Mehr Regeln, mehr Sicherheit? Deutschlands Cyberpolitik im Realitätscheck

00:00:09: Hallo zusammen, hallo Sven!

00:00:11: Hallöchen, halo Sidoni und herzlich willkommen zu einer neuen Ausgabe vom Ohr am Netz.

00:00:16: Heute mal wieder Cyber-Sicherheit, aber ist ja auch ein Thema was uns immer wieder und auch mehr beschäftigt in unser aller Arbeitsalltag.

00:00:24: Die Nachrichtenmeldungen sind voll von irgendwelchen Heckmeldung.

00:00:28: Ja absolut!

00:00:28: Und viele Unternehmen haben auch selber persönlich damit zu tun für mich überraschenderweise vielmehr als ich gedacht hätte wie eine ganz aktuelle Studie die ihr in Auftrag gegeben habt vom ECO bewiesen hat.

00:00:37: dazu kommen wir gleich noch.

00:00:39: Wir gucken heute mal auf das Thema Cyber-sicherheits um bisschen im Spannungsfeld in Sachen Regulierung oder gar Überregulierung.

00:00:45: es gibt natürlich dadurch, dass das Thema immer interessanter und wichtiger wird auch immer mehr Regulierungen.

00:00:50: die Unternehmen, die die Internetwirtschaft einhalten muss.

00:00:53: Und manche davon sind vielleicht gar nicht zielführend oder doch tendenziell verwirrend.

00:00:57: wir versuchen ein bisschen Licht in diesen Dschungel zu bekommen.

00:01:00: Wir nehmen also unsere ich sage mal verbale Machete und machen uns mein Weg da rein.

00:01:06: Ja, genau.

00:01:06: Wir haben wie gesagt spannende Zahlen mitgebracht auch unter anderem aus unserer neuen Sicherheitsumfrage.

00:01:12: und ja die Folge soll auch so ein bisschen dazu dienen sozusagen einen kleinen Vorgeschmack auf unsere Internet Security Days in diesem Jahr zu geben, die dieses Jahr erstmals im Rahmen der ITSA am achtundzwanzigsten Oktober in Nürnberg stattfinden.

00:01:28: Da vorgibt es aber wie immer erstmal ein bisschen was Neues aus der digitalen Welt.

00:01:37: Ja, wir blicken zu Beginn mal wieder auf ein aktuelles Data Center Rechenzentren-Thema.

00:01:43: Sozusagen für Rechencentren soll nämlich künftig ein europäisches Effizienzlabel mehr Transparenz schaffen.

00:01:51: Unsere Ecoallianz zur Stärkung digitaler Infrastrukturen begrüßt das grundsätzlich und warnt aber auch vor vor schnellen Bewertungen.

00:01:58: Denn entscheidend ist es, dass ein solches Label auf belastbaren und europaweit vergleichbaren Kriterien basiert.

00:02:04: Kennzahlen wie der reine Energieverbrauch braucht sagen allein noch recht wenig darüber aus, wie effizient ein Rechenzentrum tatsächlich arbeitet.

00:02:12: Aus Sicht der Allianz müssen deshalb auch unterschiedliche Standortbedingungen und technische Konzepte berücksichtigt werden – so kann das Label echte Vergleichbarkeit schaffen und zugleich sinnvolle Anreize für mehr Effizienz setzen.

00:02:24: Gefordert wird deshalb einen einheitlicher europäischer Bewertungsrahmen statt zusätzlicher nationaler

00:02:29: Sonderwege.".

00:02:31: HBMOS.

00:02:31: Bundesdatenschutzbeauftragter Prof.

00:02:34: Dr.

00:02:34: Moritz Hennemann ist das nämlich, der Rechtswissenschaftler wurde schon im Juni vom Bundestag gewählt und hat sein Amt am ersten Oktober angetreten.

00:02:43: auf ihn warten einige ganz schön große Baustellen.

00:02:45: die Bundesregierung will die Datenschutzaufsicht reformieren und Zuständigkeiten stärker bündeln.

00:02:51: außerdem ist ein Datengesetzbuch geplant dass mehr Klarheit in Datenrechtschaften soll.

00:02:57: Halleluja!

00:02:57: Der EGO begrüßt Henneman's Amtsantritt und verbindet damit die Hoffnung auf ein moderneres, vor allem einheitliches Datenrecht.

00:03:05: Dann klar ist für Unternehmen braucht es klare Zuständigkeiten und auch verlässliche Entscheidungen statt unterschiedlicher Auslegung derselben Regeln in jedem Bundesland.

00:03:13: Für sich also wir wünschen ihm ganz, ganz viel Erfolg bei dieser neuen

00:03:16: Aufgabe.

00:03:16: Ja und zuletzt eine überraschend gute Nachricht aus dem deutschen Bildungsbereich.

00:03:20: das haben wir ja auch nicht so häufig.

00:03:22: Deutschland isst tatsächlich beim Mind-Abschlüssen Spitze.

00:03:26: laut dem neuen OECD Bericht Bildung auf einen Blick zwanzig sechsundzwanzig schließen hierzulande.

00:03:32: vierundweißig Prozent der Absolventinnen verwenden im Terziärbereich einen Mindfach ab, so viele wie in keinem anderen OECD-Land tatsächlich.

00:03:41: Bei internationalen Studierenden in Deutschland sind es sogar einundfünfzig Prozent!

00:03:46: Das ist ein ziemlich bemerkenswerter Kontrast, nicht zuletzt auch zur jüngsten PISA-Studie.

00:03:51: Dort haben deutsche Schülerinnen und Schüler ja beim Lesen in Mathe und in den Naturwissenschaften so schlecht abgeschnitten wie noch nie!

00:03:59: Also offensichtlich holen sie das dann irgendwie im Nachhinein alles wieder auf weil sich nicht ob man es so verkürzt sagen kann.

00:04:06: Jedenfalls messen die beiden Studien natürlich unterschiedliches.

