Wo die Prioritäten in der Cybersecurity liegen

Es ist kurz nach halb drei Uhr morgens, als in der Leitstelle eines grossen Schweizer Industriekonzerns mehrere Warnlampen gleichzeitig aufblinken. Zuerst ungewöhnliche Login‑Versuche in einer Cloud‑Umgebung, Minuten später Anomalien im Produktionsnetz, dann ein plötzliches, automatisiertes Ausrollen eines «Routine‑Updates» in einer Software‑komponente eines kritischen Steuerungssystems. Nichts davon allein wirkt auffällig. Doch zusammen ergeben die Aktionen ein Muster – eines, das sich erst spät erkennen lässt, weil die Signale verteilt über IT, Cloud, Operational Technology (OT) und externe Dienstleister in der Supply Chain auftreten.
Während die eilends aufgebotene Ingenieurin vor Ort prüft, ob eine Maschine nicht bereits manipuliert wurde, versucht das Security‑Team herauszufinden, ob es sich um Fehlalarme, ungesicherte KI‑Prozesse oder den Beginn einer Supply‑Chain‑Attacke handelt. Und bald zeigt sich: Es ist alles zusammen.

Diese fiktive Szene steht stellvertretend für die Realität, in der sich Schweizer Unternehmen 2026 bewegen. Die Bedrohungslage umfasst diverse Infrastrukturbereiche, verändert sich dynamisch – und verschiebt die Rolle von CISOs fundamental. Der Swisscom Cybersecurity Threat Radar 2026 zeigt: Wer resilient bleiben will, muss Threat Detection and Response (TDR) als zentrales Instrument verstehen und nicht als Technologieprojekt.

Kontrolle behalten in einer komplexen, volatilen Welt

CISOs stehen 2026 vor einer paradoxen Situation: Technologie schafft mehr Möglichkeiten denn je – gleichzeitig wächst die Abhängigkeit von Dritten, automatisierten Systemen und KI‑gestützten Entscheidungen, die kaum nachvollziehbar sind. Der Radar zeigt vier Risikofelder, die die Prioritäten eines CISO neu definieren: unsichere KI, Supply‑Chain‑Risiken, digitale Souveränität und OT‑Security.

Diese Felder sind weniger technische Themen als strategische: Sie betreffen Governance, Verantwortlichkeit, Sichtbarkeit und Resilienz. TDR wird damit zum Steuerungsinstrument, das Transparenz über die Risiken herstellt und damit die Basis für den sicheren wirtschaftlichen Betrieb liefert.

Die Risikofelder im Überblick:

Insecure AI – der neue Blindspot im CISO‑Radar

KI‑Modelle und -Agenten treffen Entscheidungen, die weder dokumentiert noch überprüfbar sind. Das hat direkte Auswirkungen auf TDR:

• Klassische Detection greift nicht mehr, weil die KI-Entscheide nicht nachprüfbar sind
• Innerhalb der Organisation entstehen neue Angriffsflächen: KI-generierter Code («vibe Coding») kann Sicherheitslücken aufweisen, Datenabfluss durch Prompt Injection, KI-Agenten als Einfallstor
• Shadow AI verschiebt die Security ausserhalb offizieller Prozesse, beispielsweise, wenn Mitarbeitende nicht freigegebene GenAI-Dienste mit vertraulichen Daten nutzen

Eine AI‑Governance wird entscheidend, um den Umgang mit KI zu regeln, genauso wie die Inventarisierung und das Monitoring eingesetzter KI-Modelle und -Agenten.

Software‑Supply‑Chains – Transparenz ist nötiger denn je

Angriffe auf das npm‑Ökosystem (Node.js) und kürzlich die Kompromittierung der beliebten Python-Bibliothek LiteLLM zeigen, dass kompromittierte Module heute ein effektiver Angriffsvektor sind, um bösartigen Code in Unternehmensanwendungen und die Software-entwicklung einzuschleusen. Es ist längst Realität, dass Unternehmen grosse Teile ihres Codes nicht mehr selbst kontrollieren.

