HiWay – Wegweiser für Digitalisierung und Sicherheit Archiv

Ein privates ChatGPT-Abo wirkt erstmal harmlos. Viele Mitarbeitende nutzen es allerdings längst auch für die Arbeit, ohne dass ihr Unternehmen davon weiß. Zum Risiko wird diese Schatten-KI, sobald vertrauliche Informationen im Chatfenster landen. Wie schnell das passiert, zeigte der Fall bei Samsung. Dort haben Beschäftigte 2023 Quellcode und Konstruktionspläne für Chips in ChatGPT hochgeladen. Viele Unternehmen sperren als Reaktion Chatbot-Seiten. Das verlagert das Problem allerdings nur auf das private Smartphone. Wichtiger ist die Frage, welche Daten in die KI gelangen. Bei Kundendaten oder Bürgerdaten beispielsweise handelt es sich um einen Sicherheitsvorfall. Um das richtig einzuordnen, muss man wissen, welche KI im Unternehmen überhaupt im Einsatz ist. Genau hier setzt die neue HiWay-Folge mit Jaqueline Nayis und Benjamin Neweling an. Es geht um die Frage, warum eine KI-Richtlinie allein Schatten-KI nicht verhindert und was ein Informationssicherheits-Managementsystem (ISMS) nach ISO/IEC 42001 anders macht. Außerdem wird deutlich, warum die Bestandsaufnahme bei den Fachbereichen beginnt und nicht in der IT. Wer den tatsächlichen Bedarf kennt, kann den Mitarbeitenden ein passendes Angebot anbieten, das sie auch wirklich nutzen. Moderation: Jaqueline Nayis

Verschlüsselte Daten gelten als sicher. Doch Quantencomputer könnten genau diese Annahme infrage stellen. Sie wären mit Shors Algorithmus grundsätzlich in der Lage, asymmetrische Verschlüsselungs- und Signaturverfahren anzugreifen, die heute etwa für Zertifikate, digitale Unterschriften und sichere Kommunikation eingesetzt werden. Für Unternehmen ist das besonders relevant, wenn Informationen langfristig geschützt bleiben müssen. Dazu zählen etwa Geschäftsgeheimnisse, Gesundheitsdaten oder vertrauliche Daten in der Cloud. Ein Bauplan, der auch 2040 noch geheim sein soll, ist deshalb schon heute in Gefahr. Bei einer Patientenakte ist es ähnlich. In dieser Folge mit Lena Morgenroth und Marvin Sprey geht es um Post-Quanten-Kryptografie und die Frage, weshalb sich asymmetrische Verfahren nicht einfach vollständig durch symmetrische Verschlüsselung ersetzen lassen. Außerdem wird deutlich, warum Organisationen ihre kryptografischen Verfahren jetzt erfassen sollten. Wer weiß, wo welche Kryptografie eingesetzt wird, kann Risiken bewerten und die Umstellung auf quantensichere Verfahren gezielt vorbereiten.

Stell dir vor, ein Schüler gibt in zehn Sekunden einen perfekten Aufsatz ab. Keine Rechtschreibfehler, saubere Argumentation, sprachlich überzeugend. Die Frage ist nur: Hat er dabei irgendetwas gelernt? Genau darüber wird gerade an Schulen gestritten. Dr. Julia Freudenberg ist CEO der Hackerschool und seit Jahren eine der prägenden Stimmen, wenn es um Kinder, Jugendliche und digitale Bildung geht. Im Gespräch mit Jaqueline Nayis, die selbst Lehrkräfte im Umgang mit KI schult, geht es um die Frage, ob KI junge Menschen wirklich dümmer macht oder ob sie vor allem die Schwächen eines Bildungssystems sichtbar macht, das sich nur langsam bewegt. Die beiden sprechen über das reale Risiko, dass Kinder Fähigkeiten verlernen, wenn KI ihnen das Denken abnimmt, und zugleich über die neuen Fähigkeiten, die entstehen können, wenn man sie richtig einsetzt. Es geht um veränderte Prüfungsformate und das überraschende Comeback der Handschrift, um die Verantwortung von Schule und Elternhaus und um die Frage, was Kinder auch in Zeiten von KI unbedingt selbst können müssen. Beim Thema Föderalismus in der Bildung ringen die beiden offen um die richtige Antwort und kommen zu einem gemeinsamen Schluss: Es braucht mehr Zusammenarbeit im Sinne der Kinder. Am Ende bleibt ein Bild, das Julia mitgibt: Man muss sich nicht zwischen Treppe und Rolltreppe entscheiden. Man kann auch auf der Rolltreppe laufen. Moderation: Jaqueline Nayis

