Infosec Theater Archiv

n der heutigen Episode des Infosec Theaters unterhalten wir (Meltem und Ben) uns mit dem humorvollen Ross über ein zentrales Thema: den Human Factor. Ross, der in Deutschland geboren und aufgewachsen ist, trotz seines Namens kein Holländer ist und eine Leidenschaft für IT-Sicherheit und Biotech hat, teilt seine Einblicke und Erfahrungen.

Wir diskutieren, was der Human Factor bedeutet und warum er so entscheidend für die Cybersicherheit ist. Ross erklärt, wie menschliche Fehler zu Sicherheitslücken führen können und welche Maßnahmen Unternehmen ergreifen können, um ihre Mitarbeiter besser zu schulen und zu sensibilisieren. Wir sprechen über die Herausforderungen, die mit Phishing-Angriffen und Social Engineering verbunden sind, und wie eine starke Sicherheitskultur in Unternehmen etabliert werden kann.

Ob es um alltägliche Sicherheitsmaßnahmen oder spezifische Schulungen in Unternehmen geht – wir beleuchten, wie man durch gezielte Awareness-Strategien die IT-Sicherheit erhöhen kann und warum der Mensch oft sowohl die größte Schwachstelle als auch die beste Verteidigung sein kann.

Hört rein und erfahrt, wie man mit einer großen Portion Selbstironie und praxisnahen Ratschlägen den Human Factor in der Cybersicherheit stärken kann!

Meltem: Herzlich willkommen zu einer neuen InfoSec Theater Folge. Mein Name ist Meltem. Und zusammen mit Ben sind wir die Hosts dieses Podcasts. Sag mal Hallo Ben.

Ben: Hallo.

Meltem: Grüß dich. Und heute zu Gast haben wir Matthias. Matthias erklärt uns auch heute, was man unter GRC versteht. Vorab darf aber Matthias uns gerne drei Dinge über sich verraten, die interessant für die Zuhörer werden. Matthias, wer bist du und was zeichnet dich aus?

Matthias: Hi, herzlichen Dank für die Einladung. Ich freue mich sehr, dass ich hier bin. Ich bin Matthias. Ich arbeite bei der DeTeCon International GmbH und bin da verantwortlich für Cybersecurity, Governance, Risk und Compliance Themen. Deswegen darf ich auch das Thema GRC heute vorstellen. Ich gucke vor allem auf die Informationssicherheit und vor allem den Governance-Bereich, von dem meiner Meinung nach ganz viel ausgeht und meistens der Part, mit dem es losgeht. Aber ihr habt nach interessanten Sachen über mich gefragt. Ich bin eigentlich fachfremd. Ich habe mal Medienmanagement und Kommunikation studiert und habe da dann den Übergang zum IT-Projektmanagement geschafft. Ben und ich haben uns dann kennengelernt und dort durfte ich dann auch das erste Mal mit der Cybersecurity zusammenstoßen, was eine super interessante und spannende Zeit war, bei mir ganz viel Interesse geweckt hat, was es dann eigentlich für ein gigantischer Bereich ist, der vorher zumindest in meiner Welt eigentlich gar keine so große Rolle gespielt hat. Natürlich war das Datenschutzthema immer ganz groß, aber die harte Cybersecurity oder Informationssicherheit ist tatsächlich erst ein paar Jahre, nachdem ich im Studium fertig war, auf mich zugekommen. Die ersten Zusammenkünfte waren total interessant, was mich dann dazu geleitet hat, das auch als Berater machen zu wollen. Und da stehe ich heute, bin also quasi ein Quereinsteiger für das Thema Informationssicherheit, was auch dazu geführt hat, dass ich mich dann vor allem auf den eher weniger technischen Bereich dieses Themenfeldes kümmere und vor allem halt aus einer, ich möchte jetzt nicht sagen Vogelperspektive draufschau, aber eher aus einer strukturell organisatorischen Ebene.

Ben: Du kommst ja aus Frankfurt. Wie sagt ein Frankfurter zu Medienmanagement? Sagt man nicht Mädchenmanagement oder so?

Matthias: Mädchenmanagement? Das ist mir neu. Das hab ich noch nie gehört. Was ich dauernd höre, ist, du hast mal was mit Medien gemacht. Das ist ein mir unangenehmer Satz, weil das kann man ja auf alles übertragen. Du hast mal was mit BWL gemacht. Du hast mal was mit IT gemacht. Ja, und das mache ich auch heute noch.

Ben: Du hast mal was mit Medien gemacht. Klingt auch so, als hättest du einen TikTok-Account.

Matthias: Natürlich nicht, dafür bin ich viel zu alt. Ich bin auf Instagram, und das war das letzte neue soziale Medium, das ich adaptiert habe. Alles, was danach gekommen ist, Snapchat, Musikly war ja vorher noch TikTok. Das sind für mich Begriffe, Objekte, Sachen, von denen ich höre, die ich sehe, aber die ich nicht selber nutze.

Ben: Sind für mich auch alles böhmische Dörfer. Ich hab nicht mal einen Facebook-Account. Den hab ich 2005 schon getötet oder so.

Matthias: Dann hast du den getötet, bevor ich gejoint bin.

Ben: Siehst du mal, wie alt ich bin.

Matthias: Ich hab auch keinen mehr.

Ben: Ich hab schon studiert, vielleicht 2006 oder 2007, keine Ahnung. Aber am Anfang vom Studium. Nee, ich hab mein... Wann hab ich ihn gelöscht? Letztes Jahr? Vorletztes Jahr? Nachdem mir bei Facebook vorgeschlagen wurde, ich könnte einen digitalen Nachlassverwalter einrichten, hab ich mir Gedanken über meinen Social-Media-Konsum gemacht und entschieden, ach, guck mal, eigentlich nutzt du Facebook nur noch als Nachrichtenquelle. Da kannst du direkt auf die Seiten gehen.

Ben: Das war meine Entscheidung.

Matthias: Ja, das denke ich auch. Aber jetzt kommen wir zurück zum Thema. Wir wollen über GRC reden. Ich bin meine Oma oder mein Opa, das geht vielleicht leichter von der Vorstellung her so im Bild. Und ich lese jetzt GRC in der Zeitung und denk mir so, what the fuck? Nee, das denkt mein Opa nicht. Keine Ahnung, was der sich denken würde.

Ben: Was zum Henker oder Was zur Hölle?

Matthias: Was lesen meine Augen da?

Ben: Genau. GRC, GRC. Was würdest du denn jetzt quasi meinem Opa erzählen, was das ist? Wofür braucht man das? Kann man das essen? Oder hat das was mit Autos zu tun?

Matthias: Ich würde mich erst mal wundern, warum so ein Begriff so prominent in der Zeitung steht, dass der Superlust liest. Nist ist ein Artikel über Nist 2. Der war bei Zahnarzt und da liegt irgendwie die IT-GRC-Compliance-Zeitung von der ISAKA oder so.

Matthias: Also ganz grundsätzlich natürlich, was heißt GRC eigentlich? Governance, Risk und Compliance, also quasi Steuerung, Risiko und ja, wenn ich da mal frei übersetzen darf, Einhaltung von Themen. Was ist das? Grundsätzlich ist das ein Rahmenwerk, das in den Markt geworfen wurde, dem Unternehmen helfen soll, oder das Unternehmen helfen soll, geschäftliche Risiken einzuhalten oder Risiken zu minimieren, Ziele zu erreichen, generell sicherzustellen, dass man sich Vorgaben konform verhält. Ich habe immer das Gefühl, dass sich auch das immer noch sehr wischiwaschi anhört.

Ben: Ja und auch missverständlich und irgendwie ja gut also wir haben jetzt da ein Rahmenwerk. Ich bin Berater, wir sitzen da immer ganz gerne und sagen, wenn wir ein Problem haben, dann benutzen wir ein Framework, ein Rahmenwerk. Aber was heißt das eigentlich genau? Im Grunde kann man sich das so ein bisschen vorstellen wie beim Laufen. Also wenn ich jetzt Läufer bin, dann mache ich das vielleicht in einem Verein und dieser Verein gibt Regeln vor. Der Verein sagt, hey, wenn du bei uns laufen möchtest, dann musst du x-mal die Woche am Training teilnehmen, dann musst du x-mal im Jahr an einem Wettbewerb teilnehmen. Wir haben Grundanforderungen an deine Durchschnittsgeschwindigkeit. Ja, du musst deine 530 pro Kilometer laufen. Das sind ganz klare Vorgaben, die ein Sportverein an mich als Sportler stellen kann, wenn er möchte, muss er aber nicht. Und ich als Sportler akzeptiere das und sage, okay, ich möchte mich beim Laufen bei euch engagieren und möchte darin auch gut sein. Und ich möchte quasi ein Basislevel erreichen, das mich auch vielleicht zu anderen Leuten bei euch im Sportverein vergleichbar macht. Das ist quasi der Steuerungsaspekt. Das heißt, es gibt Anforderungen, und ich versuche, die zu erfüllen. Möchte sie erfüllen.

Ben: Find ich ein schönes Bild. Das ist jetzt quasi aus dem GRC, wie mein Opa, den's nicht mehr gibt, lesen würde. Der G-Teil, oder ist das schon alles?

Matthias: Das ist der G-Teil. Und beim Laufen wär das am liebsten der Laufteil. Gottes willen, den Joke schneidet ihr bitte raus, aber nein. Genau, das ist der Governance-Teil, also der Steuerungsteil. Wir haben Ansprüche, die werden gestellt. Wir haben oder Anforderungen, Ansprüche vielleicht ein bisschen hart, aber wir haben Anforderungen, die gestellt werden und die wir als jemand, der sich in diesem Bereich bewegen möchte, erfüllen will, möchte und vielleicht sogar muss. Also wenn ich jetzt da sitze und sage, hey, ich möchte zeigen, ich bin besonders gut in der Informationssicherheit oder das heißt besonders gut, aber ich erfülle ein Basislevel an Informationssicherheit, dann schnapp ich mir zum Beispiel den ISO 27001 Standard und versuche alles davon umzusetzen, was da so drin steht. Und dann hole ich mir jemanden, der sich dann anschaut und sagt, ah ja, guck mal, wunderbar. Da sind wir übrigens beim C-Bereich, beim Compliance-Bereich, also die Einhaltung eben dieser Sachen. Es kann ja sein, dass dieser Sportverein ganz tolle und ganz große und ganz wichtige Anforderungen hat. Und sich berüstet und sagt, guck mal, was wir alles von unseren Leuten verlangen und was wir anfordern. Weil wir so starke Anforderungen haben, haben wir nur die besten der besten und sind sowieso ganz toll.

