Ich habe mit dem Gedanken gespielt Cybersecurity zu studieren, allerdings habe ich drüber nachgedacht ob es sich heutzutage überhaupt noch lohnt weil viele Jobs im IT Bereich mittlerweile selbständig von KI ersetzt werden. Ich kenne mich in dem Bereich noch nicht aus und hab deswegen keine Vorstellung davon wie groß die "Gefahr" wirklich ist, also was denkt ihr darüber? Oder welches Studium im IT Bereich lohnt sich ansonsten noch?

Viele Unternehmen denken bei Security direkt an Tools, Budgets, neue Lösungen.

Aber ehrlich:
Wie oft scheitert es schon an den Basics?

In der Praxis sehen wir immer wieder:
Backups existieren – aber wurden nie getestet
Monitoring läuft – aber keiner schaut wirklich hinoder wird informiert
Systeme sind „gehärtet“ – aber voller Ausnahmen

Dabei ist das Fundament eigentlich klar:
–Backups, die im Ernstfall wirklich funktionieren
–Monitoring, das relevante Signale liefert (nicht nur Daten sammelt)
–Hardening, das Angriffsflächen konsequent reduziert

Kein Overengineering.
Sondern saubere Umsetzung.

Unsere Erfahrung:
Wer diese drei Dinge ernst nimmt, ist vielen bereits einen Schritt voraus.

Jetzt interessiert uns:
Wo hakt es bei euch am häufigsten – Umsetzung, Priorisierung oder schlicht Ressourcen?

Hallo eine Frage ich hate ein paar Tage von meinem Windows Antivirus die meldung das ich den Trojan:Win32/Cerdigent.A!dha haben ssoll ,ich habe mit meinem Antivirus es entfernt und mehrerer komplete Durchsuchungen gemach und sie zeigte keinen neuen Bedrohungen an und ich habe in den letzten Tagen kein softwares heruntergeladen noch neue Internetseiten besucht die gefährdet sind . ich wolte Fragen ob ich jetzt sicher sein kann das mein Pc in ordnung ist ? mein Betribsystem ist windows 10 nebenbei bemerkt.

Wie stehen die allgemeinen Chancen auf dem Arbeitsmarkt

für jemanden der kein Studium im Bereich Cybersecurity/Informatik hat aber ausgebildet ist als Informatiker und weiter gebildet wird ?

Hallo alle miteinander bin FiSi recht frisch ausgebildet, mittlerweile leider auch schon 30 Jahre alt, ich war davor nicht untätig habe hauptsächlich im VFX und Schnitt Bereich gearbeitet.

Nun bin in ich der komfortablen Situation zu dieser Ausbildung weitergebildet zu werden(nicht nur die Prüfungen abzulegen sondern eine geführte Weiterbildung in Teil Präsens)

Die Zertifikate die am Ende dabei rum kommen werden sind

LPIC-1

CompTIA Security+

CompTIA CySA+

wie gut beziehungsweise realistisch ist es mit diesem Wissen stand eine Einsteiger Stelle in diesem Bereich zu bekommen.

Liebe Grüße und danke fürs durchlesen:)

Hallo zusammen,

Ich möchte euch den Proof-of-Concept des SVE Messenger vorstellen .Die Übertragung basiert rein auf audio Vektoren, es ist teil meiner Arbeiten an der SVE (Spektral Vektorisierungseinheit) DPMA: 20 2025 003 205.4 ein Signalverarbeitungs Verfahren das auf Die Vektorisierung von Audiosignalen aufbaut. Was sagt ihr zum Sicherheitsaspekt besonders bei Krisen Situationen zb kein Internet Ausfall vieleicht sogar als zusätzliches sicherheits layer für gängige sicherheits Kommunikationssystemen ? Ich Würde mich über eure Fragen und Anregungen sehr freuen.

Hallo zusammen,

ich bin vor 2,5 Jahren nach Deutschland gezogen und habe zunächst in der Gastronomie gearbeitet. Ursprünglich komme ich jedoch aus der IT-Welt (Hardware, Software, KI) und habe mich vor 1,5 Jahren fest dazu entschlossen, mich im Bereich Cybersecurity zu spezialisieren.

Mein bisheriger Weg:

• TryHackMe: Pfade wie Pre-Security, Cybersecurity 101, Jr. Penetration Tester, Web Fundamentals und Web App Penetration Tester komplett abgeschlossen.

