MDM reicht nicht: Wie Samsung Knox die Lücke schließt
Mit einem Mobile Device Management (MDM) lassen sich bereits zahlreiche Anforderungen abbilden. Doch gerade bei Samsung-Geräten stoßen Standardfunktionen teilweise an Grenzen. Genau hier setzt Samsung Knox an: Die Plattform erweitert bestehende MDM-Lösungen um zusätzliche Funktionen für Bereitstellung, Verwaltung, Firmware-Steuerung und Gerätekonfiguration.
Silas Weißmann arbeitet seit rund anderthalb Jahren intensiv mit Samsung Knox und erlebt in Kundenprojekten, wo die Plattform einen konkreten Mehrwert bietet. Im Experteninterview erklärt er, warum Knox für Unternehmen mit Samsung-Geräten interessant ist, welche Funktionen besonders relevant sind und warum es nicht darum geht, gleich die gesamte Knox-Suite einzusetzen.
Das Wichtigste in Kürze
- Samsung Knox ergänzt bestehende MDM-Systeme um zusätzliche Funktionen für Samsung-Geräte.
- Knox Mobile Enrollment ermöglicht eine automatisierte Registrierung und Bereitstellung von Geräten.
- Knox E-FOTA bietet Unternehmen eine deutlich umfassendere Kontrolle über Firmware-Updates.
- Mit dem Knox Service Plugin lassen sich zusätzliche Samsung-spezifische Geräteeinstellungen über bestehende MDM-Systeme steuern.
- Knox Asset Intelligence liefert Betriebsdaten zu Akkus, Apps und Verbindungen.
- Unternehmen müssen nicht die komplette Knox-Suite einsetzen, sondern können einzelne Komponenten passend zum eigenen Use Case nutzen.
- Entscheidend ist eine klare Strategie für die Geräteverwaltung, damit vorhandene Funktionen auch tatsächlich genutzt werden.
- Auch aktuelle Themen wie Galaxy AI und lokale Datenverarbeitung lassen sich über Knox gezielt steuern.
Möglichkeiten mit Samsung Knox: Experteninterview mit Silas Weißmann, IT-Systemberater bei accompio
Im vollständigen Experteninterview spricht Silas Weißmann, IT-Systemberater bei accompio, über seine Erfahrungen mit Samsung Knox, konkrete Kundenprojekte und die Zukunft des Mobile Device Managements.
Was ist Samsung Knox?
Samsung Knox ist eine Sicherheits- und Managementplattform von Samsung, die zusätzliche Funktionen für die Verwaltung von Samsung-Geräten bereitstellt.
Dabei handelt es sich nicht um ein einzelnes Produkt, sondern um einen Baukasten verschiedener Lösungen. Dazu gehören unter anderem Knox Mobile Enrollment, Knox Manage, Knox E-FOTA und das Knox Service Plugin.
Die einzelnen Komponenten können dabei unabhängig voneinander eingesetzt werden. Unternehmen müssen also nicht zwangsläufig die gesamte Suite verwenden, sondern können genau die Funktionen auswählen, die zu ihrem individuellen Einsatzszenario passen.
Knox Mobile Enrollment: Samsung-Geräte automatisiert bereitstellen
Bei einer manuellen Registrierung benötigt die Person am Gerät häufig einen QR-Code oder weitere Einrichtungsschritte. Das wird aufwendig, wenn neue Smartphones direkt vom Distributor an Mitarbeitende verschickt werden.
Mit Knox Mobile Enrollment können geeignete Geräte vorab einem Enrollment-Profil zugeordnet werden. Beim ersten Einschalten führt der Einrichtungsprozess in das vorgesehene MDM. Dieser Out-of-Box-Ablauf reduziert manuelle Schritte und unterstützt ein Zero-Touch-Deployment, besonders bei größeren Gerätebeständen und verteilten Teams.
Silas empfiehlt Knox Mobile Enrollment im Interview als sinnvollen Einstieg für Unternehmen, die Samsung-Geräte einsetzen. Weitere Knox-Dienste können bereits im Enrollment-Prozess mitgedacht werden.
Firmware-Updates zentral steuern
Ein weiterer wichtiger Baustein ist Knox E-FOTA. Damit können Unternehmen Firmware-Updates auf Samsung-Geräten zentral und aus der Ferne steuern.
Das ist insbesondere deshalb relevant, weil die Möglichkeiten zur Steuerung von Firmware-Updates bei Android-Geräten über ein klassisches MDM teilweise begrenzt sind. Unternehmen können zwar entsprechende Hinweise und Vorgaben an Mitarbeitende ausspielen, haben aber nicht immer die gleiche Kontrolle über die tatsächliche Installation.
Mit E-FOTA können Updates gezielter gesteuert und beispielsweise auf definierte Zeitpunkte oder Gerätegruppen abgestimmt werden.
Damit wird Firmware-Management von einer Aufgabe, die teilweise beim einzelnen Mitarbeitenden liegt, zu einem stärker zentral gesteuerten Bestandteil der Geräteverwaltung.
Praxisbeispiel: Samsung-Konten über Microsoft Intune unterbinden
In einem Kundenprojekt sollten firmeneigene Samsung-Geräte ausschließlich geschäftlich genutzt werden. Eine Anmeldung mit einem privaten Samsung-Konto war unerwünscht, da darüber unter anderem automatische Backups außerhalb der vorgesehenen Unternehmensprozesse aktiviert werden konnten.
Die benötigte Einstellung ließ sich im eingesetzten Microsoft Intune nicht direkt abbilden. Über das Knox Service Plugin konnte das Team die zusätzliche Richtlinie in die vorhandene Geräteverwaltung integrieren und die Anmeldung mit einem Samsung-Konto sperren. Das Beispiel zeigt, wie Knox eine konkrete Funktionslücke schließen kann, ohne das etablierte MDM zu ersetzen.
Knox Asset Intelligence: Gerätezustand und Verbindungen auswerten
Knox Asset Intelligence sammelt Betriebsdaten zu Samsung-Geräten und bereitet sie für die IT auf. Im Interview nennt Silas konkrete Fragen, die sich damit untersuchen lassen: Reicht die WLAN-Abdeckung im Gebäude aus? Gibt es Probleme mit dem Mobilfunkempfang? Wie entwickelt sich die Akkuleistung einzelner Geräte?
Solche Daten helfen dabei, wiederkehrende Störungen zu erkennen und den Gerätelebenszyklus besser zu planen. Die Analyse ergänzt die Richtlinienverwaltung um einen operativen Blick auf Nutzung und Zustand der mobilen Flotte.
Knox und KI: Auch Galaxy AI lässt sich steuern
Mit der zunehmenden Verbreitung von KI auf mobilen Endgeräten gewinnt auch die Steuerung entsprechender Funktionen an Bedeutung.
Samsung bietet beispielsweise verschiedene Galaxy-AI-Funktionen direkt auf seinen Smartphones an. Über das Knox Service Plugin können Unternehmen bestimmte Einstellungen dazu zentral steuern.
Eine relevante Frage lautet dabei: Sollen KI-Funktionen lokal auf dem Gerät verarbeitet werden oder darf die Cloud einbezogen werden?
Unternehmen, die beispielsweise aus Datenschutz- oder Sicherheitsgründen eine möglichst lokale Verarbeitung bevorzugen, können entsprechende Einstellungen zentral vorgeben.
Damit wird Knox auch für ein Thema relevant, das über die klassische Geräteverwaltung hinausgeht: die kontrollierte Nutzung von KI auf Unternehmensgeräten.
Was kostet Samsung Knox?
Samsung Knox kann nur als komplette Suite lizensiert werden. Die Kosten hängen von der Dauer der Lizensierung, den eingesetzten Gerätetypen (Enterprise Edition Geräte oder Consumer Geräte) und der Anzahl der Geräte ab. Für eine belastbare Kalkulation wenden Sie sich an unsere Experten und lassen Sie sich ein individuelles Angebot erstellen.
Braucht jedes Unternehmen eine individuelle Knox-Architektur?
Eine universelle Knox-Architektur gibt es laut Silas Weißmann nicht. Die optimale Lösung hängt vom jeweiligen Unternehmen, den eingesetzten Geräten, dem bestehenden Mobile Device Management und den konkreten Anforderungen ab.
Wichtig ist deshalb eine saubere Strategie: Welche Geräte werden eingesetzt? Wie sollen sie bereitgestellt werden? Welche Einstellungen müssen zentral gesteuert werden? Und welche Prozesse sollen automatisiert werden?
Wer diese Fragen beantwortet, kann anschließend gezielt entscheiden, welche Knox-Komponenten tatsächlich benötigt werden.
„Ich muss nicht die ganze Knox-Suite nutzen. Ich kann mir die einzelnen Produkte herausgreifen, die zu meinem Use Case passen.“
— Silas Weißmann, IT-Systemberater bei accompio
Gerade weil die Möglichkeiten umfangreich sind, kann dabei die Unterstützung eines erfahrenen Servicepartners sinnvoll sein. So lässt sich vermeiden, dass die Vielzahl an Funktionen unnötig komplex wird oder Potenzial ungenutzt bleibt.
Samsung Knox mit accompio für Ihre Infrastruktur aufsetzen
accompio unterstützt Sie bei der Einführung von Samsung Knox für Ihre Infrastruktur, damit Sie Samsung-Geräte automatisiert ausrollen und Firmware-Updates zentral steuern können.
Wohin entwickelt sich Samsung Knox?
Die Entwicklung von Samsung Knox geht zunehmend in Richtung stärkerer Automatisierung. Geräte sollen mit weniger manuellem Aufwand in größerem Umfang ausgerollt werden können. Gleichzeitig entstehen neue Anforderungen durch Zero Trust, KI und weitere Gerätekategorien.
Auch bei spezialisierten Unternehmensgeräten entstehen neue Möglichkeiten, etwa bei mobilen Geräten mit integrierten Scaneinheiten für Lager und Logistik. Damit entwickelt sich Knox zu einem umfassenderen Ökosystem für mobile Unternehmensgeräte.
Was Unternehmen jetzt prüfen sollten
Unternehmen, die Samsung-Geräte einsetzen, sollten zunächst analysieren, welche Anforderungen aktuell mit dem bestehenden MDM abgedeckt werden – und wo Grenzen bestehen.
Besonders interessant sind dabei Fragen wie:
- Können Geräte bereits vollständig automatisiert bereitgestellt werden?
- Wie lassen sich Firmware-Updates zentral steuern?
- Welche Samsung-spezifischen Einstellungen müssen verwaltet werden?
- Wie lassen sich KI-Funktionen auf den Geräten kontrollieren?
- Welche Prozesse könnten durch zusätzliche Automatisierung vereinfacht werden?
Auf dieser Basis lässt sich entscheiden, welche Knox-Komponenten tatsächlich einen Mehrwert bieten.
„Die ideale Lösung ist die, die auf mich selber zugeschnitten wurde.“
— Silas Weißmann, IT-Systemberater bei accompio
Fazit: Samsung Knox erweitert MDM um wichtige Möglichkeiten
Für Unternehmen, die Samsung-Geräte einsetzen, kann Samsung Knox eine sinnvolle Ergänzung zum bestehenden MDM darstellen.
Besonders interessant sind dabei die automatisierte Bereitstellung mit Knox Mobile Enrollment, die zentrale Firmware-Steuerung über Knox E-FOTA und die zusätzlichen Konfigurationsmöglichkeiten des Knox Service Plugins.
Dabei muss nicht die komplette Suite eingesetzt werden. Entscheidend ist vielmehr, die eigenen Anforderungen zu kennen und die passenden Komponenten gezielt einzusetzen.
Samsung Knox ist deshalb weniger ein Ersatz für bestehendes MDM als eine Möglichkeit, dessen Funktionen auf Samsung-Geräten gezielt zu erweitern.
Über den Experten
Silas Weißmann ist IT-Systemberater bei accompio und unterstützt als Experte für Samsung Knox Unternehmen bei der Einführung und der Steuerung zentraler Firmware-Updates für Samsung-Geräte.
FAQ zu Samsung Knox
Was ist Samsung Knox?
Samsung Knox ist eine Plattform von Samsung für Sicherheit und Management von Samsung-Geräten. Sie umfasst verschiedene Komponenten, die Unternehmen unter anderem bei der Gerätebereitstellung, Verwaltung und Firmware-Steuerung unterstützen.
Braucht man Samsung Knox zusätzlich zu einem MDM?
Samsung Knox kann ein bestehendes MDM ergänzen. Unternehmen müssen nicht zwingend das gesamte Knox-Ökosystem oder ein zusätzliches vollständiges MDM einsetzen. Einzelne Komponenten wie das Knox Service Plugin können vorhandene Systeme gezielt um Samsung-spezifische Funktionen erweitern.
Was ist Knox Mobile Enrollment?
Knox Mobile Enrollment ermöglicht die Vorregistrierung von Samsung-Geräten in einem MDM-System. Dadurch können Geräte beispielsweise direkt an Mitarbeitende verschickt und weitgehend automatisiert in die Unternehmensverwaltung eingebunden werden.
Was ist Knox E-FOTA?
Knox E-FOTA ermöglicht die zentrale Steuerung von Firmware-Updates auf Samsung-Geräten. Unternehmen können dadurch Updates gezielter verwalten und den Prozess stärker zentralisieren.
Was macht das Knox Service Plugin?
Das Knox Service Plugin ermöglicht die Steuerung zusätzlicher Samsung-spezifischer Geräteeinstellungen über ein vorhandenes MDM-System. Dadurch können Unternehmen beispielsweise Einstellungen konfigurieren, die über die Standardfunktionen des MDM nicht verfügbar sind.
accompio vereint eine wachsende Anzahl etablierter IT-Dienstleister unter einer starken Marke. Als führender Managed Security Service Provider im DACH-Raum bietet accompio ein breites Serviceportfolio mit Schwerpunkten in IT-Sicherheit, Cloud-Lösungen, digitaler Transformation und dem Einsatz von Künstlicher Intelligenz zur Optimierung von Geschäftsprozessen.
Durch die Bündelung von Kompetenzen innerhalb der Gruppe schafft accompio eine größere Schlagkraft im IT-Markt und erweitert kontinuierlich ihr Leistungsspektrum. Mit etwa 950 IT-Expertinnen und Experten ist accompio an insgesamt 25 Standorten in Deutschland, Österreich, Ungarn und Bulgarien aktiv.
Weitere Informationen: www.accompio.com
accompio GmbH
Grimsehlstraße 23
37574 Einbeck
Telefon: +49 (5561) 92046990
Telefax: +49 (5561) 9225-00
http://www.accompio.com
E-Mail: l.schmidt@accompio.com
Schwachstellenscan, Pentest oder Red Teaming? Die Unterschiede
Während ein Schwachstellenscan automatisiert nach bekannten technischen Schwachstellen sucht, geht ein Pentest deutlich tiefer und prüft, welche Schwachstellen tatsächlich ausnutzbar sind. Beim Red Teaming steht wiederum nicht primär die Suche nach einzelnen Schwachstellen im Mittelpunkt. Hier geht es darum, einen realistischen Angriff zu simulieren und zu überprüfen, wie gut ein Unternehmen einen solchen Angriff erkennt und darauf reagiert.