Ben: Und wenn jetzt die Anforderung aus dem G-Teil ist, dass ich, keine Ahnung, zehn Kilometer in 20 Minuten laufen muss und ich dem Verein immer sage, ja, das mach ich, dann ist das für mich der R-Teil, weil ich das Risiko, dass die mich vielleicht kontrollieren, ob ich compliant bin oder nicht, überwachen? Oder hab ich das falsch verstanden?

Matthias: Das könnte Teil deiner Perspektive sein. Aber ja, genau. Also, Risiko in dem Kontext würde bedeuten, ich hätte es jetzt zum Beispiel so interpretiert. Ich begebe mich in diese Welt, in diesen Sportverein und fange an zu laufen. Und was ist ein Risiko für mich? Verletzungsrisiko. Es kann sein, dass ich den Fuß umknicke und merke, das ist aber ungünstig. Ich stelle fest, ich kann aber gar nicht die 10 Kilometer in 20 Minuten laufen. Ich bin viel zu langsam. Also ich erfülle grundsätzliche Anforderungen eigentlich nicht. Ich überanstrenge mich vielleicht. Ich dehydriere. Also ich habe auf einmal Themen in meinem Bereich, die ich vorher gar nicht gesehen habe. Und hier versuche ich dann halt, rauszufinden, okay, was ist das denn eigentlich? Man könnte sogar sagen, so, hey, da findet eigentlich ein ständiger Abgleich zwischen den Anforderungen des Sportvereins und mir als Sportler oder mir als Läufer statt. Und jedes Mal, wenn ich eine Anforderung nicht erreiche, müsste ich mich eigentlich für mich selber hinsetzen und sagen, ist das eigentlich was, worüber ich mir Gedanken machen sollte? Ist das ein Risiko? Und wie gehe ich damit um? Das ist jetzt beim Laufen, wird jetzt vielleicht ein bisschen abstrakt, aber in der Informationssicherheit redet man dann ja von den verschiedenen Arten, wie man mit Risiko umgeht und ob man es vermeidet, auslagert und was es sonst noch so alles gibt.

Ben: Finde ich auf jeden Fall ein schönes gelungenes Beispiel.

Matthias: Dankeschön, es geht sogar noch weiter. Richtig, aber Ben, du hast es eben schon gut gesagt. Also, ich kann das ja in meiner kleinen Welt, die ich dann da habe, alles für mich selber abgleichen und sagen, guck mal, ich bin hier in meinem Verein und wir haben einen ganz tollen Austausch, wie wir das eigentlich machen und ich orientiere mich doch da dran und der Verein fragt mich ja und du läufst aber auch wirklich deine 10 Kilometer in 20 Minuten und ich sage, ja sicher, natürlich, ich meine, ich habe hier die 10 Kilometer stehen und daneben habe ich die Zeit stehen. Das ist ja ganz eindeutig, dass ich das geschafft habe. Und das fällt manchmal vielleicht ein bisschen schwer, das zu kontrollieren oder überhaupt zu sagen, okay, stimmt das denn so? Manchmal überlagern sich da ja auch vielleicht die Anforderungen, dass der Sportverein sagt, naja, okay, ich weiß, du bist jetzt nicht mein bestes Pferd im Stall, deswegen, naja, ja, mach du mal dein Ding und ich kümmere mich mal um die, die vielleicht ein bisschen wichtiger sind. Das ist natürlich unfair und auch ein bisschen gefährlich, weil das ja diese Anforderungen verwässert oder weil es vielleicht auch die Standards, die ich mir selber gesetzt habe, unseriös erscheinen lässt, möchte ich jetzt mal sagen. Und da kommt dann das C, die Compliance oder wie wir es eben übersetzt haben, die Einhaltung ins Spiel. Ich suche mir Leute, die mir das bestätigen. Ja, du kannst 20 Minuten in 10 Kilometern laufen. Das kann man beim Sport über kleine Sachen machen, wie zum Beispiel eine Apple Watch oder eine Garmin oder was es da gibt, die sagt, ja guck mal, du hast hier deine Fünfer-Pace auf x Kilometer und hiermit hast du eine Bestätigung auf deinem Handgelenk. Das wäre jetzt in meiner Welt schon fast ein interner Audit. Also ich bestätige mir selber, ich bin so schnell.

Ben: Meine Apple Watch hat das gemessen, das ist mein externer Auditor.

Matthias: Mein interner wäre das in dem Fall. Der externe Auditor wäre ja quasi dann beim Sportverein, oder nicht beim Sportverein, aber wäre ja quasi dann bei einer Veranstaltung jemand, der offiziell misst. Also ich starte beim Frankfurter Halbmarathon im März und renne los und ich habe vorher rumgeprallt, ja guck mal, ich renne den Halbmarathon in einer Stunde 45. Und jetzt an dem Tag, da zeige ich euch auch mal, dass das funktioniert. Da brauchst du dann natürlich offizielle Schiedsrichter und Pacemaker, die dir Rahmen geben, die dir auch sagen, guck mal, du bist jetzt hier übrigens an Kilometer zehn und du bist viel langsamer, als du gedacht hast. Also bist du da eigentlich dran gekommen, am Ende zu sagen, du kannst wirklich die 21 Kilometer in einer Stunde 45 laufen, was deine Anforderung war oder die Anforderung deines Sportvereins, damit du da halt mitmachen darfst. Oder eben nicht. Und wenn du das nicht machst, dann haben wir da einen Gap, über den wir uns mal unterhalten sollten. Warum das denn nicht der Fall ist. In dem Fall wäre die Konsequenz, ich kriege meine Medaille nicht oder meine Urkunde. Das wäre ja doof, weil ich habe vorher rumgeschrien, ich trete an, diese Medaille zu bekommen.

Ben: Also haben wir hier quasi eine externe Bestätigung oder die Konsequenz ist die externe Bestätigung, dass ich den Anforderungen, die mein Sportverein mir damals gestellt hat, damit ich mit dem Namen dieses Sportvereins auf meinem Trikot laufen darf, tatsächlich auch erfülle.

Meltem: Das ist echt ein sehr, sehr cooles Beispiel mit dem Sportverein. Das konnte ich mir auch vorab, ehrlich zu sein, nicht so verbildlichen, wenn ich an GRC denke. Aber für mich bzw. wahrscheinlich auch für die anderen Zuhörer oder auch für die Omis da draußen, klingt GRC auch nach sehr, sehr vielen Regeln und Anforderungen. Welche Herausforderungen gibt es denn deiner Meinung nach bei der Integration von GRC oder bei sämtlichen GRC-Ansätzen? Und wie können diese überwunden werden?

Matthias: Oh, das ist eine Frage, die mich in meiner Berater-Ära jetzt angeht. Welche Herausforderungen gibt es nicht? Und welche können wir nicht schaffen? Oder können wir schaffen? So rum. Ich meine, die Beispiele sind plakativ. Es ist sehr vereinfacht dargestellt. Es geht ja schon los mit welchem Governance-Teil ich mich eigentlich richtig. Es gibt wahnsinnig viele, wahnsinnig viele Frameworks, wahnsinnig viele internationale Standards, nationale Standards, die wir da haben. Manche überschneiden sich, manche überschneiden sich nicht. Es ist natürlich ein ganz, ganz weites Feld, wo sich aber viele Sachen auch die gleichen Themen drehen. Also schlussendlich ist, glaube ich, die größte Herausforderung, überhaupt erst mal anzufangen und sich hinzusetzen und zu sagen, so guck mal, ich habe jetzt hier was, was ich angehen möchte. Und ich suche mir jetzt ein Standard, an dem ich mich orientieren kann. So aus der Erfahrung, die ich gemacht habe, muss das auch gar nicht sein, dass ich direkt anfange und sage, ich muss diesen Standard vollkommen erfüllen. Ich fange vielleicht mal an, mich daran zu orientieren und sage, ich steige mir jetzt mal hier die für mich wichtigsten Themen raus und fangen wir mit mal an. Das kann zum Beispiel ein vernünftiges Assetmanagement sein. Weiß ich eigentlich, was ich in meinem Unternehmen habe? Worum geht es ja eigentlich? Also ich möchte Informationssicherheit machen, ich möchte Cybersecurity vorantreiben. Ich habe jetzt hier ein großes Cyber Security Projekt ausgerufen, aber was heißt denn das? Worum geht es ja eigentlich? Was genau möchte ich eigentlich sichern? Reden wir über Prozesse, Organisationen, Assets. Ich glaube, das ist ein ganz grundlegender Faktor, sich mal hinzusetzen und zu sagen, okay, warum kümmern wir uns ja eigentlich? Was ist der Scope meiner ganzen Geschichte? Und wie finde ich dann einen vernünftigen Ansatz für meine Organisation loszulegen? Und ich glaube, die große Herausforderung da besteht tatsächlich darin zu sagen, den Scope vernünftig zu schneiden und zu sagen, das ist das Objekt, an dem ich das jetzt mal ausprobieren, nicht ausprobieren möchte, aber an dem ich das jetzt vollziehen möchte. Und darauf fokussiere ich mich jetzt erst mal.

Ben: Ja, das stimmt. Ich muss sagen, ich bin, was das Thema GRC angeht, immer ein bisschen, weiß ich nicht, zwiegespalten. Das ist so mein Hassthema in der Security, würde ich sagen. Hass ist vielleicht... Oh, so stark.

Matthias: Na ja, es ist halt nur Papierkram, gefühlt. Ich hab ganz viele Regeln, und irgendjemand muss die Regeln auch ständig updaten. Eigentlich müsste die jeder lesen. Ich muss irgendwas damit tun oder auch nicht. Auf der anderen Seite, wenn ich es nicht hab, kann ich dir auch nicht sagen, Matthias, du machst da was falsch. Wenn es nicht da steht, gibt es es nicht. Ich bin schon der Meinung, wir brauchen Anforderungen den G-Teil im Unternehmen. Aber halt so kurz wie nötig und so lesbar wie möglich. Also eigentlich jetzt für den normalen Mitarbeiter, der jetzt nicht irgendwie, keine Ahnung, Jurist ist oder so, sollte das halt vielleicht nicht in juristische Fachliteratur sein, sondern schon auch verständlich dastehen. Guck mal, dein Passwort muss bitte 15 Zeichen haben. Das kann ja auch in, sagen wir mal, leichter Sprache dastehen, wie die Behörden das sagen würden.

