{"id":14915,"date":"2023-08-01T08:00:00","date_gmt":"2023-08-01T08:00:00","guid":{"rendered":"https:\/\/cybercompare.com\/?p=14915"},"modified":"2024-03-14T17:10:55","modified_gmt":"2024-03-14T17:10:55","slug":"gocio-podcast-cybersecurity-ohne-kopfweh-mit-jannis-stemmann","status":"publish","type":"post","link":"https:\/\/cybercompare.com\/de\/gocio-podcast-cybersecurity-ohne-kopfweh-mit-jannis-stemmann\/","title":{"rendered":"goCIO Podcast „Cybersecurity ohne Kopfweh“ mit Jannis Stemmann"},"content":{"rendered":"\n

Sprecher:<\/strong> Sie ist \u00fcberall. Sie bedroht die Menschheit. Sie bedroht Regierungen. Sie bedroht Unternehmen. Die Cybersicherheit ist extrem wichtig in den heutigen Zeiten und deswegen dreht sich dieser Podcast genau um dieses heikle Thema. Hier ist goCIO, der Podcast f\u00fcr den CIO und alle Digitalisierungsinteressierte von und mit Mathias Hess und in dieser heutigen Folge geht es um den Titel „Cybersecurity ohne Kopfweh. Warum es sich lohnt, Ruhe zu bewahren.\u201c Mathias, bewahrst du heute die Ruhe?<\/p>\n\n\n\n

Mathias Hess: <\/strong>Aber unbedingt. Cybersecurity ist heute das Thema sicherlich extrem wichtig und vielleicht auch schon etwas in der \u00dcberhitzung. Um dar\u00fcber zu sprechen habe ich heute Jannis Stemmann eingeladen, Co-Founder und CEO von CyberCompare. Hallo Jannis, gr\u00fc\u00df dich!<\/p>\n\n\n\n

Jannis Stemmann: <\/strong>Hallo Mathias, vielen Dank f\u00fcr die Einladung. Es freut mich sehr, heute dabei sein zu d\u00fcrfen.<\/p>\n\n\n\n

Mathias Hess: <\/strong>Jannis, vielleicht k\u00f6nntest du dich und deine Firma kurz vorstellen, damit die Zuh\u00f6rer ein besseres Verst\u00e4ndnis bekommen k\u00f6nnen.<\/p>\n\n\n\n

Jannis Stemmann: <\/strong>Gerne, mein Name ist Jannis Stemmann. Ich bin 45 Jahre alt, verheiratet und habe zwei Kinder. Ich bin Ingenieur vom Hintergrund und habe bereits zwei von unseren Standorten geleitet. Zudem habe ich Erfahrung in der Beratung und kenne die Themen IT und OT sowohl aus der Perspektive des Betreibers als auch aus der Sicht des Herstellers im Bereich IoT. Eine Zeit lang war ich auch Referent in unserer Gesch\u00e4ftsf\u00fchrung. Vor etwas mehr als zwei Jahren haben wir nach einer ausf\u00fchrlichen Markstudienphase CyberCompare gegr\u00fcndet, ein Tochterunternehmen von Bosch.<\/p>\n\n\n\n

Mathias Hess: <\/strong>Das Thema heute lautet „Cybersecurity ohne Kopfweh<\/a>. Warum es sich lohnt, Ruhe zu bewahren.\u201c Wie sch\u00e4tzt du den aktuellen Markt f\u00fcr Cybersecurity ein? Grunds\u00e4tzlich, w\u00fcrdest du sagen, dass er bereits \u00fcberhitzt ist und zu viel Geld in Bereiche flie\u00dft, die m\u00f6glicherweise nicht unbedingt notwendig sind?<\/p>\n\n\n\n

Jannis Stemmann: <\/strong>Teils, teils. Ich glaube, das Thema ist wichtig. Das hat mittlerweile wahrscheinlich auch der Letzte erkannt. Allerdings sind wir der Meinung, dass man die Kirche im Dorf lassen muss. Es handelt sich in erster Linie um wirtschaftliche Risiken, die verantwortungsvoll und angemessen gemanagt werden m\u00fcssen. Wir erkennen jedoch, dass es erhebliches Einsparpotenzial gibt, um ein bestimmtes Sicherheitsniveau mit einem begrenzten Budget zu erreichen. Die Budgets werden nicht unbedingt gr\u00f6\u00dfer. Dies ist das Hauptthema, mit dem wir uns besch\u00e4ftigen.<\/p>\n\n\n\n

Mathias Hess: <\/strong>Ich habe die Erfahrung gemacht, dass bei Sicherheitsfragen Geld oft keine Rolle spielt. Hast du \u00e4hnliche Erfahrungen gemacht?<\/p>\n\n\n\n