Mehr Frauen anzustellen allein reicht nicht. Dafür zu sorgen, dass sie bleiben und aufsteigen, ist mindestens genauso wichtig. Hier setzt Linda Schwarz an. Als Security Consultant in der digitalen Forensik kennt sie die IT-Sicherheit als eine Branche, in der Frauen deutlich in der Unterzahl sind. Im Gespräch mit Jaqueline Nayis erklärt sie, was Unternehmen verändern müssen, damit aus dem Einstieg eine langfristige Karriere werden kann. Ein zentraler Punkt ist die Unternehmenskultur. Wer weniger laut auftritt, muss bei Entscheidungen trotzdem Gehör finden. Auch Arbeitsbedingungen spielen eine wichtige Rolle. Flexibilität und Teilzeit dürfen kein Hindernis für die berufliche Entwicklung sein. Netzwerke und Mentoring schaffen zudem Räume, in denen Frauen Erfahrungen austauschen und offen Fragen stellen können. Außerdem sprechen die beiden über die gläserne Decke: Frauen kommen in die IT, aber selten in die Führungsebene. Eine Folge darüber, was Frauen in der IT nicht nur hereinholt, sondern nach vorn bringt und warum davon am Ende die ganze Branche profitiert. Moderation: Jaqueline Nayis

Viele Unternehmen glauben, mit einem Zertifikat sei die Sache erledigt. Martin Karl Junghans prüft seit 2018 kritische Infrastrukturen und erlebt regelmäßig den Moment, in dem diese Annahme kippt: Er fragt nicht nach Dokumenten, sondern danach, wie die Firewalls konfiguriert sind und ob die Systeme wirklich gehärtet sind. Denn Papier produziert keine Sicherheit. Im Gespräch mit Valerie Knapp erklärt er, was kritische Infrastrukturen überhaupt sind und warum sie unseren Alltag bestimmen, von der Strom- und Wasserversorgung über Krankenhäuser bis zum Nahverkehr. Er erzählt von Anlagen, die kaum jemand von innen sieht: OP-Bereiche in Universitätskliniken, autonom fahrende U-Bahnen, eine 80 Meter hohe Talsperre, die allein durch ihr Eigengewicht steht. Und von der Nebentür in einem kritischen Betriebsraum, in der seit 30 Jahren kein Schließzylinder saß, ohne dass es jemandem aufgefallen war. Martin räumt außerdem mit einer verbreiteten Sorge auf: Bei einer KRITIS-Prüfung kann man nicht durchfallen. Am Ende steht eine Mängelliste, die eher eine Hausaufgabenliste ist. Und er erklärt, warum eine Prüfung für die Menschen, die diese Anlagen täglich am Laufen halten, auch etwas anderes bedeutet: dass ihre Arbeit endlich einmal gesehen wird. Moderation: Valerie Knapp

Cass Rebbelin wurde beim Talentwettbewerb des NIS-2-Congress als Deutschlands bester Pentester ausgezeichnet, kurz nach seinem Berufseinstieg bei HiSolutions. Angetrieben hat ihn dabei vor allem Neugier und die Frage, wie Systeme funktionieren und wo ihre Lücken liegen. Das zieht sich durch seinen Weg, von Excel-Makros in der Grundschule bis zu den Capture-the-Flag-Wettbewerben, über die er in der Cybersecurity gelandet ist. Im Gespräch mit Lena Morgenroth geht es um den Reiz dieser Fehlersuche und um den Moment, in dem aus dem Spiel Ernst wird. Bei solchen Wettbewerben weiß man, dass eine Lücke existiert und wird für das Finden mit Punkten belohnt. Im echten Pentesting-Auftrag weiß man das nicht und mit dem Finden fängt die Arbeit erst an: Empfehlungen, Priorisierung, Zeitmanagement und vor allem die Kommunikation mit dem Kunden, worauf einen kein Zertifikat vorbereitet. Was Cass bis heute antreibt, ist genau der Impuls, der ihn selbst einmal gepackt hat: Jemand hat ihm aus reiner Begeisterung gezeigt, wie die Dinge funktionieren. Dieses Weitergeben führt er heute fort, in Hackathons, internen Wissensrunden und einer selbst mitgegründeten studentischen Interessengruppe. Moderation: Lena Morgenroth

