Warum klassische IT-Sicherheit in vernetzten Infrastrukturen an ihre Grenzen stößt

BERLIN (IT BOLTWISE) – Fabriken, Behördennetze und militärische Kommandostrukturen wachsen über Ländergrenzen hinweg immer weiter zusammen. Die Daten durchlaufen Cloud-Plattformen, taktische Netzwerke und mobile Endgeräte, bevor sie final ihr Ziel erreichen. Das wirft eine Frage auf, die sich nicht länger aufschieben lässt: Genügt der Schutz von Netzwerkgrenzen noch, wenn die eigentlichen Werte über dutzende Systeme verstreut liegen?

Firewalls und VPN-Verbindungen galten jahrzehntelang als Rückgrat jeder Sicherheitsarchitektur. Doch dieser Schutzwall bekommt Risse. Neuere Sicherheitsphilosophien rücken deshalb die Daten selbst ins Zentrum des Schutzes. Der Paradigmenwechsel betrifft Unternehmen, Behörden und militärische Einrichtungen in gleichem Maße.

Perimetersicherheit am Limit

Das Prinzip erinnert an einen Burggraben. Was innerhalb der Mauern liegt, gilt als sicher. Firewalls, Netzwerksegmentierung und VPN-Zugänge markierten diese Grenzlinie jahrzehntelang zuverlässig.

Mittlerweile hat sich das Bild verschoben:

• Mitarbeiter greifen von privaten Geräten auf die Firmensysteme zu und nutzen Cloud-Dienste jenseits der eigenen Infrastruktur.
• Produktionsanlagen kommunizieren über das Internet der Dinge.
• Kooperationen mit Zulieferern oder internationalen Partnern verlangen einen Datenaustausch quer durch mehrere Organisationen.

In vielen Fällen fließen dabei personenbezogene Informationen oder geschäftskritische Konstruktionsdaten über Systeme, die von unterschiedlichen Betreibern verwaltet werden. Schon ein kompromittierter VPN-Zugang reicht dann aus, um sich im vermeintlich geschützten Netz frei zu bewegen. Sicherheitslücken in verbreiteten VPN-Diensten haben das in den vergangenen Jahren mehrfach vor Augen geführt. “Die Burg steht noch”, ihre Mauern allerdings haben Durchlässe bekommen, die so niemand eingeplant hatte.

Ransomware und Innentäter verschärfen die Lage

Cyberangriffe verursachten der deutschen Wirtschaft laut der Studie „Wirtschaftsschutz 2025″ des Digitalverbands Bitkom einen Schaden von 202,4 Milliarden Euro – ein deutlicher Anstieg gegenüber den 178,6 Milliarden Euro im Vorjahr.

Ransomware zählt weiterhin zu den größten Gefahren. Die Angreifer verschlüsseln Daten und fordern Lösegeld. Betroffene Unternehmen ringen danach oft wochenlang mit den wirtschaftlichen Folgen. Daneben nisten sich sogenannte Advanced Persistent Threats über Monate unbemerkt in den Netzwerken ein, bevor sie zuschlagen.

Parallel mit der Zahl vernetzter Systeme wachsen die Risiken durch eigene Mitarbeiter oder gestohlene Zugangsdaten. Tückisch sind besonders jene Angriffe über Lieferketten, bei denen die Schadsoftware über vertrauenswürdige Drittanbieter in das eigene Netz gelangt.

Der Gesetzgeber hat reagiert. Mit dem NIS-2-Umsetzungsgesetz müssen sich künftig rund 29.500 Einrichtungen beim Bundesamt für Sicherheit in der Informationstechnik registrieren, erhebliche Sicherheitsvorfälle melden und technische Risikomanagement-Maßnahmen umsetzen. Für viele mittelständische Betriebe bedeutet das erstmals verbindliche Pflichten bei der Cybersicherheit.

Datenzentrierte Sicherheit als Gegenentwurf

Als Antwort gewinnt das Zero-Trust-Prinzip an Boden: Kein Nutzer, kein Gerät und kein Dienst erhält automatisch Vertrauen. Jede Anfrage wird also einzeln geprüft. Das Bundesamt für Sicherheit in der Informationstechnik beschreibt diesen Ansatz in einem Positionspapier als Weiterentwicklung klassischer Schutzkonzepte.

