Das Bundesamt für Sicherheit in der Informationstechnik (BSI) veröffentlichte im November 2024 seinen jährlichen Lagebericht. Die Bewertung: Die Lage der IT-Sicherheit in Deutschland ist weiterhin angespannt bis kritisch.
BSI Lagebericht 2024: Kernaussagen
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) ist die zentrale Behörde für Cybersicherheit in Deutschland und veröffentlicht seit 2005 jährlich einen Lagebericht zur IT-Sicherheit. Der Lagebericht 2024 „Die Lage der IT-Sicherheit in Deutschland 2024" wurde im November 2024 veröffentlicht.
Die Gesamtbewertung des BSI lautet: Die IT-Sicherheitslage in Deutschland ist weiterhin angespannt bis kritisch. Dieser Befund hält sich nun mehrere Jahre in Folge. Das BSI warnt ausdrücklich davor, die anhaltende Lage zu normalisieren.
„Die Bedrohungslage im Cyber-Raum ist weiterhin angespannt bis kritisch. Angriffe werden ausgefeilter, die Zahl der Angriffsmöglichkeiten wächst und die potenziellen Schäden steigen."
— BSI Lagebericht 2024, Zusammenfassung
Hauptbedrohungen laut BSI 2024
1. Ransomware — Weiterhin größte Bedrohung
Ransomware bleibt laut BSI die größte Einzelbedrohung für deutsche Unternehmen, Behörden und kritische Infrastruktur. Besonders alarmierend: Die Angriffe werden gezielter und professioneller. Ransomware-as-a-Service (RaaS) ermöglicht es auch technisch weniger versierten Kriminellen, komplexe Angriffe durchzuführen.
Besonders betroffen sind laut BSI:
- Kommunen und Landkreise: Mehrere deutsche Kommunen wurden 2024 durch Ransomware weitgehend handlungsunfähig gemacht
- Krankenhäuser und Gesundheitseinrichtungen: Angriffe auf Gesundheitsinfrastruktur gefährden direkt Menschenleben
- Mittelständische Unternehmen (KMU): Oft schlechter abgesichert als Großunternehmen, aber Teil kritischer Lieferketten
2. KI-gestützte Angriffe — Neue Qualität der Bedrohung
Der BSI Lagebericht 2024 widmet KI-gestützten Angriffen erstmals ein eigenständiges Kapitel. Generative KI senkt die Einstiegshürde für Cyberkriminelle erheblich:
- KI-generiertes Phishing: Täuschend echte, personalisierte E-Mails in perfektem Deutsch — automatisiert und massenweise
- Deepfake-Betrug: Gefälschte Audio- und Videoaufnahmen von Führungskräften für CEO-Fraud-Angriffe
- Automatisierte Schwachstellensuche: KI-Tools finden und exploiten Sicherheitslücken schneller als bisher möglich
- Malware-Generierung: Large Language Models können bei der Erstellung von Schadsoftware assistieren
3. DDoS-Angriffe — Hacktivismus und staatliche Akteure
DDoS-Angriffe auf deutsche Infrastruktur haben laut BSI zugenommen, besonders durch hacktivistische Gruppen im Kontext des russischen Angriffskrieges auf die Ukraine. Betroffen sind:
- Bundesbehörden und parlamentarische Institutionen
- Flughäfen und Verkehrsinfrastruktur
- Finanzinstitute
- Medienhäuser und Nachrichtenportale
4. Supply-Chain-Angriffe — Angriffe über Dritte
Angreifer kompromittieren zunehmend Zulieferer und Dienstleister, um über diese vertrauenswürdige Verbindungen in größere Zielorganisationen einzudringen. Der MOVEit-Angriff 2023 ist das prominenteste internationale Beispiel. Das BSI empfiehlt systematisches Third-Party Risk Management.
KRITIS: Kritische Infrastruktur unter besonderer Beobachtung
Das BSI betreibt das KRITIS-Programm zum Schutz kritischer Infrastrukturen. Als KRITIS gelten in Deutschland neun Sektoren: Energie, Wasser, Ernährung, Informationstechnik und Telekommunikation, Gesundheit, Finanz- und Versicherungswesen, Transport und Verkehr, Medien und Kultur, sowie Staat und Verwaltung.
