Quelle: www.bsi.bund.de

hr Webmail-Dienst – ob Sie nun Gmail, GMX, Web.de oder einen anderen Anbieter nutzen – ist weit mehr als nur ein Posteingang. Er ist der zentrale Schlüssel zu Ihrem gesamten digitalen Leben. Hier landen Rechnungen, Zugangsdaten für Online-Shops, Benachrichtigungen von Banken und vor allem die wichtigen Links zur Passwort-Wiederherstellung für praktisch jeden anderen Dienst.

Die ernüchternde Realität: Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat festgestellt, dass viele Webmail-Anbieter diese zentrale Rolle noch immer mit unzureichenden Standard-Sicherheitsmaßnahmen schützen. Oft ist nur ein einfaches Passwort der einzige Schutzschild.

Deshalb hat das BSI ein klares Whitepaper veröffentlicht: Es fordert von den Anbietern eine massive Verbesserung der Sicherheit, Transparenz und Benutzerfreundlichkeit. Das Gute daran: Die Verantwortung soll stärker von Ihren Schultern auf die der Anbieter verlagert werden.

Aber was können und müssen Sie als privater Nutzer jetzt tun? Dieser Artikel fasst die zentralen Forderungen des BSI in 5 einfachen, sofort umsetzbaren Schritten für Sie zusammen und zeigt, wie Sie Ihre digitale Identität heute noch besser schützen.

1. Schritt: Aktivieren Sie den doppelten Schutz (2FA und Passkeys)

Das größte Manko vieler Webmail-Dienste ist der standardmäßige Zugriff nur über ein Passwort. Wenn dieses Passwort gestohlen wird (durch Datenlecks oder Phishing), ist Ihr Konto offen.

Das BSI fordert daher, dass sichere Verfahren wie die Zwei-Faktor-Authentifizierung (2FA) oder moderne Passkeys zum Standard werden.

Was bedeutet das für Sie?

Aktivieren Sie die 2FA sofort! Die Zwei-Faktor-Authentifizierung ist Ihre persönliche Lebensversicherung gegen gehackte Passwörter.

• Was ist 2FA? Nach der Eingabe Ihres Passworts müssen Sie einen zweiten Nachweis liefern, z. B. einen Code, der an Ihr Smartphone gesendet wird, oder eine Bestätigung per Fingerabdruck/Gesichtsscan.
• Der BSI-Wunsch: Anbieter sollen 2FA nicht nur als versteckte Option anbieten, sondern sie standardmäßig für alle Nutzer aktivieren (Security by Default).
• Blick in die Zukunft: Passkeys. Passkeys ersetzen das klassische Passwort komplett und nutzen biometrische Merkmale (wie Fingerabdruck oder Gesichtserkennung) zur Anmeldung. Sie sind extrem sicher und benutzerfreundlich. Prüfen Sie, ob Ihr Webmail-Dienst diese Option bereits anbietet, und nutzen Sie sie.

Ihre einfache Aufgabe: Gehen Sie in die Sicherheitseinstellungen Ihres E-Mail-Anbieters und suchen Sie nach „Zwei-Faktor-Authentifizierung“ oder „Passkeys“. Aktivieren Sie diese Funktion!

2. Schritt: Verlangen Sie standardmäßige Ende-zu-Ende-Verschlüsselung (E2EE)

Stellen Sie sich eine E-Mail als Postkarte vor: Solange sie unverschlüsselt ist, kann jeder, der sie auf dem Weg abfängt, den Inhalt lesen. Die Transportverschlüsselung (TLS) schützt nur den Versandweg, aber nicht den Inhalt auf den Servern oder beim Empfänger.

Das BSI fordert, dass Webmail-Dienste offene Standards wie OpenPGP oder S/MIME direkt und benutzerfreundlich in den Webmailer integrieren.

Was bedeutet das für Sie?

Vertrauliche Kommunikation muss verschlüsselt werden. Die Ende-zu-Ende-Verschlüsselung (E2EE) stellt sicher, dass nur Sie und der Empfänger die Nachricht lesen können.

• Derzeitige Hürde: Bisher war E2EE oft kompliziert. Sie mussten externe Programme installieren und Schlüssel manuell verwalten.
• Die BSI-Forderung: Der E-Mail-Anbieter muss die Schlüsselverwaltung automatisieren und die Verschlüsselung so einfach machen, dass sie auch für Laien mit nur einem Klick funktioniert. Sicherheit darf kein Experten-Thema sein.
• Ihre Wahl heute: Achten Sie bei der Wahl Ihres Webmail-Dienstes darauf, dass er E2EE-Funktionen einfach und transparent anbietet.

