CSIRT Italia Bericht H1 2026: Zunahme von Cyber-Vorfällen und NIS2-Auswirkungen

Hintergrund

Das erste Halbjahr 2026 verzeichnete einen Anstieg der Cyber-Vorfälle um 47 % gegenüber dem ersten Halbjahr 2025, von 1.474 auf 2.171. Dieser Anstieg ist hauptsächlich auf über 1.000 NIS-Meldungen zurückzuführen, die von CSIRT Italia empfangen und bearbeitet wurden, und spiegelt nicht unbedingt einen tatsächlichen Anstieg der Bedrohung wider. Von den Gesamtvorfällen wurden 1.072 als Vorfälle mit bestätigter Auswirkung eingestuft, während 1.099 Vorfälle ohne bestätigte Auswirkung waren, was einem Rückgang von 6 % gegenüber den 1.164 im Jahr 2025 entspricht.
Wiederkehrende Bedrohungen im Halbjahr umfassten DDoS, Datenexposition, Phishing, E-Mail-Konto-Kompromittierungen, Missbrauch gültiger Zugangsdaten und die Ausnutzung bekannter Schwachstellen. Im Vergleich zum ersten Halbjahr 2025 wurde ein Anstieg der Bedrohungen im Zusammenhang mit Zugangsdatenkompromittierung, Datenexposition und Schwachstellenausnutzung beobachtet, während DDoS, Ransomware und Fehlkonfigurationen rückläufig waren.
Die am stärksten betroffenen Sektoren von Cyber-Vorfällen im ersten Halbjahr 2026 waren das verarbeitende Gewerbe, Technologie und das Gesundheitswesen. Die zentrale und lokale öffentliche Verwaltung war weniger betroffen als im Jahr 2025. Es wurden 181 Ransomware-Vorfälle zum Nachteil italienischer Unternehmen registriert (ein Rückgang von 12 % gegenüber 206 im Jahr 2025), wobei die am stärksten betroffenen Sektoren das verarbeitende Gewerbe, der Einzelhandel und Technologie waren. Die Hauptfaktoren, die Ransomware ermöglichen, sind die Verwendung kompromittierter gültiger Zugangsdaten, die Ausnutzung von nicht ausreichend konfigurierten oder geschützten Fernzugriffsdiensten oder VPNs sowie die Ausnutzung bekannter Schwachstellen und exponierter Dienste.
DDoS-Kampagnen, oft hacktivistischer Natur, führten zu 407 Vorfällen (ein Rückgang von 32 % gegenüber 2025). Ein Höhepunkt wurde im Februar erreicht, zeitgleich mit den Olympischen Winterspielen Mailand Cortina 2026, wobei prorussische Gruppen Beherbergungsbetriebe, die öffentliche Verwaltung und den Transportsektor betrafen. Im Mai und Juni wurden hacktivistische Kampagnen gegen italienische Unternehmen wieder aufgenommen, mit messbaren Auswirkungen bei etwa 20 Gelegenheiten.
CSIRT Italia überwachte die Exposition von Fernzugriffsdiensten, administrativen Schnittstellen und nicht aktualisierten Systemen und identifizierte Schwachstellen in weit verbreiteten Produkten wie Fortinet, Citrix, Cisco, Microsoft SharePoint und Exchange, PostgreSQL, SolarWinds, Apache, N8n, Ubiquiti, Exim, Palo Alto, SAP NetWeaver, Roundcube. In diesem Zeitraum wurden 7.634 präventive Warnmeldungen gemäß Art. 2 Absatz 1 des Gesetzes Nr. 90/2024 versandt, wobei insgesamt 24.303 gefährdete Assets und Dienste sowie 1.560 potenziell kompromittierte Assets identifiziert wurden. Die häufigsten Einstiegspunkte waren E-Mail-Kampagnen, zuvor kompromittierte gültige Zugangsdaten, Phishing und Social Engineering.

