Die ENISA Threat Landscape 2026 liefert ein wichtiges EU-weites Lagebild, aber keine fertige Prioritätenliste für einzelne Unternehmen. In der von ENISA ausgewerteten Datenbasis waren DDoS-Vorfälle mit 51,3 % der häufigste Incident-Typ. Zugleich bewertet die Agentur finanzmotivierte Aktivitäten – insbesondere Ransomware – kurzfristig als folgenreichste Bedrohung für Organisationen in der EU. Für Geschäftsleitung, CISO und Resilienzfunktionen folgt daraus eine zentrale Steuerungsaufgabe: Ereignishäufigkeit, potenzielle Geschäftsauswirkung und Wiederherstellungsfähigkeit müssen getrennt bewertet werden.
Dieser Beitrag beschränkt sich deshalb bewusst auf ein Management-Steuerungsartefakt: eine Szenariologik und ein Kennzahlensystem, mit denen sich Lagebilddaten in priorisierte Resilienzentscheidungen überführen lassen. ENISA-Daten zeigen Trends und relevante Muster; sie ersetzen weder die eigene Risikoanalyse noch die Bewertung kritischer Dienste, Abhängigkeiten und Schutzmaßnahmen.
Warum hohe DDoS-Zahlen kein Maß für das Geschäftsrisiko sind
ENISA analysierte 8.257 Incidents aus dem Kalenderjahr 2025. Die Verteilung der Incident-Typen war nach ihrer Einordnung stark durch überwiegend niedrigwirksame DDoS-Angriffe geprägt. Diese Aktivität stand vor allem im Zusammenhang mit geopolitisch und politisch motiviertem Hacktivismus. Ideologisch motivierte Aktivitäten machten 57,3 % der nach Zielsetzung bewerteten Aktivitäten aus; ENISA hält jedoch fest, dass die zugehörigen Behauptungen trotz ihres hohen Anteils nicht zu großflächigen oder erheblichen Auswirkungen führten.
Damit ist DDoS keineswegs zu vernachlässigen. Ein Angriff kann öffentliche digitale Dienste, Kundenportale oder Behördenzugänge beeinträchtigen und erhebliche operative Folgen auslösen. Aus der Zahl erfasster Ereignisse lässt sich aber nicht unmittelbar ableiten, wie wahrscheinlich ein erheblicher Ausfall im eigenen Unternehmen ist oder welcher Schaden daraus entsteht. Die Sichtbarkeit verschiedener Angriffstypen unterscheidet sich zudem: DDoS-Aktivität, Ransomware-Erpressung und langfristig verdeckte Cyberespionage erscheinen nicht in gleicher Weise in offen verfügbaren Incident-Daten.
Auch die ergänzende ENISA-Erhebung zu NIS-Investitionen verdeutlicht die Differenz: Befragte aus NIS-Sektoren hoher Kritikalität bezeichneten DDoS als „noise“, während Ransomware die organisatorischen Sorgen dominierte. Die Antworten von 1.080 Fachleuten sind keine repräsentative Schadensmessung aller EU-Unternehmen. Sie stützen aber die praktische Notwendigkeit, Volumen und Wirkung nicht gleichzusetzen.
Drei Szenarien statt einer gemeinsamen Bedrohungsrangliste
Ein wirksames Resilienzportfolio behandelt DDoS, Ransomware mit möglichem Datendiebstahl und langfristige unbefugte Zugriffe als getrennte Szenarien. Sie unterscheiden sich in Schutzzielen, Entscheidungsbedarf und Wiederanlaufanforderungen.
- DDoS-Szenario: Im Vordergrund stehen Verfügbarkeit, Kapazitätsreserven, DDoS-Schutz, DNS-, CDN- und Cloud-Abhängigkeiten sowie die Kommunikation bei beeinträchtigten externen Diensten. Wesentlich ist, wie schnell kritische Zugänge wieder stabil verfügbar sind.