Matthias: Absolut, absolut richtig. Das ist das Nächste. Ich glaube immer, wenn wir über Informationssicherheit uns unterhalten und vor allem wenn es die, wie ich eben gesagt habe, schon strukturell organisatorischen Themen geht, das ist ja nicht anfassbar. Also man sitzt da und redet und redet und redet und überlegt sich Rollen und Verantwortlichkeiten, RACI-Matrizen und Organisationsmodelle und Reporting-Wege. Ja, das mag alles in der Welt einer Organisation meines Unternehmens wichtig und auch richtig sein. Wenn ich aber als normaler Mitarbeiter da sitze und ich kriege auf einmal eine Richtlinie zur Dokumentenlenkung, zur Informationsklassifizierung und sonst was vorgelegt, da frage ich mich natürlich auch, was heißt das jetzt eigentlich? Was bedeutet das für mich? Und da hast du recht Ben, ich finde auch, da sollte ein verständlicher und praktikabler Weg eigentlich gewählt werden. Und was zum Beispiel eine Lösung ist, zu sagen, so, wem interessiert was eigentlich? Klar, jetzt hast du das Beispiel Passwort genannt. Das sollte nicht nur im beruflichen Kontext die meisten Leute interessieren, was da passiert oder was da Wege sind, wie man sich ordentlich um seine Passwörter kümmern kann. Aber es geht ja auch darum, was muss ich eigentlich wissen. Ich fand es immer interessant oder ich fand es immer schön, wenn ich gesehen habe, dass wenn man jetzt zwar in einer Richtlinienpyramide ausgeht, also ganz oben steht dann das strategische Leitlicht oder den strategischen Nordstand dargestellt in Form einer Informationssicherheitsleitlinie zum Beispiel, die so praktikabel wie möglich zu halten. Oder so verständlich wie möglich zu halten. Warum machen wir das eigentlich? Und was bedeutet das für das Unternehmen? Es ist ja kein Bereich, wo man sich hinsetzt und sagt, wenn wir das machen, dann kriegen wir Exit und so ein. Nein, wir machen den Laden sicher. Oder wir versuchen, ihn reaktabel zu machen. Reaktanz, ne? Warte, ist das so ein richtiges Wort? Reaktanz? So ein blödes Wort. Aber wir versuchen, das Unternehmen in eine Position zu bringen, aus der sie heraus reagieren kann, wenn ihr was passiert. Ein Stück weit hat das nicht ganz viel mit Resilienz zu tun, hat ganz viel damit zu tun zu sagen und auch zu realisieren, vollkommen sicher, 100 prozentige Sicherheit ist eine Illusion. Das schaffen wir sowieso nicht. Wenn irgendjemand sich wirklich hinsetzt und sagt, ich möchte euch hacken, und wir reden richtig von hacken und nicht Passwort erraten und ihr habt jemand, keine Ahnung, password123 wieder benutzt oder so, sondern ihr wirklich hacken, dann kommt er auch irgendwie ins System rein. Ich glaube, das ist eine Sache, da braucht man sich keine Illusionen zu machen. Aber es geht darum, wie gehen wir damit um? Und wie können wir Einfalltore verkleinern? Vielleicht sogar ein Stück weit schließen, sodass noch ein Spälchen offen ist.

Ben: Das hat viel mit Awareness zu tun. Sehr schön. Wenn wir den Governance-Teil nehmen...

Matthias: Sorry, dass ich dich da unterbreche.

Ben: Aber dann sind das Anforderungen, die ich als Mitarbeiter oder als CISO von einem Unternehmen an das Unternehmen habe. Oder können die auch woanders herkommen?

Matthias: Also ganz grundsätzlich der Governance-Teil, wie möchte ich es eigentlich steuern? Wie möchte ich meine Organisation steuern? Und dann hast du natürlich externe Stakeholder, bzw. es kommt ja so ein bisschen darauf an, an wen du dich da wenden oder an wen du dich da orientieren möchtest. In Deutschland haben wir jetzt ein recht ausführliches Framework im BSI-Grundschutz, der sehr deutlich wird, wie wollen wir es eigentlich haben. Und du hast natürlich irgendwie irgendwo immer ein rechtliches Regelwerk, an dem man sich orientieren muss.

Ben: Aber ist das dann im Governance-Umfeld oder im Compliance-Umfeld? Wenn ich jetzt an die DSGVO denk, du als alter Datenschützer, dann würdest du jetzt sagen, dass ich als CISO die DSGVO im Governance-Feld umsetze? Oder werde ich als CISO in der Compliance gegen die DSGVO gemessen? Ich weiß, das ist eine blöde Frage.

Matthias: Ja, fremd ist noch jeder anders. Also ich persönlich komme ja aus der Perspektive, ich möchte reagieren können, ich möchte agieren können. Eigentlich möchte ich...

Ben: In die Phase...

Matthias: Richtig. Ich möchte die Macht über mein Narrativ haben. Würde für mich bedeuten, ich würde es in der Governance unterbringen. Zumindest organisatorisch. Und dann kommt natürlich irgendwann der Compliance-Teil, wo jemand vorbeikommt und sagt, zeig doch mal bitte, was ihr da gemacht habt und wie ihr das umsetzt. Also es greift ineinander über. Deswegen ist es ja auch ein Themenbereich, der zusammengefasst wird.

Ben: Das ist die Antwort, die ich hören wollte, weil ich würde das gar nicht trennen. Zu richtig.

Ben: Es gibt ja eine Governance-Abteilung, eine Risiko-Abteilung und eine Compliance-Abteilung. Zumindest nicht, wenn wir hier nur über Security reden. Macht vielleicht für andere Sachen Sinn?

Matthias: Richtig. Und Meltem fragte eben, was sind die großen Herausforderungen? Ja, dass das ineinander greift und wer ist hier eigentlich für was wirklich verantwortlich? Und auch wenn ich einen Head of Internal Audit habe oder auch wenn ich einen Compliance Officer oder einen internen Sicherheitsbeauftragten oder einen Security Officer habe und was wir da alles für offizielle Bezeichnungen haben, die auch berufen werden müssen und die wir uns in die Organisation setzen, da wird immer ein Streit um Verantwortlichkeit stattfinden, auch wenn es niedergesetzt ist. Genau aus dem Grund, den du sagst, man kann es nicht so richtig trennen. Ich finde auch, man sollte es nicht so richtig trennen. Ich brauche die Bestätigung, am besten die externe Bestätigung, dass das, was ich gerade mache, den Anforderungen entspricht. In dem Kontext, den ich mir rausgesucht habe. Absolut richtig. Das Risiko und dann noch das, das R wieder mit reinzuholen und im Risikomanagement, das ist ja auch ein Prozess der Selbstkontrolle. Also wenn ich das im Kontext eines Abgleichs sehe, also sage, hey, ich habe mir jetzt hier, so daraus besteht ein Großteil der Sicherheitsframeworks, über die wir uns kümmern, ist ja ein Abgleich zwischen den Kontrollen, die in diesen Frameworks genannt werden und dem, was ich im Unternehmen eigentlich implementiert habe. Und wenn ich feststelle, hey, eine bestimmte Kontrolle erfülle ich nicht, wie gehe ich damit um? Das muss nicht sofort heißen, dass die Nichterfüllung einer Kontrolle ein Risiko ist. Aber ich sollte mich damit auseinandersetzen und mich mit den Leuten unterhalten, die sich dahingesetzt haben. Kann ja sein, dass es eine Alternative gibt, die ein ähnliches Schutzlevel hat oder was Ähnliches bewirkt. Es ist halt noch nicht genau diese Kontrolle gewesen.

Ben: Es ist kein Risiko. Aber eine Abweichung auf jeden Fall.

Matthias: Aber eine Abweichung.

Ben: Da stimme ich dir zu, es ist eine Abweichung, und ich muss dann feststellen, hat die einen Einfluss auf mich? Vielleicht hat die Kontrolle auch keine Relevanz für mich. Wenn ich eine Kontrolle habe, die sagt, du musst deine On-Premise-Systeme sichern, ich bin voll in der Cloud, so what?

Matthias: Ja, und das sind ja die tollen Situationen, wenn du im Audit sitzt und du sagst, na ja, aber diese eine Kontrolle stimmt, die passt ja gar nicht auf das, was ich mache, und dann fängst du an zu diskutieren und zu argumentieren, warum das jetzt der Fall ist. Und vielleicht ist der Auditor deiner Meinung, vielleicht aber auch nicht. Aber es geht auch hier wieder darum, es rechtfertigen zu können. Die Nase ein wenig vorne zu haben, zu sagen, guck mal, ich hab mir darüber Gedanken gemacht und ich kann ihr darauf antworten. Und ich hab eine vernünftige Antwort und nicht eine, na ja, es passt halt nicht. Und deswegen machen wir es nicht so. Nee, ich hab was anderes, was genau den gleichen Sinn erfüllt und ein gleiches Schutzlevel hat. Und damit ist die Kontrolle für mich nicht irrelevant. Aber ich guck sie mir jetzt in diesem Kontext nicht an.

Meltem: Also wir halten fest, GRC-Ansatz besteht aus drei Komponenten, die Hand in Hand gehen, die man nicht separat betrachten sollte. Und darauf aufbauend vielleicht mal eine Frage, wie kann man denn sicherstellen oder nachweisen, dass GRC effektiv gewährleistet ist? Wie kann man das kontrollieren? Oder nachweisen?

Matthias: Ja, also du meinst jetzt...

Meltem: Oder messen. Genau. Vielleicht ist das so der richtige Ansatz.

Matthias: Ja, die Messbarkeit einer funktionierenden GRC-Organisation ist natürlich eine super interessante Frage.

Ben: Wie viel Prozent aller Mitarbeiter haben die Richtlinien bestätigt, dass sie die Richtlinien gelesen haben?

Matthias: Genau. Zum Beispiel? Wie viele... Ja, so was in die Richtung, genau. Aber ich find's immer so ein bisschen schwierig, da konkret drauf zu antworten.

Ben: Wie viele Abweichungen auf meine Anforderungen hab ich dieses Jahr und wie viele letztes Jahr? Also quasi da einen Trend zu zeigen. Genau, eine Rückmeldung über, ich hab eine Richtlinie gelesen, das kannst du ja auch zeichnen, der hat das wirklich geöffnet. Und der da, ja, mag sein, dass das ein Indikator dafür ist, dass ein bestimmtes Maß an Awareness da ist. Aber ob der jetzt auch wirklich verstanden hat, was da drin steht.

Ben: Naja, aber das ist halt auf jeden Fall eine arbeitsrechtliche Konsequenz. Wenn du bestätigst, dass du die Richtlinie gelesen hast und dich da nicht dran hältst, dann hab ich meinen Job richtig gemacht, du deinen aber nicht. Das hat im Zweifel eine Konsequenz für dich, aber nicht für mich. Das ist in dem Umfeld wahrscheinlich schon gar nicht so unwichtig. Das KPI-Thema ist halt wirklich schwierig. Stimme ich zu. Selbst wenn du eine funktionierende GRC-Funktion hast, heißt das nicht, dass du nicht gepreagt wirst.

Matthias: Einmal das, und das Nächstes halt auch... Ich mein, gerade die KPI, es ist ja immer noch die genommen, die mir gerade am besten gefallen.

