Der teuerste Motivationscoach der Welt

00:00:07: Hallo zusammen, da sind wir wieder mit dem Cyber Tango.

00:00:12: Den echten Trast Podcast!

00:00:15: Hallo lieber Axel!

00:00:17: Hallo Lieber Stefan, es freut mich dass das heute wieder geklappt hat.

00:00:21: Heute mal wieder remote.

00:00:23: Genau und

00:00:25: ohne Headset war eben eine Störung drin.

00:00:28: aber das kriegen wir auch so hin.

00:00:30: Da bin ich sicher

00:00:32: Achsel, ich habe mir was überlegt.

00:00:34: Wir haben jetzt unendlich oft über Regulierung und Regulierungsimpulse gesprochen über die Neuigkeiten an der Gesetzesfront etc.

00:00:46: Ich will das heute mal ein bisschen anders angehen.

00:00:50: Ja immer so dass die Regulierungen den Hebel ansetzt damit Dinge dann auch getan werden.

00:00:56: aber es gibt ja auch eine Art intrinsische Motivation sich in Sachen Informationssicherheit stärker und besser aufzustellen.

00:01:07: Und ich glaube, der härteste Fall der intrinsischen Motivation entsteht ja wahrscheinlich dann wenn eine gewisse Betroffenheit eingetreten ist – das ist immer dann!

00:01:19: Wenn tatsächlich der Cybervorfall eingetrehten ist, also wenn ein Hackerangriff zum Beispiel sehr erfolgreich war Merklich Geschäftsprozesse oder vielleicht auch ganze Geschäftsbetriebe und digitale Abläufe zum Erlangen gebracht hat.

00:01:34: Also nehmen wir uns das doch einfach mal vor!

00:01:37: Das ist sicher eine gute Idee, ich glaube da können wir beide wahrscheinlich oder haben genügend Beispiele im Hinterkopf... Wir werden da sicher keine Namen nennen aber Wo, ja wie wir gerne auch sagen, Holland in Not ist dann weil ich glaube viele Unternehmen bekommen das mit.

00:01:57: Eigentlich ist so ein Lieblingsspruch.

00:01:59: betroffen sind ja immer nur alle anderen und man selbst eigentlich nicht.

00:02:03: aber wenn so eine Bombe dann mal beim eigenen Unternehmen einschlägt dann ist die not oftmals groß

00:02:11: genau.

00:02:12: Und natürlich hängt es dann auch davon ab, wie gut man für so ein Case aufgestellt und vorbereitet ist.

00:02:20: Also da gibt's Fälle wo man sehr stark schon in Richtung BCM Business Continuity Management geprobt und investiert hat.

00:02:31: Dann wird das sicherlich in dem Fall etwas leichter fallen.

00:02:36: Es gibt Fälle, wo man völlig unbevorbereitet ist.

00:02:39: Es gibt ganz viel dazwischen Wo es einfach nur vielleicht deshalb dann noch funktioniert, weil mehr oder weniger Menschen so ein bisschen aus dem Bauch raus auch einigermaßen gut miteinander arbeiten.

00:02:50: Also es ist ja einen riesen Spektrum von Ausgangslagen, die dann die Krise mehr- oder weniger gut bewältigen lassen und... Wichtig!

00:03:00: Ich glaube ich glaube auch dass ein Unternehmen wirklich gar nichts hat, finde trifft man glaube ich wirklich selten an.

00:03:10: Also irgendwie so eine Art Notfallhandbuch haben die meisten schon, ne Absicherung oder ich sag mal so ein Vorfallszenario Cyberangriff kommt da nicht immer drin vor.

00:03:25: leider ist es oftmals vielleicht ja ich sage mal den Basiszweck des Unternehmens geschuldet beispielsweise wenn ich in Lebensmittelproduzenten habe was passiert, wenn ich vielleicht keinen Nachschub mehr habe.

00:03:39: Der Stromausfeld, meine Produktionsanlage steht und dergleichen mehr.

00:03:44: aber dann lass uns den Ball doch einfach mal aufnehmen.

00:03:46: jetzt hab ich halt so ein Unternehmen, ich habe hier zu einem Unternehmen genau, habe mich nicht gut vorbereitet.

00:03:53: mein Mitarbeiter hat jetzt vielleicht mal auf einen Verschlüsselungstrojaner geklickt.

00:04:01: In mir steigt das P for Panik auf, was soll ich denn tun jetzt?

00:04:09: Sicherlich bist du dann sehr schnell dabei auch die Behörden zu informieren.

