Kurzvortrag Informationssicherheit

Informationssicherheit ist kein reines IT-Thema, beschränkt sich nicht auf den digitalen Alltag. Vielmehr geht es um ein realistisches Fundament unseres geschäftlichen Handelns: wie wir unsere Existenz und das Kundenvertrauen schützen, warum 100 % Sicherheit eine Illusion ist und wie Angreifer versuchen, den Faktor Mensch mit psychologischen Tricks auch gerne mal ohne Technik auszuspielen.

• Was ist Informationssicherheit eigentlich?: Die systematische Absicherung von Informationen jeglicher Art – ob als digitaler Datenstrom, auf physischem Papier in der Akte oder als Wissen in den Köpfen –, um die drei Kernschutzziele Vertraulichkeit (nur Berechtigte lesen), Integrität (Daten sind unverfälscht) und Verfügbarkeit (Systeme funktionieren bei Bedarf) lückenlos zu garantieren.

• Wie steht Informationssicherheit im Verhältnis zu IT-Sicherheit?: IT-Sicherheit ist lediglich die technische Umsetzungskomponente. Während die IT-Sicherheit die Firewalls konfiguriert und Server härtet, regelt die Informationssicherheit das gesamte organisatorische Fundament, wie etwa den physischen Zugang zu Gebäuden, die Verlässlichkeit von Lieferketten, Verträge und das menschliche Verhalten im Alltag.

• Wie steht Informationssicherheit im Verhältnis zu Datenschutz?: Datenschutz ist eine rechtliche Verpflichtung zum Schutz der Grundrechte natürlicher Personen und ihrer personenbezogenen Daten. Die Informationssicherheit liefert die zwingend notwendigen technischen und organisatorischen Maßnahmen (TOMs), um diesen Schutz überhaupt erst zu ermöglichen, geht aber weit darüber hinaus, da sie auch rein geschäftliche Werte wie Betriebsgeheimnisse, Quellcodes und Finanzdaten absichert.

• Wozu eigentlich? Was sind Ziele, Sinn und Zweck des Ganzen?: Ein gesundes Verständnis entwickeln – IT-Sicherheit und Datenschutz treffen nicht nur internationale Großkonzerne, sondern sind das Fundament jedes seriösen Geschäftsmodells.

• Schutz von Geschäftsgeheimnissen: Das eigene hart erarbeitete Know-how, strategische Pläne und wettbewerbsrelevante Informationen müssen proaktiv vor Spionage, unberechtigtem Abfluss und dem Zugriff von Konkurrenten geschützt werden.

• Schutz personenbezogener Daten: Verantwortungsvoller, gesetzeskonformer Umgang mit den sensiblen Daten von Kunden, Partnern und Betroffenen, um Vertrauensverlust und gravierende Schäden abzuwenden.

• Sicherstellung der Integrität der Daten: Daten müssen im System unverändert, manipulationssicher und verlässlich bleiben – dies ist insbesondere in der Buchhaltung und hinsichtlich der strikten Einhaltung der GoBD (Grundsätze zur ordnungsmäßigen Führung und Aufbewahrung von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form sowie zum Datenzugriff) eine fundamentale Pflicht.

• Haftungs- und Bußgeldrisiken: Vermeidung von existenzbedrohenden zivilrechtlichen Haftungsansprüchen, Schadensersatzforderungen und drakonischen behördlichen Bußgeldern durch eine rechtzeitige, lückenlose Absicherung.

• Schutz von Grund- und Menschenrechten: IT-Sicherheit besitzt eine fundamentale menschenrechtliche Dimension. In repressiven Systemen schützt sie Journalisten, Aktivisten und politische Minderheiten vor staatlicher Überwachung, digitaler Repression und politischer Verfolgung. Robuste Verschlüsselung und Datenschutz sind hierbei essenzielle Werkzeuge zur Wahrung der Meinungs- und Versammlungsfreiheit.