Ben: Aber wäre nicht ein schönes KPI dafür, ob mein GRC funktioniert, wenn der externe Auditor wenig zu bemängeln hat? Der ja dann vielleicht vorbeikommt, wenn ich zertifiziert bin.

Matthias: Das ist richtig. Wobei viele Frameworks ja auf einem sehr... Ja, auf einem Basislevel unterwegs sind. Und wenn ich da dann bestätigt bekomme, dass du oder dass ich mich an alles halte, ja, dann ist das eine schöne Bestätigung, das stimmt. Aber es ist ja ein Basislevel, es ist ein Grundlevel.

Ben: Aber ich muss ja mal mit irgendwas anfangen, dass wir nicht gleich mit dem 1.5 starten, ist ja vielleicht auch klar. Aber gerade wo du das mit dem Basis-Level sagst, ist vielleicht auch schön, regelmäßige Reifegradbewertungen zu machen. Wo steh ich, und dann zu sagen, wir haben angefangen mit einer 1,2, vor drei Jahren, jetzt sind wir bei einer 1,5 gewesen. Leider ist jetzt wieder ein Stück zurückgegangen.

Matthias: Ja. Das kann man ja wunderbar mit dem Thema ständiges Verbessern kombinieren. Klar, wenn man jetzt noch mal über harte KPIs reden möchte, wie viele, wie ist denn die Rate der kritischen Risiken, die ich geschlossen habe? Oder wie viele Risiken sind in den letzten Jahren abgearbeitet worden, in den letzten Monaten abgearbeitet worden? Klar, auf das kann man sich natürlich immer beziehen. Ist auch sinnvoll, allein aus Reportinggründen, damit auch da beim Management klar ist, hey, wir kümmern uns und wir wissen, was gerade Sache ist und es bewegt sich was. Richtig. Stimmt, die Reifegrad-Geschichte ist eine super Nummer. Mag ich selber auch sehr gerne, wenn ich ehrlich bin, weil man da wunderbar in das Thema Selbstreflektion reinkommt. Welche Maßnahmen hat was gebracht? In welchem Bereich sind wir besser geworden? Wo müssen wir uns ehrlich in die Augen gucken und sagen, wir hätten noch mal ein Quäntchen mehr machen können? Ja. Cool.

Ben: Ich finde, das mit dem Beispiel am Anfang war sehr anschaulich. Ich finde, wir sind jetzt auch schön darüber gekommen, was man das vielleicht im beruflichen Kontext, was es für einen Einfluss hat oder auch nicht.

Matthias: Ich finde auch, dass du sehr deutlich gesagt hast, dass es natürlich nur eine cover-my-ass Geschichte ist, wenn ich dich was unterschreiben lasse, was du nicht gelesen hast. Und damit du dann vielleicht noch Nutzen daraus ziehst, sollte ich dich vielleicht auch schulen, dann sind wir wieder beim Thema Awareness. Und ich glaube, wir landen hier in jeder Folge beim Thema Awareness.

Matthias: Ich habe mich fast nicht getraut, das Wort zu nennen, weil es mir auch schon aufgefallen ist, aber es ist halt der Kern der ganzen Geschichte. Also alles, was wir hier machen, alles worauf auch ein GRC-Bereich abstellt, Leute, wir müssen Bewusstsein schaffen, für Transparenz sorgen, was wir hier veranstalten und warum wir das veranstalten. Und wie du am Anfang gesagt hast, ich kann eine Menge an Richtlinien und Leitlinien und Handbüchern schreiben, die im Unternehmen rumgeistern, die Wahrscheinlichkeit, dass die wirklich alle sorgfältig gelesen werden, relativ gering. Aber wenn die Leute wissen, ey, ich weiß, dass wir hier ein Handbuch zum Incident Response Prozess haben und mir ist jetzt heute aufgefallen, ganz simples Beispiel, ich bin hier einfach morgens ins Gebäude reingelaufen und ich wurde nicht kontrolliert. Eigentlich haben wir hier jemanden, der entweder meinen Ausweis kontrolliert oder ein Sicherheitsterminal, in dem ich mich einloggen muss, oder so. Es hat heute morgen alles nicht funktioniert. Da sollte ich doch irgendwo mal Bescheid sagen, wo mache ich das denn eigentlich? Also, hey, ich weiß, da haben wir doch irgendwo ein Handbuch, da gucke ich mal nach. Also, Awareness darüber schaffen, wo finde ich was und ja, wir kümmern uns Themen. Es gibt Anlaufstellen dafür, das halte ich für ganz wesentlich. Ein großer Schritt, das ist der wichtigste Schritt meiner Meinung nach, dass die Leute, die in einem Laden arbeiten, wissen, an wen kann ich mich wenden. Und tatsächlich, wenn ich da verallgemeinern darf, nicht nur im GRC-Bereich, sondern auch an allen anderen Ecken, die eine Organisation so beschäftigen.

Ben: Aber genau, es geht halt vor allem nicht nur darum, zu wissen, was soll ich melden, sondern auch, wohin. Oder auch die Ermutigung, darum zu melden. Einfach nur zu wissen, das ist schlechtes Verhalten, aber nicht zu sagen, du solltest was tun, und es ist gut, wenn du was tust, nicht böse. Nicht du bist derjenige, der auf die Nase kriegt, wenn du was meldest. Ich glaube, das ist noch eine wichtige Botschaft.

Meltem: Da stimme ich auf jeden Fall zu. Eine gesunde Fehlerkultur auch zu fördern. Also keine Angst zu haben, Sachen zu melden oder Sachen, die man falsch gemacht hat, generell zu melden.

Matthias: Absolut, ja. Total. Ja, klar, das... Gerade, wenn man über Datensicherheit oder Informationssicherheit redet, dann sind die Leute immer nervös, trauen sich nicht, Sachen zu machen. Ist das jetzt wirklich nicht im Bereich oder ist das jetzt wirklich was, was ich melden muss? Hab ich jetzt hier was falsch gemacht? Hat jemand anderes was falsch gemacht? Es gibt dieses wunderschöne Beispiel. Wir beide in der DeTeCon sitzen in einem relativ großen Gebäude und natürlich begegnen da eine Menschen, die man nicht kennt. Und es ist super unangenehm, Leute, die man nicht kennt, mal zu fragen, hey, kann ich dir helfen? Und das sind immer unangenehme Situationen. Also ich weiß halt nicht, ob die Leute hier, ob das Mitarbeiter sind und ob die Lieferanten sind oder ob es tatsächlich jemand ist, der hier eigentlich nichts zu suchen hat. Und natürlich hat man da wahnsinnig unangenehme Situationen, in denen man komisch angeschaut wird und sagt, ich arbeite seit 30 Jahren hier. Und warum werde ich jetzt von dir, wie jung du, angesprochen, was ich hier mache? Ich arbeite hier, und das auch schon seit einiger Zeit. Aber manchmal ist es vielleicht keine schlechte Idee, da auch mal aus sich selbst herauszugehen und sagen, ich traue mich, dass... Man ist überrascht, wie positiv so was auch mal ankommt. Man ist involviert, man kümmert sich, man ist engagiert, hier für Klarheit und Transparenz zu sorgen.

Ben: Auf jeden Fall. Ich hätte gar nicht gedacht, dass man das Thema GRC so interessant und kurzweilig beleuchten kann. Aus meiner Erfahrung raus, ist das eher normal nicht so der Fall. Ich hätte zum Abschluss aber noch mal eine Frage an dich. Und zwar, wenn Security für dich ein Tier wäre. Welches Tier wär's und warum?

Matthias: Ein Tier.

Meltem: Miau.

Matthias: Eine Katze, ja? Ah, Cybersecurity, welches Tier? Du, das ist eine wirklich gute Frage. Danke. Hm. Ich nehm jetzt mal die Zeit zum Nachdenken, das könnt ihr nachher rausschneiden. Wir können's drin lassen. Ich brauch locker eine Minute oder so. Mach ruhig. Alles gut.

Meltem: Wenn du magst, kennen wir auch ein paar Impressionen oder unsere...

Ben: Ich muss gerade dran denken. Spoiler nicht, Matthias soll schon anfangen.

Matthias: Genau, ohne die Negativ-Assoziation mit einer Krake, weil das sind ja sehr intelligente Tiere und super facettenreich und vielseitig. Ich finde schon, dass das einem vielarmigen Oktopus ähnelt. Man meint gar nicht, wo man überall hingreifen kann, wo man überall sein kann, wo man sich überall anpassen kann, wenn man sich mit diesem Thema auseinandersetzt. Wie vielseitig ist es eigentlich? Es ist eben nicht nur ein technisches Thema. Es geht eben nicht nur um Firewalls und Pen-Tests und Schwachstellen-Management und weiß ich nicht, sondern nein, wir reden hier auch über sehr menschliche Geschichten und sehr, ja, teilweise ja auch emotionale Geschichten. Also mal in einem Meeting zu sitzen, wo einem auffällt, oh mein Gott, wir wurden gehackt und jetzt sitzt da irgendeiner und will von mir x Millionen Euro Lösegeld haben. Das sind hoch emotionale Situationen. Und da fällt einem dann doch auf, das was wir hier machen und dieser ganze Themenbereich, der ist wahnsinnig vielseitig, greift eigentlich in alles, ineinander über, ja sogar aus dem Berufsleben heraus in das private Leben rein. Seit ich in diesem Bereich in der Informationssicherheit zuständig bin, gucke ich mit ganz anderen Augen auf, wo melde ich mich eigentlich wie an und wo hinterlasse ich eigentlich meine Telefonnummer und wie melde ich mich mit meiner E-Mail-Adresse irgendwo an. Und da glaube ich, wie ein Oktopus, wie eine Krake greift man sich, passt sich an. Manchmal ist man ein wenig versteckt. Manchmal ist man aber auch in seiner ganzen Größe da und kann zeigen, wie mächtig das Thema eigentlich ist.

Ben: Sehr cool. Dankeschön.

Meltem: Ich finde es auch sehr interessant. Ich glaube, ihr hattet mal eine Episode mit jemandem. Ich bin mir nicht mehr sicher. War das Johannes? Der hatte auch das Beispiel mit dem Oktopus gegeben oder mitgebracht. Und der hat tatsächlich genau das gesagt, was Matthias vorher gesagt hat.

Matthias: Diese Folge habe ich nicht gehört. Das habe ich mir selber ausgedacht.

Ben: Solange es gedauert hat, haben wir einen Beweis.

Meltem: Ich finde es nur interessant, also meistens hört man halt Sachen, die so neu sind, neue Tierarten. Und manchmal sind da auch Fabelwesen dabei. Aber genau, schön, dass man jetzt auch zweimal den Oktopus gehört. Find ich cool.

