Cyberrisiko für KRITIS und Verteidigungsindustrie

Bedrohungslage

Wer angreift.
Und worüber.

Staatsnahe Akteure, Hacktivisten und kriminelle Gruppen nutzen dieselben Schwachstellen: offene Zugänge, exponierte Dienste und Partner mit Zugriff. Wir betrachten Akteure und Angriffsfläche gemeinsam.

Staatsnahe Akteure

Spionage in Netzen von Energie, Verkehr und Rüstung und die Vorbereitung von Störungen. Wir zeigen, welche Akteure Ihre Branche und Ihre Technologien im Visier haben und welche Ihrer exponierten Dienste zu deren bekannten Vorgehensweisen passen.

28 % der betroffenen Unternehmen ordneten mindestens einen Angriff einem ausländischen Nachrichtendienst zu, 2024 waren es 20 % · Bitkom, September 2025

CQTI · Threat Intelligence

Hacktivisten

Überlastungsangriffe auf Webseiten und Portale, dazu demonstrative Eingriffe in schlecht geschützte Steuerungen. Wir ordnen die Aktivität der Gruppen gegen Ihre Branche ein und prüfen, welche Ihrer Systeme offen erreichbar sind.

14 Angriffswellen gegen mehr als 250 Unternehmen und Einrichtungen in Deutschland · Europol, Juli 2025

CQTI

Kriminelle Gruppen und Zugangshändler

Ransomware-Gruppen kaufen fertige Zugänge zu VPN, Fernwartung oder Leitwarte. Wir erkennen kompromittierte Zugangsdaten, Zugangsangebote und Leaks zu Ihrem Haus, damit Sie sperren können, bevor jemand sie nutzt.

Mehr gemeldete Störungen in fast allen KRITIS-Sektoren, vor allem Energie, Gesundheit und Verkehr · BSI-Lagebericht, November 2025

CQTI · Offensive Security

Angeworbene Helfer

Über soziale Medien werden Menschen ohne nachrichtendienstliche Ausbildung für Ausspähung und Sabotage angeworben. Je mehr über Standorte, Abläufe und Schlüsselpersonen offen auffindbar ist, desto leichter fällt ein solcher Auftrag. Wir zeigen, was über Ihr Haus offen liegt.

Ziele laut Behörden: Energie, Verkehr, Logistik, IKT, militärische Einrichtungen und Rüstungsindustrie · BKA, BfV, BAMAD und BND, September 2025

Intelligence Operations

Zulieferer und Fernwartung

Zulieferer, Dienstleister und Servicepartner haben Zugänge in Ihre Anlagen. Wir überwachen sie als eigene Collections, passiv und ohne Fragebogen, und melden kompromittierte Partnerzugänge und offene Angriffsfläche.

CQTI · TPRM§ 30 BSIG

NIS2 und KRITIS

NIS2 und KRITIS-Dachgesetz.
Was jetzt für Betreiber gilt.

Das BSIG regelt seit Dezember 2025 die Cybersicherheit, das KRITIS-Dachgesetz seit März 2026 die physische Resilienz kritischer Anlagen. Beide legen die Verantwortung ausdrücklich in die Geschäftsleitung.

06.12.2025

NIS2 gilt in Deutschland

Neues BSIG, ohne Übergangsfrist

06.03.2026

Registrierung beim BSI

Frist für betroffene Einrichtungen, Nachfrist des BSI bis 31.07.2026

17.03.2026

KRITIS-Dachgesetz in Kraft

Physische Resilienz kritischer Anlagen, BGBl. 2026 I Nr. 66

Ausstehend

Rechtsverordnung

Legt die kritischen Anlagen fest. Mit ihr beginnt die Registrierung, Stand Oktober 2026 im Entwurf

Danach

Risikoanalyse und Resilienzplan

9 und 10 Monate nach Registrierung, ab dann Meldung erheblicher Störungen binnen 24 Stunden

Bereich 01

Risikomanagement

§§ 30, 31 und 38 BSIG

Wichtige und besonders wichtige Einrichtungen setzen angemessene Maßnahmen um. Die Geschäftsleitung billigt sie und überwacht die Umsetzung.

