Digitale Dienste
Cybersicherheitspflichten für Online-Marktplätze, Suchmaschinen und Plattformen sozialer Netzwerke
Ist Ihr Unternehmen betroffen?
- Anbieter von Online-Marktplätzen ab 50 Mitarbeitern oder 10 Mio. € Jahresumsatz (NIS2UmsuCG Anhang II, Nr. 6)
- Betreiber von Online-Suchmaschinen im Sinne der Verordnung (EU) 2019/1150
- Anbieter von Plattformen für Dienste sozialer Netzwerke
- Abgrenzung beachten: Cloud-, Rechenzentrums- und CDN-Dienste stehen in Anhang I unter digitaler Infrastruktur, nicht hier
- Herkunftslandprinzip: Zuständig ist grundsätzlich der Mitgliedstaat der Hauptniederlassung — für Anbieter ohne Niederlassung in der EU gilt die Vertreterregelung
NIS2-Anforderungen nach Art. 21
- 01.
Klärung der zuständigen Aufsicht vor allem anderen
Anders als bei ortsgebundenen Sektoren richtet sich die Zuständigkeit nicht nach dem Serverstandort, sondern nach der Hauptniederlassung. Wer in mehreren Mitgliedstaaten tätig ist, muss zuerst bestimmen, welche Behörde zuständig ist — davon hängen Registrierung und Meldeweg ab.
- 02.
Absicherung der Konten- und Identitätsverwaltung
Bei Plattformen ist das Nutzerkonto das eigentliche Angriffsziel. Übernommene Händler- oder Verkäuferkonten führen unmittelbar zu Betrug an Dritten. Mehrfaktor-Authentifizierung, Erkennung auffälliger Anmeldemuster und ein belastbarer Wiederherstellungsprozess sind hier Kernanforderungen.
- 03.
Schutz der Zahlungs- und Abwicklungsstrecke
Marktplätze verwalten fremdes Geld und fremde Kundendaten. Manipulierte Bankverbindungen oder Auszahlungsziele sind ein häufiges Angriffsmuster. Änderungen an zahlungsrelevanten Stammdaten brauchen eine gesonderte Bestätigung und eine unveränderliche Aufzeichnung.
- 04.
Sicherheit der eigenen Entwicklungs- und Auslieferungskette
Bei Plattformbetreibern ist die eigene Software das Produkt. Abhängigkeiten von Drittbibliotheken, Build-Systeme und Auslieferungsprozesse gehören deshalb ausdrücklich in die Risikobetrachtung — ein kompromittierter Build erreicht alle Nutzer gleichzeitig.
- 05.
Verfügbarkeit und Missbrauchsabwehr im laufenden Betrieb
Überlastungsangriffe, massenhafte automatisierte Zugriffe und Missbrauch der Plattform selbst gehören hier zum Alltag. Gefordert sind wirksame Gegenmaßnahmen und der Nachweis, dass sie regelmäßig überprüft werden.
- 06.
Verzahnung mit Datenschutz und Plattformregulierung
Ein Vorfall betrifft fast immer personenbezogene Daten, sodass die Meldung nach Art. 33 DSGVO parallel läuft. Je nach Größe und Dienst können zusätzlich Pflichten aus dem Digital Services Act bestehen. Die Prozesse gehören zusammengeführt, nicht nebeneinandergestellt.
- 07.
Meldepflicht mit grenzüberschreitender Wirkung
Erhebliche Sicherheitsvorfälle gehen binnen 24 und 72 Stunden an die zuständige Behörde. Bei Diensten mit Nutzern in mehreren Mitgliedstaaten ist vorab zu klären, wie die Information anderer betroffener Staaten läuft und wer sie auslöst.
Typische Bedrohungsszenarien
Kompromittierung über die Software-Lieferkette
Angreifer schleusten Schadcode in ein weit verbreitetes Verwaltungsprodukt ein, der über den regulären Aktualisierungsweg an tausende Organisationen ausgeliefert wurde. Der Fall gilt als Musterbeispiel dafür, wie ein einzelner kompromittierter Build alle Nutzer gleichzeitig erreicht.
SolarWinds-Lieferkettenangriff (2020)Massenhafte Kontoübernahme durch wiederverwendete Passwörter
Bei einem Videodienst wurden rund 35.000 Konten über automatisiertes Ausprobieren andernorts erbeuteter Zugangsdaten übernommen. Der Anbieter selbst war nicht kompromittiert — die Schwachstelle lag in fehlender Absicherung gegen genau dieses Muster.
Credential-Stuffing-Angriff auf Zoom-Konten (2020)Datenabfluss über eine ungeschützte Schnittstelle
Über eine Programmierschnittstelle konnten Angreifer Telefonnummern und E-Mail-Adressen mit Nutzerkonten verknüpfen und Datensätze von Millionen Konten zusammenstellen. Der Vorfall zeigt, dass Schnittstellen dieselbe Aufmerksamkeit brauchen wie die Anwendung selbst.
API-Datenabfluss bei einer sozialen Plattform (2022)Maßnahmen-Checkliste
- Schriftlich festgestellte Zuständigkeit nach dem Herkunftslandprinzip, bei Bedarf mit benanntem Vertreter in der EU
- Mehrfaktor-Authentifizierung für alle Konten mit Verkäufer-, Zahlungs- oder Verwaltungsrechten
- Erkennung automatisierter Anmeldeversuche mit Sperr- und Benachrichtigungslogik
- Gesonderte Bestätigung und unveränderliche Aufzeichnung für Änderungen an Bank- und Auszahlungsdaten
- Verzeichnis aller Drittabhängigkeiten mit Prüfung auf bekannte Schwachstellen im Auslieferungsprozess
- Absicherung von Build- und Auslieferungssystemen einschließlich signierter Artefakte
- Ratenbegrenzung, Authentisierung und Protokollierung für jede öffentlich erreichbare Programmierschnittstelle
- Überprüfte Gegenmaßnahmen gegen Überlastungsangriffe, mit dokumentiertem Wirksamkeitsnachweis
- Zusammengeführter Meldeprozess für Sicherheitsvorfall und Datenschutzverletzung mit gemeinsamer Fristenübersicht
- Beschriebener Ablauf zur Information betroffener Nutzer und weiterer Mitgliedstaaten bei grenzüberschreitender Wirkung
Verwandte Inhalte
NIS2-Compliance für Digitale Dienste?
Kontaktieren Sie uns für eine branchenspezifische Erstberatung. Wir kennen die Anforderungen Ihres Sektors.
Beratung anfragen