Warum es wichtig ist

Der signifikante Anstieg der Cyber-Meldungen, der auf das Inkrafttreten der NIS2-Pflichten zurückzuführen ist, unterstreicht die Bedeutung der Anpassung interner Erkennungs- und Meldeprozesse für alle Organisationen, die in den Anwendungsbereich der Richtlinie fallen. Wiederkehrende Bedrohungen wie Datenexposition und Kompromittierung von Zugangsdaten stellen ein direktes Risiko für Verletzungen des Schutzes personenbezogener Daten dar, mit daraus resultierenden Meldepflichten gegenüber dem Garante und den Betroffenen sowie potenziellen Sanktionen gemäß der DSGVO. Die Auswirkungen von Ransomware und DDoS auf die Betriebsfortführung der Opfer, insbesondere in den Bereichen Fertigung, Technologie und Gesundheitswesen, unterstreichen die Notwendigkeit, robuste Kontrollen für Resilienz und Wiederherstellung zu implementieren, im Einklang mit den Prinzipien eines Informationssicherheits-Managementsystems basierend auf ISO/IEC 27001. Die Ausbreitung der Auswirkungen von Vorfällen, die IT-Dienstleister entlang der Lieferkette betreffen, erfordert zudem eine erhöhte Aufmerksamkeit für die Sicherheit der Lieferkette, ein entscheidender Aspekt sowohl für die NIS2-Richtlinie als auch für das Risikomanagement gemäß ISO/IEC 27001 und der DSGVO.

Was zu tun ist

• Überprüfen Sie die korrekte Konfiguration und den Schutz von Fernzugriffsdiensten und VPNs.
• Implementieren Sie einen strengen Patch-Management-Prozess für bekannte Schwachstellen und Systemaktualisierungen.
• Führen Sie robuste Lösungen für die Verwaltung von Zugangsdaten und die Multi-Faktor-Authentifizierung ein, um den Missbrauch kompromittierter Zugangsdaten zu verhindern.
• Schulen Sie das Personal zu Phishing- und Social-Engineering-Bedrohungen, um die Angriffsfläche per E-Mail zu reduzieren.
• Überwachen Sie aktiv die Exposition von Fernzugriffsdiensten, administrativen Schnittstellen und potenziell kompromittierten Assets.
• Bereiten Sie Verfahren zur Vorfallmeldung vor, die den Anforderungen der NIS2-Richtlinie entsprechen.

Was zu vermeiden ist

• Verwenden Sie zuvor kompromittierte gültige Zugangsdaten für den Zugriff auf kritische Systeme.
• Belassen Sie Fernzugriffsdienste oder VPNs nicht ausreichend konfiguriert oder geschützt.
• Ignorieren Sie Systemaktualisierungen und das Management bekannter Schwachstellen.
• Setzen Sie administrative Schnittstellen oder Managementplattformen ohne angemessenen Schutz aus.

Praktische Auswirkungen

Der Bericht von CSIRT Italia zeigt eine Landschaft persistenter Bedrohungen, wobei Vorfälle durch das Inkrafttreten der NIS2-Pflichten stärker sichtbar werden. Organisationen müssen hohe Risiken im Zusammenhang mit der Kompromittierung von Zugangsdaten, der Exposition von Daten und Systemschwachstellen bewältigen. Die Sicherheit der Lieferkette ist entscheidend, da Vorfälle bei Anbietern sich ausbreiten können. Es ist unerlässlich, proaktive und reaktive Maßnahmen zum Schutz von Daten und zur Sicherstellung der Betriebsfortführung zu ergreifen.

Zu vermeidende Fehler

• Nicht zeitnah auf Warnmeldungen von CSIRT Italia bezüglich gefährdeter oder kompromittierter Assets reagieren.
• Die Bedeutung des Schutzes von Fernzugriffen und Managementschnittstellen unterschätzen.
• Anhaltende Bedrohungen wie Ransomware und DDoS ignorieren, ohne Business-Continuity-Pläne zu implementieren.
• Die potenziellen Auswirkungen von Vorfällen, die die eigenen Dienstleister betreffen, nicht berücksichtigen.

Fragen zur Selbsteinschätzung

• Hat unsere Organisation ein System implementiert, um Vorfallmeldungen gemäß der NIS2-Richtlinie effektiv zu verwalten?
• Wie verwalten und schützen wir Zugangsdaten, insbesondere privilegierte und solche für den Fernzugriff?
• Welchen Prozess haben wir zur Identifizierung, Bewertung und Minderung bekannter Schwachstellen in unseren Systemen und unserer Software?
• Haben wir ein klares Verständnis der Cyber-Risiken, die mit unserer Lieferkette verbunden sind, und der Kontrollen, die unsere Lieferanten implementiert haben?
• Sind wir darauf vorbereitet, einen Ransomware- oder DDoS-Angriff zu bewältigen und die Betriebsfortführung sowie die Wiederherstellung von Diensten zu gewährleisten?

Verweise

Nationales Recht: Direttiva NIS2 · Legge n. 90/2024 Art. 2 comma 1 · GDPR · ISO/IEC 27001