Keynote Informationssicherheit

Informationssicherheit ist kein reines IT-Thema, beschränkt sich nicht auf den digitalen Alltag. Vielmehr geht es um ein realistisches Fundament unseres geschäftlichen Handelns: wie wir unsere Existenz und das Kundenvertrauen schützen, warum 100 % Sicherheit eine Illusion ist und wie Angreifer versuchen, den Faktor Mensch mit psychologischen Tricks auch gerne mal ohne Technik auszuspielen.

• Kapitel 1

• Was ist Informationssicherheit eigentlich?: Die systematische Absicherung von Informationen jeglicher Art – ob als digitaler Datenstrom, auf physischem Papier in der Akte oder als Wissen in den Köpfen –, um die drei Kernschutzziele Vertraulichkeit (nur Berechtigte lesen), Integrität (Daten sind unverfälscht) und Verfügbarkeit (Systeme funktionieren bei Bedarf) lückenlos zu garantieren.

• Wie steht Informationssicherheit im Verhältnis zu IT-Sicherheit?: IT-Sicherheit ist lediglich die technische Umsetzungskomponente. Während die IT-Sicherheit die Firewalls konfiguriert und Server härtet, regelt die Informationssicherheit das gesamte organisatorische Fundament, wie etwa den physischen Zugang zu Gebäuden, die Verlässlichkeit von Lieferketten, Verträge und das menschliche Verhalten im Alltag.

• Wie steht Informationssicherheit im Verhältnis zu Datenschutz?: Datenschutz ist eine rechtliche Verpflichtung zum Schutz der Grundrechte natürlicher Personen und ihrer personenbezogenen Daten. Die Informationssicherheit liefert die zwingend notwendigen technischen und organisatorischen Maßnahmen (TOMs), um diesen Schutz überhaupt erst zu ermöglichen, geht aber weit darüber hinaus, da sie auch rein geschäftliche Werte wie Betriebsgeheimnisse, Quellcodes und Finanzdaten absichert.

• Wozu eigentlich? Was sind Ziele, Sinn und Zweck des Ganzen?: Ein gesundes Verständnis entwickeln – IT-Sicherheit und Datenschutz treffen nicht nur internationale Großkonzerne, sondern sind das Fundament jedes seriösen Geschäftsmodells.

• Schutz von Geschäftsgeheimnissen: Das eigene hart erarbeitete Know-how, strategische Pläne und wettbewerbsrelevante Informationen müssen proaktiv vor Spionage, unberechtigtem Abfluss und dem Zugriff von Konkurrenten geschützt werden.

• Schutz personenbezogener Daten: Verantwortungsvoller, gesetzeskonformer Umgang mit den sensiblen Daten von Kunden, Partnern und Betroffenen, um Vertrauensverlust und gravierende Schäden abzuwenden.

• Sicherstellung der Integrität der Daten: Daten müssen im System unverändert, manipulationssicher und verlässlich bleiben – dies ist insbesondere in der Buchhaltung und hinsichtlich der strikten Einhaltung der GoBD (Grundsätze zur ordnungsmäßigen Führung und Aufbewahrung von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form sowie zum Datenzugriff) eine fundamentale Pflicht.

• Haftungs- und Bußgeldrisiken: Vermeidung von existenzbedrohenden zivilrechtlichen Haftungsansprüchen, Schadensersatzforderungen und drakonischen behördlichen Bußgeldern durch eine rechtzeitige, lückenlose Absicherung.

• Schutz von Grund- und Menschenrechten: IT-Sicherheit besitzt eine fundamentale menschenrechtliche Dimension. In repressiven Systemen schützt sie Journalisten, Aktivisten und politische Minderheiten vor staatlicher Überwachung, digitaler Repression und politischer Verfolgung. Robuste Verschlüsselung und Datenschutz sind hierbei essenzielle Werkzeuge zur Wahrung der Meinungs- und Versammlungsfreiheit.