00:04:15: Das ist ja auch verpflichtend zumindest in großen Teilen für viele Organisation und man ist auch gut beraten das zu tun.

00:04:25: entsprechende polizeiliche Stellen werden informiert und hoffentlich hat man dann auch neben dem eigenen Ressourcen und den Abläufen vielleicht eben dieser Übung eines Krisenstabes, der eingerufen wird.

00:04:45: Ein gewissen Plan wie man vorgeht nach der Sondierung der Lage letzten Endes, die durchaus total unterschiedlich ist bei diesen Angriffsszenarien.

00:05:00: Also es gibt ja nicht die Blaupause also sieht das aus und da musst du das und das machen wie so ein Schallplan sondern das ist eben das Ding dass man dann sehr agil jedes Szenario auch am Ende jedes Handlungsszenario bewerten muss nach Chancen und Risiken möglichst, trotz der ganzen Hektik des Chaos und der emotionalen Belastung dann möglichst rational und besteuert durch diesen Krisentag oder die Krisentage dann gehen muss.

00:05:36: Und das stießt oft dann tatsächlich auch ab mit einer forensischen Untersuchung um natürlich am Ende wenn man das Schlimmste bewältigt hat also vielleicht Systeme isoliert hat und an so ein Wiederanlauf Punkt kommt, dass man dann eben natürlich in diese Ursachen-Analyser reingeht.

00:06:04: Lass uns gerade nochmal einen Schritt zurückgehen weil ich glaube du hast ein paar Sachen gesagt die sehr richtig finde.

00:06:14: ich glaube man muss wirklich kühlen, Kopf bewahren.

00:06:17: Es ist glaube ich erstmal das Wichtigste nicht in Panik verfallen und ich glaube ein großer Schritt nicht, ich sag mal die dicke IT-Abteilung habe vielleicht nicht.

00:06:30: Die Spezialisten, dass sich mir geeignete Hilfe holen und die geeigneten Hilfe da muss ich auch nicht durch die Welt erinnern kann ich auch durchaus über Behörden bekommen wie du schon gesagt hier landeskriminalamt kann man sich daran die cyberabteilungen wenden oder natürlich auch das BSI und die unterstützen oder vermitteln auch entsprechende Dienstleister.

00:06:54: Genauso ist es hilfreich, wenn man schon vorher eben auch vielleicht in Arbeitskreisen oder im Netzwerk sich ein Netzwerk aufgebaut hat von Menschen und Vertretern von Organisationen die da grundlich sind dass man dann nicht völlig im luftleeren Raum hängt.

00:07:10: Und dann vielleicht ich sage mal auf den nächsten Rheinfeld der dann die Situation ausnutzen möchte wenn man an der Wand steht nicht mehr reagiert sozusagen, dann läuft man natürlich auch Gefahr wenn man vorher nicht gut verdrahtet ist da an die falschen Leute zu bewahren.

00:07:29: Das ist

00:07:30: immer einfacher in Uhr vorher frühzeitig da ein Dienstleister des Vertrauens auszuwählen als wenn der Fall der Fälle ist eingetreten.

00:07:37: Ist völlig richtig!

00:07:40: Ja aber ich wollte eigentlich mit meiner ursprünglichen Frage noch ein bisschen zeitlich weiter Denken.

00:07:47: Und zwar war ich eben stehen geblieben, forensische Untersuchungen, also Analyse dessen was da passiert ist ob das jetzt gerichtsfest angelegt ist oder einfach nur um heraus zu bekommen was passiert ist damit es nicht nochmal passieren kann.

00:08:01: Es gibt ja unterschiedliche Varianten.

00:08:03: Also nehmen wir mal an Wir sind jetzt in unserem Bild dieses Vorfall soweit gekommen Es läuft alles wieder.

00:08:12: Wir haben meinetwegen das Problem mit der Feierwohl, das Problem regulativ getrieben sein kann, aber eben auch intrensisch weil ich mich einfach oder meine Organisation einfach schützen will.

00:08:48: Da ist und da wird mich auch mal deine Einschätzung interessieren.

00:08:52: Da is mein Eindruck dass das eine relativ kurze Wirkung dann nur hat also dass dann nachdem das alles überstanden ist man sich irgendwie auch gestärkt fühlt.

00:09:05: aber so richtig ich sag mal dass danach deutlich höher und vielleicht auch ernsthafter Security- und Sicherheitsmaßnahmen angegangen werden.

00:09:20: Das kann ich nicht so wahrnehmen, dass das so ist?

00:09:22: Wie ist denn da dein Eindruck bei deinen

00:09:24: Kunden

00:09:25: in deinem Netzwerk?