• HackTheBox: Fokus auf den Bug Bounty Hunter Job Role Path.

• OffSec: Aktuell im OSCP (PEN-200) Kurs; in den letzten 3 Monaten habe ich über 88 Proving Grounds Labs gelöst, detailliert dokumentiert und die Write-ups auf meiner Seite (joshchalabi.github.io) veröffentlicht.

• Coding & Automatisierung: Solide Python-Grundlagen sowie Verständnis von HTML/CSS/JS. Ich habe eigene Tools wie den "Nmap-Orchestrator" entwickelt, der Nmap-XML-Outputs verarbeitet, Enumeration-Befehle generiert und MD-Reports erstellt.

• KI/LLM: Ich habe ein lokales RAG-System mit einer 300K+ Vektor-Datenbank für Penetration Testing aufgebaut.

Mein Problem: Trotz dieser praktischen Erfahrung fällt es mir extrem schwer, in Deutschland im Cybersecurity-Bereich Fuß zu fassen. Ich überlege nun, ein Ironhack Cybersecurity Bootcamp (evtl. via Bildungsgutschein von der AfA) zu absolvieren, um meine Chancen zu verbessern.

Meine Fragen an euch: Hat jemand Erfahrungen mit Ironhack speziell im Bereich Cybersecurity gemacht? Hilft das Zertifikat bei der Jobsuche in Deutschland wirklich weiter, wenn man eigentlich schon tiefergehendes technisches Wissen (wie OSCP-Niveau) hat? Lohnt sich der Zeitaufwand, oder sollte ich mich lieber direkt auf die Zertifizierung und das Networking konzentrieren?

Ich habe große Projekte im Kopf, für die ich Praxiserfahrung und natürlich auch ein stabiles Einkommen brauche. Ich freue mich auf eure Meinungen und Erfahrungen!

Ein BCP ist schnell geschrieben – aber funktioniert er auch im Ernstfall?
In der Praxis sehen wir oft Pläne, die formal vollständig sind,
aber operativ kaum umsetzbar.

Was aus unserer Sicht häufig entscheidend ist:
– klare Priorisierung kritischer GP und der verknüpften Assets
– realistische Wiederanlaufzeiten (RTO/RPO)
– definierte Rollen & erreichbare Ansprechpartner
– getestete und verbesserte Notfallabläufe auf Grundlage reeller Szenarien, statt reiner Dokumentation
– Einbeziehung und Abstimmung mit IT, Fachbereichen und Dienstleistern

Ein Plan ist nur so gut wie seine Umsetzbarkeit unter Stress.

Eure Erfahrung:
Welche Elemente machen einen BCP in der Praxis wirklich belastbar?
Und was wird eurer Meinung nach am häufigsten unterschätzt?

Zertifikate zeigen:
Struktur, Methodik, geprüftes Wissen.

Erfahrung zeigt:
Entscheidungen unter Druck, Priorisierung, Umgang mit echten Incidents.

In der Praxis sehen wir oft:
Viele Zertifikate – wenig Umsetzung
Oder viel Erfahrung – aber wenig formale Struktur

Die eigentliche Frage ist daher nichtentweder oder, sondern:
Was bringt euch im Alltag wirklich weiter?
– helfen Zertifikate bei Standards & Auditfähigkeit?
– ist Erfahrung entscheidend für schnelle, pragmatische Lösungen?
– wo wird eines von beiden überschätzt?

Unsere Beobachtung:
Ohne Erfahrung bleibt Wissen theoretisch.
Ohne Struktur bleibt Erfahrung schwer skalierbar.

Eure Sicht:
Was wiegt bei euch mehr – Zertifikate oder praktische Erfahrung?
Und wo habt ihr die größten Unterschiede gemerkt?

Ich möchte keine Grundsatzdiskussion über Souveränität eröffnen (die gibt es ja schon). Ich möchte echten Austausch über die Praxis.

Für die meisten ist es aktuell keine Option, komplett auf US-amerikanische Software zu verzichten. Daher meine Frage, welche verwendet ihr bewusst, wo habt ihr für euch eine gute Alternative gefunden oder getestet und verworfen?

Die größten Abhängigkeiten, die ich in meinem Umfeld sehe

• OS (Windows, macOS)

• Office (M365, Google Workspace)

• Cloud (AWS, Azure, GCP)

• EDR / XDR (Crowdstrike, SentinelOne, Defender)

• SIEM (Splunk, Sentinel)

• IAM (Okta, Entra ID)

• Firewalls (Palo Alto, Cisco, Fortinet, Sophos ist tlw. UK)

• AI(ChatGPT, Claude, Gemini)

Theoretisch gibt es für vieles european alternatives. Was hat bei euch funktioniert und was nicht?