• Digitale Souveränität: Die Fähigkeit, die eigene digitale Infrastruktur, Software und Datenströme unabhängig, selbstbestimmt und ohne erpressbare Abhängigkeiten von einzelnen Tech-Giganten oder Staaten zu kontrollieren.

• Warum sollte ich sowas umsetzen, wenn ich nicht einmal Angestellte habe: Auch als Solo-Selbstständiger oder Kleinunternehmer ist Cybersicherheit Pflicht: Es geht um den existenziellen Schutz der eigenen wirtschaftlichen Lebensgrundlage vor Erpressersoftware sowie um die vertragliche und moralische Pflicht zum Schutz der anvertrauten Kundendaten. Davon abgesehen ist die steuerrechtliche Dimension von Vorfällen vielfach unterschätzt. Ich glaube nicht, dass man nach Vorfällen erst die eigene IT neu aufziehen möchte, um anschließend im Zuge von Betriebsprüfungen noch auf Steuerschätzungen hinauszulaufen.

• Kapitel 2

• Rechtliche Rahmenbedingungen: Das Dickicht der Gesetzgebung verstehen und als Leitplanken für das operative Geschäft nutzen.

• DSGVO & BDSG gelten für alle: Die Datenschutz-Grundverordnung und das Bundesdatenschutzgesetz gelten ausnahmslos ab dem ersten Tag – auch für Einzelunternehmer und Kleinunternehmen gibt es hier keinen 'Welpenschutz'.

• Rechtsgrundlagen für Verarbeitungen: Jede Erhebung und Verarbeitung personenbezogener Daten benötigt eine wasserdichte gesetzliche Basis. Meist aus Artt. 6, 9, 44 - 49 DSGVO und § 25 TDDDG (z. B. Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO oder Vertragserfüllung nach lit. b).

• AO, HGB usw.: Die Abgabenordnung und das Handelsgesetzbuch schreiben strikte, mehrjährige Aufbewahrungsfristen für geschäftliche Dokumente vor, die unveränderbar archiviert werden müssen.

  Externer Link zu gesetze-im-internet.de

• Auftragsverarbeitungen und gemeinsame Verantwortlichkeiten: Wer fremde Tools nutzt, muss Verträge zur Auftragsverarbeitung (AVV) schließen. Bei Plattformen wie Facebook Fanpages oder integrierten Business Analytics liegt oft eine gemeinsame Verantwortlichkeit ('Joint Controllership' nach Art. 26 DSGVO) vor – mit vollem Haftungsrisiko.

• Vorsicht bei Drittstaatenübermittlungen: Datentransfers in Länder außerhalb des EWR sind rechtlich hochgradig volatil. Besonders bei US-Diensten drohen durch weitreichende Überwachungsgesetze (FISA), die dem europäischen Datenrecht entgegenstehen, massive Compliance-Verstöße, sofern keine zusätzlichen Garantien greifen. Jedoch kann man mit Verträgen auch keine entgegenstehenden Gesetze ausgleichen.

• BSI-Grundschutz: Die Standardwerke und strukturierten Methodiken des Bundesamtes für Sicherheit in der Informationstechnik (BSI) bieten einen Leitfaden, um IT-Sicherheit systematisch und nach anerkannten Regeln aufzubauen. Diese sind jedoch auch kein unmittelbares Allheilmitel, da die Prozesse unternehmensindividuell zu bewerten sind. Auch ein Blick auf Referenzwerke andere Orgnaisationen und Staaten kann sich hier lohnen. (So hat das BSI im Grundschutzkompendium noch viel zu lange Passwortrichtlinien zur regelmäßigen Änderung proklamiert)

• NIS2, KI-VO usw.: Die europäische Regulatorik schläft nicht; neue Richtlinien wie NIS2 für kritische Sektoren und die KI-Verordnung (AI Act) setzen schärfere Maßstäbe, die indirekt über die Lieferkette auch kleinere Dienstleister treffen.

• Kapitel 3

• Grundlegende Organisationsansätze: Sicherheit beginnt nicht in der Firewall, sondern im Kopf und im täglichen Arbeitsverhalten.