00:04:10: während PISA die Kompetenzen von fünfzehnjährigen untersucht bildet die jährliche OECD-Studienbildung einen internationalen Vergleich von Bildungssystem ab.

00:04:20: Das Thema der heutigen Folge vom ORMNETZ ist mal wieder Cyber-Sicherheit und zwar aus einem ganz konkreten Anlass.

00:04:27: Der ist natürlich, dass die Bedrohungslage zunimmt aber eben auch das die Awareness zun nimmt bzw offenbar auch das Betroffensein von solchen Angriffen und auch wirklich Ausfällen durch Cyber-Angriffe.

00:04:39: Das hat eine aktuelle Umfrage ergeben, die der ECO durchgeführt hat.

00:04:43: Sie nun nicht erzähl mal!

00:04:44: Das ist doch deutlich mehr als ich gedacht hätte Ich dachte die meisten werden sagen ja ich habe davon gehört Aber es geht eigentlich an mir vorbei.

00:04:50: Nee, also es ist tatsächlich so.

00:04:51: das zeigt die Studie dass für viele Unternehmen Cybervorfälle tatsächlich schon konkrete Folgen haben.

00:04:57: Also knapp ein Drittel der befragten Unternehmen berichten von spürbaren Auswirkungen durch Vorfälle wie zum Beispiel Betriebsunterbrechungen oder auch Datenabflüsse.

00:05:06: im schlimmsten Fall und ganz grundsätzlich nehmen die Cyber-Sicherheitsvorfelle tatsächlich zu.

00:05:12: Zweiundvierzig Prozent der Unternehmen erleben mehr relevante Vorfällen im Vergleich zum Vorjahr.

00:05:19: Man muss aber auch sagen, Unternehmen reagieren auf zunehmende Bedrohungen.

00:05:23: Also fast drei Viertel der Befragten hat gesagt sie sehen verbesserte Fähigkeiten im Umgang mit Vorfällen.

00:05:30: als besonders wirksame Maßnahmen werden Schulung und Sensibilisierung der Mitarbeitenden genannt Aber auch technische Modernisierung der Sicherheitsinfrastruktur so was wie Security Operations Center Und ja klare Zuständigkeiten in Unternehmen und Incident Response Pläne.

00:05:48: Also wer auch immer noch behauptet, ich sag mal im KMU und umfällt zum Beispiel hier in Deutschland.

00:05:52: Das ist alles nicht mein Thema so wie es vor vier fünf Jahren ja noch durchaus regelmäßig der Fall war dem können wir mittlerweile sagen ja wahrscheinlich hast du's nur noch nicht gemerkt.

00:06:00: die Wahrscheinlichkeit dass du betroffen bist ist leider doch deutlich höher als man so

00:06:03: denkt.

00:06:04: Ja, aber das scheint sich eben bei vielen Unternehmen tatsächlich.

00:06:07: also diese Erkenntnis scheint sich auch durchgesetzt zu haben.

00:06:10: Es ist leider ja auch so dass die Bedrohung sich weiterentwickelt.

00:06:13: es gibt neue Angriffsmuster höhere Angriffsvolumen.

00:06:16: das setzt Unternehmen auch zunehmend unter Druck.

00:06:19: Und besonders wichtig daher ist halt eben nicht nur Cyber-Sicherheit, sondern auch Resilienz.

00:06:23: Also dass man Angriffe früh erkennt die Auswirkungen begrenzen kann und der Geschäftsbetrieb im Krisenfall eben auch ja entweder sogar weiterlaufen kann oder eben schnell wieder hergestellt werden kann.

00:06:35: Redundanzen und alles doppelt bauen am besten.

00:06:38: Wir haben das Thema Cyber-Sicherheit, und wir wissen ja auch es gibt viel Regulierung.

00:06:42: Und der eine oder andere sagt mittlerweile schon Stopp mal!

00:06:44: Das ist jetzt langsam zuviel – wir haben NIST

00:06:46: II.,

00:06:46: wir haben ein kritis Dachgesetz, wir haben diverse andere Sachen die da alle übereinander herpreschen und wir wollen mal sehen ob man nicht vielleicht ein bisschen Licht ins Dunkel bringen können und zum Glück kann man dafür natürlich den richtigen Mann im Gespräch.

00:07:00: Ja, die Dichte laufender und geplanter Cyber-Sicherheitsregulierung ist aktuell wirklich enorm.

00:07:05: Es werden so viele Gesetze gleichzeitig behandelt dass man als außen stehende Person moir durchaus mal den Überblick verlieren kann.

00:07:11: ich freue mich daher sehr das wir jetzt einen echten Insider haben nämlich Ecovorstand Klaus Landefeld der hoffentlich ein bisschen Licht ins Dunkel bringen kann in diesen Regulierungs-Dschungel.

00:07:21: herzlich willkommen mal wieder im Ohr am Netz.

00:07:23: Hallo Klaus!

00:07:23: Und du bist live in Lissabon habe ich gerade gehört weil D-Kicks hat eine große Veranstaltung.

00:07:28: Ich denke, ich setze dann eine

00:07:31: internationale Konferenz zu Unterseekabeln.

00:07:33: Genau!

00:07:34: Was auch ein Thema ist, das sich behauptet und was auch im Stabilisierungsbereich momentan sehr stark diskutiert wird.

00:07:39: Da Hallo Sven hat es mal schön, dass wir uns wieder werfen, ja genau.

00:07:42: Also jemand verleht auch als Experte im Moment nicht den Überblick muss ich mal ganz klar so sagen.

00:07:46: weil

00:07:47: Gut, dann bin ich beruhigt.

00:07:48: Das liegt nicht an meiner Leinenhaftigkeit.

00:07:51: Es liegt einfach daran, dass unheimlich viel Parallel passiert und dazu kommen auch noch EU-Gesetzgebungsverfahren.

00:07:56: Also es ist nicht so das wir uns nur in Deutschland momentan darum kümmern.

00:07:59: Im Gegenteil sind wir teilweise ein bisschen voran in manchen Ecken wo also eine EU Regelung kommen soll.

