Reagieren statt hoffen: Warum Incident Response oft zu spät beginnt
Bis ein Unternehmen erkennt, dass tatsächlich ein Sicherheitsvorfall vorliegt, können bereits wertvolle Stunden vergangen sein. Genau diese Zeit entscheidet jedoch häufig darüber, wie groß der Schaden am Ende ausfällt. Denn je länger ein Angreifer unentdeckt bleibt, desto mehr Möglichkeiten hat er, sich innerhalb der IT-Umgebung auszubreiten.
Incident Response bezeichnet die strukturierte Reaktion auf einen Sicherheitsvorfall. Die Vorbereitung ist dabei entscheidend: Auffälligkeiten müssen früh erkannt und im Ernstfall ohne Verzögerung bearbeitet werden.
Thomas Ringhof, Incident Responder und digitaler Forensiker bei r-tec in der accompio Gruppe, erlebt in seiner täglichen Arbeit, wie entscheidend eine schnelle und strukturierte Reaktion auf Sicherheitsvorfälle ist. Im Experteninterview erklärt er, warum Unternehmen häufig zu spät reagieren, welche Fehler in den ersten Stunden eines Cyberangriffs passieren und wie sich die eigene Reaktionsfähigkeit gezielt verbessern lässt.
Das Wichtigste in Kürze
- Zeit ist ein entscheidender Faktor: Je länger ein Angreifer unentdeckt bleibt, desto größer kann der Schaden für ein Unternehmen werden.
- Incident Response beginnt vor dem Angriff: Unternehmen müssen bereits im Vorfeld definieren, wie sie auf Sicherheitsvorfälle reagieren und wer im Ernstfall welche Verantwortung übernimmt.
- Sichtbarkeit ist die Grundlage: Zentrale Log-Daten und ein funktionierendes Monitoring helfen dabei, verdächtige Aktivitäten frühzeitig zu erkennen.
- Nicht jede Auffälligkeit ist sofort ein Incident: Unternehmen brauchen klare Prozesse, um relevante Sicherheitsereignisse zu bewerten und angemessen darauf zu reagieren.
- Playbooks schaffen Handlungssicherheit: Vorbereitete Szenarien und klar definierte Abläufe verhindern, dass im Ernstfall wertvolle Zeit mit grundlegenden Abstimmungen verloren geht.
- Verspätete Reaktion kann teuer werden: Aus einem einzelnen kompromittierten Zugang können weitere betroffene Accounts, Systeme und im schlimmsten Fall erhebliche Betriebsunterbrechungen entstehen.
- Vorbereitung muss praktisch sein: Incident-Response-Prozesse gehören regelmäßig überprüft und eingeübt.
Warum Incident Response oft zu spät beginnt
Viele Unternehmen erkennen einen Angriff erst, wenn die Auswirkungen deutlich sichtbar werden. Thomas Ringhof sieht dafür zwei zentrale Ursachen: Es fehlt an technischer Sichtbarkeit und an klaren internen Abläufen. Sind relevante Log-Daten nicht verfügbar oder bleiben Zuständigkeiten ungeklärt, wird aus einer ersten Auffälligkeit schnell ein Vorfall, auf den niemand rechtzeitig reagiert.
Zu den typischen Ausgangspunkten gehören Phishing und Infostealer-Malware. Im Interview schildert Thomas Ringhof einen Fall, bei dem Angreifer Zugriff auf ein E-Mail-Postfach erhielten, eine bestehende Kommunikation mitlasen und eine Rechnung manipulierten. Das Unternehmen überwies daraufhin einen hohen Betrag auf das falsche Konto.
Ein kompromittiertes Benutzerkonto kann zunächst relativ unauffällig genutzt werden. Angreifer sichern ihren Zugang, schaffen Persistenz und vermeiden Aufmerksamkeit. Erst später führen sie Schadsoftware aus oder verursachen sichtbare Systemausfälle. Wenn der Vorfall dann erkannt wird, können die Angreifer bereits seit Tagen oder Wochen in der IT-Umgebung aktiv sein.
Auch der menschliche Faktor spielt eine Rolle. Ein ungewöhnlicher Login wird mitunter als harmloser Fehler bewertet, weil die erste plausible Erklärung beruhigt. Dieser Confirmation Bias kann dazu führen, dass Warnsignale nicht weiter untersucht und notwendige Eskalationen verzögert werden.
Deshalb beginnt Incident Response bereits mit der Incident Response Readiness. Unternehmen müssen verdächtige Aktivitäten früh erkennen, einordnen und über einen festgelegten Eskalationsweg weitergeben können. Dafür braucht es technische Sichtbarkeit, klare Prozesse und eindeutig benannte Verantwortliche.
Die ersten Minuten und Stunden entscheiden
Wird ein Sicherheitsvorfall erkannt, muss möglichst schnell geklärt werden: Was ist passiert? Welche Systeme sind betroffen? Welche Benutzerkonten wurden möglicherweise kompromittiert? Und wie weit konnte sich der Angreifer bereits ausbreiten?
In der Praxis entstehen hier häufig Verzögerungen. Verantwortlichkeiten sind nicht eindeutig geklärt, Informationen fehlen oder es ist unklar, welche Maßnahmen zuerst durchgeführt werden müssen. Der Weg von der ersten Beobachtung eines Mitarbeitenden über die IT-Administration bis zur Einstufung als Sicherheitsvorfall muss deshalb vorab definiert sein.
Ein vorbereiteter Incident-Response-Prozess schafft hier Handlungssicherheit. Playbooks legen für typische Szenarien fest, welche Informationen benötigt werden, wer entscheidet und welche Maßnahmen als Erstes erfolgen. Das gilt etwa für kompromittierte Benutzerkonten, verdächtige Logins, Phishing oder erkannte Malware.
So muss im Ernstfall nicht bei null begonnen werden.
Sichtbarkeit als Grundlage für schnelle Reaktion
Eine schnelle Incident Response setzt voraus, dass Unternehmen überhaupt erkennen können, was in ihrer IT-Umgebung passiert.
Der erste Schritt ist ein zentrales Log-Management. Dabei muss entschieden werden, welche Daten einfließen sollen. Reichen Anmeldedaten aus oder werden auch Ereignisse von Endgeräten, Servern und weiteren Host-Systemen benötigt? Je nach Umgebung kann ein SIEM dabei helfen, diese Informationen zusammenzuführen und Nutzeraktivitäten auszuwerten.
Monitoring macht Auffälligkeiten früh sichtbar. Historische Log-Daten sind außerdem für die digitale Forensik wichtig. Sie können zeigen, wann ein Angreifer erstmals aktiv wurde, welche Zugänge genutzt wurden und welche Systeme anschließend betroffen waren. Ohne diese Daten lässt sich ein Vorfall häufig nur unvollständig rekonstruieren.
Technologie allein reicht allerdings nicht aus. Ein Alarm ist zunächst nur ein Hinweis darauf, dass etwas Auffälliges passiert ist. Danach muss klar sein, wer den Vorfall bewertet, welche Maßnahmen eingeleitet werden und wer informiert werden muss.
Was kostet eine verspätete Reaktion?
Die Folgen eines Sicherheitsvorfalls hängen stark davon ab, wie früh ein Unternehmen reagiert. Die Unternehmensgröße bietet dabei keinen verlässlichen Schutz. Viele Angriffe laufen automatisiert ab und suchen große Adressbereiche nach erreichbaren und verwundbaren Systemen ab.
Ein einzelner kompromittierter Benutzer kann zunächst wie ein begrenztes Problem wirken. Kann der Angreifer den Zugang jedoch nutzen, um weitere Konten oder Systeme zu kompromittieren, wächst der Umfang des Vorfalls. Gleichzeitig wird die spätere Aufarbeitung aufwendiger und schwieriger.
„Wenn ich zu lange warte, dann steigen die Kosten nicht linear, sondern fast multiplikativ.“
Thomas Ringhof, Incident Responder und digitaler Forensiker bei r-tec
Genau deshalb sollte ein Unternehmen nicht darauf warten, dass ein Angriff eindeutig erkennbar wird. Ziel muss sein, verdächtige Aktivitäten möglichst früh zu erkennen und schnell reagieren zu können.
Incident Response vorbereiten: Was Unternehmen tun können
Eine gute Incident Response beginnt lange vor dem eigentlichen Sicherheitsvorfall. Unternehmen sollten zunächst für ausreichende Sichtbarkeit sorgen und prüfen, welche Systeme und Aktivitäten überwacht werden und welche Log-Daten zur Verfügung stehen.
Darauf aufbauend sollten Verantwortlichkeiten und konkrete Abläufe definiert werden. Für typische Szenarien können Incident-Response-Playbooks festlegen, welche Informationen gesammelt, welche Ansprechpartner eingebunden und welche technischen Maßnahmen eingeleitet werden müssen.
Wichtig ist außerdem, die Prozesse regelmäßig praktisch zu überprüfen. Incident-Response-Simulationen zeigen, ob Meldewege und Entscheidungen im Ernstfall funktionieren. Penetrationstests können zusätzliche Schwachstellen und mögliche Angriffswege sichtbar machen. Die Ergebnisse fließen anschließend in Monitoring, Playbooks und technische Schutzmaßnahmen ein.
Vier Schritte schaffen eine belastbare Grundlage:
- Relevante Log-Daten zentral verfügbar machen
- Verantwortlichkeiten und Eskalationswege klären
- Playbooks für typische Angriffsszenarien vorbereiten
- Abläufe durch Simulationen und Tests regelmäßig prüfen
Die Zukunft der Incident Response
Künstliche Intelligenz und Automatisierung können große Mengen an Sicherheitsdaten schneller analysieren und Forensikern erste Leads liefern. Ein Modell kann beispielsweise auf auffällige Zusammenhänge hinweisen und so die erste Sichtung beschleunigen.
Die fachliche Bewertung bleibt entscheidend. Expertinnen und Experten prüfen die Hinweise, ordnen sie in den Unternehmenskontext ein und entscheiden über die nächsten Schritte. So reduziert Automatisierung den Lärm in den Daten und schafft mehr Zeit für die eigentliche Analyse.
Gleichzeitig entwickeln sich die Methoden der Angreifer weiter. Prozesse, Monitoring und Playbooks müssen daher regelmäßig überprüft und angepasst werden.
Fazit: Im Ernstfall darf keine Zeit verloren gehen
Incident Response beginnt nicht erst in dem Moment, in dem ein Unternehmen einen Cyberangriff bestätigt. Sie beginnt bereits mit der Vorbereitung.
Wer seine IT-Umgebung überwacht, relevante Log-Daten verfügbar macht, Verantwortlichkeiten definiert und konkrete Szenarien vorbereitet, schafft eine deutlich bessere Grundlage für den Ernstfall.
Denn wenn ein Angriff tatsächlich stattfindet, bleibt keine Zeit für grundlegende Überlegungen.
Reagieren statt hoffen bedeutet deshalb vor allem: vorbereitet sein, sichtbar machen, was passiert, und im entscheidenden Moment handeln können.
accompio GmbH
Grimsehlstraße 23
37574 Einbeck
Telefon: +49 (5561) 92046990
Telefax: +49 (5561) 9225-00
http://www.accompio.com
E-Mail: l.schmidt@accompio.com
Advanced Backup Monitoring: Silent Failures, False Positives und fehlende Recovery-Validierung im Griff
Klassisches Backup Monitoring konzentriert sich häufig auf Statusmeldungen und einzelne Fehler. In komplexen Umgebungen fehlt dabei der Zusammenhang zwischen Backup-Prozess, Backup-Server, Storage, Virtualisierung und den tatsächlich gesicherten Systemen. So können Silent Failures unentdeckt bleiben, während zu viele irrelevante Warnungen Alert Fatigue auslösen.
Im Experteninterview erklärt Björn Albers, Lead Support und Business Operations Manager bei BACKUP EAGLE®, warum Advanced Backup Monitoring auf unabhängige Überwachung, historische Vergleiche und eine zentrale Sicht auf die gesamte Backup-Umgebung setzt.
Das Wichtigste in Kürze
- Ein erfolgreicher Backup-Job belegt noch keine zuverlässige Wiederherstellung.
- Silent Failures zeigen sich etwa durch fehlende Systeme, auffällige Datenmengen oder einen gescheiterten Restore.
- Viele irrelevante Warnungen führen zu Alert Fatigue. Kritische Meldungen können dadurch übersehen werden.
- Recovery-Validierung verbindet automatisierte technische Prüfungen mit dokumentierten manuellen Kontrollen.