00:09:27: Ich würde da glaube ich in Teilen zustimmen sage ich mal.

00:09:32: also ich kenne wirklich beide Fälle die ich da schon mal wahrgenommen habe.

00:09:37: Also zum einen bin ich völlig bei dir, der Mensch verdrängt da glaube ich relativ gut und hat ja tendenziell erstmal Kurzzeitgedächtnis um auch gerne solche technischen Aktionen dass man irgendwo singulär glaube ich mal die Security verbessert vielleicht eine neue Firewall anschafft oder so und ne ganzheitliche Betrachtung findet dann teilweise nicht statt.

00:10:03: Ich glaube, dass aber durchaus einige Kunden dabei sind.

00:10:06: Das habe ich auch erlebt die neben der Aufarbeitung des eigentlichen Sicherheitsvorfalls dann aber auch und das ist kann auch sehr teuer sein Dann in die eigene Infrastruktur deutlich investiert haben.

00:10:22: das sind häufig dann allerdings Die Unternehmen die dann sehr stark von ihrer eigenen Kundschaft und Klientel vielleicht auch getrieben sind, die natürlich dann auch durch so einen Vorfall mit aufgeschreckt wurden.

00:10:38: Die dann vielleicht auch wirklich verlangen, dass sich ein Unternehmen dann gegebenenfalls auch nachweisbar besser

00:10:45: aufstellt.".

00:10:49: Nicht unwichtiges Element, weil es ja eben nach außen auch bekannt wird und Geschäftspartner, Lieferanten, Kunden nehmen davon Kenntnis.

00:10:58: Und erwarten dann natürlich dass an der Stelle auch vorweisbar mehr getan würde.

00:11:06: ich erlebt trotzdem häufig das Erstere und denkt mir dann immer naja der Blitz schlägt irgendwie auch gar nicht ... beim, an der gleichen Stelle ein.

00:11:19: Und wenn ich mich dann eben nur auf diesen einen Case konzentriere und da investiere... ...und alles andere rechts- und links so betreibe wie vorher,... ...dann hat sich am Risiko und an der Gefahrenlage durch diese Maßnahme erst mal gar nix getan.

00:11:34: Das

00:11:35: ist völlig nicht... Kette

00:11:35: ist so schwach wie das Schwächsiglied und wenn es da mehrere davon gibt, dann hilft das alles gar nichts.

00:11:41: Das is' völlig richtig!

00:11:43: Da fühlen sich viele auch überfordert?

00:11:46: sage ich auch ganz ehrlich.

00:11:48: die situation trifft man häufig dann wenn das unternehmen vielleicht nicht so groß ist vielleicht auch nicht so finanzkräftig dass man dann sagt ja wir können doch jetzt nicht unsere it komplett auf den kopf stellen hat das verlangt auch keiner.

00:12:06: Ich würde da nochmal so eine Lanze brechen und jetzt will ich gar nicht regulatorisch argumentieren, aber wenn ich da einen Risikomanagement ein adäquates Aufgesetzt habe.

00:12:17: Ich sage auch immer damit mache ich erstmal meine Risiken transparent.

00:12:21: und die Risiken nicht wissen ist glaube ich das allerschlimmste als Situation.

00:12:26: Und wenn ich sie transparent hab dann kann ich auch wirklich da anfangen wo die größten Risiken stecken die dann wirklich durch eine sinnvolle Maßnahme dann adressieren.

00:12:39: Und ich glaube, dann habe ich eigentlich schon ein gutes Vorgehensmodell.

00:12:42: aber es hängt an so einem Risikomanagement und da bin ich bei dir das ist in vielen Unternehmen so heute leider noch nicht da.

00:12:51: Wir hatten ganz früher, du erinnerst sich vielleicht mal diesen Beratungsansatz mit dieser dreihundertsechzig-Grad-Analyse in Sachen Informationssicherheit.

00:13:00: Wo wir sowohl die technischen Aspekte als auch die prozessualen eingebaut haben um mal so ein Gesamtbild deswegen dreihundzechzig Grad Bild zu erzeugen.

00:13:14: und ich glaube gut der Begriff ist jetzt ein bisschen old school aber eigentlich wäre das ja dann, wenn so was eingetreten ist eine gute Maßnahme sowas mal anzustoßen damit nachhaltig auch irgendwie Dinge passieren.

00:13:28: Richtig und ich glaube das ist der Schlagwort du musst gucken dass du nachhaltige eigentlich diese Situation nochmal adressierst den Ball da rausnimmst ja deine riesigen Ingriff kriegst und sie minderst.

