Wenn Sie Cybersicherheit neu denken müssten, ohne Schutzmechanismen wie Virenscanner oder Firewall: Welche Prinzipien wären für Sie entscheidend?
Als erstes würde ich das Prinzip „Zero Trust“ einführen: Niemand und nichts wird automatisch als vertrauenswürdig angesehen – auch nicht intern. Zugriffe müssen nachvollziehbar, begrenzt und überprüfbar sein. Zweitens rückt der Mensch in den Fokus. Mitarbeitende sind nicht das Problem, sondern der wichtigste Bestandteil der Sicherheitsstrategie. Wer versteht, wie Angriffe zustande kommen, handelt automatisch aufmerksamer. Und drittens: Resilienz. Angriffe können nicht immer verhindert werden. Entscheidend ist, vorbereitet zu sein – mit klaren Abläufen, Back-ups und einem Plan für den Ernstfall.
Wo liegen die häufigsten Schwachstellen?
Eine häufige Angriffsfläche sind Phishing Mails. Hinzu kommen schwache oder mehrfach genutzte Passwörter, fehlende Multi-Faktor-Authentifizierung und veraltete Systeme ohne Sicherheitsupdates. Eine weitere Schwachstelle sind Cloud-Dienste, die mit zu großzügigen Berechtigungen konfiguriert sind. Wir stellen bei unseren Audits also weniger Technikversagen fest, sondern vielmehr fehlende Standards.
Wie müssen Schulungen aufgebaut sein, damit sie wirklich etwas bewirken?
Sie müssen realistisch sein und regelmäßig stattfinden. Mitarbeitende müssen typische Angriffsmuster erkennen können – am besten anhand konkreter Beispiele aus dem Arbeitsalltag. Wir setzen bewusst auf regelmäßige, kurze Einheiten in kleinen Gruppen mit bis zu 15 Mitarbeitenden und auf eine offene Fehlerkultur. Wer einen Vorfall meldet, soll nicht befürchten, „etwas falsch gemacht zu haben“. Genau dieses Verhalten erhöht am Ende das Sicherheitsniveau.
Und wenn doch etwas passiert – was raten Sie Unternehmen im Ernstfall?
Ruhe bewahren und strukturiert handeln. Systeme nicht überstürzt abschalten, sondern die Ausbreitung begrenzen und sofort Fachleute einbinden. Parallel müssen rechtliche Pflichten – etwa nach DSGVO – geprüft und die Kommunikation koordiniert werden.