• Digitale Souveränität: Die Fähigkeit, die eigene digitale Infrastruktur, Software und Datenströme unabhängig, selbstbestimmt und ohne erpressbare Abhängigkeiten von einzelnen Tech-Giganten oder Staaten zu kontrollieren.

• Warum sollte ich sowas umsetzen, wenn ich nicht einmal Angestellte habe: Auch als Solo-Selbstständiger oder Kleinunternehmer ist Cybersicherheit Pflicht: Es geht um den existenziellen Schutz der eigenen wirtschaftlichen Lebensgrundlage vor Erpressersoftware sowie um die vertragliche und moralische Pflicht zum Schutz der anvertrauten Kundendaten. Davon abgesehen ist die steuerrechtliche Dimension von Vorfällen vielfach unterschätzt. Ich glaube nicht, dass man nach Vorfällen erst die eigene IT neu aufziehen möchte, um anschließend im Zuge von Betriebsprüfungen noch auf Steuerschätzungen hinauszulaufen.

• Rechtliche Rahmenbedingungen: Das Dickicht der Gesetzgebung verstehen und als Leitplanken für das operative Geschäft nutzen.

• DSGVO & BDSG gelten für alle: Die Datenschutz-Grundverordnung und das Bundesdatenschutzgesetz gelten ausnahmslos ab dem ersten Tag – auch für Einzelunternehmer und Kleinunternehmen gibt es hier keinen 'Welpenschutz'.

• Rechtsgrundlagen für Verarbeitungen: Jede Erhebung und Verarbeitung personenbezogener Daten benötigt eine wasserdichte gesetzliche Basis. Meist aus Artt. 6, 9, 44 - 49 DSGVO und § 25 TDDDG (z. B. Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO oder Vertragserfüllung nach lit. b).

• AO, HGB usw.: Die Abgabenordnung und das Handelsgesetzbuch schreiben strikte, mehrjährige Aufbewahrungsfristen für geschäftliche Dokumente vor, die digital unveränderbar archiviert werden müssen.

• Auftragsverarbeitungen und gemeinsame Verantwortlichkeiten: Wer fremde Tools nutzt, muss Verträge zur Auftragsverarbeitung (AVV) schließen. Bei Plattformen wie Facebook Fanpages oder integrierten Business Analytics liegt oft eine gemeinsame Verantwortlichkeit ('Joint Controllership' nach Art. 26 DSGVO) vor – mit vollem Haftungsrisiko.

• Vorsicht bei Drittstaatenübermittlungen (USA!): Datentransfers in Länder außerhalb des EWR sind rechtlich hochgradig volatil. Besonders bei US-Diensten drohen durch weitreichende Überwachungsgesetze (FISA) massive Compliance-Verstöße, sofern keine zusätzlichen Garantien greifen.

• BSI-Grundschutz: Die Standardwerke und strukturierten Methodiken des Bundesamtes für Sicherheit in der Informationstechnik (BSI) bieten einen Leitfaden, um IT-Sicherheit systematisch und nach anerkannten Regeln aufzubauen. Diese sind jedoch auch kein unmittelbares Allheilmitel, da die Prozesse unternehmensindividuell zu bewerten sind. Auch ein Blick auf Referenzwerke andere Orgnaisationen und Staaten kann sich hier lohnen. (So hat das BSI noch viel zu lange Passwortrichtlinien zur regelmäßigen Änderung proklamiert)

• NIS2, KI-VO usw.: Die europäische Regulatorik schläft nicht; neue Richtlinien wie NIS2 für kritische Sektoren und die KI-Verordnung (AI Act) setzen schärfere Maßstäbe, die indirekt über die Lieferkette auch kleinere Dienstleister treffen.

• Grundlegende Organisationsansätze: Sicherheit beginnt nicht in der Firewall, sondern im Kopf und im täglichen Arbeitsverhalten.

• Rigorose Trennung von Beruflichem und Privatem: Strikt getrennte Konten, unterschiedliche Telefonnummern und dedizierte Geräte für die Arbeit. Berufliche und private Datenströme haben völlig verschiedene Sicherheitsanforderungen und dürfen sich niemals vermischen.

