Tag Appell

Haftungsrisiko Cybersicherheit

Günter Esch, Geschäftsführer SEPPmail – Deutschland GmbH

Noch nie war Cybersicherheit ein reines IT-Problem. Leider ist es nach wie vor häufig geübte Praxis, dass dieses Thema an die Technikabteilung delegiert wird und die Geschäftsführung sich nicht in einem angemessenen Maße damit auseinandersetzt. Geschäftsführer und Vorstände konnten sich zumindest seit Inkrafttreten der EU-DSGVO nicht hinter ihren IT-Teams verstecken. Denn sie können unter Umständen persönlich haftbar gemacht werden. In Zeiten von immer raffinierteren Cyberangriffen, gezielten Phishing-Kampagnen und zunehmender Regulierung durch die NIS-2-Richtlinie wächst auch hier die persönliche Verantwortung.

Kommentar von Günter Esch, Geschäftsführer SEPPmail – Deutschland GmbH

Viele Geschäftsführer zögern, Budgets für Cybersicherheit freizugeben. Die Gründe? Kosten, fehlendes Bewusstsein für Cyberrisiken und die trügerische Hoffnung, dass es das eigene Unternehmen schon nicht treffen wird. Doch die Realität ist eine andere: Cyberangriffe können jeden treffen – und sie treffen vor allem die Unternehmen, die schlecht vorbereitet sind.

Die Absicherung der E-Mail-Kommunikation ist dabei ein wichtiger Faktor. Sind E-Mails nicht abgesichert, können Daten gestohlen werden. Zusätzlich drohen Reputationsverluste, Vertragsstrafen, Bußgelder und rechtliche Schritte von Kunden oder Partnern. Und nicht zuletzt schützt ein wirksames E-Mail-Sicherheitskonzept auch die Geschäftsleitung selbst: Wer jetzt proaktiv handelt, dokumentiert Verantwortungsbewusstsein – und kann im Ernstfall belegen, dass er seiner Sorgfaltspflicht nachgekommen ist.

NIS-2: Geschäftsführer haften für Sicherheitsmängel – auch bei E-Mails

Nicht erst mit der Umsetzung der NIS-2-Richtlinie steht fest: Die Verantwortung für die Cybersicherheit eines Unternehmens liegt beim Management. Geschäftsleitungen können persönlich haftbar gemacht werden, wenn sie ihre Sorgfaltspflichten vernachlässigen. Dazu gehört nicht nur die Einhaltung technischer Standards, sondern auch die Sicherstellung organisatorischer Maßnahmen, regelmäßiger Risikobewertungen und die Kontrolle über besonders kritische Kommunikationskanäle – allen voran die E-Mail.

Wenn es darum geht, den Begriff „Stand der Technik“ im Detail zu verstehen, lohnt sich ein Blick in die Handreichung zum Stand der Technik in der IT-Sicherheit des Bundesverbands IT-Sicherheit e.V. (TeleTrusT). Diese gibt konkrete Hinweise und Handlungsempfehlungen.

E-Mails bleiben nach wie vor als Hauptkommunikationsmittel ein beliebtes Ziel von Cyberkriminellen. Ob Phishing, CEO-Fraud oder der Versand von Malware: Angreifer nutzen gezielt die Schwachstellen in der E-Mail-Kommunikation, um Schaden anzurichten. Wer hier keine angemessenen Schutzmaßnahmen wie verschlüsselte E-Mail-Kommunikation, Authentifizierungslösungen und Schulungen implementiert, handelt fahrlässig; und riskiert alle rechtlichen und finanziellen Konsequenzen.

Cybersicherheit braucht mehr als IT-Kompetenz

Kein IT-Team kann ohne klare Priorisierung durch die Geschäftsführung handeln – weder beim Budget noch bei der Einführung neuer Prozesse. Die Geschäftsleitung muss sich mit einbringen, Risiken bewerten und die Sicherheit als Teil der Unternehmensstrategie begreifen. Dazu gehört auch, die E-Mail-Sicherheit als kritischen Kernbereich zu verstehen. Es gilt, grundlegende Schutzmaßnahmen – wie Ende-zu-Ende-Verschlüsselung, Authentifizierung (SPF, DKIM, DMARC) und Awareness-Trainings – zu implementieren und in der Unternehmenskultur zu etablieren.

Das in der Schweiz und Deutschland ansässige, international tätige und inhabergeführte Unternehmen SEPPmail ist Hersteller im Bereich „Secure Messaging“. Seine prämierte Technologie für den spontanen sicheren E-Mail-Verkehr verschlüsselt elektronische Nachrichten und versieht diese auf Wunsch mit einer digitalen Signatur. Die Secure E-Mail-Lösungen sind weltweit erhältlich und leisten einen nachhaltigen Beitrag zur sicheren Kommunikation mittels elektronischer Post. Dadurch maximiert SEPPmail die Kommunikationssicherheit von hunderttausenden von Benutzern. Das Unternehmen verfügt über eine mehr als zehnjährige Erfahrung im sicheren Austausch digitaler Nachrichten. Bei der Entwicklung seiner E-Mail-Security-Technologie achtet SEPPmail besonders auf die Benutzerfreundlichkeit und reduziert Komplexität auf ein absolutes Minimum. Kleine, mittlere und große Firmen können die Lösungen schnell, unkompliziert und ohne zusätzliche Schulungen anwenden. Weitere Informationen unter www.seppmail.de.