Fabian Mosch, Head of Offensive Services bei r-tec (Teil der accompio-Gruppe), führt mit seinem Team unterschiedliche Angriffssimulationen für Kunden durch. Im Experteninterview erklärt er, worin sich die drei Testmethoden unterscheiden, wo Unternehmen häufig falsche Erwartungen haben und wann welcher Ansatz sinnvoll ist.
Das Wichtigste in Kürze
- Schwachstellenscan: automatisierte Prüfung vieler Systeme auf bekannte technische Schwachstellen. So entsteht schnell und vergleichsweise kostengünstig ein breiter Überblick.
- Pentest: manuelle und tiefergehende Prüfung eines definierten Scopes, bei der ein Experte untersucht, welche Schwachstellen tatsächlich ausnutzbar sind.
- Red Teaming: realistische Angriffssimulation mit dem Ziel, die Angriffserkennung und Reaktionsfähigkeit eines Unternehmens zu überprüfen.
- Die drei Methoden sind keine Synonyme und sollten nicht einfach gegeneinander ausgetauscht werden.
- Ein Schwachstellenscan eignet sich als regelmäßige Bestandsaufnahme, während Pentests und Red-Team-Projekte weitergehende Erkenntnisse liefern.
- Entscheidend ist, die Ergebnisse anschließend in bestehende Security-Prozesse zu überführen und Schwachstellen tatsächlich zu beheben.
Schwachstellenscan, Pentest oder Red Teaming? Experteninterview mit Fabian Mosch, Head of Offensive Services bei r-tec (Teil der accompio-Gruppe)
Welche Testmethode passt zu welchem Sicherheitsziel? Fabian Mosch erklärt im Video, wie sich Schwachstellenscan, Pentest und Red Teaming bei Vorgehen, Tiefe und Ergebnis unterscheiden.
Schwachstellenscan: Schnell einen Überblick gewinnen
Ein Schwachstellenscan wird weitgehend automatisiert durch eine Software durchgeführt. Das Unternehmen definiert, welche Systeme überprüft werden sollen, startet den Scan und erhält anschließend eine Übersicht über erkannte Schwachstellen.
Dabei werden beispielsweise offene Dienste, Softwareversionen oder bekannte Sicherheitslücken identifiziert und mit öffentlich bekannten Schwachstellen abgeglichen.
Der große Vorteil: Viele Systeme lassen sich in kurzer Zeit überprüfen. Dadurch eignet sich ein Schwachstellenscan gut für regelmäßige Kontrollen und einen schnellen Überblick über die technische Angriffsfläche.
Allerdings geht ein automatisierter Scanner nicht wirklich in die Tiefe. Er kann zwar eine potenzielle Schwachstelle erkennen, aber nicht immer beurteilen, ob und wie sie sich in der konkreten Umgebung tatsächlich ausnutzen lässt.
Pentest: Was lässt sich wirklich ausnutzen?
Beim Penetrationstest, kurz Pentest, kommt zusätzlich der Mensch ins Spiel.
Auch hier können zunächst automatisierte Werkzeuge eingesetzt werden. Anschließend analysiert ein Pentester die Ergebnisse und prüft gezielt, welche Schwachstellen tatsächlich ausnutzbar sind. Dabei geht es nicht nur um einzelne technische Schwachstellen, sondern auch darum, mögliche Angriffspfade von Anfang bis Ende nachzuvollziehen.
Ein Beispiel aus dem Interview zeigt den Unterschied: Ein Scanner kann eine veraltete Softwareversion erkennen. Ein Pentester kann dagegen zusätzlich untersuchen, ob sich daraus tatsächlich ein Zugang zum Unternehmen gewinnen lässt. Außerdem prüft er, welche weiteren Schritte danach möglich wären.
Auch logische Schwachstellen können eine Rolle spielen. Wenn eine Webanwendung beispielsweise nicht korrekt zwischen den Dokumenten verschiedener Benutzer unterscheidet, ist dafür ein menschliches Verständnis des Anwendungskontexts notwendig.
Red Teaming: Wie gut erkennt das Unternehmen einen Angriff?
Beim Red Teaming verschiebt sich die Zielsetzung noch einmal deutlich.
Es geht nicht primär darum, möglichst viele Schwachstellen zu finden. Stattdessen simuliert das Red Team einen realistischen Angriff mit einem konkreten Ziel: beispielsweise Zugriff auf ein bestimmtes Postfach oder auf sensible Unternehmensdaten.
Dabei versucht das Team, möglichst unauffällig vorzugehen und nicht erkannt zu werden.
Auf der anderen Seite steht das Blue Team, also beispielsweise das Security Operations Center. Dessen Aufgabe ist es, die Aktivitäten zu erkennen, zu bewerten und entsprechende Gegenmaßnahmen einzuleiten.
Damit kann ein Red-Team-Projekt zeigen:
- Werden Angriffe überhaupt erkannt?
- Wie schnell reagiert das Unternehmen?
- Welche Aktivitäten bleiben unentdeckt?
- Fehlen beispielsweise Logs, die für die Erkennung notwendig wären?
- Wie gut funktionieren Prozesse und technische Abwehrmaßnahmen?
Red Teaming betrachtet damit die gesamte Angriffskette: von der Technik über Prozesse bis hin zum Menschen.
„Beim Red Teaming geht es nicht darum, möglichst viele Schwachstellen aufzufinden. Es geht darum, unser Ziel zu erreichen und dabei möglichst nicht erkannt zu werden.“
Fabian Mosch, Head of Offensive Services bei r-tec (Teil der accompio-Gruppe)
Was ist der Unterschied zwischen Offensive Security, Red Teaming und Penetrationstests?
Offensive Security ist der übergeordnete Ansatz, Sicherheitsmaßnahmen aus der Perspektive eines Angreifers zu prüfen. Ein Penetrationstest untersucht einen klar definierten Scope manuell auf ausnutzbare Schwachstellen und Angriffspfade. Red Teaming simuliert dagegen einen möglichst realistischen Angriff mit einem konkreten Ziel und prüft dabei vor allem, wie gut Detection und Response funktionieren. Ein Schwachstellenscan ergänzt diese Ansätze als automatisierte Bestandsaufnahme bekannter technischer Schwachstellen.
Welche Testmethode ist für welches Unternehmen geeignet?
Die Frage lautet deshalb nicht, welcher Test grundsätzlich der „beste“ ist. Entscheidend ist, welche Fragestellung ein Unternehmen beantworten möchte.
Ein Schwachstellenscan eignet sich grundsätzlich für jedes Unternehmen und kann regelmäßig durchgeführt werden. Er liefert einen schnellen Überblick über technische Schwachstellen und kann auch von Unternehmen selbst betrieben werden.
Ein Pentest geht einen Schritt weiter. Er ist insbesondere dann sinnvoll, wenn ein Unternehmen bestimmte Systeme oder Anwendungen gezielt und tiefergehend überprüfen lassen möchte.
Red Teaming setzt wiederum eine gewisse Grundlage voraus. Wer noch kein funktionierendes Blue Team beziehungsweise keine etablierte Angriffserkennung besitzt, kann durch ein Red-Team-Projekt nur begrenzt Erkenntnisse über deren Qualität gewinnen.
Wie häufig sollten Scans, Pentests und Red Teaming stattfinden?
Bei Schwachstellenscans empfiehlt Fabian Mosch eine regelmäßige Durchführung. Je nach Umgebung können Scans beispielsweise alle paar Wochen oder einmal pro Quartal erfolgen. So lässt sich nachvollziehen, welche Schwachstellen neu hinzugekommen und welche behoben wurden.
Bei Pentests ist die Häufigkeit stärker von Unternehmensgröße, Scope und individuellen Anforderungen abhängig. Entscheidend ist vor allem, dass ein Pentest nicht als einmalige Momentaufnahme betrachtet wird.
Denn IT-Umgebungen verändern sich kontinuierlich. Neue Systeme, Anwendungen und Konfigurationen können neue Angriffsmöglichkeiten schaffen.
Beim Red Teaming steht dagegen weniger eine feste Frequenz im Mittelpunkt. Sinnvoll ist es insbesondere dann, wenn bereits entsprechende Erkennungs- und Abwehrstrukturen vorhanden sind und deren Wirksamkeit realistisch getestet werden soll.
Von der Erkenntnis zur Verbesserung
Ein Test allein verbessert noch keine IT-Sicherheit. Entscheidend ist, was mit den Ergebnissen anschließend passiert.
Schwachstellen aus Scans und Pentests sollten deshalb in bestehende Security- und IT-Prozesse überführt werden. Dazu gehört beispielsweise, erkannte Probleme zu dokumentieren, Verantwortlichkeiten festzulegen, Maßnahmen zu planen und deren Umsetzung nachzuverfolgen.
Ein Bericht, der lediglich an die IT weitergeleitet wird, reicht dafür nicht aus.
Ebenso wichtig ist die Erkenntnis, dass Scans, Pentests und Red Teaming keinen vollständigen Sicherheitsprozess ersetzen. Sie sind einzelne Bausteine innerhalb einer umfassenderen Security-Strategie.
Unterschiedliche Testmethoden für Ihre IT-Infrastruktur
accompio unterstützt Unternehmen dabei, den passenden Sicherheitsansatz zu wählen und die Infrastruktur entsprechend zu verproben.
Fazit: Drei Tests, drei unterschiedliche Wahrheiten
Schwachstellenscan, Pentest und Red Teaming verfolgen unterschiedliche Ziele. Genau deshalb ergänzen sie sich.
Der Schwachstellenscan liefert schnell einen breiten Überblick über bekannte technische Schwachstellen. Der Pentest geht tiefer und zeigt, welche dieser Schwachstellen tatsächlich ausnutzbar sind und welche Angriffspfade sich daraus ergeben können. Das Red Teaming betrachtet schließlich die Perspektive eines realistischen Angreifers und prüft, wie gut ein Unternehmen solche Aktivitäten erkennt und darauf reagiert.
Damit haben alle drei Methoden ihre Berechtigung. Entscheidend ist nicht, möglichst viele Tests durchzuführen, sondern die richtige Methode für die jeweilige Fragestellung einzusetzen und die gewonnenen Erkenntnisse anschließend in konkrete Verbesserungen zu überführen.
Am Ende haben alle drei Ansätze dasselbe Ziel: die IT-Sicherheit nachhaltig zu verbessern.
Über den Experten
Fabian Mosch ist Security-Experte bei r-tec (Teil der accompio-Gruppe) und weiß, wie Unternehmen ihre IT-Sicherheit gezielt testen können.
FAQ: Häufige Fragen zu Schwachstellenscan, Pentest und Red Teaming
Was ist der Unterschied zwischen einem Schwachstellenscan und einem Pentest?
Ein Schwachstellenscan sucht automatisiert nach bekannten technischen Schwachstellen. Bei einem Pentest analysiert zusätzlich ein Experte die Ergebnisse und prüft manuell, welche Schwachstellen tatsächlich ausnutzbar sind und welche Angriffspfade sich daraus ergeben.
Was ist der Unterschied zwischen Pentest und Red Teaming?
Ein Pentest konzentriert sich auf die technische Sicherheit eines definierten Scopes und die Ausnutzbarkeit von Schwachstellen. Beim Red Teaming wird dagegen ein möglichst realistischer Angriff simuliert, um vor allem die Fähigkeit des Unternehmens zur Angriffserkennung und Reaktion zu testen.
Reicht ein Schwachstellenscan für die IT-Sicherheit aus?
Nein. Ein Schwachstellenscan liefert einen wichtigen Überblick, kann aber nicht alle Arten von Schwachstellen erkennen und nicht zuverlässig beurteilen, welche gefundenen Schwachstellen tatsächlich ausnutzbar sind. Er sollte daher als Bestandteil eines umfassenderen Security-Prozesses verstanden werden.
Wie häufig sollte ein Unternehmen einen Pentest durchführen?
Das hängt von der Unternehmensgröße, dem getesteten System und den individuellen Anforderungen ab. Wichtig ist laut Fabian Mosch vor allem, Pentests regelmäßig zu wiederholen, da eine Prüfung immer nur eine Momentaufnahme der jeweiligen IT-Umgebung darstellt.
Wann ist Red Teaming sinnvoll?
Red Teaming ist insbesondere dann sinnvoll, wenn ein Unternehmen bereits über Strukturen zur Angriffserkennung verfügt, beispielsweise ein Blue Team oder ein Security Operations Center. Dann lässt sich realistisch testen, ob Angriffe erkannt und entsprechende Gegenmaßnahmen eingeleitet werden.
accompio vereint eine wachsende Anzahl etablierter IT-Dienstleister unter einer starken Marke. Als führender Managed Security Service Provider im DACH-Raum bietet accompio ein breites Serviceportfolio mit Schwerpunkten in IT-Sicherheit, Cloud-Lösungen, digitaler Transformation und dem Einsatz von Künstlicher Intelligenz zur Optimierung von Geschäftsprozessen.
Durch die Bündelung von Kompetenzen innerhalb der Gruppe schafft accompio eine größere Schlagkraft im IT-Markt und erweitert kontinuierlich ihr Leistungsspektrum. Mit etwa 950 IT-Expertinnen und Experten ist accompio an insgesamt 25 Standorten in Deutschland, Österreich, Ungarn und Bulgarien aktiv.
Weitere Informationen: www.accompio.com
accompio GmbH
Grimsehlstraße 23
37574 Einbeck
Telefon: +49 (5561) 92046990
Telefax: +49 (5561) 9225-00
http://www.accompio.com
E-Mail: l.schmidt@accompio.com
Security Validation: Warum der jährliche Pentest nicht reicht
Ein klassischer Penetrationstest bleibt weiterhin wichtig. Zwischen zwei Prüfungen verändern sich jedoch Systeme, Konfigurationen und Bedrohungen. Automatisierte Sicherheitsvalidierung schließt diese zeitliche Lücke und hilft dabei, Risiken nach ihrer tatsächlichen Ausnutzbarkeit zu priorisieren.
Timur Yilmaz, Service Owner Security Validation bei accompio, erklärt im Experteninterview, wie die Pentera-Plattform kontrollierte Angriffstechniken einsetzt, warum der laufende Betrieb dabei unberührt bleibt und wie Unternehmen aus den Ergebnissen konkrete Maßnahmen ableiten.
Das Wichtigste in Kürze
- Ein jährlicher Pentest ist eine Momentaufnahme: Neue Systeme, Updates und Konfigurationsänderungen können die Sicherheitslage schon kurze Zeit später verändern.
- Security Validation prüft kontinuierlich: Automatisierte Testzyklen können täglich, wöchentlich oder in individuell festgelegten Intervallen laufen.
- Angriffspfade schaffen Kontext: Die Plattform zeigt, wie auch kleinere Schwachstellen gemeinsam zu einem relevanten Risiko werden können.
