Die Nutzung zeigt auch, dass Mitarbeitende mit KI arbeiten wollen und konkrete Einsatzmöglichkeiten sehen. Unternehmen sollten diesen Bedarf verstehen, sichere Werkzeuge bereitstellen und klare Regeln schaffen. So lässt sich ungesteuerte KI-Nutzung Schritt für Schritt in eine tragfähige KI-Governance überführen.

Leonard Püttmann, Solution Architect bei accompio AI, erklärt im Experteninterview, warum Shadow AI so verbreitet ist, welche Risiken Unternehmen kennen sollten und wie aus Eigeninitiative ein kontrollierter Einsatz von künstlicher Intelligenz werden kann.

Das Wichtigste in Kürze

• Shadow AI bezeichnet den ungeregelten Einsatz von KI-Tools, von dem IT, Datenschutz oder Unternehmensleitung nichts wissen.
• Häufig geht es um Effizienz: Mitarbeitende kennen Anwendungen wie ChatGPT oder Google Gemini aus dem Alltag und möchten sie auch beruflich nutzen.
• Besonders kritisch sind sensible Daten: Personenbezogene Informationen, Kundendaten, Verträge, Patente und Geschäftsgeheimnisse gehören nicht in unkontrollierte Anwendungen.
• Technische Kontrollen reichen nur begrenzt: Die Vielzahl verfügbarer KI-Tools macht eine vollständige Erkennung über den Netzwerkverkehr schwierig.
• Sichere Alternativen und klare Leitplanken helfen: Schulungen, Workshops und ein einfacher Meldeweg für gewünschte Tools schaffen Orientierung.
• Shadow AI kann Innovationspotenzial sichtbar machen: Die genutzten Werkzeuge zeigen, wo Mitarbeitende einen echten Bedarf und Mehrwert sehen.

Im Interview zeigt Leonard Püttmann, weshalb technische Kontrollen allein nicht ausreichen und wie Unternehmen den Bedarf ihrer Mitarbeitenden mit klaren Leitplanken und sicheren KI-Lösungen verbinden können.

Shadow AI im Unternehmen: Experteninterview mit Leonard Püttmann

Wie können Unternehmen den Einsatz von KI ermöglichen und dabei sensible Daten schützen? Leonard Püttmann zeigt im Video, wie sich Kontrolle, klare Regeln und die Eigeninitiative der Mitarbeitenden miteinander verbinden lassen.

Video ansehen

Was ist Shadow AI?

Von Shadow AI spricht man, wenn Beschäftigte KI-Anwendungen einsetzen, die im Unternehmen weder offiziell freigegeben noch bekannt oder kontrolliert sind. Der Begriff lehnt sich an Shadow IT an. Gemeint ist eine Form der ungesteuerten Nutzung und kein bestimmtes Produkt.

Ein typisches Beispiel ist ein öffentlicher KI-Chatbot, in den Mitarbeitende Texte, Tabellen oder Dokumente eingeben, um eine Aufgabe schneller zu erledigen. Aus Sicht der Organisation bleiben dabei wichtige Fragen offen: Welche Daten werden verarbeitet? Wo findet die Verarbeitung statt? Wird etwas gespeichert? Wer kann auf die Informationen zugreifen?

Shadow AI kann auch zu Insellösungen führen. Einzelne Teams verwenden unterschiedliche Werkzeuge, Wissen wird kaum geteilt und Sicherheitsanforderungen werden uneinheitlich umgesetzt. Eine gemeinsame KI-Strategie schafft hier Transparenz.

Warum entsteht Shadow AI im Unternehmen?

Leonard Püttmann nennt im Gespräch zwei Hauptgründe. Erstens möchten Mitarbeitende effizienter arbeiten und suchen selbst nach geeigneten Werkzeugen. KI unterstützt inzwischen viele Aufgaben, etwa beim Strukturieren von Informationen, beim Formulieren von Texten oder bei wiederkehrenden Arbeitsschritten.

Zweitens kennen viele Beschäftigte KI-Anwendungen bereits aus ihrem privaten Alltag. Gute Erfahrungen mit ChatGPT, Google Gemini und anderen Tools prägen die Erwartung, vergleichbare Unterstützung auch im Beruf nutzen zu können.

Fehlen geeignete Unternehmenslösungen oder verständliche Vorgaben, suchen Teams eigene Wege. Shadow AI ist deshalb häufig ein organisatorisches Signal. Es zeigt, an welchen Stellen Mitarbeitende Unterstützung benötigen und wo die interne Bereitstellung von KI mit der praktischen Nachfrage noch nicht Schritt hält.

Welche Risiken entstehen durch Shadow AI?

Datenabfluss und Datenschutz

Das größte Risiko entsteht, wenn sensible Informationen in externe KI-Anwendungen gelangen. Dazu zählen personenbezogene Daten, Kundeninformationen, Vertragsdokumente, Patente, interne Unterlagen und Geschäftsgeheimnisse. Eine klare Datenklassifikation hilft dabei, schützenswerte Informationen zu erkennen. Für Nutzerinnen und Nutzer ist oft kaum erkennbar, wie ein Dienst die Eingaben verarbeitet oder speichert.

Compliance und EU AI Act

Ungeregelte KI-Nutzung erschwert es, rechtliche und interne Vorgaben einzuhalten. Mit dem EU AI Act gewinnt außerdem die KI-Kompetenz im Unternehmen an Bedeutung. Anbieter und Betreiber von KI-Systemen müssen Maßnahmen zur Förderung der KI-Kompetenz ihrer Beschäftigten ergreifen. Schulungen sollten deshalb den konkreten Arbeitskontext und die verwendeten Systeme berücksichtigen.

Reputation und Vertrauen

Werden vertrauliche Informationen offengelegt, entstehen neben möglichen rechtlichen Folgen auch Reputationsschäden. Kundinnen und Kunden erwarten, dass Unternehmen ihre Daten zuverlässig schützen. Eine unkontrollierte KI-Nutzung kann dieses Vertrauen beeinträchtigen.

Wie lässt sich Shadow AI erkennen?

Eine lückenlose technische Erkennung ist schwierig. Unternehmen können den Netzwerkverkehr analysieren, doch die Zahl der verfügbaren KI-Tools wächst laufend. Neue Dienste und private Zugänge lassen sich auf diesem Weg nur begrenzt erfassen.

Mehr Transparenz entsteht im direkten Austausch. Führungskräfte und IT-Verantwortliche sollten erfragen, welche Werkzeuge Teams bereits nutzen, welche Aufgaben sie damit bearbeiten und welche Funktionen ihnen in den freigegebenen Lösungen fehlen. Ein niedrigschwelliger Meldeweg für gewünschte Tools macht diesen Bedarf sichtbar.

„Man muss einfach nur den Risiken begegnen, und dann kann das Ganze auch gut funktionieren.“

Leonard Püttmann, Solution Architect bei accompio AI

Wie können Unternehmen Shadow AI kontrollieren?

Ein pauschales Verbot beseitigt den Bedarf an KI-Unterstützung meist nicht. Wirksamer ist ein Vorgehen, das Risiken reduziert und gute Anwendungsfälle in einen sicheren Rahmen überführt.

1. Nutzung und Bedarf erfassen

Unternehmen sollten gemeinsam mit den Fachbereichen klären, welche KI-Tools bereits im Einsatz sind und welchen Zweck sie erfüllen. Eine Liste für Tool-Wünsche hilft, wiederkehrende Anforderungen zu erkennen und zu priorisieren.

2. Klare KI-Guidelines festlegen

Leitlinien sollten verständlich erklären, welche Anwendungen erlaubt sind, welche Daten verwendet werden dürfen und wer neue Tools prüft. Kurze, konkrete Regeln sind im Alltag hilfreicher als allgemeine Verbote.

3. Mitarbeitende schulen

Self-Paced-Kurse zur Einführung in künstliche Intelligenz vermitteln Grundlagen im eigenen Tempo. Workshops eignen sich, um reale Anwendungsfälle aus einzelnen Teams zu prüfen. Mitarbeitende lernen dabei, wo Risiken liegen und wie sie KI in ihrem Arbeitsbereich sicher einsetzen können.

4. Sichere KI-Werkzeuge bereitstellen

Freigegebene Lösungen müssen die Aufgaben der Beschäftigten tatsächlich unterstützen. Für sensible Unternehmensdaten kann eine interne Confidential-AI-Umgebung eine geeignete Basis sein. Wenn die Alternative sicher und im Alltag brauchbar ist, sinkt der Anreiz, auf unbekannte externe Dienste auszuweichen.

5. KI-Governance laufend weiterentwickeln

Die KI-Landschaft verändert sich schnell. Unternehmen sollten eingesetzte Werkzeuge und Regeln regelmäßig überprüfen. Shadow AI wird dadurch zu einem festen Bestandteil der IT Governance und verliert Schritt für Schritt seinen ungesteuerten Charakter.

Shadow AI mit sicheren Lösungen reduzieren

Sie möchten vorhandene KI-Nutzung erfassen, geeignete Anwendungsfälle bewerten und Ihren Teams sichere Werkzeuge bereitstellen? accompio unterstützt Sie beim Aufbau einer praxistauglichen KI-Strategie, bei der technischen Umsetzung und bei der sicheren Integration von KI in Ihre bestehende Infrastruktur.

AI as a Service entdecken

Wann wird Shadow AI zum Innovationsmotor?

Eigeninitiativ genutzte KI-Tools zeigen, wo Prozesse verbessert werden können. Teams sammeln praktische Erfahrungen und erkennen oft früh, welche Anwendungen einen echten Mehrwert bieten. Diese Impulse sind für Unternehmen wertvoll, wenn sie offen aufgenommen und fachlich geprüft werden.

Führungskräfte haben dabei eine wichtige Rolle. Sie schaffen Gesprächsangebote, nehmen den Bedarf ernst und sorgen zügig für sichere Lösungen. Eine solche Innovationskultur verbindet Neugier mit Verantwortung. Aus einzelnen Experimenten können so freigegebene Anwendungsfälle entstehen, die mehreren Teams zugutekommen.

Über den Experten

Leonard Püttmann arbeitet als Solution Architect bei accompio AI. Er beschäftigt sich täglich damit, wie Unternehmen KI-Technologien sicher und effizient einsetzen und damit einen konkreten Mehrwert schaffen können.

Häufige Fragen zu Shadow AI

Was ist der Unterschied zwischen Shadow AI und Shadow IT?

Shadow IT umfasst sämtliche nicht freigegebenen Hard- und Softwarelösungen. Shadow AI bezeichnet speziell den ungeregelten Einsatz von KI-Anwendungen und die damit verbundene Verarbeitung von Daten.

Kann ein Unternehmen Shadow AI vollständig verhindern?

Eine vollständige technische Kontrolle ist angesichts der vielen verfügbaren Tools kaum realistisch. Unternehmen können das Risiko deutlich senken, indem sie Nutzung transparent machen, sichere Alternativen anbieten, klare Regeln definieren und Beschäftigte regelmäßig schulen.

Welche Daten sind bei Shadow AI besonders kritisch?

Besonders schützenswert sind personenbezogene Daten, Kundeninformationen, Verträge, Patente, interne Dokumente und Geschäftsgeheimnisse. Vor der Eingabe muss geklärt sein, ob das verwendete Tool für diese Daten freigegeben ist.

Was gehört in eine KI-Guideline?

Eine praxistaugliche KI-Guideline benennt erlaubte Tools, zulässige Daten, verbotene Anwendungen, Verantwortlichkeiten und den Prozess zur Prüfung neuer Werkzeuge. Sie sollte leicht auffindbar sein und anhand realer Beispiele erklärt werden.

Ist Shadow AI eher Risiko oder Chance?