Eine funktionierende TDR muss deshalb Build‑Pipelines, Lieferanten, SBOMs (Software Bill of Materials) und Update‑Mechanismen abdecken. Die Integrität und Herkunft von Software-komponenten werden zu strategischen Kennzahlen, vergleichbar mit finanzieller Revisionssicherheit.

Digitale Souveränität – das strategische Fundament von TDR

Cloud‑Outsourcing, SaaS‑Modelle und der zunehmende Einsatz von KI‑Automatisierung erhöhen die Abhängigkeit von externen Dienstleistern und erschweren damit die direkte Kontrolle über Daten, Prozesse und Risiken. Gleichzeitig verlangen das Schweizer Datenschutzgesetz (DSG) und die europäische DSGVO Transparenz über die Datenverarbeitung.

Eine vollständige Kontrolle über alle digitalen Prozesse ist in einem global vernetzten Ökosystem kaum erreichbar. Die digitale Souveränität bleibt deshalb ein anspruchsvolles Ziel. Es setzt voraus, dass Unternehmen ihre Abhängigkeiten strategisch steuern, technisches Know‑how aufbauen und ihre Partner respektive die Supply Chain bewusst auswählen. Das bedingt, dass Unternehmen ihre Risiken aktiv managen.

Ein umfassendes TDR adressiert diese Abhängigkeiten und Risikofaktoren: Es schafft die notwendige Sichtbarkeit über Bedrohungen, Datenflüsse und Verhaltensmuster. Ohne diese Transparenz sind weder Kontrolle noch echte Resilienz möglich. TDR wird damit zur operativen Voraussetzung souveräner Entscheidungen.

OT‑Security – wenn Cybersecurity physisch wird

Produktionsumgebungen, Energieanlagen oder medizinische Systeme lassen sich nicht einfach patchen. Mit der zunehmenden Vernetzung verschwimmen aber die Grenzen zwischen IT und OT (Operational Technology) zunehmend – und bieten neue Angriffsflächen für Cyberkriminelle. Die Risiken sind sowohl operativ im Sinne von Produktionsausfällen und Versorgungsrisiken als auch reputationskritisch. Zudem nimmt der regulatorische Druck auf kritische Infrastrukturen zu – Stichwort IKT-Minimalstandard und NIS-2-Richtlinie.

CISOs müssen IT und OT in der Gefahrenerkennung fusionieren, und zwar organisatorisch wie technisch. Das setzt ein konvergentes SOC voraus, abgestimmte Prozesse und OT‑spezifische Erkennungsmechanismen.

TDR ist kein Tool, sondern Führungsarbeit

2026 zwingt CISOs, ihre Rolle breiter zu interpretieren: weg vom technischen Gatekeeper hin zum Enabler von Resilienz und Souveränität.
TDR bildet dabei das Rückgrat einer modernen Sicherheitsstrategie: Es stellt Alerts aus verschiedenen Quellen in einen Kontext und schafft damit Klarheit in einer Welt voller Intransparenz, Komplexität und automatisierter Risikoübertragung.
Wer TDR, Kontrolle und Governance über alle Domänen hinweg verbindet, stärkt nicht nur die Cyberdefence, sondern die Handlungsfähigkeit des gesamten Unternehmens.

Livestream zu Cybersecurity 2026: Trends, Taktiken, Takeaways

Die Bedrohungslage entwickelt sich rasanter denn je – von KI-gestützten Angriffen über neue Angriffspunkte in hybriden Infrastrukturen bis hin zu steigenden regulatorischen Anforderungen. Im Cybersecurity Livestream 2026 am 3. Juni geben Fachleute von Swisscom, dem Bundesamt für Cybersicherheit (BACS) und SBB einen kompakten Überblick über die wichtigsten Trends, reale Angriffsszenarien und konkrete Handlungsempfehlungen für Security-Profis.

Speaker im Livestream:

• Pascal Lamia, Leiter Operative Cybersicherheit | Bundesamt für Cybersicherheit (BACS)
• Marcus Griesser, Chief Information Security Officer | SBB
• Marco Wyrsch, Head of Group Security | Swisscom

Bleiben Sie einen Schritt voraus und diskutieren Sie live mit! Melden Sie sich jetzt für den kostenlosen Livestream an!