Jannis Stemmann: <\/strong>Das entspricht eigentlich nicht unseren bisherigen Erfahrungen. Wir haben mittlerweile \u00fcber 300 Kunden, darunter auch einige, die starken regulatorischen Anforderungen unterliegen, wie zum Beispiel Banken, Versicherungen, Versorgungsunternehmen und kritische Infrastrukturen. In diesen F\u00e4llen kann es durchaus vorkommen, dass hohe Budgets notwendig sind, insbesondere wenn gesetzliche Vorschriften erf\u00fcllt werden m\u00fcssen. Im Allgemeinen stehen jedoch die meisten Budgets unter Druck, und es geht darum, die bestm\u00f6gliche Sicherheit f\u00fcr das verf\u00fcgbare Budget zu gew\u00e4hrleisten. Ich kenne eigentlich keinen IT-Leiter, der sich nicht mit dem Thema Kostendruck auseinandersetzen muss.<\/p>\n\n\n\n

Mathias Hess: <\/strong>Siehst du immer noch eine Zunahme in diesem Bereich? Kommen auch Kunden zu euch, die bisher noch wenig in dieser Hinsicht unternommen haben? Oder ist es eher so, dass die meisten Kunden bereits solide Sicherheitsma\u00dfnahmen getroffen haben und es nur noch um Feintuning geht? Wie w\u00fcrdest du die aktuelle Situation einsch\u00e4tzen und was sind deine Erfahrungen dazu?<\/p>\n\n\n\n

Jannis Stemmann: <\/strong>Die Situation ist gemischt. Wir haben ein breites Spektrum an Kunden aus verschiedenen Branchen im DACH-Raum, darunter Unternehmen mit 300 Mitarbeitern bis hin zu mehr als 50.000 Mitarbeitern. Daher ist es schwer, pauschale Aussagen zu treffen. Kunden kommen in der Regel zu uns, wenn sie zwei Hauptfragen haben. Erstens, welche Sicherheitsma\u00dfnahme sollte als n\u00e4chstes umgesetzt werden und wo sollte der n\u00e4chste Euro investiert werden? Zweitens, es gibt konkrete Projekte, die umgesetzt werden m\u00fcssen. Hier geht es oft um Angebotsvergleiche,<\/a> bei denen es darum geht, das beste Preis-Leistungs-Verh\u00e4ltnis bei welchem Anbieter, mit welcher L\u00f6sung oder welchem Service zu finden.<\/p>\n\n\n\n

Mathias Hess: <\/strong>Eine M\u00f6glichkeit besteht darin, zu \u00fcberpr\u00fcfen, welche IT-Sicherheitsma\u00dfnahmen der Kunde bereits grundlegend umgesetzt hat. F\u00fchrt ihr eine Art Bestandsaufnahme durch?<\/p>\n\n\n\n

Jannis Stemmann: <\/strong>Bestandsaufnahme ist ein passendes Stichwort, wir nennen es auch Diagnostik<\/a>. Wir haben dies bereits \u00fcber 200-mal durchgef\u00fchrt und k\u00f6nnen es gut bewerten. Wir gehen dabei pragmatisch vor, indem wir Workshop basiert das gesamte Thema IT-Sicherheit aus einer 360-Grad-Perspektive betrachten. Im Anschluss daran leiten wir Handlungsempfehlungen auf Grundlage g\u00e4ngiger Frameworks ab. Wir evaluieren, was aus unserer Sicht sinnvoll ist und wie wir dies zeitlich in eine Roadmap integrieren k\u00f6nnen.<\/p>\n\n\n\n

Mathias Hess: <\/strong>Schaut ihr euch bei dieser Diagnostik nur die technischen Aspekte an, oder ber\u00fccksichtigt ihr auch organisatorische Ma\u00dfnahmen? Gibt es im Unternehmen einen Chief Information Security Officer (CISO)? Verf\u00fcgt dieser m\u00f6glicherweise \u00fcber ein Team? Sind die Mitarbeiter in Sicherheitsfragen geschult und \u00e4hnliche Themen?<\/p>\n\n\n\n

Jannis Stemmann: <\/strong>Wir nutzen dabei selbstverst\u00e4ndlich bestehende Frameworks, was auch f\u00fcr die Unternehmen hilfreich ist, insbesondere wenn sie beispielsweise mit Cyber-Versicherungstr\u00e4gern sprechen. Bei dieser Diagnostik geht es wirklich um alle Aspekte, also um Technik, Prozesse und die organisatorische Ebene. Wenn man sich die Handlungsempfehlungen ansieht, ist es oft nicht das neueste technische Tool, das aus unserer Sicht an oberster Stelle stehen sollte, sondern die Einstellung eines zus\u00e4tzlichen Mitarbeiters, der sich speziell um das Thema Sicherheit k\u00fcmmern kann. Manchmal kommt es auch vor, dass Unternehmen f\u00fcr bestehende Lizenzen bereits bezahlen, diese aber nicht vollst\u00e4ndig nutzen.<\/p>\n\n\n\n

