Ein Deepdive ins Darknet

Sie halten das Land am Laufen – und teilen doch dieselbe E-Mail-Schwachstelle mit ganz Österreich: Eine gemeinsame Analyse der Wirtschaftsprüfer EY und der Datenforscher von Risikomonitor.com hat 777 österreichische Energie- und 2.353 Logistik-Unternehmen gegen sechs Risiko-Dimensionen geprüft und am Landesschnitt aller 177.625 ausgewerteten Firmen gespiegelt. Das Ergebnis ist asymmetrisch – und für Betreiber kritischer Infrastruktur unbequem. Die Logistik ist häufiger betroffen: 38,5 % der Transport- und Speditionsbetriebe tauchen in mindestens einem Daten-Leak auf – praktisch auf dem Niveau des Landesschnitts (37,5 %) – gegenüber 31,5 % im Energiesektor. Die Energie wird dafür tiefer getroffen, mit einer durchschnittlichen Leak-Intensität von 217,9 Funden je betroffenem Unternehmen, fast dem Fünffachen der Logistik (47,6), und einer Führungs-Exposition von 59,7 % – doppelt so hoch wie im Landesschnitt.

Eine Lücke aber eint beide Sektoren mit ganz Österreich: Die streng schützende E-Mail-Regel DMARC p=reject nutzen nur rund 9 bis 13 Prozent der Firmen, und etwa die Hälfte hat überhaupt kein DMARC. (Anm.: DMARC steht für »Domain-based Message Authentication, Reporting and Conformance« und ist ein E-Mail-Authentifizierungsprotokoll, das Spoofing-Techniken etwa bei Phish­ing-Attacken verhindert.)

Wie die Stichprobe entstand
Für die Sonderanalyse identifizierten die Autoren über die Firmendatenbank zunächst alle österreichischen Unternehmen der beiden Sektoren und prüften sie anschließend gegen sechs unabhängige Risiko-Dimensionen: Data Breach, Infostealer-Infektion, Passwortkultur, digitale Souveränität, E-Mail- und Web-Security sowie Schatten-IT. Beide Sektoren werden am österreichweiten Durchschnitt aller 177.625 Firmen mit Web- oder Mail-Präsenz gespiegelt. Ausgewertet wurden ausschließlich Unternehmen mit eigener Web- oder Mail-Präsenz, da nur diese technisch messbar sind. Die E-Mail-Kennzahlen stammen aus einer dedizierten Mail-Sicherheitsmessung, die den DNS-Eintrag _dmarc.<domain> direkt prüft. Genannt werden ausschließlich Branchen-Aggregate. Stichtag war der 29. Juni 2026.

Breite gegen Tiefe
Hinter den Durchschnittswerten verbergen sich zwei grundverschiedene Schadensbilder. In der Logistik ist mehr als jedes dritte Unternehmen in einem öffentlich gewordenen Leak vertreten – fast exakt auf Landesniveau und ein Spiegel der vielen kleinen Speditionen und Transportbetriebe mit langer digitaler Historie und dünner Absicherung. Im Energiesektor ist der Anteil zwar etwas niedriger, doch die betroffenen Häuser sind weit schwerer getroffen. Im Schnitt entfallen 217,9 Leak-Funde auf ein betroffenes Energie-Unternehmen. Dahinter stehen die großen Versorger mit tausenden Mitarbeiter-Konten und langer Online-Präsenz.

Besonders deutlich wird der Unterschied bei den Führungskräften. In 59,7 % der Energie-Unternehmen taucht mindestens eine Person der Geschäftsführungs- oder Vorstandsebene in Leaks auf – doppelt so häufig wie in der Logistik (30,9 %) und im Landesschnitt (29,2 %). Sicherheitspolitisch ist das heikel, denn Manager-Konten sind bevorzugte Ziele für CEO-Fraud, Spear-Phishing und gezielte Konto-Übernahmen. Infostealer-Schadsoftware, die Zugangsdaten direkt vom infizierten Gerät abgreift, betrifft 10,4 % der Energie- und 8,7 % der Logistik-Firmen, bei einem Landesschnitt von 8,4 % – die Energie liegt also leicht über dem Durchschnitt. Bei der digitalen Souveränität zeigt sich eine durchgehende Auslandsabhängigkeit: 89,2 % der Energie- und 79,4 % der Logistik-Unternehmen hosten ihre Infrastruktur ganz oder überwiegend im Ausland – bei einem kritischen Versorgungs-Sektor wie der Energie ein bemerkenswert hoher Wert, deutlich über dem Landesschnitt von 83,9 %.