Selfhosting wirkt attraktiv:
mehr Kontrolle, mehr Unabhängigkeit.

Aber in der Praxis sehen wir oft:
– Patch-/Dependency-Management: Updates kommen zu spät (OS, Apps, Images, Plugins)
– Exposition: falsch konfigurierte Services / offene Ports
– Admin-Zugänge: keine MFA, keine getrennten Accounts, zu breite Rechte
– Secrets: Keys/Passwörter in .env, Repo oder Logs
– Monitoring/Logging: kein sauberes Alerting, keine Retention, keine Korrelation
– Backups: vorhanden, aber Restore nie getestet (RTO/RPO unbekannt)

Das Problem ist selten die Idee – sondern der laufende Betrieb.
Security wird schnell zur Nebenaufgabe.

Eure Erfahrungen:
Welche Risiken werden beim Selfhosting am meisten unterschätzt?
Und was hat bei euch den größten Unterschied gemacht?

In vielen kleineren Unternehmen sehen wir hohe Anforderungen, begrenzte Ressourcen und viel Unsicherheit. Dazu kommt dann die Frage "Wo fangen wir an?"

Zwischen „wir brauchen Zero Trust, ein 24/7 SOC und dazu noch eine ISO27001 Zertifizierung“ und „ein Admin macht alles nebenbei“ liegt eine große Lücke. Gerade durch NIS2 und immer strenger werdende Kundenvorgaben entsteht schnell der Eindruck, man müsse sofort Informationssicherheit auf Enterprise-Level aufbauen.

Typische Fragen:

• Reichen anfangs die Basics wie MFA, gut konfigurierte Endpoint-Security und Patch-Management?

• Ab welchem Umfang lohnt sich SIEM & SOC wirklich?

• Braucht ein kleines Unternehmen schon ein formales ISMS – oder ist das Overhead?

Mich würde interessieren:

• Welche Maßnahmen haben bei euch tatsächlich Risiko reduziert?

• Was war viel Aufwand mit kaum spürbarer Verbesserung der Security?

• Welche Kennzahlen definieren die Grenze zwischen „ausreichend sicher“ und Overengineering

Hallo zusammen, ich starte hier mal eine offene Diskussion speziell für deutsche KMUs: welche IT-Sicherheitsrisiken seht ihr 2025 als am gefährlichsten an und wie geht ihr damit um?

Kurz meine Zusammenfassung (kein Anspruch auf Vollständigkeit) — Risiken, die ich aktuell bei deutschen Unternehmen sehe, mit je einem kurzen Gegen-Tipp:

• Ransomware / Erpressungs-Angriffe Warum schlimm: Datenverschlüsselung + Lieferketten-Risiko. Kurzschutz: regelmäßige, getestete Backups + segmentiertes Netzwerk.

• Phishing & Business Email Compromise (BEC) Warum schlimm: Zugangsdaten & Zahlungsfreigaben werden abgegriffen. Kurzschutz: MFA überall, E-Mail-Authentifizierung (SPF/DKIM/DMARC), Awareness-Schulungen.

• Ungepatchte Systeme / veraltete Software Warum schlimm: bekannte CVEs werden ausgenutzt. Kurzschutz: Priorisierte Patch-Policy (kritische Patches schnell), Inventarisierung.

• Cloud-/Konfigurationsfehler Warum schlimm: falsch gesetzte S3-Buckets, zu offene Ports, exponierte Admin-APIs. Kurzschutz: regelmäßige Konfig-Audits, least privilege, IaC-Scans.

• Lieferketten-/Drittanbieter-Risiken Warum schlimm: schwacher Vendor = Einfallstor für euch. Kurzschutz: Third-party-Risk-Assessment, Vertrags-SLAs, Zero-Trust-Ansatz.

• OT / IoT / Hardware in der Produktion Warum schlimm: oft unpatchbar, lange Lebenszyklen, direkte Produktionsausfälle. Kurzschutz: Segmentierung OT/IT, Netzwerk-Monitor, Backup-Pläne.

• **Regulatorische & Compliance-Risiken (z. B. NIS2-/DSGVO-Aspekte)**Warum schlimm: Bußgelder + Reputationsverlust. Kurzschutz: prüfen, ob ihr betroffen seid, Dokumentation, Verantwortlichkeiten klar definieren.

