EU Cyber Resilience Act: Hersteller müssen Schwachstellen ab 11. September melden
Veröffentlicht am: 07.09.2026 um 11:06 Uhr | Redaktion boerse-global.de
Eine aktuelle Analyse des Cybersecurity-Unternehmens Proofpoint zeigt, dass neuseeländische Regierungsorganisationen signifikante Fortschritte bei der Absicherung ihrer digitalen Kommunikation erzielt haben.
Im August 2026 wurden mehr als 200 Organisationen untersucht, wobei eine Gesamteinführungsrate des Sicherheitsprotokolls DMARC (Domain-based Message Authentication, Reporting and Conformance) von 97 Prozent festgestellt wurde. Diese Entwicklung findet vor dem Hintergrund einer im Oktober 2026 auslaufenden SGE-Frist für staatliche Stellen in Neuseeland statt.
Stand der Implementierung in neuseeländischen Behörden
Trotz der hohen Adoptionsrate unterscheidet sich die Qualität der Umsetzung zwischen den einzelnen Institutionen. Laut der Analyse haben 50 Prozent der untersuchten Organisationen die strengste DMARC-Stufe „Reject“ implementiert, bei der unautorisierte E-Mails direkt blockiert werden.
Weitere 35 Prozent nutzen die Einstellung „Monitor“, während 12 Prozent auf „Quarantine“ setzen. Lediglich 3 Prozent der Behörden verfügen über keinerlei DMARC-Einträge.
Die Notwendigkeit strengerer Sicherheitsmaßnahmen wird durch aktuelle Zahlen des National Cyber Security Centre (NCSC) unterstrichen. Demnach beliefen sich die direkten finanziellen Verluste durch Vorfälle im Zusammenhang mit E-Mails in Neuseeland im ersten Halbjahr 2026 auf insgesamt NZ$8,3 Mio.
Vergleich mit der Privatwirtschaft in Südostasien
Ein Blick auf den asiatischen Markt verdeutlicht den Vorsprung der neuseeländischen Behörden. Eine parallele Untersuchung von Proofpoint unter den „Fortune SEA 500“-Unternehmen in Südostasien ergab, dass dort lediglich 17 Prozent der Firmen die DMARC-Einstellung „Reject“ verwenden. Dies entspricht zwar einer Steigerung gegenüber 13 Prozent im Jahr 2024, bleibt jedoch deutlich hinter den staatlichen Standards in Neuseeland zurück.
Angesichts der steigenden finanziellen Schäden durch manipulierte E-Mails müssen Unternehmen ihre Abwehrstrategien dringend schärfen. Dieser kostenlose Leitfaden zeigt Ihnen in vier Schritten, wie Sie Phishing-Angriffe effektiv stoppen und Ihre Infrastruktur absichern. Anti-Phishing-Paket für Unternehmen jetzt gratis herunterladen
Innerhalb Südostasiens zeigen sich zudem starke regionale Unterschiede bei der Nutzung der „Reject“-Stufe. Während Singapur mit 28 Prozent die höchste Adoptionsrate aufweist, folgen Malaysia mit 21 Prozent und Indonesien mit 18 Prozent.
Thailand liegt bei 12 Prozent, während Vietnam und die Philippinen mit jeweils 11 Prozent das Schlusslicht bilden. Insgesamt nutzen 38 Prozent der dortigen Unternehmen „Quarantine“ und 28 Prozent die „Monitor“-Einstellung. 17 Prozent der großen Unternehmen in der Region haben bisher kein DMARC implementiert.
Neue Bedrohungsszenarien durch ASCII-Smuggling
Parallel zur Implementierung technischer Standards entwickeln Angreifer neue Methoden, um Sicherheitsfilter zu umgehen. Microsoft berichtete über das sogenannte ASCII-Smuggling, bei dem unsichtbare Unicode-Zeichen (Bereich U+E0000 bis U+E007F) genutzt werden. Diese Technik, die ursprünglich aus der Forschung zu Künstlicher Intelligenz stammt, ermöglicht es, schädliche Inhalte vor automatisierten Scannern zu verbergen.
In den Monaten von Februar bis Juni 2026 verzeichnete Microsoft einen Spitzenwert von 2,37 Mio. betroffenen Nachrichten pro Tag. Das Unternehmen empfiehlt Administratoren, unsichtbare Zeichen systematisch aus den Datenströmen zu entfernen, bevor eine Sicherheitsanalyse erfolgt.
Verschärfte Anforderungen an Server-Infrastruktur und Meldepflichten
Auch die Anforderungen an die zugrunde liegende Infrastruktur steigen. Microsoft kündigte an, ab der zweiten Septemberwoche 2026 strengere Maßstäbe für On-Premises Exchange-Server anzulegen. E-Mails von Servern, die nicht über einen aktuellen Mindest-Patchstand verfügen, werden künftig von Exchange Online abgewiesen.
Diese Maßnahme ist insbesondere vor dem Hintergrund aktueller Schwachstellen relevant. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnte kürzlich vor der kritischen Sicherheitslücke CVE-2026-62911, die Exchange Server der Versionen 2016, 2019 und SE RTM betrifft. In Deutschland gelten rund 85 Prozent der On-Premises-Instanzen als potenziell gefährdet.
Wer sich mit der Absicherung geschäftskritischer IT-Systeme befasst, muss neben technischen Lücken auch die zunehmenden gesetzlichen Anforderungen im Blick behalten. Ein aktueller Gratis-Report klärt darüber auf, welche rechtlichen Pflichten und neuen Cyberrisiken Unternehmer jetzt kennen müssen. Kostenlosen Cyber-Security-Report für Unternehmen anfordern
Obwohl seit dem 11. August 2026 ein Patch verfügbar ist, wurden bisher deutschlandweit erst 9 Server aktualisiert, während weltweit noch rund 22.000 ungepatchte Systeme registriert sind. Die Schwachstelle wird mit einem CVSS-Wert von 8.0 eingestuft, zudem existiert bereits ein öffentlicher Exploit.
Flankiert werden diese technischen Entwicklungen von neuen regulatorischen Vorgaben in Europa. Im Rahmen des EU Cyber Resilience Act müssen Hersteller ab dem 11. September 2026 aktiv ausgenutzte Schwachstellen innerhalb enger Zeitfenster melden. Eine Frühwarnung ist binnen 24 Stunden, eine formelle Meldung innerhalb von 72 Stunden und ein Abschlussbericht nach 14 Tagen einzureichen.
Bei Verstößen drohen Bußgelder von bis zu 15 Mio. Euro oder 2,5 Prozent des weltweiten Jahresumsatzes. Zudem wird ab dem 11. Dezember 2027 eine CE-Kennzeichnung sowie eine garantierte Versorgung mit Sicherheitsupdates für mindestens fünf Jahre zur Pflicht.