Ungeregelte Nutzung ist ein Risiko. Gleichzeitig macht sie Innovationsbereitschaft und konkrete Anforderungen sichtbar. Wenn Unternehmen diese Impulse aufnehmen, Risiken bewerten und sichere Lösungen bereitstellen, kann daraus produktiver und kontrollierter KI-Einsatz entstehen.

Bis ein Unternehmen erkennt, dass tatsächlich ein Sicherheitsvorfall vorliegt, können bereits wertvolle Stunden vergangen sein. Genau diese Zeit entscheidet jedoch häufig darüber, wie groß der Schaden am Ende ausfällt. Denn je länger ein Angreifer unentdeckt bleibt, desto mehr Möglichkeiten hat er, sich innerhalb der IT-Umgebung auszubreiten.

Incident Response bezeichnet die strukturierte Reaktion auf einen Sicherheitsvorfall. Die Vorbereitung ist dabei entscheidend: Auffälligkeiten müssen früh erkannt und im Ernstfall ohne Verzögerung bearbeitet werden.

Thomas Ringhof, Incident Responder und digitaler Forensiker bei r-tec in der accompio Gruppe, erlebt in seiner täglichen Arbeit, wie entscheidend eine schnelle und strukturierte Reaktion auf Sicherheitsvorfälle ist. Im Experteninterview erklärt er, warum Unternehmen häufig zu spät reagieren, welche Fehler in den ersten Stunden eines Cyberangriffs passieren und wie sich die eigene Reaktionsfähigkeit gezielt verbessern lässt.

Das Wichtigste in Kürze

• Zeit ist ein entscheidender Faktor: Je länger ein Angreifer unentdeckt bleibt, desto größer kann der Schaden für ein Unternehmen werden.
• Incident Response beginnt vor dem Angriff: Unternehmen müssen bereits im Vorfeld definieren, wie sie auf Sicherheitsvorfälle reagieren und wer im Ernstfall welche Verantwortung übernimmt.
• Sichtbarkeit ist die Grundlage: Zentrale Log-Daten und ein funktionierendes Monitoring helfen dabei, verdächtige Aktivitäten frühzeitig zu erkennen.
• Nicht jede Auffälligkeit ist sofort ein Incident: Unternehmen brauchen klare Prozesse, um relevante Sicherheitsereignisse zu bewerten und angemessen darauf zu reagieren.
• Playbooks schaffen Handlungssicherheit: Vorbereitete Szenarien und klar definierte Abläufe verhindern, dass im Ernstfall wertvolle Zeit mit grundlegenden Abstimmungen verloren geht.
• Verspätete Reaktion kann teuer werden: Aus einem einzelnen kompromittierten Zugang können weitere betroffene Accounts, Systeme und im schlimmsten Fall erhebliche Betriebsunterbrechungen entstehen.
• Vorbereitung muss praktisch sein: Incident-Response-Prozesse gehören regelmäßig überprüft und eingeübt.

Warum Incident Response oft zu spät beginnt

Viele Unternehmen erkennen einen Angriff erst, wenn die Auswirkungen deutlich sichtbar werden. Thomas Ringhof sieht dafür zwei zentrale Ursachen: Es fehlt an technischer Sichtbarkeit und an klaren internen Abläufen. Sind relevante Log-Daten nicht verfügbar oder bleiben Zuständigkeiten ungeklärt, wird aus einer ersten Auffälligkeit schnell ein Vorfall, auf den niemand rechtzeitig reagiert.

Zu den typischen Ausgangspunkten gehören Phishing und Infostealer-Malware. Im Interview schildert Thomas Ringhof einen Fall, bei dem Angreifer Zugriff auf ein E-Mail-Postfach erhielten, eine bestehende Kommunikation mitlasen und eine Rechnung manipulierten. Das Unternehmen überwies daraufhin einen hohen Betrag auf das falsche Konto.

Ein kompromittiertes Benutzerkonto kann zunächst relativ unauffällig genutzt werden. Angreifer sichern ihren Zugang, schaffen Persistenz und vermeiden Aufmerksamkeit. Erst später führen sie Schadsoftware aus oder verursachen sichtbare Systemausfälle. Wenn der Vorfall dann erkannt wird, können die Angreifer bereits seit Tagen oder Wochen in der IT-Umgebung aktiv sein.

Auch der menschliche Faktor spielt eine Rolle. Ein ungewöhnlicher Login wird mitunter als harmloser Fehler bewertet, weil die erste plausible Erklärung beruhigt. Dieser Confirmation Bias kann dazu führen, dass Warnsignale nicht weiter untersucht und notwendige Eskalationen verzögert werden.

Deshalb beginnt Incident Response bereits mit der Incident Response Readiness. Unternehmen müssen verdächtige Aktivitäten früh erkennen, einordnen und über einen festgelegten Eskalationsweg weitergeben können. Dafür braucht es technische Sichtbarkeit, klare Prozesse und eindeutig benannte Verantwortliche.

Die ersten Minuten und Stunden entscheiden

Wird ein Sicherheitsvorfall erkannt, muss möglichst schnell geklärt werden: Was ist passiert? Welche Systeme sind betroffen? Welche Benutzerkonten wurden möglicherweise kompromittiert? Und wie weit konnte sich der Angreifer bereits ausbreiten?

In der Praxis entstehen hier häufig Verzögerungen. Verantwortlichkeiten sind nicht eindeutig geklärt, Informationen fehlen oder es ist unklar, welche Maßnahmen zuerst durchgeführt werden müssen. Der Weg von der ersten Beobachtung eines Mitarbeitenden über die IT-Administration bis zur Einstufung als Sicherheitsvorfall muss deshalb vorab definiert sein.

Ein vorbereiteter Incident-Response-Prozess schafft hier Handlungssicherheit. Playbooks legen für typische Szenarien fest, welche Informationen benötigt werden, wer entscheidet und welche Maßnahmen als Erstes erfolgen. Das gilt etwa für kompromittierte Benutzerkonten, verdächtige Logins, Phishing oder erkannte Malware.

So muss im Ernstfall nicht bei null begonnen werden.

Sichtbarkeit als Grundlage für schnelle Reaktion

Eine schnelle Incident Response setzt voraus, dass Unternehmen überhaupt erkennen können, was in ihrer IT-Umgebung passiert.

Der erste Schritt ist ein zentrales Log-Management. Dabei muss entschieden werden, welche Daten einfließen sollen. Reichen Anmeldedaten aus oder werden auch Ereignisse von Endgeräten, Servern und weiteren Host-Systemen benötigt? Je nach Umgebung kann ein SIEM dabei helfen, diese Informationen zusammenzuführen und Nutzeraktivitäten auszuwerten.

Monitoring macht Auffälligkeiten früh sichtbar. Historische Log-Daten sind außerdem für die digitale Forensik wichtig. Sie können zeigen, wann ein Angreifer erstmals aktiv wurde, welche Zugänge genutzt wurden und welche Systeme anschließend betroffen waren. Ohne diese Daten lässt sich ein Vorfall häufig nur unvollständig rekonstruieren.

Technologie allein reicht allerdings nicht aus. Ein Alarm ist zunächst nur ein Hinweis darauf, dass etwas Auffälliges passiert ist. Danach muss klar sein, wer den Vorfall bewertet, welche Maßnahmen eingeleitet werden und wer informiert werden muss.

Was kostet eine verspätete Reaktion?

Die Folgen eines Sicherheitsvorfalls hängen stark davon ab, wie früh ein Unternehmen reagiert. Die Unternehmensgröße bietet dabei keinen verlässlichen Schutz. Viele Angriffe laufen automatisiert ab und suchen große Adressbereiche nach erreichbaren und verwundbaren Systemen ab.

Ein einzelner kompromittierter Benutzer kann zunächst wie ein begrenztes Problem wirken. Kann der Angreifer den Zugang jedoch nutzen, um weitere Konten oder Systeme zu kompromittieren, wächst der Umfang des Vorfalls. Gleichzeitig wird die spätere Aufarbeitung aufwendiger und schwieriger.

„Wenn ich zu lange warte, dann steigen die Kosten nicht linear, sondern fast multiplikativ.“

Thomas Ringhof, Incident Responder und digitaler Forensiker bei r-tec

Genau deshalb sollte ein Unternehmen nicht darauf warten, dass ein Angriff eindeutig erkennbar wird. Ziel muss sein, verdächtige Aktivitäten möglichst früh zu erkennen und schnell reagieren zu können.

Incident Response vorbereiten: Was Unternehmen tun können

Eine gute Incident Response beginnt lange vor dem eigentlichen Sicherheitsvorfall. Unternehmen sollten zunächst für ausreichende Sichtbarkeit sorgen und prüfen, welche Systeme und Aktivitäten überwacht werden und welche Log-Daten zur Verfügung stehen.

Darauf aufbauend sollten Verantwortlichkeiten und konkrete Abläufe definiert werden. Für typische Szenarien können Incident-Response-Playbooks festlegen, welche Informationen gesammelt, welche Ansprechpartner eingebunden und welche technischen Maßnahmen eingeleitet werden müssen.

Wichtig ist außerdem, die Prozesse regelmäßig praktisch zu überprüfen. Incident-Response-Simulationen zeigen, ob Meldewege und Entscheidungen im Ernstfall funktionieren. Penetrationstests können zusätzliche Schwachstellen und mögliche Angriffswege sichtbar machen. Die Ergebnisse fließen anschließend in Monitoring, Playbooks und technische Schutzmaßnahmen ein.

Vier Schritte schaffen eine belastbare Grundlage:

1. Relevante Log-Daten zentral verfügbar machen
2. Verantwortlichkeiten und Eskalationswege klären
3. Playbooks für typische Angriffsszenarien vorbereiten
4. Abläufe durch Simulationen und Tests regelmäßig prüfen

Die Zukunft der Incident Response

Künstliche Intelligenz und Automatisierung können große Mengen an Sicherheitsdaten schneller analysieren und Forensikern erste Leads liefern. Ein Modell kann beispielsweise auf auffällige Zusammenhänge hinweisen und so die erste Sichtung beschleunigen.

Die fachliche Bewertung bleibt entscheidend. Expertinnen und Experten prüfen die Hinweise, ordnen sie in den Unternehmenskontext ein und entscheiden über die nächsten Schritte. So reduziert Automatisierung den Lärm in den Daten und schafft mehr Zeit für die eigentliche Analyse.

Gleichzeitig entwickeln sich die Methoden der Angreifer weiter. Prozesse, Monitoring und Playbooks müssen daher regelmäßig überprüft und angepasst werden.

Fazit: Im Ernstfall darf keine Zeit verloren gehen

Incident Response beginnt nicht erst in dem Moment, in dem ein Unternehmen einen Cyberangriff bestätigt. Sie beginnt bereits mit der Vorbereitung.

Wer seine IT-Umgebung überwacht, relevante Log-Daten verfügbar macht, Verantwortlichkeiten definiert und konkrete Szenarien vorbereitet, schafft eine deutlich bessere Grundlage für den Ernstfall.

Denn wenn ein Angriff tatsächlich stattfindet, bleibt keine Zeit für grundlegende Überlegungen.

Reagieren statt hoffen bedeutet deshalb vor allem: vorbereitet sein, sichtbar machen, was passiert, und im entscheidenden Moment handeln können.

Klassisches Backup Monitoring konzentriert sich häufig auf Statusmeldungen und einzelne Fehler. In komplexen Umgebungen fehlt dabei der Zusammenhang zwischen Backup-Prozess, Backup-Server, Storage, Virtualisierung und den tatsächlich gesicherten Systemen. So können Silent Failures unentdeckt bleiben, während zu viele irrelevante Warnungen Alert Fatigue auslösen.

Im Experteninterview erklärt Björn Albers, Lead Support und Business Operations Manager bei BACKUP EAGLE®, warum Advanced Backup Monitoring auf unabhängige Überwachung, historische Vergleiche und eine zentrale Sicht auf die gesamte Backup-Umgebung setzt.