Mathias Hess: <\/strong>Im zweiten Abschnitt unterst\u00fctzt ihr eure Kunden dabei, die passenden Tools auszuw\u00e4hlen und die besten Vertr\u00e4ge sowie Konditionen zu erhalten. Habt ihr euch auf bestimmte Bereiche spezialisiert, oder k\u00fcmmert ihr euch um alle Empfehlungen, die in der Diagnostik enthalten sind? K\u00fcmmert ihr euch also um den Einkauf dieser L\u00f6sungen? K\u00f6nnte man das so formulieren?<\/p>\n\n\n\n

Jannis Stemmann: <\/strong>Ich erl\u00e4utere das vielleicht noch einmal genauer. Unser Name „Compare“ deutet bereits darauf hin, dass Vergleichen ein zentraler Aspekt unserer Dienstleistungen ist. Der erste Aspekt, den ich gerade in Bezug auf die Diagnostik angesprochen habe, bezieht sich auf den Vergleich von Sicherheitsma\u00dfnahmen. Das bedeutet, wir analysieren, welche Ma\u00dfnahmen aus unserer Sicht am sinnvollsten f\u00fcr den Kunden sind und wo er den gr\u00f6\u00dften Sicherheitsnutzen pro investiertem Euro erh\u00e4lt. Im n\u00e4chsten Schritt geht es dann um den Vergleich von technischen L\u00f6sungen, Services und Anbietern. Dies schlie\u00dft auch den Vergleich von Angeboten in den Bereichen Inhalt, Technik und Konditionen ein. Unser Ziel ist es dabei immer, das beste Preis-Leistungs-Verh\u00e4ltnis zu erzielen. Du hattest vorhin gefragt, ob wir uns auf bestimmte Segmente spezialisiert haben. Tats\u00e4chlich haben wir mittlerweile eine breite Palette von Security-Kategorien abgedeckt, sowohl im Bereich IT, OT als auch IoT.<\/p>\n\n\n\n

Mathias Hess: <\/strong>Das bedeutet, ihr unterst\u00fctzt auch im klassischen RFP-Prozess. Ihr helft dabei, Anforderungen zu kl\u00e4ren und identifiziert die Unternehmen, die diese am besten erf\u00fcllen k\u00f6nnen. Anschlie\u00dfend werden diese Unternehmen miteinander verglichen. Kann man sich das so vorstellen?<\/p>\n\n\n\n

Jannis Stemmann: <\/strong>Ganz genau. Am Anfang unterst\u00fctzen wir beim Requirements Engineering, das bedeutet die Erstellung von Anforderungskatalogen, Lastenheften und Leistungsbeschreibungen. Wir beginnen nicht mit einem leeren Blatt Papier, sondern greifen auf bew\u00e4hrte Praktiken zur\u00fcck, sei es bei Bosch oder einem unserer 300 externen Kunden. Im Anschluss begleiten wir den gesamten RFP-Prozess und k\u00f6nnen diesen auch managen. Das kann eine europaweite Ausschreibung f\u00fcr eine gro\u00dfe Beh\u00f6rde sein, aber auch genauso gut ein unkomplizierter Angebotsvergleich oder eine Marktrecherche.<\/p>\n\n\n\n

Mathias Hess: <\/strong>Das bedeutet, ihr startet nicht von Grund auf neu. Das unterscheidet euch von der klassischen Beratermentalit\u00e4t, ohne hier negativ sein zu wollen.<\/p>\n\n\n\n

Klassische Berater verdienen ihr Geld nat\u00fcrlich damit, dass sie umfassende Unterst\u00fctzung bieten. Ihr hingegen greift auf bew\u00e4hrte Erfahrungen und Ans\u00e4tze aus der Vergangenheit zur\u00fcck, was es erm\u00f6glicht, eine erhebliche Menge an Aufwand zu sparen. Richtig?<\/p>\n\n\n\n

Jannis Stemmann: <\/strong>Wenn du mir gestattest, hole ich etwas weiter aus. Du kannst mich gerne unterbrechen, wenn es zu langweilig wird. Aber es ist genauso, wie du beschreibst. Aus unserer Sicht ist der Cybersecurity-Markt, um es umgangssprachlich auszudr\u00fccken, v\u00f6llig bekloppt. Das gilt sowohl f\u00fcr die Anbieterseite als auch f\u00fcr die Kundenseite. Auf der Anbieterseite liegt der gr\u00f6\u00dfte Kostenblock nicht in der Produktentwicklung oder der k\u00fcnstlichen Intelligenz, sondern im Marketing und Vertrieb. Bei fast der H\u00e4lfte der Ums\u00e4tze im Bereich Cybersecurity, wie man in den Jahresberichten von gro\u00dfen Unternehmen nachlesen kann, handelt es sich um Ausgaben f\u00fcr Marketing und Vertrieb. Dies betrifft weltweit etwa 7000 Anbieter.<\/p>\n\n\n\n