Was das BSIG verlangt

Maßnahmen nach dem Stand der Technik, dokumentiert (§ 30)
Betreiber kritischer Anlagen setzen zusätzlich Systeme zur Angriffserkennung ein (§ 31)
Geschäftsleitung billigt, überwacht und nimmt regelmäßig an Schulungen teil (§ 38)

Unser Beitrag

Laufender Blick von außen auf Angriffsfläche, kompromittierte Zugänge und Untergrund
Ergänzt Ihre Angriffserkennung, ersetzt sie nicht
Kennzahlen und monatliche Briefings für die Geschäftsleitung

Bereich 02

Meldungen und Registrierung

§§ 32 und 33 BSIG

Erhebliche Sicherheitsvorfälle werden in drei Stufen an das BSI gemeldet.

Was das BSIG verlangt

Frühe Erstmeldung binnen 24 Stunden nach Kenntnis
Meldung binnen 72 Stunden, Abschlussmeldung nach einem Monat (§ 32)
Registrierung beim BSI über das BSI-Portal (§ 33)

Unser Beitrag

Kritische Funde innerhalb von 60 Minuten per E-Mail und Webhook
Jeder Fund mit Quelle, Zeitstempel und Analystenkontext
Die Einstufung als erheblicher Vorfall bleibt Ihre Entscheidung

Bereich 03

Sicherheit der Lieferkette

§ 30 Abs. 2 BSIG

Die Sicherheit der Lieferkette gehört zu den Mindestmaßnahmen, einschließlich der Beziehungen zu unmittelbaren Anbietern und Dienstleistern.

Was das BSIG verlangt

Sicherheitsaspekte der Beziehungen zu Anbietern und Dienstleistern
Bewertung der Cybersicherheitspraxis einzelner Anbieter (Art. 21 Abs. 3 NIS2-Richtlinie)
Dokumentation und Nachweis gegenüber dem BSI auf Anforderung

Unser Beitrag

Passive Bewertung von Zulieferern und Dienstleistern ohne Fragebogen
Fernwartungs- und Servicepartner als eigene Collections
Note mit nachvollziehbaren Befunden je Lieferant

Bereich 04

Physische Resilienz

§§ 8, 12, 13, 18 und 20 KRITIS-DachG

Betreiber kritischer Anlagen schützen ihre Anlagen gegen alle Gefahren, von Naturereignissen bis zu Sabotage.

Was das Gesetz verlangt

Registrierung über die gemeinsame Plattform von BBK und BSI (§ 8)
Risikoanalyse mindestens alle vier Jahre (§ 12) und Resilienzplan (§ 13)
Meldung erheblicher Störungen binnen 24 Stunden (§ 18), Verantwortung der Geschäftsleitung (§ 20)

Unser Beitrag

Lagebild zu Akteuren und Aufrufen gegen Ihre Branche für die Risikoanalyse
Offen auffindbare Informationen zu Standorten und Schlüsselpersonen
Cyber- und Sabotagebedrohung in einem Bild

Bereich 05

Rüstung und Zulieferer

BSIG · Geheimschutz

Rüstungsunternehmen und ihre Zulieferer fallen je nach Tätigkeit und Größe unter NIS2. Für Aufträge mit Verschlusssachen gilt zusätzlich der Geheimschutz in der Wirtschaft.

Was gilt

NIS2-Pflichten je nach Sektor und Größe, etwa im Fahrzeug- und Maschinenbau
Geheimschutz nach dem Geheimschutzhandbuch des BMWE bei Aufträgen mit Verschlusssachen
Erhöhte Gefährdung durch Spionage und Sabotage laut Sicherheitsbehörden

Unser Beitrag

Überwachung von Zulieferern im Mittelstand, passiv und ohne Fragebogen
Erkennung abgeflossener Konstruktions- und Projektdaten in Leaks
Kein Zugriff auf Ihre Systeme oder Verschlusssachen nötig

Wer betroffen ist

Besonders wichtige Einrichtungen ab 250 Beschäftigten oder mehr als 50 Mio. EUR Umsatz und 43 Mio. EUR Bilanzsumme in Sektoren der Anlage 1, wichtige Einrichtungen ab 50 Beschäftigten oder mehr als 10 Mio. EUR Umsatz und Bilanzsumme. Betreiber kritischer Anlagen unabhängig von der Größe. Destatis schätzt rund 29.500 Unternehmen, mehr als 19.000 hatten sich bis August 2026 registriert.