Ben: Ich glaub, wir machen am Ende auch eine Auswertung. Gucken, welche Tiere wir benannt haben, nachdem wir mit allen Buchstaben durch sind.

Matthias: Wir machen einen Link in die Umfrage. Die drei Leute, die am nächsten rankommen, kriegen Ideen. Hier jemand, der irgendwie an der vordersten Front ist und tatsächlich abwehrt und Threat Detection macht, da kommt auch ein bisschen, was ist das, ein Drache ist das oder...

Ben: Müssen wir mal gucken, ja. Ich mein, wenn ich dich jetzt fragen würde, welches Tier ist GRC, kommt ja eine ganz andere Antwort raus, oder?

Matthias: Ja, definitiv.

Ben: Das ist dann irgendwie so eine Brillenschlange oder so. Oder der Papiertiger.

Matthias: Oh, guck mal, der Papiertiger. Kann aber auch die Krallen ausfahren.

Meltem: Oder ein Drache mit drei Köpfen.

Matthias: Ja, GRC. Genau, richtig.

Ben: Sehr gut. Aber einer, der kein Feuer speien kann.

Meltem: Ja, genau.

Ben: So ein Kuscheltier.

Matthias: Ein Kuscheldrache mit drei Köpfen.

Meltem: So ein mutierter Drache.

Ben: Vielen lieben Dank für die schöne Folge.

Matthias: Sehr gerne, nochmal herzlichen Dank für die Einladung. Es hat mir sehr viel Spaß gemacht und freue mich, mir alle weiteren Folgen von euch anzuhören.

In der heutigen Episode des Infosec Theater unterhalten wir (Meltem und Ben) uns mit der fantastischen Annika Wägenbauer über ein besonders spannendes und hochaktuelles Thema: Frauen in der IT-Sicherheit. Annika, die in neun Ländern gelebt hat und acht Sprachen spricht (wir haben nicht nachgezählt, glauben ihr aber), teilt ihre Erfahrungen und Einsichten aus ihrer beeindruckenden Karriere in der Cybersicherheit.

Wir gehen der Frage nach, warum der Frauenanteil in der Branche immer noch so gering ist und welche Herausforderungen Frauen in der IT-Sicherheit bewältigen müssen. Außerdem diskutieren wir, wie Netzwerke wie Women for Cyber mehr Frauen in diese spannende Branche bringen können. Annika erzählt, wie sie von der internationalen Politik und der Automobilbranche in die Cybersicherheit gewechselt ist und warum Diversität in der IT-Sicherheit nicht nur ein Schlagwort, sondern eine Notwendigkeit ist.

Ob Frauenquote oder Quereinstieg – wir nehmen kein Blatt vor den Mund und liefern ehrliche, praxisnahe Tipps und Einblicke. Und keine Sorge, wir haben auch überlegt, wie viele Kaffees Annika wohl in einer Minute trinken kann.

Hört rein und erfahrt mehr über die inspirierende Welt der Frauen in der IT-Sicherheit – mit einer großen Portion Selbstironie und einer Prise Humor!

In der heutigen Episode des Infosec Theaters unterhalten wir (Meltem und Ben) uns mit Marc Plewnia über ein besonders brisantes Thema: den Enkeltrick. Marc, der als Event-Veranstalter aus Berlin kommt und in der digitalen Welt zwischen Excel-Listen und modernster Betrugsmethoden navigiert, teilt seine Einblicke und Erfahrungen.

Wir diskutieren, warum der Enkeltrick immer noch so erfolgreich ist, wie die Betrüger vorgehen und was man tun kann, um sich und seine Liebsten davor zu schützen. Marc erklärt, wie der gesellschaftliche Wandel und die Einsamkeit älterer Menschen diese Betrugsmasche begünstigen und welche präventiven Maßnahmen helfen können.

Ob durch gefälschte SMS oder trickreiche Anrufe – wir beleuchten die vielfältigen Methoden, mit denen Betrüger arbeiten, und geben praktische Tipps, wie man solche Angriffe erkennen und abwehren kann. Und natürlich kommt der Humor auch nicht zu kurz, wenn wir einige der kuriosesten Geschichten rund um den Enkeltrick teilen.

Hört rein und erfahrt, wie man den Betrügern einen Schritt voraus sein kann – mit einer großen Portion Selbstironie und praxisnahen Ratschlägen!

In der heutigen Episode des »Infosec Theaters« unterhalten wir (Meltem und Ben) uns mit dem dynamischen Johannes Troppmann über ein zentrales Thema: Datenschutz. Johannes, der in der Schweiz lebt und seit über 20 Jahren Unternehmen in Sachen Datenschutz und Informationssicherheit berät, teilt seine umfassenden Einblicke und Erfahrungen.

Wir diskutieren, was Datenschutz in der heutigen digitalen Welt bedeutet und warum er für jeden von uns so wichtig ist. Johannes erklärt, wie sich die Digitalisierung auf unsere Daten auswirkt und welche Risiken damit verbunden sind. Er gibt praktische Tipps, wie man seine persönlichen Daten schützen kann, und erläutert, warum Datenminimierung und bewusste Entscheidungen beim Teilen von Informationen entscheidend sind.

Ob es um die Nutzung von Apps, die Gefahren von Deepfakes oder die gesetzlichen Rahmenbedingungen wie die DSGVO geht – wir beleuchten die vielen Facetten des Datenschutzes und zeigen auf, wie man sich im digitalen Zeitalter besser schützen kann.

Hört rein und erfahrt, wie man mit einfachen Schritten mehr Kontrolle über seine Daten gewinnen kann – mit einer großen Portion Selbstironie und praxisnahen Ratschlägen!

00:36 - 00:55

Ben: Gude  und herzlich willkommen zu einer neuen Folge unseres Infosec Theaters. Heute mit Rudi, aber bevor Rudi sich vorstellen darf, Reden wir erstmal über unser Thema und zwar ist das Thema Cyber-Hikene und ja vielleicht auch noch kurz zu mir. Ich bin Ben und Rudi magst du dich mal kurz vorstellen.

00:56 - 01:37

Rudolf: Danke Ben. Schöne Einladung mal hier auf der Theaterbühne zu stehen. Ich mache Technik benutzbar manchmal. Ich habe für mich festgestellt, mit Ruhe und Orientierung durchs Leben zu gehen, ist ein ganz wichtiger Punkt für mich. Ich bin tatsächlich in den letzten Jahren dadurch auf Yoga gekommen. Hilft mir total viel. Vor 5, 6 Jahren hätte ich wahrscheinlich noch gedacht, diese ganzen Cailatte-Mamis, die können wir mal gestohlen bleiben. Inzwischen frage ich mich, wie konnte ich die Jahre ohne auskommen. Das merke ich tatsächlich jeden Tag. Mentale Ruhe hilft uns dann auch, in diesem tagsüber Irrsinn ganz gut klar zu kommen.

01:37 - 01:47

Ben: Finde ich total spannend. Wenn du sagst, du machst Technik erklärbar, dann passt das ja sehr gut hier dazu. Von was für Technik reden wir hier so? Legotechnik oder?

01:49 - 02:29

Rudolf: Ich mache was mit Computern. Der Spruch ist nicht von mir, den habe ich schon öfter mal gehört. Ich überlege gerade, ich habe mal Physik studiert und habe gemerkt, dass sich anderen Leuten das normale Arbeiten mit einem PC ganz gut erklären kann. Die Software, wie das so funktioniert und was man damit so alles sich zusammen basteln kann. So fing die Reise an und inzwischen ist das bei Geschäftslösungen so in unserer großen globalen Welt fast raus geworden Und ich habe Interesse daran, Organisationen und auch den Menschen als Benutzern zu helfen, die Technik in unseren Computern einfach morgen besser

02:29 - 02:31

Rudolf: benutzen zu können als heute.

02:31 - 02:57

Ben: Finde ich total spannend und passt auch total gut zu unserem Konzept, wo wir ja Menschen näher bringen wollen, was eigentlich Security ist und warum man da mehr für machen muss. Der Begriff Cyber Hygiene, den weiß ich nicht, wer sich den ausgedacht hat. Vielleicht war ich es wahrscheinlich nicht, wahrscheinlich habe ich das irgendwo mal gehört. Aber was kommt denn da spontan bei dir an, wenn du Cyberhygiene hörst? Über was würdest du denn dann reden oder was stellst du dir darunter vor?

02:59 - 03:41

Rudolf: Ich denke interessanterweise zuerst an Händewaschen und wenn ich das dann so noch mal durch meine Gehirnwindung schiebe, könnte es daran liegen, Händewaschen ist eine gewisse Routine. Wenn ich draußen war und nach Hause komme, wasche ich mir die Hände. Bezug auf Cyberhygiene finde ich, dass Routine im Benutzen von Technik genauso dazu gehört und dass man nachdenkt, was man tut. Also auf der einen Seite möchte ich gerne, dass meine Seife mich dabei unterstützt, dass meine Hände nach dem Waschen auch sauberer sind als vorher. Und auf der anderen Seite muss ich mich aber auch daran gewöhnt haben, meine Seife

03:41 - 03:53

Rudolf: zu benutzen und benutzen zu wollen und auch immer daran zu denken, Wenn ich von draußen nach innen reinkomme, wasche ich mir eben die Hände. Und das erwarte ich von meiner Technologie auch und da fängt für mich Cyberhygiene an.

03:53 - 04:06

Ben: Total cool. Habe ich gleich zwei Punkte, aber ich fange mal mit dem ersten an. Du hast gesagt, wenn du von draußen reinkommst, wäscht du dir die Hände. Machst du das aus freien Stücken oder wo kommt das her?

04:07 - 04:41

Rudolf: Das mache ich tatsächlich aus freien Stücken. Ich merke das auch immer mehr mit Gästen, Freunden, die ich habe. Die machen das vielleicht zu Hause. Das habe ich bei denen beobachtet, wenn ich bei denen zu Gast bin und wir gemeinsam reinkommen, dann waschen die sich die Hände. Wenn die bei mir reinkommen, tun sie es nicht. Ist ja interessant. Ich traue mich manchmal gar nicht, die darauf hinzuweisen. Die könnten das auch mal machen. Ich finde das total wichtig. Mir gibt es eine gewisse Ruhe, dass ich tatsächlich keine infizierten Dinge in mich und meine Wohnung reintrage. Ohne jetzt daraus

04:42 - 05:14

Rudolf: manisch zu werden. Es geht mir einfach darum, zu Hause fasse ich meine Lebensmittel an. Ich bin in meiner Wohnung den ganzen Tag, vor allem, wo ich zu Hause arbeite, mit mir und meinem sich selber anfassen im Gesicht an die Augen. Da bin ich ja unterwegs. Da möchte ich Krankheitserreger nicht replizieren. Also habe ich mich sehr wohl mit dran denken daran gewöhnt, Hände waschen und sauber bleiben.