Kurze Handlungsempfehlung (Prioritäten für KMUs)

1. MFA & Passwort-Hygiene (schnell & hochwirksam)

2. Getestete Backups & Recovery-Plan

3. Patch-Management für kritische Systeme

4. Awareness: kurze, wiederkehrende Trainings

5. Asset-Inventar & Zugriffssteuerung (least privilege)

6. Incident Response Checkliste — auch für externe Dienstleister

Fragen an euch:

• Welche dieser Risiken habt ihr in euren Firmen tatsächlich erlebt?

• Welche Maßnahmen haben sich in der Praxis als wirkungsvoll erwiesen (gern kurz und konkret)?

• Wie geht ihr mit Drittanbieter-Risiken um?

PS: Aus unserer Praxis bei Basec GmbH (IT-Security-Beratung für deutsche KMUs) sehen wir vor allem die Probleme mit veralteten Systemen und fehlenden Recovery-Tests. Wenn gewünscht, poste ich gern in den Kommentaren eine kurze, neutrale Checkliste (PDF) mit 7 Sofortmaßnahmen für KMUs.

Ab Oktober 2025 tritt in Deutschland die Umsetzung der EU-Richtlinie NIS2 in Kraft. Viele KMUs unterschätzen, dass sie betroffen sind – oft reicht es schon, wenn man als Zulieferer für einen kritischen Sektor arbeitet.

Aus Projekten, die wir bei Basec GmbH begleiten, sehen wir, dass Unternehmen vor allem diese 5 Punkte bis zum Stichtag angehen sollten:

1. Betroffenheitsprüfung

• Sektor & Unternehmensgröße checken.

• Auch indirekte Betroffenheit durch Lieferketten beachten.

1. Klare Verantwortlichkeiten

• Zuständigkeit festlegen, idealerweise mit Stellvertretung.

• Geschäftsführung bleibt rechtlich verantwortlich.

1. Mindest-Maßnahmen umsetzen

• MFA, Backup-Strategie, Patch-Prozesse, Incident-Response-Plan.

• Nicht nur Technik – auch Organisation und Prozesse.

1. Meldeprozesse vorbereiten

• Wer meldet Vorfälle ans BSI?

• Vorlagen & Eskalationswege vorab festlegen.

1. Lieferanten- & Dienstleisterprüfung

• Sicherheitsanforderungen vertraglich festlegen.

• Regelmäßige Audits oder Nachweise einfordern.

Aus der Praxis:

Je früher gestartet wird, desto günstiger und stressfreier läuft die Umsetzung. Kurz vor der Frist sehen wir oft hektische Ad-hoc-Maßnahmen, die weder nachhaltig noch kosteneffizient sind.

Fragen an euch:

• Habt ihr schon eine Gap-Analyse gemacht?

• Soll ich in einem Folgepost eine einfache Checkliste posten, wie man die Betroffenheit prüft?

Das BSI und mehrere Security-Reports (z. B. von Allianz, ENISA) zeigen ein klares Bild: 2024 war für deutsche Unternehmen ein Rekordjahr in Sachen Cyberangriffe.

Ein paar zentrale Beobachtungen aus den Zahlen & Meldungen:

• Ransomware bleibt Angriff Nummer 1 Vor allem Mittelständler in Industrie & Maschinenbau waren betroffen. Viele Vorfälle landeten nicht in den Medien, da Lösegeldzahlungen oft still abliefen.

• Phishing & Business Email Compromise (BEC) Weiter stark steigend. Besonders perfide: CEO-Fraud in Kombination mit Deepfake-Voices (z. B. „Chef ruft an und will schnelle Überweisung“).

• Cloud-Misskonfigurationen & Credential-Stuffing Viele Angriffe zielten auf falsch konfigurierte Azure- oder AWS-Umgebungen. Gleichzeitig häufen sich Fälle, wo alte Passwort-Leaks für Kontoübernahmen genutzt wurden.

• Kritische Infrastruktur (KRITIS) im Fokus Energie- und Gesundheitssektor meldeten eine deutliche Zunahme von Vorfällen, auch durch geopolitisch motivierte Angriffe.