Auf der Kundenseite ist es aus unserer Sicht ebenfalls nicht optimal. Dort haben wir Mitarbeiter, die bereits in der IT v\u00f6llig \u00fcberlastet sind. Dies liegt daran, dass Unternehmen heutzutage kein Projekt mehr durchf\u00fchren k\u00f6nnen, dass keine Verbindung zur IT hat. In solch einer Situation erwirbt der Mitarbeiter zus\u00e4tzlich zu seinen t\u00e4glichen Aufgaben ein neues EDR-Tool oder einen Managed-SOC-Service. Dies ist in der Regel das erste Mal in seinem Leben, dass er so etwas tut. Wie geht er dabei vor? Er sucht in Google nach Informationen, liest Gartner Magic Quadrant und Peer-to-Peer-Reviews, l\u00e4dt Systemh\u00e4user ein und erstellt schlie\u00dflich eine Excel-Tabelle. Die Systemh\u00e4user bringen nat\u00fcrlich immer ihre bevorzugten L\u00f6sungen mit, bei denen sie die h\u00f6chsten Margen haben. Anschlie\u00dfend wird im Unternehmen Kompetenz im Zusammenhang mit diesem Projekt aufgebaut, jedoch wird nie wieder dar\u00fcber gesprochen, da es sich um Cybersecurity handelt und als streng geheim angesehen wird. Wenn wir aus gesamtgesellschaftlicher Perspektive darauf schauen, haben wir erkannt, dass dies keinen Sinn ergibt. Wir m\u00fcssen den gr\u00f6\u00dften Kostenblock angehen, und das tun wir als Partner im Einkauf. Dort b\u00fcndeln wir die Nachfrage und das Wissen, genau wie du es gerade beschrieben hast.<\/p>\n\n\n\n

Mathias Hess: <\/strong>Wie kann man sich den Einkaufsprozess genauer vorstellen?<\/p>\n\n\n\n

Jannis Stemmann: <\/strong>Ganz pragmatisch, unser Vorgehen richtet sich nach der Ausgangssituation des Kunden. Es gibt Kunden, die bereits ein Angebot vorliegen haben. In solchen F\u00e4llen ben\u00f6tigen sie einfach zwei Vergleichsangebote. Sie interessieren sich daf\u00fcr, welche Anbieter wir empfehlen k\u00f6nnen, welche Optionen aus unserer Sicht kostspielig oder nicht unbedingt erforderlich sind und auf welche Kriterien sie achten sollten. Unser Ziel ist es immer, dass der Kunde eine klare Entscheidungsgrundlage erh\u00e4lt, um fundierte Entscheidungen treffen zu k\u00f6nnen.<\/p>\n\n\n\n

Mathias Hess: <\/strong>Ich kenne das eher aus dem Bereich Softwareeinkauf, beispielsweise bei CRM- oder ERP-Systemen, wo es aus verschiedenen Gr\u00fcnden oft schwer ist, die Angebote miteinander zu vergleichen. In solchen F\u00e4llen ist es nat\u00fcrlich von gro\u00dfer Bedeutung, \u00fcber Erfahrung zu verf\u00fcgen, um Ausschreibungen optimal durchzuf\u00fchren und eine bessere Vergleichbarkeit zu gew\u00e4hrleisten. Wie sieht das bei euch aus?<\/p>\n\n\n\n

Jannis Stemmann:<\/strong> Uns f\u00e4llt dies naturgem\u00e4\u00df leichter, da es bestimmte Projektkategorien gibt, die wir bereits bis zu 30-mal begleitet haben. Dies erm\u00f6glicht es uns, besser zu verstehen, wie ein bestimmter Leistungsumfang bei Anbieter A benannt wird und ob es sich bei Anbieter B um eine zus\u00e4tzliche Option handelt oder bereits enthalten ist. Im Bereich Cybersecurity gibt es keine Normen und jeder kann neue Begriffe wie „Advanced Threat Hunting“ und „Threat Intelligence“ erfinden. Inhaltlich h\u00e4ngt dies immer damit zusammen, wie teuer es letztendlich wird. Wir bauen daher schrittweise Preisdatenbanken auf und k\u00f6nnen die angebotenen Preise sehr gut einsch\u00e4tzen. Dies h\u00e4ngt stark von Vertriebskan\u00e4len und der Wettbewerbssituation ab.<\/p>\n\n\n\n

Sprecher: <\/strong>Der Markt scheint verr\u00fcckt zu sein. Das definiert hier heute unser Gast im Podcast. Hier ist goCIO, der Podcast f\u00fcr den CIO und alle Digitalisierungsinteressierte und unser Gast ist Jannis Stemmann von CyberCompare. Er sagt fast die H\u00e4lfte aller Ausgaben im Bereich dieser Cybersecurity Anbieter weltweit wird f\u00fcr Marketing und Sales ausgegeben. Wie sind da wirklich glaubhafte Produktinvestitionen abgebildet. Er sagt, dass ganz viele im Markt anbieten und dabei auf \u00fcberlastete Mitarbeiter im Einkauf treffen. Hier gilt es heute, neue Ideen zu finden. Mathias Hess hat ganz bestimmt eine n\u00e4chste.<\/p>\n\n\n\n