Ihre einfache Aufgabe: Wenn Sie sensible Informationen versenden, prüfen Sie, ob Ihr Anbieter eine integrierte E2EE-Funktion hat. Falls nicht, sollten Sie über einen Wechsel nachdenken.

3. Schritt: Achten Sie auf wirksamen Schutz vor Spam und Phishing

Spam ist nervig, aber Phishing ist gefährlich. Phishing-E-Mails sind gefälschte Nachrichten, die versuchen, Sie dazu zu bringen, Passwörter oder Bankdaten preiszugeben. Das BSI kritisiert, dass Anbieter die Verantwortung für die Erkennung oft zu stark auf die Nutzer abwälzen.

Was bedeutet das für Sie?

Ihr Anbieter muss mehr Verantwortung übernehmen. Das BSI fordert von den Webmail-Diensten eine mehrschichtige Abwehr von Phishing und Spam.

• Technische Schutzmechanismen im Hintergrund: Ihr Anbieter sollte im Hintergrund automatisch Mechanismen wie SPF, DKIM und DMARC nutzen. Diese prüfen, ob die Absenderadresse wirklich echt ist und verhindern, dass Ihre E-Mail-Adresse für Spam missbraucht wird.
• Ihre Meldefunktion: Der Spam-Filter ist nicht perfekt. Das BSI fordert benutzerfreundliche Meldefunktionen. Wenn eine Phishing-Mail durchkommt, sollte es für Sie ganz einfach sein, diese als Betrug zu melden, damit der Anbieter seine Filter verbessern kann.

Ihre einfache Aufgabe: Seien Sie wachsam bei E-Mails, die nach Passwörtern fragen oder drohen, dass Ihr Konto gesperrt wird. Klicken Sie nicht auf Links! Melden Sie verdächtige Mails und nutzen Sie die Meldefunktion Ihres Anbieters.

4. Schritt: Verstehen Sie, was mit Ihren Daten passiert (Transparenz)

Webmail-Dienste müssen transparent sein. Transparenz ist ein Schlüsselaspekt der digitalen Selbstbestimmung. Sie müssen wissen, welche Sicherheitsfunktionen aktiv sind, wie Ihre Daten gespeichert werden und wie Sie Ihr Konto im Notfall wiederherstellen können.

Das BSI fordert daher einen transparenten und leicht verständlichen Überblick über die Sicherheitskonfiguration.

Was bedeutet das für Sie?

Kontrollieren Sie Ihre Einstellungen. Sicherheitsfunktionen, die man erst mühsam in einem Untermenü suchen muss, sind nutzlos.

• Klarheit bei der Verschlüsselung: Es sollte auf einen Blick ersichtlich sein, ob eine Nachricht verschlüsselt ist und ob der Empfänger E2EE unterstützt.
• Einfache Account-Wiederherstellung: Wenn Sie Ihr Passwort vergessen oder Ihr Konto gehackt wird, muss der Wiederherstellungsprozess einfach, robust und nachvollziehbar sein. Der Anbieter muss klar kommunizieren, welche Schritte notwendig sind und wie lange die Bearbeitung dauert.

Ihre einfache Aufgabe: Prüfen Sie jetzt, wo in den Einstellungen Ihres Webmail-Dienstes die wichtigsten Sicherheitsfunktionen (z. B. 2FA) aufgeführt sind. Sind sie leicht zu finden? Wenn nicht, ist das ein Zeichen für fehlende Transparenz.

5. Schritt: Wählen Sie Qualität und Verlässlichkeit

Das BSI sieht E-Mail-Dienste als Teil unserer kritischen digitalen Infrastruktur. Die Botschaft ist klar: Sicherheit und Benutzerfreundlichkeit müssen Standard sein – nicht optional. Die Last soll nicht bei Ihnen, dem Nutzer, liegen.

Wenn ein Webmail-Dienst wichtige Standards wie 2FA oder einfache E2EE nicht als Standard anbietet, dann nimmt er seine Verantwortung nicht ernst.

Was bedeutet das für Sie?

Nutzen Sie das BSI-IT-Sicherheitskennzeichen. Dieses Kennzeichen wird vom BSI an Produkte und Dienste vergeben, die bestimmte technische Sicherheitsanforderungen erfüllen.