Melanie Heßler hat 16 Jahre im Einzelhandel gearbeitet, als Filialleitung, in der Fashion-Branche. Dann wollte sie etwas Neues, etwas, das ihren Kopf stärker fordert. 2018 entschied sie sich, Verwaltungsinformatik zu studieren, und vollzog damit den Wechsel vom Einzelhandel in die IT-Beratung für die digitale Transformation der öffentlichen Verwaltung. Im Gespräch mit Jaqueline Nayis erzählt Melanie, warum dieser Schritt eine der besten Entscheidungen ihres Lebens war, welche Fähigkeiten sie aus dem Einzelhandel mitgenommen hat und warum People Management am Ende in beiden Welten der Kern der Arbeit ist. Außerdem geht es um Frauen in der IT, die laut Bitkom nur 18 Prozent ausmachen, und um die Frage, warum diese Hürde für viele oft im Kopf beginnt. Eine persönliche Folge über Mut, Veränderung und darüber, dass ein Quereinstieg in eine technische Branche, auch ohne klassischen IT-Hintergrund gelingt. Moderation: Jaqueline Nayis

In dieser Folge von HiWay spricht Ann-Christin Ziaja darüber, warum Veränderung in IT- und Digitalisierungsprojekten selten an der Technik scheitert, sondern am Umgang mit den Menschen, die sie umsetzen sollen. Als Psychologin begleitet sie digitale Transformations- und Change-Prozesse in der IT- und Security-Beratung mit dem klaren Fokus auf Verhalten, Akzeptanz und Zusammenarbeit. Ann-Christin erläutert, weshalb Mitarbeitende Veränderungen zunächst als Betroffene erleben und warum nachhaltiger Wandel erst dann entsteht, wenn sie zu Beteiligten werden. Sie zeigt, wie Unsicherheit, Widerstände und Routinen sichtbar gemacht werden können, welche Rolle Klarheit und Sinn spielen und warum psychologische Perspektiven entscheidend sind, damit neue Tools, Prozesse und Rollen im Arbeitsalltag wirklich gelebt werden. Die Folge macht deutlich, wie Psychologie und komplexe IT- und Sicherheitsumgebungen ineinandergreifen, wo Change Management ansetzt und weshalb wirksame Digitalisierung immer auch Beziehungsarbeit ist. Moderation: Jaqueline Nayis

Wenn nach einem Ransomware-Angriff ganze Unternehmen verschlüsselt sind, ist meist das Active Directory vorher kompromittiert worden. In fast jeder Organisation läuft dieses System seit 20 und steuert, wer auf was zugreifen darf. Genau das macht es zum bevorzugten Ziel von Angreifern. Oliver Jäkel spricht mit Lena Morgenroth über ein technisches Thema, das gerade nicht im Trend liegt und gerade deshalb so relevant ist. Es geht um Default-Einstellungen, die auf schnelle Funktion und nicht auf Sicherheit ausgelegt sind, um Domänenadministratoren mit zu viel Macht und um die hybride Realität vieler Organisationen, in der Cloud-Strategien das alte On-Premises-System nicht ablösen, sondern ergänzen müssen. Oliver gibt konkrete Hinweise, wo Organisationen anfangen sollten: bei den administrativen Berechtigungen, bei Protokollen wie LDAP und Kerberos und bei der Frage, welche Dienste besser nicht ans Active Directory angebunden werden sollten. Eine Folge für alle, die wissen wollen, warum aus Auditorensicht Netzwerk und Active Directory ganz oben auf der Prioritätenliste stehen. Moderation: Lena Morgenroth

Jede Technologie hat ihren Moment. Zuerst kommt die Aufregung, dann die überzogenen Erwartungen, am Ende oft die Ernüchterung. Was davon übrig bleibt, ist meist weniger spektakulär, aber dafür substanziell. Genau diese Spannung beschäftigt Ronny Frankenstein, der bei HiSolutions das Innovationsteam leitet. Im Gespräch mit Valerie Knapp geht es um den Hype-Cycle als gedankliches Modell, um Lehren aus der Dotcom-Blase und um die Frage, was vom aktuellen KI-Hype tatsächlich bleiben wird. Welche Anwendungsfälle tragen wirklich, wo enden die Möglichkeiten der Technologie und welche regulatorischen Themen wie der AI-Act prägen den Umgang mit KI in Organisationen? Ronny erzählt außerdem, wie ein internes Reallabor Raum schafft, um neue Technologien praktisch zu erproben und welche Rolle das beim Aufbau echter Expertise spielt. Eine kompakte Folge über den Unterschied zwischen Mitmachen und Verstehen, zwischen kurzfristiger Aufmerksamkeit und langfristigem Nutzen. Moderation: Valerie Knapp