- Backup Observability verknüpft Backup, Virtualisierung und Storage, damit Ursachen schneller erkennbar werden.
- Ein unabhängiges, herstellerneutrales Monitoring schafft Transparenz über verschiedene Backup-Systeme hinweg.
- Audit-sichere Protokolle halten Bewertungen, Änderungen und Recovery-Tests nachvollziehbar fest.
Backup Monitoring ist mehr als ein grüner Status
Viele Backup-Systeme arbeiten mit einem einfachen Prinzip: Ein Job läuft erfolgreich durch und wird anschließend als „Success“ angezeigt. Schlägt der Job fehl, erscheint ein Fehler und das IT-Team kann reagieren.
In der Praxis kann ein Job erfolgreich durchlaufen, obwohl eine neue virtuelle Maschine nie in die Sicherung aufgenommen wurde oder ein vergessenes System ungeschützt bleibt. Auch eine ungewöhnlich kleine Backup-Datenmenge kann auf eine Lücke hinweisen.
Die Qualität des Backups und die Qualität seiner Überwachung sind deshalb zwei getrennte Fragen.
Ein zuverlässiges Monitoring prüft den gesamten Zusammenhang: Welche Maschinen müssen gesichert werden, wie ist der Backup-Server konfiguriert, steht ausreichend Storage zur Verfügung und lässt sich die Sicherung wiederherstellen?
Silent Failures: Wenn das Monitoring nichts meldet
Besonders problematisch sind sogenannte Silent Failures. Dabei handelt es sich vereinfacht gesagt um Fehlerzustände, bei denen das System keinen offensichtlichen Alarm auslöst.
Das kann passieren, wenn eine neue virtuelle Maschine nie in den Backup-Plan aufgenommen wird, ein ganzer Backup-Server in der Überwachung fehlt oder die gesicherte Datenmenge ohne erkennbaren Grund stark abweicht.
Historische Vergleiche helfen dabei, solche Auffälligkeiten zu erkennen. Backup-Größen, geschützte Systeme und der verfügbare Speicher werden über längere Zeit betrachtet und miteinander abgeglichen.
Dazu können beispielsweise folgende Fragen gehören:
- Sind alle erwarteten Maschinen und virtuellen Systeme im Backup enthalten?
- Ist ein neues oder bislang vergessenes System ungeschützt?
- Weicht die Backup-Größe auffällig von früheren Sicherungen ab?
- Passt die Größe des Backup-Storage zur Zahl der gesicherten Systeme?
- Sind Backup-Server, Virtualisierung und Storage vollständig angebunden?
- Wurde eine Wiederherstellung geprüft und nachvollziehbar dokumentiert?
Im Interview nennt Björn ein Praxisbeispiel: Erst die Einbindung des Virtual Centers machte sichtbar, dass zahlreiche virtuelle Maschinen ungeschützt waren. Der fehlende Backup-Server war zuvor im Monitoring übersehen worden.
False Positives und Alert Fatigue: Wenn Warnungen an Wirkung verlieren
False Positives sind Warnungen, die sich bei der Prüfung als unkritisch oder für die konkrete Umgebung als irrelevant erweisen. Björn nennt als Beispiel temporäre Dateien, die während des Backups in Benutzung sind und deshalb nicht gesichert werden.
Erzeugt ein Backup-Tool täglich sehr viele solcher Meldungen, sinkt die Aufmerksamkeit. Eine kritische Warnung kann in der Menge untergehen. Genau das beschreibt Alert Fatigue.
„Wenn über Monate hinweg täglich dieselben Fehlermeldungen eingehen, schaut irgendwann niemand mehr genau hin.“
Björn Albers, Lead Support und Business Operations Manager von BACKUP EAGLE®
Ein lernendes System kann bekannte, unkritische Meldungen für die jeweilige Umgebung einordnen und die Entscheidung audit-sicher dokumentieren.
Ändert sich die Situation oder tritt ein kritischer Fehler auf, wird weiterhin alarmiert. Das System muss gepflegt werden und lernt die Besonderheiten der Umgebung mit der Zeit besser kennen.
So sinkt die Zahl irrelevanter Meldungen, ohne dass die Nachvollziehbarkeit verloren geht.
Was Advanced Backup Monitoring ausmacht
Björn empfiehlt ein unabhängiges und herstellerneutrales Monitoring. Nutzt das Backup-System ausschließlich die Überwachung desselben Herstellers, können blinde Flecken entstehen. Eine unabhängige Instanz prüft die Umgebung aus einer eigenen Perspektive.
Dazu gehört der vollständige Kontext aus Backup-Prozessen, Backup-Servern, Konfigurationen, Virtualisierung und Storage. Historische Vergleiche zeigen, wenn Sicherungen plötzlich deutlich kleiner oder größer werden oder Maschinen aus dem Schutz herausfallen.
In vielen Unternehmen laufen mehrere Lösungen parallel, etwa für Cloud-Dienste, virtuelle Maschinen, physische Systeme, Datenbanken und Microsoft 365. Eine zentrale Plattform verbindet diese Daten und unterstützt ein einheitliches Backup Reporting.
Zur Recovery-Validierung gehören technische Restore-Prozesse und manuelle Prüfungen. BACKUP EAGLE® erkennt Wiederherstellungen in den Logs, analysiert den technischen Ablauf und dokumentiert ergänzende manuelle Kontrollen. Das ist vor allem bei komplexen Systemverbünden wichtig.
Alle Bewertungen und Änderungen sollten audit-sicher nachvollziehbar sein. Dazu gehören der Grund einer Neueinstufung, der verantwortliche Nutzer oder das System sowie der jeweilige Zeitpunkt. Diese Dokumentation liefert belastbare Nachweise für Prüfungen und Audits.
Warum Backup Monitoring kein autonomes System sein muss
Björn widerspricht der Vorstellung, dass Backup Monitoring zu einem autonomen System werden müsse. Self-Healing kann im Backup-System stattfinden. Aufgabe des Monitorings ist es, solche Abläufe zuverlässig zu erkennen und einzuordnen.
Startet ein fehlgeschlagenes Backup automatisch neu und läuft anschließend erfolgreich durch, kann das Monitoring den ursprünglichen Fehler audit-sicher neu bewerten. Dadurch entsteht kein unnötiges Ticket, während der gesamte Verlauf dokumentiert bleibt.
Automatisierung unterstützt damit vor allem die Bewertung und Dokumentation. Die Wiederherstellung komplexer Systemverbünde kann weiterhin manuelle Prüfungen erfordern.
Für ein resilientes Monitoring empfiehlt Björn eine separate Infrastruktur oder zumindest eine getrennte virtuelle Maschine. Die Lösung sollte herstellerneutral sein und lokale sowie cloudbasierte Backup-Systeme unterstützen.
Fazit
Advanced Backup Monitoring schafft eine unabhängige und herstellerübergreifende Sicht auf Backup-Prozesse, Server, Storage, Virtualisierung und gesicherte Systeme.
Historische Vergleiche machen auffällige Veränderungen sichtbar. Lernende Regeln reduzieren irrelevante Warnungen, während Recovery-Tests und manuelle Prüfschritte nachvollziehbar dokumentiert werden.
Ein grüner Status allein reicht für diese Bewertung nicht aus. Entscheidend ist der vollständige Kontext der Backup- und Recovery-Umgebung.
Eine unabhängige Überwachung kann blinde Flecken aufdecken und die tatsächliche Wiederherstellbarkeit besser belegen.
Damit gewinnen IT-Teams mehr Transparenz, reduzieren Alert Fatigue und erhalten audit-fähige Nachweise über ihre Backup- und Recovery-Prozesse.
accompio GmbH
Grimsehlstraße 23
37574 Einbeck
Telefon: +49 (5561) 92046990
Telefax: +49 (5561) 9225-00
http://www.accompio.com
E-Mail: l.schmidt@accompio.com
CVSS-Score richtig einordnen: So priorisieren Unternehmen Schwachstellen nach dem tatsächlichen Risiko
Unternehmen entdecken häufig mehr Schwachstellen, als ihre IT-Teams kurzfristig beheben können. Eine reine Sortierung nach dem CVSS-Score hilft bei der Priorisierung nur begrenzt. So kann eine mittel bewertete Lücke auf einem öffentlich erreichbaren Webserver dringender sein als eine höher bewertete Schwachstelle in einem abgeschotteten internen System. Für die Reihenfolge zählen die praktische Ausnutzbarkeit und die Bedeutung des betroffenen Systems.
Im Experteninterview erklärt Stefan Kappey, Service Owner Schwachstellenmanagement bei accompio, warum der CVSS-Score nur den Ausgangspunkt bildet. Er zeigt, wie Exploitability und der individuelle Unternehmenskontext die Priorität verändern und wie Tenable mit dem dynamisch berechneten Vulnerability Priority Rating, kurz VPR, zusätzliche Orientierung schafft.
Das Wichtigste in Kürze
- Der CVSS-Score macht die technische Schwere verschiedener Schwachstellen vergleichbar.
- CVSS 3.x arbeitet mit Base, Temporal und Environmental. CVSS 4.0 verwendet Base, Threat, Environmental und Supplemental.
- Base beschreibt feste technische Merkmale wie den Angriffsweg, notwendige Berechtigungen und mögliche Auswirkungen.
- Temporal beziehungsweise Threat berücksichtigt aktuelle Entwicklungen wie verfügbare Exploits und eine beobachtete Ausnutzung.
- Environmental bezieht die konkrete IT-Umgebung, die Bedeutung des Systems und vorhandene Schutzmaßnahmen ein.
- Tenable ergänzt den CVSS-Score mit dem täglich aktualisierten Vulnerability Priority Rating. Unternehmenskontext und fachliche Erfahrung bestimmen die abschließende Priorität.
CVSS als Grundlage für die Schwachstellenbewertung
Das Common Vulnerability Scoring System, kurz CVSS, ist ein etablierter Standard zur Bewertung der technischen Schwere von Sicherheitslücken. Der daraus resultierende Score soll Unternehmen dabei helfen, Schwachstellen einheitlich einzuschätzen und miteinander zu vergleichen, um ein vereinfachtes Schwachstellenmanagement zu ermöglichen.
Dabei berücksichtigt CVSS verschiedene Eigenschaften einer Schwachstelle. Dazu zählen beispielsweise die notwendige Zugriffsmöglichkeit, die erforderlichen Privilegien oder die Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit eines betroffenen Systems.
CVSS 3.x unterscheidet zwischen Base, Temporal und Environmental. Base erfasst feste technische Eigenschaften wie den Angriffsvektor, notwendige Berechtigungen und mögliche Auswirkungen. Temporal berücksichtigt Entwicklungen im Zeitverlauf, etwa die Verfügbarkeit eines Exploits. Environmental passt die Bewertung an die konkrete IT-Umgebung an. In CVSS 4.0 heißt Temporal nun Threat. Hinzu kommt die Gruppe Supplemental für weitere Kontextinformationen.
Ein CVSS-Score beschreibt zunächst die technische Schwere einer Schwachstelle. Das konkrete Risiko für ein Unternehmen lässt sich daraus allein nicht ableiten.
Stefan Kappey nennt im Interview ein anschauliches Beispiel: Eine mittel bewertete Schwachstelle auf einem öffentlich erreichbaren Webserver kann Angreifern den ersten Zugang zum Unternehmen ermöglichen. Ihre Behebung kann daher dringender sein als ein fehlendes Update auf einem abgeschotteten internen System.
Warum der CVSS-Score allein nicht für die Priorisierung reicht
In der Praxis entstehen schnell lange Listen mit Schwachstellen, die nach ihrem CVSS-Score sortiert sind. Genau hier liegt eine der größten Herausforderungen im Schwachstellenmanagement.
Der Score zeigt die technische Schwere. Für die Reihenfolge der Maßnahmen braucht es weitere Informationen zum betroffenen System, zur Erreichbarkeit und zur aktuellen Bedrohungslage.
Dazu gehören beispielsweise:
- Ist das betroffene System aus dem Internet erreichbar?
- Welche Rolle spielt das System für das Unternehmen?
- Welche Daten werden darauf verarbeitet?
- Befindet sich das System in einem besonders geschützten Netzwerksegment?
- Welche Zugriffsmöglichkeiten bestehen für potenzielle Angreifer?
- Gibt es bereits einen öffentlich verfügbaren Exploit?
- Wird die Schwachstelle aktiv von Angreifern ausgenutzt?