„Konsequent weitergedacht führt dieses Prinzip zur datenzentrierten Sicherheit. Statt Netzwerkgrenzen zu verstärken, rückt die einzelne Information ins Zentrum des Schutzes. Klassifizierung, Verschlüsselung und attributbasierte Zugriffskontrollen sichern die Daten, selbst wenn sie Systemgrenzen überschreiten“, erklären die Data-Security-Experten von infodas. Im Rahmen der NATO-Zusammenarbeit setzt infodas unter anderem auf genau diesen datenzentrierten Ansatz.

Was datenzentrierte Sicherheit in der Praxis bedeutet

Technisch stützt sich das Konzept auf mehrere Bausteine. Informationen erhalten zunächst Metadaten, die ihre Vertraulichkeitsstufe und den zulässigen Umgang festlegen. Automatisierte Regeln entscheiden dann im Anschluss, wer unter welchen Bedingungen Zugriff erhält. Dieses Verfahren wird von Fachleuten als attributbasierte Zugriffskontrolle bezeichnet. Kryptografische Verfahren koppeln die Schutzmaßnahmen dann dauerhaft an die Information selbst. Gerät ein System in falsche Hände, bleiben die Daten also unlesbar.

Im Rahmen eines NATO-Reifegradmodells reicht die Entwicklung von einer einfachen Kennzeichnung nach dem Standard STANAG 4774 bis zu einem durchgängig kryptografisch gesicherten Datenaustausch zwischen Bündnispartnern. Jede Stufe verbessert die Fähigkeit, Informationen auch bei gemeinsamen Einsätzen mit unterschiedlichen Sicherheitsfreigaben kontrolliert auszutauschen.
In der Praxis heißt das: Ein Dokument, das in einem NATO-Hauptquartier erstellt wurde, lässt sich an einen Bündnispartner weiterleiten, ohne dass dessen IT-Administratoren den Schutzstatus manuell anpassen müssen.

Tipp: Ein Blick in die bestehenden Klassifizierungsrichtlinien lohnt sich vor der Einführung neuer Zugriffsmodelle. Ohne saubere Kennzeichnung laufen selbst ausgereifte Systeme ins Leere.

Anwendungsfelder jenseits der Verteidigung

Die datenzentrierte Sicherheit beschränkt sich keineswegs auf Militär und Behörden. Energieversorger, Krankenhäuser und Verkehrsunternehmen erleben ebenfalls, wie Betriebstechnik und klassische IT zusammenwachsen. Bislang strikt getrennte Netzwerke verschmelzen zusehends. Diese Konvergenz eröffnet neue Angriffsflächen, die herkömmliche Perimeterkonzepte allein kaum noch abdecken können.

Hinweis: Fernwartungszugänge und ältere Steuerungssysteme gelten als besonders anfällig, weil sie ursprünglich nicht für offene Netzwerke ausgelegt wurden. Unsere Analyse zur Zero-Trust-Architektur im KI-Zeitalter zeichnet den Wandel weg von reinen VPN-Lösungen nach.

Ein Ausfall in der Produktion trifft Lieferketten unmittelbar, denn ein kompromittiertes Steuerungssystem in der Energieversorgung betrifft unter Umständen ganze Regionen. Datenzentrierte Ansätze ermöglichen es dann, sensible Steuerbefehle und Messdaten unabhängig vom jeweiligen Netzwerksegment abzusichern. Für Industrieunternehmen bedeutet das einen schrittweisen Wandel: weg von der reinen Abschottung der Produktionsnetze, hin zu einer Kontrolle, die direkt an der einzelnen Information ansetzt. Regulierte Branchen mit strengen Nachweispflichten profitieren besonders von einer lückenlosen Dokumentation, wer wann auf welche Daten zugegriffen hat.