- Ransomware- und Datendiebstahl-Szenario: Hier müssen Unternehmen neben Serviceausfällen auch kompromittierte privilegierte Identitäten, laterale Bewegung, Datenabfluss, Forensik, Krisenkommunikation und die Wiederherstellung aus isolierten Backups beherrschen. Entscheidend ist nicht nur ein technischer Restore, sondern ein nachvollziehbar sauberer Wiederanlauf.
- Szenario unbefugter Zugriff: Bei verdeckten oder länger andauernden Kompromittierungen stehen Erkennung, Untersuchung, Begrenzung des Zugriffs und die Integrität betroffener Systeme und Daten im Mittelpunkt. Ein fehlender sichtbarer Ausfall ist kein Beleg für fehlende Wirkung.
Diese Trennung verhindert, dass eine hohe Zahl kurzzeitiger Verfügbarkeitsereignisse Ressourcen von Maßnahmen abzieht, die einen einzelnen, aber existenzielleren Erpressungs- oder Datendiebstahlvorfall begrenzen würden.
Gemeinsame Eintrittspfade als priorisierbares Maßnahmen-Backlog
Getrennte Schadensszenarien bedeuten nicht, dass alle Maßnahmen getrennt umgesetzt werden müssen. Viele Kontrollen reduzieren mehrere Risiken zugleich. ENISA konnte bei Incidents mit unbefugtem Zugriff nur für 5,2 % einen Eintrittsvektor identifizieren. Innerhalb dieser begrenzten Teilmenge entfielen 60,4 % auf die Ausnutzung von Schwachstellen und 20,7 % auf Fehlkonfigurationen oder unbeabsichtigte Exponierung. Diese Werte sind keine allgemeine Rangfolge aller Eintrittspfade, rechtfertigen aber besondere Aufmerksamkeit für Exponierung, sichere Konfiguration und Schwachstellenmanagement.
Phishing stellte 77,8 % der beobachteten Social-Engineering-Techniken dar. Gleichzeitig bewertet ENISA KI im Berichtszeitraum vor allem als Verstärker bestehender Methoden, etwa für Phishing, synthetische Inhalte oder Unterstützung bei der Schwachstellensuche. Unternehmen sollten deshalb keine isolierte „KI-Bedrohung“ steuern, sondern etablierte Kontrollen auf höhere Qualität und Skalierung von Angriffen ausrichten.
Ein gemeinsames Backlog kann insbesondere folgende Maßnahmen bündeln:
- vollständige Inventarisierung und fortlaufende Bewertung internetexponierter Systeme,
- sichere Konfiguration und Kontrolle unbeabsichtigter Exponierung,
- zeitnahe Behandlung aktiv ausgenutzter Schwachstellen,
- phishing-resistente Absicherung privilegierter und Remote-Zugänge,
- Logging sowie Erkennung ungewöhnlicher Identitäts- und Administrationsaktivitäten,
- klare Verantwortlichkeiten für die technische und fachliche Verifikation einer Behebung.
Patch-Priorisierung nach Geschäftswirkung ausrichten
Die Anzahl offener Schwachstellen oder ein isolierter CVSS-Wert genügt nicht für die operative Priorisierung. Ein belastbares Verfahren bewertet mindestens: bestätigte aktive Ausnutzung, Internet-Exponierung, Erreichbarkeit kritischer Geschäftsprozesse, Berechtigungskontext, vorhandene Kompensationsmaßnahmen und Wiederherstellbarkeit. Der CISA-Katalog Known Exploited Vulnerabilities kann dabei als zusätzliche Threat-Intelligence-Quelle dienen. Er ist jedoch eine US-amerikanische Priorisierungshilfe und keine unmittelbar verbindliche europäische oder deutsche Vorgabe.
Für das Management ist besonders wichtig, dass „gepatcht“ nicht automatisch „Risiko beseitigt“ bedeutet. Erforderlich sind ein nachvollziehbarer Asset-Bezug, ein dokumentierter Entscheidungsweg für Ausnahmen und eine verifizierte Behebung. Wo ein Patch nicht kurzfristig möglich ist, müssen Kompensationsmaßnahmen, akzeptiertes Restrisiko und ein verbindlicher Nachsteuerungszeitpunkt transparent sein.