- Der laufende Betrieb bleibt geschützt: Die Tests sind so ausgelegt, dass Systeme und Arbeitsabläufe nicht beeinträchtigt werden.
- Ergebnisse werden verständlich priorisiert: Technische Details, Angriffspfade und Managementauswertungen unterstützen fundierte Entscheidungen.
- Manuelle Pentests bleiben ein wichtiger Bestandteil: Sie bringen zusätzliche Kreativität und Tiefe ein. Automatisierte Tests ergänzen diese punktuellen Prüfungen.
Im Video zeigt Timur Yilmaz, wie sich automatisierte Prüfungen in bestehende Sicherheitsprozesse integrieren lassen und weshalb Transparenz über die eigene IT-Umgebung der erste Schritt ist.
Security Validation: Experteninterview mit Timur Yilmaz
Wie lassen sich IT-Systeme kontinuierlich aus der Angreiferperspektive prüfen? Welche Ergebnisse liefert Pentera? Und warum werden manuelle Penetrationstests weiterhin benötigt? Timur Yilmaz beantwortet diese Fragen im vollständigen Video.
Was ist Security Validation?
Security Validation bezeichnet die kontinuierliche und automatisierte Überprüfung der IT-Sicherheit. Dabei wird untersucht, ob vorhandene Schwachstellen tatsächlich ausnutzbar sind, welche Systeme erreichbar werden und wie sich einzelne Lücken zu einem Angriffspfad verbinden.
Ein Schwachstellenscan identifiziert bekannte Sicherheitslücken und bewertet sie häufig anhand eines Scores. Security Validation ergänzt diese Information um einen praktischen Nachweis. Unternehmen erkennen dadurch, welche Schwachstellen in ihrer konkreten Umgebung ein reales Risiko darstellen und welche Maßnahmen zuerst umgesetzt werden sollten.
Damit liegt Security Validation an der Schnittstelle zwischen Vulnerability Management, automatisiertem Pentesting und der Validierung bereits eingesetzter Schutzmaßnahmen.
Warum reicht ein jährlicher Pentest allein nicht aus?
IT-Umgebungen verändern sich laufend. Neue Anwendungen werden eingeführt, Updates eingespielt, Systeme wiederhergestellt und Konfigurationen angepasst. Ein heute erfolgreich abgeschlossener Test sagt daher wenig darüber aus, wie die Sicherheitslage in drei Monaten aussieht.
„Einzelne Scans sind immer nur eine Momentaufnahme.“
Timur Yilmaz, Service Owner Security Validation bei accompio
Regelmäßige automatisierte Tests machen Veränderungen zwischen zwei Prüfzeitpunkten sichtbar. So lässt sich nachvollziehen, ob neue Risiken entstanden sind, ob Schutzmaßnahmen greifen und ob behobene Schwachstellen erneut auftreten. Das unterstützt auch ein kontinuierliches Schwachstellenmanagement.
Wie funktioniert Security Validation mit Pentera?
Die Pentera-Plattform wird in der IT-Umgebung bereitgestellt und prüft definierte Systeme, Netzsegmente und Szenarien. Sie setzt kontrollierte Angriffstechniken ein, um Schwachstellen und mögliche Wege durch das Netzwerk zu überprüfen. Der Umfang und die Häufigkeit der Tests werden zuvor festgelegt.
Angriffspfade statt reiner Schwachstellenlisten
Eine kleine Schwachstelle wirkt für sich betrachtet oft wenig kritisch. In Verbindung mit weiteren Fehlkonfigurationen oder Zugriffsrechten kann sie dennoch einen weitreichenden Angriff ermöglichen. Pentera bildet solche Zusammenhänge als Angriffspfade ab und zeigt, welche Schritte tatsächlich erfolgreich waren.
Tests im laufenden Betrieb
Nach Aussage von Timur Yilmaz sind die Tests so aufgebaut, dass sie den operativen Betrieb und die Infrastruktur nicht stören. Kontrollmechanismen sorgen dafür, dass die Prüfung keine produktiven Systeme beschädigt. Unternehmen können deshalb wiederkehrende Testzyklen in ihren Sicherheitsalltag integrieren.
Verständliche Reports und Priorisierung
Nach einem Testlauf stehen technische Ergebnisse, visualisierte Angriffspfade und Managementauswertungen zur Verfügung. Die Berichte erklären, welche Schwachstellen ausgenutzt wurden, welche Auswirkungen möglich sind und wie sich die Risiken beheben lassen. Das erleichtert die Priorisierung von Schwachstellen und schafft eine gemeinsame Entscheidungsgrundlage für IT und Management.
Ersetzt Security Validation den manuellen Penetrationstest?
Automatisierte Security Validation ersetzt den manuellen Penetrationstest nicht. Beide Verfahren erfüllen unterschiedliche Aufgaben und ergänzen sich. Automatisierte Tests liefern häufige, vergleichbare Ergebnisse und machen Veränderungen schnell sichtbar. Ein manueller Pentest bringt die Kreativität und Erfahrung spezialisierter Sicherheitsexperten ein und kann individuelle Szenarien tiefer untersuchen.
Timur Yilmaz vergleicht das Zusammenspiel mit der Zahnpflege: Die kontinuierliche Validierung entspricht dem täglichen Zähneputzen, der manuelle Pentest dem regelmäßigen Zahnarztbesuch. Für einen umfassenden Blick auf die Sicherheitslage werden beide benötigt. Weitere typische Angriffsszenarien beschreibt der Beitrag zur Offensive Security im Unternehmen.
Security Validation als Managed Service
Die Plattform lässt sich auch mit einem kleineren Security-Team betreiben. Ein Managed Service kann zusätzlich bei Einrichtung, Testplanung, Automatisierung und Auswertung unterstützen. Gemeinsam werden passende Systeme und Szenarien ausgewählt. Anschließend laufen die Prüfungen in festgelegten Zyklen.
Fachleute helfen dabei, die Ergebnisse einzuordnen, Maßnahmen zu priorisieren und Testabläufe weiterzuentwickeln. Ein Proof of Value kann vorab zeigen, wie die Plattform in der eigenen Umgebung arbeitet. Dafür wird ein begrenzter Bereich mit ausgewählten Endpoints geprüft und gemeinsam ausgewertet.
Kontinuierliche Sicherheitstests mit accompio
Sie möchten reale Angriffspfade erkennen und Sicherheitsmaßnahmen kontinuierlich überprüfen? accompio begleitet Sie von der Auswahl geeigneter Testszenarien über die Einrichtung der Pentera-Plattform bis zur Auswertung und Priorisierung der Ergebnisse.
Pentest as a Service entdecken
Der erste Schritt: Transparenz über die IT-Umgebung schaffen
Vor der Automatisierung steht die Bestandsaufnahme. Unternehmen sollten wissen, welche Systeme vorhanden sind, welche Bereiche besonders kritisch sind und welche Prüfungen bereits stattfinden. Diese Übersicht bildet die Grundlage für sinnvolle Testziele und einen passenden Rhythmus.
Auf dieser Basis lässt sich festlegen, welche Netzsegmente zuerst geprüft werden und welche Ergebnisse für IT-Verantwortliche sowie Management benötigt werden. Kleine, klar definierte Testbereiche erleichtern den Einstieg und schaffen Vertrauen in den Ablauf.
Über den Experten
Timur Yilmaz ist Service Owner Security Validation bei accompio. Er begleitet Unternehmen bei kontinuierlichen Sicherheitsüberprüfungen und unterstützt sie dabei, aus technischen Ergebnissen konkrete Maßnahmen abzuleiten.
Häufige Fragen zu Security Validation
Was unterscheidet Schwachstellenscan, Penetrationstest und Security Validation?
Ein Schwachstellenscan listet bekannte Sicherheitslücken auf. Ein manueller Penetrationstest untersucht ein festgelegtes Ziel mit der Erfahrung und Kreativität eines Sicherheitsteams. Security Validation führt wiederkehrende automatisierte Prüfungen durch und zeigt, welche Schwachstellen in der jeweiligen Umgebung ausnutzbar sind und welche Angriffspfade entstehen.
Wie oft sollten Unternehmen ihre IT-Sicherheit validieren?
Die Häufigkeit richtet sich nach Risikolage, Änderungsrate und Kritikalität der Systeme. Automatisierte Tests können täglich, wöchentlich oder in individuell festgelegten Zyklen laufen. Wichtig ist, Veränderungen zwischen zwei Prüfungen zeitnah zu erkennen.
Beeinträchtigt Security Validation den laufenden Betrieb?
Die Tests werden kontrolliert und mit einem definierten Umfang ausgeführt. Laut Timur Yilmaz ist die Pentera-Plattform darauf ausgelegt, im laufenden Betrieb zu testen, ohne produktive Systeme zu beschädigen oder Arbeitsabläufe zu stören.
Benötigt Security Validation ein großes internes Security-Team?
Ein großes internes Team ist keine Voraussetzung. Die Plattform bereitet technische Ergebnisse verständlich auf. Bei Bedarf unterstützt ein Managed Service bei Einrichtung, Testplanung, Auswertung und Priorisierung.
Welche Ergebnisse liefert die Pentera-Plattform?
Die Plattform dokumentiert ausgenutzte Schwachstellen, erfolgreiche Angriffsschritte und zusammenhängende Angriffspfade. Zusätzlich stehen Managementauswertungen und Hinweise zur Behebung bereit. Dadurch lassen sich Maßnahmen nach dem tatsächlichen Risiko priorisieren.
Wie können Unternehmen Security Validation zunächst testen?
Ein Proof of Value ermöglicht einen begrenzten Einstieg. Dafür werden ausgewählte Endpoints oder Netzbereiche definiert, geprüft und gemeinsam ausgewertet. Unternehmen sehen so, wie die Plattform in ihrer eigenen Umgebung arbeitet und welchen Mehrwert die Ergebnisse bieten.
accompio vereint eine wachsende Anzahl etablierter IT-Dienstleister unter einer starken Marke. Als führender Managed Security Service Provider im DACH-Raum bietet accompio ein breites Serviceportfolio mit Schwerpunkten in IT-Sicherheit, Cloud-Lösungen, digitaler Transformation und dem Einsatz von Künstlicher Intelligenz zur Optimierung von Geschäftsprozessen.
Durch die Bündelung von Kompetenzen innerhalb der Gruppe schafft accompio eine größere Schlagkraft im IT-Markt und erweitert kontinuierlich ihr Leistungsspektrum. Mit etwa 950 IT-Expertinnen und Experten ist accompio an insgesamt 25 Standorten in Deutschland, Österreich, Ungarn und Bulgarien aktiv.
Weitere Informationen: www.accompio.com
accompio GmbH
Grimsehlstraße 23
37574 Einbeck
Telefon: +49 (5561) 92046990
Telefax: +49 (5561) 9225-00
http://www.accompio.com
E-Mail: l.schmidt@accompio.com
Shadow AI im Unternehmen: Innovationsmotor oder Compliance-Risiko?
Die Nutzung zeigt auch, dass Mitarbeitende mit KI arbeiten wollen und konkrete Einsatzmöglichkeiten sehen. Unternehmen sollten diesen Bedarf verstehen, sichere Werkzeuge bereitstellen und klare Regeln schaffen. So lässt sich ungesteuerte KI-Nutzung Schritt für Schritt in eine tragfähige KI-Governance überführen.
Leonard Püttmann, Solution Architect bei accompio AI, erklärt im Experteninterview, warum Shadow AI so verbreitet ist, welche Risiken Unternehmen kennen sollten und wie aus Eigeninitiative ein kontrollierter Einsatz von künstlicher Intelligenz werden kann.
Das Wichtigste in Kürze
- Shadow AI bezeichnet den ungeregelten Einsatz von KI-Tools, von dem IT, Datenschutz oder Unternehmensleitung nichts wissen.
- Häufig geht es um Effizienz: Mitarbeitende kennen Anwendungen wie ChatGPT oder Google Gemini aus dem Alltag und möchten sie auch beruflich nutzen.
- Besonders kritisch sind sensible Daten: Personenbezogene Informationen, Kundendaten, Verträge, Patente und Geschäftsgeheimnisse gehören nicht in unkontrollierte Anwendungen.
- Technische Kontrollen reichen nur begrenzt: Die Vielzahl verfügbarer KI-Tools macht eine vollständige Erkennung über den Netzwerkverkehr schwierig.
- Sichere Alternativen und klare Leitplanken helfen: Schulungen, Workshops und ein einfacher Meldeweg für gewünschte Tools schaffen Orientierung.
- Shadow AI kann Innovationspotenzial sichtbar machen: Die genutzten Werkzeuge zeigen, wo Mitarbeitende einen echten Bedarf und Mehrwert sehen.
Im Interview zeigt Leonard Püttmann, weshalb technische Kontrollen allein nicht ausreichen und wie Unternehmen den Bedarf ihrer Mitarbeitenden mit klaren Leitplanken und sicheren KI-Lösungen verbinden können.
Shadow AI im Unternehmen: Experteninterview mit Leonard Püttmann
Wie können Unternehmen den Einsatz von KI ermöglichen und dabei sensible Daten schützen? Leonard Püttmann zeigt im Video, wie sich Kontrolle, klare Regeln und die Eigeninitiative der Mitarbeitenden miteinander verbinden lassen.
Was ist Shadow AI?
Von Shadow AI spricht man, wenn Beschäftigte KI-Anwendungen einsetzen, die im Unternehmen weder offiziell freigegeben noch bekannt oder kontrolliert sind. Der Begriff lehnt sich an Shadow IT an. Gemeint ist eine Form der ungesteuerten Nutzung und kein bestimmtes Produkt.
Ein typisches Beispiel ist ein öffentlicher KI-Chatbot, in den Mitarbeitende Texte, Tabellen oder Dokumente eingeben, um eine Aufgabe schneller zu erledigen. Aus Sicht der Organisation bleiben dabei wichtige Fragen offen: Welche Daten werden verarbeitet? Wo findet die Verarbeitung statt? Wird etwas gespeichert? Wer kann auf die Informationen zugreifen?
Shadow AI kann auch zu Insellösungen führen. Einzelne Teams verwenden unterschiedliche Werkzeuge, Wissen wird kaum geteilt und Sicherheitsanforderungen werden uneinheitlich umgesetzt. Eine gemeinsame KI-Strategie schafft hier Transparenz.
Warum entsteht Shadow AI im Unternehmen?
Leonard Püttmann nennt im Gespräch zwei Hauptgründe. Erstens möchten Mitarbeitende effizienter arbeiten und suchen selbst nach geeigneten Werkzeugen. KI unterstützt inzwischen viele Aufgaben, etwa beim Strukturieren von Informationen, beim Formulieren von Texten oder bei wiederkehrenden Arbeitsschritten.
Zweitens kennen viele Beschäftigte KI-Anwendungen bereits aus ihrem privaten Alltag. Gute Erfahrungen mit ChatGPT, Google Gemini und anderen Tools prägen die Erwartung, vergleichbare Unterstützung auch im Beruf nutzen zu können.