00:08:03: aber Deutschland will jetzt unbedingt vorher noch eine Regelung machen die das halt oft so ist.

00:08:07: Ja okay!

00:08:08: Also ich meine erstmal ist es ja schon mal schön, dass das Thema Cyber Sicherheit mittlerweile offenbar wirklich überall angekommen ist.

00:08:14: Ich sage mal sofort zehn oder vielleicht auch noch vor sieben Jahren oder so war das noch lange nicht.

00:08:19: Jetzt ist aber das Problem, es wirkt ein bisschen wie blanker Aktionismus.

00:08:22: alle haben jetzt irgendwie Angst gekriegt.

00:08:24: oh Gott!

00:08:24: Oh Gott!

00:08:24: Ein Cyberangriff lass uns mal schnell was machen.

00:08:27: macht das am Ende unsere Services und digitalen Infrastrukturen sicherer oder vielleicht sogar noch anfälliger?

00:08:32: Was glaubst du

00:08:33: also wenn wir über Cyber Sicherheit wirklich reden dann hilft es tatsächlich dass wir da neue Gesetze bekommen.

00:08:38: Es gibt so einen Dreieck was die EU aufgebaut hat aus dem was wir als Echte Cyber- also Informationssicherheiten ist zu betrachten dem, was wir im Bereich Kritis.

00:08:48: Das ist die Critical Entities Regulation von der EU, die umgesetzt wurde, wo es da so ein Schutz kritischer Infrastruktur gibt und den noch aufkommenden CRA, also den Cyber Resilience Actors und den Software Schutz tatsächlich geht.

00:08:59: Und dann muss man glaube ich mal so fair sein und sagen, er hat die Industrie insgesamt... ziemlich versagt.

00:09:05: Also die Unternehmen haben nicht freiwillig was gemacht und da gibt es jetzt eben einen regulatorischen Ansatz dafür, dass man Unternehmen dazu zwingt, hier die Sicherheit zu erhöhen.

00:09:12: Und das ist sinnvoll!

00:09:14: Das muss man haben.

00:09:15: Da gab's also definitiv Lücken, wo Unternehmen sich nicht ausreichend umgekümmert haben.

00:09:20: Was Cyber-Sicherheit angeht, ist es gut, dass wir neue Regeln

00:09:22: brauchen.

00:09:23: Okay, weil jetzt haben wir die eine, die du gerade erwähnt hast beziehungsweise die zwei einmal für kritische Infrastrukturen und einmal für viele andere.

00:09:29: Da könnte man doch sagen okay, jetzt tut sich was Häkchen dran aber so ist es ja nicht.

00:09:32: Jetzt kommt immer mehr dazu.

00:09:34: wie schwierig ist es denn aktuell?

00:09:36: Also du hast ja selber schon gesagt als Experte den Durchblick zu behalten klar Aber wie sehr sind die Dinge dann auch überhaupt aufeinander abgestimmt bzw.

00:09:44: Sind sogar gegensätzlich teilweise?

00:09:46: Naja also in diesem Zeitbereich ist vieles halt auch wirklich jetzt neu.

00:09:50: CAA zum Beispiel wiss uns noch der Sicherheit geht Das ist eine völlig neue Sache, dass man tatsächlich zeigen muss.

00:09:55: Wie ist der Dissort gar aufgebaut?

00:09:57: Was sind Komponenten verwendig?

00:09:58: Dass man eine Pflicht hat, Schwachstellen zu melden und solche Geschichten... Da geht es jetzt viel um Ausgestaltung.

00:10:04: Auf welches Software fällt unter welchen konkreten Regulierungsteil?

00:10:08: Also was kann ich zum Beispiel selber?

00:10:09: melden.

00:10:10: Ich halte mich an Selber Sicherheit, wo muss ich dann einen externen Auditor dran sitzen und so weiter?

00:10:14: Das kommt ein bisschen auf den Typ Software an!

00:10:16: Und da ist vieles noch unschlau.

00:10:18: die Unternehmen sind so ein bisschen überfordert damit natürlich was muss sich da machen?

00:10:22: man musste oft eine ganze Softwareentwicklung umstellen usw.

00:10:25: dass es eben diesen Anforderungen entspricht und muss Reporting-Fahde aufbauen also Anwender auch Fehler oder Sicherheitsglücken melden können.

00:10:33: das ist alles bis jetzt nicht da und da sind die Unternehmen natürlich ziemlich... Es fällt vielen sehr schwer umzusetzen, dass wir ihn so ausdrücken.

00:10:40: Na gut, Veränderungen sind immer ein bisschen schwierig und in dem Fall bedeutet es ja auch Personal.

00:10:44: Und natürlich damit auch Budget und am Ende wird die Software aber sicherer.

00:10:48: jetzt gibt's aber Beispiele da kriege ich dann so'n bisschen Gänsehaut.

00:10:52: also zum Beispiel verschärfte Regulierung für Ermittlungsbefugnisse von Polizei- und Sicherheitsbehörden Die sollen automatisierte biometrische Abgleiche mit öffentlich zugänglichen Bildern und Videos durchführen und große Datenbestände analysieren können.

00:11:04: Wo siehst du da die Grenze zwischen legitimer digitaler Ermittlungsarbeit?

00:11:07: Die natürlich wichtig ist und einem Internet das faktisch zum biometrischen Fandungsraum wird?

00:11:11: Jetzt müssen wir natürlich mal ganz klar abschichten.

00:11:13: Also das eine ist Cyber-Sicherheit, wo es also um den Schutz von uns allen geht und auch darum dass eben insgesamt auf die Gesellschaftsresilienter wird dagegen gegen Cyber Angriffe.

00:11:23: Das andere ist öffentliche Sicherheit und in diesem öffentlichen Sicherheitsbegriff läuft alles unter dem Sicherheits Begriff aber es geht um was ganz anderes.

00:11:30: und in diesen öffentlichen Gesundheitsbereich bis man so ins Hanoi geht der wird sehr viel um dann natürlich auch Cyberkriminalität ermittelt oder soll mehr ermittlet werden Und das ist auch wichtig.