- Welche zusätzlichen Sicherheitsmaßnahmen schützen das System?
Damit wird aus einer rein technischen Bewertung eine risikobasierte Priorisierung.
Exploitability: Wie real ist die Bedrohung?
Ein entscheidender Faktor ist die sogenannte Exploitability. Sie beschreibt vereinfacht gesagt, wie gut eine Schwachstelle tatsächlich ausgenutzt werden kann.
Manche Sicherheitslücken sind technisch vorhanden, lassen sich unter realistischen Bedingungen jedoch nur schwer ausnutzen. Andere entwickeln trotz eines moderaten Scores eine hohe Dringlichkeit, sobald ein funktionierender Exploit öffentlich verfügbar ist.
Für Security-Teams sind deshalb zusätzliche Informationen wichtig. Dazu zählen beispielsweise öffentlich verfügbare Exploits, Proof-of-Concept-Code, Exploit-Kits oder Hinweise darauf, dass eine Schwachstelle bereits aktiv in Angriffen verwendet wird.
Das heißt, ich drücke auf den Knopf, warte ein paar Sekunden und habe meinen Zugang.
Stefan Kappey, Service Owner Schwachstellenmanagement bei accompio
Der Unternehmenskontext entscheidet über das tatsächliche Risiko
Neben CVSS und Exploitability ist vor allem der Kontext des jeweiligen Unternehmens entscheidend.
Ein und dieselbe Schwachstelle kann auf zwei Systemen völlig unterschiedliche Prioritäten besitzen. Ein öffentlich erreichbarer Server mit direkter Verbindung zu kritischen Unternehmensdaten ist anders zu bewerten als ein vergleichbares System in einem isolierten Netzwerksegment.
Auch die Geschäftskritikalität spielt eine wichtige Rolle. Fällt ein System aus oder wird kompromittiert, können je nach Einsatzbereich völlig unterschiedliche Konsequenzen entstehen.
Eine sinnvolle Priorisierung berücksichtigt deshalb mindestens drei Ebenen:
- Technische Schwere: Wie kritisch ist die Schwachstelle grundsätzlich?
- Ausnutzbarkeit: Wie wahrscheinlich und einfach ist eine tatsächliche Ausnutzung?
- Unternehmensrisiko: Welche Auswirkungen hätte eine erfolgreiche Ausnutzung in der konkreten Umgebung?
Erst aus der Kombination dieser Faktoren entsteht ein belastbares Bild.
Tenable VPR ergänzt die statische Bewertung
CVSS bildet viele technische Eigenschaften einer Schwachstelle ab. Der Score bleibt über weite Teile ihres Lebenszyklus stabil. Die reale Bedrohungslage kann sich innerhalb kurzer Zeit verändern.
Tenable nutzt dafür das Vulnerability Priority Rating (VPR). Die Kennzahl wird täglich neu berechnet. Sie bezieht den CVSS-Score sowie aktuelle Informationen zu verfügbaren Exploits, Angriffsaktivitäten und weiteren Bedrohungssignalen ein. Nach Angaben von Tenable können dabei auch Erkenntnisse aus dem Darknet berücksichtigt werden. VPR unterstützt Security-Teams dabei, große Mengen an Findings schneller zu ordnen. Die Bewertung des betroffenen Systems, vorhandener Schutzmaßnahmen und möglicher Folgen bleibt Aufgabe des Unternehmens.
Wie funktioniert Schwachstellenmanagement in der IT?
Schwachstellenmanagement umfasst das Erfassen, Bewerten, Priorisieren und Beheben von Sicherheitslücken. Eine vollständige Sicht auf die IT-Landschaft hilft dabei, ausnutzbare Schwachstellen auf kritischen Systemen zuerst zu behandeln und den Erfolg der Maßnahmen anschließend zu überprüfen.
Typische Fehler bei der Schwachstellenpriorisierung
Probleme entstehen häufig, wenn Security-Teams ihre Reihenfolge zu stark an einer einzelnen Kennzahl ausrichten.
Bei einer reinen Sortierung nach CVSS landen hohe Scores automatisch ganz oben auf der Liste. Die Erreichbarkeit des Systems, vorhandene Schutzmaßnahmen und die Bedeutung für den Geschäftsbetrieb bleiben dabei leicht unberücksichtigt.
Ein weiterer Fehler ist eine fehlende Aktualisierung der Bewertung. Schwachstelleninformationen verändern sich kontinuierlich. Was gestern noch als theoretisches Risiko galt, kann heute bereits durch einen öffentlich verfügbaren Exploit zu einer akuten Bedrohung werden.
Auch fehlende Informationen über die eigene IT-Landschaft erschweren die Priorisierung. Wer nicht weiß, welche Systeme besonders kritisch sind oder welche Assets aus dem Internet erreichbar sind, kann Risiken nur eingeschränkt bewerten.
Auch betriebliche Rahmenbedingungen beeinflussen die Umsetzung. Updates benötigen Tests, Wartungsfenster und klar definierte Patch-Prozesse. Security-Teams sollten deshalb dokumentieren, warum eine Maßnahme sofort umgesetzt, geplant oder vorübergehend zurückgestellt wird.
Fazit
Eine belastbare Schwachstellenpriorisierung verbindet den CVSS-Score mit Exploitability, Threat Intelligence und dem individuellen Unternehmenskontext. Dynamische Kennzahlen wie das VPR von Tenable helfen dabei, Veränderungen der Bedrohungslage schneller in die Bewertung aufzunehmen. Die höchste Dringlichkeit erhält die Schwachstelle, die im konkreten Unternehmen das größte Risiko verursacht.
Ein wirksames Schwachstellenmanagement schafft Transparenz über Systeme und Angriffswege. Es macht technische Findings für Security-Teams und Verantwortliche nachvollziehbar und führt zu einer klaren Reihenfolge für Patches und weitere Schutzmaßnahmen.
accompio GmbH
Grimsehlstraße 23
37574 Einbeck
Telefon: +49 (5561) 92046990
Telefax: +49 (5561) 9225-00
http://www.accompio.com
E-Mail: l.schmidt@accompio.com
Passwort-Sicherheit: Wie man wirklich sichere Passwörter erstellt – und warum die meisten daran scheitern
Timur Yilmaz, Service Owner für Security Validation bei accompio, erlebt in der Praxis regelmäßig, wie unsichere Passwörter Unternehmen gefährden. Bei Sicherheitsüberprüfungen und Password Checks werden Passwörter gezielt auf ihre Sicherheit geprüft – mit teilweise ernüchternden Ergebnissen. Im Experteninterview erklärt er, wie Angreifer an Passwörter gelangen, welche Fehler besonders häufig vorkommen und wie sich sichere Passwörter im Alltag tatsächlich umsetzen lassen.
Das Wichtigste in Kürze
- Länge ist entscheidend: Ein sicheres Passwort sollte möglichst lang sein. Passphrasen sind dabei eine praktische Möglichkeit, lange und dennoch merkbare Passwörter zu verwenden.
- Passwörter niemals wiederverwenden: Wird ein Passwort durch ein Datenleck bekannt, können Angreifer versuchen, es auch bei anderen Diensten und Unternehmenszugängen einzusetzen.
- Persönliche Informationen vermeiden: Namen, Geburtsdaten, Haustiere, Orte oder andere persönliche Bezüge eignen sich nicht als Passwort.
- Passwort-Manager erleichtern sichere Passwörter: Nutzer müssen sich dadurch nur noch ein einziges starkes Master-Passwort merken. Die übrigen Passwörter können automatisch generiert und sicher verwaltet werden.
- Multi-Faktor-Authentifizierung bleibt wichtig: Selbst wenn ein Passwort kompromittiert wurde, kann ein zusätzlicher Faktor den Zugriff weiterhin verhindern.
- Passwortrichtlinien allein reichen nicht: Unternehmen sollten Mitarbeitende konkret schulen und vermitteln, wie sichere Passwörter entstehen und warum bestimmte Verhaltensweisen riskant sind.
- Passwörter werden nicht so schnell verschwinden: Biometrische Verfahren können die Nutzung komfortabler machen. Ein Passwort bleibt jedoch häufig als Fallback bestehen.
Passwort-Sicherheit in der Praxis: Warum einfache Passwörter immer noch ein Problem sind
„SommerPflanze2025!“ oder „123456“ – Passwörter dieser Art begegnen Security-Experten noch immer regelmäßig. Auch Passwörter mit persönlichem Bezug, etwa Namen aus der Familie, Haustiere, Geburtsdaten oder bekannte Orte, sind problematisch.
Timur Yilmaz kennt diese Muster aus seiner täglichen Arbeit. Als Service Owner für Security Validation begleitet er Sicherheitsüberprüfungen und Security Audits bei Kunden. Dazu gehören auch Passwort-Checks, bei denen geprüft wird, wie sicher die im Unternehmen verwendeten Passwörter tatsächlich sind.
Das Ergebnis zeigt ein grundlegendes Problem: Technische Sicherheitsmaßnahmen können noch so umfangreich sein; wenn Zugangsdaten einfach zu erraten oder bereits an anderer Stelle kompromittiert worden sind, entsteht eine erhebliche Schwachstelle.
Wie gelangen Angreifer an Passwörter?
Passwörter können auf unterschiedlichen Wegen in die Hände von Angreifern gelangen. Ein besonders häufiges Szenario ist Phishing: Nutzer erhalten beispielsweise eine E-Mail mit einem Link, der zu einer gefälschten Login-Seite führt. Wird dort das Passwort eingegeben, können Angreifer die Zugangsdaten abgreifen.
Eine weitere Gefahr sind Datenlecks. Wird ein Online-Dienst kompromittiert, können dabei gespeicherte Zugangsdaten beziehungsweise Passwortdaten in die Hände von Angreifern gelangen. Diese Informationen können anschließend mit anderen bekannten Zugangsdaten abgeglichen werden.
Genau hier zeigt sich, warum Passwort-Wiederverwendung so gefährlich ist: Ein Passwort, das bei einem privaten Dienst kompromittiert wurde, kann zum Risiko für den Zugang zu Unternehmenssystemen werden, wenn dasselbe Passwort dort ebenfalls verwendet wird.
Was ist ein wirklich sicheres Passwort?
Bei der Frage, was ein sicheres Passwort ausmacht, steht für Timur Yilmaz vor allem ein Faktor im Mittelpunkt: die Länge.
Je länger ein Passwort ist, desto besser. Statt kurzer, komplex wirkender Zeichenfolgen können deshalb auch lange Passphrasen eingesetzt werden. Sie haben einen weiteren Vorteil: Lange Passwörter lassen sich häufig leichter merken, wenn sie aus mehreren Wörtern bestehen.
Gleichzeitig sollte ein Passwort keinen persönlichen Bezug haben. Namen, Geburtsdaten, Haustiere, Lieblingsorte oder andere Informationen, die sich über die betreffende Person herausfinden lassen, sollten nicht Bestandteil eines Passworts sein.
„Alles was einen persönlichen Bezug hat, sollte kein Passwort sein. Ich kenne meine Passwörter nicht. Ich kenne ein einziges Passwort – das für meinen Passwortmanager.“
— Timur Yilmaz, Service Owner bei accompio
Ein gutes Passwort ist also nicht zwingend das komplizierteste Passwort. Entscheidend ist vor allem, dass es lang, einzigartig und nicht aus persönlichen oder leicht vorhersehbaren Informationen abgeleitet ist.
Warum ein Passwort-Manager sinnvoll ist
Ein Passwort-Manager löst eines der größten praktischen Probleme bei der Passwort-Sicherheit: Niemand muss sich mehr dutzende komplexe Passwörter merken.
Stattdessen wird ein starkes Master-Passwort benötigt. Darin können die übrigen Zugangsdaten gespeichert und verwaltet werden. Ein Passwort-Manager kann zudem sichere, zufällige Passwörter generieren, die aus vielen Zeichen bestehen und keinen persönlichen Bezug haben.
Timur Yilmaz nutzt selbst einen Passwort-Manager – sowohl privat als auch im Unternehmen. Dadurch kennt er seine einzelnen Passwörter nicht einmal auswendig. Stattdessen wird für jeden Dienst ein eigenes, langes Passwort verwendet.
Reicht ein sicheres Passwort aus? Die Rolle der Multi-Faktor-Authentifizierung
Auch ein starkes Passwort sollte nicht die einzige Schutzmaßnahme sein. Eine wichtige zusätzliche Sicherheitsstufe ist die Multi-Faktor-Authentifizierung (MFA).