Fehlen geeignete Unternehmenslösungen oder verständliche Vorgaben, suchen Teams eigene Wege. Shadow AI ist deshalb häufig ein organisatorisches Signal. Es zeigt, an welchen Stellen Mitarbeitende Unterstützung benötigen und wo die interne Bereitstellung von KI mit der praktischen Nachfrage noch nicht Schritt hält.
Welche Risiken entstehen durch Shadow AI?
Datenabfluss und Datenschutz
Das größte Risiko entsteht, wenn sensible Informationen in externe KI-Anwendungen gelangen. Dazu zählen personenbezogene Daten, Kundeninformationen, Vertragsdokumente, Patente, interne Unterlagen und Geschäftsgeheimnisse. Eine klare Datenklassifikation hilft dabei, schützenswerte Informationen zu erkennen. Für Nutzerinnen und Nutzer ist oft kaum erkennbar, wie ein Dienst die Eingaben verarbeitet oder speichert.
Compliance und EU AI Act
Ungeregelte KI-Nutzung erschwert es, rechtliche und interne Vorgaben einzuhalten. Mit dem EU AI Act gewinnt außerdem die KI-Kompetenz im Unternehmen an Bedeutung. Anbieter und Betreiber von KI-Systemen müssen Maßnahmen zur Förderung der KI-Kompetenz ihrer Beschäftigten ergreifen. Schulungen sollten deshalb den konkreten Arbeitskontext und die verwendeten Systeme berücksichtigen.
Reputation und Vertrauen
Werden vertrauliche Informationen offengelegt, entstehen neben möglichen rechtlichen Folgen auch Reputationsschäden. Kundinnen und Kunden erwarten, dass Unternehmen ihre Daten zuverlässig schützen. Eine unkontrollierte KI-Nutzung kann dieses Vertrauen beeinträchtigen.
Wie lässt sich Shadow AI erkennen?
Eine lückenlose technische Erkennung ist schwierig. Unternehmen können den Netzwerkverkehr analysieren, doch die Zahl der verfügbaren KI-Tools wächst laufend. Neue Dienste und private Zugänge lassen sich auf diesem Weg nur begrenzt erfassen.
Mehr Transparenz entsteht im direkten Austausch. Führungskräfte und IT-Verantwortliche sollten erfragen, welche Werkzeuge Teams bereits nutzen, welche Aufgaben sie damit bearbeiten und welche Funktionen ihnen in den freigegebenen Lösungen fehlen. Ein niedrigschwelliger Meldeweg für gewünschte Tools macht diesen Bedarf sichtbar.
„Man muss einfach nur den Risiken begegnen, und dann kann das Ganze auch gut funktionieren.“
Leonard Püttmann, Solution Architect bei accompio AI
Wie können Unternehmen Shadow AI kontrollieren?
Ein pauschales Verbot beseitigt den Bedarf an KI-Unterstützung meist nicht. Wirksamer ist ein Vorgehen, das Risiken reduziert und gute Anwendungsfälle in einen sicheren Rahmen überführt.
1. Nutzung und Bedarf erfassen
Unternehmen sollten gemeinsam mit den Fachbereichen klären, welche KI-Tools bereits im Einsatz sind und welchen Zweck sie erfüllen. Eine Liste für Tool-Wünsche hilft, wiederkehrende Anforderungen zu erkennen und zu priorisieren.
2. Klare KI-Guidelines festlegen
Leitlinien sollten verständlich erklären, welche Anwendungen erlaubt sind, welche Daten verwendet werden dürfen und wer neue Tools prüft. Kurze, konkrete Regeln sind im Alltag hilfreicher als allgemeine Verbote.
3. Mitarbeitende schulen
Self-Paced-Kurse zur Einführung in künstliche Intelligenz vermitteln Grundlagen im eigenen Tempo. Workshops eignen sich, um reale Anwendungsfälle aus einzelnen Teams zu prüfen. Mitarbeitende lernen dabei, wo Risiken liegen und wie sie KI in ihrem Arbeitsbereich sicher einsetzen können.
4. Sichere KI-Werkzeuge bereitstellen
Freigegebene Lösungen müssen die Aufgaben der Beschäftigten tatsächlich unterstützen. Für sensible Unternehmensdaten kann eine interne Confidential-AI-Umgebung eine geeignete Basis sein. Wenn die Alternative sicher und im Alltag brauchbar ist, sinkt der Anreiz, auf unbekannte externe Dienste auszuweichen.
5. KI-Governance laufend weiterentwickeln
Die KI-Landschaft verändert sich schnell. Unternehmen sollten eingesetzte Werkzeuge und Regeln regelmäßig überprüfen. Shadow AI wird dadurch zu einem festen Bestandteil der IT Governance und verliert Schritt für Schritt seinen ungesteuerten Charakter.
Shadow AI mit sicheren Lösungen reduzieren
Sie möchten vorhandene KI-Nutzung erfassen, geeignete Anwendungsfälle bewerten und Ihren Teams sichere Werkzeuge bereitstellen? accompio unterstützt Sie beim Aufbau einer praxistauglichen KI-Strategie, bei der technischen Umsetzung und bei der sicheren Integration von KI in Ihre bestehende Infrastruktur.
Wann wird Shadow AI zum Innovationsmotor?
Eigeninitiativ genutzte KI-Tools zeigen, wo Prozesse verbessert werden können. Teams sammeln praktische Erfahrungen und erkennen oft früh, welche Anwendungen einen echten Mehrwert bieten. Diese Impulse sind für Unternehmen wertvoll, wenn sie offen aufgenommen und fachlich geprüft werden.
Führungskräfte haben dabei eine wichtige Rolle. Sie schaffen Gesprächsangebote, nehmen den Bedarf ernst und sorgen zügig für sichere Lösungen. Eine solche Innovationskultur verbindet Neugier mit Verantwortung. Aus einzelnen Experimenten können so freigegebene Anwendungsfälle entstehen, die mehreren Teams zugutekommen.
Über den Experten
Leonard Püttmann arbeitet als Solution Architect bei accompio AI. Er beschäftigt sich täglich damit, wie Unternehmen KI-Technologien sicher und effizient einsetzen und damit einen konkreten Mehrwert schaffen können.
Häufige Fragen zu Shadow AI
Was ist der Unterschied zwischen Shadow AI und Shadow IT?
Shadow IT umfasst sämtliche nicht freigegebenen Hard- und Softwarelösungen. Shadow AI bezeichnet speziell den ungeregelten Einsatz von KI-Anwendungen und die damit verbundene Verarbeitung von Daten.
Kann ein Unternehmen Shadow AI vollständig verhindern?
Eine vollständige technische Kontrolle ist angesichts der vielen verfügbaren Tools kaum realistisch. Unternehmen können das Risiko deutlich senken, indem sie Nutzung transparent machen, sichere Alternativen anbieten, klare Regeln definieren und Beschäftigte regelmäßig schulen.
Welche Daten sind bei Shadow AI besonders kritisch?
Besonders schützenswert sind personenbezogene Daten, Kundeninformationen, Verträge, Patente, interne Dokumente und Geschäftsgeheimnisse. Vor der Eingabe muss geklärt sein, ob das verwendete Tool für diese Daten freigegeben ist.
Was gehört in eine KI-Guideline?
Eine praxistaugliche KI-Guideline benennt erlaubte Tools, zulässige Daten, verbotene Anwendungen, Verantwortlichkeiten und den Prozess zur Prüfung neuer Werkzeuge. Sie sollte leicht auffindbar sein und anhand realer Beispiele erklärt werden.
Ist Shadow AI eher Risiko oder Chance?
Ungeregelte Nutzung ist ein Risiko. Gleichzeitig macht sie Innovationsbereitschaft und konkrete Anforderungen sichtbar. Wenn Unternehmen diese Impulse aufnehmen, Risiken bewerten und sichere Lösungen bereitstellen, kann daraus produktiver und kontrollierter KI-Einsatz entstehen.
accompio vereint eine wachsende Anzahl etablierter IT-Dienstleister unter einer starken Marke. Als führender Managed Security Service Provider im DACH-Raum bietet accompio ein breites Serviceportfolio mit Schwerpunkten in IT-Sicherheit, Cloud-Lösungen, digitaler Transformation und dem Einsatz von Künstlicher Intelligenz zur Optimierung von Geschäftsprozessen.
Durch die Bündelung von Kompetenzen innerhalb der Gruppe schafft accompio eine größere Schlagkraft im IT-Markt und erweitert kontinuierlich ihr Leistungsspektrum. Mit etwa 950 IT-Expertinnen und Experten ist accompio an insgesamt 25 Standorten in Deutschland, Österreich, Ungarn und Bulgarien aktiv.
Weitere Informationen: www.accompio.com
accompio GmbH
Grimsehlstraße 23
37574 Einbeck
Telefon: +49 (5561) 92046990
Telefax: +49 (5561) 9225-00
http://www.accompio.com
E-Mail: l.schmidt@accompio.com
Reagieren statt hoffen: Warum Incident Response oft zu spät beginnt
Bis ein Unternehmen erkennt, dass tatsächlich ein Sicherheitsvorfall vorliegt, können bereits wertvolle Stunden vergangen sein. Genau diese Zeit entscheidet jedoch häufig darüber, wie groß der Schaden am Ende ausfällt. Denn je länger ein Angreifer unentdeckt bleibt, desto mehr Möglichkeiten hat er, sich innerhalb der IT-Umgebung auszubreiten.
Incident Response bezeichnet die strukturierte Reaktion auf einen Sicherheitsvorfall. Die Vorbereitung ist dabei entscheidend: Auffälligkeiten müssen früh erkannt und im Ernstfall ohne Verzögerung bearbeitet werden.
Thomas Ringhof, Incident Responder und digitaler Forensiker bei r-tec in der accompio Gruppe, erlebt in seiner täglichen Arbeit, wie entscheidend eine schnelle und strukturierte Reaktion auf Sicherheitsvorfälle ist. Im Experteninterview erklärt er, warum Unternehmen häufig zu spät reagieren, welche Fehler in den ersten Stunden eines Cyberangriffs passieren und wie sich die eigene Reaktionsfähigkeit gezielt verbessern lässt.
Das Wichtigste in Kürze
- Zeit ist ein entscheidender Faktor: Je länger ein Angreifer unentdeckt bleibt, desto größer kann der Schaden für ein Unternehmen werden.
- Incident Response beginnt vor dem Angriff: Unternehmen müssen bereits im Vorfeld definieren, wie sie auf Sicherheitsvorfälle reagieren und wer im Ernstfall welche Verantwortung übernimmt.
- Sichtbarkeit ist die Grundlage: Zentrale Log-Daten und ein funktionierendes Monitoring helfen dabei, verdächtige Aktivitäten frühzeitig zu erkennen.
- Nicht jede Auffälligkeit ist sofort ein Incident: Unternehmen brauchen klare Prozesse, um relevante Sicherheitsereignisse zu bewerten und angemessen darauf zu reagieren.
- Playbooks schaffen Handlungssicherheit: Vorbereitete Szenarien und klar definierte Abläufe verhindern, dass im Ernstfall wertvolle Zeit mit grundlegenden Abstimmungen verloren geht.
- Verspätete Reaktion kann teuer werden: Aus einem einzelnen kompromittierten Zugang können weitere betroffene Accounts, Systeme und im schlimmsten Fall erhebliche Betriebsunterbrechungen entstehen.
- Vorbereitung muss praktisch sein: Incident-Response-Prozesse gehören regelmäßig überprüft und eingeübt.
Warum Incident Response oft zu spät beginnt
Viele Unternehmen erkennen einen Angriff erst, wenn die Auswirkungen deutlich sichtbar werden. Thomas Ringhof sieht dafür zwei zentrale Ursachen: Es fehlt an technischer Sichtbarkeit und an klaren internen Abläufen. Sind relevante Log-Daten nicht verfügbar oder bleiben Zuständigkeiten ungeklärt, wird aus einer ersten Auffälligkeit schnell ein Vorfall, auf den niemand rechtzeitig reagiert.
Zu den typischen Ausgangspunkten gehören Phishing und Infostealer-Malware. Im Interview schildert Thomas Ringhof einen Fall, bei dem Angreifer Zugriff auf ein E-Mail-Postfach erhielten, eine bestehende Kommunikation mitlasen und eine Rechnung manipulierten. Das Unternehmen überwies daraufhin einen hohen Betrag auf das falsche Konto.
Ein kompromittiertes Benutzerkonto kann zunächst relativ unauffällig genutzt werden. Angreifer sichern ihren Zugang, schaffen Persistenz und vermeiden Aufmerksamkeit. Erst später führen sie Schadsoftware aus oder verursachen sichtbare Systemausfälle. Wenn der Vorfall dann erkannt wird, können die Angreifer bereits seit Tagen oder Wochen in der IT-Umgebung aktiv sein.
Auch der menschliche Faktor spielt eine Rolle. Ein ungewöhnlicher Login wird mitunter als harmloser Fehler bewertet, weil die erste plausible Erklärung beruhigt. Dieser Confirmation Bias kann dazu führen, dass Warnsignale nicht weiter untersucht und notwendige Eskalationen verzögert werden.
Deshalb beginnt Incident Response bereits mit der Incident Response Readiness. Unternehmen müssen verdächtige Aktivitäten früh erkennen, einordnen und über einen festgelegten Eskalationsweg weitergeben können. Dafür braucht es technische Sichtbarkeit, klare Prozesse und eindeutig benannte Verantwortliche.
Die ersten Minuten und Stunden entscheiden
Wird ein Sicherheitsvorfall erkannt, muss möglichst schnell geklärt werden: Was ist passiert? Welche Systeme sind betroffen? Welche Benutzerkonten wurden möglicherweise kompromittiert? Und wie weit konnte sich der Angreifer bereits ausbreiten?
In der Praxis entstehen hier häufig Verzögerungen. Verantwortlichkeiten sind nicht eindeutig geklärt, Informationen fehlen oder es ist unklar, welche Maßnahmen zuerst durchgeführt werden müssen. Der Weg von der ersten Beobachtung eines Mitarbeitenden über die IT-Administration bis zur Einstufung als Sicherheitsvorfall muss deshalb vorab definiert sein.
Ein vorbereiteter Incident-Response-Prozess schafft hier Handlungssicherheit. Playbooks legen für typische Szenarien fest, welche Informationen benötigt werden, wer entscheidet und welche Maßnahmen als Erstes erfolgen. Das gilt etwa für kompromittierte Benutzerkonten, verdächtige Logins, Phishing oder erkannte Malware.
So muss im Ernstfall nicht bei null begonnen werden.
Sichtbarkeit als Grundlage für schnelle Reaktion
Eine schnelle Incident Response setzt voraus, dass Unternehmen überhaupt erkennen können, was in ihrer IT-Umgebung passiert.
Der erste Schritt ist ein zentrales Log-Management. Dabei muss entschieden werden, welche Daten einfließen sollen. Reichen Anmeldedaten aus oder werden auch Ereignisse von Endgeräten, Servern und weiteren Host-Systemen benötigt? Je nach Umgebung kann ein SIEM dabei helfen, diese Informationen zusammenzuführen und Nutzeraktivitäten auszuwerten.