00:13:46: Auch eine beliebte Frage, können wir dann nicht mehr angegriffen werden?

00:13:50: Ja sorry.

00:13:52: Natürlich kann jedes Unternehmen weiter angegriffene werden aber ich kann natürlich trotzdem was tun.

00:13:58: Ich sage mal meinen Sicherheitsniveau zu steigern und damit zumindest Angriffe beziehungsweise die Auswirkungen von Angriff

00:14:08: abzumildern.

00:14:09: Besser damit umzugehen denn... Das Ding eingeschlagen hat, wenn der Blitz eingeschlagen.

00:14:14: Und das ist was Ziel

00:14:15: sein meiner Meinung nach?

00:14:17: Ich sag mal so, was sich da sehr geändert hat.

00:14:21: früher waren diese Analysen... muss man schon sagen nicht ganz unaufwendig, wenn man so eine komplett Betrachtung macht.

00:14:29: Das hat sich, müssen wir ja feststellen jetzt massiv geändert, also merken wir auch bei den Gepanalysen beim ISMS oder so.

00:14:35: durch die neuen Vorrehnungsmodelle und das was wir in KI investiert haben und nutzen können geht das ja alles viel, viel runterschneller.

00:14:45: Da glaubt man gar nicht, wie schnell man da so eine Analyse dann auch abgeschlossen haben

00:14:49: kann.

00:14:49: Die Effizienzgewinne sind enorm und ich glaube, da muss man wirklich die positiven Seiten von KI und allem was dran hängt sehen und wir kommen gar nicht umhin, die nutzen zu müssen.

00:15:06: Dann sind wir natürlich sehr schnell bei einem Thema das man immer wieder mit Kunden diskutiert oder auch diskutieren muss.

00:15:12: Ist das denn sicher, wenn wir irgendwelche KI-basierten Themen da nutzen?

00:15:19: Ich habe auch schon Aussagen gehört wie Penetrationstests.

00:15:25: Natürlich ist jeder Kunde

00:15:27: an

00:15:27: einem hohen Automatisierungsgrad weil das eine Kostenreduktion bedeutet interessiert.

00:15:32: aber KI soll nicht eingesetzt werden.

00:15:35: darf ich Angst Und ich glaube, wir geben nach den Kunden schon das Versprechen, dass wir KI auch in einer solchen Art und Weise einsetzen.

00:15:44: Dass der Kunde eben keine Angst haben muss.

00:15:47: Auch keine Angst vor Datenabflüssen oder sonstiges.

00:15:50: Ansonsten erweisen wir uns einen Beerendienst!

00:15:53: Und das ist auch alternativlos, muss man sagen.

00:15:55: Denn der Angreifer nutzt ja auch massiv die KI und er hat keine Bedenken hinsichtlich DSGVO oder sonstigen Thematiken.

00:16:06: Der

00:16:06: haut es einfach raus!

00:16:07: Ausgangslage vielleicht nicht ganz fair aber damit müssen wir uns auseinandersetzen.

00:16:14: Gut!

00:16:15: Spannend!

00:16:17: Danke

00:16:17: dir!

00:16:18: Hoffen wir dass es nicht zu... eine extremen Steigerung solcher Angriffsszenarien kommt.

00:16:27: Wir haben ja letzte Woche mal so ein bisschen den Zukunftsausblick gemacht und es ist schon zu befürchten, dass das häufiger eintritt.

00:16:34: aber gleichzeitig können wir uns auch stärken mit eben verhindern ,dass das Ganze durchschlägt.

00:16:40: Das kann jetzt ein Denkanstoß sein für viele.

00:16:43: Es gilt weiterhin, wir müssen mit offenen Augen durch die Welt gehen.

00:16:51: Machen wir.

00:16:53: Schöne Schlusswort, Axel!

00:16:56: Danke Stefan und danke an die Zuhörer.

00:17:00: Ich würde mich über Kommentare jederzeit freuen glaube ich auch.

00:17:06: Und dann schon mal ein schönes Wochenende.

00:17:09: vielleicht noch der Hinweis dass bei mir schon wieder ein kurzer Urlaub vor der Tür steht.

00:17:15: Schauen wir mal, was der Stefan nächste Woche macht.

00:17:17: Unglaublich!

00:17:18: Der Achsel, der macht immer Urlaufen.

00:17:21: Wir werden einen würdigen Vertreter finden – ich weiß noch nicht wehen aber wir kriegen es in.

00:17:27: Also

00:17:28: ihm

00:17:28: so Danke und schönes Wochenende.

00:17:31: Tschüss!