Bußgelder

Nach dem BSIG bis zu 10 Mio. EUR oder 2 % des weltweiten Jahresumsatzes für besonders wichtige Einrichtungen. Das KRITIS-Dachgesetz sieht eigene Bußgelder bis zu 1 Mio. EUR vor. Für beide Gesetze trägt die Geschäftsleitung die Verantwortung.

BSIG in der Fassung vom 6. Dezember 2025 · KRITIS-Dachgesetz, BGBl. 2026 I Nr. 66 · Richtlinien (EU) 2022/2555 und 2022/2557 · Die Übersicht ersetzt keine rechtliche Bewertung

Belegte Fälle

Ein Zugang reicht.
Belegt in drei Fällen.

Drei öffentlich dokumentierte Fälle zeigen, wie ein Passwort, ein Dienstleister oder eine offene Steuerung zum Ausfall führen.

Pipeline · Zugang

1Passwort

Colonial Pipeline · 2021

Ein Passwort stoppt eine Pipeline

Zugang über ein nicht mehr genutztes VPN-Konto ohne Mehrfaktor-Authentifizierung. Das Passwort fand sich später in geleakten Zugangsdaten im Darknet. Colonial schaltete die gesamte Pipeline ab und zahlte 4,4 Mio. US-Dollar.

Quelle: Colonial Pipeline und Mandiant, Juni 2021

Energie · Dienstleister

5.800Anlagen

Enercon über KA-SAT · 2022

Ausfall beim Dienstleister, Folgen im Windpark

Ein Cyberangriff auf ein Satellitennetz unterbrach ab dem 24. Februar 2022 Fernüberwachung und Fernwartung von 5.800 Windenergieanlagen mit mehr als 10 GW Leistung. Die Wiederherstellung dauerte Wochen.

Quelle: Enercon, Februar bis April 2022

Wasser · Steuerung

4Stunden

Damm in Norwegen · 2025

Fremdsteuerung eines Damms

Angreifer übernahmen im April 2025 die Steuerung eines Damms und öffneten ein Ventil. Rund 500 Liter Wasser pro Sekunde flossen vier Stunden lang ab. Der Inlandsnachrichtendienst ordnete den Angriff prorussischen Akteuren zu.

Quelle: Norwegischer Inlandsnachrichtendienst PST, August 2025

Öffentlich dokumentierte Fälle. NEXGAP war an keinem dieser Fälle beteiligt.

Produkte

Drei Wege.
Eine Datenbasis für Ihre Anlagen.

CQTI überwacht laufend, Offensive Security prüft und belegt, Threat Intelligence Operations liefert Lagebild und Einordnung für Entscheidungen.

01 · LaufendAnlagen, Töchter, Lieferkette

CQTI

Cyber Quantified Threat Intelligence

Darknet Intelligence, Angriffsfläche und Threat Intelligence für Ihre Anlagen, Gesellschaften und Zulieferer. Validiert von unseren Analysten.

Kompromittierte Zugänge und Zugangsangebote
Zulieferer und Fernwartungspartner ohne Fragebogen
Kritische Funde innerhalb von 60 Minuten

Zu CQTI →

02 · PrüfenIT, Fernzugänge, OT

Offensive Security

Offensive Security Operations

Penetrationstests für Infrastruktur, Active Directory, Anwendungen und OT, dazu Prüfung von Firewall-Regelwerken. Manuell verifiziert, mit belegtem Angriffspfad.