Mathias Hess: <\/strong>Kommen wir mal zu den Kollegen aus dem Einkauf und IT. So wie ich es erlebe werden die da gerne mal au\u00dfen vorgelassen und sind auch gar nicht so ungl\u00fccklich, weil sie sich damit eh nicht auskennen. Wie ist dazu eure Erfahrung?<\/p>\n\n\n\n

Jannis Stemmann: <\/strong>Am besten wird das Ergebnis, wenn man es zusammen macht. Also wenn man fr\u00fchzeitig Einkauf und Fachabteilung einbindet. H\u00e4ufig gibt es ja auch auf der Anwenderseite, also von der Fachabteilung Mitarbeiter, die man mit ins Boot holen sollte. Es macht einfach Sinn, das zusammen zu machen und nicht allein. Das ist auch die Grundidee bei CyberCompare. Man k\u00f6nnte ganz altmodisch sagen, wir sind so eine Art Einkaufsgenossenschaft, wo sich jetzt eben mehr als 300 Unternehmen und \u00f6ffentliche Stellen zusammengeschlossen haben.<\/p>\n\n\n\n

Mathias Hess: <\/strong>Ja, das macht absolut Sinn. Ich erlebe das immer wieder, wenn man ein ERP- oder CRM-System oder welches System auch immer ausschreibt. In der Regel geschieht dies nur einmal oder vielleicht h\u00f6chstens ein paar Mal in seiner Karriere. Oft versucht man, diesen Prozess zu vermeiden, indem man den Ruhestand sucht, zum Beispiel bei der Einf\u00fchrung eines ERP-Systems. Der Erfahrungsschatz in diesem Bereich ist oft sehr begrenzt, insbesondere f\u00fcr diejenigen, die dies zum ersten Mal tun. Ich finde mich in dieser Situation immer wieder, denn wenn man etwas zum ersten Mal macht, dauert es l\u00e4nger, man macht Fehler, es ist teurer. Daher halte ich die Idee und Umsetzung, wie ihr es macht, f\u00fcr gro\u00dfartig. Ihr helft Unternehmen mit eurer Erfahrung und tut dies offensichtlich zum Wohl des Kunden. Wenn ich das richtig verstehe, geht ihr auch in Richtung Standardisierung, obwohl dies im IT-Bereich sehr schwierig ist, wie du gesagt hast. Generell versuchen alle, dieses Ziel mit mehr oder weniger Erfolg zu erreichen, wie du auch erw\u00e4hnt hast. Es gibt keine Norm wie in anderen Branchen, sondern jeder entwickelt seine eigenen Ans\u00e4tze. Daher ist der Vergleich oft schwierig.<\/p>\n\n\n\n

Jannis Stemmann: <\/strong>Ganz genau, die Standardisierung ist wirklich ein wichtiger Aspekt. Interessant ist auch, wie du gerade erw\u00e4hnt hast, dass wir die Interessen des Kunden vertreten. Da hilft uns die Unabh\u00e4ngigkeit von den Anbietern.<\/p>\n\n\n\n

Mathias Hess: <\/strong>Das w\u00fcrden die anderen aber auch sagen, oder?<\/p>\n\n\n\n

Jannis Stemmann: <\/strong>Was wir aus dem Markt erfahren, deutet darauf hin, dass wir derzeit die Einzigen sind, die das behaupten k\u00f6nnen. Das finde ich schon ziemlich interessant. Bei uns ist es so geregelt, dass die Kunden uns Projekt-Pauschalen zahlen und wir erhalten keine Provisionen von den Anbietern, keine Rabatte auf Listenpreise oder \u00e4hnliches. Wir kennen dieses Spiel, aber wir nehmen nicht daran teil. Stattdessen zahlt der Kunde bei uns eine Pauschale. Dies erm\u00f6glicht es uns nat\u00fcrlich, die Interessen der Kunden bestm\u00f6glich zu vertreten.<\/p>\n\n\n\n

Mathias Hess: <\/strong>Aber du hast vorhin auch erw\u00e4hnt, dass ihr die Nachfrage in gewisser Weise b\u00fcndelt und dadurch bessere Einkaufskonditionen erzielen k\u00f6nnt.<\/p>\n\n\n\n

Jannis Stemmann: <\/strong>Ja, das ist teilweise richtig. Wir tun dies insbesondere im Zusammenhang mit der Datenbank, wodurch wir Price Benchmarking durchf\u00fchren k\u00f6nnen. Es m\u00fcssen sowohl die Leistungsumf\u00e4nge als auch die Kosten f\u00fcr bestimmte Umf\u00e4nge ber\u00fccksichtigt werden.<\/p>\n\n\n\n