• Rigorose Trennung von Beruflichem und Privatem: Strikt getrennte Konten, unterschiedliche Telefonnummern und dedizierte Geräte für die Arbeit. Berufliche und private Datenströme haben völlig verschiedene Sicherheitsanforderungen und dürfen sich niemals vermischen. In den meisten Fällen muss auch im beruflichen Kontext noch einmal differenziert werden. Muss die Softwareentwicklung wirklich auf denselben Systemen wie die Buchhaltung laufen?

• Zugangskontrolle: Konsequente Absicherung aller Systeme – digital durch starke Authentifizierung und physisch durch die Verhinderung unbefugten Zutritts.

• Clean Desk Policy: Keine Passwörter auf Post-its am Monitor, keine Akten oder USB-Sticks offen auf dem Schreibtisch liegen lassen – beim Verlassen des Platzes wird der Bildschirm sofort gesperrt.

• Keine sensiblen Arbeiten in der Öffentlichkeit: Hochkritische Tätigkeiten wie die Datenbankadministration, das Einspielen von Backups oder die Konfiguration sensibler Datenschnittstellen haben im öffentlichen Café oder im Zug absolut nichts verloren – hier lauern Visual Snooping und unsichere Netzwerke.

• Physische Sicherheit der Geschäftsräume: IT-Sicherheit nützt nichts, wenn die Hardware gestohlen wird. Investiert in vernünftige Schlösser, einbruchssichere Fenster und abschließbare Schränke für Server und Akten.

• Social Engineering Prävention (einfach mal die Klappe halten): Die beste Firewall versagt, wenn man sich verquatscht. Manchmal sollte man auch einfach wissen, wann man operative Details, Kundenbeziehungen oder interne Abläufe für sich behält, anstatt sie stolz in der Kneipe oder online zu teilen.

• Hohle Werbephrasen entlarven: 'Privacy by Design' oder 'Datenschutz zertifiziert' steht heute auf fast jedem Produkt. Lasst euch nicht blenden – lest eure Verträge, Datenschutzerklärungen und AVVs selbst ganz genau durch.

• Risikobasierte Ansätze: Ein maßgeschneidertes Risikomanagement muss man sich finanziell und personell leisten können. Wer jedoch blind darauf wettet, dass schon keiner klagt oder angreift, spielt russisches Roulette gegen die eigene Existenz.

• Technische Gegebenheiten: Die Werkzeuge richtig wählen, härten und kontinuierlich pflegen.

• Obfuscation ist keine Informationssicherheit: Das bloße Verstecken, Umbenennen oder Verschleiern von Pfaden, Ports oder Code ('Security through Obscurity') hält keinen professionellen Angreifer auf.

• Auswahl des Betriebssystems: Das Betriebssystem ist das Fundament der IT-Infrastruktur und entscheidet grundlegend über die Angriffsfläche, Telemetriedatenströme und Update-Zyklen.

• Updates schnellstmöglich: Patch-Management ist die wichtigste Verteidigungslinie. Bekannte Sicherheitslücken müssen unverzüglich durch automatisierte oder zeitnahe Updates geschlossen werden.

• M$-Windows Einschränkungen: Microsoft Windows lässt sich in der Home- oder Pro-Version out-of-the-box nicht datenschutzfreundlich betreiben – selbst populäre Skripte wie die Chris Titus Tech Tools (Externer Link zu Chris Titus Tech) stoppen den Telemetrie-Hunger nicht vollständig. Selbst in Enterprise-Versionen erfordert ein datenschutzkonformes Setup tiefes Fachwissen; flankierend muss das Netzwerk über Pi-Hole, pfSense oder dedizierte Firewalls gehärtet werden.

• Niemals EOL-Geräte verwenden: Hardware und Software, die das End-of-Life (EOL) erreicht haben, erhalten keine Sicherheitsupdates mehr. Sie zu betreiben ist ein offenes, unverantwortliches Scheunentor für Angreifer.