Das Wichtigste in Kürze

• Ein erfolgreicher Backup-Job belegt noch keine zuverlässige Wiederherstellung.
• Silent Failures zeigen sich etwa durch fehlende Systeme, auffällige Datenmengen oder einen gescheiterten Restore.
• Viele irrelevante Warnungen führen zu Alert Fatigue. Kritische Meldungen können dadurch übersehen werden.
• Recovery-Validierung verbindet automatisierte technische Prüfungen mit dokumentierten manuellen Kontrollen.
• Backup Observability verknüpft Backup, Virtualisierung und Storage, damit Ursachen schneller erkennbar werden.
• Ein unabhängiges, herstellerneutrales Monitoring schafft Transparenz über verschiedene Backup-Systeme hinweg.
• Audit-sichere Protokolle halten Bewertungen, Änderungen und Recovery-Tests nachvollziehbar fest.

 Backup Monitoring ist mehr als ein grüner Status

Viele Backup-Systeme arbeiten mit einem einfachen Prinzip: Ein Job läuft erfolgreich durch und wird anschließend als „Success“ angezeigt. Schlägt der Job fehl, erscheint ein Fehler und das IT-Team kann reagieren.

In der Praxis kann ein Job erfolgreich durchlaufen, obwohl eine neue virtuelle Maschine nie in die Sicherung aufgenommen wurde oder ein vergessenes System ungeschützt bleibt. Auch eine ungewöhnlich kleine Backup-Datenmenge kann auf eine Lücke hinweisen.

Die Qualität des Backups und die Qualität seiner Überwachung sind deshalb zwei getrennte Fragen.

Ein zuverlässiges Monitoring prüft den gesamten Zusammenhang: Welche Maschinen müssen gesichert werden, wie ist der Backup-Server konfiguriert, steht ausreichend Storage zur Verfügung und lässt sich die Sicherung wiederherstellen?

Silent Failures: Wenn das Monitoring nichts meldet

Besonders problematisch sind sogenannte Silent Failures. Dabei handelt es sich vereinfacht gesagt um Fehlerzustände, bei denen das System keinen offensichtlichen Alarm auslöst.

Das kann passieren, wenn eine neue virtuelle Maschine nie in den Backup-Plan aufgenommen wird, ein ganzer Backup-Server in der Überwachung fehlt oder die gesicherte Datenmenge ohne erkennbaren Grund stark abweicht.

Historische Vergleiche helfen dabei, solche Auffälligkeiten zu erkennen. Backup-Größen, geschützte Systeme und der verfügbare Speicher werden über längere Zeit betrachtet und miteinander abgeglichen.

Dazu können beispielsweise folgende Fragen gehören:

• Sind alle erwarteten Maschinen und virtuellen Systeme im Backup enthalten?
• Ist ein neues oder bislang vergessenes System ungeschützt?
• Weicht die Backup-Größe auffällig von früheren Sicherungen ab?
• Passt die Größe des Backup-Storage zur Zahl der gesicherten Systeme?
• Sind Backup-Server, Virtualisierung und Storage vollständig angebunden?
• Wurde eine Wiederherstellung geprüft und nachvollziehbar dokumentiert?

Im Interview nennt Björn ein Praxisbeispiel: Erst die Einbindung des Virtual Centers machte sichtbar, dass zahlreiche virtuelle Maschinen ungeschützt waren. Der fehlende Backup-Server war zuvor im Monitoring übersehen worden.

False Positives und Alert Fatigue: Wenn Warnungen an Wirkung verlieren

False Positives sind Warnungen, die sich bei der Prüfung als unkritisch oder für die konkrete Umgebung als irrelevant erweisen. Björn nennt als Beispiel temporäre Dateien, die während des Backups in Benutzung sind und deshalb nicht gesichert werden.

Erzeugt ein Backup-Tool täglich sehr viele solcher Meldungen, sinkt die Aufmerksamkeit. Eine kritische Warnung kann in der Menge untergehen. Genau das beschreibt Alert Fatigue.

„Wenn über Monate hinweg täglich dieselben Fehlermeldungen eingehen, schaut irgendwann niemand mehr genau hin.“

Björn Albers, Lead Support und Business Operations Manager von BACKUP EAGLE®

Ein lernendes System kann bekannte, unkritische Meldungen für die jeweilige Umgebung einordnen und die Entscheidung audit-sicher dokumentieren.

Ändert sich die Situation oder tritt ein kritischer Fehler auf, wird weiterhin alarmiert. Das System muss gepflegt werden und lernt die Besonderheiten der Umgebung mit der Zeit besser kennen.

So sinkt die Zahl irrelevanter Meldungen, ohne dass die Nachvollziehbarkeit verloren geht.

Was Advanced Backup Monitoring ausmacht

Björn empfiehlt ein unabhängiges und herstellerneutrales Monitoring. Nutzt das Backup-System ausschließlich die Überwachung desselben Herstellers, können blinde Flecken entstehen. Eine unabhängige Instanz prüft die Umgebung aus einer eigenen Perspektive.

Dazu gehört der vollständige Kontext aus Backup-Prozessen, Backup-Servern, Konfigurationen, Virtualisierung und Storage. Historische Vergleiche zeigen, wenn Sicherungen plötzlich deutlich kleiner oder größer werden oder Maschinen aus dem Schutz herausfallen.

In vielen Unternehmen laufen mehrere Lösungen parallel, etwa für Cloud-Dienste, virtuelle Maschinen, physische Systeme, Datenbanken und Microsoft 365. Eine zentrale Plattform verbindet diese Daten und unterstützt ein einheitliches Backup Reporting.

Zur Recovery-Validierung gehören technische Restore-Prozesse und manuelle Prüfungen. BACKUP EAGLE® erkennt Wiederherstellungen in den Logs, analysiert den technischen Ablauf und dokumentiert ergänzende manuelle Kontrollen. Das ist vor allem bei komplexen Systemverbünden wichtig.

Alle Bewertungen und Änderungen sollten audit-sicher nachvollziehbar sein. Dazu gehören der Grund einer Neueinstufung, der verantwortliche Nutzer oder das System sowie der jeweilige Zeitpunkt. Diese Dokumentation liefert belastbare Nachweise für Prüfungen und Audits.

Warum Backup Monitoring kein autonomes System sein muss

Björn widerspricht der Vorstellung, dass Backup Monitoring zu einem autonomen System werden müsse. Self-Healing kann im Backup-System stattfinden. Aufgabe des Monitorings ist es, solche Abläufe zuverlässig zu erkennen und einzuordnen.

Startet ein fehlgeschlagenes Backup automatisch neu und läuft anschließend erfolgreich durch, kann das Monitoring den ursprünglichen Fehler audit-sicher neu bewerten. Dadurch entsteht kein unnötiges Ticket, während der gesamte Verlauf dokumentiert bleibt.

Automatisierung unterstützt damit vor allem die Bewertung und Dokumentation. Die Wiederherstellung komplexer Systemverbünde kann weiterhin manuelle Prüfungen erfordern.

Für ein resilientes Monitoring empfiehlt Björn eine separate Infrastruktur oder zumindest eine getrennte virtuelle Maschine. Die Lösung sollte herstellerneutral sein und lokale sowie cloudbasierte Backup-Systeme unterstützen.

Fazit

Advanced Backup Monitoring schafft eine unabhängige und herstellerübergreifende Sicht auf Backup-Prozesse, Server, Storage, Virtualisierung und gesicherte Systeme.

Historische Vergleiche machen auffällige Veränderungen sichtbar. Lernende Regeln reduzieren irrelevante Warnungen, während Recovery-Tests und manuelle Prüfschritte nachvollziehbar dokumentiert werden.

Ein grüner Status allein reicht für diese Bewertung nicht aus. Entscheidend ist der vollständige Kontext der Backup- und Recovery-Umgebung.

Eine unabhängige Überwachung kann blinde Flecken aufdecken und die tatsächliche Wiederherstellbarkeit besser belegen.

Damit gewinnen IT-Teams mehr Transparenz, reduzieren Alert Fatigue und erhalten audit-fähige Nachweise über ihre Backup- und Recovery-Prozesse.

Unternehmen entdecken häufig mehr Schwachstellen, als ihre IT-Teams kurzfristig beheben können. Eine reine Sortierung nach dem CVSS-Score hilft bei der Priorisierung nur begrenzt. So kann eine mittel bewertete Lücke auf einem öffentlich erreichbaren Webserver dringender sein als eine höher bewertete Schwachstelle in einem abgeschotteten internen System. Für die Reihenfolge zählen die praktische Ausnutzbarkeit und die Bedeutung des betroffenen Systems.

Im Experteninterview erklärt Stefan Kappey, Service Owner Schwachstellenmanagement bei accompio, warum der CVSS-Score nur den Ausgangspunkt bildet. Er zeigt, wie Exploitability und der individuelle Unternehmenskontext die Priorität verändern und wie Tenable mit dem dynamisch berechneten Vulnerability Priority Rating, kurz VPR, zusätzliche Orientierung schafft.

Das Wichtigste in Kürze

• Der CVSS-Score macht die technische Schwere verschiedener Schwachstellen vergleichbar.
• CVSS 3.x arbeitet mit Base, Temporal und Environmental. CVSS 4.0 verwendet Base, Threat, Environmental und Supplemental.
• Base beschreibt feste technische Merkmale wie den Angriffsweg, notwendige Berechtigungen und mögliche Auswirkungen.
• Temporal beziehungsweise Threat berücksichtigt aktuelle Entwicklungen wie verfügbare Exploits und eine beobachtete Ausnutzung.
• Environmental bezieht die konkrete IT-Umgebung, die Bedeutung des Systems und vorhandene Schutzmaßnahmen ein.
• Tenable ergänzt den CVSS-Score mit dem täglich aktualisierten Vulnerability Priority Rating. Unternehmenskontext und fachliche Erfahrung bestimmen die abschließende Priorität.

CVSS als Grundlage für die Schwachstellenbewertung

Das Common Vulnerability Scoring System, kurz CVSS, ist ein etablierter Standard zur Bewertung der technischen Schwere von Sicherheitslücken. Der daraus resultierende Score soll Unternehmen dabei helfen, Schwachstellen einheitlich einzuschätzen und miteinander zu vergleichen, um ein vereinfachtes Schwachstellenmanagement zu ermöglichen.

Dabei berücksichtigt CVSS verschiedene Eigenschaften einer Schwachstelle. Dazu zählen beispielsweise die notwendige Zugriffsmöglichkeit, die erforderlichen Privilegien oder die Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit eines betroffenen Systems.

CVSS 3.x unterscheidet zwischen Base, Temporal und Environmental. Base erfasst feste technische Eigenschaften wie den Angriffsvektor, notwendige Berechtigungen und mögliche Auswirkungen. Temporal berücksichtigt Entwicklungen im Zeitverlauf, etwa die Verfügbarkeit eines Exploits. Environmental passt die Bewertung an die konkrete IT-Umgebung an. In CVSS 4.0 heißt Temporal nun Threat. Hinzu kommt die Gruppe Supplemental für weitere Kontextinformationen.

Ein CVSS-Score beschreibt zunächst die technische Schwere einer Schwachstelle. Das konkrete Risiko für ein Unternehmen lässt sich daraus allein nicht ableiten.

Stefan Kappey nennt im Interview ein anschauliches Beispiel: Eine mittel bewertete Schwachstelle auf einem öffentlich erreichbaren Webserver kann Angreifern den ersten Zugang zum Unternehmen ermöglichen. Ihre Behebung kann daher dringender sein als ein fehlendes Update auf einem abgeschotteten internen System.

Warum der CVSS-Score allein nicht für die Priorisierung reicht

In der Praxis entstehen schnell lange Listen mit Schwachstellen, die nach ihrem CVSS-Score sortiert sind. Genau hier liegt eine der größten Herausforderungen im Schwachstellenmanagement.