Mathias Hess: <\/strong>Und wenn wir jetzt noch einmal auf den Titel „Cybersecurity ohne Kopfweh. Warum es sich lohnt, Ruhe zu bewahren“ zur\u00fcckkommen. Das Thema „Kopfweh“ ist ja auch eines eurer Schlagworte, wenn ich das mal etwas locker ausdr\u00fccken darf. Erlebst du tats\u00e4chlich, dass die Leute in diesem Markt ein gewisses Ma\u00df an Verzweiflung oder Hilflosigkeit versp\u00fcren? Vielleicht ist das etwas \u00fcbertrieben, aber f\u00fchlen sie sich zumindest in diesem un\u00fcbersichtlichen Markt drau\u00dfen ein wenig hilflos?<\/p>\n\n\n\n

Jannis Stemmann: <\/strong>Der Markt ist definitiv intransparent und es ist sicherlich hilfreich, wenn man jemanden an seiner Seite hat, der einem in gewisser Weise den Weg weisen kann. Ich denke, Panikmache oder Verzweiflung sind nicht der richtige Weg. Unsere Ansicht ist, dass man ruhig und pragmatisch vorgehen sollte. Es handelt sich um wirtschaftliche Risiken, die angemessen gemanagt werden k\u00f6nnen.<\/p>\n\n\n\n

Mathias Hess: <\/strong>Bisher ist meines Wissens niemand durch die Vernachl\u00e4ssigung dieses Themas verletzt worden und es ist mir ebenfalls nicht bekannt, dass ein Unternehmen aufgrund von mangelnder Cybersecurity in die Insolvenz gegangen ist, richtig?<\/p>\n\n\n\n

Jannis Stemmann: <\/strong>Ja, das muss man immer ein St\u00fcck weit relativieren. Aber Stand heute kennen wir kein gesundes Unternehmen, das allein durch einen Cyberangriff in die Insolvenz getrieben wurde. Wie du bereits gesagt hast, sterben allein auf Deutschlands Stra\u00dfen jedes Jahr 2000 bis 3000 Menschen bei Verkehrsunf\u00e4llen. Ich glaube, durch Cyberangriffe ist bisher niemand ernsthaft verletzt oder get\u00f6tet worden. Zum Gl\u00fcck. Hoffen wir, dass das so bleibt.<\/p>\n\n\n\n

Mathias Hess: <\/strong>Du hattest zuvor in unseren Gespr\u00e4chen erw\u00e4hnt, dass man das Thema der L\u00f6segeldzahlungen und dieser Art von Kriminalit\u00e4t relativ einfach beenden k\u00f6nnte.<\/p>\n\n\n\n

Jannis Stemmann: <\/strong>Tats\u00e4chlich beenden k\u00f6nnen, das kann ich nicht mit Sicherheit sagen. Aber ich glaube schon, dass, wenn wir uns andere Branchen anschauen, es Konzepte gibt, wie zum Beispiel Auffangfonds in der Versicherungs- oder Bankenbranche. Ich denke, ein \u00e4hnliches Konzept k\u00f6nnte im Bereich Ransomware durchaus Sinn machen. Denn meiner Meinung nach ist die Strafverfolgung in diesem Bereich schwierig. Man h\u00f6rt gelegentlich von Erfolgen, die die Beh\u00f6rden erzielen, und ich finde es beeindruckend, wie die Polizei l\u00e4nder\u00fcbergreifend zusammenarbeitet. Das ist wirklich lobenswert. Dennoch habe ich oft den Eindruck, dass es f\u00fcr die Angreifer sehr risikoarm ist, L\u00f6segeld zu erpressen. Wenn wir einen solchen Auffangfonds h\u00e4tten und gleichzeitig die Verwendung von Kryptow\u00e4hrungen zur Bezahlung von L\u00f6segeldern untersagen w\u00fcrden, k\u00f6nnte ich mir vorstellen, dass es f\u00fcr die meisten Angreifer wirtschaftlich unattraktiv w\u00fcrde, es \u00fcberhaupt zu versuchen.<\/p>\n\n\n\n

Mathias Hess: <\/strong>Ja, insbesondere die Zahlung von L\u00f6segeld in Kryptow\u00e4hrung scheint sehr beliebt zu sein, um es mal so auszudr\u00fccken. Es gibt wahrscheinlich schon recht eingeschr\u00e4nkte M\u00f6glichkeiten, das zu verfolgen oder zu unterbinden.<\/p>\n\n\n\n