• Einsatz von Passwortmanagern: Niemand muss sich heutzutage alle seine Zugangsdaten im Kopf behalten. Sich dauernd eigene sichere Passwörter ausdenken und nachher merken zu müssen ist lästig. Diese dann noch auf Spickzetteln zu notieren, für mehrere Dienste dieselben Passwörter zu verwenden oder gar einfache Passwörter zu verwenden macht das ganze dann auch unsicher. Auch Richtlinien wonach Passwörter nach vorgegebenen Zeiten geändert werden müssen bringen keinen Sicherheitsgewinn. Dafür gibt es Passwortmanager. Merken muss sich dann noch die Zugangsdaten zum System und zu besagtem Passwortmanager. Mein persönlicher Favorit hierbei ist KeePassXC. (Externer Link zu KeepassXC)

• Multi-Faktor-Authentisierung (MFA): Was ist das und wie setze ich es ein: MFA erzwingt neben dem Passwort einen zweiten Faktor (z. B. TOTP-App oder FIDO2-Hardware-Key). Sie sollte auf jedem System, das es unterstützt, kompromisslos aktiviert werden.

• Ad- und Skript Blocker wie noscript oder uBlock Origin: Browser-Erweiterungen minimieren das Risiko von Drive-by-Downloads und blockieren bösartige Werbenetzwerke (Malvertising) direkt an der vordersten Front.

• Sicherheitskonzepte kann man auch im Kleinen umsetzen: Man benötigt kein Millionenbudget – effektive IT-Sicherheit lässt sich durch das richtige Know-how und konsequente Prozessdisziplin auch im Ein-Personen-Betrieb erfolgreich etablieren.

• Sogenannte Anti-Virensoftware ersetzt kein Sicherheitskonzept: Klassische Virenscanner wiegen in falscher Sicherheit. Sie greifen erst, wenn die Malware bereits im System ist; sie sind durch ihre tiefen Systemrechte selbst oft ein beliebtes Einfallstor; Angreifer testen ihre Schadsoftware vorab so lange, bis sie an diesen Scannern vorbeikommt; hochentwickelte Malware bleibt oft Jahre unentdeckt – wie das Spionage-Tool Pegasus eindrucksvoll beweist.

• Endpoint Security Lösungen mit IDS/XDR-Systemen: Moderne, verhaltensbasierte Endpoint Detection and Response (EDR) sowie Intrusion Detection Systeme (IDS) sind wesentlich tragfähiger, da sie Anomalien im Systemlauf analysieren statt nur statische Signaturen abzugleichen.

• Wo sind die Grenzen der Informationssicherheit / potentielle Angriffsvektoren: Akzeptieren, dass absolute Sicherheit eine Illusion ist, um Angreifern einen Schritt voraus zu sein. In der heutigen Welt ist es schlicht unmöglich die gesamte Code-Basis selbst zu kontrollieren. Und vor allem Menschen sind nicht unfehlbar. Gleichzeitig basieren viele Sicherheitsrisiken darauf, dass die Nutzer oder oft auch Entwickler getäuscht werden.

• Es gibt niemals 100 %ig sichere Informationssysteme: Jedes System hat Schwachstellen. Wer behauptet, absolut unhackbar zu sein, hat die Grundlagen der IT-Sicherheit nicht verstanden.

• Supply-Chain Angriffe: Angreifer attackieren nicht dich direkt, sondern infizieren die Softwarepakete, Bibliotheken oder Dienstleister, die du nutzt, um so unbemerkt durch die Hintertür in dein System zu gelangen.

• Zero Days und staatliche Backdoors: Unbekannte, ungepatchte Sicherheitslücken (Zero-Days) werden teuer gehandelt. In Windows existieren kontinuierlich Lücken, die Geheimdiensten bewusst als Backdoor offenstehen – ein ehemaliger Microsoft-Mitarbeiter veröffentlichte in jüngster Zeit reihenweise solcher brisanten Details, insbesondere bezüglich Schwachstellen in BitLocker.