Fernwartung und Übergänge von IT zu OT
Befunde als Grundlage für Ihre Nachweise
Tests abgestimmt mit Ihrem Betrieb

Zu Offensive Security →

03 · EntscheidenLagebild und Krise

Intelligence Operations

Threat Intelligence Operations

Strategisches Lagebild, Executive Exposure und Crisis Intelligence für Geschäftsleitung, Sicherheit und Krisenstab.

Lagebild zu Akteuren gegen Ihre Branche
Offen auffindbare Informationen zu Schlüsselpersonen
Einordnung im Ernstfall

Zu Intelligence Operations →

Unsicher, welcher Weg passt? Wir klären das im ersten Gespräch.Gespräch vereinbaren

FAQ

Häufige Fragen.
Aus Betrieb und Sicherheit.

Was Informationssicherheit, Betriebstechnik und Compliance vor dem Start wissen möchten.

Gespräch vereinbaren

Das hängt von Sektor, Größe und Anlagen ab. NIS2 gilt über das BSIG für wichtige und besonders wichtige Einrichtungen. Das KRITIS-Dachgesetz gilt für Betreiber kritischer Anlagen, die eine noch ausstehende Rechtsverordnung festlegt. Viele Betreiber fallen unter beide Gesetze. Die Einordnung Ihres Hauses ersetzt keine rechtliche Prüfung.

Nein. Systeme zur Angriffserkennung nach § 31 BSIG überwachen Ihre Netze von innen. CQTI ergänzt sie um den Blick von außen: Angriffsfläche, kompromittierte Zugänge, Untergrund und Lieferkette.

Ohne Mandat prüfen wir ausschließlich passiv, ohne Portscans und ohne Anmeldung. Aktive Prüfungen erfolgen nur für Systeme, für die Sie uns beauftragen. Tests an OT-Systemen stimmen wir im Detail mit Ihrem Betrieb ab.

Zulieferer, Dienstleister und Fernwartungspartner legen wir als eigene Collections über Domains und weitere Identifier an und prüfen sie passiv, ohne Fragebogen. Funde zu Mitarbeitenden von Partnern melden wir nur maskiert.

Nein. CQTI arbeitet mit Informationen außerhalb Ihres Hauses und braucht keinen Zugriff auf Ihre Systeme. Für Aufträge mit Bezug zu Verschlusssachen klären wir die Voraussetzungen im Einzelfall.

Kritische Funde erreichen Sie innerhalb von 60 Minuten per E-Mail und Webhook. Darknet-Funde werden vorher von unseren Analysten verifiziert. Die Einstufung als erheblicher Sicherheitsvorfall bleibt Ihre Entscheidung.

Wo Ausfall keine Option ist.Exposition erkennen, bevor sie ausgenutzt wird.

Wer angreift.
Und worüber.

NIS2 und KRITIS-Dachgesetz.
Was jetzt für Betreiber gilt.

Ein Zugang reicht.
Belegt in drei Fällen.

Drei Wege.
Eine Datenbasis für Ihre Anlagen.

Häufige Fragen.
Aus Betrieb und Sicherheit.

Resilienz für kritische Anlagen.
Mit Daten statt Annahmen.

Wo Ausfall keine Option ist.Exposition erkennen, bevor sie ausgenutzt wird.

Wer angreift.Und worüber.

NIS2 und KRITIS-Dachgesetz.Was jetzt für Betreiber gilt.

Ein Zugang reicht.Belegt in drei Fällen.

Drei Wege.Eine Datenbasis für Ihre Anlagen.

Häufige Fragen.Aus Betrieb und Sicherheit.

Resilienz für kritische Anlagen.Mit Daten statt Annahmen.

Wer angreift.
Und worüber.

NIS2 und KRITIS-Dachgesetz.
Was jetzt für Betreiber gilt.

Ein Zugang reicht.
Belegt in drei Fällen.

Drei Wege.
Eine Datenbasis für Ihre Anlagen.

Häufige Fragen.
Aus Betrieb und Sicherheit.

Resilienz für kritische Anlagen.
Mit Daten statt Annahmen.