Ein Anruf nach dem GAU # Ein Unternehmen ruft an. Ransomware. Produktion steht. Die erste Frage: „Wie konnte das passieren?“
Die bessere wäre gewesen: „Warum haben wir vorher nichts getan?“
Viele Unternehmen behandeln Informationssicherheit noch immer wie eine Pflichtübung – etwas, das man tut, weil es eben gefordert wird. Dass es dazu oft regulatorischen Druck braucht, ist bedauerlich – aber angesichts der menschlichen Schwächen im Umgang mit Statistik und Risiko auch kaum verwunderlich.
Vorbereitung # Ich begann im Januar mit der Vorbereitung und legte die Prüfung Mitte März ab. Insgesamt also etwa zwei Monate, mit einigen Unterbrechungen. Unter der Woche investierte ich etwa eine Stunde täglich, an Wochenenden zwei Stunden. In manchen Wochen tat ich gar nichts – ich ließ mich davon aber nicht stressen.
Mein technischer Hintergrund ermöglichte mir eine Wiederholung bekannter Inhalte statt eines Einstiegs bei null. Dennoch war das Examen kein Selbstläufer. Entscheidend war, dass ich meine Schwächen frühzeitig identifizierte und gezielt daran arbeitete. Ich setzte auf Kontinuität statt Perfektionismus – auch mal ein Kapitel auszulassen war okay.
Einleitung # Immer wieder frage ich mich, warum einfache, durchdachte und kostengünstige Ideen zur Verbesserung von Unternehmenskultur, Sicherheit oder Produktivität auf taube Ohren stoßen. Nicht nur in Konzernen mit schwerfälliger Bürokratie, sondern auch in kleinen Unternehmen mit flachen Hierarchien und scheinbar kurzen Entscheidungswegen. Bin ich naiv, weil ich glaube, dass Menschen für eine Tasse Kaffee einen LinkedIn-Artikel schreiben würden? Oder weil ich an eine positive Verstärkungskultur glaube, statt Mitarbeitende mit Pflichtschulungen oder stiller Frustration zu disziplinieren?
Dieser Artikel wurde im Rahmen meiner Arbeit für tanum consult GmbH geschrieben.
Einleitung # Bald ist es wieder so weit: Am 12.11.2024 veröffentlicht das Bundesamt für Sicherheit in der Informationstechnik (BSI) die diesjährige Version des Lageberichts der IT-Sicherheit in Deutschland (BSI, 2023). Zusammen mit dem Bundeslagebild Cybercrime 2023 (Bundeskriminalamt, 2024b) entsteht ein klares Bild der zunehmenden Kommerzialisierung der Cyberkriminalität. Diese Entwicklung wird überwiegend von finanziellen Motiven getrieben – mehr als 95 % aller Angriffe verfolgen das Ziel, monetären Gewinn zu erzielen.