Dabei wird der Login nicht allein durch das Passwort abgesichert. Zusätzlich muss ein weiterer Faktor bestätigt werden – beispielsweise über ein Smartphone, einen Code oder ein biometrisches Verfahren.
Das erhöht die Sicherheit erheblich. Selbst wenn ein Angreifer ein Passwort kennt oder knacken konnte, reicht das Passwort allein nicht zwangsläufig aus, um sich Zugang zu einem geschützten Konto zu verschaffen.
Für Unternehmen sollte Multi-Faktor-Authentifizierung deshalb ein wichtiger Bestandteil einer ganzheitlichen Strategie für Identity & Access Security sein.
Passwort-Sicherheit im Unternehmen: Warum Schulungen wichtiger sind als reine Richtlinien
Unternehmen versuchen häufig, sichere Passwörter über verbindliche Passwortrichtlinien durchzusetzen. Vorgaben zu Groß- und Kleinbuchstaben, Zahlen und Sonderzeichen können zwar sinnvoll sein, garantieren jedoch nicht automatisch ein sicheres Passwort.
Ein Beispiel aus der Praxis zeigt das Problem: Ein Nutzer kann ein Passwort wie „SommerPflanze2025!!“ erstellen und damit formell verschiedene Komplexitätsanforderungen erfüllen. Trotzdem bleibt das Passwort vorhersehbar und damit unsicher.
Deshalb sieht Timur Yilmaz Schulungen als einen besonders wichtigen Bestandteil der Passwort-Sicherheit. Mitarbeitende müssen verstehen, wie sichere Passwörter entstehen, warum Passwort-Wiederverwendung gefährlich ist und welche Verhaltensweisen Angreifer ausnutzen können.
Passwort-Sicherheit ist damit nicht ausschließlich eine technische Aufgabe. Sie ist auch eine Frage von Wissen und Verhalten.
Was können Unternehmen konkret für bessere Passwort-Sicherheit tun?
Der erste Schritt besteht darin, den tatsächlichen Zustand zu kennen. Password-Checks und Sicherheitsüberprüfungen können dabei helfen, Schwachstellen sichtbar zu machen.
Darauf aufbauend sollten Unternehmen ihre Mitarbeitenden gezielt sensibilisieren und ihnen konkrete Methoden an die Hand geben. Dazu gehören insbesondere:
- individuelle und lange Passwörter für jeden Zugang,
- die Nutzung eines Passwort-Managers,
- der Verzicht auf persönliche Informationen in Passwörtern,
- keine Wiederverwendung von Unternehmenspasswörtern bei privaten Diensten,
- der Einsatz von Multi-Faktor-Authentifizierung,
- regelmäßige Schulungen und Sensibilisierung der Mitarbeitenden.
So wird aus einer abstrakten Passwortrichtlinie ein Sicherheitskonzept, das sich auch im Arbeitsalltag umsetzen lässt.
Fazit
Wer seine eigene Passwort-Sicherheit verbessern möchte, kann mit wenigen Schritten beginnen: Werden Passwörter mehrfach verwendet? Enthalten sie persönliche Informationen? Sind wichtige Konten zusätzlich durch Multi-Faktor-Authentifizierung geschützt? Und wird bereits ein Passwort-Manager eingesetzt?
Der wichtigste Schritt ist, nicht erst nach einem Sicherheitsvorfall aktiv zu werden. Passwort-Sicherheit sollte ein fester Bestandteil der persönlichen und unternehmerischen IT-Sicherheit sein.
accompio GmbH
Grimsehlstraße 23
37574 Einbeck
Telefon: +49 (5561) 92046990
Telefax: +49 (5561) 9225-00
http://www.accompio.com
E-Mail: l.schmidt@accompio.com
Die Resilienz-Lücke: Warum viele Security-Investitionen nicht wirken
Genau hier entsteht die Resilienz-Lücke.
Was sie verursacht, wie Unternehmen ihre Sicherheitsarchitektur ganzheitlich betrachten sollten und warum echte Cyber Resilience nicht einfach eingekauft werden kann, erklärt Sebastian Bittig, Director of Cyber Defense bei r-tec, im accompio Experteninterview. Bittig beschäftigt sich seit rund 15 Jahren mit Security-Architekturen und verbindet strategische Beratung mit operativer Erfahrung aus Managed Services und Incident Response. r-tec (Teil der accompio Gruppe) ist seit über 25 Jahren auf Cybersecurity spezialisiert und schützt Unternehmen sowie Betreiber kritischer Infrastrukturen in den Bereichen Cloud, OT, IoT und Big Data. Als Teil der accompio-Gruppe bringt r-tec mit einem eigenen Cyber Defense Center, über 100 Sicherheitsexperten, Managed SOC und eigenem CERT genau die technische Tiefe mit, die es braucht, um die im Interview beschriebenen Themen auch in der Praxis umzusetzen.
Das Wichtigste in Kürze
- Hohe Security-Investitionen bedeuten nicht automatisch hohe Resilienz. Entscheidend ist nicht die Anzahl eingesetzter Lösungen, sondern deren Zusammenspiel.
- Die Resilienz-Lücke entsteht häufig durch gewachsene und fragmentierte Security-Landschaften. Einzelne Systeme und Teams funktionieren für sich, sind aber nicht zu einem Gesamtsystem verbunden.
- Prävention bleibt die Basis der IT-Sicherheit, kann aber nicht jeden Angriff verhindern. Was nicht verhindert wird, muss zuverlässig erkannt und anschließend schnell behandelt werden.
- Detektion bildet die wichtige Verbindung zwischen Prävention und Response. Erkenntnisse aus Angriffen sollten zudem zurück in die Prävention fließen.
- Response ist der Realitätstest für die Cyber Resilience eines Unternehmens. Erst im Sicherheitsvorfall zeigt sich, ob Prozesse, Verantwortlichkeiten, Systeme und Menschen tatsächlich funktionieren.
- Resilienz ist nicht nur eine technische Aufgabe. Prozesse, Verantwortlichkeiten, Kommunikation und Zusammenarbeit zwischen Teams und Dienstleistern sind ebenso entscheidend.
- Resilienz lässt sich messen und trainieren. Kennzahlen wie Time to Respond und Mean Time to Recover sowie praxisnahe Notfallübungen zeigen, wie schnell ein Unternehmen auf einen Angriff reagieren und wieder handlungsfähig werden kann.
- Der Weg vom Tool-Stack zum Gesamtsystem braucht Zeit. Unternehmen sollten schrittweise vorgehen, bestehende Lösungen integrieren und Verantwortlichkeiten sowie Prozesse klar definieren.
Cyber Resilience: Warum Security-Investitionen allein nicht ausreichen
Viele Unternehmen investieren heute erhebliche Summen in ihre IT-Sicherheit. Trotzdem entsteht dadurch nicht automatisch ein höheres Maß an Cyber Resilience. Der Grund: Zwischen der Investition in einzelne Sicherheitsmaßnahmen und deren tatsächlicher Wirksamkeit kann eine deutliche Lücke entstehen.
Sebastian Bittig bezeichnet diese Lücke als Resilienz-Lücke. Sie entsteht insbesondere dann, wenn Unternehmen zwar viele Sicherheitsmaßnahmen etabliert haben, diese aber nicht als zusammenhängendes System funktionieren.
Ob ein Unternehmen tatsächlich resilient aufgestellt ist, zeigt sich dabei häufig erst dann, wenn ein echter Sicherheitsvorfall eintritt. Dann wird sichtbar, ob Erkennung, Kommunikation und Reaktion funktionieren – oder ob zwischen den einzelnen Sicherheitsbereichen Brüche bestehen.
Die Resilienz-Lücke entsteht häufig durch gewachsene Security-Landschaften
Ein typisches Problem vieler Unternehmen ist eine über Jahre gewachsene Sicherheitsarchitektur. Neue Lösungen werden ergänzt, wenn sich neue Anforderungen ergeben oder neue Bedrohungen entstehen. Was dabei häufig fehlt, ist eine übergeordnete Betrachtung des Gesamtsystems.
„Vor vielen Jahren hat man angefangen mit Antivirus. Nach und nach sind dann weitere Lösungen dazugekommen. In vielen Fällen wurde dabei nicht von Anfang an berücksichtigt, wie die einzelnen Systeme miteinander funktionieren und welche Informationen zwischen ihnen ausgetauscht werden müssen.“
— Sebastian Bittig, Director of Cyber Defense bei r-tec (Teil der accompio-Gruppe)
So entstehen Security-Silos: Einzelne Lösungen arbeiten technisch durchaus zuverlässig, liefern ihre Erkenntnisse aber nicht automatisch an die nächste Stelle in der Sicherheitskette.
Im Ernstfall kann genau das zum Problem werden. Informationen müssen manuell zusammengetragen werden, Verantwortlichkeiten sind nicht eindeutig oder relevante Hinweise werden zu spät erkannt. Das kostet vor allem eines: Zeit.
Und Zeit ist bei einem laufenden Cyberangriff ein entscheidender Faktor.
Prävention, Detektion und Response müssen als Gesamtsystem funktionieren
Drei funktionierende Einzelbereiche ergeben noch kein resilientes Unternehmen.
Entscheidend ist das Zusammenspiel aus Prävention, Detektion und Response. Alle drei Bereiche müssen Informationen austauschen, aufeinander aufbauen und gemeinsam auf ein Ziel einzahlen: einen Sicherheitsvorfall möglichst zu verhindern, frühzeitig zu erkennen, schnell einzudämmen und den Geschäftsbetrieb möglichst rasch wiederherzustellen.
Dafür braucht es mehr als einzelne Security-Tools.
Im Cyber Resilience Assessment werden genau diese Faktoren verprobt. Eine funktionierende Security-Architektur besteht laut Bittig aus dem Zusammenspiel von Technik, Prozessen und Menschen. Die eingesetzten Systeme müssen miteinander kommunizieren, Datenflüsse müssen funktionieren und Verantwortlichkeiten müssen klar geregelt sein.
Cyber Resilience ist auch ein organisatorisches Thema
Die Resilienz-Lücke ist deshalb nicht ausschließlich ein technisches Problem. Auch die Organisation eines Unternehmens spielt eine entscheidende Rolle.
Eine Investition in eine Sicherheitslösung muss organisatorisch begleitet werden. Prozesse müssen definiert, Verantwortlichkeiten festgelegt und Zuständigkeiten regelmäßig überprüft werden.
Besonders kritisch wird es, wenn Informationen oder Ansprechpartner nicht mehr aktuell sind. Bittig berichtet von einem Ransomware-Vorfall, bei dem ein Angriff zwar durch das eingesetzte SIEM erkannt wurde, die Reaktion aber dennoch ins Stocken geriet.
Der Grund war nicht die fehlende technische Erkennung. Vielmehr war der primäre Ansprechpartner des Kunden nicht mehr erreichbar, die hinterlegten Kontakte waren nicht aktuell und es gab keine ausreichende Bereitschaftsregelung für das Wochenende.
Das Beispiel zeigt: Ein erkanntes Security Event ist noch kein gelöster Sicherheitsvorfall.
Erst wenn aus der Erkennung eine definierte und schnelle Reaktion wird, entsteht tatsächliche Resilienz.
Wie lässt sich Cyber Resilience messen?
Resilienz ist kein abstraktes Ziel, sondern lässt sich anhand konkreter Kennzahlen und Übungen bewerten.
Zu den relevanten Größen gehören beispielsweise:
- Mean Time to Detect: Wie schnell erkennt ein Unternehmen einen Sicherheitsvorfall überhaupt?
- Mean Time to Respond: Wie schnell reagiert das Unternehmen darauf?
- Mean Time to Recover: Wie lange dauert es, bis Systeme und Prozesse wiederhergestellt sind und die Handlungsfähigkeit zurückkehrt?
Alle drei Kennzahlen geben wichtige Hinweise darauf, wie gut die Response-Prozesse tatsächlich funktionieren.
Dabei sollte der Blick nicht ausschließlich auf technische Kennzahlen gerichtet sein. Entscheidend ist letztlich der Outcome: Wie schnell wird ein Angriff erkannt? Wie schnell kann das Unternehmen reagieren? Und wie schnell ist der normale Betrieb wiederhergestellt?
Praxisbeispiel: Wenn ein erkannter Angriff trotzdem zum Problem wird
Ein besonders anschauliches Beispiel aus Bittigs Praxis ist ein Ransomware-Vorfall bei einem Neukunden.
