Cloudflare-Kommentar zum BSI-Lagebericht 2025

Resilienz-Fortschritte treffen auf mangelhafte Umsetzung

Der aktuelle BSI-Lagebericht 2025 zeichnet ein bekanntes, aber dennoch scharfes Bild der Bedrohungslage in Deutschland: Die Lage bleibt angespannt. Überraschend sind die Erkenntnisse allerdings nicht – sie bestätigen eindringlich, worauf der Fokus gelegt werden muss.

Positiv ist der vermerkte Fortschritt bei der Resilienz Kritischer Infrastrukturen (KRITIS). Die Mindestanforderungen werden offenbar ernster genommen. Gleichzeitig benennt der Bericht aber schonungslos die Realität: Die größten Lücken klaffen nicht bei der Verfügbarkeit von Tools, sondern bei der "mangelhaften Umsetzung" von grundlegenden Schutzmaßnahmen.

Zwei Punkte des Berichts stechen dabei besonders hervor:

1. Anstieg der Schwachstellen (+24 Prozent): Der Bericht meldet einen dramatischen Anstieg von 24 Prozent bei neu entdeckten Schwachstellen. Gleichzeitig werden schlecht geschützte Webanwendungen und falsch konfigurierte Server als Hauptproblem genannt.
2. Ransomware bleibt Top-Bedrohung: Professionelle Ransomware-Gruppen sind weiterhin die größte Gefahr.

Aus unserer Sicht bei Cloudflare hängen diese beiden Punkte direkt zusammen. Die gestiegenen Schwachstellen sind das offene Scheunentor, durch das Ransomware-Akteure eintreten. Die Angreifer nutzen genau diese Lücken in Webanwendungen, ungepatchten Systemen, unsicheren Sicherheitssystemen und exponierten APIs als initialen Zugriffspunkt. Und die Tatsache, dass bei 80 Prozent der Ransomware Angriffe kleinere und mittlere Unternehmen ins Visier geraten, zeigt: Angreifer automatisieren und skalieren ihre Angriffe. Niemand ist mehr „zu klein“, um ein Ziel zu sein, da der Aufwand hinter diesen automatisierten Angriffen rapide abnimmt und die Erfolgsquote entsprechend steigt.

Warum „Basis-Hygiene“ nicht mehr ausreicht

Der neue BSI-Bericht ist ein klarer Beleg dafür, dass die traditionelle „Burghof“-Sicherheit (Castle-and-Moat) an ihre Grenzen stößt. Der Anstieg der Schwachstellen und damit die Angriffsflächen wachsen schneller, als die meisten IT-Teams patchen können.

Gleichzeitig wird aber auch deutlich, dass das Bewusstsein in der Bevölkerung sogar sinkt – nur noch 14 Prozent informieren sich regelmäßig über Themen der IT-Sicherheit. Sich auf den „Faktor Mensch“ als letzte Verteidigungslinie zu verlassen, ist deshalb eine verlorene Wette.

Hier müssen Sicherheitsverantwortliche daher umdenken:

• Implementierungslücken schließen: Wenn wir wissen, dass wir das Patching nicht gewinnen können, müssen wir die Angriffsfläche davor schützen. Wir können nicht jede Schwachstelle sofort beheben, aber wir können (und müssen) verhindern, dass sie ausgenutzt wird – beispielsweise durch eine umfassende Web Application Firewall (WAF) und API-Security, die virtuelles Patching betreibt.
• Zero Trust als Antwort auf Ransomware: Ransomware lebt von lateraler Bewegung. Der Angreifer kommt über eine Schwachstelle (Punkt 1) und breitet sich dann im Netz aus, um seinen Schaden (Punkt 2) zu maximieren. Eine konsequent umgesetzte Zero-Trust-Architektur ist die effektivste Antwort darauf. Sie segmentiert den Zugriff und behandelt jeden Request als potenziell feindlich, wodurch die Ausbreitung im Keim erstickt wird.
• KI als Verteidiger nutzen: Der Bericht deutet die Rolle von KI bei Angriffen an (zum Beispiel bessere Phishing-Mails). Aber auch die Verteidigung muss KI vollumfänglich nutzen – zur automatisierten Erkennung von Anomalien und zur Abwehr von Angriffen in Echtzeit, bevor sie die verwundbaren Systeme überhaupt erreichen.

Fazit: Konsolidierung statt Komplexität

Der BSI-Lagebericht 2025 ist kein Alarmruf mehr – er ist die Bestätigung der neuen Normalität. Die Fortschritte bei KRITIS sind gut, aber die mangelhafte Umsetzung von Basisthemen und Cyber Hygiene in der Breite bleibt besorgniserregend.

Als CISOs müssen wir aufhören, der Komplexität mit noch mehr Silo-Tools zu begegnen. Der Weg zu mehr Resilienz, den das BSI fordert, führt über Plattform-Konsolidierung, konsequente Implementierung von Zero Trust und die Absicherung unserer Anwendungen an der Netzwerkgrenze (Edge).