00:11:39: Da geht es aber viel um Terrorismus, um Islamismus natürlich indirekt an damit, der viele von mir rufen kann mit zum Beispiel nach dem Anschlag in Berlin auf.

00:11:47: Das hat aber mit Cyber-Sicherheit erst mal nichts zu tun und viele von diesen Ermittlungsbefugnissen, die jetzt kommen sollen, liegen auch völlig außerhalb des Cyberhauses.

00:11:55: Das muss man ganz klar grenzen.

00:11:56: Dann gibt's dann sehr oft wieder um Bürgerrechte, um die Frage wird man hier zum gläserenden Bürger?

00:12:01: Und natürlich auch um die frage wie müssen die Unternehmen ihre Dienste dann wieder öffnen den Sicherheitsbehörden?

00:12:06: Genau!

00:12:07: Und das ist ja dann vielleicht durchaus wieder ein Cybersecurity-Thema.

00:12:10: Also, das könnte denn ja wieder ein Problem für die Cybersicherheit werden?

00:12:13: Es

00:12:13: ist nicht unbedingt zwingend verbunden.

00:12:16: Wenn jetzt also einen Social Network zum Beispiel den Sicherheitsbehörden zugeliefert auf die Nachrichten ermöglichen muss oder soll, dann heißt es nicht unbedingt was ich dadurch eine Cyber-Sicherheitslücke produziere.

00:12:26: Also es müsste sich in der klassischen Definition einer Cyber-Schicherheitslübchen eroptan durch ausgetaubte Inhalte oder sonstwas potenziell auch wieder ein entstehen kann.

00:12:33: Anderes Problem... Aber grundsätzlich hängt das nur sehr indirekt zusammen.

00:12:38: Wie schwer wird es denn den Unternehmen fallen?

00:12:40: Vielleicht auch D-Kicks, du bist ja gerade vor Ort bei der Konferenz sozusagen da Zugriff oder nennen wir's mal Einsicht zu gewähren.

00:12:47: Das ist ja auch wieder muss ja auch irgendwie erst einmal hergestellt werden.

00:12:51: Ja ich möchte das Thema nicht überfragen also aber wir haben natürlich genau das Problem dass es hier jetzt teilweise noch um eine dritte Sache gibt, dass es momentan ausparallel.

00:13:00: Also ich sage ja selbst, als es Pärte verliert man im Moment teilweise ein bisschen den Überblick.

00:13:03: Das ist nämlich die Form der Nachrichtendienste wie das Rübscheiß bei uns eben im regulatorischen Deutschland zum gesetzigen Verfahren.

00:13:10: wo es also um die Frage geht was dürfen denn jetzt wieder unsere Geheimdienste eigentlich?

00:13:14: Das ist nochmal anders als diese Diskussion.

00:13:17: was dürfen unsere Strafverfolgungs- und Ermittlungsbehörden?

00:13:20: Also wenn du über diese digitalen Ermittlungsverfugnisse redest, über den Bereich biometrischer Datenabgleich, Nutzung von Daten die öffentlich im Internet stehen.

00:13:29: Auch für Ermittlungen oder automatisierte Abgleich dieser Daten mit Ermittlungssachen.

00:13:34: Das ist alles strafrecht!

00:13:35: Da geht es um das was dürfen die Ermittungsbehörden machen, was die Polizei über Sprache und BKA usw.

00:13:41: und das andere ist diese Geheimdienstreform, wo es wieder um die Frage geht was darf denn unser BND?

00:13:46: Was darf unser Verfassungsschutz?

00:13:47: E-Kicks ist jetzt eher im letzteren Kundenbereich also im Bereich der BND angesiedelt.

00:13:52: Wo also wirklich dann Daten im Prinzip völlig frei abgezogen werden können sollen sag ich mal wenn das Gesetz so kommt wie es im Moment vorgeschlagen ist, dann werden die Daten die man erlangen kann von Serviceprovidern können dann im Prinzip erstmal völlig ungefiltert gespeichert werden.

00:14:07: Das ist auch das große Problem.

00:14:09: Wenn ich mir überlege, dass wir bei Strafverfolgungsbehörden Momente darüber reden was dürfen die überhaupt sind?

00:14:14: Da wird über wenige Wochen geredet oder sowas ähnliches.

00:14:16: Dass Daten gespeichert werden und es auf Daten zugegriffen werden kann.

00:14:20: Und dann im Geheimdienstbereich soll auf einmal... Hauen sie

00:14:22: sich Rechenzentren voll!

00:14:24: Genau richtig ja aber ohne Anordnung auch die Inhalte und alles einfach so gespeichert werden können und man hinterher sich überlegen ob man es jetzt brauche oder nicht braucht.

00:14:32: Was also eine deutliche Abkehr ist von dem wobei bisher waren.

00:14:37: Da muss man dann schon sagen, das hat auch im Vergleich zueinander.

00:14:40: Das dürfen Straferungen hören und keine Maße mehr.

00:14:44: Es steht

00:14:45: nicht wirklich im Verhältnis.

00:14:46: den Eindruck habe ich auch.

00:14:47: jetzt gibt es aber noch einen weiteren Aspekt.

00:14:49: bleiben wir mal bei den Geheimdiensten.

00:14:50: also Jetzt sorgt Ich sage jetzt mal ihr ja Also alle die sich mit Zeibersicherheit beschäftigen dafür dass es möglich wenig Sicherheitslücken gibt Und wenn es die gibt die dann auch schnell geschlossen werden.

00:15:00: andererseits sollen beispielsweise Geheimdienste-Sicherheitslücken durchaus nutzen dürfen, um dann wieder feinde Gegner andere subversive Objekte auszuspionieren bzw.

00:15:12: Zugriff auf deren Daten zu kriegen?

00:15:13: Das macht das Ganze doch unendlich komplexer.

00:15:16: wenn man jetzt so eine Sicherheitslücke für den Geheimtienst offen hält oder zugänglich macht, oder?

