IT-Sicherheits-Trends 2027

Trendbeiträge in der IT-Sicherheit haben ein Muster. Sie zählen auf, was Hersteller gerade verkaufen wollen. Dieser Beitrag macht etwas anderes. Er nennt sechs Entwicklungen, die sich mit Fristen, Gesetzen und Zahlen belegen lassen, und sagt zu jeder, was ein mittelständisches Unternehmen daraus machen sollte. 2027 ist dabei ein besonderes Jahr. Es ist das Jahr, in dem drei europäische Regulierungen gleichzeitig vom Papier in die Prüfung wechseln.

Trend 1. NIS2 wechselt vom Umsetzen ins Nachweisen

Die Zahlen zum Start sind ernüchternd. Von rund 29.500 registrierungspflichtigen Unternehmen hatten sich bis zur Frist im März 2026 nur etwa 11.500 beim BSI gemeldet, mehr als 18.000 waren säumig. Seit Oktober 2026 gilt zudem die Pflicht, die Risikomanagementmaßnahmen aus § 30 BSIG nicht nur umgesetzt zu haben, sondern auf Verlangen zu belegen. Das BSI hat angekündigt, aktiv zu prüfen.

2027 wird damit das erste echte Nachweisjahr. Die Frage ist nicht mehr, ob Sie betroffen sind, sondern ob Ihre Dokumentation eine Prüfung übersteht. Wer seine Maßnahmen nicht belegen kann, hat sie im Sinne der Aufsicht nicht getroffen, und die Geschäftsleitung haftet persönlich. Ein Auditor will keine Absichtserklärungen sehen, sondern Nachweise. Wer jetzt noch nicht registriert ist, sollte das vor jeder anderen Maßnahme nachholen.

Trend 2. Der Cyber Resilience Act beendet die folgenlose Software

Am 11. Dezember 2027 wird der Cyber Resilience Act scharf. Ab diesem Tag dürfen Produkte mit digitalen Elementen ohne nachgewiesene Cybersicherheit und CE-Kennzeichnung nicht mehr in der EU verkauft werden, die Meldepflicht für aktiv ausgenutzte Schwachstellen gilt bereits seit September 2026. Wir haben in diesem Blog oft genug gesagt, dass fehlende Produkthaftung ein Systemrisiko ist. Jetzt kommt die Antwort des Gesetzgebers.

Das betrifft zwei Gruppen unterschiedlich. Wer selbst Produkte mit Software herstellt oder vernetzte Geräte verkauft, braucht Security by Design, einen Schwachstellenprozess und eine Software-Stückliste, und wer ohne Vorarbeiten startet, braucht dafür realistisch 14 bis 20 Monate. Die Zeit bis Dezember 2027 ist also bereits knapp. Für alle anderen dreht sich der Spieß um. Ab 2028 können Sie im Einkauf CRA-Konformität verlangen, und Sie sollten es tun. Zum ersten Mal bekommt der Kunde ein gesetzliches Werkzeug gegen Software, deren Hersteller ihre Testabteilung verkauft haben.

Trend 3. Agentische KI-Angriffe werden Routine

Gartner prognostiziert, dass KI-Agenten bis 2027 die Zeit halbieren, die Angreifer brauchen, um kompromittierte Konten auszunutzen. In Umfragen unter Sicherheitsverantwortlichen gilt agentische KI inzwischen als wichtigster kommender Angriffsvektor. Das deckt sich mit dem, was seit dem Bug-Bounty-Meilenstein von 2025 absehbar war, als erstmals ein autonomer Agent die Rangliste einer großen Plattform anführte.

Die Einordnung bleibt dieselbe wie im Vorjahr. Der Werkzeugkoffer wird nicht größer, die Werkzeuge werden schneller, auf beiden Seiten. Neu ist 2027 die Verteidigungsfrage dahinter. Wenn Unternehmen selbst KI-Agenten einsetzen, brauchen diese Agenten eigene, kurzlebige und eng begrenzte Identitäten statt geteilter Service-Konten mit Vollzugriff. Wer seinem KI-Assistenten dieselben Rechte gibt wie einem Administrator, hat einen Administrator eingestellt, den er nicht kündigen kann.

Trend 4. Identität ist die neue Angriffsfläche

Infostealer haben 2025 rund 1,8 Milliarden Zugangsdaten von knapp sechs Millionen infizierten Geräten abgegriffen, ein Anstieg um ein Vielfaches gegenüber den Vorjahren. Gestohlene Passwörter und Sitzungs-Cookies sind zur handelbaren Ware geworden, die Ransomware-Gruppen, Betrüger und Zugangsvermittler gleichermaßen einkaufen. Schon 2026 begannen rund vier von fünf Ransomware-Angriffen mit gestohlenen Zugangsdaten, nicht mit Exploits.