Im Gesundheitssektor zeigt sich ein ähnliches Bild:

• Patientendaten wandern über Klinikgrenzen hinweg
• Telemedizin-Plattformen verbinden niedergelassene Ärzte mit Krankenhaussystemen

Datenzentrierte Zugriffskontrollen übernehmen hier die Aufgabe, den Schutz sensibler Gesundheitsinformationen auch dann sicherzustellen, wenn die Daten über Systeme verschiedener Betreiber verteilt liegen. Die Anforderungen der Datenschutz-Grundverordnung verstärken diesen Handlungsdruck zusätzlich.

Herausforderungen auf dem Weg dorthin

Kein Sicherheitsansatz löst sämtliche Probleme auf einen Schlag. Viele Unternehmen betreiben nach wie vor Altsysteme, die sich nur eingeschränkt in neue Zugriffskontrollen einbinden lassen. Die Umstellung auf datenzentrierte oder Zero-Trust-Architekturen verlangt eine genaue Bestandsaufnahme sämtlicher Daten und Zugriffswege. Das bindet Zeit und Personal, denn Fachkräfte mit der nötigen Expertise sind auf dem Arbeitsmarkt nach wie vor rar. Viele Stellenausschreibungen im Bereich IT-Sicherheit bleiben monatelang unbesetzt.

Die Kosten für Lizenzen, Beratung und Schulungen belasten besonders kleinere Betriebe mit begrenzten Budgets. Viele Sicherheitsverantwortliche scheuen es zudem, den laufenden Betrieb für langwierige Umstellungsprojekte zu unterbrechen. Einfach abzuwarten birgt allerdings das Risiko, dass ein einzelner Vorfall die gesamte Organisation für Wochen lahmlegt. Kleinere Betriebe unterschätzen häufig den Aufwand einer Wiederherstellung nach einem Ransomware-Angriff.

Bei der Einführung hilft deshalb eine klare Abfolge. Zunächst müssen die sensibelsten Datenbestände identifiziert und geschützt werden, erst danach ist die gesamte Infrastruktur schrittweise umzustellen. Es ist sinnvoll, zunächst Testprojekte in abgegrenzten Bereichen laufen zu lassen. Die liefern anschließend Erfahrungswerte, die sich idealerweise auf die gesamte Organisation übertragen lassen. Gleichzeitig steigen die Anforderungen an Dokumentation und Nachweispflichten weiter. Unternehmen, die frühzeitig investieren, verschaffen sich einen Vorsprung gegenüber künftigen regulatorischen Vorgaben.

Regulierung und steigende Angriffszahlen setzen den Takt

Der Anteil deutscher Unternehmen, die von Ransomware betroffen sind, stieg laut Bitkom von 12 Prozent im Jahr 2022 auf 34 Prozent im Jahr 2025 – fast eine Verdreifachung binnen drei Jahren. Etwa jedes siebte betroffene Unternehmen hat dabei bereits Lösegeld gezahlt. Das NIS-2-Umsetzungsgesetz erweitert den Kreis regulierter Einrichtungen nochmals erheblich. Die Anforderungen an Melde- und Nachweispflichten wachsen weiter.

Angesichts dieser Entwicklung dürften Sicherheitsarchitekturen, die den Schutz direkt an die Daten koppeln, in den kommenden Jahren weiter an Bedeutung gewinnen. Das gilt für die Verteidigung genauso wie für zivile Bereiche. Energieversorgung, Gesundheitswesen und Industrie stehen gleichermaßen vor der Aufgabe, Klassifizierung und Zugriffskontrolle strategisch zu verankern. Nachzurüsten, wenn der Ernstfall bereits eingetreten ist, wird in den seltensten Fällen die günstigere Variante sein. Unternehmen, die ihre Sicherheitsstrategie frühzeitig an den Daten ausrichten, stehen angesichts wachsender Regulierung und steigender Angriffszahlen deutlich besser da. Die Frage lautet deshalb nicht mehr „ob“, sondern „wie schnell“ der Schutz von Informationen strategisch priorisiert wird.

Autor: Eric Wittig

Eric Wittig schreibt als Agenturinhaber und freier Fachautor über Digitalisierung, IT-Sicherheit und wirtschaftliche Zusammenhänge. Sein Schwerpunkt liegt auf der verständlichen Aufbereitung komplexer technischer und regulatorischer Entwicklungen für Unternehmen und Entscheider.