über Server erlangen können, veröffentlichte das PHP-Team Notfall-Updates. Das BSI warnte vor den Risiken, während IT-Dienstleister dazu raten, Systeme vorsorglich vom Netz zu trennen, falls Patches nicht sofort eingespielt werden können. Über die Ausmaße und notwendigen Schutzmaßnahmen berichten unter anderem WELT, heise online und FOCUS online.

Das Risiko: Da viele Content-Management-Systeme wie WordPress, Joomla und viele andere auf PHP basieren, betrifft die Schwachstelle nicht nur einzelne Anwendungen, sondern das fundamentale digitale Frontend vieler Organisationen. Es drohen plötzliche Dienstausfälle durch präventive Abschaltungen oder im schlimmsten Fall eine vollständige Übernahme der Serverinfrastruktur.

Die Erkenntnis: Unternehmen sollten klare Prozesse für schnelle Patch-Entscheidungen vorhalten, veraltete Software-Umgebungen konsequent identifizieren und Web Application Firewalls (WAF) zur präventiven Absicherung nutzen.

Hacker greifen E-Mail-Konten der AfD an

Die WELT berichtet über einen Hackerangriff auf einen Hosting-Dienstleister der Partei AfD. Nach Angaben der AfD seien dabei vermutlich Teile einzelner, offenbar seit Jahren nicht mehr genutzter Mail-Postfächer kopiert worden; aktuelle Postfächer des Bundesverbands seien laut Partei nicht betroffen gewesen. Unbekannte hätten zudem behauptet, große Mengen an E-Mails veröffentlicht zu haben – über Echtheit/Umfang soll noch unklar sein. Das berichtet ebenfalls die WELT.

Das Risiko: Angriffe auf E-Mail-Umgebungen bzw. Hosting-Dienstleister können zur unbefugten Kopie personenbezogener oder anderweitig geschäftsrelevanter Daten führen – auch dann, wenn der eigentliche Zugriff sich auf „veraltete“ oder selten genutzte Postfächer konzentriert.

Die Erkenntnis: Unternehmen sollten insbesondere bei E-Mail- und Hosting-Setups wirksam nachweisen können, wie Kontenlebenszyklen gehandhabt werden (z. B. Deaktivierung/Stilllegung nicht benötigter Konten) und wie Verantwortlichkeiten/Kontrollen über Dienstleister hinweg dokumentiert und überprüft sind.

Meta Muse: Tausende private KI-Gespräche waren per Suche auffindbar

Wie t3n berichtet, dass Forschende tausende private Gespräche mit dem KI-Agenten „Muse“ von Meta per Suchanfrage einsehen konnten. Laut Berichten habe Meta daraufhin eine Freigabefunktion vorübergehend ausgesetzt. Anlass sei gewesen, dass der KI-Agent sensible Informationen offenlegen konnte, wenn Nutzer Inhalte über Weblinks teilten; darunter seien auch Daten, die auf einen geschäftlichen Kontext schließen lassen (im Bericht genannt: ein Urlaubskalender eines Unternehmens).

Das Risiko: Bei KI-gestützten Anwendungen können Datenschutzrisiken durch fehlerhafte Freigabe-/Auffindbarkeitsmechanismen entstehen – mit der Folge, dass Inhalte, die Unternehmen eigentlich nicht teilen wollten, potenziell über Such-/Freigabewege zugänglich werden.

Die Erkenntnis: Unternehmen sollten bei der Nutzung von KI-Diensten klare Regeln zur Verarbeitung und Weitergabe sensibler Inhalte definieren (inkl. Freigabe- und Link-Nutzung) und diese Regeln intern auch praktisch durch Schulungen und Nutzungsrichtlinien absichern.

Datenschutz: Walisischer Politiker löst Debatte um Smart Glasses aus

Außerdem greift t3n eine Debatte auf, die durch Smart Glasses ausgelöst wurde: Als Problem wird beschrieben, dass smarte Brillen oft ähnlich wie normale Brillen wirken und dadurch unbemerktes Aufzeichnen sowie das Erfassen vertraulicher Informationen erleichtert werden können. In dem Beitrag wird zudem auf Warnungen von Datenschutzbeauftragten Bezug genommen.

Das Risiko: Der Einsatz von Daten verarbeitender Sensorik (z. B. Kamera/Audio) in alltagstauglichen Geräten kann zu Datenschutzverstößen führen, wenn Aufzeichnung und Zweck/Transparenz nicht rechtssicher bzw. für Betroffene erkennbar sind.

Die Erkenntnis: Unternehmen sollten bei neuen Erfassungs- oder Assistenztechnologien (auch „nur“ für interne Zwecke) nicht nur die technische Funktion bewerten, sondern vorab klären: Wer darf sie wann einsetzen, wie werden Aufzeichnungen kenntlich gemacht und wie wird datenschutzkonform mit Betroffeneninformationen umgegangen?

Was Unternehmen daraus lernen

Die Meldungen zeigen vor allem: Sicherheitslücken und falsche/unklare Datenzugriffswege führen schnell zu Einschränkungen oder zu unerwünschter Datenverfügbarkeit – selbst ohne „großen“ Angriff. Unternehmen sollten deshalb ihre Prozesse für Updates und Dienstverfügbarkeit, die Kontrolle über Dienstleister und Datenzugriffe sowie klare Nutzungsregeln für neue digitale Tools und KI-Anwendungen regelmäßig überprüfen. Dabei können NIS2-Readiness und eine Audit-Vorbereitung helfen, Kontrollen und Nachweise so aufzusetzen, dass Risiken nicht nur erkannt, sondern auch belastbar gesteuert und dokumentiert werden.

Gleich mit Tulos Kontakt aufnehmen und ein Angebot anfordern? Schreiben Sie uns über unser Kontaktformular.

Der Beitrag Tulos Presseschau vom 22.10.2026 zu Datenschutz und Datensicherheit erschien zuerst auf Tulos IT-Sicherheit & Datenschutz aus Köln.

Der Beitrag Wenn Sicherheitsregeln überfordern erschien zuerst auf Tulos IT-Sicherheit & Datenschutz aus Köln.