Monitoring macht Auffälligkeiten früh sichtbar. Historische Log-Daten sind außerdem für die digitale Forensik wichtig. Sie können zeigen, wann ein Angreifer erstmals aktiv wurde, welche Zugänge genutzt wurden und welche Systeme anschließend betroffen waren. Ohne diese Daten lässt sich ein Vorfall häufig nur unvollständig rekonstruieren.
Technologie allein reicht allerdings nicht aus. Ein Alarm ist zunächst nur ein Hinweis darauf, dass etwas Auffälliges passiert ist. Danach muss klar sein, wer den Vorfall bewertet, welche Maßnahmen eingeleitet werden und wer informiert werden muss.
Was kostet eine verspätete Reaktion?
Die Folgen eines Sicherheitsvorfalls hängen stark davon ab, wie früh ein Unternehmen reagiert. Die Unternehmensgröße bietet dabei keinen verlässlichen Schutz. Viele Angriffe laufen automatisiert ab und suchen große Adressbereiche nach erreichbaren und verwundbaren Systemen ab.
Ein einzelner kompromittierter Benutzer kann zunächst wie ein begrenztes Problem wirken. Kann der Angreifer den Zugang jedoch nutzen, um weitere Konten oder Systeme zu kompromittieren, wächst der Umfang des Vorfalls. Gleichzeitig wird die spätere Aufarbeitung aufwendiger und schwieriger.
„Wenn ich zu lange warte, dann steigen die Kosten nicht linear, sondern fast multiplikativ.“
Thomas Ringhof, Incident Responder und digitaler Forensiker bei r-tec
Genau deshalb sollte ein Unternehmen nicht darauf warten, dass ein Angriff eindeutig erkennbar wird. Ziel muss sein, verdächtige Aktivitäten möglichst früh zu erkennen und schnell reagieren zu können.
Incident Response vorbereiten: Was Unternehmen tun können
Eine gute Incident Response beginnt lange vor dem eigentlichen Sicherheitsvorfall. Unternehmen sollten zunächst für ausreichende Sichtbarkeit sorgen und prüfen, welche Systeme und Aktivitäten überwacht werden und welche Log-Daten zur Verfügung stehen.
Darauf aufbauend sollten Verantwortlichkeiten und konkrete Abläufe definiert werden. Für typische Szenarien können Incident-Response-Playbooks festlegen, welche Informationen gesammelt, welche Ansprechpartner eingebunden und welche technischen Maßnahmen eingeleitet werden müssen.
Wichtig ist außerdem, die Prozesse regelmäßig praktisch zu überprüfen. Incident-Response-Simulationen zeigen, ob Meldewege und Entscheidungen im Ernstfall funktionieren. Penetrationstests können zusätzliche Schwachstellen und mögliche Angriffswege sichtbar machen. Die Ergebnisse fließen anschließend in Monitoring, Playbooks und technische Schutzmaßnahmen ein.
Vier Schritte schaffen eine belastbare Grundlage:
- Relevante Log-Daten zentral verfügbar machen
- Verantwortlichkeiten und Eskalationswege klären
- Playbooks für typische Angriffsszenarien vorbereiten
- Abläufe durch Simulationen und Tests regelmäßig prüfen
Die Zukunft der Incident Response
Künstliche Intelligenz und Automatisierung können große Mengen an Sicherheitsdaten schneller analysieren und Forensikern erste Leads liefern. Ein Modell kann beispielsweise auf auffällige Zusammenhänge hinweisen und so die erste Sichtung beschleunigen.
Die fachliche Bewertung bleibt entscheidend. Expertinnen und Experten prüfen die Hinweise, ordnen sie in den Unternehmenskontext ein und entscheiden über die nächsten Schritte. So reduziert Automatisierung den Lärm in den Daten und schafft mehr Zeit für die eigentliche Analyse.
Gleichzeitig entwickeln sich die Methoden der Angreifer weiter. Prozesse, Monitoring und Playbooks müssen daher regelmäßig überprüft und angepasst werden.
Fazit: Im Ernstfall darf keine Zeit verloren gehen
Incident Response beginnt nicht erst in dem Moment, in dem ein Unternehmen einen Cyberangriff bestätigt. Sie beginnt bereits mit der Vorbereitung.
Wer seine IT-Umgebung überwacht, relevante Log-Daten verfügbar macht, Verantwortlichkeiten definiert und konkrete Szenarien vorbereitet, schafft eine deutlich bessere Grundlage für den Ernstfall.
Denn wenn ein Angriff tatsächlich stattfindet, bleibt keine Zeit für grundlegende Überlegungen.
Reagieren statt hoffen bedeutet deshalb vor allem: vorbereitet sein, sichtbar machen, was passiert, und im entscheidenden Moment handeln können.
accompio vereint eine wachsende Anzahl etablierter IT-Dienstleister unter einer starken Marke. Als führender Managed Security Service Provider im DACH-Raum bietet accompio ein breites Serviceportfolio mit Schwerpunkten in IT-Sicherheit, Cloud-Lösungen, digitaler Transformation und dem Einsatz von Künstlicher Intelligenz zur Optimierung von Geschäftsprozessen.
Durch die Bündelung von Kompetenzen innerhalb der Gruppe schafft accompio eine größere Schlagkraft im IT-Markt und erweitert kontinuierlich ihr Leistungsspektrum. Mit etwa 950 IT-Expertinnen und Experten ist accompio an insgesamt 25 Standorten in Deutschland, Österreich, Ungarn und Bulgarien aktiv.
Weitere Informationen: www.accompio.com
accompio GmbH
Grimsehlstraße 23
37574 Einbeck
Telefon: +49 (5561) 92046990
Telefax: +49 (5561) 9225-00
http://www.accompio.com
E-Mail: l.schmidt@accompio.com
Advanced Backup Monitoring: Silent Failures, False Positives und fehlende Recovery-Validierung im Griff
Klassisches Backup Monitoring konzentriert sich häufig auf Statusmeldungen und einzelne Fehler. In komplexen Umgebungen fehlt dabei der Zusammenhang zwischen Backup-Prozess, Backup-Server, Storage, Virtualisierung und den tatsächlich gesicherten Systemen. So können Silent Failures unentdeckt bleiben, während zu viele irrelevante Warnungen Alert Fatigue auslösen.
Im Experteninterview erklärt Björn Albers, Lead Support und Business Operations Manager bei BACKUP EAGLE®, warum Advanced Backup Monitoring auf unabhängige Überwachung, historische Vergleiche und eine zentrale Sicht auf die gesamte Backup-Umgebung setzt.
Das Wichtigste in Kürze
- Ein erfolgreicher Backup-Job belegt noch keine zuverlässige Wiederherstellung.
- Silent Failures zeigen sich etwa durch fehlende Systeme, auffällige Datenmengen oder einen gescheiterten Restore.
- Viele irrelevante Warnungen führen zu Alert Fatigue. Kritische Meldungen können dadurch übersehen werden.
- Recovery-Validierung verbindet automatisierte technische Prüfungen mit dokumentierten manuellen Kontrollen.
- Backup Observability verknüpft Backup, Virtualisierung und Storage, damit Ursachen schneller erkennbar werden.
- Ein unabhängiges, herstellerneutrales Monitoring schafft Transparenz über verschiedene Backup-Systeme hinweg.
- Audit-sichere Protokolle halten Bewertungen, Änderungen und Recovery-Tests nachvollziehbar fest.
Backup Monitoring ist mehr als ein grüner Status
Viele Backup-Systeme arbeiten mit einem einfachen Prinzip: Ein Job läuft erfolgreich durch und wird anschließend als „Success“ angezeigt. Schlägt der Job fehl, erscheint ein Fehler und das IT-Team kann reagieren.
In der Praxis kann ein Job erfolgreich durchlaufen, obwohl eine neue virtuelle Maschine nie in die Sicherung aufgenommen wurde oder ein vergessenes System ungeschützt bleibt. Auch eine ungewöhnlich kleine Backup-Datenmenge kann auf eine Lücke hinweisen.
Die Qualität des Backups und die Qualität seiner Überwachung sind deshalb zwei getrennte Fragen.
Ein zuverlässiges Monitoring prüft den gesamten Zusammenhang: Welche Maschinen müssen gesichert werden, wie ist der Backup-Server konfiguriert, steht ausreichend Storage zur Verfügung und lässt sich die Sicherung wiederherstellen?
Silent Failures: Wenn das Monitoring nichts meldet
Besonders problematisch sind sogenannte Silent Failures. Dabei handelt es sich vereinfacht gesagt um Fehlerzustände, bei denen das System keinen offensichtlichen Alarm auslöst.
Das kann passieren, wenn eine neue virtuelle Maschine nie in den Backup-Plan aufgenommen wird, ein ganzer Backup-Server in der Überwachung fehlt oder die gesicherte Datenmenge ohne erkennbaren Grund stark abweicht.
Historische Vergleiche helfen dabei, solche Auffälligkeiten zu erkennen. Backup-Größen, geschützte Systeme und der verfügbare Speicher werden über längere Zeit betrachtet und miteinander abgeglichen.
Dazu können beispielsweise folgende Fragen gehören:
- Sind alle erwarteten Maschinen und virtuellen Systeme im Backup enthalten?
- Ist ein neues oder bislang vergessenes System ungeschützt?
- Weicht die Backup-Größe auffällig von früheren Sicherungen ab?
- Passt die Größe des Backup-Storage zur Zahl der gesicherten Systeme?
- Sind Backup-Server, Virtualisierung und Storage vollständig angebunden?
- Wurde eine Wiederherstellung geprüft und nachvollziehbar dokumentiert?
Im Interview nennt Björn ein Praxisbeispiel: Erst die Einbindung des Virtual Centers machte sichtbar, dass zahlreiche virtuelle Maschinen ungeschützt waren. Der fehlende Backup-Server war zuvor im Monitoring übersehen worden.
False Positives und Alert Fatigue: Wenn Warnungen an Wirkung verlieren
False Positives sind Warnungen, die sich bei der Prüfung als unkritisch oder für die konkrete Umgebung als irrelevant erweisen. Björn nennt als Beispiel temporäre Dateien, die während des Backups in Benutzung sind und deshalb nicht gesichert werden.
Erzeugt ein Backup-Tool täglich sehr viele solcher Meldungen, sinkt die Aufmerksamkeit. Eine kritische Warnung kann in der Menge untergehen. Genau das beschreibt Alert Fatigue.
„Wenn über Monate hinweg täglich dieselben Fehlermeldungen eingehen, schaut irgendwann niemand mehr genau hin.“
Björn Albers, Lead Support und Business Operations Manager von BACKUP EAGLE®
Ein lernendes System kann bekannte, unkritische Meldungen für die jeweilige Umgebung einordnen und die Entscheidung audit-sicher dokumentieren.
Ändert sich die Situation oder tritt ein kritischer Fehler auf, wird weiterhin alarmiert. Das System muss gepflegt werden und lernt die Besonderheiten der Umgebung mit der Zeit besser kennen.
So sinkt die Zahl irrelevanter Meldungen, ohne dass die Nachvollziehbarkeit verloren geht.
Was Advanced Backup Monitoring ausmacht
Björn empfiehlt ein unabhängiges und herstellerneutrales Monitoring. Nutzt das Backup-System ausschließlich die Überwachung desselben Herstellers, können blinde Flecken entstehen. Eine unabhängige Instanz prüft die Umgebung aus einer eigenen Perspektive.
Dazu gehört der vollständige Kontext aus Backup-Prozessen, Backup-Servern, Konfigurationen, Virtualisierung und Storage. Historische Vergleiche zeigen, wenn Sicherungen plötzlich deutlich kleiner oder größer werden oder Maschinen aus dem Schutz herausfallen.
In vielen Unternehmen laufen mehrere Lösungen parallel, etwa für Cloud-Dienste, virtuelle Maschinen, physische Systeme, Datenbanken und Microsoft 365. Eine zentrale Plattform verbindet diese Daten und unterstützt ein einheitliches Backup Reporting.
Zur Recovery-Validierung gehören technische Restore-Prozesse und manuelle Prüfungen. BACKUP EAGLE® erkennt Wiederherstellungen in den Logs, analysiert den technischen Ablauf und dokumentiert ergänzende manuelle Kontrollen. Das ist vor allem bei komplexen Systemverbünden wichtig.
Alle Bewertungen und Änderungen sollten audit-sicher nachvollziehbar sein. Dazu gehören der Grund einer Neueinstufung, der verantwortliche Nutzer oder das System sowie der jeweilige Zeitpunkt. Diese Dokumentation liefert belastbare Nachweise für Prüfungen und Audits.
Warum Backup Monitoring kein autonomes System sein muss
Björn widerspricht der Vorstellung, dass Backup Monitoring zu einem autonomen System werden müsse. Self-Healing kann im Backup-System stattfinden. Aufgabe des Monitorings ist es, solche Abläufe zuverlässig zu erkennen und einzuordnen.
Startet ein fehlgeschlagenes Backup automatisch neu und läuft anschließend erfolgreich durch, kann das Monitoring den ursprünglichen Fehler audit-sicher neu bewerten. Dadurch entsteht kein unnötiges Ticket, während der gesamte Verlauf dokumentiert bleibt.
Automatisierung unterstützt damit vor allem die Bewertung und Dokumentation. Die Wiederherstellung komplexer Systemverbünde kann weiterhin manuelle Prüfungen erfordern.
Für ein resilientes Monitoring empfiehlt Björn eine separate Infrastruktur oder zumindest eine getrennte virtuelle Maschine. Die Lösung sollte herstellerneutral sein und lokale sowie cloudbasierte Backup-Systeme unterstützen.
Fazit
Advanced Backup Monitoring schafft eine unabhängige und herstellerübergreifende Sicht auf Backup-Prozesse, Server, Storage, Virtualisierung und gesicherte Systeme.
Historische Vergleiche machen auffällige Veränderungen sichtbar. Lernende Regeln reduzieren irrelevante Warnungen, während Recovery-Tests und manuelle Prüfschritte nachvollziehbar dokumentiert werden.
Ein grüner Status allein reicht für diese Bewertung nicht aus. Entscheidend ist der vollständige Kontext der Backup- und Recovery-Umgebung.
Eine unabhängige Überwachung kann blinde Flecken aufdecken und die tatsächliche Wiederherstellbarkeit besser belegen.
Damit gewinnen IT-Teams mehr Transparenz, reduzieren Alert Fatigue und erhalten audit-fähige Nachweise über ihre Backup- und Recovery-Prozesse.
accompio vereint eine wachsende Anzahl etablierter IT-Dienstleister unter einer starken Marke. Als führender Managed Security Service Provider im DACH-Raum bietet accompio ein breites Serviceportfolio mit Schwerpunkten in IT-Sicherheit, Cloud-Lösungen, digitaler Transformation und dem Einsatz von Künstlicher Intelligenz zur Optimierung von Geschäftsprozessen.