• Zugangskontrolle: Konsequente Absicherung aller Systeme – digital durch starke Authentifizierung und physisch durch die Verhinderung unbefugten Zutritts.

• Clean Desk Policy: Keine Passwörter auf Post-its am Monitor, keine Akten oder USB-Sticks offen auf dem Schreibtisch liegen lassen – beim Verlassen des Platzes wird der Bildschirm sofort gesperrt.

• Keine sensiblen Arbeiten in der Öffentlichkeit: Hochkritische Tätigkeiten wie die Datenbankadministration, das Einspielen von Backups oder die Konfiguration sensibler Datenschnittstellen haben im öffentlichen Café oder im Zug absolut nichts verloren – hier lauern Visual Snooping und unsichere Netzwerke.

• Physische Sicherheit der Geschäftsräume: IT-Sicherheit nützt nichts, wenn die Hardware gestohlen wird. Investiert in vernünftige Schlösser, einbruchssichere Fenster und abschließbare Schränke für Server und Akten.

• Social Engineering Prävention (einfach mal die Klappe halten): Die beste Firewall versagt, wenn man sich verquatscht. Manchmal sollte man auch einfach wissen, wann man operative Details, Kundenbeziehungen oder interne Abläufe für sich behält, anstatt sie stolz in der Kneipe oder online zu teilen.

• Hohle Werbephrasen entlarven: 'Privacy by Design' oder 'Datenschutz zertifiziert' steht heute auf fast jedem Produkt. Lasst euch nicht blenden – lest eure Verträge, Datenschutzerklärungen und AVVs selbst ganz genau durch.

• Risikobasierte Ansätze: Ein maßgeschneidertes Risikomanagement muss man sich finanziell und personell leisten können. Wer jedoch blind darauf wettet, dass schon keiner klagt oder angreift, spielt russisches Roulette gegen die eigene Existenz.

• Technische Gegebenheiten: Die Werkzeuge richtig wählen, härten und kontinuierlich pflegen.

• Obfuscation ist keine Informationssicherheit: Das bloße Verstecken, Umbenennen oder Verschleiern von Pfaden, Ports oder Code ('Security through Obscurity') hält keinen professionellen Angreifer auf.

• Auswahl des Betriebssystems: Das Betriebssystem ist das Fundament der IT-Infrastruktur und entscheidet grundlegend über die Angriffsfläche, Telemetriedatenströme und Update-Zyklen.

• Updates schnellstmöglich: Patch-Management ist die wichtigste Verteidigungslinie. Bekannte Sicherheitslücken müssen unverzüglich durch automatisierte oder zeitnahe Updates geschlossen werden.

• M$-Windows Einschränkungen: Microsoft Windows lässt sich in der Home- oder Pro-Version out-of-the-box nicht datenschutzfreundlich betreiben – selbst populäre Skripte wie die Chris Titus Tech Tools stoppen den Telemetrie-Hunger nicht vollständig. Selbst in Enterprise-Versionen erfordert ein datenschutzkonformes Setup tiefes Fachwissen; flankierend muss das Netzwerk über Pi-Hole, pfSense oder dedizierte Firewalls gehärtet werden.

• Niemals EOL-Geräte verwenden: Hardware und Software, die das End-of-Life (EOL) erreicht haben, erhalten keine Sicherheitsupdates mehr. Sie zu betreiben ist ein offenes, unverantwortliches Scheunentor für Angreifer.

• Multi-Faktor-Authentisierung (MFA): Was ist das und wie setze ich es ein: MFA erzwingt neben dem Passwort einen zweiten Faktor (z. B. TOTP-App oder FIDO2-Hardware-Key). Sie muss auf jedem System, das es unterstützt, kompromisslos aktiviert werden.

• Ad- und Skript Blocker wie noscript oder uBlock Origin: Browser-Erweiterungen minimieren das Risiko von Drive-by-Downloads und blockieren bösartige Werbenetzwerke (Malvertising) direkt an der vordersten Front.