00:15:19: Ja also macht es vor allen Dingen auch total unsicher!

00:15:21: Also eigentlich sind wir mal ganz klar, dass ist ein Ansatz zum Gestern.

00:15:25: Der Ansatz bringt es heute nicht im Offenhalten von Lücken.

00:15:28: Wenn ich mir überlege, wenn man sich anguckt wie schnell werden Lücken ausgenutzt von Bad Actors.

00:15:33: Wie man immer so rübscht sagt ja also von meisten Cyberkriminellen aber auch natürlich von anderen Staaten oder so dann sind wir mittlerweile im Begriff... Ich suche im Moment einen Begriff was kommt denn nach Zero Day?

00:15:43: Wenn man inklusiv bei Minos eins oder Minos zwei ist oder sowas ähnliches?

00:15:47: weil da sind wir in weiten Teilen schon angekommen.

00:15:50: Also der Exploit vor der Veröffentlichung der Lücke dar und damit haben wir natürlich ein Problem.

00:15:55: Aber da sind wir mittlerweile, das liegt natürlich sehr stark an diesen KI-geschützten Angriffen und wer sich nicht mit KI verteidigt hat eigentlich ein Problem heute aus genau diesem Problem.

00:16:04: Wenn eine Schwachstelle bekannt wird dann sind die tatsächlichen Angriffe sofort da.

00:16:10: Und wenn ich das nicht sofort auch schließe sondern ist für welche Gründe auch immer Offenhalte?

00:16:14: Dann ist da ein Riesen, ein Scheutenkohl große Lücke die ausgenutzt werden wird von Cyvec Cheminellen.

00:16:22: Also eigentlich eine Idee quasi aus dem wilden Westen heutzutage nicht mehr ansatzweise praktikabel, weil es recht sich extrem und zwar schon sehr schnell.

00:16:30: Näh am Ausschalt überlegen selbst dieser theoretische Ansatz zu sagen ah die wird gemeldet dann hat sie weitergegeben dann könnte der geheim die ist vielleicht für ne Weile benutzen bevor sie dann beschlossen wird.

00:16:39: was passiert in der Zwischenzeit?

00:16:41: wer verantwortet diese zwischenzeit wenn mit dieser Lücke in der zwischenzeit irgend etwas passiert hier Unternehmen gehackt werden Einzelpersonen gehackт werden der Staat selbst wird.

00:16:49: Das ist ja genau das, was momentan permanent passiert und deswegen sind alle Sicherheitslücken also der Zeitraum in dem man da leben könnte, wo vor ein paar Jahren darüber diskutiert wurde, dass man vielleicht noch drei Monate oder zwei Wochen hatte oder sowas.

00:17:02: In Sting gibt es eigentlich nicht mehr.

00:17:04: Das heißt diesen Zeitraum mit dem man dann leben kann, den das offen gehalten werden soll, der ist eigentlich noch nichts.

00:17:11: Also wir haben schon gemerkt, es ist unfassbar komplex.

00:17:14: Es ist unfastbar vielschichtig.

00:17:15: aber wenn du jetzt all diese Entwicklung zusammennimmst also immer mehr Cyberregulierung.

00:17:19: Wir haben ja über die ganzen Gesetze am Anfang geredet und auf der anderen Seite auch Datenspeicherung KI gestützte Überwachung technische Eingriffsbefugnisse des Staates usw.. Was müsste eine konsistente deutsche Cyber-Sicherheitsstrategie anders machen, damit Unternehmen und auch der Staat handlungsfähiger werden ohne dabei die Vertrauenswürdigkeit unserer digitalen Infrastruktur zu schwächen?

00:17:37: Weil das Problem ist ja auch wer investiert sozusagen in ein Land oder vertraut Strukturen wenn solche Sachen im Raum stehen.

00:17:44: Ja da gibt es keine einzelne Antwort drauf.

00:17:46: Also das zentrale Problem ist natürlich... Und das kriegt man ja auch mit, weil man die Presse oft nach anschlägen oder ähnlichen studieren ist das schon sehr viele Daten vorliegen, aber diese Daten eben nicht richtig zusammengeführt verarbeitet werden können und insbesondere auch zu wenig Personal natürlich.

00:18:01: Das Wichtigste blieb jetzt ein bisschen doof, aber tatsächlich wäre das wichtigste Umdruck, so sei man sich halt zu stärken.

00:18:06: mehr Personale, die sind unbereihig bei den Sicherheitsbehörden ja?

00:18:10: Und das ist halt ein riesengroß Problem weil es will natürlich keine Anwendung heißt dann immer Einsatz von KI und solche Themen noch mehr Daten haben Aber das führt natürlich nicht wirklich zum Erfolg.

00:18:20: Das wichtigste wäre dass wir gut ausgebildetes Personal in diesem Bereich haben.

00:18:24: Das weiß, was es tut und das auch mit den Daten, die es dann erlangt oder heute schon erlangen kann.

00:18:28: zu gar nicht mehr Daten sondern erst mal eine Frage wie kann ich damit umgehen?

00:18:32: Was mache ich damit?

00:18:33: Es sind so viele neue Sachen jetzt schon gekommen in den letzten paar Jahren, die gar nicht richtig ausgenutzt werden wo also mit den Rechten, die schon existieren eigentlich nicht richtig umgegangen wird.

00:18:43: Das Neueste, was wir gerade hatten hat mir schon einmal ein Interview über E-Evidence zum Beispiel dass man jetzt noch im Auslanddaten einfach abfragen kann Und das ist überhaupt noch nicht gestartet worden, richtig.

00:18:54: Also diese Frage auf wie viel Daten kann ich denn heute eigentlich schon zugreifen mit den Rechten die schon existieren?

00:18:59: Ist völlig ungeklärt.

00:19:00: aber wir wollen schon wieder mehr Rechte und mehr Daten noch zutreißen können.

00:19:04: Das macht eigentlich überhaupt keinen Sinn.

