Vom EZB-Brief zum Engineering-Backlog: Was bis zum 31. Oktober auf den Plan gehört
Illumio
von Alexander Goller, Principal Solutions Architect EMEA bei Illumio
Der Brief der EZB vom 7. Juli 2026 (SSM-2026-0301) lässt sich auf eine Gleichung reduzieren: KI-Modelle verkürzen die Zeit zwischen Schwachstellen-Entdeckung und funktionierendem Exploit – also muss auf der Verteidigerseite jede Kennzahl schrumpfen, die ein Zeitfenster beschreibt: Time-to-Detect, Time-to-Patch, Time-to-Contain, Time-to-Recover.
Nach DORA und dem Cyber-Stresstest 2024 behandelt die Aufsicht KI-gestützte Angriffe als reale, praktische Bedrohung, sie nimmt die Angriffe sehr ernst und verweist ergänzend auf CERT-EU: KI verändert die Ökonomie der Schwachstellensuche. Daraus ergeben sich sechs Handlungsfelder, die darauf zielen, den Vorteil der Angreifer zu verringern, und in denen Segmentierung gleich zweimal auftaucht.
1. Exposure identifizieren
Gefordert: ein Inventar aller ICT-Assets inklusive Drittsoftware und Open Source, dazu kontinuierliche Überwachung aller extern erreichbaren Systeme, Cloud-Umgebungen und VPN-Verbindungen zu Dritten. Das Ziel ist klar: die eigene Exposition erkennen, bevor Angreifer es tun. Technisch heißt das kontinuierliche Attack-Surface-Discovery statt Quartalsscans, ein Asset-Repository mit Ownership, Erreichbarkeit und Kritikalität – und SBOMs für eigene wie zugekaufte Software. Priorität eins laut EZB: Perimeter-Technologien – Gateways, Firewalls, exponierte Appliances.
2. Patchen im Maschinentempo
Ist die Exposition bekannt, geht es im nächsten Schritt darum, das Zeitfenster für Patches zu verkürzen, um damit mögliche Exploits auszuschließen. Priorisiert wird nach realer Ausnutzbarkeit – einschließlich Exploit-Wahrscheinlichkeit (EPSS), bekanntermaßen ausgenutzte Schwachstellen (KEV) – und nicht allein nach dem CVSS-Basiswert.
Den entscheidenden Kontext liefern Vulnerability Maps: Sie verbinden Scanner-Daten mit den realen Kommunikationsbeziehungen der Workloads und zeigen, welche Schwachstellen im Netz tatsächlich erreichbar sind.“
Alexander Goller ist Principal Solutions Architect EMEA bei Illumio (Website) unterstützt Unternehmen dabei, resilienter gegen Cyberattacken zu werden und ihre Multi-Cloud-Infrastrukturen durch Visibilität und Segmentierung abzusichern. Er verfügt über langjährige Erfahrung im IT-Sicherheitsumfeld und hat als Softwareingenieur Netzwerk- und Sicherheitssoftware entwickelt. Er kennt die Sicherheitsherausforderungen von Unternehmen aller Branchen und Größen und sieht Automatisierung, Infrastructure as Code und Cloud-native Anwendungen als nächste Evolutionsstufe der IT-Sicherheit.3. Detektion, die mithält
Da Cyberangriffe immer schneller ablaufen, darf sich Detektion nicht mehr nur darum drehen, einen Breach zu erkennen. Der Breach muss auch früh genug erkannt werden, so dass Maßnahmen ergriffen werden können, die den Angriff eindämmen. Erster Schritt: ein ehrliches Coverage-Assessment: Welche Systeme liefern Telemetrie, in welcher Qualität und Latenz? Darauf aufbauend: verhaltensbasierte Erkennung, Anomalie-Erkennung auf Identitäts- und API-Ebene – und Sichtbarkeit in den Ost-West-Verkehr, wo laterale Bewegung stattfindet, lange bevor sie am Perimeter auffällt.
4. Assume Breach: Default Deny durchsetzen
Der wohl folgenreichste Teil des Briefs ist der Assume-Breach-Ansatz: Eine resiliente Architektur geht davon aus, dass der Perimeter fällt – Zero-Day-Exploitation eingeschlossen. Die Antwort: Segmentierung und, wo machbar, Mikrosegmentierung, kombiniert mit Zero-Trust-Prinzipien – kontinuierliche Verifikation von Nutzern, Geräten, Anwendungen, APIs und Service-Accounts.
Konkret: aus den erfassten Kommunikationsbeziehungen Allowlist-Policies ableiten und schrittweise Default-Deny durchsetzen – beginnend bei Zahlungsverkehr, Kernbanksystem und Identitätsinfrastruktur.“
Legacy-Systeme, die sich nicht ablösen lassen, werden isoliert: Ein Altsystem mit drei erlaubten Gegenstellen ist ein beherrschbares Risiko. Dasselbe System flach im Netz ist ein Sprungbrett für laterale Bewegung.
5. Wiederanlauf unter Druck testen
Resilienz entsteht durch unveränderliche, vom Produktionsnetz getrennte Backups, eine isolierte Wiederanlauf-Umgebung und RTO-Annahmen für dreißig gleichzeitig ausfallende Systeme. Die Übungsszenarien nennt die EZB selbst: Zero-Days, Ransomware, destruktive Angriffe, Cloud- und Lieferkettenausfälle. Wer nur das freundliche Tabletop übt, testet Präsentationsfähigkeiten, nicht Resilienz. Dazu: strukturierter Austausch von Bedrohungsinformationen zwischen Instituten.
6. Resilienz auf Vorstandsebene messen
Der Brief ist an CEOs adressiert, nicht an CISOs – kein Zufall. Vorstände sollen prüfen, ob Budget, Personal und Change-Kapazität ausreichen, und Risk-Appetite-Frameworks nachziehen. In den Plan gehören Kennzahlen: Patch-Latenz und gemessene Exposure je Klasse, Segmentierungsgrad kritischer Zonen, Telemetrie-Abdeckung, Wiederanlaufzeiten. Die Lieferkette bleibt eigene Verantwortung: Auslagern kann man den Betrieb, nicht die Haftung.
Der 31. Oktober ist Abgabetermin des Maßnahmeplans, nicht Ziellinie.“
Da sich die Remediation-Fenster weiter verkürzen, können Finanzinstitute nicht davon ausgehen, dass sie jede Schwachstelle patchen können, bevor sie ausgenutzt wird. Dass die EZB wiederholt auf Segmentierung verweist, trägt dieser Realität Rechnung: Sie reduziert Exposure, wenn sich die Remediation verzögert, und begrenzt laterale Bewegung, wenn Angreifer bereits Fuß gefasst haben. Exposure-Management, Patchen, Detektion, Segmentierung und Wiederanlauf sind damit keine technischen Optimierungsprojekte mehr, sondern Resilienzanforderungen. Jetzt müssen sie aus dem Plan in die Produktion. Alexander Goller, Illumio
Sie finden diesen Artikel im Internet auf der Website:
https://itfm.link/252127
Schreiben Sie einen Kommentar