Abhängigkeiten als Multiplikator der Schadenswirkung
ENISA beobachtete wirkungsstarke Angriffe über Cyber-Abhängigkeiten, darunter Drittdienstleister, Cloud-Umgebungen, Software, Repositories und Browser-Erweiterungen. Ein einzelner Kompromittierungspunkt kann dadurch eine größere Reichweite erzeugen. Für kritische Provider und Softwareabhängigkeiten reichen Fragebögen allein daher nicht aus.
Praktisch relevant sind nachvollziehbare Abhängigkeitsinventare, Auswirkungsanalysen für kritische Dienste, Melde- und Mitwirkungspflichten sowie Exit- und Wiederanlaufoptionen. Bei Paket- und Repository-Abhängigkeiten können die Hinweise aus der ENISA Technical Advisory für die sichere Nutzung von Package Managern als fachliche Orientierung dienen. Entscheidend bleibt, ob die Organisation die Auswirkung einer Störung oder Kompromittierung auf ihre eigenen Dienste tatsächlich beurteilen und testen kann.
Management-Dashboard: Exposition, Auswirkung und Wiederherstellung
Ein kompaktes Dashboard sollte Incident-Zählungen nicht als zentrale Erfolgskennzahl verwenden. Sinnvoll sind drei getrennte Perspektiven:
- Exposition und Angriffsdruck: Anteil kritischer internetexponierter Assets mit aktiv ausgenutzten Schwachstellen, Zeit bis zur verifizierten Behebung sowie MFA-Abdeckung privilegierter Konten.
- Geschäftsauswirkung: Dauer und Ausmaß realer Serviceunterbrechungen, betroffene kritische Prozesse sowie Anzahl und Schwere von Szenarien mit nicht akzeptiertem Restrisiko.
- Wiederherstellungsfähigkeit: mittlere Zeit bis Erkennung und Eindämmung, Erfüllung definierter Wiederanlaufziele in Tests, Erfolgsquote von Restore-Tests und Anteil kritischer Lieferanten mit getesteten Notfallverfahren.
So wird eine hohe DDoS-Zahl ohne nachhaltige Servicebeeinträchtigung anders bewertet als ein einzelner Ransomware-Vorfall mit Datenabfluss und mehrtägigem Prozessausfall. Das Dashboard schafft damit eine belastbarere Grundlage für Investitions-, Risikoakzeptanz- und Eskalationsentscheidungen.
NIS2: Risikobasiert, verhältnismäßig und nachweisbar
Die NIS2-Richtlinie verpflichtet Mitgliedstaaten, für wesentliche und wichtige Einrichtungen angemessene und verhältnismäßige technische, operative und organisatorische Risikomanagementmaßnahmen vorzusehen. Bei der Verhältnismäßigkeit sind unter anderem Exposition, Eintrittswahrscheinlichkeit sowie die Schwere möglicher gesellschaftlicher und wirtschaftlicher Auswirkungen zu berücksichtigen. Für Vorfälle mit erheblicher Auswirkung auf die Dienste sieht die Richtlinie zudem Meldepflichten vor; die konkrete Ausgestaltung richtet sich nach dem anwendbaren sektoralen und nationalen Rechtsrahmen.
Die ENISA Threat Landscape schafft selbst keine neuen Rechtspflichten. Auch die ENISA Technical Implementation Guidance ist ausdrücklich nicht bindend. Sie kann jedoch bei der Ausgestaltung von Incident Handling, Business Continuity, Krisenmanagement, Lieferkettensicherheit und Wirksamkeitsbewertung als Orientierung dienen. Für die Nachweisfähigkeit zählen vor allem dokumentierte Szenarien, begründete Priorisierungen, getestete Verfahren und nachvollziehbare Entscheidungen.