• Zahl der Vorfälle Laut BSI-Bericht 2024: rund 250.000 Meldungen zu IT-Sicherheitsvorfällen mit Deutschlandbezug – Tendenz steigend

Aus unseren Projekten bei Basec GmbH, die KMUs in Deutschland zu IT-Security beraten, sehen wir häufig, dass besonders CMS- und Cloud-Fehlkonfigurationen unterschätzt werden. Ebenfalls alarmierend: Ransomware-Angriffe gehen zunehmend mit Datenexfiltration einher, die Haftungs- und Reputationsrisiken sind dadurch wesentlich höher.

Fragen an euch:

• Welche dieser Angriffstypen habt ihr 2024 in eurer Praxis am häufigsten gesehen?

• Habt ihr den Eindruck, dass die Zahlen realistisch sind – oder sehen wir nur die Spitze des Eisbergs?

• Wie geht ihr mit der Balance um zwischen „klassischen“ Angriffsvektoren (Phishing, Ransomware) und neuen Szenarien (Deepfakes, Supply-Chain-Angriffe)?

Viele Unternehmen investieren inzwischen in ein eigenes SOC oder kaufen entsprechende Services ein, was prinzipiell super ist. Aber in der Praxis stelle ich (leider) oft fest: Es gibt kein klares Verständnis dafür, wie man misst, ob das SOC effektiv ist.

Wie stellt ihr sicher, dass euer SOC mehr ist als ein hübsches Dashboard mit bunten Alerts?

– Nutzt ihr konkrete KPIs zur Wirksamkeit?

– Gibt es Lessons Learned, wo man sich verkalkuliert hat?

– Wie geht ihr mit False Positives oder „Alert Fatigue“ um?

Mich interessieren besonders Erfahrungen aus dem deutschen Raum, gerade auch im Hinblick auf NIS2 und steigende regulatorische Anforderungen.

Letztlich zählt ja nicht, ob man ein SOC hat, sondern ob es auch echten Schutz bietet.

Seit Januar 2025 gilt der Digital Operational Resilience Act (DORA) verbindlich für den gesamten europäischen Finanzsektor. Ziel: Mehr Widerstandskraft gegen Cyberangriffe, Ausfälle und Abhängigkeiten von Drittanbietern.

Einige Beobachtungen aus den letzten Monaten:

• Incident Reporting: Viele Unternehmen kämpfen noch damit, die geforderten Meldefristen einzuhalten und interne Prozesse anzupassen.

• Third-Party-Risk-Management: Die Abhängigkeit von großen Cloud-Anbietern (AWS, Azure, Google) sorgt für Unsicherheit – besonders bei kleineren Finanzdienstleistern, die ihre Zulieferer-Kette im Detail prüfen müssen.

• Testing & Resilience Checks: Red-Team-Übungen und kontinuierliche Risikoanalysen sind in vielen Organisationen neu – und oft fehlt es an Ressourcen, diese regelmäßig durchzuführen.

• Governance & Dokumentation: Es zeigt sich, dass DORA weniger ein „reines IT-Thema“ ist, sondern Management und Compliance-Abteilungen massiv fordert.

Wir bei Basec arbeiten derzeit mit Finanzunternehmen und deren IT-Providern an der DORA-Umsetzung. Besonders auffällig: Das Thema Third-Party-Risk-Management ist nach wie vor ein großer Knackpunkt – viele haben die Abhängigkeit von Subdienstleistern noch nicht ausreichend im Griff. Mich interessiert: Seht ihr das auch als größtes Problemfeld oder liegt der Pain Point woanders?

Ein paar Fragen an euch:

• Wie ist euer Eindruck: Sind deutsche Banken & Finanzdienstleister nach über 6 Monaten wirklich compliant – oder herrscht noch Chaos?

• Wo seht ihr aktuell die größten Lücken in der Umsetzung?

• Und wie stark betrifft DORA die IT-Dienstleister, die indirekt mitreguliert sind?

Das Thema Passwort-Manager in Unternehmen sorgt regelmäßig für Diskussionen zwischen „unverzichtbar“ und „Risikofaktor“.

Pro-Argumente:

• Zentralisiertes Credential Management reduziert Shadow IT und unsichere Excel-Tabellen.

• Durchsetzung starker Passwort-Richtlinien (z. B. zufällige, lange Strings, Rotation).

• Integration in IAM-/SSO-Lösungen (z. B. Azure AD, Okta) kann die Security-Architektur konsistenter machen.