Die Konsequenz ist unbequem einfach. Passwörter allein sind 2027 kein Schutzmechanismus mehr, sondern eine Altlast. Mehrfaktor-Authentifizierung überall, Passkeys für die wichtigsten Zugänge, kurze Sitzungslaufzeiten und ein Prozess, der verwaiste Konten binnen eines Tages schließt. Das klingt nach Hygiene statt nach Innovation, und genau das ist es. Die Angreifer setzen auf Ihre Bequemlichkeit, nicht auf ihre eigene Genialität.

Trend 5. Der Anruf wird zum Angriffsvektor

Identitätsbetrug mit Deepfakes hat sich nach Branchenanalysen binnen drei Jahren mehr als verzwanzigfacht, CEO-Fraud-Kampagnen zielen inzwischen auf Hunderte Unternehmen pro Tag. Die geklonte Stimme des Geschäftsführers, die eine dringende Überweisung anweist, ist keine Zukunftswarnung mehr, sondern dokumentierte Betrugspraxis, auch im deutschen Mittelstand.

Die Antwort darauf ist kein Erkennungstool, sondern ein Prozess. Zahlungsänderungen und ungewöhnliche Anweisungen werden über einen zweiten, bekannten Kanal rückbestätigt, ohne Ausnahme und unabhängig davon, wie echt die Anfrage wirkt und wie viel Eile sie behauptet. Ein Angreifer kann eine Stimme klonen. Er kann nicht den Rückruf auf die Ihnen bekannte Mobilnummer klonen. Wer diese eine Regel im Haus durchsetzt, hat den Großteil des Risikos entschärft, ohne einen Euro für Software auszugeben.

Trend 6. Post-Quanten-Kryptografie wird zur Planungsaufgabe

Das BSI hat im Februar 2026 mit der neuen Ausgabe seiner Technischen Richtlinie für kryptografische Verfahren das Ende von RSA und elliptischen Kurven eingeleitet. Der europäische Fahrplan gibt die Richtung vor. Besonders schützenswerte Systeme sollen bis Ende 2030 auf Post-Quanten-Verfahren umgestellt sein, der Rest bis Ende 2031, und die Migration selbst dauert nach allen Erfahrungswerten mehrere Jahre. Für NIS2-Einrichtungen empfiehlt das BSI die Migration ausdrücklich.

Was 2027 zu tun ist, ist deshalb klar begrenzt. Nicht kaufen, sondern inventarisieren. Welche Systeme nutzen welche Verschlüsselung, welche Daten müssen auch in zehn Jahren noch vertraulich sein, welche Hersteller haben einen PQC-Fahrplan und welche weichen der Frage aus. Wer heute verschlüsselte Daten stiehlt, kann sie später entschlüsseln, dieses Risiko betrifft aber nur Daten mit langer Vertraulichkeitsdauer. Eine Krypto-Inventur kostet wenige Beratertage. Panikkäufe kosten mehr und lösen nichts.

Was 2027 kein Trend ist

Der Quantencomputer, der Ihre Verschlüsselung bricht, kommt auch 2027 nicht, die Inventur aus Trend 6 ist trotzdem fällig, das eine hat mit dem anderen nichts zu tun. Die Verschiebung der Hochrisiko-Pflichten des EU AI Act auf Dezember 2027 ist keine Entwarnung, sondern eine Gnadenfrist, wer Hochrisiko-KI einsetzt, braucht die Zeit vollständig. Und KI-Security-Produkte als eigene Einkaufskategorie bleiben Marketing. Die Frage an jeden Anbieter lautet unverändert, was davon nicht schon vorher Scanner, Filter und Regelwerk war.

Unsere Empfehlung

Wenn Sie unter NIS2 fallen, machen Sie Ihre Dokumentation prüfungsfest, bevor die Aufsicht fragt, und holen Sie eine fehlende Registrierung sofort nach. Wenn Sie Produkte mit Software herstellen, starten Sie die CRA-Lückenanalyse jetzt, Dezember 2027 ist näher, als die Projektlaufzeit erlaubt. Wenn Sie keines von beidem sind, gehören 2027 drei Dinge auf Ihre Liste. Passkeys und Mehrfaktor-Authentifizierung flächendeckend, die Rückruf-Regel gegen Deepfake-Anweisungen und eine Krypto-Inventur mit Blick auf 2030. Alles davon ist planbare Arbeit. Nichts davon braucht Panik, und nichts davon sollte auf ein Produkt warten.

Weiterführende NESEC-Beiträge

• Technische Anforderungen der NIS2, was nachzuweisen ist
• Automatisierte Penetrationstests, KI auf Angreifer- und Prüferseite
• KI-Governance und KI-Risikomanagement, Rollen und AI-Act-Pflichten
• Social Engineering begegnen, Prozesse gegen Deepfake-Betrug
• ISB-Aufgaben und Verantwortlichkeiten, wer das alles steuert
• 5 Erkenntnisse aus Ransomware-Attacken, der Zugangsdaten-Befund im Detail