Jannis Stemmann: <\/strong>Ich bin kein Experte auf diesem Gebiet und ich verstehe, dass Kryptow\u00e4hrungs-Enthusiasten emp\u00f6rt sein k\u00f6nnten. Ich verstehe auch, dass es gute Anwendungsf\u00e4lle f\u00fcr Bitcoin, Monero, Ethereum und andere Kryptow\u00e4hrungen gibt und ich bin selbst technikbegeistert. Aber ich denke, das Internet existierte schon lange vor Bitcoin, und vernetzte Computer in Unternehmen gab es auch schon viel l\u00e4nger. Mein Eindruck ist, dass das Thema Ransomware erst mit dem Aufkommen von Kryptow\u00e4hrungen so richtig Fahrt aufgenommen hat. Wenn man L\u00f6segeldzahlungen verbieten oder die Verwendung von Kryptow\u00e4hrungen f\u00fcr solche Zwecke einschr\u00e4nken w\u00fcrde, glaube ich nicht, dass dies keinen Einfluss auf die Angriffe h\u00e4tte. Sicherlich gibt es immer noch staatliche Akteure und andere Gr\u00fcnde, Daten zu stehlen. Aber ich denke, im Bereich r\u00e4uberischer Erpressung k\u00f6nnten wir einen Schritt nach vorne machen.<\/p>\n\n\n\n

Mathias Hess: <\/strong>Begleitet ihr den Kunden auch, wenn sie euch kontaktieren und sagen, dass sie gehackt wurden und um Hilfe bitten?<\/p>\n\n\n\n

Jannis Stemmann: <\/strong>Wenn ein Kunde uns kontaktiert und angibt, dass er gehackt wurde, versuchen wir, schnellstm\u00f6glich einen geeigneten Dienstleister zu finden. Zum Beispiel gibt es eine Liste zertifizierter Dienstleister f\u00fcr Incident Response im Notfall vom Bundesamt f\u00fcr Sicherheit in der Informationstechnik (BSI) und wir kennen auch noch einige andere. Wir m\u00fcssen pr\u00fcfen, welcher Anbieter tats\u00e4chlich Kapazit\u00e4ten hat. Unser Ansatz liegt jedoch eher darin, unsere Kunden dabei zu unterst\u00fctzen, im Vorfeld Notfall\u00fcbungen durchzuf\u00fchren und sich auf den Ernstfall vorzubereiten. Hierbei kann man viel lernen und im Notfall viel Zeit sparen. Dies ist eine Ma\u00dfnahme, die h\u00e4ufig vernachl\u00e4ssigt wird, aber im Vergleich zu den potenziellen Sch\u00e4den wenig kostet und viel Nutzen bringt. Wir legen auch Wert auf den Abschluss eines Vertrags f\u00fcr Incident Response Retainer mit einem Dienstleister, der Kapazit\u00e4ten vorh\u00e4lt. Auf diese Weise m\u00fcssen wir im Notfall nicht damit beginnen, nach einem geeigneten Dienstleister zu suchen, der m\u00f6glicherweise keine Kapazit\u00e4ten hat. Stattdessen kl\u00e4ren wir dies bereits im Voraus vertraglich.<\/p>\n\n\n\n

Mathias Hess:<\/strong> Ich unterst\u00fctze das Thema Notfall\u00fcbungen auf jeden Fall. Ich hatte auch Kunden, die teure Backup-Systeme hatten, aber als sie diese im Ernstfall nutzen wollten, stellten sie fest, dass die Backups nicht richtig funktionierten und sie im Grunde genommen kein funktionierendes Backup hatten. Das ist wirklich \u00e4rgerlich und zeigt, dass es wichtig ist, solche Systeme zu testen, wenn man sie einf\u00fchrt. Aber ich denke, Notfall\u00fcbungen sind ebenfalls entscheidend. Sie dienen nicht nur dazu, technische Tests durchzuf\u00fchren, sondern auch, um sicherzustellen, dass man im Ernstfall nicht von vorne anfangen muss und sich fragt, wie man vorgehen soll. Das ist der eigentliche Sinn und Zweck von \u00dcbungen.<\/p>\n\n\n\n

Ich denke, es ist ratsam, sich die verschiedenen m\u00f6glichen Szenarien anzusehen und zu \u00fcberlegen, wie man in diesen F\u00e4llen handeln sollte. Eine Notfall\u00fcbung ist eine gute M\u00f6glichkeit, dies zu tun. Man muss dies auch nicht verheimlichen, sondern kann offen sagen: „Wir machen dieses Wochenende eine Notfall\u00fcbung, um zu sehen, wie gut unsere Abl\u00e4ufe funktionieren und wo es eventuell L\u00fccken gibt, die wir beheben m\u00fcssen.“ L\u00fccken gibt es oft, und es ist besser, sie in einer \u00dcbung zu entdecken, als im Ernstfall \u00fcberrascht zu werden.<\/p>\n\n\n\n