Durch die Bündelung von Kompetenzen innerhalb der Gruppe schafft accompio eine größere Schlagkraft im IT-Markt und erweitert kontinuierlich ihr Leistungsspektrum. Mit etwa 950 IT-Expertinnen und Experten ist accompio an insgesamt 25 Standorten in Deutschland, Österreich, Ungarn und Bulgarien aktiv.
Weitere Informationen: www.accompio.com
accompio GmbH
Grimsehlstraße 23
37574 Einbeck
Telefon: +49 (5561) 92046990
Telefax: +49 (5561) 9225-00
http://www.accompio.com
E-Mail: l.schmidt@accompio.com
CVSS-Score richtig einordnen: So priorisieren Unternehmen Schwachstellen nach dem tatsächlichen Risiko
Unternehmen entdecken häufig mehr Schwachstellen, als ihre IT-Teams kurzfristig beheben können. Eine reine Sortierung nach dem CVSS-Score hilft bei der Priorisierung nur begrenzt. So kann eine mittel bewertete Lücke auf einem öffentlich erreichbaren Webserver dringender sein als eine höher bewertete Schwachstelle in einem abgeschotteten internen System. Für die Reihenfolge zählen die praktische Ausnutzbarkeit und die Bedeutung des betroffenen Systems.
Im Experteninterview erklärt Stefan Kappey, Service Owner Schwachstellenmanagement bei accompio, warum der CVSS-Score nur den Ausgangspunkt bildet. Er zeigt, wie Exploitability und der individuelle Unternehmenskontext die Priorität verändern und wie Tenable mit dem dynamisch berechneten Vulnerability Priority Rating, kurz VPR, zusätzliche Orientierung schafft.
Das Wichtigste in Kürze
- Der CVSS-Score macht die technische Schwere verschiedener Schwachstellen vergleichbar.
- CVSS 3.x arbeitet mit Base, Temporal und Environmental. CVSS 4.0 verwendet Base, Threat, Environmental und Supplemental.
- Base beschreibt feste technische Merkmale wie den Angriffsweg, notwendige Berechtigungen und mögliche Auswirkungen.
- Temporal beziehungsweise Threat berücksichtigt aktuelle Entwicklungen wie verfügbare Exploits und eine beobachtete Ausnutzung.
- Environmental bezieht die konkrete IT-Umgebung, die Bedeutung des Systems und vorhandene Schutzmaßnahmen ein.
- Tenable ergänzt den CVSS-Score mit dem täglich aktualisierten Vulnerability Priority Rating. Unternehmenskontext und fachliche Erfahrung bestimmen die abschließende Priorität.
CVSS als Grundlage für die Schwachstellenbewertung
Das Common Vulnerability Scoring System, kurz CVSS, ist ein etablierter Standard zur Bewertung der technischen Schwere von Sicherheitslücken. Der daraus resultierende Score soll Unternehmen dabei helfen, Schwachstellen einheitlich einzuschätzen und miteinander zu vergleichen, um ein vereinfachtes Schwachstellenmanagement zu ermöglichen.
Dabei berücksichtigt CVSS verschiedene Eigenschaften einer Schwachstelle. Dazu zählen beispielsweise die notwendige Zugriffsmöglichkeit, die erforderlichen Privilegien oder die Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit eines betroffenen Systems.
CVSS 3.x unterscheidet zwischen Base, Temporal und Environmental. Base erfasst feste technische Eigenschaften wie den Angriffsvektor, notwendige Berechtigungen und mögliche Auswirkungen. Temporal berücksichtigt Entwicklungen im Zeitverlauf, etwa die Verfügbarkeit eines Exploits. Environmental passt die Bewertung an die konkrete IT-Umgebung an. In CVSS 4.0 heißt Temporal nun Threat. Hinzu kommt die Gruppe Supplemental für weitere Kontextinformationen.
Ein CVSS-Score beschreibt zunächst die technische Schwere einer Schwachstelle. Das konkrete Risiko für ein Unternehmen lässt sich daraus allein nicht ableiten.
Stefan Kappey nennt im Interview ein anschauliches Beispiel: Eine mittel bewertete Schwachstelle auf einem öffentlich erreichbaren Webserver kann Angreifern den ersten Zugang zum Unternehmen ermöglichen. Ihre Behebung kann daher dringender sein als ein fehlendes Update auf einem abgeschotteten internen System.
Warum der CVSS-Score allein nicht für die Priorisierung reicht
In der Praxis entstehen schnell lange Listen mit Schwachstellen, die nach ihrem CVSS-Score sortiert sind. Genau hier liegt eine der größten Herausforderungen im Schwachstellenmanagement.
Der Score zeigt die technische Schwere. Für die Reihenfolge der Maßnahmen braucht es weitere Informationen zum betroffenen System, zur Erreichbarkeit und zur aktuellen Bedrohungslage.
Dazu gehören beispielsweise:
- Ist das betroffene System aus dem Internet erreichbar?
- Welche Rolle spielt das System für das Unternehmen?
- Welche Daten werden darauf verarbeitet?
- Befindet sich das System in einem besonders geschützten Netzwerksegment?
- Welche Zugriffsmöglichkeiten bestehen für potenzielle Angreifer?
- Gibt es bereits einen öffentlich verfügbaren Exploit?
- Wird die Schwachstelle aktiv von Angreifern ausgenutzt?
- Welche zusätzlichen Sicherheitsmaßnahmen schützen das System?
Damit wird aus einer rein technischen Bewertung eine risikobasierte Priorisierung.
Exploitability: Wie real ist die Bedrohung?
Ein entscheidender Faktor ist die sogenannte Exploitability. Sie beschreibt vereinfacht gesagt, wie gut eine Schwachstelle tatsächlich ausgenutzt werden kann.
Manche Sicherheitslücken sind technisch vorhanden, lassen sich unter realistischen Bedingungen jedoch nur schwer ausnutzen. Andere entwickeln trotz eines moderaten Scores eine hohe Dringlichkeit, sobald ein funktionierender Exploit öffentlich verfügbar ist.
Für Security-Teams sind deshalb zusätzliche Informationen wichtig. Dazu zählen beispielsweise öffentlich verfügbare Exploits, Proof-of-Concept-Code, Exploit-Kits oder Hinweise darauf, dass eine Schwachstelle bereits aktiv in Angriffen verwendet wird.
Das heißt, ich drücke auf den Knopf, warte ein paar Sekunden und habe meinen Zugang.
Stefan Kappey, Service Owner Schwachstellenmanagement bei accompio
Der Unternehmenskontext entscheidet über das tatsächliche Risiko
Neben CVSS und Exploitability ist vor allem der Kontext des jeweiligen Unternehmens entscheidend.
Ein und dieselbe Schwachstelle kann auf zwei Systemen völlig unterschiedliche Prioritäten besitzen. Ein öffentlich erreichbarer Server mit direkter Verbindung zu kritischen Unternehmensdaten ist anders zu bewerten als ein vergleichbares System in einem isolierten Netzwerksegment.
Auch die Geschäftskritikalität spielt eine wichtige Rolle. Fällt ein System aus oder wird kompromittiert, können je nach Einsatzbereich völlig unterschiedliche Konsequenzen entstehen.
Eine sinnvolle Priorisierung berücksichtigt deshalb mindestens drei Ebenen:
- Technische Schwere: Wie kritisch ist die Schwachstelle grundsätzlich?
- Ausnutzbarkeit: Wie wahrscheinlich und einfach ist eine tatsächliche Ausnutzung?
- Unternehmensrisiko: Welche Auswirkungen hätte eine erfolgreiche Ausnutzung in der konkreten Umgebung?
Erst aus der Kombination dieser Faktoren entsteht ein belastbares Bild.
Tenable VPR ergänzt die statische Bewertung
CVSS bildet viele technische Eigenschaften einer Schwachstelle ab. Der Score bleibt über weite Teile ihres Lebenszyklus stabil. Die reale Bedrohungslage kann sich innerhalb kurzer Zeit verändern.
Tenable nutzt dafür das Vulnerability Priority Rating (VPR). Die Kennzahl wird täglich neu berechnet. Sie bezieht den CVSS-Score sowie aktuelle Informationen zu verfügbaren Exploits, Angriffsaktivitäten und weiteren Bedrohungssignalen ein. Nach Angaben von Tenable können dabei auch Erkenntnisse aus dem Darknet berücksichtigt werden. VPR unterstützt Security-Teams dabei, große Mengen an Findings schneller zu ordnen. Die Bewertung des betroffenen Systems, vorhandener Schutzmaßnahmen und möglicher Folgen bleibt Aufgabe des Unternehmens.
Wie funktioniert Schwachstellenmanagement in der IT?
Schwachstellenmanagement umfasst das Erfassen, Bewerten, Priorisieren und Beheben von Sicherheitslücken. Eine vollständige Sicht auf die IT-Landschaft hilft dabei, ausnutzbare Schwachstellen auf kritischen Systemen zuerst zu behandeln und den Erfolg der Maßnahmen anschließend zu überprüfen.
Typische Fehler bei der Schwachstellenpriorisierung
Probleme entstehen häufig, wenn Security-Teams ihre Reihenfolge zu stark an einer einzelnen Kennzahl ausrichten.
Bei einer reinen Sortierung nach CVSS landen hohe Scores automatisch ganz oben auf der Liste. Die Erreichbarkeit des Systems, vorhandene Schutzmaßnahmen und die Bedeutung für den Geschäftsbetrieb bleiben dabei leicht unberücksichtigt.
Ein weiterer Fehler ist eine fehlende Aktualisierung der Bewertung. Schwachstelleninformationen verändern sich kontinuierlich. Was gestern noch als theoretisches Risiko galt, kann heute bereits durch einen öffentlich verfügbaren Exploit zu einer akuten Bedrohung werden.
Auch fehlende Informationen über die eigene IT-Landschaft erschweren die Priorisierung. Wer nicht weiß, welche Systeme besonders kritisch sind oder welche Assets aus dem Internet erreichbar sind, kann Risiken nur eingeschränkt bewerten.
Auch betriebliche Rahmenbedingungen beeinflussen die Umsetzung. Updates benötigen Tests, Wartungsfenster und klar definierte Patch-Prozesse. Security-Teams sollten deshalb dokumentieren, warum eine Maßnahme sofort umgesetzt, geplant oder vorübergehend zurückgestellt wird.
Fazit
Eine belastbare Schwachstellenpriorisierung verbindet den CVSS-Score mit Exploitability, Threat Intelligence und dem individuellen Unternehmenskontext. Dynamische Kennzahlen wie das VPR von Tenable helfen dabei, Veränderungen der Bedrohungslage schneller in die Bewertung aufzunehmen. Die höchste Dringlichkeit erhält die Schwachstelle, die im konkreten Unternehmen das größte Risiko verursacht.
Ein wirksames Schwachstellenmanagement schafft Transparenz über Systeme und Angriffswege. Es macht technische Findings für Security-Teams und Verantwortliche nachvollziehbar und führt zu einer klaren Reihenfolge für Patches und weitere Schutzmaßnahmen.
accompio vereint eine wachsende Anzahl etablierter IT-Dienstleister unter einer starken Marke. Als führender Managed Security Service Provider im DACH-Raum bietet accompio ein breites Serviceportfolio mit Schwerpunkten in IT-Sicherheit, Cloud-Lösungen, digitaler Transformation und dem Einsatz von Künstlicher Intelligenz zur Optimierung von Geschäftsprozessen.
Durch die Bündelung von Kompetenzen innerhalb der Gruppe schafft accompio eine größere Schlagkraft im IT-Markt und erweitert kontinuierlich ihr Leistungsspektrum. Mit etwa 950 IT-Expertinnen und Experten ist accompio an insgesamt 25 Standorten in Deutschland, Österreich, Ungarn und Bulgarien aktiv.
Weitere Informationen: www.accompio.com
accompio GmbH
Grimsehlstraße 23
37574 Einbeck
Telefon: +49 (5561) 92046990
Telefax: +49 (5561) 9225-00
http://www.accompio.com
E-Mail: l.schmidt@accompio.com
Passwort-Sicherheit: Wie man wirklich sichere Passwörter erstellt – und warum die meisten daran scheitern
Timur Yilmaz, Service Owner für Security Validation bei accompio, erlebt in der Praxis regelmäßig, wie unsichere Passwörter Unternehmen gefährden. Bei Sicherheitsüberprüfungen und Password Checks werden Passwörter gezielt auf ihre Sicherheit geprüft – mit teilweise ernüchternden Ergebnissen. Im Experteninterview erklärt er, wie Angreifer an Passwörter gelangen, welche Fehler besonders häufig vorkommen und wie sich sichere Passwörter im Alltag tatsächlich umsetzen lassen.
Das Wichtigste in Kürze
- Länge ist entscheidend: Ein sicheres Passwort sollte möglichst lang sein. Passphrasen sind dabei eine praktische Möglichkeit, lange und dennoch merkbare Passwörter zu verwenden.
- Passwörter niemals wiederverwenden: Wird ein Passwort durch ein Datenleck bekannt, können Angreifer versuchen, es auch bei anderen Diensten und Unternehmenszugängen einzusetzen.
- Persönliche Informationen vermeiden: Namen, Geburtsdaten, Haustiere, Orte oder andere persönliche Bezüge eignen sich nicht als Passwort.
- Passwort-Manager erleichtern sichere Passwörter: Nutzer müssen sich dadurch nur noch ein einziges starkes Master-Passwort merken. Die übrigen Passwörter können automatisch generiert und sicher verwaltet werden.
- Multi-Faktor-Authentifizierung bleibt wichtig: Selbst wenn ein Passwort kompromittiert wurde, kann ein zusätzlicher Faktor den Zugriff weiterhin verhindern.
- Passwortrichtlinien allein reichen nicht: Unternehmen sollten Mitarbeitende konkret schulen und vermitteln, wie sichere Passwörter entstehen und warum bestimmte Verhaltensweisen riskant sind.
- Passwörter werden nicht so schnell verschwinden: Biometrische Verfahren können die Nutzung komfortabler machen. Ein Passwort bleibt jedoch häufig als Fallback bestehen.
Passwort-Sicherheit in der Praxis: Warum einfache Passwörter immer noch ein Problem sind
„SommerPflanze2025!“ oder „123456“ – Passwörter dieser Art begegnen Security-Experten noch immer regelmäßig. Auch Passwörter mit persönlichem Bezug, etwa Namen aus der Familie, Haustiere, Geburtsdaten oder bekannte Orte, sind problematisch.
Timur Yilmaz kennt diese Muster aus seiner täglichen Arbeit. Als Service Owner für Security Validation begleitet er Sicherheitsüberprüfungen und Security Audits bei Kunden. Dazu gehören auch Passwort-Checks, bei denen geprüft wird, wie sicher die im Unternehmen verwendeten Passwörter tatsächlich sind.
Das Ergebnis zeigt ein grundlegendes Problem: Technische Sicherheitsmaßnahmen können noch so umfangreich sein; wenn Zugangsdaten einfach zu erraten oder bereits an anderer Stelle kompromittiert worden sind, entsteht eine erhebliche Schwachstelle.