Grafik im Magazin Report(+), Ausgabe 07/2026, zum Thema:
https://online.fliphtml5.com/jlgle/REPORT_07_2026/#p=26

Strenge Schutzstufe bleibt Ausnahme
Bei der E-Mail-Sicherheit ist die Grundabsicherung solide, der echte Schutz aber selten. Das E-Mail-Authentifizierungs-Protokoll SPF, die Basisregel gegen Absender-Fälschung, ist breit etabliert (Energie 93,4 %, Logistik 92,8 %). Bei DMARC hat jedoch nur rund die Hälfte der Firmen überhaupt einen Eintrag (Energie 54,6 %, Logistik 49,0 %, Landesschnitt 51,3 %). Entscheidend ist die Policy: Nur die strenge Stufe p=reject blockiert gefälschte Mails tatsächlich – und die nutzen lediglich 9,1 % der Energie- und 12,6 % der Logistik-Firmen (Landesschnitt 10,9 %). Hier liegt für beide Sektoren der größte schnell hebbare Sicherheitsgewinn.

Auch die Passwortkultur ist in beiden Branchen schwach. Aus den geleakten Klartext-Passwörtern – 12.087 in der Energie, 9.669 in der Logistik – lässt sich die reale Hygiene ablesen: Die mittlere Länge liegt bei nur rund 8,1 Zeichen, und etwa vier von zehn Passwörtern unterschreiten die Acht-Zeichen-Grenze (Logistik 39,5 %, Energie 38,1 %). Das ist praktisch identisch mit dem Landesschnitt von 39,6 % und liegt unter gängigen Sicherheits-Empfehlungen.

Dienste im Schatten
Schatten-IT entsteht, wenn Mitarbeiter Dienste mit ihrer Firmenadresse nutzen, die nie offiziell freigegeben wurden – sichtbar wird das, sobald diese Plattformen selbst geleakt werden. In beiden Sektoren dominieren dieselben drei Werkzeuge: Adobe (Creative-Cloud-Konten aus dem Adobe-Leak 2013), der PDF-Dienst Nitro (Leak 2020) und der Cloud-Speicher Dropbox. Branchen­typisch rückt in der Logistik die Fran­kier- und Versandsoftware Pitney Bowes auf Platz 4 vor. Neben den Arbeits-Tools tauchen Firmenadressen auch in Dating-, Social-Media- und Streaming-Leaks auf – ein Reputations- und Erpressungs-Risiko. In der Energie führen hier Badoo (36 Firmen), MySpace (35), Deezer (30), AdultFriendFinder (25) und Zoosk (24); in der Logistik Badoo (105), Deezer (99), Zoosk (75), MyFitnessPal (70) und AdultFriend­Finder (59). Bei der Web-Infrastruktur dominiert in beiden Sektoren derselbe österreichische Massen-Hoster: World4­You. Dahinter folgen A1 Telekom, All-Inkl­/­Kasserver und IONOS.

Umfang der Geräte-Infektionen
Infostealer-Schadsoftware greift Zugangsdaten direkt vom infizierten Gerät ab. In der Energie sind 81 von 777 Firmen betroffen – kompromittiert wurden 228 Mitarbeiter-Konten, 5.557 Kunden- und Nutzer-Konten sowie 375 Drittparteien-Konten. In der Logistik sind es 204 von 2.353 Firmen mit 748 Mitarbeiter-, 15.805 Kunden- und Nutzer- sowie 542 Drittparteien-Konten. In beiden Sektoren überwiegen die Kundenkonten deutlich – die Plattformen der Firmen geben damit vor allem Endkunden-Logins preis.

Die Vorbilder
Es geht auch anders. Als »sicherste« Firmen gelten hier nur Unternehmen, die alle sechs Kriterien gleichzeitig erfüllen: kein einziger Treffer in einem Daten-­Leak; keine Infostealer-Infektion; eine Website, die über gültiges TLS 1.2 oder 1.3 erreichbar ist, ohne abgelaufenes Zertifikat und ohne Kettenfehler; aktives SPF und DMARC; Hosting in Österreich; sowie keine bekannten Schwachstellen (CVEs) und minimale offene Ports auf der Server-IP laut Shodan. Erst dieses sechste Kriterium trennt echte Vorbilder von Firmen, die zwar nie geleakt wurden, deren Server aber auf einem verwundbaren (Shared-)Hosting mit offenen Diensten und bekannten CVEs liegt. Übrig bleiben die Energieunternehmen Zephyr Energy, Kraftwerk Lasberg und Bioenergie Lafnitztal. In der Logistik sind die Frontrunner Kessler Transporte und Erdbau, ACB2021 Logistik und Martoni Transport. Alle sechs Firmen wurden einzeln gegengeprüft: gültiges TLS 1.3, Hosting in Österreich, SPF und DMARC, keine Leaks.