• Prüfen Sie den Anbieter: Wenn Sie einen neuen E-Mail-Dienst wählen, suchen Sie gezielt nach diesem Kennzeichen oder fragen Sie beim Anbieter nach, welche BSI-Anforderungen er erfüllt.
• Achten Sie auf Security by Design: Dienste, die Sicherheit von Anfang an in ihre Architektur integrieren, sind die bessere Wahl.

Ihre einfache Aufgabe: Informieren Sie sich über das IT-Sicherheitskennzeichen des BSI und nutzen Sie es als Kriterium bei der Wahl Ihres Webmail-Dienstes.

Fazit: Die neue Ära der Webmail-Sicherheit

Das Whitepaper des BSI sendet ein wichtiges Signal: Webmail-Dienste müssen endlich ihre Hausaufgaben machen und die Verantwortung für die Sicherheit der digitalen Identität ihrer Nutzer übernehmen. Die Zeiten, in denen ein einfaches Passwort in der Standardeinstellung ausreichte, sind vorbei.

Für Sie als privaten Nutzer bedeutet dies:

1. Handeln Sie aktiv: Aktivieren Sie sofort Zwei-Faktor-Authentifizierung (2FA) oder Passkeys.
2. Fordern Sie mehr: Wählen Sie Anbieter, die Ende-zu-Ende-Verschlüsselung einfach und transparent machen.
3. Seien Sie informiert: Achten Sie auf das BSI-IT-Sicherheitskennzeichen.

Ihr E-Mail-Konto ist Ihr digitales Zuhause. Schützen Sie es mit den einfachen, aber wirkungsvollen Schritten, die das BSI nun von allen Anbietern fordert.

Sie haben die Macht, sichere Dienste zu wählen und unsichere zu meiden.

Quelle: ag.kritis.info

Der Referentenentwurf vom 26.05.2025 ist ein Gesetzentwurf zur Umsetzung der NIS-2-Richtlinie der EU und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung. Ziel ist es, die Cybersicherheit in Deutschland angesichts zunehmender digitaler Vernetzung und Bedrohungen zu stärken.

Kerninhalte der letzten Version:

• Erweiterung des Anwendungsbereichs: Der Entwurf weitet die bestehenden Cybersicherheitsanforderungen auf eine größere Anzahl von Sektoren und Einrichtungen aus, die als „wesentlich“ oder „besonders wichtig“ eingestuft werden. Dies umfasst sowohl klassische Kritische Infrastrukturen (KRITIS) als auch weitere Bereiche wie die Wasserwirtschaft, Abfallwirtschaft, digitale Infrastruktur, Gesundheitswesen, usw.
• 
• Risikomanagementpflichten: Betroffene Einrichtungen müssen angemessene und verhältnismäßige technische und organisatorische Maßnahmen zur Beherrschung der Risiken für die Sicherheit ihrer Netz- und Informationssysteme ergreifen. Dazu gehören u.a. Konzepte für die Risikoanalyse und Sicherheit von Informationssystemen, Vorfallbewältigung, Business Continuity und Notfallmanagement, Sicherheit der Lieferkette, Basishygiene der Cybersicherheit, Einsatz von Kryptografie und Verschlüsselung, Personalsicherheit und Zugangskontrolle.
• Meldepflichten: Es werden gestaffelte Meldepflichten für erhebliche Sicherheitsvorfälle an das Bundesamt für Sicherheit in der Informationstechnik (BSI) eingeführt:
  • Frühwarnung: Innerhalb von 24 Stunden nach Kenntnis eines erheblichen Vorfalls, wenn dieser die Erbringung einer Dienstleistung erheblich beeinträchtigen oder andere erhebliche Auswirkungen haben könnte.
  • Meldung des erheblichen Vorfalls: Innerhalb von 72 Stunden nach Kenntnis, inklusive erster Bewertung, Art und Schwere des Vorfalls und möglicher Auswirkungen.
  • Abschlussbericht: Spätestens einen Monat nach der Vorfallsmeldung.
• Aufsicht und Durchsetzung: Das BSI erhält erweiterte Aufsichts- und Durchsetzungsbefugnisse, inklusive der Möglichkeit zur Durchführung von Überprüfungen, Anordnung von Maßnahmen und Verhängung von Bußgeldern bei Verstößen.
• Zusammenarbeit und Informationsaustausch: Der Entwurf fördert die Zusammenarbeit und den Informationsaustausch zwischen den betroffenen Einrichtungen, dem BSI und anderen relevanten Behörden.
• Anpassung bestehender Gesetze: Zahlreiche bestehende Gesetze, insbesondere das BSI-Gesetz und das IT-Sicherheitsgesetz, werden angepasst oder durch das neue NIS2UmsuCG ersetzt, um die Anforderungen der NIS-2-Richtlinie zu integrieren.