Wie gelangen Angreifer an Passwörter?
Passwörter können auf unterschiedlichen Wegen in die Hände von Angreifern gelangen. Ein besonders häufiges Szenario ist Phishing: Nutzer erhalten beispielsweise eine E-Mail mit einem Link, der zu einer gefälschten Login-Seite führt. Wird dort das Passwort eingegeben, können Angreifer die Zugangsdaten abgreifen.
Eine weitere Gefahr sind Datenlecks. Wird ein Online-Dienst kompromittiert, können dabei gespeicherte Zugangsdaten beziehungsweise Passwortdaten in die Hände von Angreifern gelangen. Diese Informationen können anschließend mit anderen bekannten Zugangsdaten abgeglichen werden.
Genau hier zeigt sich, warum Passwort-Wiederverwendung so gefährlich ist: Ein Passwort, das bei einem privaten Dienst kompromittiert wurde, kann zum Risiko für den Zugang zu Unternehmenssystemen werden, wenn dasselbe Passwort dort ebenfalls verwendet wird.
Was ist ein wirklich sicheres Passwort?
Bei der Frage, was ein sicheres Passwort ausmacht, steht für Timur Yilmaz vor allem ein Faktor im Mittelpunkt: die Länge.
Je länger ein Passwort ist, desto besser. Statt kurzer, komplex wirkender Zeichenfolgen können deshalb auch lange Passphrasen eingesetzt werden. Sie haben einen weiteren Vorteil: Lange Passwörter lassen sich häufig leichter merken, wenn sie aus mehreren Wörtern bestehen.
Gleichzeitig sollte ein Passwort keinen persönlichen Bezug haben. Namen, Geburtsdaten, Haustiere, Lieblingsorte oder andere Informationen, die sich über die betreffende Person herausfinden lassen, sollten nicht Bestandteil eines Passworts sein.
„Alles was einen persönlichen Bezug hat, sollte kein Passwort sein. Ich kenne meine Passwörter nicht. Ich kenne ein einziges Passwort – das für meinen Passwortmanager.“
— Timur Yilmaz, Service Owner bei accompio
Ein gutes Passwort ist also nicht zwingend das komplizierteste Passwort. Entscheidend ist vor allem, dass es lang, einzigartig und nicht aus persönlichen oder leicht vorhersehbaren Informationen abgeleitet ist.
Warum ein Passwort-Manager sinnvoll ist
Ein Passwort-Manager löst eines der größten praktischen Probleme bei der Passwort-Sicherheit: Niemand muss sich mehr dutzende komplexe Passwörter merken.
Stattdessen wird ein starkes Master-Passwort benötigt. Darin können die übrigen Zugangsdaten gespeichert und verwaltet werden. Ein Passwort-Manager kann zudem sichere, zufällige Passwörter generieren, die aus vielen Zeichen bestehen und keinen persönlichen Bezug haben.
Timur Yilmaz nutzt selbst einen Passwort-Manager – sowohl privat als auch im Unternehmen. Dadurch kennt er seine einzelnen Passwörter nicht einmal auswendig. Stattdessen wird für jeden Dienst ein eigenes, langes Passwort verwendet.
Reicht ein sicheres Passwort aus? Die Rolle der Multi-Faktor-Authentifizierung
Auch ein starkes Passwort sollte nicht die einzige Schutzmaßnahme sein. Eine wichtige zusätzliche Sicherheitsstufe ist die Multi-Faktor-Authentifizierung (MFA).
Dabei wird der Login nicht allein durch das Passwort abgesichert. Zusätzlich muss ein weiterer Faktor bestätigt werden – beispielsweise über ein Smartphone, einen Code oder ein biometrisches Verfahren.
Das erhöht die Sicherheit erheblich. Selbst wenn ein Angreifer ein Passwort kennt oder knacken konnte, reicht das Passwort allein nicht zwangsläufig aus, um sich Zugang zu einem geschützten Konto zu verschaffen.
Für Unternehmen sollte Multi-Faktor-Authentifizierung deshalb ein wichtiger Bestandteil einer ganzheitlichen Strategie für Identity & Access Security sein.
Passwort-Sicherheit im Unternehmen: Warum Schulungen wichtiger sind als reine Richtlinien
Unternehmen versuchen häufig, sichere Passwörter über verbindliche Passwortrichtlinien durchzusetzen. Vorgaben zu Groß- und Kleinbuchstaben, Zahlen und Sonderzeichen können zwar sinnvoll sein, garantieren jedoch nicht automatisch ein sicheres Passwort.
Ein Beispiel aus der Praxis zeigt das Problem: Ein Nutzer kann ein Passwort wie „SommerPflanze2025!!“ erstellen und damit formell verschiedene Komplexitätsanforderungen erfüllen. Trotzdem bleibt das Passwort vorhersehbar und damit unsicher.
Deshalb sieht Timur Yilmaz Schulungen als einen besonders wichtigen Bestandteil der Passwort-Sicherheit. Mitarbeitende müssen verstehen, wie sichere Passwörter entstehen, warum Passwort-Wiederverwendung gefährlich ist und welche Verhaltensweisen Angreifer ausnutzen können.
Passwort-Sicherheit ist damit nicht ausschließlich eine technische Aufgabe. Sie ist auch eine Frage von Wissen und Verhalten.
Was können Unternehmen konkret für bessere Passwort-Sicherheit tun?
Der erste Schritt besteht darin, den tatsächlichen Zustand zu kennen. Password-Checks und Sicherheitsüberprüfungen können dabei helfen, Schwachstellen sichtbar zu machen.
Darauf aufbauend sollten Unternehmen ihre Mitarbeitenden gezielt sensibilisieren und ihnen konkrete Methoden an die Hand geben. Dazu gehören insbesondere:
- individuelle und lange Passwörter für jeden Zugang,
- die Nutzung eines Passwort-Managers,
- der Verzicht auf persönliche Informationen in Passwörtern,
- keine Wiederverwendung von Unternehmenspasswörtern bei privaten Diensten,
- der Einsatz von Multi-Faktor-Authentifizierung,
- regelmäßige Schulungen und Sensibilisierung der Mitarbeitenden.
So wird aus einer abstrakten Passwortrichtlinie ein Sicherheitskonzept, das sich auch im Arbeitsalltag umsetzen lässt.
Fazit
Wer seine eigene Passwort-Sicherheit verbessern möchte, kann mit wenigen Schritten beginnen: Werden Passwörter mehrfach verwendet? Enthalten sie persönliche Informationen? Sind wichtige Konten zusätzlich durch Multi-Faktor-Authentifizierung geschützt? Und wird bereits ein Passwort-Manager eingesetzt?
Der wichtigste Schritt ist, nicht erst nach einem Sicherheitsvorfall aktiv zu werden. Passwort-Sicherheit sollte ein fester Bestandteil der persönlichen und unternehmerischen IT-Sicherheit sein.
accompio vereint eine wachsende Anzahl etablierter IT-Dienstleister unter einer starken Marke. Als führender Managed Security Service Provider im DACH-Raum bietet accompio ein breites Serviceportfolio mit Schwerpunkten in IT-Sicherheit, Cloud-Lösungen, digitaler Transformation und dem Einsatz von Künstlicher Intelligenz zur Optimierung von Geschäftsprozessen.
Durch die Bündelung von Kompetenzen innerhalb der Gruppe schafft accompio eine größere Schlagkraft im IT-Markt und erweitert kontinuierlich ihr Leistungsspektrum. Mit etwa 950 IT-Expertinnen und Experten ist accompio an insgesamt 25 Standorten in Deutschland, Österreich, Ungarn und Bulgarien aktiv.
Weitere Informationen: www.accompio.com
accompio GmbH
Grimsehlstraße 23
37574 Einbeck
Telefon: +49 (5561) 92046990
Telefax: +49 (5561) 9225-00
http://www.accompio.com
E-Mail: l.schmidt@accompio.com
Die Resilienz-Lücke: Warum viele Security-Investitionen nicht wirken
Genau hier entsteht die Resilienz-Lücke.
Was sie verursacht, wie Unternehmen ihre Sicherheitsarchitektur ganzheitlich betrachten sollten und warum echte Cyber Resilience nicht einfach eingekauft werden kann, erklärt Sebastian Bittig, Director of Cyber Defense bei r-tec, im accompio Experteninterview. Bittig beschäftigt sich seit rund 15 Jahren mit Security-Architekturen und verbindet strategische Beratung mit operativer Erfahrung aus Managed Services und Incident Response. r-tec (Teil der accompio Gruppe) ist seit über 25 Jahren auf Cybersecurity spezialisiert und schützt Unternehmen sowie Betreiber kritischer Infrastrukturen in den Bereichen Cloud, OT, IoT und Big Data. Als Teil der accompio-Gruppe bringt r-tec mit einem eigenen Cyber Defense Center, über 100 Sicherheitsexperten, Managed SOC und eigenem CERT genau die technische Tiefe mit, die es braucht, um die im Interview beschriebenen Themen auch in der Praxis umzusetzen.
Das Wichtigste in Kürze
- Hohe Security-Investitionen bedeuten nicht automatisch hohe Resilienz. Entscheidend ist nicht die Anzahl eingesetzter Lösungen, sondern deren Zusammenspiel.
- Die Resilienz-Lücke entsteht häufig durch gewachsene und fragmentierte Security-Landschaften. Einzelne Systeme und Teams funktionieren für sich, sind aber nicht zu einem Gesamtsystem verbunden.
- Prävention bleibt die Basis der IT-Sicherheit, kann aber nicht jeden Angriff verhindern. Was nicht verhindert wird, muss zuverlässig erkannt und anschließend schnell behandelt werden.
- Detektion bildet die wichtige Verbindung zwischen Prävention und Response. Erkenntnisse aus Angriffen sollten zudem zurück in die Prävention fließen.
- Response ist der Realitätstest für die Cyber Resilience eines Unternehmens. Erst im Sicherheitsvorfall zeigt sich, ob Prozesse, Verantwortlichkeiten, Systeme und Menschen tatsächlich funktionieren.
- Resilienz ist nicht nur eine technische Aufgabe. Prozesse, Verantwortlichkeiten, Kommunikation und Zusammenarbeit zwischen Teams und Dienstleistern sind ebenso entscheidend.
- Resilienz lässt sich messen und trainieren. Kennzahlen wie Time to Respond und Mean Time to Recover sowie praxisnahe Notfallübungen zeigen, wie schnell ein Unternehmen auf einen Angriff reagieren und wieder handlungsfähig werden kann.
- Der Weg vom Tool-Stack zum Gesamtsystem braucht Zeit. Unternehmen sollten schrittweise vorgehen, bestehende Lösungen integrieren und Verantwortlichkeiten sowie Prozesse klar definieren.
Cyber Resilience: Warum Security-Investitionen allein nicht ausreichen
Viele Unternehmen investieren heute erhebliche Summen in ihre IT-Sicherheit. Trotzdem entsteht dadurch nicht automatisch ein höheres Maß an Cyber Resilience. Der Grund: Zwischen der Investition in einzelne Sicherheitsmaßnahmen und deren tatsächlicher Wirksamkeit kann eine deutliche Lücke entstehen.
Sebastian Bittig bezeichnet diese Lücke als Resilienz-Lücke. Sie entsteht insbesondere dann, wenn Unternehmen zwar viele Sicherheitsmaßnahmen etabliert haben, diese aber nicht als zusammenhängendes System funktionieren.
Ob ein Unternehmen tatsächlich resilient aufgestellt ist, zeigt sich dabei häufig erst dann, wenn ein echter Sicherheitsvorfall eintritt. Dann wird sichtbar, ob Erkennung, Kommunikation und Reaktion funktionieren – oder ob zwischen den einzelnen Sicherheitsbereichen Brüche bestehen.
Die Resilienz-Lücke entsteht häufig durch gewachsene Security-Landschaften
Ein typisches Problem vieler Unternehmen ist eine über Jahre gewachsene Sicherheitsarchitektur. Neue Lösungen werden ergänzt, wenn sich neue Anforderungen ergeben oder neue Bedrohungen entstehen. Was dabei häufig fehlt, ist eine übergeordnete Betrachtung des Gesamtsystems.
„Vor vielen Jahren hat man angefangen mit Antivirus. Nach und nach sind dann weitere Lösungen dazugekommen. In vielen Fällen wurde dabei nicht von Anfang an berücksichtigt, wie die einzelnen Systeme miteinander funktionieren und welche Informationen zwischen ihnen ausgetauscht werden müssen.“
— Sebastian Bittig, Director of Cyber Defense bei r-tec (Teil der accompio-Gruppe)
So entstehen Security-Silos: Einzelne Lösungen arbeiten technisch durchaus zuverlässig, liefern ihre Erkenntnisse aber nicht automatisch an die nächste Stelle in der Sicherheitskette.
Im Ernstfall kann genau das zum Problem werden. Informationen müssen manuell zusammengetragen werden, Verantwortlichkeiten sind nicht eindeutig oder relevante Hinweise werden zu spät erkannt. Das kostet vor allem eines: Zeit.
Und Zeit ist bei einem laufenden Cyberangriff ein entscheidender Faktor.
Prävention, Detektion und Response müssen als Gesamtsystem funktionieren
Drei funktionierende Einzelbereiche ergeben noch kein resilientes Unternehmen.
Entscheidend ist das Zusammenspiel aus Prävention, Detektion und Response. Alle drei Bereiche müssen Informationen austauschen, aufeinander aufbauen und gemeinsam auf ein Ziel einzahlen: einen Sicherheitsvorfall möglichst zu verhindern, frühzeitig zu erkennen, schnell einzudämmen und den Geschäftsbetrieb möglichst rasch wiederherzustellen.
Dafür braucht es mehr als einzelne Security-Tools.
Im Cyber Resilience Assessment werden genau diese Faktoren verprobt. Eine funktionierende Security-Architektur besteht laut Bittig aus dem Zusammenspiel von Technik, Prozessen und Menschen. Die eingesetzten Systeme müssen miteinander kommunizieren, Datenflüsse müssen funktionieren und Verantwortlichkeiten müssen klar geregelt sein.
Cyber Resilience ist auch ein organisatorisches Thema
Die Resilienz-Lücke ist deshalb nicht ausschließlich ein technisches Problem. Auch die Organisation eines Unternehmens spielt eine entscheidende Rolle.
Eine Investition in eine Sicherheitslösung muss organisatorisch begleitet werden. Prozesse müssen definiert, Verantwortlichkeiten festgelegt und Zuständigkeiten regelmäßig überprüft werden.
Besonders kritisch wird es, wenn Informationen oder Ansprechpartner nicht mehr aktuell sind. Bittig berichtet von einem Ransomware-Vorfall, bei dem ein Angriff zwar durch das eingesetzte SIEM erkannt wurde, die Reaktion aber dennoch ins Stocken geriet.
