Der Oktober steht wieder im Zeichen der IT-Sicherheit. Ins Leben gerufen haben den Cybersecurity Awareness Month die National Cyber Security Alliance und das US-Heimatschutzministerium bereits 2003, mittlerweile beteiligen sich Behörden, Hochschulen und Unternehmen weltweit. Während sich die Kampagne traditionell an Endanwender richtet, lohnt sich für IT-Administratoren ein genauerer Blick: 2026 verändern sich Angriffsmuster, Meldepflichten und Lifecycle-Fristen gleichzeitig.

Wie ernst die Lage ist, zeigt die aktuelle Studie "Wirtschaftsschutz 2026" des Digitalverbands Bitkom. Demnach haben 58 Prozent der Unternehmen in den vergangenen zwölf Monaten einen Schaden durch Cyberangriffe erlitten. Den Gesamtschaden durch Datendiebstahl, Spionage und Sabotage beziffern Bitkom und Verfassungsschutz auf 211 bis 270,8 Milliarden Euro, wobei 76 Prozent auf digitale Angriffe entfallen.

KI verändert Angriffsmuster

Interessant ist vor allem, wie sich die Methoden der Angreifer verschieben. Ransomware traf laut Erhebung 25 Prozent der Unternehmen nach 34 Prozent im Vorjahr, während Schäden durch automatisierte Anrufe von drei auf 14 Prozent und durch Deepfakes von vier auf acht Prozent stiegen. Bitkom-Präsident Ralf Wintergerst betont, dass KI auch weniger versierten Tätern neue Möglichkeiten eröffnet.

Für Admins steckt die eigentliche Botschaft allerdings in einer anderen Zahl. 59 Prozent der geschädigten Unternehmen nennen eine unzureichende Erkennung von Sicherheitsvorfällen als Hauptgrund dafür, dass ein Angriff überhaupt Schaden anrichten konnte; nur 18 Prozent machen mangelndes Sicherheitsbewusstsein der Belegschaft verantwortlich. Logging, Monitoring und Detection rücken damit stärker in den Fokus als die klassische Phishing-Schulung.

Hinzu kommt das Tempo. Laut CrowdStrike Global Threat Report 2026 sank die durchschnittliche Breakout-Time, also die Zeit vom Erstzugriff bis zur Ausbreitung im Netz, auf 29 Minuten. Wer erst am nächsten Morgen ins SIEM schaut, ist also zu spät dran, was automatisierte Reaktionsmechanismen zunehmend unverzichtbar macht.

Neue Meldepflichten

Auch regulatorisch hat sich im Herbst einiges getan. Seit dem 11. September 2026 müssen Hersteller von Produkten mit digitalen Elementen nach dem Cyber Resilience Act aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle melden: eine Frühwarnung innerhalb von 24 Stunden, eine ausführliche Meldung innerhalb von 72 Stunden. Betroffen sind damit auch IT-Abteilungen in Firmen, die eigene Software oder vernetzte Geräte vertreiben; die vollständige CRA-Konformität greift erst im Dezember 2027.

Parallel läuft die NIS2-Umsetzung in Deutschland. Das NIS2-Umsetzungsgesetz ist seit dem 6. Dezember 2025 in Kraft, die Registrierungspflicht für betroffene Unternehmen lief offiziell am 6. März 2026 ab. Zum 30. Juni 2026 zählte das BSI 17.729 registrierte Unternehmen, betroffen sind nach Schätzungen aber rund 29.500 Unternehmen in 18 Sektoren. Da das BSI betroffene Einrichtungen nicht aktiv benachrichtigt, muss jedes Unternehmen selbst prüfen, ob es unter das Gesetz fällt.

Altsysteme und Lifecycle im Blick behalten

Ganz praktisch steht im Oktober zudem ein Termin im Microsoft-Kalender an. Das erste Jahr der kostenpflichtigen Windows 10 Extended Security Updates für Unternehmen endet am 13. Oktober 2026, das zweite am 12. Oktober 2027 und das dritte am 10. Oktober 2028. Am selben Tag im Oktober laufen auch Windows 10 Enterprise LTSB 2016 und die IoT-Variante aus, Windows Server 2016 folgt am 12. Januar 2027. Eine saubere Inventarisierung und, wo nötig, die Abschottung von Altsystemen in eigene Netzsegmente gehören deshalb auf die To-do-Liste.

Der Aktionsmonat bietet so einen guten Anlass für einen nüchternen Sicherheitscheck. Die US-Behörde CISA empfiehlt in diesem Jahr unter anderem das Prinzip der "3Rs" mit den Bausteinen Reduce, Replace und Recover, also Angriffsfläche verkleinern, veraltete Systeme ersetzen und die Wiederherstellung üben. Ob dafür genug Geld bereitsteht, bleibt offen: Laut Bitkom-Studie stagniert der Sicherheitsanteil am IT-Budget bei 18 Prozent, empfohlen werden 20 Prozent.