Der Score zeigt die technische Schwere. Für die Reihenfolge der Maßnahmen braucht es weitere Informationen zum betroffenen System, zur Erreichbarkeit und zur aktuellen Bedrohungslage.

Dazu gehören beispielsweise:

• Ist das betroffene System aus dem Internet erreichbar?
• Welche Rolle spielt das System für das Unternehmen?
• Welche Daten werden darauf verarbeitet?
• Befindet sich das System in einem besonders geschützten Netzwerksegment?
• Welche Zugriffsmöglichkeiten bestehen für potenzielle Angreifer?
• Gibt es bereits einen öffentlich verfügbaren Exploit?
• Wird die Schwachstelle aktiv von Angreifern ausgenutzt?
• Welche zusätzlichen Sicherheitsmaßnahmen schützen das System?

Damit wird aus einer rein technischen Bewertung eine risikobasierte Priorisierung.

Exploitability: Wie real ist die Bedrohung?

Ein entscheidender Faktor ist die sogenannte Exploitability. Sie beschreibt vereinfacht gesagt, wie gut eine Schwachstelle tatsächlich ausgenutzt werden kann.

Manche Sicherheitslücken sind technisch vorhanden, lassen sich unter realistischen Bedingungen jedoch nur schwer ausnutzen. Andere entwickeln trotz eines moderaten Scores eine hohe Dringlichkeit, sobald ein funktionierender Exploit öffentlich verfügbar ist.

Für Security-Teams sind deshalb zusätzliche Informationen wichtig. Dazu zählen beispielsweise öffentlich verfügbare Exploits, Proof-of-Concept-Code, Exploit-Kits oder Hinweise darauf, dass eine Schwachstelle bereits aktiv in Angriffen verwendet wird.

Das heißt, ich drücke auf den Knopf, warte ein paar Sekunden und habe meinen Zugang.

Stefan Kappey, Service Owner Schwachstellenmanagement bei accompio

Der Unternehmenskontext entscheidet über das tatsächliche Risiko

Neben CVSS und Exploitability ist vor allem der Kontext des jeweiligen Unternehmens entscheidend.

Ein und dieselbe Schwachstelle kann auf zwei Systemen völlig unterschiedliche Prioritäten besitzen. Ein öffentlich erreichbarer Server mit direkter Verbindung zu kritischen Unternehmensdaten ist anders zu bewerten als ein vergleichbares System in einem isolierten Netzwerksegment.

Auch die Geschäftskritikalität spielt eine wichtige Rolle. Fällt ein System aus oder wird kompromittiert, können je nach Einsatzbereich völlig unterschiedliche Konsequenzen entstehen.

Eine sinnvolle Priorisierung berücksichtigt deshalb mindestens drei Ebenen:

• Technische Schwere: Wie kritisch ist die Schwachstelle grundsätzlich?
• Ausnutzbarkeit: Wie wahrscheinlich und einfach ist eine tatsächliche Ausnutzung?
• Unternehmensrisiko: Welche Auswirkungen hätte eine erfolgreiche Ausnutzung in der konkreten Umgebung?

Erst aus der Kombination dieser Faktoren entsteht ein belastbares Bild.

Tenable VPR ergänzt die statische Bewertung

CVSS bildet viele technische Eigenschaften einer Schwachstelle ab. Der Score bleibt über weite Teile ihres Lebenszyklus stabil. Die reale Bedrohungslage kann sich innerhalb kurzer Zeit verändern.

Tenable nutzt dafür das Vulnerability Priority Rating (VPR). Die Kennzahl wird täglich neu berechnet. Sie bezieht den CVSS-Score sowie aktuelle Informationen zu verfügbaren Exploits, Angriffsaktivitäten und weiteren Bedrohungssignalen ein. Nach Angaben von Tenable können dabei auch Erkenntnisse aus dem Darknet berücksichtigt werden. VPR unterstützt Security-Teams dabei, große Mengen an Findings schneller zu ordnen. Die Bewertung des betroffenen Systems, vorhandener Schutzmaßnahmen und möglicher Folgen bleibt Aufgabe des Unternehmens.

Wie funktioniert Schwachstellenmanagement in der IT?

Schwachstellenmanagement umfasst das Erfassen, Bewerten, Priorisieren und Beheben von Sicherheitslücken. Eine vollständige Sicht auf die IT-Landschaft hilft dabei, ausnutzbare Schwachstellen auf kritischen Systemen zuerst zu behandeln und den Erfolg der Maßnahmen anschließend zu überprüfen.

Typische Fehler bei der Schwachstellenpriorisierung

Probleme entstehen häufig, wenn Security-Teams ihre Reihenfolge zu stark an einer einzelnen Kennzahl ausrichten.

Bei einer reinen Sortierung nach CVSS landen hohe Scores automatisch ganz oben auf der Liste. Die Erreichbarkeit des Systems, vorhandene Schutzmaßnahmen und die Bedeutung für den Geschäftsbetrieb bleiben dabei leicht unberücksichtigt.

Ein weiterer Fehler ist eine fehlende Aktualisierung der Bewertung. Schwachstelleninformationen verändern sich kontinuierlich. Was gestern noch als theoretisches Risiko galt, kann heute bereits durch einen öffentlich verfügbaren Exploit zu einer akuten Bedrohung werden.

Auch fehlende Informationen über die eigene IT-Landschaft erschweren die Priorisierung. Wer nicht weiß, welche Systeme besonders kritisch sind oder welche Assets aus dem Internet erreichbar sind, kann Risiken nur eingeschränkt bewerten.

Auch betriebliche Rahmenbedingungen beeinflussen die Umsetzung. Updates benötigen Tests, Wartungsfenster und klar definierte Patch-Prozesse. Security-Teams sollten deshalb dokumentieren, warum eine Maßnahme sofort umgesetzt, geplant oder vorübergehend zurückgestellt wird.

Fazit

Eine belastbare Schwachstellenpriorisierung verbindet den CVSS-Score mit Exploitability, Threat Intelligence und dem individuellen Unternehmenskontext. Dynamische Kennzahlen wie das VPR von Tenable helfen dabei, Veränderungen der Bedrohungslage schneller in die Bewertung aufzunehmen. Die höchste Dringlichkeit erhält die Schwachstelle, die im konkreten Unternehmen das größte Risiko verursacht.

Ein wirksames Schwachstellenmanagement schafft Transparenz über Systeme und Angriffswege. Es macht technische Findings für Security-Teams und Verantwortliche nachvollziehbar und führt zu einer klaren Reihenfolge für Patches und weitere Schutzmaßnahmen.

Timur Yilmaz, Service Owner für Security Validation bei accompio, erlebt in der Praxis regelmäßig, wie unsichere Passwörter Unternehmen gefährden. Bei Sicherheitsüberprüfungen und Password Checks werden Passwörter gezielt auf ihre Sicherheit geprüft – mit teilweise ernüchternden Ergebnissen. Im Experteninterview erklärt er, wie Angreifer an Passwörter gelangen, welche Fehler besonders häufig vorkommen und wie sich sichere Passwörter im Alltag tatsächlich umsetzen lassen.

Das Wichtigste in Kürze

• Länge ist entscheidend: Ein sicheres Passwort sollte möglichst lang sein. Passphrasen sind dabei eine praktische Möglichkeit, lange und dennoch merkbare Passwörter zu verwenden.
• Passwörter niemals wiederverwenden: Wird ein Passwort durch ein Datenleck bekannt, können Angreifer versuchen, es auch bei anderen Diensten und Unternehmenszugängen einzusetzen.
• Persönliche Informationen vermeiden: Namen, Geburtsdaten, Haustiere, Orte oder andere persönliche Bezüge eignen sich nicht als Passwort.
• Passwort-Manager erleichtern sichere Passwörter: Nutzer müssen sich dadurch nur noch ein einziges starkes Master-Passwort merken. Die übrigen Passwörter können automatisch generiert und sicher verwaltet werden.
• Multi-Faktor-Authentifizierung bleibt wichtig: Selbst wenn ein Passwort kompromittiert wurde, kann ein zusätzlicher Faktor den Zugriff weiterhin verhindern.
• Passwortrichtlinien allein reichen nicht: Unternehmen sollten Mitarbeitende konkret schulen und vermitteln, wie sichere Passwörter entstehen und warum bestimmte Verhaltensweisen riskant sind.
• Passwörter werden nicht so schnell verschwinden: Biometrische Verfahren können die Nutzung komfortabler machen. Ein Passwort bleibt jedoch häufig als Fallback bestehen.

Passwort-Sicherheit in der Praxis: Warum einfache Passwörter immer noch ein Problem sind

„SommerPflanze2025!“ oder „123456“ – Passwörter dieser Art begegnen Security-Experten noch immer regelmäßig. Auch Passwörter mit persönlichem Bezug, etwa Namen aus der Familie, Haustiere, Geburtsdaten oder bekannte Orte, sind problematisch.

Timur Yilmaz kennt diese Muster aus seiner täglichen Arbeit. Als Service Owner für Security Validation begleitet er Sicherheitsüberprüfungen und Security Audits bei Kunden. Dazu gehören auch Passwort-Checks, bei denen geprüft wird, wie sicher die im Unternehmen verwendeten Passwörter tatsächlich sind.

Das Ergebnis zeigt ein grundlegendes Problem: Technische Sicherheitsmaßnahmen können noch so umfangreich sein; wenn Zugangsdaten einfach zu erraten oder bereits an anderer Stelle kompromittiert worden sind, entsteht eine erhebliche Schwachstelle.

Wie gelangen Angreifer an Passwörter?

Passwörter können auf unterschiedlichen Wegen in die Hände von Angreifern gelangen. Ein besonders häufiges Szenario ist Phishing: Nutzer erhalten beispielsweise eine E-Mail mit einem Link, der zu einer gefälschten Login-Seite führt. Wird dort das Passwort eingegeben, können Angreifer die Zugangsdaten abgreifen.

Eine weitere Gefahr sind Datenlecks. Wird ein Online-Dienst kompromittiert, können dabei gespeicherte Zugangsdaten beziehungsweise Passwortdaten in die Hände von Angreifern gelangen. Diese Informationen können anschließend mit anderen bekannten Zugangsdaten abgeglichen werden.

Genau hier zeigt sich, warum Passwort-Wiederverwendung so gefährlich ist: Ein Passwort, das bei einem privaten Dienst kompromittiert wurde, kann zum Risiko für den Zugang zu Unternehmenssystemen werden, wenn dasselbe Passwort dort ebenfalls verwendet wird.

Was ist ein wirklich sicheres Passwort?

Bei der Frage, was ein sicheres Passwort ausmacht, steht für Timur Yilmaz vor allem ein Faktor im Mittelpunkt: die Länge.

Je länger ein Passwort ist, desto besser. Statt kurzer, komplex wirkender Zeichenfolgen können deshalb auch lange Passphrasen eingesetzt werden. Sie haben einen weiteren Vorteil: Lange Passwörter lassen sich häufig leichter merken, wenn sie aus mehreren Wörtern bestehen.

Gleichzeitig sollte ein Passwort keinen persönlichen Bezug haben. Namen, Geburtsdaten, Haustiere, Lieblingsorte oder andere Informationen, die sich über die betreffende Person herausfinden lassen, sollten nicht Bestandteil eines Passworts sein.

„Alles was einen persönlichen Bezug hat, sollte kein Passwort sein. Ich kenne meine Passwörter nicht. Ich kenne ein einziges Passwort – das für meinen Passwortmanager.“

— Timur Yilmaz, Service Owner bei accompio

Ein gutes Passwort ist also nicht zwingend das komplizierteste Passwort. Entscheidend ist vor allem, dass es lang, einzigartig und nicht aus persönlichen oder leicht vorhersehbaren Informationen abgeleitet ist.

Warum ein Passwort-Manager sinnvoll ist

Ein Passwort-Manager löst eines der größten praktischen Probleme bei der Passwort-Sicherheit: Niemand muss sich mehr dutzende komplexe Passwörter merken.