Der Grund war nicht die fehlende technische Erkennung. Vielmehr war der primäre Ansprechpartner des Kunden nicht mehr erreichbar, die hinterlegten Kontakte waren nicht aktuell und es gab keine ausreichende Bereitschaftsregelung für das Wochenende.
Das Beispiel zeigt: Ein erkanntes Security Event ist noch kein gelöster Sicherheitsvorfall.
Erst wenn aus der Erkennung eine definierte und schnelle Reaktion wird, entsteht tatsächliche Resilienz.
Wie lässt sich Cyber Resilience messen?
Resilienz ist kein abstraktes Ziel, sondern lässt sich anhand konkreter Kennzahlen und Übungen bewerten.
Zu den relevanten Größen gehören beispielsweise:
- Mean Time to Detect: Wie schnell erkennt ein Unternehmen einen Sicherheitsvorfall überhaupt?
- Mean Time to Respond: Wie schnell reagiert das Unternehmen darauf?
- Mean Time to Recover: Wie lange dauert es, bis Systeme und Prozesse wiederhergestellt sind und die Handlungsfähigkeit zurückkehrt?
Alle drei Kennzahlen geben wichtige Hinweise darauf, wie gut die Response-Prozesse tatsächlich funktionieren.
Dabei sollte der Blick nicht ausschließlich auf technische Kennzahlen gerichtet sein. Entscheidend ist letztlich der Outcome: Wie schnell wird ein Angriff erkannt? Wie schnell kann das Unternehmen reagieren? Und wie schnell ist der normale Betrieb wiederhergestellt?
Praxisbeispiel: Wenn ein erkannter Angriff trotzdem zum Problem wird
Ein besonders anschauliches Beispiel aus Bittigs Praxis ist ein Ransomware-Vorfall bei einem Neukunden.
Das Unternehmen verfügte bereits über einen Managed SOC Service und hatte gute Audit-Berichte. Auch technisch funktionierte die Detektion: Das eingesetzte SIEM erkannte den Angriff und der zuständige Service Provider informierte den Kunden.
Trotzdem kam die Reaktion zunächst nicht ausreichend in Gang.
Der entscheidende Schwachpunkt lag in der Organisation: Der hinterlegte primäre Ansprechpartner war inzwischen nicht mehr im Unternehmen. Am Wochenende war zudem niemand erreichbar und es gab keine ausreichend definierte Bereitschaft des Providers.
Technisch war der Angriff also erkannt worden. Das Gesamtsystem war trotzdem nicht handlungsfähig.
Den Unterschied hätten klar definierte Prozesse, aktuelle Ansprechpartner und festgelegte Befugnisse gemacht. Insbesondere für bestimmte Szenarien sollte bereits vorab geregelt sein, welche Maßnahmen ein Dienstleister selbstständig einleiten darf.
Das Beispiel verdeutlicht die zentrale Aussage des Interviews: Security Resilience entscheidet sich nicht allein daran, ob ein Angriff erkannt wird – sondern daran, was danach passiert.
Der Druck, sich mit Resilienz auseinanderzusetzen, kommt inzwischen auch von außen. Regulatorische Vorgaben wie NIS-2 und DORA verpflichten viele Unternehmen dazu, sich mit dem Thema aktiv zu beschäftigen, statt es aufzuschieben, bis ein Vorfall sie dazu zwingt.
Was Unternehmen beim Aufbau von Cyber Resilience vermeiden sollten
Eine der größten Gefahren ist, zu viel auf einmal verändern zu wollen.
Der Aufbau eines funktionierenden Security-Gesamtsystems kann Monate oder sogar Jahre dauern. Unternehmen sollten deshalb nicht versuchen, die gesamte Sicherheitsarchitektur in einer kurzen Workshop-Serie neu aufzubauen.
Stattdessen empfiehlt sich ein schrittweises Vorgehen:
- Reifegrad und bestehende Architektur analysieren
- Sicherheitslücken und Brüche zwischen den Bereichen identifizieren
- Bestehende Tools sinnvoll miteinander verbinden
- Verantwortlichkeiten und Prozesse definieren
- Response-Szenarien und Befugnisse festlegen
- Das Gesamtsystem regelmäßig testen und weiterentwickeln
So entsteht Schritt für Schritt ein Sicherheitsmodell, das nicht nur auf dem Papier funktioniert, sondern auch im Ernstfall handlungsfähig bleibt.
Fazit
Die Resilienz-Lücke entsteht dort, wo einzelne Security-Maßnahmen zwar funktionieren, aber kein funktionierendes Gesamtsystem bilden. Echte Cyber Resilience entsteht im Zusammenspiel und lässt sich nicht einfach erkaufen.
Prävention, Detektion und Response dürfen deshalb nicht isoliert betrachtet werden. Sie müssen ineinandergreifen, Informationen austauschen und durch klare Prozesse und Verantwortlichkeiten miteinander verbunden sein.
Dabei spielen nicht nur Technologien eine Rolle. Menschen, Prozesse und Technik müssen gemeinsam funktionieren.
Die eigentlich entscheidende Frage ist deshalb gar nicht mehr, welche Security-Lösung als Nächstes angeschafft werden sollte. Viel wichtiger ist: Funktioniert das gesamte System auch dann noch, wenn es wirklich drauf ankommt?rn:
„Wie stellen wir sicher, dass unser gesamtes Security-System im Ernstfall funktioniert?“
Denn genau dort entscheidet sich echte Cyber Resilience.
Über den Experten
Sebastian ist Security-Experte und berät Kunden beim Aufbau resilienter IT-Sicherheitsstrukturen und Security-Systeme.
FAQ: Häufige Fragen zu Cyber ResilienceWas bedeutet Cyber Resilience?
Cyber Resilience beschreibt die Fähigkeit eines Unternehmens, Cyberangriffe und Sicherheitsvorfälle zu verhindern, frühzeitig zu erkennen, wirksam darauf zu reagieren und die Handlungsfähigkeit anschließend schnell wiederherzustellen. Entscheidend ist dabei das Zusammenspiel aus Prävention, Detektion und Response.
Was bedeutet Resilienz in der IT?
In der IT beschreibt Resilienz die Fähigkeit von Systemen und Organisationen, auch unter Störungen oder Angriffen funktionsfähig zu bleiben oder sich schnell davon zu erholen. Cyber Resilience ist die Anwendung dieses Prinzips speziell auf IT-Sicherheit und Cyberangriffe.
Was ist die Resilienz-Lücke?
Die Resilienz-Lücke bezeichnet den Abstand zwischen den vorhandenen Security-Investitionen und der tatsächlichen Fähigkeit eines Unternehmens, im Ernstfall wirksam zu handeln. Sie entsteht häufig dann, wenn einzelne Security-Lösungen zwar funktionieren, aber nicht zu einem integrierten Gesamtsystem verbunden sind.
Warum reichen Security-Tools allein nicht aus?
Security-Tools liefern wichtige Funktionen für Prävention, Detektion oder Response. Sie erzeugen jedoch nicht automatisch ein funktionierendes Gesamtsystem. Erst wenn Technik, Prozesse und Menschen zusammenspielen und Informationen sowie Verantwortlichkeiten klar definiert sind, entsteht echte Cyber Resilience.
Welche Rolle spielen Prävention, Detektion und Response?
Prävention soll Angriffe möglichst verhindern. Was nicht verhindert werden kann, muss durch Detektion möglichst schnell erkannt werden. Anschließend sorgt Response dafür, dass geeignete Maßnahmen eingeleitet, Angriffe eingedämmt und betroffene Systeme wiederhergestellt werden. Die drei Bereiche müssen dabei eng miteinander verzahnt sein.
Wie lässt sich Cyber Resilience messen?
Resilienz lässt sich messen und trainieren. Kennzahlen wie Mean Time to Detect, Mean Time to Respond und Mean Time to Recover sowie praxisnahe Notfallübungen zeigen, wie schnell ein Unternehmen einen Angriff erkennt, darauf reagiert und wieder handlungsfähig wird.
Wie können Unternehmen ihre Cyber Resilience verbessern?
Ein sinnvoller Einstieg ist eine Analyse des bestehenden Security-Reifegrads. Angriffssimulationen können dabei helfen, Schwachstellen im Zusammenspiel von Prävention, Detektion und Response sichtbar zu machen. Anschließend sollten Unternehmen bestehende Tools integrieren, Verantwortlichkeiten definieren und Prozesse schrittweise verbessern.
Ist Cyber Resilience nur ein technisches Thema?
Nein. Cyber Resilience ist ein Zusammenspiel aus Technik, Prozessen und Menschen. Unklare Verantwortlichkeiten, veraltete Ansprechpartner oder fehlende Bereitschaftsregelungen können dazu führen, dass ein erkannter Angriff trotzdem nicht schnell behandelt werden kann.
Warum ist Response für Cyber Resilience so wichtig?
Response zeigt, ob ein Unternehmen im Ernstfall tatsächlich handlungsfähig ist. Ein Angriff kann technisch erkannt werden – wenn anschließend jedoch niemand erreichbar ist, Zuständigkeiten unklar sind oder notwendige Befugnisse fehlen, entsteht trotzdem ein erheblicher Zeitverlust und potenziell größerer Schaden.
accompio GmbH
Grimsehlstraße 23
37574 Einbeck
Telefon: +49 (5561) 92046990
Telefax: +49 (5561) 9225-00
http://www.accompio.com
E-Mail: l.schmidt@accompio.com
Was sind Managed IT Services?
Bei accompio ist dieser Ansatz unter dem Namen Managed IT Operations gebündelt und umfasst konkret sechs Leistungsbereiche mit jeweils eigenen, klar abgegrenzten Services:
- Backup und Restore, mit Leistungen wie Managed Backup und Cloud Backup Storage
- Identity und Access, mit Leistungen wie Domain Services und Enterprise Password Management
- Monitoring, mit Managed Monitoring und Alerting sowie zentraler Security Logging
- Service Desk, mit Service Desk und Support nach definierten SLAs sowie Managed Application Service
- Asset Management, mit zentraler Verwaltung der IT Assets
- Governance, mit automatisierter Governance für strukturierte IT Administration
Full Managed oder Co-Managed: zwei Modelle von Managed IT Services
Managed IT Services lassen sich in zwei Modelle unterscheiden:
Full Managed Service, bei dem ein Managed Service Provider den gesamten IT-Betrieb übernimmt, und Co-Managed IT, bei dem der Provider eine bestehende interne IT-Abteilung gezielt ergänzt und entlastet.
Welche Vorteile bieten Managed IT Services?
Unternehmen, die IT-Aufgaben an einen Managed Service Provider auslagern, profitieren in der Praxis von folgenden Effekten:
Planbare Kosten
Managed IT Services werden in der Regel über eine monatliche Gebühr abgerechnet, wodurch IT Ausgaben besser budgetierbar werden als bei Einzelabrechnung von Störfällen.
Entlastung interner Teams
Interne IT Abteilungen müssen Routineaufgaben wie Monitoring und Patching nicht mehr selbst abdecken und können sich auf strategische Projekte konzentrieren.
Geringere Ausfallzeiten
Durch proaktives Monitoring werden potenzielle Störungen häufig erkannt, bevor sie den Betrieb beeinträchtigen.
Zugriff auf spezialisiertes Fachwissen
Gerade bei Themen wie IT Sicherheit oder Cloud Infrastruktur profitieren Unternehmen von Experten, die sich ausschließlich auf diese Bereiche konzentrieren.
So setzt accompio Managed IT Services in der Praxis um
Managed IT Services funktionieren nur, wenn ein Anbieter die dafür nötige Kontinuität und Personaltiefe tatsächlich vorhält. accompio bietet Managed Services bereits seit 2004 nach ITIL Standard an und beschäftigt aktuell rund 700 IT Experten an 19 Standorten in Deutschland, Österreich, Ungarn und Bulgarien.
Praxisbeispiel: Managed Cloud Operations bei SMA Solar Technology AG
Bei der SMA Solar Technology AG hat accompio ein eigenes Cloud Operating Team aufgebaut, das den laufenden Betrieb der Cloud Infrastruktur des Kunden dauerhaft verantwortet, ein gutes Beispiel für Managed Services im Tagesbetrieb statt nur in der Projektphase.
Sven Syborg, IT Architect Digital Platform Solutions und PO für das Team Cloud, Data und AI bei SMA, beschreibt das Ergebnis so:
„Dank accompio haben wir es geschafft, das betriebliche Hamsterrad zu durchbrechen und uns auf die Optimierung unserer Services zu konzentrieren. Die Veränderungen in unserer Zusammenarbeit haben bis heute Bestand und wir profitieren nach wie vor von den positiven Auswirkungen.“
– Sven Syborg, IT Architect Digital Platform Solutions bei SMA
Kalkulierbare Kosten in der Praxis
Diese Erfahrung bestätigt auch Stephan Neubauer, CEO der Venturetec Rotating Systems GmbH, in seiner Rückmeldung zur Zusammenarbeit mit accompio:
„Aufgrund der Komplexität und der steigenden Anforderungen bei der Betreuung und Integration unterschiedlichster Anwendungssysteme haben wir beschlossen, dieses Thema extern und in die Hände von Spezialisten zu geben. Diesen kompetenten Partner haben wir in der accompio gefunden. Ihr smart IT Konzept als ganzheitliche Lösung lässt uns Zeit für unsere eigentlichen Aufgaben und verschafft uns in allen IT Fragen Sicherheit bei klar kalkulierbaren Kosten.“
– Stephan Neubauer, CEO der Venturetec Rotating Systems GmbH
Unsere Lösung: IT Works 360 – Der nächste Schritt zu Full Managed IT Services
Sie möchten wissen, wie Full Managed IT in Ihrem Unternehmen aussehen kann?
Mit dem Produkt IT Works 360 erhalten Sie eine individuell konfigurierbare Full Managed IT-Lösung für den Mittelstand – abgestimmt auf Ihre Unternehmensgröße, Ihre Anforderungen und Ihren bestehenden IT-Betrieb.
Leistungen von IT Works 360 ansehen
Häufige Fragen zu Managed IT Services
Wie unterscheiden sich Managed IT Services von klassischem IT Support?
Klassischer IT Support reagiert auf Störungen, nachdem sie aufgetreten sind. Managed IT Services setzen auf laufendes Monitoring, damit Probleme im besten Fall erkannt werden, bevor sie den Betrieb beeinträchtigen.
Was kostet ein Managed IT Service?
Die Kosten hängen vom Umfang der übernommenen Aufgaben und der Anzahl der betreuten Systeme oder Arbeitsplätze ab und werden individuell im Service Level Agreement (SLA) festgelegt.
Ist meine IT bei einem Managed Service Provider noch selbst kontrollierbar?
Ja. Die Datenhoheit und die grundsätzliche Verantwortung verbleiben beim Unternehmen selbst, der Provider übernimmt die vertraglich vereinbarten Betriebsaufgaben.
accompio GmbH
Grimsehlstraße 23
37574 Einbeck
Telefon: +49 (5561) 92046990
Telefax: +49 (5561) 9225-00
http://www.accompio.com
E-Mail: l.schmidt@accompio.com
