Sie als Informationssicherheitsbeauftragter oder Geschäftsführer wissen: Das Betriebliche Kontinuitätsmanagement (BCM) ist keine Kür mehr. Spätestens seit NIS2 und DORA ist die Cyberresilienz und damit die Fähigkeit, kritische Geschäftsprozesse nach einem Vorfall schnell wiederherzustellen, gesetzliche Pflicht.

In einem mittelständischen Unternehmen versucht der IT-Leiter gerade, sich einen Überblick über die Systeme zu verschaffen. Zuerst fällt auf, dass das Buchhaltungsprogramm nicht mehr startet. Dann meldet sich der Produktionsleiter: „Das Netzwerk ist tot.“ Sekunden später kommt der nächste Anruf. Und der nächste. Innerhalb weniger Minuten steht alles still. Auf einigen Bildschirmen erscheint ein roter Bildschirm mit einer Lösegeldforderung. Auf anderen: gar nichts mehr. Was keiner weiß – und was sich erst Wochen später vollständig aufklären wird: Das Unternehmen ist Opfer von NotPetya geworden, einem der zerstörerischsten Cyberangriffe der letzten Dekade. Dieser Vorfall ist kein Einzelfall. Er ist Teil einer globalen Angriffswelle, die am 27. Juni 2017 begann und Tausende Organisationen in über 100 Ländern lahmlegte. Und das Erschreckende daran: Das Ziel von NotPetya war nicht, Geld zu verdienen. Die Lösegeldforderung war nur ein Vorwand, um das eigentliche Ziel, eine maximale Zerstörung von Daten, zu verschleiern.

Es ist eine alte Geschichte in neuen Kleidern. Der IT-Betrieb sorgt dafür, dass alles läuft, die Informationssicherheit dafür, dass es sicher läuft. Eigentlich verfolgen beide dasselbe Ziel. In der Praxis sieht es jedoch oft so aus, als würden sie auf entgegengesetzten Seiten eines Seils ziehen, das über einem Abgrund gespannt ist. Der eine ruft „Stabilität“, der andere „Resilienz“. Und dazwischen hängt das Unternehmen, das eigentlich nur ungestört arbeiten will.

Wenn Sie als IT-Sicherheitsbeauftragter heute Verschlüsselung einsetzen, dann wahrscheinlich nicht zu knapp. TLS fürs Web, VPNs im Außendienst, Festplattenverschlüsselung, E-Mail-Verschlüsselung, Authentifizierung, Cloud-Speicherung – überall kommen kryptografische Verfahren zum Einsatz. Doch genau das macht die Sache komplex. Denn: Wo viele Schlüssel unterwegs sind, braucht es einen Schlüssel zur Ordnung.

Zero Trust – das klingt nach großem Budget, Hightech und einem Heer an Beratern und IT-Admins. Kein Wunder, dass viele kleine und mittlere Unternehmen bei diesem Schlagwort erstmal abwinken. Doch die gute Nachricht ist, das Zero Trust kein exklusiver Club für Konzerne mit prall gefüllten Sicherheitsabteilungen ist. Im Gegenteil – gerade KMU können mit klaren Prinzipien, pragmatischen Maßnahmen und ein paar gut gewählten Werkzeugen ihr Sicherheitsniveau deutlich anheben.

Wenn eine neue Schwachstelle auftaucht, reagieren Sie schnell: Patches einspielen, Konfiguration prüfen, vielleicht ein kurzes Audit einschieben. Doch während Sie diese Lücke schließen, wachsen an anderer Stelle schon die nächsten. Die Bedrohungslage verändert sich täglich – Angreifer professionalisieren sich, Angriffswerkzeuge werden raffinierter, Lieferketten rücken in den Fokus. Wer jetzt nur Schwachstelle für Schwachstelle flickt, verliert den Überblick.

„Wie kann ich mich besser gegen solche Situationen absichern und wie verhindert man, dass einzelne Personen zu viel Macht bekommen?“ Antwort: Herzlichen Glückwunsch! Sie haben die klassische Frage gestellt, die […]

Daten sind unterwegs. In der Cloud, in hybriden Anwendungen, auf Plattformen, von denen Sie als IT-Sicherheitsbeauftragter manchmal erst erfahren, wenn das Kind schon im digitalen Brunnen liegt. Die wachsende Menge unstrukturierter Informationen macht es schwer, den Überblick zu behalten, geschweige denn Risiken frühzeitig zu erkennen. Dabei wird genau das immer wichtiger.

Wer den Angreifer kennt, hat schon gewonnen – oder zumindest länger Zeit zum Reagieren. Cyber Threat Intelligence (CTI) ist weit mehr als ein Hypewort für IT-Security-Konferenzen. Es ist die Antwort auf eine Welt, in der Angreifer nicht mehr einfach Malware per Mail verschicken, sondern gezielt, strukturiert und hochprofessionell agieren. Wer sich dagegen verteidigen will, braucht mehr als ein gutes Gefühl. Er braucht Informationen – und zwar die richtigen.

Leserfrage: „Ich habe in meinem Unternehmen ein Passwort-Mindestmaß von acht Zeichen eingeführt, aber viele Kollegen haben damit schon ihre liebe Not. Reicht das denn wirklich nicht mehr aus? Und gibt es keine Alternativen, die benutzerfreundlicher sind? Ich möchte meine Leute ja nicht überfordern – aber auch nicht gefährden.“

Bei all den Cyberrisiken, Firewalls und Zero-Trust-Architekturen gerät ein Aspekt der Informationssicherheit oft ins Hintertreffen: die ganz banale Tür. Ja, genau – die Tür zur Serverkammer, zum Netzwerkschrank oder zum Büro mit Zugriff auf vertrauliche Daten. Denn was nützt der ausgeklügelteste Virenscanner, wenn der Angreifer durch den Hintereingang hereinspaziert?

Netzwerke sind heute alles – aber selten einfach. Moderne IT-Infrastrukturen bestehen aus einem Mix aus On-Premises-Umgebungen, Cloud-Diensten, Homeoffice-Arbeitsplätzen und mobilen Endgeräten. Für IT-Sicherheitsbeauftragte bedeutet das: Die klassische Netzwerksicherheit mit „harte Schale außen, weicher Kern innen“ hat endgültig ausgedient. Wer Angreifern heute noch das ganze Unternehmensnetzwerk serviert, sobald sie einmal drin sind, riskiert den Super-GAU.