Stattdessen wird ein starkes Master-Passwort benötigt. Darin können die übrigen Zugangsdaten gespeichert und verwaltet werden. Ein Passwort-Manager kann zudem sichere, zufällige Passwörter generieren, die aus vielen Zeichen bestehen und keinen persönlichen Bezug haben.

Timur Yilmaz nutzt selbst einen Passwort-Manager – sowohl privat als auch im Unternehmen. Dadurch kennt er seine einzelnen Passwörter nicht einmal auswendig. Stattdessen wird für jeden Dienst ein eigenes, langes Passwort verwendet.

Reicht ein sicheres Passwort aus? Die Rolle der Multi-Faktor-Authentifizierung

Auch ein starkes Passwort sollte nicht die einzige Schutzmaßnahme sein. Eine wichtige zusätzliche Sicherheitsstufe ist die Multi-Faktor-Authentifizierung (MFA).

Dabei wird der Login nicht allein durch das Passwort abgesichert. Zusätzlich muss ein weiterer Faktor bestätigt werden – beispielsweise über ein Smartphone, einen Code oder ein biometrisches Verfahren.

Das erhöht die Sicherheit erheblich. Selbst wenn ein Angreifer ein Passwort kennt oder knacken konnte, reicht das Passwort allein nicht zwangsläufig aus, um sich Zugang zu einem geschützten Konto zu verschaffen.

Für Unternehmen sollte Multi-Faktor-Authentifizierung deshalb ein wichtiger Bestandteil einer ganzheitlichen Strategie für Identity & Access Security sein.

Passwort-Sicherheit im Unternehmen: Warum Schulungen wichtiger sind als reine Richtlinien

Unternehmen versuchen häufig, sichere Passwörter über verbindliche Passwortrichtlinien durchzusetzen. Vorgaben zu Groß- und Kleinbuchstaben, Zahlen und Sonderzeichen können zwar sinnvoll sein, garantieren jedoch nicht automatisch ein sicheres Passwort.

Ein Beispiel aus der Praxis zeigt das Problem: Ein Nutzer kann ein Passwort wie „SommerPflanze2025!!“ erstellen und damit formell verschiedene Komplexitätsanforderungen erfüllen. Trotzdem bleibt das Passwort vorhersehbar und damit unsicher.

Deshalb sieht Timur Yilmaz Schulungen als einen besonders wichtigen Bestandteil der Passwort-Sicherheit. Mitarbeitende müssen verstehen, wie sichere Passwörter entstehen, warum Passwort-Wiederverwendung gefährlich ist und welche Verhaltensweisen Angreifer ausnutzen können.

Passwort-Sicherheit ist damit nicht ausschließlich eine technische Aufgabe. Sie ist auch eine Frage von Wissen und Verhalten.

Was können Unternehmen konkret für bessere Passwort-Sicherheit tun?

Der erste Schritt besteht darin, den tatsächlichen Zustand zu kennen. Password-Checks und Sicherheitsüberprüfungen können dabei helfen, Schwachstellen sichtbar zu machen.

Darauf aufbauend sollten Unternehmen ihre Mitarbeitenden gezielt sensibilisieren und ihnen konkrete Methoden an die Hand geben. Dazu gehören insbesondere:

• individuelle und lange Passwörter für jeden Zugang,
• die Nutzung eines Passwort-Managers,
• der Verzicht auf persönliche Informationen in Passwörtern,
• keine Wiederverwendung von Unternehmenspasswörtern bei privaten Diensten,
• der Einsatz von Multi-Faktor-Authentifizierung,
• regelmäßige Schulungen und Sensibilisierung der Mitarbeitenden.

So wird aus einer abstrakten Passwortrichtlinie ein Sicherheitskonzept, das sich auch im Arbeitsalltag umsetzen lässt.

Fazit

Wer seine eigene Passwort-Sicherheit verbessern möchte, kann mit wenigen Schritten beginnen: Werden Passwörter mehrfach verwendet? Enthalten sie persönliche Informationen? Sind wichtige Konten zusätzlich durch Multi-Faktor-Authentifizierung geschützt? Und wird bereits ein Passwort-Manager eingesetzt?

Der wichtigste Schritt ist, nicht erst nach einem Sicherheitsvorfall aktiv zu werden. Passwort-Sicherheit sollte ein fester Bestandteil der persönlichen und unternehmerischen IT-Sicherheit sein.

Genau hier entsteht die Resilienz-Lücke.

Was sie verursacht, wie Unternehmen ihre Sicherheitsarchitektur ganzheitlich betrachten sollten und warum echte Cyber Resilience nicht einfach eingekauft werden kann, erklärt Sebastian Bittig, Director of Cyber Defense bei r-tec, im accompio Experteninterview. Bittig beschäftigt sich seit rund 15 Jahren mit Security-Architekturen und verbindet strategische Beratung mit operativer Erfahrung aus Managed Services und Incident Response. r-tec (Teil der accompio Gruppe) ist seit über 25 Jahren auf Cybersecurity spezialisiert und schützt Unternehmen sowie Betreiber kritischer Infrastrukturen in den Bereichen Cloud, OT, IoT und Big Data. Als Teil der accompio-Gruppe bringt r-tec mit einem eigenen Cyber Defense Center, über 100 Sicherheitsexperten, Managed SOC und eigenem CERT genau die technische Tiefe mit, die es braucht, um die im Interview beschriebenen Themen auch in der Praxis umzusetzen.

Das Wichtigste in Kürze

• Hohe Security-Investitionen bedeuten nicht automatisch hohe Resilienz. Entscheidend ist nicht die Anzahl eingesetzter Lösungen, sondern deren Zusammenspiel.
• Die Resilienz-Lücke entsteht häufig durch gewachsene und fragmentierte Security-Landschaften. Einzelne Systeme und Teams funktionieren für sich, sind aber nicht zu einem Gesamtsystem verbunden.
• Prävention bleibt die Basis der IT-Sicherheit, kann aber nicht jeden Angriff verhindern. Was nicht verhindert wird, muss zuverlässig erkannt und anschließend schnell behandelt werden.
• Detektion bildet die wichtige Verbindung zwischen Prävention und Response. Erkenntnisse aus Angriffen sollten zudem zurück in die Prävention fließen.
• Response ist der Realitätstest für die Cyber Resilience eines Unternehmens. Erst im Sicherheitsvorfall zeigt sich, ob Prozesse, Verantwortlichkeiten, Systeme und Menschen tatsächlich funktionieren.
• Resilienz ist nicht nur eine technische Aufgabe. Prozesse, Verantwortlichkeiten, Kommunikation und Zusammenarbeit zwischen Teams und Dienstleistern sind ebenso entscheidend.
• Resilienz lässt sich messen und trainieren. Kennzahlen wie Time to Respond und Mean Time to Recover sowie praxisnahe Notfallübungen zeigen, wie schnell ein Unternehmen auf einen Angriff reagieren und wieder handlungsfähig werden kann.
• Der Weg vom Tool-Stack zum Gesamtsystem braucht Zeit. Unternehmen sollten schrittweise vorgehen, bestehende Lösungen integrieren und Verantwortlichkeiten sowie Prozesse klar definieren.

Cyber Resilience: Warum Security-Investitionen allein nicht ausreichen

Viele Unternehmen investieren heute erhebliche Summen in ihre IT-Sicherheit. Trotzdem entsteht dadurch nicht automatisch ein höheres Maß an Cyber Resilience. Der Grund: Zwischen der Investition in einzelne Sicherheitsmaßnahmen und deren tatsächlicher Wirksamkeit kann eine deutliche Lücke entstehen.

Sebastian Bittig bezeichnet diese Lücke als Resilienz-Lücke. Sie entsteht insbesondere dann, wenn Unternehmen zwar viele Sicherheitsmaßnahmen etabliert haben, diese aber nicht als zusammenhängendes System funktionieren.

Ob ein Unternehmen tatsächlich resilient aufgestellt ist, zeigt sich dabei häufig erst dann, wenn ein echter Sicherheitsvorfall eintritt. Dann wird sichtbar, ob Erkennung, Kommunikation und Reaktion funktionieren – oder ob zwischen den einzelnen Sicherheitsbereichen Brüche bestehen.

Die Resilienz-Lücke entsteht häufig durch gewachsene Security-Landschaften

Ein typisches Problem vieler Unternehmen ist eine über Jahre gewachsene Sicherheitsarchitektur. Neue Lösungen werden ergänzt, wenn sich neue Anforderungen ergeben oder neue Bedrohungen entstehen. Was dabei häufig fehlt, ist eine übergeordnete Betrachtung des Gesamtsystems.

„Vor vielen Jahren hat man angefangen mit Antivirus. Nach und nach sind dann weitere Lösungen dazugekommen. In vielen Fällen wurde dabei nicht von Anfang an berücksichtigt, wie die einzelnen Systeme miteinander funktionieren und welche Informationen zwischen ihnen ausgetauscht werden müssen.“

— Sebastian Bittig, Director of Cyber Defense bei r-tec (Teil der accompio-Gruppe)

So entstehen Security-Silos: Einzelne Lösungen arbeiten technisch durchaus zuverlässig, liefern ihre Erkenntnisse aber nicht automatisch an die nächste Stelle in der Sicherheitskette.

Im Ernstfall kann genau das zum Problem werden. Informationen müssen manuell zusammengetragen werden, Verantwortlichkeiten sind nicht eindeutig oder relevante Hinweise werden zu spät erkannt. Das kostet vor allem eines: Zeit.

Und Zeit ist bei einem laufenden Cyberangriff ein entscheidender Faktor.

Prävention, Detektion und Response müssen als Gesamtsystem funktionieren

Drei funktionierende Einzelbereiche ergeben noch kein resilientes Unternehmen.

Entscheidend ist das Zusammenspiel aus Prävention, Detektion und Response. Alle drei Bereiche müssen Informationen austauschen, aufeinander aufbauen und gemeinsam auf ein Ziel einzahlen: einen Sicherheitsvorfall möglichst zu verhindern, frühzeitig zu erkennen, schnell einzudämmen und den Geschäftsbetrieb möglichst rasch wiederherzustellen.

Dafür braucht es mehr als einzelne Security-Tools.

Im Cyber Resilience Assessment werden genau diese Faktoren verprobt. Eine funktionierende Security-Architektur besteht laut Bittig aus dem Zusammenspiel von Technik, Prozessen und Menschen. Die eingesetzten Systeme müssen miteinander kommunizieren, Datenflüsse müssen funktionieren und Verantwortlichkeiten müssen klar geregelt sein.

Cyber Resilience ist auch ein organisatorisches Thema

Die Resilienz-Lücke ist deshalb nicht ausschließlich ein technisches Problem. Auch die Organisation eines Unternehmens spielt eine entscheidende Rolle.

Eine Investition in eine Sicherheitslösung muss organisatorisch begleitet werden. Prozesse müssen definiert, Verantwortlichkeiten festgelegt und Zuständigkeiten regelmäßig überprüft werden.

Besonders kritisch wird es, wenn Informationen oder Ansprechpartner nicht mehr aktuell sind. Bittig berichtet von einem Ransomware-Vorfall, bei dem ein Angriff zwar durch das eingesetzte SIEM erkannt wurde, die Reaktion aber dennoch ins Stocken geriet.

Der Grund war nicht die fehlende technische Erkennung. Vielmehr war der primäre Ansprechpartner des Kunden nicht mehr erreichbar, die hinterlegten Kontakte waren nicht aktuell und es gab keine ausreichende Bereitschaftsregelung für das Wochenende.

Das Beispiel zeigt: Ein erkanntes Security Event ist noch kein gelöster Sicherheitsvorfall.

Erst wenn aus der Erkennung eine definierte und schnelle Reaktion wird, entsteht tatsächliche Resilienz.

Wie lässt sich Cyber Resilience messen?