Auswirkungen für die Kommunale Ebene mit Wasserversorgung und Abwasserentsorgung

Für die Kommunale Ebene, insbesondere für die Bereiche Wasserversorgung und Abwasserentsorgung, die traditionell oft in kommunaler Hand oder eng mit Kommunen verbunden sind, sind die Auswirkungen des NIS2UmsuCG erheblich:

1. Erweiterter Anwendungsbereich:
   • Wasserversorgung und Abwasserentsorgung sind explizit als wichtige Sektoren in der NIS-2-Richtlinie aufgeführt (Anhang I und II). Dies bedeutet, dass kommunale oder kommunal getragene Betriebe der Wasserver- und Abwasserentsorgung unter den Anwendungsbereich des Gesetzes fallen werden, sofern sie bestimmte Größenkriterien (Mitarbeiterzahl oder Jahresumsatz/Bilanzsumme) überschreiten oder als besonders wichtig eingestuft werden.
   • Es ist zu beachten, dass „Unternehmen, für die das Sammeln, die Entsorgung oder die Behandlung solchen Abwassers ein nicht wesentlicher Teil ihrer allgemeinen Tätigkeit ist,“ ausgenommen sein könnten, wie im älteren Entwurf angesprochen. Dies muss jedoch im endgültigen Gesetzestext präzisiert werden.
   • 
2. Erhöhte Cybersicherheitsanforderungen:
   • Kommunale Wasser- und Abwasserversorger müssen umfassende Risikomanagementmaßnahmen implementieren. Das bedeutet, dass sie ihre IT- und OT-Systeme (Operational Technology, z.B. für die Steuerung von Pumpen, Kläranlagen) auf Schwachstellen analysieren, Sicherheitskonzepte entwickeln, Notfallpläne erstellen und ihre Lieferketten sichern müssen.
   • Dies erfordert Investitionen in technische Lösungen (z.B. Firewalls, Intrusion Detection Systeme, Verschlüsselung) und in die Schulung des Personals.
3. Strengere Meldepflichten:
   • Bei erheblichen IT-Sicherheitsvorfällen (z.B. Ausfall der Steuerung einer Wasseraufbereitungsanlage durch Cyberangriff) müssen die Betriebe schnell agieren und das BSI innerhalb von 24 Stunden informieren, gefolgt von einer detaillierten Meldung nach 72 Stunden und einem Abschlussbericht. Dies erfordert die Einrichtung geeigneter Prozesse und die Verfügbarkeit von Fachpersonal (oder externen Dienstleistern), um Vorfälle schnell zu erkennen, zu bewerten und zu melden.
4. Aufsicht und potenzielle Sanktionen:
   • Das BSI wird die Einhaltung der Vorschriften überwachen. Bei Nichteinhaltung können Bußgelder verhängt werden. Dies erhöht den Druck auf die kommunalen Betriebe, die Anforderungen konsequent umzusetzen.
5. Verpflichtung zur Zusammenarbeit und zum Informationsaustausch:
   • Kommunale Wasser- und Abwasserversorger müssen sich aktiv an der Zusammenarbeit mit dem BSI und gegebenenfalls anderen relevanten Behörden beteiligen. Auch der Informationsaustausch innerhalb der Branche zur Verbesserung der kollektiven Cybersicherheit wird gefördert.
6. Finanzielle und personelle Belastung:
   • Die Umsetzung der NIS-2-Anforderungen wird für viele kommunale Betriebe, insbesondere kleinere, eine erhebliche finanzielle und personelle Herausforderung darstellen. Es sind Investitionen in Hard- und Software, externe Beratung, Mitarbeiterschulungen und die Einrichtung neuer Prozesse notwendig.
   • Die Kommunen müssen prüfen, ob ihre Eigenbetriebe oder die kommunalen Unternehmen die erforderlichen Ressourcen und das Know-how intern aufbauen können oder ob sie auf externe Dienstleister zurückgreifen müssen.

Zusammenfassend lässt sich sagen, dass der NIS2UmsuCG-Entwurf die Cybersicherheit in der Wasserversorgung und Abwasserentsorgung deutlich stärken soll. Dies führt zu erhöhten Anforderungen und Pflichten für die kommunale Ebene, aber auch zu einer besseren Absicherung der kritischen Daseinsvorsorge gegen Cyberbedrohungen.