05:14 - 05:49

Ben: Schade, ich hätte gedacht du kommst jetzt woanders her, Weil in meiner persönlichen Wahrnehmung ist das ja eine Sache, die wir anerzogen bekommen haben. Wenn ich auch meinen Kindern immer sage, hey, du bist reingekommen, Hände waschen, dann machen die das manchmal, manchmal machen sie es nicht. Manchmal sagen sie, sie haben sich die Hände gewaschen, aber haben sie nicht. Und da wollte ich nämlich den Punkt zum zweiten schließen und zwar Cyber-Hikene. Einmal haben wir ausreichend Cyber-Hikene? Was ist eigentlich vielleicht für dich oder für mich oder wem auch immer Cyber-Hikene? Und wenn wir nicht ausreichend davon haben, woran hängt

05:49 - 05:51

Ben: das? Also drei Fragen, einer aber.

05:52 - 06:30

Rudolf: Ich greife das mal mit den Kindern auf, das sehe ich genauso. Also das ist zumindest eine Sache, wo ich glaube, das hat bei meinen Kindern ganz gut funktioniert. Die waschen sich tatsächlich die Hände. Und Cyberhygiene setzt sich beim Benutzen unserer Computer oder Geräte, was wir heutzutage an vielfältigen Dingen dort haben, setzt sich genauso an. Da gehört Ausbildung mit dazu, wenn ich gar nicht weiß, dass Gefahren existieren. Oder dass jemand auf der anderen Seite ist, der mich betrügen möchte, der an mein Geld ran will. Letztendlich, finde ich, geht Cyberkriminalität immer in die Richtung, dass ich jemandem Geld

06:30 - 07:00

Rudolf: klaue oder irgendwelche Werte. Also gehört die Cyberhygiene dazu, dass mir das nicht passiert. Und das finde ich total wichtig, das muss trainiert werden. Und ansofern erwarte ich das auf der einen Seite als Ausbildung von denen, die sich damit auskennen und auf der anderen Seite dann vielleicht auch, das ist so ein bisschen die Seife dabei, dass es Mechanismen gibt. Und in der IT sind es dann wahrscheinlich Software- und Hardwarelösungen, die mir helfen können, diese Hygieneanforderungen auch umzusetzen.

07:01 - 07:13

Ben: Okay. Und wenn wir jetzt konkreter werden wollen und über einzelne Maßnahmen reden, die wir jetzt Händewaschen gleichsetzen wollen würden, was fällt dir da so spontan ein oder fiel dir so spontan ein?

07:13 - 07:55

Rudolf: Das wichtigste, Was ich über all die Jahre, die ich mich mit Computern beschäftige, ist hingucken und lesen, was da steht. Ich bin Benutzer, ich klicke irgendwie in meinem Betriebssystem rum. Ich nehme jetzt einfach nur mal E-Mails. Ich bekomme irgendwie Post. Da gucke ich doch, ist die wirklich von demjenigen, der da oben als Name eingeblendet ist? Stimmt die E-Mail-Adresse überein? Ich bin der festen Überzeugung, weil ich das auch zum Beispiel bei meinen Eltern sehe. Die werden 85 dieses Jahr. Mein Vater ist inzwischen darauf trainiert, wenn er mal was Merkwürdiges noch entdeckt, das ist dann nur noch die

07:55 - 08:17

Rudolf: Restmenge, dann ruft er mich an. Oder er macht ein Foto von dieser E-Mail und schickt die mir mal, dass ich raufgucken kann, wenn er unsicher ist. Und das finde ich ist so ein das beginnt damit gucken, lesen, nachdenken. Dann kannst du aus meiner Sicht 90 Prozent, wenn nicht sogar 99 Prozent von zukünftigen zwischenfällen vermeiden.

08:17 - 09:00

Ben: Finde ich total spannend. Ich mag den Begriff Cyberhygiene oder Security Hygiene oder wie auch immer eigentlich auch deswegen ganz gerne, weil wenn wir uns als Menschen nicht so hygienisch verhalten, dann fangen wir irgendwann zu stinken. Wenn wir unsere IT nicht sauber halten, dann stinkt die auch. Merken wir da mit Ransomware-Vorfällen. Und für mich sind halt, ich glaube der wichtigste Hygienefaktor für mich im Bereich IT ist eben das Thema Patchen. Also das auf den neuesten Versionsständen halten von meiner Hardware, Software, was auch immer. Also selbst meine Hardware muss ich heutzutage ja patchen, öfter als mir lieb ist.

09:01 - 09:50

Rudolf: Das ist insofern ein spannender Bereich, weil er eigentlich tief technisch ist und mit dem Nutzer gar nichts zu tun hat. Ich denke gerade an einen Disney-Aufklärungsfilm. Der muss das den 40er-, 50ern gewesen sei. Da ging es interessanterweise darum, Pharma. Ganz banal nur der Schwarz-Weiß-Vergleich. Früher hat man nahe an seinem Feld gewohnt. Man hatte noch keine Kanalisation und fließendes Wasser. Wo ist man hingegangen, seine Sachen loszuwerden? Merkwürdigerweise ins Feld, denn da hat einem keiner zugeguckt. Was folgt da draus? Wo sind dann die Keime gewesen? Ach, da, wo ich danach was zum Essen ernte, interessanter Kreislauf ist dort

09:50 - 10:31

Rudolf: entstanden. Im Prinzip ist das das Gleiche in der Technologie. Die Prinzipien sind überall die gleichen. Jetzt sind es auf dem Feld die Keime gewesen, die den Menschen angreifen. In der Technik geht es darum, dass es ein Geschäftsmodell ist, die dort Keime bauen, die dich angreifen, dein Geld abzusaugen. Deswegen ist es so wichtig, dass Ausbildung dort stattfindet und dass das Wissen dann in Verhaltensweisen in die Organisation reingetragen wird. Das wird ein spannender Punkt sein, dass wir uns über diese Verhaltensweisen und die Verhaltensänderung unterhalten. Denn darauf haben die Menschen.

10:32 - 11:04

Ben: Ja, da bin ich voll bei dir. Ich verstehe auch, dass du sagst, Patchen ist ein sehr technisches Thema. Ich hätte dir vor etlichen Jahren auch noch zugestimmt. Mittlerweile, wo wir immer mehr so zu so Smartphone- Monstern verkommen, Würde ich aber sagen, jedem ist bewusst, dass da ständig im App-Store eine rote 1 oder eine rote 50 oder sowas ist, was ja schon drauf hinweist, ich hab da was zu tun. Das hab ich jetzt vielleicht auf meinem Computer nicht so oder vielleicht doch oder was auch immer, Aber selbst mein Browser sagt ja bitte starte mich mal neu ein

11:04 - 11:45

Ben: neues Update einzuspielen. Trotzdem ist es was, was ich machen muss und was, was genauso nervig oder unangenehm ist wie Zähne putzen. Also ganz im Ernst, wir putzen gerne die Zähne. Es verschenkt der Lebenszeit am Ende des Tages. Man kann dabei auf einem Bein stehen und noch irgendwie ein bisschen Gleichgewichtssinn austrainieren oder so. Aber eigentlich macht man das, weil man das eingepläut bekommen hat, dass man das tun soll. Und ich glaube, der größte Punkt, woran wir sehen, dass wir in Security-Hygiene, Cyber-Hygiene, was auch immer, nicht so gut sind, sind die Nachrichten, wenn wir dann wieder sehen, Unternehmen

11:45 - 12:22

Ben: XYZ hat einen Ransom-Werfforfall. Also wurde von irgendjemanden verschlüsselt. Und wenn wir dann auch wieder ganz massiv hören Die Unternehmen sagen ja alle, das waren hochtechnische Angriffe, State Actors, irgendwelche Ganz kriminellen Gesellschaften, die mit ganz gemeinen Exploits irgendwas getan haben. Aber in Wahrheit ist es ja ganz oft, wenn man das übertrieben überträgt in die richtige Welt, so dass jemand zwar ein Haus hat, aber keine Haustür eingebaut hat. Oder das Schloss vergessen hat. Und wenn dann einer einbricht und das mit nach draußen nimmt, dann war das keine organisierte Kriminalität, dann war das

12:22 - 13:02

Rudolf: meine Dummheit. Das ist ein schönes Beispiel. Ich denke gerade an einen Freund von mir, der hat einen Schlüsseldienst. Der hat mir vor 15 oder 20 Jahren schon gesagt, klar, deine Haupteingangstür wird gesichert wie Fort Knox. Wo steigen die dann ein? Durchs Küchenfenster. Das ist einfach die Ecke, hat quasi Nullsicherung, ist vielleicht noch weniger einsichtig. Da geht es dann lang. Im Prinzip, da kommen wir zu deinen Schwachstellen zurück, in der Technik ist es genauso. Ich vermute, wenn ich mir die Unterhaltung mit Freunden und Familie anschaue, es ist für die Menschen, die nicht so sehr wie wir in

13:02 - 13:23

Rudolf: der Betriebs-IT drinstecken, ist es nicht transparent. Man sieht das ja nicht. Das dicke Schloss, die stabile Tür, da hat man noch so einen Effekt. Das sieht man vielleicht sogar von außen, wenn man an dem Haus vorbeigeht. Du kannst an einem Computer, an einem Mobilgerät, doch gar nichts erkennen, nur ungefähr die

13:23 - 13:23

Ben: Marke.

13:23 - 13:24

Speaker 4: Das war's

13:24 - 14:03

Rudolf: dann schon. Ich denke jetzt an meine Mutter. Die ruft mich an und fragt, ob sie das letzte Browser-Update installieren soll. Meistens sage ich, ja klar, dafür ist es ja gedacht. Auf der anderen Seite, wenn wir jetzt an uns als auch manchmal IT- und Betriebsparanoide denken, eigentlich müsste man ausprobieren, ob das ein gutes Update ist, weil jede Softwareänderung auch manchmal wieder Probleme nach sich führt. Ich will es jetzt nicht dramatisieren. Punkt bleibt, da sehen wir eine Ausbildungslücke. Warum wurde es den Menschen, wie mit deinem Appstore-Beispiel, nicht erklärt? Das kenne ich nur aus unserer Community selbst. Das können

14:03 - 14:09

Rudolf: wir doch mal unseren Mitmenschen, Freunden und Familie auch mal erläutern. Dauert

14:10 - 14:53

Ben: zehn Minuten, wenn überhaupt. Aber sinnvollerweise würden wir in der Schule schon mit anfangen. Und uns in der Schule schon erwehren Nachwuchs schaffen. Wie auch immer das ist. Bewussten Nachwuchs schaffen, sensibilisierten Nachwuchs, der auf das Thema schon mal eingeht. Ich sehe noch einen weiteren wichtigen Faktor im Bereich, Cyberhygiene. Und zwar, okay, ich hab nicht gepatcht, ich hab mir die Hände nicht gewaschen. Blöd. Jetzt hab ich die Läuse bekommen oder so. Dann, ähm, was mach ich dann? Entweder Ich hab einen Plan und vielleicht so was wie ein Backup. Ich hab eine Sicherung meiner Daten irgendwo anders. Oder ist

14:53 - 14:57

Ben: das halt alles weg? Und was mach ich denn, wenn meine ganzen Urlaubsfotos weg sind?