Das Unternehmen verfügte bereits über einen Managed SOC Service und hatte gute Audit-Berichte. Auch technisch funktionierte die Detektion: Das eingesetzte SIEM erkannte den Angriff und der zuständige Service Provider informierte den Kunden.
Trotzdem kam die Reaktion zunächst nicht ausreichend in Gang.
Der entscheidende Schwachpunkt lag in der Organisation: Der hinterlegte primäre Ansprechpartner war inzwischen nicht mehr im Unternehmen. Am Wochenende war zudem niemand erreichbar und es gab keine ausreichend definierte Bereitschaft des Providers.
Technisch war der Angriff also erkannt worden. Das Gesamtsystem war trotzdem nicht handlungsfähig.
Den Unterschied hätten klar definierte Prozesse, aktuelle Ansprechpartner und festgelegte Befugnisse gemacht. Insbesondere für bestimmte Szenarien sollte bereits vorab geregelt sein, welche Maßnahmen ein Dienstleister selbstständig einleiten darf.
Das Beispiel verdeutlicht die zentrale Aussage des Interviews: Security Resilience entscheidet sich nicht allein daran, ob ein Angriff erkannt wird – sondern daran, was danach passiert.
Der Druck, sich mit Resilienz auseinanderzusetzen, kommt inzwischen auch von außen. Regulatorische Vorgaben wie NIS-2 und DORA verpflichten viele Unternehmen dazu, sich mit dem Thema aktiv zu beschäftigen, statt es aufzuschieben, bis ein Vorfall sie dazu zwingt.
Was Unternehmen beim Aufbau von Cyber Resilience vermeiden sollten
Eine der größten Gefahren ist, zu viel auf einmal verändern zu wollen.
Der Aufbau eines funktionierenden Security-Gesamtsystems kann Monate oder sogar Jahre dauern. Unternehmen sollten deshalb nicht versuchen, die gesamte Sicherheitsarchitektur in einer kurzen Workshop-Serie neu aufzubauen.
Stattdessen empfiehlt sich ein schrittweises Vorgehen:
- Reifegrad und bestehende Architektur analysieren
- Sicherheitslücken und Brüche zwischen den Bereichen identifizieren
- Bestehende Tools sinnvoll miteinander verbinden
- Verantwortlichkeiten und Prozesse definieren
- Response-Szenarien und Befugnisse festlegen
- Das Gesamtsystem regelmäßig testen und weiterentwickeln
So entsteht Schritt für Schritt ein Sicherheitsmodell, das nicht nur auf dem Papier funktioniert, sondern auch im Ernstfall handlungsfähig bleibt.
Fazit
Die Resilienz-Lücke entsteht dort, wo einzelne Security-Maßnahmen zwar funktionieren, aber kein funktionierendes Gesamtsystem bilden. Echte Cyber Resilience entsteht im Zusammenspiel und lässt sich nicht einfach erkaufen.
Prävention, Detektion und Response dürfen deshalb nicht isoliert betrachtet werden. Sie müssen ineinandergreifen, Informationen austauschen und durch klare Prozesse und Verantwortlichkeiten miteinander verbunden sein.
Dabei spielen nicht nur Technologien eine Rolle. Menschen, Prozesse und Technik müssen gemeinsam funktionieren.
Die eigentlich entscheidende Frage ist deshalb gar nicht mehr, welche Security-Lösung als Nächstes angeschafft werden sollte. Viel wichtiger ist: Funktioniert das gesamte System auch dann noch, wenn es wirklich drauf ankommt?rn:
„Wie stellen wir sicher, dass unser gesamtes Security-System im Ernstfall funktioniert?“
Denn genau dort entscheidet sich echte Cyber Resilience.
Über den Experten
Sebastian ist Security-Experte und berät Kunden beim Aufbau resilienter IT-Sicherheitsstrukturen und Security-Systeme.
FAQ: Häufige Fragen zu Cyber ResilienceWas bedeutet Cyber Resilience?
Cyber Resilience beschreibt die Fähigkeit eines Unternehmens, Cyberangriffe und Sicherheitsvorfälle zu verhindern, frühzeitig zu erkennen, wirksam darauf zu reagieren und die Handlungsfähigkeit anschließend schnell wiederherzustellen. Entscheidend ist dabei das Zusammenspiel aus Prävention, Detektion und Response.
Was bedeutet Resilienz in der IT?
In der IT beschreibt Resilienz die Fähigkeit von Systemen und Organisationen, auch unter Störungen oder Angriffen funktionsfähig zu bleiben oder sich schnell davon zu erholen. Cyber Resilience ist die Anwendung dieses Prinzips speziell auf IT-Sicherheit und Cyberangriffe.
Was ist die Resilienz-Lücke?
Die Resilienz-Lücke bezeichnet den Abstand zwischen den vorhandenen Security-Investitionen und der tatsächlichen Fähigkeit eines Unternehmens, im Ernstfall wirksam zu handeln. Sie entsteht häufig dann, wenn einzelne Security-Lösungen zwar funktionieren, aber nicht zu einem integrierten Gesamtsystem verbunden sind.
Warum reichen Security-Tools allein nicht aus?
Security-Tools liefern wichtige Funktionen für Prävention, Detektion oder Response. Sie erzeugen jedoch nicht automatisch ein funktionierendes Gesamtsystem. Erst wenn Technik, Prozesse und Menschen zusammenspielen und Informationen sowie Verantwortlichkeiten klar definiert sind, entsteht echte Cyber Resilience.
Welche Rolle spielen Prävention, Detektion und Response?
Prävention soll Angriffe möglichst verhindern. Was nicht verhindert werden kann, muss durch Detektion möglichst schnell erkannt werden. Anschließend sorgt Response dafür, dass geeignete Maßnahmen eingeleitet, Angriffe eingedämmt und betroffene Systeme wiederhergestellt werden. Die drei Bereiche müssen dabei eng miteinander verzahnt sein.
Wie lässt sich Cyber Resilience messen?
Resilienz lässt sich messen und trainieren. Kennzahlen wie Mean Time to Detect, Mean Time to Respond und Mean Time to Recover sowie praxisnahe Notfallübungen zeigen, wie schnell ein Unternehmen einen Angriff erkennt, darauf reagiert und wieder handlungsfähig wird.
Wie können Unternehmen ihre Cyber Resilience verbessern?
Ein sinnvoller Einstieg ist eine Analyse des bestehenden Security-Reifegrads. Angriffssimulationen können dabei helfen, Schwachstellen im Zusammenspiel von Prävention, Detektion und Response sichtbar zu machen. Anschließend sollten Unternehmen bestehende Tools integrieren, Verantwortlichkeiten definieren und Prozesse schrittweise verbessern.
Ist Cyber Resilience nur ein technisches Thema?
Nein. Cyber Resilience ist ein Zusammenspiel aus Technik, Prozessen und Menschen. Unklare Verantwortlichkeiten, veraltete Ansprechpartner oder fehlende Bereitschaftsregelungen können dazu führen, dass ein erkannter Angriff trotzdem nicht schnell behandelt werden kann.
Warum ist Response für Cyber Resilience so wichtig?
Response zeigt, ob ein Unternehmen im Ernstfall tatsächlich handlungsfähig ist. Ein Angriff kann technisch erkannt werden – wenn anschließend jedoch niemand erreichbar ist, Zuständigkeiten unklar sind oder notwendige Befugnisse fehlen, entsteht trotzdem ein erheblicher Zeitverlust und potenziell größerer Schaden.
accompio GmbH
Grimsehlstraße 23
37574 Einbeck
Telefon: +49 (5561) 92046990
Telefax: +49 (5561) 9225-00
http://www.accompio.com
E-Mail: l.schmidt@accompio.com
Was sind Managed IT Services?
Bei accompio ist dieser Ansatz unter dem Namen Managed IT Operations gebündelt und umfasst konkret sechs Leistungsbereiche mit jeweils eigenen, klar abgegrenzten Services:
- Backup und Restore, mit Leistungen wie Managed Backup und Cloud Backup Storage
- Identity und Access, mit Leistungen wie Domain Services und Enterprise Password Management
- Monitoring, mit Managed Monitoring und Alerting sowie zentraler Security Logging
- Service Desk, mit Service Desk und Support nach definierten SLAs sowie Managed Application Service
- Asset Management, mit zentraler Verwaltung der IT Assets
- Governance, mit automatisierter Governance für strukturierte IT Administration
Full Managed oder Co-Managed: zwei Modelle von Managed IT Services
Managed IT Services lassen sich in zwei Modelle unterscheiden:
Full Managed Service, bei dem ein Managed Service Provider den gesamten IT-Betrieb übernimmt, und Co-Managed IT, bei dem der Provider eine bestehende interne IT-Abteilung gezielt ergänzt und entlastet.
Welche Vorteile bieten Managed IT Services?
Unternehmen, die IT-Aufgaben an einen Managed Service Provider auslagern, profitieren in der Praxis von folgenden Effekten:
Planbare Kosten
Managed IT Services werden in der Regel über eine monatliche Gebühr abgerechnet, wodurch IT Ausgaben besser budgetierbar werden als bei Einzelabrechnung von Störfällen.
Entlastung interner Teams
Interne IT Abteilungen müssen Routineaufgaben wie Monitoring und Patching nicht mehr selbst abdecken und können sich auf strategische Projekte konzentrieren.
Geringere Ausfallzeiten
Durch proaktives Monitoring werden potenzielle Störungen häufig erkannt, bevor sie den Betrieb beeinträchtigen.
Zugriff auf spezialisiertes Fachwissen
Gerade bei Themen wie IT Sicherheit oder Cloud Infrastruktur profitieren Unternehmen von Experten, die sich ausschließlich auf diese Bereiche konzentrieren.
So setzt accompio Managed IT Services in der Praxis um
Managed IT Services funktionieren nur, wenn ein Anbieter die dafür nötige Kontinuität und Personaltiefe tatsächlich vorhält. accompio bietet Managed Services bereits seit 2004 nach ITIL Standard an und beschäftigt aktuell rund 700 IT Experten an 19 Standorten in Deutschland, Österreich, Ungarn und Bulgarien.
Praxisbeispiel: Managed Cloud Operations bei SMA Solar Technology AG
Bei der SMA Solar Technology AG hat accompio ein eigenes Cloud Operating Team aufgebaut, das den laufenden Betrieb der Cloud Infrastruktur des Kunden dauerhaft verantwortet, ein gutes Beispiel für Managed Services im Tagesbetrieb statt nur in der Projektphase.
Sven Syborg, IT Architect Digital Platform Solutions und PO für das Team Cloud, Data und AI bei SMA, beschreibt das Ergebnis so:
„Dank accompio haben wir es geschafft, das betriebliche Hamsterrad zu durchbrechen und uns auf die Optimierung unserer Services zu konzentrieren. Die Veränderungen in unserer Zusammenarbeit haben bis heute Bestand und wir profitieren nach wie vor von den positiven Auswirkungen.“
– Sven Syborg, IT Architect Digital Platform Solutions bei SMA
Kalkulierbare Kosten in der Praxis
Diese Erfahrung bestätigt auch Stephan Neubauer, CEO der Venturetec Rotating Systems GmbH, in seiner Rückmeldung zur Zusammenarbeit mit accompio:
„Aufgrund der Komplexität und der steigenden Anforderungen bei der Betreuung und Integration unterschiedlichster Anwendungssysteme haben wir beschlossen, dieses Thema extern und in die Hände von Spezialisten zu geben. Diesen kompetenten Partner haben wir in der accompio gefunden. Ihr smart IT Konzept als ganzheitliche Lösung lässt uns Zeit für unsere eigentlichen Aufgaben und verschafft uns in allen IT Fragen Sicherheit bei klar kalkulierbaren Kosten.“
– Stephan Neubauer, CEO der Venturetec Rotating Systems GmbH
Unsere Lösung: IT Works 360 – Der nächste Schritt zu Full Managed IT Services
Sie möchten wissen, wie Full Managed IT in Ihrem Unternehmen aussehen kann?
Mit dem Produkt IT Works 360 erhalten Sie eine individuell konfigurierbare Full Managed IT-Lösung für den Mittelstand – abgestimmt auf Ihre Unternehmensgröße, Ihre Anforderungen und Ihren bestehenden IT-Betrieb.
Leistungen von IT Works 360 ansehen
Häufige Fragen zu Managed IT Services
Wie unterscheiden sich Managed IT Services von klassischem IT Support?