Jannis Stemmann: <\/strong>Genau, das ist der Sinn dahinter. Man lernt aus solchen \u00dcbungen und kann dann daran arbeiten, um st\u00e4ndige Verbesserungen zu erzielen. Wie du bereits angesprochen hast, ist es wichtig, alle relevanten Beteiligten an einen Tisch zu bringen, darunter auch Vertreter der Rechtsabteilung und der Kommunikation. Im Ernstfall muss man Mitarbeiter, Lieferanten und Kunden benachrichtigen sowie mit Beh\u00f6rden kommunizieren. Man kann bereits im Vorfeld die gesamten Meldewege und Entscheidungswege \u00fcberpr\u00fcfen. Dies sind alles Prozesse und Abl\u00e4ufe, die im Voraus durchdacht werden k\u00f6nnen. Zus\u00e4tzlich zu den technischen Aspekten, die du bereits angesprochen hast, wie Backups und Wiederherstellung, ist die Priorisierung im Notfall entscheidend. Hierbei haben wir mittlerweile Vorlagen entwickelt, die bei vielen Unternehmen bereits Anwendung finden.<\/p>\n\n\n\n

Mathias Hess: <\/strong>Wie siehst du die Entwicklung in den n\u00e4chsten Jahren? Gibt es bestimmte Bereiche, auf die sich die Aufmerksamkeit verst\u00e4rkt richten wird?<\/p>\n\n\n\n

Jannis Stemmann: <\/strong>In Bezug auf die Vorbereitung auf den Notfall oder generell?<\/p>\n\n\n\n

Mathias Hess: <\/strong>Generell zum Thema Sicherheit. Ich erinnere mich, dass vor ein paar Jahren die allgemeine Meinung war, dass die gr\u00f6\u00dfte Sicherheitsgefahr von den Mitarbeitern ausgeht und es wurde betont, wie wichtig es ist, sie vern\u00fcnftig zu schulen, um sicherzustellen, dass sie nicht auf verd\u00e4chtige Links klicken. Meiner Meinung nach hat sich in dieser Hinsicht viel getan. Die Frage ist nun, was als n\u00e4chstes kommt. Gibt es Bereiche, in denen du einen steigenden Bedarf siehst?<\/p>\n\n\n\n

Jannis Stemmann: <\/strong>Die einfache Antwort w\u00e4re nat\u00fcrlich, dass es immer kundenabh\u00e4ngig ist. Aber ich denke, es gibt einige Themen, \u00fcber die wir nachdenken k\u00f6nnen. Zum Beispiel ist das gesamte Thema Outsourcing der 24\/7-\u00dcberwachung, was als Managed Detection Response oder Managed Security Operations Center f\u00fcr die 24\/7-\u00dcberwachung bezeichnet wird, ein Trend, der meiner Meinung nach deutlich zunimmt. Hier gibt es auch wirtschaftliche Gr\u00fcnde, da Skalierung \u00fcber viele Unternehmen hinweg m\u00f6glich ist und es viele Anbieter auf dem Markt gibt, aus denen man ausw\u00e4hlen kann. Dar\u00fcber hinaus sehen wir, dass Unternehmen, die eine eigene Produktion oder Logistik betreiben oder Maschinen und vernetzte Ger\u00e4te herstellen, verst\u00e4rkt in den Bereich OT Security (Operation Technology Security) und IoT Security (Internet of Things Security) investieren. Das bedeutet, dass sie ihren Fokus und ihre Priorit\u00e4ten auf das Thema B\u00fcro-IT-Sicherheit oder Enterprise-IT-Sicherheit legen, was vern\u00fcnftig ist und wir immer empfehlen w\u00fcrden, aber auch verst\u00e4rkt im Bereich OT und IoT Security aktiv werden.<\/p>\n\n\n\n

Mathias Hess: <\/strong>Cybersecurity ohne Kopfweh. Warum es sich lohnt, Ruhe zu bewahren? Das war heute unser Thema im Podcast mit Jannis Stemann. Jannis, vielen Dank f\u00fcr deinen Input.<\/p>\n\n\n\n

Jannis Stemmann: <\/strong>Vielen Dank an Dich, Mathias und alles Gute weiterhin.<\/p>\n\n\n\n

Sprecher:<\/strong> Es gibt also keine Normen der Vergabe und eine Vergleichbarkeit ist kaum gegeben. Cybercompare sagt Wir sind vorne, weil wir Marken unabh\u00e4ngig beraten k\u00f6nnen, Cybersecurity herstellen k\u00f6nnen f\u00fcr die vielen 100 Unternehmen aller Branchen, die man betreut. Das war GoCIO, der Podcast f\u00fcr den CIO und alle Digitalisierungsinteressierte von und mit Mathias Hess mit dem Podcasttitel \u201eCybersecurity ohne Kopfweh. Warum es sich lohnt, Ruhe zu bewahren\u201c. Heute mit Jannis Stemmann von CyberCompare.<\/p>\n\n\n\n

Auf der Suche nach dem originalen Podcast? <\/h4>\n\n\n\n

Spotify: https:\/\/open.spotify.com\/show\/2PN4l5io6QIBIXtkOxqgc5<\/strong><\/p>\n\n\n\n