14:59 - 15:37

Rudolf: Backup ist was für Feiglinge, hab ich früh gelernt. Bin ich immer noch zum Schmunzeln? Oder das ist so ungefähr wie Rate 1. Dann hast du irgendwie den Fehler im Datalsystem auf die andere Seite repliziert. Es erinnert mich da dran, die meisten Menschen haben ja mit sich selbst leider keine Orientierung in vielerlei Hinsicht. Und Da kommen wir zu dem zurück, was mir Spaß macht, mit Menschen nicht nur Technik, sondern Orientierung zu geben. Wo bist du, wo willst du hin, Was willst du erreichen? Das sehe ich bei Cyberhygiene genauso. Das korreliert sofort mit dem Ansatz in der Schule.

15:37 - 16:04

Rudolf: Du musst jemanden haben, der in der Lage ist, nicht nur Kapitän an Deck zu sein, sondern auch Lotse. Es muss die Möglichkeit sein, dass diese Person die Rolle, Lotse zu sein, einnehmen darf. Wenn du jetzt in der Spring-wieder-in-die-Schule zurück jemanden hast, der eigentlich Hobbyanwender ist, den würdest du jetzt in einem großen Containerhafen den Überseefrachter einparken lassen? Ich glaube nicht.

16:04 - 16:14

Ben: Nee, eher nicht so gerne. Aber wieder zurück in die reelle Welt, also die analoge. Wie viele Haustürschlüssel hast du?

16:15 - 16:20

Rudolf: Für meine Wohnung und das Haus, tatsächlich brauch ich nur einen. Da gibt's ein Schließsystem.

16:21 - 16:26

Ben: Es gibt nur einen einzigen Schlüssel. Deine Kinder haben nicht noch einen Schlüssel.

16:26 - 16:34

Rudolf: Das meintest du, ich dachte, Für die Kinder gibt es dann noch einen eigenen Schlüssel.

16:34 - 16:37

Ben: Es gibt nicht noch einen Ersatzschlüssel bei den Eltern?

16:40 - 16:49

Rudolf: Bei den Eltern schon. Auch die Ex-Frau hat letztendlich über die Kinder Zugriff auf die anderen Schlüssel, die sie eigentlich selber nicht mehr nutzt.

16:49 - 17:21

Ben: Aber was sind diese Schlüssel? Backups. Und da haben wir quasi Backups zu unseren Haustüren wieder, die vielleicht gut gesichert sind. Auf der anderen Seite haben wir auf unseren Computern Erinnerungen von unseren Kindern. Wir haben unsere ganzen Arbeitszeugnisse. Weißt du, Herrgott, was? Und wer hat davon Backups? Weil da kann ja nichts passieren. Was sollte da schon passieren? Das ist übrigens einer meiner Lieblingssprüche überhaupt. Warum sollte mich jemand hacken? Ich bin so unwichtig, ich hab nichts zu verbergen. Das

17:22 - 18:14

Rudolf: höre ich immer noch öfter, nein, immer noch oft. Das habe ich nie verstanden. Aus meiner Sicht, wenn das jemand für sein Unternehmen spricht, finde ich das grob fahrlässig, gnadenlos unterschätzt. Das Unternehmen hat eine Wertschöpfungskette und verdient Geld. Wenn die nicht funktioniert, verdient da keiner mehr Geld. Mir ist aufgefallen beim Nachfragen, die Menschen glauben, der IT-Zwischenfall, das Cyberproblem ist, wie wenn bei mir zu Hause jemand einbricht. Da geht er gezielt hin und bricht ein, weil er weiß, da ist etwas zu holen. Das ist im Bereich Cyber komplett falsche Annahme. Diese Angriffe sind automatisiert, letztendlich nach einem technologischen

18:15 - 18:45

Rudolf: Geschäftsmodell. Dort werden technologische Schwachstellen ausgenutzt. Als ob jemand einen Scanner hätte und durch ein Wohngebiet von außen durch Vorbeifahren scannen könnte. Welche Tür geht am einfachsten auf? Die nehme ich dann. Egal, was dahinter sein könnte. Alleine diese Übersetzung zwischen analoger Welt und Technologie, die macht ja Also, hab ich in der Erklärung noch irgendwo gefunden. Das mach ich dann, wenn ich mit jemandem mal darüber sprechen kann.

18:46 - 18:46

Speaker 4: Find ich total gut.

18:46 - 19:18

Ben: Im Bekanntenkreis haben wir auch schon darüber diskutiert, warum denn, warum es so böse Menschen gibt, die Krankenhäuser quasi vom Netz nehmen oder so oder die angreifen. Und wo ich immer sage, das sind keine bösen Menschen, also doch sind böse Menschen, die irgendwann angreifen, da überhaupt, Aber die haben nicht dieses Krankenhaus gezielt angegriffen oder in meisten Fällen nicht. Vielleicht war da mal ein politischer Mensch, den man irgendwie die Stromversorgung abstellen wollte. Aber sagen wir dahingestellt, Grundsätzlich bin ich da bei dir. Das sind keine gezielten Angriffe.

19:18 - 19:19

Rudolf: Da fährt

19:19 - 19:31

Ben: einer mit dem Schleppnetz durch die Ostsee. Genau. Wenn ich den nicht schnell genug wieder rausgeholt hab, dann verendet der halt. Und dann ist halt dieses blöde Krankenhaus, dieses Kommunale,

19:31 - 19:31

Speaker 4: was sich gedacht hat,

19:31 - 19:52

Ben: wir hängen unseren Exchange-Sarre ins Internet und AD auch. Das ist dann halt der Wahl, der da leider verendet ist, bevor ihn jemand aus dem Netz holen konnte. Und ganz oft kriegt man ja auch mit oder hat man mitbekommen, wollten die Ransomware-Gruppen ja gar nicht mehr so viel Geld von denen. Oder haben die auch umsonst wieder entschlüsselt? Oder haben es versucht, manchmal funktioniert es dummerweise nicht?

19:52 - 20:34

Rudolf: Da erkennen wir wieder eine Verhältnismäßigkeit. Mein Eindruck über die Jahre, die ich mich mit IT beschäftige, ist, dass die meisten Menschen die Möglichkeiten gar nicht anwenden können. Klar, nach Statistik sind wahrscheinlich auch 98% Benutzer. Die anderen 2% sind die, die das technologisch bereitstellen. Ich muss von weniger Leuten der großen Masse erklären, wie man damit umgeht. Wenn jetzt die zwei Prozent sich damit auch nur teilweise auskennen und in wahren Vorstellungen leben, was soll denn dann bei rauskommen? Dann gibt es eben ab und zu diesen Schleppnetzeffekt. Jetzt gehe ich mal sogar so weit und behaupte, die Cyberkriminalität in

20:34 - 21:10

Rudolf: den letzten Jahren, ich könnte mir vorstellen, die nutzen auch CRM-Systeme. Wir wissen inzwischen ziemlich genau, dass es auch eine mehrteilige Arbeitsweise ist, die dort stattfindet. Der eine entwickelt ein Stückchen Software, die schwache Haustür herauszufinden. Der nächste stellt das Auto zur Verfügung, mit dem man durch die Wohngebiete fahren kann. Und so weiter und so fort wird das arbeitsteilig aufgeteilt. Genauso wie in unserer anerkannt positiven Seite der Welt. An sich versuchen die auch nur, etwas zu verkaufen. Man könnte sogar so weit gehen, wie war es mit dem Spruch an der Börse? Dein Geld ist nicht weg, es ist

21:10 - 21:38

Rudolf: nur woanders. Natürlich ist das hier durch Definitionen an Gesetzmäßigkeiten Illegal, was dort läuft. Aber an sich ist die Idee dahinter ein ganz normaler Verkaufsprozess, ein Schlupfloch zu finden, einen Euro abzugreifen. Ich kann das mit einem gewissen Schmunzeln sagen, das sehe ich eher als fast satirischen Kommentar. Nur, vielleicht sollten wir uns das mal auch als Menschen bewusst machen und dann besser damit umgehen.

21:39 - 22:13

Ben: Ja, total spannend. Ich hab letzte Woche auf LinkedIn, ich weiß gar nicht mehr von wem, sonst würde ich den Namen auch nennen, ein schönes Bild oder Zitat, wie auch immer, es ist kein Zitat, weil ich es nicht richtig nachwiedergeben kann, gelesen. Und zwar war da die Aussage, dass diese ganzen Ransomware-Angriffe ja eigentlich nur Krisensimulationen sind, aber halt echte. Und dann sehe ich vielleicht bei mir, wie gut mein Krisenmanagement funktioniert, weil wenn ich das schon mal geübt habe, dann ist so ein Angriff, okay, dann wird halt ein Server verschlüsselt oder zwei, also ein kleiner Teil von Infrastruktur,

22:13 - 22:49

Ben: aber es wird nie der große Big Bang passieren. Es wird nicht bei mir alles in die Krütze gehen. Und das fand ich auch ein schönes Bild, das passt da auch ganz gut dazu. Ich würde aber gerne noch mal zurück zu dem Bild kommen wollen, unsere IT stinkt oder unser Umgang mit der IT stinkt. Mir persönlich kommt noch ein dritter Punkt neben Patchen, Backup in den Sinn, der bei vielen Anwendern, aber auch fast noch mehr bei den ganzen Admin-Kollegen, die sich das Thema kümmern, sehr stinkt und der gerade, wenn es bei den Admin-Kollegen stinkt, dafür sorgt, dass

22:49 - 22:52

Ben: alles in die Krutze geht. Hast du eine Idee, worauf ich hinaus will?