Klassischer IT Support reagiert auf Störungen, nachdem sie aufgetreten sind. Managed IT Services setzen auf laufendes Monitoring, damit Probleme im besten Fall erkannt werden, bevor sie den Betrieb beeinträchtigen.
Was kostet ein Managed IT Service?
Die Kosten hängen vom Umfang der übernommenen Aufgaben und der Anzahl der betreuten Systeme oder Arbeitsplätze ab und werden individuell im Service Level Agreement (SLA) festgelegt.
Ist meine IT bei einem Managed Service Provider noch selbst kontrollierbar?
Ja. Die Datenhoheit und die grundsätzliche Verantwortung verbleiben beim Unternehmen selbst, der Provider übernimmt die vertraglich vereinbarten Betriebsaufgaben.
accompio GmbH
Grimsehlstraße 23
37574 Einbeck
Telefon: +49 (5561) 92046990
Telefax: +49 (5561) 9225-00
http://www.accompio.com
E-Mail: l.schmidt@accompio.com
Mobile Device Security: Das größte Sicherheitsrisiko sitzt in der Hosentasche
Dennoch konzentrieren sich viele Unternehmen bei ihrer IT-Sicherheit noch immer auf Server, Notebooks oder Netzwerke. Mobile Endgeräte werden häufig unterschätzt – obwohl sie Zugriff auf sensible Unternehmensdaten ermöglichen und bei Verlust oder unzureichender Absicherung erhebliche Risiken bergen.
Im accompio-Experteninterview erklärt Silas Weißmann, warum Mobile Device Security heute ein unverzichtbarer Bestandteil moderner Cybersecurity ist, welche Rolle Mobile Device Management (MDM) dabei spielt und mit welchen Maßnahmen Unternehmen ihre mobilen Geräte wirksam absichern können.
Das Wichtigste in Kürze
- Smartphones und Tablets sind heute geschäftskritische Arbeitsgeräte mit Zugriff auf sensible Unternehmensdaten.
- Mobile Endgeräte erweitern die Angriffsfläche von Unternehmen und müssen deshalb genauso geschützt werden wie Notebooks oder Server.
- Zu den größten Risiken zählen verlorene Geräte, schwache Passcodes und fehlende Sicherheitsrichtlinien.
- Ein professionelles Mobile Device Management (MDM) ermöglicht die zentrale Verwaltung, Absicherung und Aktualisierung mobiler Endgeräte.
- Bereits einfache Maßnahmen wie starke Authentifizierung, Verschlüsselung und zentrale Richtlinien erhöhen die Sicherheit deutlich.
- Mobile Device Security ist ein wichtiger Baustein einer ganzheitlichen Zero-Trust- und Cybersecurity-Strategie.
Mobile Device Security beginnt dort, wo Unternehmen heute arbeiten
Die Arbeitswelt ist mobil. E-Mails werden auf dem Smartphone beantwortet, Termine unterwegs koordiniert und Dokumente über Cloud-Dienste oder Collaboration-Plattformen wie Microsoft Teams aufgerufen. Für viele Mitarbeitende ist das Smartphone inzwischen das Gerät, das sie am häufigsten nutzen.
Diese Entwicklung bringt enorme Vorteile für Produktivität und Flexibilität mit sich – verändert aber gleichzeitig die Anforderungen an die IT-Sicherheit. Denn jedes mobile Endgerät, das auf Unternehmensressourcen zugreift, erweitert die potenzielle Angriffsfläche.
Im Interview beschreibt Silas Weißmann diese Entwicklung als eine der größten Veränderungen der vergangenen Jahre. Smartphones seien heute fester Bestandteil nahezu jedes Arbeitsplatzes und müssten deshalb genauso professionell verwaltet und abgesichert werden wie Notebooks oder Desktop-PCs.
„Das Smartphone ist heute eines der wichtigsten Arbeitsgeräte. Trotzdem wird seine Bedeutung für die IT-Sicherheit häufig noch unterschätzt.„
— Silas Weißmann, IT-Systemberater bei accompio
Warum Smartphones für Unternehmen ein attraktives Angriffsziel sind
Cyberkriminelle suchen nicht zwangsläufig nach dem technisch schwächsten System – sie suchen nach dem einfachsten Einstieg. Mobile Endgeräte bieten hierfür häufig günstige Voraussetzungen, wenn sie nicht zentral verwaltet oder ausreichend abgesichert werden.
Besonders kritisch ist dabei, dass Smartphones heute auf zahlreiche Unternehmensdienste zugreifen können. Dazu gehören unter anderem:
- Microsoft 365 und Exchange
- Microsoft Teams
- Unternehmenskontakte und Kalender
- Cloud-Speicher
- Geschäftliche Dokumente
- Authentifizierungs-Apps und Multi-Faktor-Authentifizierung
Geht ein Gerät verloren oder wird kompromittiert, können Angreifer unter Umständen auf sensible Unternehmensinformationen zugreifen. Umso wichtiger ist es, mobile Endgeräte nicht als isolierte Geräte zu betrachten, sondern als integralen Bestandteil der Unternehmens-IT.
Die größten Risiken liegen oft im Alltag
Entgegen der verbreiteten Annahme entstehen viele Sicherheitsvorfälle nicht durch hochkomplexe Hackerangriffe, sondern durch alltägliche Situationen.
Im Interview nennt Silas Weißmann insbesondere den Verlust mobiler Geräte als eines der größten Risiken. Gelangt ein Smartphone ohne ausreichenden Schutz in falsche Hände, kann dies erhebliche Folgen haben – insbesondere dann, wenn schwache Passcodes verwendet werden oder keine zentralen Sicherheitsrichtlinien existieren.
Zu den häufigsten Risiken zählen:
- verlorene oder gestohlene Smartphones
- schwache oder leicht zu erratende Gerätecodes
- fehlende Bildschirmsperren
- veraltete Betriebssysteme
- unkontrollierte App-Installationen
- fehlende zentrale Geräteverwaltung
Gerade diese Risiken lassen sich jedoch mit vergleichsweise geringem Aufwand deutlich reduzieren.
Mobile Device Management schafft Transparenz und Kontrolle
Eine wirksame Mobile Device Security beginnt mit Transparenz. Unternehmen müssen wissen, welche mobilen Endgeräte auf Unternehmensressourcen zugreifen, welchen Sicherheitsstatus sie besitzen und ob definierte Richtlinien eingehalten werden.
Hier setzt ein Mobile Device Management (MDM) an. Es ermöglicht der IT, Smartphones und Tablets zentral zu verwalten und Sicherheitsstandards unternehmensweit umzusetzen.
Über eine MDM-Lösung können beispielsweise:
- Sicherheitsrichtlinien automatisiert ausgerollt,
- Geräte verschlüsselt,
- Mindestanforderungen an Passcodes definiert,
- Betriebssysteme aktuell gehalten,
- Unternehmensdaten geschützt und
- verlorene Geräte bei Bedarf aus der Ferne gesperrt oder zurückgesetzt werden.
Dadurch entsteht eine einheitliche Sicherheitsbasis – unabhängig davon, ob wenige oder mehrere hundert mobile Endgeräte im Einsatz sind.
„Die Technik sollte den Nutzer unterstützen – nicht ausbremsen. Gute Mobile Device Security funktioniert im Idealfall, ohne dass Mitarbeitende sie im Alltag überhaupt wahrnehmen.„
— Silas Weißmann, IT-Systemberater bei accompio
Mobile Device Security ist mehr als eine technische Lösung
Technologie allein reicht jedoch nicht aus. Mobile Device Security ist dann besonders wirksam, wenn technische Maßnahmen, klare Prozesse und ein entsprechendes Sicherheitsbewusstsein zusammenkommen.
Mitarbeitende sollten wissen,
- warum sichere Passcodes wichtig sind,
- weshalb Unternehmensdaten ausschließlich über freigegebene Apps verarbeitet werden sollten,
- wie sie Phishing-Nachrichten auf mobilen Geräten erkennen und
- welche Schritte bei Verlust eines Smartphones unmittelbar erforderlich sind.
Eine moderne Sicherheitsstrategie verbindet deshalb technische Schutzmechanismen mit klaren Richtlinien und regelmäßiger Sensibilisierung der Beschäftigten.
„Mobile Device Management ist kein Selbstzweck. Es schafft die Grundlage dafür, mobile Geräte sicher, effizient und nachvollziehbar in die Unternehmens-IT zu integrieren.„
— Silas Weißmann, IT-Systemberater bei accompio
Mobile Device Security mit accompio umsetzen
Sie möchten mobile Endgeräte sicher verwalten? accompio entwickelt Sicherheitsstrategien und -lösungen für Mobile Device Management, die zu Ihren Anforderungen passen.
Quick Wins: So verbessern Unternehmen ihre Mobile Device Security
Bereits mit wenigen Maßnahmen lässt sich das Sicherheitsniveau mobiler Endgeräte deutlich erhöhen.
Unternehmen sollten insbesondere:
1. Mobile Device Management zentral einführen
2. sichere Passcode- und Sperrbildschirmrichtlinien definieren bzw. biometrische Authentifizierung nutzen
3. Geräte konsequent verschlüsseln und Sicherheitsupdates überwachen und aktiv steuern
4. ausschließlich vertrauenswürdige App-Quellen zulassen
5. Unternehmens- und Privatdaten sauber voneinander trennen
6. verlorene Geräte per Remote-Wipe absichern
7. Mitarbeitende regelmäßig für mobile Sicherheitsrisiken sensibilisieren
Diese Maßnahmen bilden eine solide Grundlage für eine nachhaltige Mobile Device Security und lassen sich unabhängig von der Unternehmensgröße umsetzen.
Fazit
Mobile Endgeräte sind heute fester Bestandteil nahezu jeder Unternehmens-IT. Gleichzeitig gehören sie zu den am häufigsten unterschätzten Angriffsflächen.
Wer Smartphones und Tablets nicht konsequent absichert, riskiert den unbefugten Zugriff auf sensible Unternehmensdaten. Ein professionelles Mobile Device Management schafft die notwendige Transparenz, automatisiert Sicherheitsrichtlinien und reduziert den administrativen Aufwand erheblich.
Mobile Device Security sollte deshalb nicht isoliert betrachtet werden, sondern als wichtiger Bestandteil einer ganzheitlichen Cybersecurity- und Zero-Trust-Strategie. Unternehmen, die mobile Endgeräte konsequent verwalten und absichern, schaffen nicht nur mehr Sicherheit, sondern auch effizientere Prozesse und eine bessere Nutzererfahrung.
Über den Experten
Silas Weißmann ist IT-Systemberater bei accompio und begleitet Unternehmen bei der Einführung und dem Betrieb moderner Mobile Device Management-Lösungen.
FAQ zu Mobile Device Security und Mobile Device Management
Was ist Mobile Device Security?
Mobile Device Security umfasst alle technischen und organisatorischen Maßnahmen zum Schutz von Smartphones und Tablets vor Datenverlust, unbefugtem Zugriff, Malware und anderen Cyberbedrohungen.
Was versteht man unter Mobile Device Management (MDM)?
Mobile Device Management (MDM) ist eine Lösung zur zentralen Verwaltung mobiler Endgeräte. Unternehmen können damit Sicherheitsrichtlinien umsetzen, Geräte konfigurieren, Apps verwalten und verlorene Geräte aus der Ferne sperren oder löschen.
Warum ist Mobile Device Security für Unternehmen so wichtig?
Mobile Endgeräte greifen auf E-Mails, Cloud-Anwendungen und Unternehmensdaten zu. Ohne geeignete Sicherheitsmaßnahmen können verlorene oder kompromittierte Geräte erhebliche Risiken für die Informationssicherheit darstellen.
Welche Vorteile bietet Mobile Device Management?
MDM ermöglicht eine zentrale Verwaltung aller mobilen Geräte, automatisiert Sicherheitsrichtlinien, reduziert den Administrationsaufwand und verbessert die Compliance.
Können private Smartphones sicher im Unternehmen genutzt werden?
Ja. Sofern geeignete Sicherheitsrichtlinien und MDM-Lösungen eingesetzt werden. Diese ermöglichen unter anderem die Trennung privater und geschäftlicher Daten sowie die zentrale Verwaltung geschäftlicher Anwendungen.
Welche Rolle spielen Apple Business Manager und Android Enterprise?
Beide Plattformen unterstützen Unternehmen dabei, mobile Endgeräte automatisiert bereitzustellen, zentral zu verwalten und Sicherheitsrichtlinien bereits während der Einrichtung umzusetzen.