00:19:05: man müsste erst mal evaluieren was man mit den momentan mit den neuen Besuchnissen die man in den letzten Jahren geschaffen hat überhaupt schon erreichen kann.

00:19:12: Ach Klaus weißt du was wir haben haben wir und wenn wir selber nicht mehr durchblicken das macht dann die KI der Klassiker im Moment.

00:19:17: Ekovorstand Klaus Landefeld über ich sage mal Das dichte Blattwerk im Dschungel der Cyber-Sicherheitsregulierungen.

00:19:25: und zum Thema, was darf der Staat?

00:19:28: Was dürfen die Ermittlungsbehörden?

00:19:30: Vielen Dank.

00:19:30: Und jetzt noch viel Spaß und Erfolg und erhellende Einblicke in Lissabon!

00:19:37: Also deutlich wurde hier nach dem Gespräch mit dem Profi das selbst die Profis nicht mehr so ganz durchblicken, was da denn gerade so abgeht weil man echt aufpassen muss, wie reguliert wird.

00:19:47: Dass Regulierung wichtig ist Absolut außer Frage.

00:19:50: Wie es in Zukunft weitergeht, auch gerade was die Befugnisse von Strafverfolgungsbehörden oder sogar Geheimdiensten angeht?

00:19:56: Naja da muss man auf jeden Fall ganz genau hinschauen wie sich das entwickelt weil nachher machen wir am Ende noch Tür und Tor auf anstatt die ganzen Sachen sicherer zu machen.

00:20:05: Das wäre natürlich genau die falsche Richtung.

00:20:07: Ja, es ist generell gerade einfach sehr viel an Regulierung.

00:20:11: Das ist ja jetzt schon an der einen oder anderen Stelle angeklungen und das kann natürlich grade auch die du schon vorhin angesprochen hast wenn die kleinen und mittleren Unternehmen teilweise tatsächlich auch überfordern ne?

00:20:22: Das hat auch unsere Umfrage im Grunde so ein bisschen ergeben.

00:20:25: deswegen darf in der ganzen Diskussion um Cyberregulierung natürlich auch die Unternehmensperspektive nicht fehlen denn die Unternehmen müssen ja letztlich dass umsetzen was von der Politik hier vor Und wie das in der Praxis aussehen kann, welche Herausforderungen das für Unternehmen teilweise sind und wie sie damit praktisch umgehen.

00:20:45: Das erfahren wir jetzt im nächsten Interview!

00:20:49: Was bedeutet es für ein Unternehmen, wenn Regulierungen neue Rahmenbedingungen definieren, die möglicherweise die komplette Arbeitsweise, Prozesse oder gar ganze Produkte betreffen?

00:20:59: Dr.

00:21:00: Yvonne Bernhardt ist CTO beim Cloud-Sicherheitsanbieter Hornet Security und verantwortet dort die strategische und technische Entwicklung in den Bereichen Product Development Innovation & Research sowie das Hornet security Lab.

00:21:13: Sie kann aus erster Hand berichten, wie ihr Unternehmen mit neuen Regulierungen im Bereich Cyber-Sicherheit umgeht.

00:21:19: Ich freue mich auf das Gespräch.

00:21:20: Herzlich willkommen hier im Ohr am Netz!

00:21:22: Hallo,

00:21:23: danke schön!

00:21:23: Ja Yvonne Unternehmens sehen sich ja gerade mit ganz vielen verschiedenen Regulierungsgeschichten konfrontiert.

00:21:30: NISTZWEI, DORA, Cyber Resilience Act, um mal einige zu nennen – was bedeutet denn diese Regulierungstichte ganz praktisch für die IT und Security Teams, die ja all diese Anforderungen am Ende dann auch umsetzen müssen.

00:21:43: Ich glaube, die größte Herausforderung ist diese Summe an Anforderungen und sich da im Prinzip abzuleiten was es eigentlich der Kern worum geht.

00:21:51: Und das ist bei allen diesen Frameworks dasselbe.

00:21:54: Das am Ende Risikomanagement, Incident Response Resilience Lieferketten Sicherheit und Governance.

00:22:00: Das heißt wenn ich einmal so ein richtiges Sicherheits- und Compliance Framework aufbaue dann kann ich im Prinzip jede Regulierung jedes Audit damit bestehen weil ich einfach nachweisen kann das entsprechend.

00:22:14: Aber man muss einmal diesen Sprung von... einem einzelnen Projekt sich zu zertifizieren, hinzu kontinuierliche Verbesserung der Cyber-Sicherheit, der Resilienz des Unternehmens schaffen um da wirklich den Standard aufzubauen und dann auch kontinuitärlich zu verbessern.

00:22:31: Jetzt haben wir ja häufig so eine Gleichzeitigkeit ne?

00:22:33: Auf der einen Seite neue regulatorische Anforderungen die umgesetzt werden sollen und gleichzeitig aber eben ja auch reale Angriffe die abgewährt werden müssen.

00:22:41: wie gehen denn Unternehmen mit sowas um?

00:22:43: also man hat ja nicht unbegrenzt Budget und Personal.

00:22:46: Ja, leider ist das bei allen Unternehmen der Fall.

00:22:49: Ganz ganz schwer zu entscheiden und letztlich muss es da von Ohnherer priorisiert werden.

00:22:54: Also was hat wirklich aktuell die höchste Priorität?

00:22:57: auf welche Themen möchten und müssen wir uns fokussieren?

00:23:00: Und welche Themen können wir uns vielleicht auch im nächsten Jahr anschauen, weil die nicht ganz so dringend unwichtig sind.

00:23:06: Ich glaube nur so schafft man es auch wirklich den Teams die Möglichkeit zu geben diese Themen strukturiert anzugehen.

00:23:13: Es lässt sich viel automatisieren gerade was Security Monitoring angeht aber auch Compliance-Themen.

00:23:19: Nur ist erst mal ein Standard den ich aufbauen muss, den ich etablieren muss innerhalb des Unternehmens.

00:23:24: und wenn ich das schaffe, dann ist das Compliance an sich ein Nebenprodukt unter Sicherheitsprozesse die ich etabliert habe nicht andersrum.