• Sicherheitskonzepte kann man auch im Kleinen umsetzen: Man benötigt kein Millionenbudget – effektive IT-Sicherheit lässt sich durch das richtige Know-how und konsequente Prozessdisziplin auch im Ein-Personen-Betrieb erfolgreich etablieren.

• Sogenannte Anti-Virensoftware ersetzt kein Sicherheitskonzept: Klassische Virenscanner wiegen in falscher Sicherheit. Sie greifen erst, wenn die Malware bereits im System ist; sie sind durch ihre tiefen Systemrechte selbst oft ein beliebtes Einfallstor; Angreifer testen ihre Schadsoftware vorab so lange, bis sie an diesen Scannern vorbeikommt; hochentwickelte Malware bleibt oft Jahre unentdeckt – wie das Spionage-Tool Pegasus eindrucksvoll beweist.

• Endpoint Security Lösungen mit IDS/XDR-Systemen: Moderne, verhaltensbasierte Endpoint Detection and Response (EDR) sowie Intrusion Detection Systeme (IDS) sind wesentlich tragfähiger, da sie Anomalien im Systemlauf analysieren statt nur statische Signaturen abzugleichen.

• Wo sind die Grenzen der Informationssicherheit / potentielle Angriffsvektoren: Akzeptieren, dass absolute Sicherheit eine Illusion ist, um Angreifern einen Schritt voraus zu sein.

• Es gibt niemals 100 %ig sichere Informationssysteme: Jedes System hat Schwachstellen. Wer behauptet, absolut unhackbar zu sein, hat die Grundlagen der IT-Sicherheit nicht verstanden.

• Supply-Chain Angriffe: Angreifer attackieren nicht dich direkt, sondern infizieren die Softwarepakete, Bibliotheken oder Dienstleister, die du nutzt, um so unbemerkt durch die Hintertür in dein System zu gelangen.

• Zero Days und staatliche Backdoors: Unbekannte, ungepatchte Sicherheitslücken (Zero-Days) werden teuer gehandelt. In Windows existieren kontinuierlich Lücken, die Geheimdiensten bewusst als Backdoor offenstehen – ein ehemaliger Microsoft-Mitarbeiter veröffentlichte in jüngster Zeit reihenweise solcher brisanten Details, insbesondere bezüglich Schwachstellen in BitLocker.

• Social Engineering: Die gezielte Manipulation des Faktors Mensch. Es ist bei weitem nicht mehr nur der offensichtlich gefälschte Prinz aus einem Nicht-EWR-Land, der eine Vorabüberweisung fordert, sondern hochgradig personalisiertes Spear-Phishing, CEO-Fraud und psychologische Täuschung.

• Digitale Zurückhaltung: Prahle niemals mit deinem geschäftlichen Erfolg oder IT-Strukturen – schon gar nicht auf Social Media (LinkedIn, Instagram). Damit machst du dich und dein Unternehmen nur zur attraktiven Zielscheibe für gezielte Ransomware-Erpressungen. Reflektiere kritisch deine täglichen digitalen Gewohnheiten!

• Ungeprüfter Code: Die blinde Übernahme von Code-Schnipseln aus dem Internet oder KI-Generatoren birgt immense Risiken (hierzu die berühmte 'Turing-Award-Rede' von Ken Thompson über das unbemerkte Einschleusen von Backdoors in Compiler zitieren).

• Der Ernstfall: Ich wurde gehackt oder habe mein Handy/Laptop verloren/wurde gestohlen. Was nun?: Ein kühler Kopf und vordefinierte Prozesse retten in der Krise Existenzen.

• Vorbereitung ist alles: Bestenfalls hat man lange vor dem Vorfall gemeinsam mit Experten ein individuelles Sicherheitskonzept ausgearbeitet und kann nun sofort den entsprechenden, praxiserprobten Notfallplan strukturiert in Gang setzen.

• Lückenlose Dokumentation: Jeden einzelnen Schritt, jede Systemmeldung, jede Uhrzeit und jede Maßnahme penibel dokumentieren. Alles, was man an Beweisen sichern kann, muss forensisch sauber isoliert werden.