Welche ersten Maßnahmen verbessern die Mobile Device Security?
Zu den wichtigsten Maßnahmen zählen starke Passcodes, biometrische Authentifizierung, Geräteverschlüsselung, regelmäßige Updates, Mobile Device Management und die Sensibilisierung der Mitarbeitenden.
Ist Mobile Device Management auch für mittelständische Unternehmen sinnvoll?
Ja. Gerade mittelständische Unternehmen profitieren von standardisierten Sicherheitsprozessen, einer geringeren Administrationslast und einem besseren Schutz sensibler Unternehmensdaten.
accompio GmbH
Grimsehlstraße 23
37574 Einbeck
Telefon: +49 (5561) 92046990
Telefax: +49 (5561) 9225-00
http://www.accompio.com
E-Mail: l.schmidt@accompio.com
Backup Monitoring: Wann ist ein Backup wirklich sicher?
Das Wichtigste in Kürze
- Backup Monitoring prüft laufend, ob Backups vollständig, funktionsfähig und im Ernstfall wiederherstellbar sind, unabhängig davon, ob ein Backup Job als erfolgreich markiert ist.
- Ein grünes Symbol beim Backup Job bestätigt nur, dass ein Prozess ohne Absturz durchlief. Über die tatsächliche Vollständigkeit sagt es nichts aus.
- Silent Failures entstehen, wenn Tools Fehlermeldungen unterdrücken oder neue Systeme gar nicht erst ins Backup aufnehmen.
- Snapshots ersetzen laut Stefan Schröder, Geschäftsführer von BACKUP EAGLE®, kein Backup. Sie ergänzen eine Backup-Strategie, gehen aber im Ernstfall mit den Originaldaten verloren.
- Immutable Speicher und Air Gapping schützen Backups zusätzlich vor Ransomware Angriffen, da Angreifer die Daten dort weder verschlüsseln noch löschen.
- RPO (Recovery Point Objective) und RTO (Recovery Time Objective) legen fest, wie viele Daten ein Unternehmen maximal verliert und wie schnell ein System wieder läuft.
- BACKUP EAGLE® empfiehlt Restore Tests mindestens halbjährlich, idealerweise monatlich.
- Ein Backup ersetzt keine Sicherheitsarchitektur. Es ist die letzte Verteidigungslinie, wenn Firewall, Virenscanner und EDR Systeme versagen.
Warum ist ein erfolgreicher Backup Job keine Garantie für Sicherheit?
Ein Backup Job gilt technisch als erfolgreich, sobald der Prozess ohne Fehlermeldung endet. Über die inhaltliche Vollständigkeit sagt dieser Status nichts aus. Fehlt eine Einstellung, ein Ordner oder ein neu eingerichtetes System, sichert das Tool trotzdem weiter Daten, meldet aber weiterhin „erfolgreich“. Genau an dieser Stelle entstehen Silent Failures, also Sicherheitslücken im Backup, die niemand bemerkt, bis eine Wiederherstellung ansteht.
„Das Backup ist Teil der Sicherheitsarchitektur, man könnte es auch „Last line of defense“ nennen. Wenn nichts mehr geht, dann ist hoffentlich das Backup noch da.„
— Stefan Schröder, Geschäftsführer BACKUP EAGLE®
Häufige Ursachen für Silent Failures sind unterdrückte Fehlermeldungen, neu hinzugekommene Systeme, die nie ins Backup aufgenommen wurden und eine fehlende Alarmierung, weil diese Aufgabe außerhalb der eigentlichen Backup Lösung liegt. Backup Monitoring deckt genau diese Lücken auf, bevor eine echte Wiederherstellung ansteht.
Snapshot vs. Backup: Welche Rolle spielen Snapshots wirklich?
Ein Snapshot bildet den Zustand eines Systems zu einem bestimmten Zeitpunkt ab und stellt Daten meistens sehr schnell wieder her. In der Backup Branche gilt deshalb der Grundsatz: Ein Snapshot ist kein Backup. Der entscheidende Unterschied liegt in der Unabhängigkeit der Speicherung. Ein Snapshot liegt oft auf demselben System wie die Originaldaten und geht bei einem Ausfall oder Angriff mit ihnen verloren.
Snapshots bleiben trotzdem ein wichtiger Teil einer Backup Strategie, da sie eine schnelle Wiederherstellung im Alltag ermöglichen. Bei einem schweren Angriff oder einem zerstörten Snapshot bleibt jedoch ausschließlich das unabhängig gespeicherte Backup als Rettung übrig.
Wie schützen Immutable Backup und Air Gap Backup vor Ransomware?
Moderne Ransomware Angriffe stammen selten von Einzeltätern, sondern von organisierten, spezialisierten Gruppierungen, die gezielt Backup Systeme angreifen.
„Da sitzt nicht irgendwo jemand in einer Garage und versucht sich irgendwo einzuhacken, das sind ganze Gruppierungen, professionelle IT-Teams, die eigene spezialisierte Administratoren haben.„
— Stefan Schröder, Geschäftsführer BACKUP EAGLE®
Diese Teams zerstören gezielt Backup Tools oder die Speicherorte, auf denen Backups liegen. Immutable Backup und Air Gap Backup begegnen genau diesem Risiko. Immutable Speicher schützen gespeicherte Daten dauerhaft vor nachträglichem Überschreiben und Löschen, unabhängig von Administratorrechten. Air Gapping lagert Kopien der Daten an einem getrennten Standort mit einer echten Unterbrechung zur Produktivumgebung. Beide Maßnahmen zählen laut BACKUP EAGLE® zu den wichtigsten technischen Bausteinen für ein sicheres Backup Monitoring gegen Ransomware.
Managed Backup Monitoring für Ihr Unternehmen
accompio richtet Backup Monitoring für Unternehmen und öffentliche Auftraggeber ein, deckt Silent Failures auf und dokumentiert Restore Tests nachvollziehbar.
RPO und RTO im Backup Monitoring
RPO (Recovery Point Objective) legt fest, wie weit ein Unternehmen im Ernstfall zeitlich zurückgeht und wie viele Daten dabei maximal verloren gehen.
RTO (Recovery Time Objective) legt fest, wie schnell ein System nach einem Ausfall wieder läuft. Beide Werte definieren Unternehmen individuell pro System, da nicht jede Anwendung dieselbe Priorität besitzt.
Backup Monitoring Software wie BACKUP EAGLE® misst konkret, wie lange ein Restore Test tatsächlich dauert, und dokumentiert, wie weit ein Wiederherstellungspunkt zurückreicht. Ohne diese Messung bleibt nur die technische Erfolgsmeldung eines Tools, nicht das tatsächliche Risiko für das Unternehmen.
Wie oft sollten Restore Tests stattfinden?
BACKUP EAGLE® empfiehlt Restore Tests mindestens halbjährlich, idealerweise monatlich. Ein vollständiger Test der gesamten Umgebung ist dafür nicht notwendig, punktuelle Stichproben genügen meistens. Entscheidend ist die Regelmäßigkeit, dokumentiert über feste Testpläne, die einem Unternehmen jederzeit den Nachweis liefern, dass eine Wiederherstellung tatsächlich funktioniert.
Fazit
Ein Backup gilt erst dann als sicher, wenn eine Wiederherstellung nachweislich funktioniert, nicht schon, wenn ein Tool „erfolgreich“ meldet. Backup Monitoring deckt genau diesen Unterschied auf, durch laufende Prüfung, regelmäßige Restore Tests und den Schutz über Immutable Speicher sowie Air Gapping. Unternehmen, die ihr aktuelles Backup Setup überprüfen, finden Details zur Leistung Backup, Reporting, Monitoring & Audit bei accompio.
Über den Experten
Stefan Schröder ist Geschäftsführer von BACKUP EAGLE® und ist Experte für On-premise & Cloud Backup-Strukturen sowie deren Sicherung.
FAQ zu Backup Monitoring
Was ist der Unterschied zwischen Backup Monitoring und Backup Reporting?
Backup Monitoring zeigt den aktuellen technischen Zustand von Backups, meistens über ein Dashboard. Backup Reporting dokumentiert diesen Zustand über einen längeren Zeitraum, vor allem für Compliance Nachweise gegenüber Prüfern oder Kunden.
Ist ein Snapshot dasselbe wie ein Backup?
Nein, ein Snapshot ergänzt ein Backup, ersetzt es aber nicht. Ein Snapshot liegt häufig auf demselben System wie die Originaldaten und geht bei einem Systemausfall oder Angriff mit ihnen verloren.
Worauf sollten Unternehmen bei einer Backup Monitoring Software achten?
Eine geeignete Backup Monitoring Software erkennt Schwankungen in Datenmenge und Laufzeit eines Backups, findet leere oder unvollständige Sicherungen und meldet ungewöhnliche Veränderungen an Metadaten oder Aufbewahrungsfristen. Diese Auffälligkeiten deuten häufig auf Ransomware, Fehlkonfigurationen oder übersehene Systeme hin. Zusätzlich unterscheidet eine gute Lösung klar zwischen Monitoring (aktueller Zustand auf einen Blick), Logging (sicherheitsrelevante Protokollierung) und Reporting (Nachweis für Compliance Zwecke), da diese drei Bereiche unterschiedliche Aufgaben erfüllen.
Was sind Silent Failures beim Backup?
Silent Failures sind unentdeckte Lücken in einem Backup, etwa nicht gesicherte Dateien oder neue Systeme, die nie ins Backup aufgenommen wurden. Der Backup Job meldet trotzdem „erfolgreich“, da das Tool die Lücke selbst nicht erkennt.
Schützt ein Backup automatisch vor Ransomware?
Ein Backup allein reicht nicht aus. Firewalls, Virenscanner und EDR Systeme greifen vor einem Angriff. Das Backup bildet die letzte Verteidigungslinie, falls diese Mechanismen versagen.
Wie oft sollte ein Unternehmen seine Backups testen?
BACKUP EAGLE® empfiehlt Restore Tests mindestens alle sechs Monate, idealerweise monatlich, dokumentiert über einen festen Testplan.
accompio GmbH
Grimsehlstraße 23
37574 Einbeck
Telefon: +49 (5561) 92046990
Telefax: +49 (5561) 9225-00
http://www.accompio.com
E-Mail: l.schmidt@accompio.com
Confidential Computing macht KI für Unternehmen geschäftsfähig
Leonard Püttmann, Solutions Architect AI bei accompio, ordnet im Gespräch ein, wie die Technologie funktioniert, für welche Anwendungsfälle sie sich eignet und wo ihre Grenzen liegen. Dieser Artikel erklärt die Funktionsweise von Confidential Computing und Confidential AI, grenzt beide Begriffe voneinander ab und zeigt konkrete erste Schritte für den Einsatz im Unternehmen.
Das Wichtigste in Kürze
- Confidential Computing verschlüsselt Daten zusätzlich während der aktiven Verarbeitung, nicht nur bei Übertragung und Speicherung.
- Die technische Basis bildet eine Trusted Execution Environment (TEE) direkt auf Prozessorebene.
- Selbst der Betreiber des KI-Modells hat keinen Zugriff auf die verarbeiteten Daten.
- Der Performance-Unterschied zu klassischer KI-Nutzung liegt laut accompio bei 5 bis 10 Prozent.
- Die Technologie deckt aktuell Open-Source-KI-Modelle ab, ausreichend für 90 bis 95 Prozent der Anwendungsfälle.
Was ist Confidential Computing?
Confidential Computing ist eine Sicherheitstechnologie, die Daten auch während der aktiven Verarbeitung auf Hardware-Ebene verschlüsselt hält. Klassische Verschlüsselung schützt Daten bei der Übertragung zwischen Systemen und bei der Speicherung auf einem Server. Sobald ein Programm oder ein KI-Modell mit den Daten arbeitet, liegen sie bei klassischen Systemen üblicherweise unverschlüsselt vor und sind damit für den Betreiber der Infrastruktur einsehbar.
Confidential Computing schließt genau diese Lücke über eine Trusted Execution Environment (TEE), eine isolierte, verschlüsselte Umgebung direkt auf dem Prozessor. Leonard Püttmann beschreibt das Prinzip im Gespräch als Tresor, bei dem selbst der Betreiber der Infrastruktur keinen Zugriff auf den Inhalt hat.
Kerndefinition: Confidential Computing verschlüsselt Daten während der aktiven Verarbeitung zusätzlich zur Verschlüsselung bei Übertragung und Speicherung. Die technische Basis bildet eine Trusted Execution Environment auf Prozessorebene.