111 Bausteine und tausende Anforderungen. Der IT-Grundschutz soll Unternehmen, Behörden und kritische Infrastrukturen absichern. In der Praxis überfordert er jedoch genau die, die er schützen soll. Sebastian Reinhardt erklärt, warum viele Organisationen nicht wissen, wo sie anfangen sollen und was das wiederum für unsere IT-Sicherheit bedeutet. Nur 42% der kommunalen Verwaltungen setzen den IT-Grundschutz vollständig um. Der Rest bleibt zurück. Nicht aus Unwillen, sondern aus Überforderung. Verheerende Cyberangriffe wie auf Anhalt-Bitterfeld im Jahr 2021 zeigen, was passiert, wenn die Basis fehlt. Das BSI reagiert mit Grundschutz++ und reduziert die Anforderungen Unternehmen und Organisationen deutlich. Doch reicht das aus? Diese Folge zeigt, wo die Lücke zwischen Sicherheitsanspruch und Umsetzbarkeit liegt, wie der Weg in die Basisabsicherung funktioniert, und warum selbst das Minimum für viele schon zu komplex ist. Moderation: Jaqueline Nayis

Stefan Nees kennt Sicherheit von beiden Seiten: Nachrichtendienst und Wirtschaft. Heute ist er Vorstand bei HiSolutions. Sein Fazit: Technik ist notwendig, aber der Mensch bleibt die komplexeste Variable. Ohne Fehlerkultur ist IT-Sicherheit nur eine Illusion. Das Problem beginnt bei den Entscheidern: Sicherheit wird als Kostenfaktor gesehen, nicht als Notwendigkeit. Wer sie zu spät mitdenkt, zahlt doppelt. Mitarbeitende brauchen die Sicherheit, Fehler melden zu dürfen, ohne Sanktionen zu fürchten. Nur dann funktioniert Security in der Praxis. Eine Folge über die Lücke zwischen Bedrohungslage und Investitionsbereitschaft, über KI-gesteuerte Deepfakes als neuen Enkeltrick und darüber, warum Ransomware mehr für Cybersecurity-Awareness getan hat als jede Schulung davor. Moderation: Jaqueline Nayis.

Zwei gegen zwei. Der Vorstand kann sich nicht einigen, ob Lösegeld gezahlt werden soll. Während die Stunden verstreichen, drohen die Angreifer mit der Veröffentlichung sensibler Daten. 35 Forensiker stehen bereit – aber ohne Entscheidung können sie nicht handeln. Krisenmanager Lorenz Egender zeigt, wie er durch gezielte Eskalation den Vorstand zur Entscheidung bewegte und warum in Extremsituationen manchmal unkonventionelle Mittel nötig sind. Eine Folge über Führung unter Extremdruck, über die Schuldfrage, die Teams lähmt, und darüber, wann unkonventionelle Mittel gerechtfertigt sind. Moderation: Lena Morgenroth

In dieser Folge von HiWay spricht Andreas Barke über die sogenannte Cyber-Zeitenwende und die Frage, ob Deutschlands Cybersicherheit derzeit auf einer stabilen Grundlage steht. Zwar werden politisch zusätzliche Mittel angekündigt und Sondervermögen geschaffen, doch ein Blick in den Bundeshaushalt zeigt, dass der operative Kern der Cybersicherheit weiterhin unter Druck steht. Im Gespräch geht es um ein grundlegendes Problem der Cyberpolitik. Einmalige Investitionen und sichtbare Modernisierungsprojekte können Fortschritt demonstrieren, ersetzen aber keine dauerhaft abgesicherte operative Cybersicherheit. Aufgaben wie 24/7-Bereitschaften, präventive Maßnahmen und ausreichend Personal müssen langfristig abgesichert sein und im Kernhaushalt verankert werden. Andreas erklärt den Begriff der „aushöhlenden Modernisierung“ und zeigt, warum zusätzliche Zuständigkeiten, etwa durch neue Regulierung wie NIS-2, zusätzliche Mittel schnell wieder binden können. Gleichzeitig wird deutlich, dass digitale Souveränität nicht Abschottung bedeutet, sondern Handlungsfähigkeit und echte Wahlfreiheit in einem zunehmend geopolitisch geprägten digitalen Umfeld. Die Folge ordnet ein, warum Cybersicherheit mehr braucht als politische Ankündigungen und weshalb nachhaltige Finanzierung und operatives Handeln entscheidend sind, wenn Deutschland wirklich zu einer Cybernation werden will. Moderation: Jaqueline Nayis Hinweis: Die Folge wurde im Oktober 2025 aufgenommen und bezieht sich auf den Stand des Bundeshaushalts 2025; der Haushalt 2026 war zu diesem Zeitpunkt noch nicht final verabschiedet.