Passwort-Quote bricht ein
Ordnet man die Leak-Funde nach dem Jahr des jeweiligen Daten-Lecks, zeigt sich ein doppeltes Muster. Österreichweit erreichte die Zahl der einzelnen Leaks ihren Höhepunkt um 2016 (239 Leaks) und 2019 (284 Leaks); das Datenvolumen kulminierte 2019 mit über 913.000 Funden. Entscheidend für das Login-Risiko ist aber, wie viele davon ein Klartext-Passwort enthalten – und dieser Anteil ist über die Jahre dramatisch gesunken: von rund 58 % (2012) auf nur noch 1 bis 3 Prozent in den jüngsten Jahrgängen. Jüngere Leaks sind zunehmend gescrapte Marketing und Kontaktdaten ohne Passwörter; die gefährlichen Passwort-Leaks stammen überwiegend aus den 2010er-Jahren.

Die Lehre für beide Branchen: Das Gros der wirklich gefährlichen Passwort-Leaks liegt Jahre zurück – verschwindet aber nicht, sondern wird bis heute automatisiert gegen aktuelle Log­ins durchprobiert. Wer alte Passwörter nie gewechselt hat, ist dem Risiko aus den 2010er-Jahren bis heute ausgesetzt.

»Energie und Logistik sind das Rückgrat der Versorgung – und haben immer wieder eine große E-Mail-Lücke: Das E-Mail-Authentifizierungsprotokoll SPF ist da, aber die wirklich schützende DMARC-Stufe ›reject‹ setzt nur rund jede zehnte Firma ein. Das lässt sich an einem Nachmittag beheben. Spannend ist der Unterschied dahinter: Die Logistik wird in der Breite getroffen, viele kleine Betriebe mit dünner Absicherung. Die Energie wird in der Tiefe getroffen – wenige, große Häuser, deren Führungsetagen zu fast 60 Prozent in Leaks auftauchen. Wer kritische Infrastruktur schützen will, muss beide Muster getrennt adressieren.«
Manuel Löw-Beer, CEO Risikomonitor.com

Zur Analyse
»Sektor-Spezial Energie vs. Logistik Österreich 2026« ist eine Sonderauswertung der Risikomonitor-Datenbasis (DB survey2026, AT-only) über 777 Energie- und 2.353 Logistik-Unternehmen mit eigener Web- und Mail-Präsenz, gespiegelt am österreichweiten Durchschnitt aller 177.625 Firmen, geprüft gegen sechs Risiko-Dimensionen. Stichtag 29. Juni 2026. Berichtet werden ausschließlich Branchen-Aggregate; einzelne Unternehmen werden nicht genannt. Autor: Manuel Löw-Beer (Risikomonitor.com GmbH), in fachlicher Begleitung durch EY.

Was Unternehmen jetzt tun sollten

Empfehlungen für die IT – nicht nur in Energiewirtschaft und Logistik.

Protokoll
DMARC (»Domain-based Message Authentication, Reporting and Conformance«) auf »p=reject« hochziehen – die wirkungsvollste Sofortmaßnahme gegen Domain-Fälschung, aktuell nur bei rund jeder zehnten Firma im wirksamen Modus.

Härtung
Führungskräfte-Konten priorisiert härten, etwa durch Zweifaktor-Authentifizierung und erzwungene Passwort-Resets –besonders im Energiesektor mit 59,7 Prozent C-Level-Exposition.

Komplexität
Passwortmanager verpflichtend einsetzen, um die durchgängig zu kurzen Passwörter beider Branchen zu entschärfen.

Resilienz
Hosting-Souveränität prüfen und die fast neunzigprozentige Auslandsabhängigkeit der Energie bei kritischer Versorgungsinfrastruktur strategisch bewerten.

Transparenz
Schatten-IT eindämmen – rund jede fünfte Firma zeigt Signale nicht freigegebener Clouddienste.