Resilienz ist kein abstraktes Ziel, sondern lässt sich anhand konkreter Kennzahlen und Übungen bewerten.

Zu den relevanten Größen gehören beispielsweise:

• Mean Time to Detect: Wie schnell erkennt ein Unternehmen einen Sicherheitsvorfall überhaupt?
• Mean Time to Respond: Wie schnell reagiert das Unternehmen darauf?
• Mean Time to Recover: Wie lange dauert es, bis Systeme und Prozesse wiederhergestellt sind und die Handlungsfähigkeit zurückkehrt?

Alle drei Kennzahlen geben wichtige Hinweise darauf, wie gut die Response-Prozesse tatsächlich funktionieren.

Dabei sollte der Blick nicht ausschließlich auf technische Kennzahlen gerichtet sein. Entscheidend ist letztlich der Outcome: Wie schnell wird ein Angriff erkannt? Wie schnell kann das Unternehmen reagieren? Und wie schnell ist der normale Betrieb wiederhergestellt?

Praxisbeispiel: Wenn ein erkannter Angriff trotzdem zum Problem wird

Ein besonders anschauliches Beispiel aus Bittigs Praxis ist ein Ransomware-Vorfall bei einem Neukunden.

Das Unternehmen verfügte bereits über einen Managed SOC Service und hatte gute Audit-Berichte. Auch technisch funktionierte die Detektion: Das eingesetzte SIEM erkannte den Angriff und der zuständige Service Provider informierte den Kunden.

Trotzdem kam die Reaktion zunächst nicht ausreichend in Gang.

Der entscheidende Schwachpunkt lag in der Organisation: Der hinterlegte primäre Ansprechpartner war inzwischen nicht mehr im Unternehmen. Am Wochenende war zudem niemand erreichbar und es gab keine ausreichend definierte Bereitschaft des Providers.

Technisch war der Angriff also erkannt worden. Das Gesamtsystem war trotzdem nicht handlungsfähig.

Den Unterschied hätten klar definierte Prozesse, aktuelle Ansprechpartner und festgelegte Befugnisse gemacht. Insbesondere für bestimmte Szenarien sollte bereits vorab geregelt sein, welche Maßnahmen ein Dienstleister selbstständig einleiten darf.

Das Beispiel verdeutlicht die zentrale Aussage des Interviews: Security Resilience entscheidet sich nicht allein daran, ob ein Angriff erkannt wird – sondern daran, was danach passiert.

Der Druck, sich mit Resilienz auseinanderzusetzen, kommt inzwischen auch von außen. Regulatorische Vorgaben wie NIS-2 und DORA verpflichten viele Unternehmen dazu, sich mit dem Thema aktiv zu beschäftigen, statt es aufzuschieben, bis ein Vorfall sie dazu zwingt.

Was Unternehmen beim Aufbau von Cyber Resilience vermeiden sollten

Eine der größten Gefahren ist, zu viel auf einmal verändern zu wollen.

Der Aufbau eines funktionierenden Security-Gesamtsystems kann Monate oder sogar Jahre dauern. Unternehmen sollten deshalb nicht versuchen, die gesamte Sicherheitsarchitektur in einer kurzen Workshop-Serie neu aufzubauen.

Stattdessen empfiehlt sich ein schrittweises Vorgehen:

1. Reifegrad und bestehende Architektur analysieren
2. Sicherheitslücken und Brüche zwischen den Bereichen identifizieren
3. Bestehende Tools sinnvoll miteinander verbinden
4. Verantwortlichkeiten und Prozesse definieren
5. Response-Szenarien und Befugnisse festlegen
6. Das Gesamtsystem regelmäßig testen und weiterentwickeln

So entsteht Schritt für Schritt ein Sicherheitsmodell, das nicht nur auf dem Papier funktioniert, sondern auch im Ernstfall handlungsfähig bleibt.

Fazit

Die Resilienz-Lücke entsteht dort, wo einzelne Security-Maßnahmen zwar funktionieren, aber kein funktionierendes Gesamtsystem bilden. Echte Cyber Resilience entsteht im Zusammenspiel und lässt sich nicht einfach erkaufen.

Prävention, Detektion und Response dürfen deshalb nicht isoliert betrachtet werden. Sie müssen ineinandergreifen, Informationen austauschen und durch klare Prozesse und Verantwortlichkeiten miteinander verbunden sein.

Dabei spielen nicht nur Technologien eine Rolle. Menschen, Prozesse und Technik müssen gemeinsam funktionieren.

Die eigentlich entscheidende Frage ist deshalb gar nicht mehr, welche Security-Lösung als Nächstes angeschafft werden sollte. Viel wichtiger ist: Funktioniert das gesamte System auch dann noch, wenn es wirklich drauf ankommt?rn:

„Wie stellen wir sicher, dass unser gesamtes Security-System im Ernstfall funktioniert?“

Denn genau dort entscheidet sich echte Cyber Resilience.

Über den Experten

Sebastian ist Security-Experte und berät Kunden beim Aufbau resilienter IT-Sicherheitsstrukturen und Security-Systeme. 

LinkedIn

FAQ: Häufige Fragen zu Cyber ResilienceWas bedeutet Cyber Resilience?

Cyber Resilience beschreibt die Fähigkeit eines Unternehmens, Cyberangriffe und Sicherheitsvorfälle zu verhindern, frühzeitig zu erkennen, wirksam darauf zu reagieren und die Handlungsfähigkeit anschließend schnell wiederherzustellen. Entscheidend ist dabei das Zusammenspiel aus Prävention, Detektion und Response.

Was bedeutet Resilienz in der IT?

In der IT beschreibt Resilienz die Fähigkeit von Systemen und Organisationen, auch unter Störungen oder Angriffen funktionsfähig zu bleiben oder sich schnell davon zu erholen. Cyber Resilience ist die Anwendung dieses Prinzips speziell auf IT-Sicherheit und Cyberangriffe.

Was ist die Resilienz-Lücke?

Die Resilienz-Lücke bezeichnet den Abstand zwischen den vorhandenen Security-Investitionen und der tatsächlichen Fähigkeit eines Unternehmens, im Ernstfall wirksam zu handeln. Sie entsteht häufig dann, wenn einzelne Security-Lösungen zwar funktionieren, aber nicht zu einem integrierten Gesamtsystem verbunden sind.

Warum reichen Security-Tools allein nicht aus?

Security-Tools liefern wichtige Funktionen für Prävention, Detektion oder Response. Sie erzeugen jedoch nicht automatisch ein funktionierendes Gesamtsystem. Erst wenn Technik, Prozesse und Menschen zusammenspielen und Informationen sowie Verantwortlichkeiten klar definiert sind, entsteht echte Cyber Resilience.

Welche Rolle spielen Prävention, Detektion und Response?

Prävention soll Angriffe möglichst verhindern. Was nicht verhindert werden kann, muss durch Detektion möglichst schnell erkannt werden. Anschließend sorgt Response dafür, dass geeignete Maßnahmen eingeleitet, Angriffe eingedämmt und betroffene Systeme wiederhergestellt werden. Die drei Bereiche müssen dabei eng miteinander verzahnt sein.

Wie lässt sich Cyber Resilience messen?

Resilienz lässt sich messen und trainieren. Kennzahlen wie Mean Time to Detect, Mean Time to Respond und Mean Time to Recover sowie praxisnahe Notfallübungen zeigen, wie schnell ein Unternehmen einen Angriff erkennt, darauf reagiert und wieder handlungsfähig wird.

Wie können Unternehmen ihre Cyber Resilience verbessern?

Ein sinnvoller Einstieg ist eine Analyse des bestehenden Security-Reifegrads. Angriffssimulationen können dabei helfen, Schwachstellen im Zusammenspiel von Prävention, Detektion und Response sichtbar zu machen. Anschließend sollten Unternehmen bestehende Tools integrieren, Verantwortlichkeiten definieren und Prozesse schrittweise verbessern.

Ist Cyber Resilience nur ein technisches Thema?

Nein. Cyber Resilience ist ein Zusammenspiel aus Technik, Prozessen und Menschen. Unklare Verantwortlichkeiten, veraltete Ansprechpartner oder fehlende Bereitschaftsregelungen können dazu führen, dass ein erkannter Angriff trotzdem nicht schnell behandelt werden kann.

Warum ist Response für Cyber Resilience so wichtig?

Response zeigt, ob ein Unternehmen im Ernstfall tatsächlich handlungsfähig ist. Ein Angriff kann technisch erkannt werden – wenn anschließend jedoch niemand erreichbar ist, Zuständigkeiten unklar sind oder notwendige Befugnisse fehlen, entsteht trotzdem ein erheblicher Zeitverlust und potenziell größerer Schaden.

Bei accompio ist dieser Ansatz unter dem Namen Managed IT Operations gebündelt und umfasst konkret sechs Leistungsbereiche mit jeweils eigenen, klar abgegrenzten Services:

• Backup und Restore, mit Leistungen wie Managed Backup und Cloud Backup Storage
• Identity und Access, mit Leistungen wie Domain Services und Enterprise Password Management
• Monitoring, mit Managed Monitoring und Alerting sowie zentraler Security Logging
• Service Desk, mit Service Desk und Support nach definierten SLAs sowie Managed Application Service
• Asset Management, mit zentraler Verwaltung der IT Assets
• Governance, mit automatisierter Governance für strukturierte IT Administration

Full Managed oder Co-Managed: zwei Modelle von Managed IT Services

Managed IT Services lassen sich in zwei Modelle unterscheiden:

Full Managed Service, bei dem ein Managed Service Provider den gesamten IT-Betrieb übernimmt, und Co-Managed IT, bei dem der Provider eine bestehende interne IT-Abteilung gezielt ergänzt und entlastet.

Welche Vorteile bieten Managed IT Services?

Unternehmen, die IT-Aufgaben an einen Managed Service Provider auslagern, profitieren in der Praxis von folgenden Effekten:

Planbare Kosten

Managed IT Services werden in der Regel über eine monatliche Gebühr abgerechnet, wodurch IT Ausgaben besser budgetierbar werden als bei Einzelabrechnung von Störfällen.

Entlastung interner Teams

Interne IT Abteilungen müssen Routineaufgaben wie Monitoring und Patching nicht mehr selbst abdecken und können sich auf strategische Projekte konzentrieren.

Geringere Ausfallzeiten

Durch proaktives Monitoring werden potenzielle Störungen häufig erkannt, bevor sie den Betrieb beeinträchtigen.

Zugriff auf spezialisiertes Fachwissen

Gerade bei Themen wie IT Sicherheit oder Cloud Infrastruktur profitieren Unternehmen von Experten, die sich ausschließlich auf diese Bereiche konzentrieren.

So setzt accompio Managed IT Services in der Praxis um

Managed IT Services funktionieren nur, wenn ein Anbieter die dafür nötige Kontinuität und Personaltiefe tatsächlich vorhält. accompio bietet Managed Services bereits seit 2004 nach ITIL Standard an und beschäftigt aktuell rund 700 IT Experten an 19 Standorten in Deutschland, Österreich, Ungarn und Bulgarien.

Praxisbeispiel: Managed Cloud Operations bei SMA Solar Technology AG

Bei der SMA Solar Technology AG hat accompio ein eigenes Cloud Operating Team aufgebaut, das den laufenden Betrieb der Cloud Infrastruktur des Kunden dauerhaft verantwortet, ein gutes Beispiel für Managed Services im Tagesbetrieb statt nur in der Projektphase.