00:23:34: Jetzt hast du vorhin schon gesagt die meisten dieser Regeln verfolgen ja eigentlich das gleiche Ziel nämlich eben Cyber-Sicherheit zu verbessern.

00:23:41: woran erkennt man denn in der Unternehmspraxis ob jetzt so eine neue Vorgabe die kommt tatsächlich zu mehr Sicherheit führt oder ob es eher vorrangig um weitere Dokumentationspflichten, Prüfpflichten oder eben Compliance-Prozesse geht?

00:23:55: Es

00:23:55: hängt glaube ich oft an der Interpretation dieser Richtlinie.

00:23:59: Grundsätzlich würde ich mich immer fragen verbessert die Maßnahme und die Fähigkeit des Unternehmens einen Angriff zu verhindern ihn zu erkennen oder früher zu erkennen Oder sich davon schnellstmöglich zu erholen?

00:24:10: Wenn eins der drei Themen zutrifft dann ist das ein echter Sicherheitsgewinn.

00:24:15: Wenn gar nichts von diesen dreien Fällen zutrifft, dann ist es am Ende reiner Dokumentationsaufwand der das Unternehmen nicht zwingend weiterbringt in seiner Sicherheit.

00:24:26: Ein gutes Beispiel hier sind zum Beispiel Wiederherstellungs-Tests für Backup.

00:24:30: Viele machen irgendwie Backup an Testen aber nie, ob das funktioniert und wenn es dann mal knallt.

00:24:35: Dann ist man ganz überrascht dass man das gar nicht so schnell wieder einspielen kann wie Man sich das vorgestellt hat auf dem papier.

00:24:41: backup ist da.

00:24:42: ich habe das dokumentiert schön gut Aber ohne einen Wiederherstellungstest oder vielleicht auch ein zufälligen regelmäßig Ist das ganze eigentlich nichts wert.

00:24:51: deshalb vielleicht auch sich zu überlegen, was ist denn überhaupt eine Metrik?

00:24:55: Wie ich den Erfolg messen kann.

00:24:57: Bessere Erkennungszeiten, kürze Reaktionszeiten die Anzahl der Sicherheitsvorfälle die Dauer bis zur Wiederherstellung des ursprünglichen oder erwünschten Zustandes das werden so ein paar Tipps.

00:25:09: Jetzt macht ja gerade NIST zwei Cyber-Sicherheit stärker auch zum Management Aufgabe und verlangt unter anderem Risikomanagement, Meldeprozesse Maßnahmen zur Geschäftskontinuität.

00:25:21: verändert sich dadurch auch die Zusammenarbeit zwischen der Geschäftsführung und, sag ich mal, Compliance- und den technischen Security Teams?

00:25:29: Ja.

00:25:29: Absolut!

00:25:30: Und ich halte das für eine richtige Veränderung.

00:25:34: Cyber-Sicherheit wurde lange als IT-Thema gehandelt – und das ist es nicht.

00:25:38: Das ist wirklich ein Top-Down-Management-Themer.

00:25:41: NIS-II macht deutlich, dass es sich um Risikomanagement, um das Management des Unternehmenskisikos... handelt.

00:25:48: Und das verschiebt die Diskussion von einzelnen technischen Maßnahmen hin zu dem grundsätzlichen, also welche Risiken sind wir bereit zu akzeptieren?

00:25:56: Welche Systeme sind geschäftskritisch?

00:25:58: Wie resilient möchten wir sein?

00:26:00: Müssen wir vielleicht auch sein gegenüber unseren Kunden zu sagen und welche Investitionen sind notwendig um dahin zu kommen?

00:26:07: Das heißt Geschäftsführung gegebenenfalls Compliance Teams und technische Teams müssen deutlich enger zusammenarbeiten.

00:26:14: Die Geschäftsführung definiert die Risikotenteranz, komplett sorgt für den regulatorischen Rahmen und die technischen Teams setzen sie notwendigen Maßnahmen ein.

00:26:22: Und die Kombination schaffen es dann wirklich die Sprache zwischen Business- und Technik zu vermitteln.

00:26:29: Der Vorstand selber muss nicht verstehen, wie das Sieben funktioniert oder so.

00:26:33: Er muss aber verstehen welches Risiko dadurch reduziert wird und darum geht es.

00:26:37: Und deshalb auch diese Schulungen für Geschäftsführer, dass sie wirklich wissen welches risikotragisch womit hafte ich gegebenenfalls auch persönlich?

00:26:44: Diese persönliche Haftung in dem Moment wo das in irgendeinem Framework steht ist auf einmal die Bereitschaft da zu investieren und von daher macht das tatsächlich die Cyber-Sicherheit stärker.

00:26:56: Ja, jetzt endet ja Regulierung heute häufig gar nicht mehr an der eigenen Unternehmensgrenze.

00:27:01: Gerade NIS-II nimmt beispielsweise auch die Lieferketten stärker in den Blick.

00:27:05: Was bedeutet das denn für Unternehmen?

00:27:07: Dass man plötzlich quasi nicht mehr nur seine eigene Sicherheit nachweisen muss sondern quasi auch die von Dienstleistern und Technologiepartnern.

00:27:16: Das ist tatsächlich in der Realität so dass Unternehmen heute nur so sicher sind wie ihr schwächster Dienstleiser Bei dem Moment, wo der Dienstleister angegriffen wird.

00:27:26: in der Haftung bin ich mitangegriffen.

00:27:28: Das heißt es nutzt nicht mehr aus einfach nur meine Umgebung zu schützen sondern ich muss schauen was habe ich für Cloud Anbieter im Managed Service Provider Software Hersteller und was sind gegebenenfalls Risiken oder Angriffsvektoren die darüber auf mich reinkommen.

00:27:43: In der Praxis bedeutet das relativ viel organisatorischen Aufwand und Dokumentationsaufwand leider, aber mit dem Ziel tatsächlich die Cyber-Sicherheit ganzheitlich zu stärken.