• Digitale Zurückhaltung: Prahle niemals mit deinem geschäftlichen Erfolg oder IT-Strukturen – schon gar nicht auf Social Media (LinkedIn, Instagram). Damit machst du dich und dein Unternehmen nur zur attraktiven Zielscheibe für gezielte Ransomware-Erpressungen. Reflektiere kritisch deine täglichen digitalen Gewohnheiten!

• Ungeprüfter Code: Die blinde Übernahme von Code-Schnipseln aus dem Internet oder KI-Generatoren birgt immense Risiken. Das ist besonders bei Worpress-Konstruktionen zu beobachten. Hier wird reihenweise schlechter Code von unzähligen Einzelentwicklern ungeprüft eingebunden. Da braucht man sich dann auch nicht wundern, wenn irgendwann die Speisekarte auf der eigenen Website eines Restaurants plötzlich auf die Seiten von irgendwelchem Krypto-Scammern zeigt.

• Kapitel 4

• Social Engineering: Die gezielte Manipulation des Faktors Mensch. Es ist bei weitem nicht mehr nur der offensichtlich gefälschte Prinz aus einem Nicht-EWR-Land, der eine Vorabüberweisung fordert, sondern hochgradig personalisiertes Spear-Phishing, CEO-Fraud und psychologische Täuschung.

• Phishing, Smishing und Quishing: Die Verteilung schadhafter Links über Kommunikationswege wie Email, SMS oder QR-Codes. Klicke nicht ohne die Quelle und das Ziel von Links aus Emails und SMS zu kennen auf ebensolche. Scanne niemals unbedacht QR-Codes dessen Ziel man nicht sicher kennt. (Gerade letzteres wird derzeit sehr häufig vernachlässigt.)

• Herrenlose Datenträger wie USB-Sticks: vernichten wir unverzüglich ungesehen. Sie werden niemals an irgendeinen PC im Unternehmen angeschlossen - auch nicht an Air Gapped Systeme! Sollte sich herausstellen, dass diese nicht einfach nur Schadsoftware, sondern noch ganz andere strafrechtlich relevante Inhalte mit sich bringen, kann als Schaden auch die Beschlagnahme der Unternehmens-IT durch eine Staatsanwaltschaft Folge dessen sein. Das ach so gutmütige Auffinden solcher Geräte und der Versuch deren Inhaber ausfindig zu machen kann wirklich üble Konsequenzen nach sich ziehen.

• Der Ernstfall: Ich wurde gehackt oder habe mein Handy/Laptop verloren/wurde gestohlen. Was nun?: Ein kühler Kopf und vordefinierte Prozesse retten in der Krise Existenzen.

• Vorbereitung ist alles: Bestenfalls hat man lange vor dem Vorfall gemeinsam mit Experten ein individuelles Sicherheitskonzept ausgearbeitet und kann nun sofort den entsprechenden, praxiserprobten Notfallplan strukturiert in Gang setzen.

• Lückenlose Dokumentation: Jeden einzelnen Schritt, jede Systemmeldung, jede Uhrzeit und jede Maßnahme penibel dokumentieren. Alles, was man an Beweisen sichern kann, muss forensisch sauber isoliert werden.

• Meldepflicht innerhalb von 72 Stunden: Wenn Kundendaten betroffen sind und/oder die betroffenen Geräte nicht nachweisbar kryptografisch verschlüsselt waren, muss zwingend innerhalb von 72 Stunden eine offizielle Meldung an die zuständige Datenschutzaufsichtsbehörde nach Art. 33 DSGVO abgesetzt werden.

• Strafanzeige erstatten: Die Anzeige bei den Strafverfolgungsbehörden dient vor allem der eigenen rechtlichen Entlastung, etwa wenn im Nachgang Identitätsdiebstahl, Betrug oder Geldwäsche über deine kompromittierte Identität laufen. Fakt ist: Die Strafverfolgungsbehörden sind meist personell überlastet und die Täter international über alle Berge. Kriminelle Netzwerke nehmen ihre Absicherung traurigerweise oft professioneller und ernster als deutsche Behörden.