• Meldepflicht innerhalb von 72 Stunden: Wenn Kundendaten betroffen sind und/oder die betroffenen Geräte nicht nachweisbar kryptografisch verschlüsselt waren, muss zwingend innerhalb von 72 Stunden eine offizielle Meldung an die zuständige Datenschutzaufsichtsbehörde nach Art. 33 DSGVO abgesetzt werden.

• Strafanzeige erstatten: Die Anzeige bei der Polizei dient vor allem der eigenen rechtlichen Entlastung, etwa wenn im Nachgang Identitätsdiebstahl, Betrug oder Geldwäsche über deine kompromittierte Identität laufen. Fakt ist: Die Strafverfolgungsbehörden sind meist personell überlastet und die Täter international über alle Berge. Kriminelle Netzwerke nehmen ihre Absicherung traurigerweise oft professioneller und ernster als deutsche Behörden.

• Cyber-Versicherung kontaktieren: Falls eine entsprechende Cyber-Risk-Police vorhanden ist, muss diese unverzüglich kontaktiert werden, um den Schadensbehandler und ggf. bereitgestellte Incident-Response-Teams einzubinden.

• Schadensbegrenzung und Lernen: Den Vorfall isolieren, Systeme vom Netz trennen, Passwörter global sperren, den Schaden regulieren und im Nachgang eine schonungslose Post-Mortem-Analyse durchführen, um nachhaltig daraus zu lernen.

• Keine Weiterverwendung kompromittierter Systeme: Ein einmal infiziertes System darf niemals einfach weiterbetrieben werden. Es muss vollständig plattgemacht, die Hardware geprüft und das Betriebssystem aus einer verifizierten Quelle komplett neu aufgesetzt werden.

• Einige Beispiele besonders heftiger IT-Sicherheits- und Datenschutzfails: Praktische Abschreckung und Analyse realer Katastrophen, um die Dringlichkeit zu untermauern.

• DSGVO-Bußgelder durchstöbern: Ein Blick in die offiziellen Bußgelddatenbanken zeigt eindrucksvoll, dass unzureichende technische und organisatorische Maßnahmen (TOMs) reihenweise zu Millionenstrafen führen.

• WannaCry auf DB-Anzeigen: Die weltweite Ransomware-Welle legte unter anderem die Anzeigetafeln und Ticketautomaten der Deutschen Bahn lahm – ein visuelles Desaster, das die Verwundbarkeit kritischer bzw. öffentlicher Infrastrukturen für jeden Bürger sichtbar machte.

• Log4j-Katastrophe: Eine Zero-Day-Schachstelle in einer banalen, aber ubiquitär verbreiteten Java-Protokollierungsbibliothek versetzte die gesamte IT-Welt in wochenlangen Ausnahmezustand, da quasi jedes Großsystem verwundbar war.

• NSA-Exploits (EternalBlue): Das staatliche Cyber-Waffenarsenal der NSA wurde geleakt. Die darin enthaltene Schwachstelle 'EternalBlue' wurde von Kriminellen gekapert und führte zu den verheerendsten globalen Cyberangriffen der Geschichte.

• Berlin – Der Fail als Stadt und Land: Das Kammergericht Berlin und diverse Behörden der Hauptstadt gelten in Fachkreisen als ewiges Paradebeispiel für strukturelles IT-Versagen, verschleppte Modernisierung und unzureichendes Krisenmanagement bei Ransomware-Befall.

• Werbung für mich: Der krönende Abschluss des Vortrags – die Transformation des aufgebauten Problembewusstseins in konkrete Aufträge.

• Kontaktieren Sie mich jetzt, bevor es der Angreifer tut: Ich biete genau das an, was heute gefehlt hat: Praxisnahe Beratung, maßgeschneiderte Sicherheitskonzepte für Solopreneure und KMUs, Härtung von Systemen und die Begleitung bei der Umsetzung eurer digitalen Souveränität.