Firmenkontakt
SEPPmail Deutschland GmbH
Günter Esch
Ringstraße 1c
85649 Brunnthal b. München
+49 (0) 8104 8999 030
https://www.seppmail.de

Pressekontakt
Sprengel & Partner GmbH
Lisa Dillmann
Nisterstraße 3
56472 Nisterau
02661-912600

Startseite

Ob Zero-Day-Exploits oder Fehlkonfigurationen – Sicherheitslücken sind längst eine alltägliche Herausforderung. Entscheidend ist nicht nur, dass sie entdeckt werden, sondern wie mit den Erkenntnissen umgegangen wird. Zwischen koordinierter Offenlegung und der Gefahr von Angriffswellen auf ungeschützte Systeme ist eine Debatte entbrannt, die längst nicht mehr nur Fachkreise betrifft. Der jüngste Fall einer Schwachstelle in der Dateiübertragungssoftware CrushFTP zeigt die Schattenseiten unkoordinierter Veröffentlichung.

Kommentar von Kristian Varnai, Senior Security Consultant von Outpost24

Die kürzlich veröffentlichte Schwachstelle CVE-2025-31161 in der Dateiübertragungssoftware CrushFTP ist technisch gravierend – und in ihrer Wirkung vor allem ein Beispiel für ein wachsendes Problem in der Sicherheitsbranche. Sie zeigt, dass die Bereitschaft, Verantwortung für IT-Sicherheit gemeinsam zu tragen, spürbar abnimmt. Die Sicherheitslücke ermöglicht Angreifern, durch eine fehlerhafte Implementierung der AWS4-HMAC-SHA256-Authentifizierung temporären Zugriff auf Benutzerkonten zu erlangen – bis hin zur vollständigen Systemübernahme durch persistente Sessions. Das ist keine theoretische Gefahr: Bereits jetzt verzeichnen Sicherheitsforscher mehr als 1.500 angreifbare Instanzen im Netz sowie erste Angriffe durch Threat-Actors.

Wenn Disclosure zur Schwachstelle wird

So gefährlich die Schwachstelle selbst ist – mindestens genauso problematisch ist der Umgang mit ihr. Outpost24 war mit CrushFTP im Dialog und verfolgte einen klassischen Coordinated-Disclosure-Ansatz. Doch ein anderes Unternehmen veröffentlichte unter einer zweiten CVE-Nummer (CVE-2025-2825) vorzeitig Details, inklusive Proof-of-Concept. Damit wurde aus der geplanten Pufferzeit für die Nutzer eine Einladung an Angreifer. Die Veröffentlichung kam einem Weckruf für Exploit-Entwickler gleich – bevor ein Großteil der Systeme gepatcht war.

Verantwortung braucht Abstimmung

Der Vorfall zeigt: Selbst bei bestmöglicher technischer Vorbereitung – inklusive Patch-Verfügbarkeit durch den Hersteller – kann mangelnde Abstimmung auf der Kommunikationsseite erheblichen Schaden anrichten. Transparenz ist wichtig, aber nicht um jeden Preis. Wer Schwachstellen offenlegt, trägt Mitverantwortung dafür, wie diese Informationen in Umlauf geraten; und in wessen Hände sie fallen. Einseitige Offenlegungen mögen kurzfristig Aufmerksamkeit bringen, untergraben aber das Vertrauen in eine Branche, die auf kooperative Prozesse angewiesen ist.

Ein Appell an die Sicherheits-Community

CrushFTP ist nicht der erste Fall dieser Art und wird auch nicht der letzte sein. Doch er verdeutlicht, wie wichtig es ist, sich wieder stärker auf koordinierte Abläufe zu besinnen. Responsible Disclosure ist kein Auslaufmodell, sondern aktueller denn je. Wer die Sicherheit von IT-Systemen verbessern will, muss sich auch an Kommunikationsspielregeln halten.

Outpost24 unterstützt Unternehmen bei der Verbesserung ihrer Cyber-Resilienz mit einem umfassenden Angebot an CTEM-Lösungen (Continuous Threat Exposure Management). Die intelligente Cloud-Plattform von Outpost24 vereinheitlicht das Asset-Management, automatisiert die Schwachstellenbewertung und quantifiziert Cyber-Risiken im geschäftlichen Kontext. Führungskräfte und Sicherheitsteams auf der ganzen Welt vertrauen darauf, dass Outpost24 die wichtigsten Sicherheitsprobleme innerhalb ihrer Angriffsfläche identifiziert und priorisiert, um die Risikominderung zu beschleunigen. Outpost24 wurde 2001 gegründet und hat seinen Hauptsitz in Schweden und den USA. Weitere Niederlassungen befinden sich in Großbritannien, den Niederlanden, Belgien, Dänemark, Frankreich und Spanien.Besuchen Sie https://outpost24.com/ für weitere Informationen.

Firmenkontakt
Outpost24
Patrick Lehnis
Gierkezeile 12
10585 Berlin
+49 160-3484013
outpost24.com/de/

Pressekontakt
Sprengel & Partner GmbH
Lisa Dillmann
Nisterstraße 3
56472 Nisterau
+49 2661 91260-0

Startseite