Das BSI hat mit dem KRITIS-Dachgesetz (in Umsetzung der NIS-2-Richtlinie) und dem IT-Sicherheitsgesetz 2.0 die Anforderungen an KRITIS-Betreiber verschärft. Betreiber kritischer Infrastrukturen sind verpflichtet:
- Erhebliche Cyberangriffe innerhalb von 24 Stunden an das BSI zu melden
- Mindeststandards für IT-Sicherheit umzusetzen und nachzuweisen
- Systeme zur Angriffserkennung (SzA) einzusetzen
NIS-2-Richtlinie: Erweiterte Meldepflichten für mehr Unternehmen
Die EU-Richtlinie NIS-2 (Network and Information Security 2) hätte bis Oktober 2024 in deutsches Recht umgesetzt werden sollen. Das entsprechende NIS-2-Umsetzungsgesetz (NIS2UmsuCG) befindet sich im deutschen Gesetzgebungsverfahren und wird voraussichtlich 2025 in Kraft treten.
NIS-2 weitet den Kreis betroffener Unternehmen erheblich aus: Wo bisher ca. 2.000 KRITIS-Unternehmen reguliert wurden, werden es mit NIS-2 schätzungsweise 29.000 Unternehmen in Deutschland sein.
Neue Anforderungen unter NIS-2:
- Risikomanagementmaßnahmen für Cybersicherheit
- Meldepflicht bei Sicherheitsvorfällen (24h Erstmeldung, 72h Detailmeldung, 1 Monat Abschlussbericht)
- Persönliche Haftung von Geschäftsführern bei Verstößen
- Lieferketten-Sicherheitsanforderungen
BSI-Empfehlungen für Unternehmen
Das BSI gibt im Lagebericht 2024 folgende Kernempfehlungen:
- IT-Grundschutz umsetzen: Das BSI IT-Grundschutz-Kompendium bietet einen vollständigen Rahmen für Sicherheitsmaßnahmen — kostenlos unter bsi.bund.de
- Backup-Strategie nach 3-2-1-1-0-Regel: 3 Kopien, 2 Medientypen, 1 Off-Site, 1 Offline (Air-Gap), 0 ungetestete Backups
- Multi-Faktor-Authentifizierung (MFA) überall: Insbesondere für E-Mail, VPN, Admin-Zugänge und Cloud-Dienste
- Patch-Management beschleunigen: Kritische Schwachstellen (CVSS ≥ 9) innerhalb von 24 Stunden patchen
- Mitarbeiterschulungen: Regelmäßige Security-Awareness-Trainings mit simulierten Phishing-Tests
- Incident Response Plan: Schriftlichen Plan für Sicherheitsvorfälle haben und regelmäßig üben
Häufige Fragen
Wo finde ich den vollständigen BSI Lagebericht?
Der vollständige BSI Lagebericht 2024 „Die Lage der IT-Sicherheit in Deutschland 2024" ist kostenlos als PDF auf bsi.bund.de/lageberichte herunterladbar. Das BSI veröffentlicht den Lagebericht jährlich im Oktober/November.
Was bedeutet die Bewertung „angespannt bis kritisch"?
Das BSI nutzt eine vierstufige Skala: normal, angespannt, kritisch, sehr kritisch. „Angespannt bis kritisch" bedeutet dass die Bedrohungslage seit mehreren Jahren anhält und sich in bestimmten Bereichen (KRITIS, Kommunen, Gesundheit) verschärft hat. Es ist keine Entwarnung, aber auch kein Ausnahmezustand.
Welche Branchen sind laut BSI besonders gefährdet?
Laut BSI sind besonders gefährdet: Kommunen und öffentliche Verwaltung (häufig unzureichend abgesichert), Gesundheitssektor (Krankenhäuser), Bildungseinrichtungen, und mittelständische Unternehmen als Teil von Lieferketten größerer Unternehmen.