Sven Syborg, IT Architect Digital Platform Solutions und PO für das Team Cloud, Data und AI bei SMA, beschreibt das Ergebnis so:

„Dank accompio haben wir es geschafft, das betriebliche Hamsterrad zu durchbrechen und uns auf die Optimierung unserer Services zu konzentrieren. Die Veränderungen in unserer Zusammenarbeit haben bis heute Bestand und wir profitieren nach wie vor von den positiven Auswirkungen.“

– Sven Syborg, IT Architect Digital Platform Solutions bei SMA

Kalkulierbare Kosten in der Praxis

Diese Erfahrung bestätigt auch Stephan Neubauer, CEO der Venturetec Rotating Systems GmbH, in seiner Rückmeldung zur Zusammenarbeit mit accompio:

„Aufgrund der Komplexität und der steigenden Anforderungen bei der Betreuung und Integration unterschiedlichster Anwendungssysteme haben wir beschlossen, dieses Thema extern und in die Hände von Spezialisten zu geben. Diesen kompetenten Partner haben wir in der accompio gefunden. Ihr smart IT Konzept als ganzheitliche Lösung lässt uns Zeit für unsere eigentlichen Aufgaben und verschafft uns in allen IT Fragen Sicherheit bei klar kalkulierbaren Kosten.“

– Stephan Neubauer, CEO der Venturetec Rotating Systems GmbH

Unsere Lösung: IT Works 360 – Der nächste Schritt zu Full Managed IT Services

Sie möchten wissen, wie Full Managed IT in Ihrem Unternehmen aussehen kann?

Mit dem Produkt IT Works 360 erhalten Sie eine individuell konfigurierbare Full Managed IT-Lösung für den Mittelstand – abgestimmt auf Ihre Unternehmensgröße, Ihre Anforderungen und Ihren bestehenden IT-Betrieb.

Leistungen von IT Works 360 ansehen 

Häufige Fragen zu Managed IT Services

Wie unterscheiden sich Managed IT Services von klassischem IT Support?

Klassischer IT Support reagiert auf Störungen, nachdem sie aufgetreten sind. Managed IT Services setzen auf laufendes Monitoring, damit Probleme im besten Fall erkannt werden, bevor sie den Betrieb beeinträchtigen.

Was kostet ein Managed IT Service?

Die Kosten hängen vom Umfang der übernommenen Aufgaben und der Anzahl der betreuten Systeme oder Arbeitsplätze ab und werden individuell im Service Level Agreement (SLA) festgelegt.

Ist meine IT bei einem Managed Service Provider noch selbst kontrollierbar?

Ja. Die Datenhoheit und die grundsätzliche Verantwortung verbleiben beim Unternehmen selbst, der Provider übernimmt die vertraglich vereinbarten Betriebsaufgaben.

Dennoch konzentrieren sich viele Unternehmen bei ihrer IT-Sicherheit noch immer auf Server, Notebooks oder Netzwerke. Mobile Endgeräte werden häufig unterschätzt – obwohl sie Zugriff auf sensible Unternehmensdaten ermöglichen und bei Verlust oder unzureichender Absicherung erhebliche Risiken bergen. 

Im accompio-Experteninterview erklärt Silas Weißmann, warum Mobile Device Security heute ein unverzichtbarer Bestandteil moderner Cybersecurity ist, welche Rolle Mobile Device Management (MDM) dabei spielt und mit welchen Maßnahmen Unternehmen ihre mobilen Geräte wirksam absichern können. 

Das Wichtigste in Kürze

• Smartphones und Tablets sind heute geschäftskritische Arbeitsgeräte mit Zugriff auf sensible Unternehmensdaten. 
• Mobile Endgeräte erweitern die Angriffsfläche von Unternehmen und müssen deshalb genauso geschützt werden wie Notebooks oder Server.
• Zu den größten Risiken zählen verlorene Geräte, schwache Passcodes und fehlende Sicherheitsrichtlinien.
• Ein professionelles Mobile Device Management (MDM) ermöglicht die zentrale Verwaltung, Absicherung und Aktualisierung mobiler Endgeräte. 
• Bereits einfache Maßnahmen wie starke Authentifizierung, Verschlüsselung und zentrale Richtlinien erhöhen die Sicherheit deutlich. 
• Mobile Device Security ist ein wichtiger Baustein einer ganzheitlichen Zero-Trust- und Cybersecurity-Strategie. 

Mobile Device Security beginnt dort, wo Unternehmen heute arbeiten 

Die Arbeitswelt ist mobil. E-Mails werden auf dem Smartphone beantwortet, Termine unterwegs koordiniert und Dokumente über Cloud-Dienste oder Collaboration-Plattformen wie Microsoft Teams aufgerufen. Für viele Mitarbeitende ist das Smartphone inzwischen das Gerät, das sie am häufigsten nutzen. 

Diese Entwicklung bringt enorme Vorteile für Produktivität und Flexibilität mit sich – verändert aber gleichzeitig die Anforderungen an die IT-Sicherheit. Denn jedes mobile Endgerät, das auf Unternehmensressourcen zugreift, erweitert die potenzielle Angriffsfläche. 

Im Interview beschreibt Silas Weißmann diese Entwicklung als eine der größten Veränderungen der vergangenen Jahre. Smartphones seien heute fester Bestandteil nahezu jedes Arbeitsplatzes und müssten deshalb genauso professionell verwaltet und abgesichert werden wie Notebooks oder Desktop-PCs. 

„Das Smartphone ist heute eines der wichtigsten Arbeitsgeräte. Trotzdem wird seine Bedeutung für die IT-Sicherheit häufig noch unterschätzt.„

— Silas Weißmann, IT-Systemberater bei accompio

Warum Smartphones für Unternehmen ein attraktives Angriffsziel sind 

Cyberkriminelle suchen nicht zwangsläufig nach dem technisch schwächsten System – sie suchen nach dem einfachsten Einstieg. Mobile Endgeräte bieten hierfür häufig günstige Voraussetzungen, wenn sie nicht zentral verwaltet oder ausreichend abgesichert werden. 

Besonders kritisch ist dabei, dass Smartphones heute auf zahlreiche Unternehmensdienste zugreifen können. Dazu gehören unter anderem: 

• Microsoft 365 und Exchange 
• Microsoft Teams 
• Unternehmenskontakte und Kalender 
• Cloud-Speicher 
• Geschäftliche Dokumente 
• Authentifizierungs-Apps und Multi-Faktor-Authentifizierung 

Geht ein Gerät verloren oder wird kompromittiert, können Angreifer unter Umständen auf sensible Unternehmensinformationen zugreifen. Umso wichtiger ist es, mobile Endgeräte nicht als isolierte Geräte zu betrachten, sondern als integralen Bestandteil der Unternehmens-IT. 

Die größten Risiken liegen oft im Alltag 

Entgegen der verbreiteten Annahme entstehen viele Sicherheitsvorfälle nicht durch hochkomplexe Hackerangriffe, sondern durch alltägliche Situationen. 

Im Interview nennt Silas Weißmann insbesondere den Verlust mobiler Geräte als eines der größten Risiken. Gelangt ein Smartphone ohne ausreichenden Schutz in falsche Hände, kann dies erhebliche Folgen haben – insbesondere dann, wenn schwache Passcodes verwendet werden oder keine zentralen Sicherheitsrichtlinien existieren. 

Zu den häufigsten Risiken zählen: 

• verlorene oder gestohlene Smartphones 
• schwache oder leicht zu erratende Gerätecodes 
• fehlende Bildschirmsperren 
• veraltete Betriebssysteme 
• unkontrollierte App-Installationen 
• fehlende zentrale Geräteverwaltung 

Gerade diese Risiken lassen sich jedoch mit vergleichsweise geringem Aufwand deutlich reduzieren. 

Mobile Device Management schafft Transparenz und Kontrolle 

Eine wirksame Mobile Device Security beginnt mit Transparenz. Unternehmen müssen wissen, welche mobilen Endgeräte auf Unternehmensressourcen zugreifen, welchen Sicherheitsstatus sie besitzen und ob definierte Richtlinien eingehalten werden. 

Hier setzt ein Mobile Device Management (MDM) an. Es ermöglicht der IT, Smartphones und Tablets zentral zu verwalten und Sicherheitsstandards unternehmensweit umzusetzen. 

Über eine MDM-Lösung können beispielsweise: 

• Sicherheitsrichtlinien automatisiert ausgerollt, 
• Geräte verschlüsselt, 
• Mindestanforderungen an Passcodes definiert, 
• Betriebssysteme aktuell gehalten, 
• Unternehmensdaten geschützt und 
• verlorene Geräte bei Bedarf aus der Ferne gesperrt oder zurückgesetzt werden. 

Dadurch entsteht eine einheitliche Sicherheitsbasis – unabhängig davon, ob wenige oder mehrere hundert mobile Endgeräte im Einsatz sind. 

„Die Technik sollte den Nutzer unterstützen – nicht ausbremsen. Gute Mobile Device Security funktioniert im Idealfall, ohne dass Mitarbeitende sie im Alltag überhaupt wahrnehmen.„

— Silas Weißmann, IT-Systemberater bei accompio

Mobile Device Security ist mehr als eine technische Lösung 

Technologie allein reicht jedoch nicht aus. Mobile Device Security ist dann besonders wirksam, wenn technische Maßnahmen, klare Prozesse und ein entsprechendes Sicherheitsbewusstsein zusammenkommen. 

Mitarbeitende sollten wissen, 

• warum sichere Passcodes wichtig sind, 
• weshalb Unternehmensdaten ausschließlich über freigegebene Apps verarbeitet werden sollten, 
• wie sie Phishing-Nachrichten auf mobilen Geräten erkennen und 
• welche Schritte bei Verlust eines Smartphones unmittelbar erforderlich sind. 

Eine moderne Sicherheitsstrategie verbindet deshalb technische Schutzmechanismen mit klaren Richtlinien und regelmäßiger Sensibilisierung der Beschäftigten. 

„Mobile Device Management ist kein Selbstzweck. Es schafft die Grundlage dafür, mobile Geräte sicher, effizient und nachvollziehbar in die Unternehmens-IT zu integrieren.„

— Silas Weißmann, IT-Systemberater bei accompio

Mobile Device Security mit accompio umsetzen

Sie möchten mobile Endgeräte sicher verwalten? accompio entwickelt Sicherheitsstrategien und -lösungen für Mobile Device Management, die zu Ihren Anforderungen passen.

Zu unseren Leistungen

Quick Wins: So verbessern Unternehmen ihre Mobile Device Security 

Bereits mit wenigen Maßnahmen lässt sich das Sicherheitsniveau mobiler Endgeräte deutlich erhöhen. 

Unternehmen sollten insbesondere: 

1. Mobile Device Management zentral einführen 
2. sichere Passcode- und Sperrbildschirmrichtlinien definieren bzw. biometrische Authentifizierung nutzen 
3. Geräte konsequent verschlüsseln und Sicherheitsupdates überwachen und aktiv steuern
4. ausschließlich vertrauenswürdige App-Quellen zulassen 
5. Unternehmens- und Privatdaten sauber voneinander trennen 
6. verlorene Geräte per Remote-Wipe absichern 
7. Mitarbeitende regelmäßig für mobile Sicherheitsrisiken sensibilisieren 

Diese Maßnahmen bilden eine solide Grundlage für eine nachhaltige Mobile Device Security und lassen sich unabhängig von der Unternehmensgröße umsetzen. 

Fazit

Mobile Endgeräte sind heute fester Bestandteil nahezu jeder Unternehmens-IT. Gleichzeitig gehören sie zu den am häufigsten unterschätzten Angriffsflächen. 

Wer Smartphones und Tablets nicht konsequent absichert, riskiert den unbefugten Zugriff auf sensible Unternehmensdaten. Ein professionelles Mobile Device Management schafft die notwendige Transparenz, automatisiert Sicherheitsrichtlinien und reduziert den administrativen Aufwand erheblich. 

Mobile Device Security sollte deshalb nicht isoliert betrachtet werden, sondern als wichtiger Bestandteil einer ganzheitlichen Cybersecurity- und Zero-Trust-Strategie. Unternehmen, die mobile Endgeräte konsequent verwalten und absichern, schaffen nicht nur mehr Sicherheit, sondern auch effizientere Prozesse und eine bessere Nutzererfahrung. 