• Cyber-Versicherung kontaktieren: Falls eine entsprechende Cyber-Risk-Police vorhanden ist, muss diese unverzüglich kontaktiert werden, um den Schadensbehandler und ggf. bereitgestellte Incident-Response-Teams einzubinden.

• Schadensbegrenzung und Lernen: Den Vorfall isolieren, Systeme vom Netz trennen, Passwörter global sperren, den Schaden regulieren und im Nachgang eine schonungslose Post-Mortem-Analyse durchführen, um nachhaltig daraus zu lernen.

• Keine Weiterverwendung kompromittierter Systeme: Ein einmal infiziertes System sollte so niemals einfach weiterbetrieben werden.

• Kapitel 5

• Einige Beispiele besonders heftiger IT-Sicherheits- und Datenschutzfails: Praktische Abschreckung und Analyse realer Katastrophen, um die Dringlichkeit zu untermauern.

• DSGVO-Bußgelder durchstöbern: Ein Blick in öffentliche Bußgelddatenbanken zeigt eindrucksvoll, dass unzureichende technische und organisatorische Maßnahmen (TOMs) reihenweise zu Millionenstrafen führen.

  Externer Link zu DSGVO-Portal.de

• WannaCry auf DB-Anzeigen: Die weltweite Ransomware-Welle legte unter anderem die Anzeigetafeln und Ticketautomaten der Deutschen Bahn lahm – ein visuelles Desaster, das die Verwundbarkeit kritischer bzw. öffentlicher Infrastrukturen für jeden Bürger sichtbar machte. Externer Link zu heise.de

• Log4j-Katastrophe: Eine Zero-Day-Schachstelle in einer extrem weit verbreiteten Java-Protokollierungsbibliothek versetzte die gesamte IT-Welt in wochenlangen Ausnahmezustand, da quasi jedes Großsystem verwundbar war.

  Externer Link zu heise.de

  Externer Link zu dguv.de

• NSA-Exploits (EternalBlue): Das staatliche Cyber-Waffenarsenal der NSA wurde geleakt. Die darin enthaltene Schwachstelle 'EternalBlue' wurde von Kriminellen gekapert und führte zu den verheerendsten globalen Cyberangriffen der bisherigen Geschichte. Hier zeigt sich auch deutlich, dass man Geheimdiensten unter gar keinen Umständen die Befugnis erteilen darf Sicherheitslücken zur Spionage vorzuhalten.

  Externer Link zu wikipedia.org

• Abgefackeltes Rechenzentrum: Durch Nachlässigkeiten im Brandschutz und Holz als Baumaterial sind im März 2021 mehrere Tausend Server des Hosters OVH in Straßburg abgebrannt. Dies führte reihenweise zu unwiederbringlichen Datenverlusten. Hier zeigt sich besonders, wie wichtig eine sorgfältige Auswahl seiner Anbieter und Redundanz ist: Hoste ich in einem Rechenzentrum/bei nur einem Anbieter, verlagere ich die Backups an einen anderen Ort.

  Externer Link zu spiegel.de

• Berlin – Der Fail als Stadt und Land: Das Kammergericht Berlin und diverse Behörden der Hauptstadt gelten in Fachkreisen als ewiges Paradebeispiel für strukturelles IT-Versagen, verschleppte Modernisierung und völlig unzureichendes Krisenmanagement bei Ransomware-Befall in mehreren Fällen, aus denen man dort offensichtlich nicht gelernt hat.

  Externer Link zu deutschlandfunk.de

  Externer Link zu tagesschau.de

  Externer Link zu datenschutz-berlin.de

  Externer Link zu radiohochstift.de

• Kontaktieren Sie mich jetzt, bevor es der Angreifer tut: Ich biete genau das an, was heute gefehlt hat: Praxisnahe Beratung, maßgeschneiderte Sicherheitskonzepte für Solopreneure und KMUs, Härtung von Systemen und die Begleitung bei der Umsetzung eurer digitalen Souveränität.