Warum bleiben sensible Unternehmensdaten heute ungenutzt für KI?
Viele KI-Modelle laufen in der Cloud, teilweise auf Servern außerhalb der Europäischen Union. Für Unternehmen mit Patenten, internen Dokumenten oder anderen sensiblen Informationen ist die Eingabe dieser Daten in ein solches Modell riskant, denn die Daten liegen während der Verarbeitung offen für den Betreiber der Infrastruktur vor.
Ohne zusätzlichen Schutz bleiben Unternehmen deshalb häufig bei ihren KI-Use-Cases stehen, weil relevante Daten aus Datenschutzgründen gar nicht erst zum Einsatz kommen. Passiert es doch, drohen Datenlecks. Sensible Informationen fließen in das Training weiterer Modelle ein, gelangen an Dritte oder geraten ins Visier von Hackerangriffen.
Wie funktioniert Confidential Computing technisch?
Der Zugriff auf ein Confidential-AI-Modell startet mit einer Remote Attestation, einer Prüfung, ob der Zugriff überhaupt zulässig ist. Anschließend übermittelt das System die Daten verschlüsselt bis auf Prozessorebene an das Modell. Das KI-Modell arbeitet innerhalb dieser geschützten Umgebung ganz normal mit den Daten, vergleichbar mit anderen KI-Modellen. Die Ausgabe geht verschlüsselt zurück an die Nutzerin oder den Nutzer und liegt erst dort wieder entschlüsselt vor.
„Es ist wirklich wie ein kleiner Tresor. Selbst wenn ich physischen Zugang zu dem KI-Modell habe, kann sich da niemand irgendwelche Daten herausziehen.“
— Leonard Püttmann, Solution Architect bei accompio AI
Die Verschlüsselung sitzt dabei auf Hardware-Ebene, nicht in einer zusätzlichen Software-Schicht. Genau das macht laut Leonard Püttmann den entscheidenden Sicherheitsunterschied aus.
Confidential Computing und Confidential AI: Wo liegt der Unterschied?
Confidential Computing beschreibt die zugrunde liegende Hardware-Technologie zur Verschlüsselung während der Verarbeitung, unabhängig von der konkreten Anwendung. Confidential AI ist die Anwendung dieser Technologie speziell auf KI-Modelle und KI-Prozesse. Ein Unternehmen setzt Confidential Computing als technisches Fundament ein, um darauf aufbauend Confidential AI für konkrete KI-Anwendungsfälle zu nutzen.
Confidential AI im Vergleich zu Data Masking und Anonymisierung
Data Masking und Anonymisierung versuchen, sensible Informationen vor der Verarbeitung aus Dokumenten zu entfernen. Ein Restrisiko bleibt dabei bestehen: Rutschen einzelne sensible Datenpunkte durch den Filter, entsteht trotzdem ein Datenschutzproblem. Confidential AI verfolgt einen anderen Ansatz und schützt die Daten direkt während der Verarbeitung auf Hardware-Ebene, unabhängig davon, ob vorher eine Anonymisierung stattgefunden hat.
Integration, Performance und Grenzen der Technologie
Die Einbindung von Confidential AI in bestehende Systeme läuft über eine externe Schnittstelle, vergleichbar mit einem gewöhnlichen Cloud-KI-Modell. Neue Hardware oder größere Systemumstellungen sind dafür nicht notwendig, auch bestehende Cloud-Anbieter benötigen dafür keine gesonderten Voraussetzungen.
Der Performance-Unterschied liegt laut accompio bei 5 bis 10 Prozent gegenüber klassischer KI-Nutzung, die Interaktion bleibt weiterhin in Echtzeit möglich. Eine Einschränkung betrifft die Modellauswahl: Confidential AI funktioniert aktuell ausschließlich mit Open-Source-KI-Modellen, proprietäre Modelle wie ChatGPT oder Claude sind dafür technisch nicht einsetzbar. Laut accompio deckt diese Auswahl an Open-Source-Modellen bereits 90 bis 95 Prozent der KI-Use-Cases von Unternehmen ab.
Vertrauen durch unabhängige Prüfung
Vertragliche Zusicherungen allein reichen für viele Unternehmen im Umgang mit sensiblen Daten nicht aus. accompio setzt deshalb zusätzlich auf technische und unabhängige Nachweise auf Hardware-Ebene.
„Das Ganze wurde zum Beispiel auch durch den TÜV IT geprüft und einmal gecheckt, ob das auch wirklich so ist. Ernst & Young hat zum Beispiel auch einen großen Audit für diese Technologie gemacht.“
— Leonard Püttmann, Solution Architect bei accompio AI
Confidential AI mit accompio umsetzen
Sie planen konkrete KI-Use-Cases mit sensiblen Unternehmensdaten und suchen eine sichere technische Basis dafür? accompio unterstützt bei der Bestandsaufnahme, Auswahl der passenden Open-Source-Modelle und technischen Integration von Confidential AI in Ihre bestehende Infrastruktur.
Erste Schritte: So starten Unternehmen mit Confidential AI
Laut Leonard Püttmann steht der Reifegrad von Confidential Computing in Deutschland aktuell sehr unterschiedlich da. Einzelne Unternehmen setzen die Technologie bereits produktiv ein, für viele andere ist sie dagegen noch neu, teilweise sogar unbekannt als tatsächliche Alternative zur klassischen Cloud-KI.
Der erste konkrete Schritt ist unabhängig vom eigenen Reifegrad immer der gleiche: eine Bestandsaufnahme der eigenen Prozesse im Tagesgeschäft.
Dabei stehen zwei Fragen im Mittelpunkt:
1. Wo entstehen im Tagesgeschäft Pain Points, die sich mit KI-Unterstützung lösen lassen?
2. Sind in diesen Prozessen sensible Daten involviert, etwa Patente, interne Dokumente oder personenbezogene Informationen?
Fällt die Antwort auf die zweite Frage mit Ja aus, ist Confidential AI laut accompio häufig der passende nächste Schritt für die technische Umsetzung. Die anschließende Integration selbst braucht keine neue Hardware und keine grundlegende Systemumstellung. Sie läuft über eine externe Schnittstelle, vergleichbar mit einem gewöhnlichen Cloud-KI-Modell.
Fazit
Confidential Computing schließt die letzte offene Lücke in der Datenverschlüsselung: den Moment der aktiven Verarbeitung. Für Unternehmen mit sensiblen Daten eröffnet Confidential AI dadurch KI-Use-Cases, die vorher aus Gründen des Datenschutzes nicht umsetzbar waren.
Über den Experten
Leonard Püttmann arbeitet als Solutions Architect AI bei accompio und beschäftigt sich im Tagesgeschäft mit dem sicheren Einsatz von KI-Technologie bei Unternehmenskundinnen und -kunden.
Häufige Fragen zu Confidential Computing und Confidential AI
Was ist der Unterschied zwischen Confidential Computing und normaler Verschlüsselung?
Normale Verschlüsselung schützt Daten bei Übertragung und Speicherung. Confidential Computing verschlüsselt Daten zusätzlich während der aktiven Verarbeitung durch ein Programm oder KI-Modell, über eine Trusted Execution Environment auf Prozessorebene.
Ist Confidential AI mit Modellen wie ChatGPT oder Claude nutzbar?
Nein, ChatGPT und Claude sind proprietäre Modelle und dafür technisch nicht einsetzbar. Confidential AI funktioniert aktuell mit Open-Source-KI-Modellen, die laut accompio bereits 90 bis 95 Prozent der Unternehmens-Use-Cases abdecken.
Für welche Branchen eignet sich Confidential AI besonders?
Grundsätzlich profitiert jede Branche mit sensiblen Daten von Confidential AI. Besonders relevant ist die Technologie laut accompio für das Finanzwesen und das Gesundheitswesen, da dort häufig hochsensible personenbezogene oder unternehmenskritische Informationen im Spiel sind, etwa Untersuchungsergebnisse oder Finanzdaten, die nicht an Dritte gelangen dürfen.
Wie stark sinkt die Performance durch Confidential AI?
Laut accompio liegt der Performance-Unterschied bei 5 bis 10 Prozent gegenüber klassischer KI-Nutzung. Die Interaktion mit dem Modell bleibt dabei weiterhin in Echtzeit möglich.
Wie startet ein Unternehmen mit Confidential AI?
Der erste Schritt ist eine Bestandsaufnahme der eigenen Prozesse und Pain Points, verbunden mit der Frage, wo dabei sensible Daten involviert sind. Auf dieser Basis lässt sich die passende technische Umsetzung ableiten.
accompio GmbH
Grimsehlstraße 23
37574 Einbeck
Telefon: +49 (5561) 92046990
Telefax: +49 (5561) 9225-00
http://www.accompio.com
E-Mail: l.schmidt@accompio.com
DENWERIT wird Teil der accompio-Gruppe
Die accompio Gruppe hat zum 30. Juni 2026 die DENWERIT GmbH vollständig erworben. Mit der Akquisition stärkt accompio ihre Kompetenzen in Managed Services und IT-Carve-outs und erweitert ihr Leistungsspektrum entlang der gesamten IT-Wertschöpfungskette – von der Transaktion bis zum laufenden IT-Betrieb. Das 2022 gegründete Unternehmen wird künftig als Teil der accompio MidMarket Business Unit geführt. Denis Werner gestaltet gemeinsam mit accompio die weitere Entwicklung innerhalb der Gruppe mit.
„Mit DENWERIT gewinnen wir ein hochspezialisiertes Team, das komplexe IT-Transformationen und Carve-outs souverän umsetzt und anschließend den laufenden IT Betrieb verantwortet. Diese Kompetenz ergänzt unsere Managed-Service-Stärke ideal. Es ermöglicht uns, Kunden ein durchgängiges Leistungsspektrum von der Transaktion bis zum dauerhaften IT-Betrieb aus einer Hand zu bieten. Zugleich verstärkt DENWERIT unser Team am Standort München spürbar – ein wichtiger Schritt für unser weiteres Wachstum," erklärt Tim Körner, CEO der accompio MidMarket.
Denis Werner, (Gründer und CEO, DENWERIT) fügt hinzu: „Seit der Gründung 2022 haben wir DENWERIT zu einem verlässlichen Partner für anspruchsvolle IT-Transformationen entwickelt. Als Teil von accompio können wir dieses Modell deutlich schneller skalieren und unseren Kunden ein erweitertes Portfolio – von Cybersecurity bis Künstliche Intelligenz – anbieten. Für unser Team eröffnet die Einbindung in eine wachsende Unternehmensgruppe neue Perspektiven, während unsere Kunden ihre vertrauten Ansprechpartner behalten."
Die Integration von DENWERIT ist ein weiterer gezielter Schritt in der strategischen Wachstumsagenda von accompio: Mit dem hochspezialisierten Wissen im Bereich Consulting und Transformationsprojekte im IT-Carve-out-Umfeld verstärkt die Gruppe ihr Portfolio um entscheidende Kompetenzen.
Über DENWERIT GmbH
Die DENWERIT GmbH ist ein 2022 gegründeter IT-Dienstleister mit Sitz in München. Das Unternehmen ist auf komplexe IT-Transformationen, IT-Carve-outs und Managed Services spezialisiert und unterstützt mittelständische Unternehmen bei anspruchsvollen Veränderungsprozessen. Seit Juli 2026 ist die DENWERIT GmbH Teil der accompio Gruppe.
accompio vereint eine wachsende Anzahl etablierter IT-Dienstleister unter einer starken Marke. Als führender Managed Security Service Provider im DACH-Raum bietet accompio ein breites Serviceportfolio mit Schwerpunkten in IT-Sicherheit, Cloud-Lösungen, digitaler Transformation und dem Einsatz von Künstlicher Intelligenz zur Optimierung von Geschäftsprozessen. Durch die Bündelung von Kompetenzen innerhalb der Gruppe schafft accompio eine größere Schlagkraft im IT-Markt und erweitert kontinuierlich ihr Leistungsspektrum. Mit etwa 900 IT-Expertinnen und Experten ist accompio an insgesamt 22 Standorten in Deutschland, Österreich, Ungarn und Bulgarien aktiv.
Weitere Informationen: www.accompio.com
accompio GmbH
Grimsehlstraße 23
37574 Einbeck
Telefon: +49 (5561) 92046990
Telefax: +49 (5561) 9225-00
http://www.accompio.com
E-Mail: l.schmidt@accompio.com