22:52 - 23:49

Rudolf: Passworte etwa? Ja! Unser Dauerbrenner, definitiv. Zugangskontrolle letztendlich. Ich mach wieder so eine analoge Brücke. Nehmen wir unsere Baustellen, wir nehmen Häuser, die gebaut werden, Gebäudeverwaltung, Schließsysteme. Da, wo ein Mensch physisch dran beteiligt ist, werden aus meiner Sicht viel genauer und penibler Konzepte entwickelt. Wer wo sich bewegen darf, in Bezug auf die IT und die Weiterentwicklung der Möglichkeiten dort, wird da nicht so drauf geachtet. Mein Eindruck ist manchmal, dass die Firmen, die letztendlich die Technologie benutzen, leider nicht so viel Wert darauf legen, dass die Mitarbeiter, die die Technologie aufbauen, auch entsprechend ausgebildet sind. Es braucht einfach Zeit,

23:49 - 24:34

Rudolf: sich damit zu beschäftigen, was jetzt an dem nächsten Smart-Home-Dings auch wieder zu Hause noch machbar ist. Das muss ich auf meiner beruflichen Seite genauso machen. An sich ist die Weiterentwicklung der Technologie Die Basis dafür, dass diese Cyber-Geschäftsmodelle existieren. Denn was machen die denn? Technologie wird aufgebaut. Und dann haben sich Menschen überlegt, wie kann ich daraus einen Vorteil für mich erlangen? Wie kann ich Geld verdienen, indem ich kriminelle Energie einsetze, jemanden aus seiner Wertschöpfungskette etwas zu klauen? Das ist bewusst sehr abstrakt formuliert. Es kann sein, dass ich versuche, dein Unternehmen lahmzulegen, dass ich dich erpressen möchte. Es

24:34 - 25:03

Rudolf: kann aber auch sein, dass ich irgendwelche E-Mails schreibe und die passenden Personen auffordere, mal Geld auf ein bestimmtes Konto zu überweisen. An sich sind das ganz banale Dinge, die auch in der analogen Welt existieren. Jetzt muss ich gerade daran denken, dass mein Onkel mich auch mal angerufen hatte und fragte, ob ich in Bremen sei und ob ich dort eine Wohnung kaufen möchte und mir Geld fehlen würde. Wie das weitergeht, können wir jetzt hochrechnen.

25:04 - 25:40

Ben: Ja, ich sehe vielleicht noch mal eine steile These, die uns auf jeden Fall in meiner Welt, in Deutschland, auch betrifft. Bestimmt in anderen Teilen der Welt auch, und ich bin da vielleicht zu kritisch. Aber wir wollen ja hier alles perfekt machen. Und lieber brauchen wir Jahre und haben dann was Perfektes, als dass wir die Sachen erst mal funktionierend machen. Blöderweise, wenn ich jetzt heute sage, ich will irgendwas bauen und ich brauche fünf Jahre, damit das perfekt ist nach dem Stand von heute, dann ist das schon wieder, wenn es denn dann in fünf Jahren da ist, fünf

25:40 - 26:07

Ben: Jahre alt von der Technologie. Als ganz konkretes Beispiel, bei uns im CAF ist jetzt seit drei Jahren wird eine Brücke gebaut, Über eine Bahn-Schiene. Das dauert seit drei Jahren, weil, keine Ahnung, weil es halt so lange dauert. Wir haben alle während der Corona-Pandemie lernen dürfen oder mitbekommen oder erzählt bekommen, dass China dann irgendwie in vier Wochen Krankenhäuser für 20.000 Leute hinstellen kann.

26:07 - 26:08

Rudolf: Und Schlughäfen.

26:08 - 26:40

Ben: Die dann aber vielleicht nur 20 Jahre halten. Die Frage ist nur, würde ich denn lieber eine Brücke wollen, die ich 20 Jahre befahren kann und die ich dann innerhalb von vier Wochen austausche. Oder will ich eine Brücke, die ich 40 Jahre befahren kann und die dann fünf Jahre fürs Neubaum brauche. Und wo ich dann fünf Jahre irgendwie den Verkehr, und das ist sehr viel Verkehr, durch unsere 20.000 Einwohner-Stadt über die Hauptverkehrsata quasi umleiten muss und durch Leute an Wohnenstraßen. Und ich glaube, Da haben wir ein Problem. Wir wollen zu viel perfekt machen, anstelle von, dass

26:41 - 27:29

Rudolf: wir die Sachen funktionabel machen. Mein Eindruck ist, dass wir das Perfekte ausführen, als Grund vorschieben, nicht anzufangen. Wenn ich zurückdenke, warum habe ich Physik studiert? Weil ich mich nicht festlegen wollte, einen bestimmten Ingenieur zu studieren. Ich weiß noch, Ich habe das TU-Vorlesungsverzeichnis durchgeblättert und überlegt, Spezialist für Optokoppler. Weiß ich, ob das mein Lieblingsberuf wird? Nein. So bin ich zurückgegangen und habe gemerkt, so was Konzeptionelles. Mit Physik könne ich Mathe, Chemie, Biologie, alles einbeißen. Ich lerne die Natur kennen und Probleme zu lösen. Ich lerne auch zu schauen, was geht es bei dem Problem. Kann ich da ein

27:29 - 28:09

Rudolf: Muster erkennen? Kann ich das versuchen zu beschreiben? Deswegen haben wir in der Physik gelernt, dass viele unterschiedliche Blickwinkel, unterschiedliche Modelle zur Folge hatten. Warum wird denn das nicht in unserem täglichen Leben auch angewandt? Also ich wasche mir doch mit Seife die Hände und nicht eine Drahtbürste, weil das ein cooles Reinigungsmittel ist. Da passe ich das auch an. Das könnte ich bei der Technologie genauso machen. Das könnte ich auch bei der NABAN-Brücke machen. Wenn man sich überlegt, wir müssen die Brücke modernisieren, was haben wir für Möglichkeiten? Dann würde man auf die Idee kommen, die deutsche Ingenieursvariante versus

28:09 - 28:14

Rudolf: die chinesische Variante auszuwählen. Dazwischen könnte ich doch mal navigieren, das könnte

28:15 - 28:39

Ben: ich doch abwägen. Risikoorientiert, nach dem Motto, ich hab draußen im Sandkasten gespielt, Wasser reicht, vielleicht ein bisschen Seife. Oder ich bin hier hingefallen und in den Kuhfladen rein. Deswegen infiziere ich mir die Hand vielleicht mal oder ich habe einen Baum gefasst und habe alles voll mit Harz, dann hole ich vielleicht eine Drahtböste raus, dann muss ich auch schrubben. Also ich muss es ja angepasst auf die jeweilige Gegebenheit machen.

28:39 - 28:40

Speaker 4: Das finde

28:40 - 28:55

Ben: ich ganz schön. Das macht es auch wieder rund. Ich weiß nicht, wir können ja noch mal versuchen, einen Fazit zu ziehen, was man denn so wo denn IT alles stinken könnte oder was Cyberhygiene so gefährlich macht. Willst du? Soll ich? Fang du an.

28:56 - 29:27

Rudolf: Ich fange gerne mal an. Cyberhygiene adressiert für mich hauptsächlich den Benutzer. Die Ausbilder sind die, die die IT bereitstellen und die Konzepte, wie man denn sicher mit IT umgeht, die müssen für das jeweilige Unternehmen definiert werden. Und Das erwarte ich so ähnlich wie mit der Brücke. Das passende Konzept müssen die, die die IT bereitstellen, für die, die diese benutzen, aufstellen und dann ausbilden und für Fragen und Antworten und Trainings zur Verfügung stehen.

29:28 - 29:57

Ben: Sehr gut. Ich würde noch mal ein kleines Akronym mitgeben wollen an alle die uns hier zuhören. PDP, Pätschen, Backup, Passwort Hygiene. Nein, egal. Hat auf jeden Fall viel Spaß gemacht, aber ich werde dich nicht entlassen bevor du mir meine Lieblingsfrage beantwortet hast. Und zwar Rudi, was ist denn für dich oder stellen wir es anders? Wenn Cybersicherheit ein Tier wäre, welches wäre es und warum?

30:02 - 30:02

Speaker 4: Ich habe gerade an

30:02 - 30:04

Rudolf: den Lux gedacht. Weil der so gut riecht? Der kann gut riechen.

30:05 - 30:07

Ben: Der ist schnell.

30:12 - 30:31

Rudolf: Der soll ganz clever sein. Der kann supergut hören. Damit kann er sich seiner Zielgruppe, das ist die, die er wahrscheinlich frisst, weil er keinen Lehrerauftrag hat, er kann sich seiner Zielgruppe angepasst widmen. Er ist unsichtbar und dann aber effizient zur Stelle.

30:32 - 30:40

Ben: Das finde ich eine super Antwort, die habe ich bislang auch noch nie gekriegt. Vielen lieben Dank und bis zum nächsten Mal. Tschüss.

31:00 - 31:15

Speaker 4: Das war's für heute. Bis zum nächsten Mal. SWR 2020

In der heutigen Episode des Infosec Theaters unterhalten wir (Meltem und Ben) uns mit dem cleveren Benjamin Börzel über ein zentrales Thema: Backups. Benjamin, der seit seiner Kindheit in der IT-Welt zuhause ist und nun in der IT-Security tätig ist, teilt seine Erfahrungen und praktischen Tipps rund um das Thema Datensicherung.

Wir diskutieren, warum Backups so wichtig sind und wie man sie effektiv umsetzt. Benjamin erklärt verschiedene Methoden, um Daten zu sichern, sei es über externe Festplatten, Cloud-Dienste oder Netzwerkspeicher. Wir sprechen auch über die Bedeutung von regelmäßigen Backups, das Testen der Wiederherstellung und die Wichtigkeit von Offline-Backups, um sich vor Bedrohungen wie Ransomware zu schützen.

Ob es um persönliche Daten wie Fotos und Dokumente oder um geschäftliche Informationen geht – wir beleuchten, wie man durch einfache Maßnahmen sicherstellen kann, dass wichtige Daten nicht verloren gehen.

Hört rein und erfahrt, wie man mit einer großen Portion Selbstironie und praxisnahen Ratschlägen die Datensicherung im Alltag verbessern kann!

In der heutigen Episode des »Infosec Theaters« unterhalten wir (Meltem und Ben) uns mit der außergewöhnlichen Lia Fey über ein wichtiges Thema: Awareness. Lia, die leidenschaftliche Musikerin und Buddhistin, teilt ihre Erfahrungen und Einsichten aus ihrer Arbeit und ihrem Leben.

Wir diskutieren, was Awareness im Kontext der Informationssicherheit bedeutet und warum sie so entscheidend ist. Lia erklärt, wie man sich der Risiken in der digitalen Welt bewusst wird und welche Maßnahmen man ergreifen kann, um sich zu schützen. Wir sprechen über die Bedeutung von Sensibilisierung im privaten und beruflichen Umfeld, das Erkennen von Phishing-E-Mails und die Wichtigkeit von kontinuierlichem Lernen und Üben.

Ob es um alltägliche Sicherheitsmaßnahmen oder spezifische Schulungen in Unternehmen geht – wir beleuchten, wie man durch gezielte Awareness-Strategien die IT-Sicherheit erhöhen kann.

Hört rein und erfahrt, wie man mit einer großen Portion Selbstironie und praxisnahen Ratschlägen die Awareness im Alltag verbessern kann!