Über den Experten

Silas Weißmann ist IT-Systemberater bei accompio und begleitet Unternehmen bei der Einführung und dem Betrieb moderner Mobile Device Management-Lösungen.

LinkedIn

FAQ zu Mobile Device Security und Mobile Device Management

Was ist Mobile Device Security? 

Mobile Device Security umfasst alle technischen und organisatorischen Maßnahmen zum Schutz von Smartphones und Tablets vor Datenverlust, unbefugtem Zugriff, Malware und anderen Cyberbedrohungen. 

Was versteht man unter Mobile Device Management (MDM)? 

Mobile Device Management (MDM) ist eine Lösung zur zentralen Verwaltung mobiler Endgeräte. Unternehmen können damit Sicherheitsrichtlinien umsetzen, Geräte konfigurieren, Apps verwalten und verlorene Geräte aus der Ferne sperren oder löschen. 

Warum ist Mobile Device Security für Unternehmen so wichtig? 

Mobile Endgeräte greifen auf E-Mails, Cloud-Anwendungen und Unternehmensdaten zu. Ohne geeignete Sicherheitsmaßnahmen können verlorene oder kompromittierte Geräte erhebliche Risiken für die Informationssicherheit darstellen. 

Welche Vorteile bietet Mobile Device Management? 

MDM ermöglicht eine zentrale Verwaltung aller mobilen Geräte, automatisiert Sicherheitsrichtlinien, reduziert den Administrationsaufwand und verbessert die Compliance. 

Können private Smartphones sicher im Unternehmen genutzt werden? 

Ja. Sofern geeignete Sicherheitsrichtlinien und MDM-Lösungen eingesetzt werden. Diese ermöglichen unter anderem die Trennung privater und geschäftlicher Daten sowie die zentrale Verwaltung geschäftlicher Anwendungen. 

Welche Rolle spielen Apple Business Manager und Android Enterprise? 

Beide Plattformen unterstützen Unternehmen dabei, mobile Endgeräte automatisiert bereitzustellen, zentral zu verwalten und Sicherheitsrichtlinien bereits während der Einrichtung umzusetzen. 

Welche ersten Maßnahmen verbessern die Mobile Device Security? 

Zu den wichtigsten Maßnahmen zählen starke Passcodes, biometrische Authentifizierung, Geräteverschlüsselung, regelmäßige Updates, Mobile Device Management und die Sensibilisierung der Mitarbeitenden. 

Ist Mobile Device Management auch für mittelständische Unternehmen sinnvoll? 

Ja. Gerade mittelständische Unternehmen profitieren von standardisierten Sicherheitsprozessen, einer geringeren Administrationslast und einem besseren Schutz sensibler Unternehmensdaten. 

Das Wichtigste in Kürze

• Backup Monitoring prüft laufend, ob Backups vollständig, funktionsfähig und im Ernstfall wiederherstellbar sind, unabhängig davon, ob ein Backup Job als erfolgreich markiert ist.
• Ein grünes Symbol beim Backup Job bestätigt nur, dass ein Prozess ohne Absturz durchlief. Über die tatsächliche Vollständigkeit sagt es nichts aus.
• Silent Failures entstehen, wenn Tools Fehlermeldungen unterdrücken oder neue Systeme gar nicht erst ins Backup aufnehmen.
• Snapshots ersetzen laut Stefan Schröder, Geschäftsführer von BACKUP EAGLE®, kein Backup. Sie ergänzen eine Backup-Strategie, gehen aber im Ernstfall mit den Originaldaten verloren.
• Immutable Speicher und Air Gapping schützen Backups zusätzlich vor Ransomware Angriffen, da Angreifer die Daten dort weder verschlüsseln noch löschen.
• RPO (Recovery Point Objective) und RTO (Recovery Time Objective) legen fest, wie viele Daten ein Unternehmen maximal verliert und wie schnell ein System wieder läuft.
• BACKUP EAGLE® empfiehlt Restore Tests mindestens halbjährlich, idealerweise monatlich.
• Ein Backup ersetzt keine Sicherheitsarchitektur. Es ist die letzte Verteidigungslinie, wenn Firewall, Virenscanner und EDR Systeme versagen.

Warum ist ein erfolgreicher Backup Job keine Garantie für Sicherheit?

Ein Backup Job gilt technisch als erfolgreich, sobald der Prozess ohne Fehlermeldung endet. Über die inhaltliche Vollständigkeit sagt dieser Status nichts aus. Fehlt eine Einstellung, ein Ordner oder ein neu eingerichtetes System, sichert das Tool trotzdem weiter Daten, meldet aber weiterhin „erfolgreich“. Genau an dieser Stelle entstehen Silent Failures, also Sicherheitslücken im Backup, die niemand bemerkt, bis eine Wiederherstellung ansteht.

„Das Backup ist Teil der Sicherheitsarchitektur, man könnte es auch „Last line of defense“ nennen. Wenn nichts mehr geht, dann ist hoffentlich das Backup noch da.„

— Stefan Schröder, Geschäftsführer BACKUP EAGLE®

Häufige Ursachen für Silent Failures sind unterdrückte Fehlermeldungen, neu hinzugekommene Systeme, die nie ins Backup aufgenommen wurden und eine fehlende Alarmierung, weil diese Aufgabe außerhalb der eigentlichen Backup Lösung liegt. Backup Monitoring deckt genau diese Lücken auf, bevor eine echte Wiederherstellung ansteht.

Snapshot vs. Backup: Welche Rolle spielen Snapshots wirklich?

Ein Snapshot bildet den Zustand eines Systems zu einem bestimmten Zeitpunkt ab und stellt Daten meistens sehr schnell wieder her. In der Backup Branche gilt deshalb der Grundsatz: Ein Snapshot ist kein Backup. Der entscheidende Unterschied liegt in der Unabhängigkeit der Speicherung. Ein Snapshot liegt oft auf demselben System wie die Originaldaten und geht bei einem Ausfall oder Angriff mit ihnen verloren.

Snapshots bleiben trotzdem ein wichtiger Teil einer Backup Strategie, da sie eine schnelle Wiederherstellung im Alltag ermöglichen. Bei einem schweren Angriff oder einem zerstörten Snapshot bleibt jedoch ausschließlich das unabhängig gespeicherte Backup als Rettung übrig.

Wie schützen Immutable Backup und Air Gap Backup vor Ransomware?

Moderne Ransomware Angriffe stammen selten von Einzeltätern, sondern von organisierten, spezialisierten Gruppierungen, die gezielt Backup Systeme angreifen.

„Da sitzt nicht irgendwo jemand in einer Garage und versucht sich irgendwo einzuhacken, das sind ganze Gruppierungen, professionelle IT-Teams, die eigene spezialisierte Administratoren haben.„

— Stefan Schröder, Geschäftsführer BACKUP EAGLE®

Diese Teams zerstören gezielt Backup Tools oder die Speicherorte, auf denen Backups liegen. Immutable Backup und Air Gap Backup begegnen genau diesem Risiko. Immutable Speicher schützen gespeicherte Daten dauerhaft vor nachträglichem Überschreiben und Löschen, unabhängig von Administratorrechten. Air Gapping lagert Kopien der Daten an einem getrennten Standort mit einer echten Unterbrechung zur Produktivumgebung. Beide Maßnahmen zählen laut BACKUP EAGLE® zu den wichtigsten technischen Bausteinen für ein sicheres Backup Monitoring gegen Ransomware.

Managed Backup Monitoring für Ihr Unternehmen

accompio richtet Backup Monitoring für Unternehmen und öffentliche Auftraggeber ein, deckt Silent Failures auf und dokumentiert Restore Tests nachvollziehbar.

Zu unseren Leistungen

RPO und RTO im Backup Monitoring

RPO (Recovery Point Objective) legt fest, wie weit ein Unternehmen im Ernstfall zeitlich zurückgeht und wie viele Daten dabei maximal verloren gehen.

RTO (Recovery Time Objective) legt fest, wie schnell ein System nach einem Ausfall wieder läuft. Beide Werte definieren Unternehmen individuell pro System, da nicht jede Anwendung dieselbe Priorität besitzt.

Backup Monitoring Software wie BACKUP EAGLE® misst konkret, wie lange ein Restore Test tatsächlich dauert, und dokumentiert, wie weit ein Wiederherstellungspunkt zurückreicht. Ohne diese Messung bleibt nur die technische Erfolgsmeldung eines Tools, nicht das tatsächliche Risiko für das Unternehmen.

Wie oft sollten Restore Tests stattfinden?

BACKUP EAGLE® empfiehlt Restore Tests mindestens halbjährlich, idealerweise monatlich. Ein vollständiger Test der gesamten Umgebung ist dafür nicht notwendig, punktuelle Stichproben genügen meistens. Entscheidend ist die Regelmäßigkeit, dokumentiert über feste Testpläne, die einem Unternehmen jederzeit den Nachweis liefern, dass eine Wiederherstellung tatsächlich funktioniert.

Fazit

Ein Backup gilt erst dann als sicher, wenn eine Wiederherstellung nachweislich funktioniert, nicht schon, wenn ein Tool „erfolgreich“ meldet. Backup Monitoring deckt genau diesen Unterschied auf, durch laufende Prüfung, regelmäßige Restore Tests und den Schutz über Immutable Speicher sowie Air Gapping. Unternehmen, die ihr aktuelles Backup Setup überprüfen, finden Details zur Leistung Backup, Reporting, Monitoring & Audit bei accompio.

Über den Experten

Stefan Schröder ist Geschäftsführer von BACKUP EAGLE® und ist Experte für On-premise & Cloud Backup-Strukturen sowie deren Sicherung.

LinkedIn

FAQ zu Backup Monitoring

Was ist der Unterschied zwischen Backup Monitoring und Backup Reporting?

Backup Monitoring zeigt den aktuellen technischen Zustand von Backups, meistens über ein Dashboard. Backup Reporting dokumentiert diesen Zustand über einen längeren Zeitraum, vor allem für Compliance Nachweise gegenüber Prüfern oder Kunden.

Ist ein Snapshot dasselbe wie ein Backup?

Nein, ein Snapshot ergänzt ein Backup, ersetzt es aber nicht. Ein Snapshot liegt häufig auf demselben System wie die Originaldaten und geht bei einem Systemausfall oder Angriff mit ihnen verloren.

Worauf sollten Unternehmen bei einer Backup Monitoring Software achten?

Eine geeignete Backup Monitoring Software erkennt Schwankungen in Datenmenge und Laufzeit eines Backups, findet leere oder unvollständige Sicherungen und meldet ungewöhnliche Veränderungen an Metadaten oder Aufbewahrungsfristen. Diese Auffälligkeiten deuten häufig auf Ransomware, Fehlkonfigurationen oder übersehene Systeme hin. Zusätzlich unterscheidet eine gute Lösung klar zwischen Monitoring (aktueller Zustand auf einen Blick), Logging (sicherheitsrelevante Protokollierung) und Reporting (Nachweis für Compliance Zwecke), da diese drei Bereiche unterschiedliche Aufgaben erfüllen.

Was sind Silent Failures beim Backup?

Silent Failures sind unentdeckte Lücken in einem Backup, etwa nicht gesicherte Dateien oder neue Systeme, die nie ins Backup aufgenommen wurden. Der Backup Job meldet trotzdem „erfolgreich“, da das Tool die Lücke selbst nicht erkennt.

Schützt ein Backup automatisch vor Ransomware?

Ein Backup allein reicht nicht aus. Firewalls, Virenscanner und EDR Systeme greifen vor einem Angriff. Das Backup bildet die letzte Verteidigungslinie, falls diese Mechanismen versagen.

Wie oft sollte ein Unternehmen seine Backups testen?

BACKUP EAGLE® empfiehlt Restore Tests mindestens alle sechs Monate, idealerweise monatlich, dokumentiert über einen festen Testplan.