00:27:53: Das heißt stärkere Duty-Legendsprozesse, regelmäßige Sicherheitsbewertungen von Partnern, transparente Sicherheitsnachweise, ganz klare vertragliche Anforderung und natürlich auch die kritische Überwachung.

00:28:06: Und dort ist ein risikobasierter Ansatz besonders wichtig.

00:28:11: also ich Ich kann nicht hunderte Partner mit derselben Intensität prüfen.

00:28:15: Das heißt, ich muss dann schauen, was sind meine kritischen Partner?

00:28:18: Wo würde ein Ausfall oder eine Kompromittierung mich in Probleme bringen?

00:28:23: Was würde den größten Geschäftsschaden verursachen und mich auf die konzentrieren?

00:28:27: Wenn ich es wirklich so richtig Deutsch betrachte ins kleinste Detail reingehe, dann werde ich wahrscheinlich nie fertig.

00:28:33: da auch Priorisierung, was für mich die kritischen Dienstleister ... welche Angriffsektoren muss sich da absichern.

00:28:39: Letzte Frage, du bist ja jetzt mit wahnsinnig vielen Regulierungen die so von außen an euch herangetragen konfrontiert.

00:28:45: wenn Du selber eine einzige Regel für die kommende Cyber-Sicherheitsgesetzgebung festlegen dürftest was wäre das?

00:28:53: Welche Anforderungen müsste jede neue Regulierung erfüllen bevor sie Unternehmen aufherlegt wird?

00:28:59: also für mich wäre die grundsätzliche Vorgabe oder Frage, die man sich stellen sollte bevor eine solche Regulierung live geht wird das Unternehmen dadurch nachweislich sicherer oder widerstandsfähiger.

00:29:12: Wenn ich das nicht habe generiere ich sehr viel Arbeit für sämtliche Unternehmen plus diejenigen die es dann überprüfen müssen.

00:29:18: ist ja nicht so dass das BSI jetzt langeweile hat jetzt wo der Cyber Resilience-Actor ist sondern auch die müssen im Prinzip Ressourcen aufbauen um das Ganze kontrollieren zu können und wie Unternehmen dabei unterstützen zu können weil am Ende sollen die Unternehmen Widerstandsfähiger werden, nicht auditierbarer.

00:29:36: Ja vielen Dank Doktor Yvonne Bernhard.

00:29:39: CTO bei Hornet Security sagt Cyber Sicherheit ist ein Top-Down Management Thema.

00:29:44: und ja ich fand es spannend dass du gesagt hast die Summe der vielen Cyber Sicherheitsregulierung gerade stellen natürlich die Unternehmen von eine große Herausforderung.

00:29:53: aber der Kern ist häufig eigentlich der gleiche und führt eigentlich dazu das man eben ein Schlüssiges Komplienzkonzept braucht, ein schlüssiges Security-Konzept um das Ganze sozusagen mal ein bisschen zu vereinfachen.

00:30:05: Vielen Dank dass du hier bei uns warst!

00:30:09: Wir haben es mitgekriegt.

00:30:11: Regulierungstichte im Cyberraum stellt auch echte IT-Profis vor Herausforderungen.

00:30:15: für die Politik bedeutet das verantwortungsvoll regulieren und vielleicht doch eher noch ein zweites Mal überlegen ob ein Gesetz wirklich mehr Sicherheit bedeutet oder am Ende nur mehr Bürokratie.

00:30:25: Ja und für Unternehmen bedeutet das, dass hat ja auch Yvonne Bernhard ganz anschaulich gesagt Sicherheit zum Top-Down Management Thema zu machen.

00:30:34: Also es ist nichts was irgendjemand nur so nerdy in seiner kleinen Fachabteilung betreibt sondern ein Thema geworden, mit dem sich das Topmanagement beschäftigen muss.

00:30:46: Für dass das Top-Management ja am Ende auch gerade stehen muss.

00:30:49: und hier zeigt auch unsere ECO IT Sicherheitsumfrage, dass die Verantwortung für Cybersicherheit häufig tatsächlich inzwischen auch in der Geschäftsleitung organisatorisch verankert ist.

00:30:59: Siebensechzig Prozent sagen Ja, tatsächlich auch inklusive Berichtspflichten an den CEO Vorstand Und ich glaube, das zeigt ganz deutlich im Cyber Sicherheit ist in den allermeisten Unternehmen kein nachgeordnetes Thema mehr.

00:31:13: Ja, Zeit wurde es so ein bisschen.

00:31:15: Aber jetzt hat dir die heutige Diskussion auch einen Vorgeschmack auf die Internet Security Days bei der diesjährigen ITZA gegeben.

00:31:21: Das haben wir ja eingangs schon gesagt.

00:31:23: also, Ab neun Uhr in Nürnberg und der ECO gestaltet Programme zu den Themen EU-Cybersicherheitsregulierung, Europas Netze, souveräne Infrastrukturen, KI und Cyberresilienz.

00:31:34: Und vieles, vieles mehr!

00:31:36: Da gibt es natürlich tolle Speakerinnen und Speaker von INESA dem Cyber Intelligence Institute, deren BSI na klar ICANN ist mit vertreten und natürlich zahlreiche Mitglieder des ECOV Microsoft oder Norris Network.

00:31:49: Es gibt einen Rabattcode für alle fleißigen Hörerinnen und Hörern vom Ohr am Metz.

00:31:53: Ich würde sagen packen wir hier in die Show Notes dieser Episode, und dann naja vielleicht sieht man sich ja schon Ende des Monats wäre doch toll!

00:32:00: Ja also ich bin tatsächlich auch vor Ort in Nürnberg freue mich natürlich über alle die ich da treffe und ansonsten halten wir euch natürlich über allerelevanten Entwicklungen hier weiter auf dem laufenden zum Thema Cyber-Sicherheit und vielen weiteren digital Themen.

00:32:17: Bis bald Und vielen Dank.

00:32:19: Tschüss!

00:32:19: Macht's gut,

00:32:28: tschüß!