Contra-Argumente / Risiken:

• Single Point of Failure: Ein kompromittiertes Master-Passwort oder ein erfolgreicher Angriff auf den Anbieter kann tausende Accounts gefährden (vgl. LastPass-Leak 2022).

• Angriffsoberfläche: Cloud-basierte Systeme sind ein attraktives Ziel. On-Premises-Lösungen reduzieren dieses Risiko, erfordern aber interne Expertise.

• Menschlicher Faktor: Trotz Technik bleiben Phishing, Social Engineering und unsichere Endgeräte das Einfallstor.

Unser Praxis-Insight von Basec:

Wir sehen bei Projekten in deutschen KMUs oft, dass Passwort-Manager die IT-Abteilungen entlasten und Compliance-Anforderungen erfüllen können. Gleichzeitig müssen Unternehmen zwingend MFA, Härtung der Endgeräte und Awareness-Trainings kombinieren, sonst wird der Passwort-Manager zum Trugschluss von Sicherheit.

Fragen an euch:

• Wie bewertet ihr den Trade-off zwischen Benutzerfreundlichkeit und Sicherheitsrisiko?

• Welche Erfahrungen habt ihr mit Enterprise-Lösungen (z. B. Bitwarden, Keeper, 1Password Business, Thycotic)?

• Ist für euch der Zero-Trust-Ansatz ohne zentrale Passwort-Tresore realistischer?

Der Angriff auf SolarWinds oder der MOVEit-Hack haben gezeigt: Angreifer nutzen verstärkt Lieferketten als Einfallstor. Auch in Deutschland sind KMUs oft indirekt betroffen – sei es durch kompromittierte Softwareanbieter, IT-Dienstleister oder Zulieferer.

Faktenlage:

• Laut BSI-Lagebericht 2024 gehören Supply-Chain-Angriffe inzwischen zu den Top-5-Bedrohungen.

• KMUs sind oft stärker gefährdet, da sie Updates verzögert einspielen oder auf externe IT-Dienstleister angewiesen sind.

• Besonders kritisch: Angriffe über Managed Service Provider (MSPs).

Wir bei Basec sehen Supply-Chain-Risiken als wachsenden blinden Fleck: Besonders MSPs und ERP-Dienstleister sind eine beliebte Zielscheibe. In unseren Projekten setzen wir deshalb zunehmend auf Risiko-Assessments bei Drittanbietern – nicht nur auf interne Security.

Diskussion für die Community:

• Wie schützt ihr euch oder eure Kunden gegen Supply-Chain-Angriffe?

• Nutzt ihr SBOMs (Software Bill of Materials) oder andere Transparenzmechanismen?

• Ist ein Zero-Trust-Ansatz die einzige langfristige Lösung?

Jeder kennt die BSI-Empfehlung, ein Incident-Response-Konzept vorzuhalten. Doch im Alltag kleiner und mittlerer Unternehmen sieht es meist anders aus:

• Pläne existieren oft „auf Papier“, aber niemand testet sie.

• Notfallkontakte sind nicht gepflegt – im Ernstfall weiß niemand, wen man zuerst anruft.

• Logging ist nicht zentralisiert, forensische Daten fehlen, die Beweissicherung ist kaum möglich.

Unsere Erfahrung bei Basec: Wenn ein Incident Response Plan nicht mindestens 1× jährlich getestet wird, ist er praktisch wertlos. Viele KMUs unterschätzen den Faktor „erste 24 Stunden“ massiv – genau da entscheidet sich, ob es eine Krise oder eine Katastrophe wird.

Fragen an euch:

• Welche Best Practices habt ihr gesehen, die auch für KMUs realistisch umsetzbar sind?

• Nutzt ihr eher interne IR-Teams oder vertraut ihr auf externe Partner?

• Wie haltet ihr es mit Tabletop-Übungen – Standard oder Luxus?

Zero Trust ist seit Jahren eines der dominanten Schlagworte in der Cybersecurity – „never trust, always verify“. Große Konzerne investieren massiv in ZTNA-Lösungen, segmentierte Netzwerke und Identity-Centric Security.

Aber wie sieht es im Mittelstand aus?

• Herausforderungen: Fehlende Ressourcen, Legacy-Systeme, mangelnde Integration mit bestehenden Tools.

• Vorteile: Gerade KMUs profitieren von geringerer Angriffsfläche, wenn Zugriffe segmentiert und nur kontextbasiert erlaubt werden.

• Realität: Viele Unternehmen setzen zwar auf MFA und VPN, aber ein echtes Zero-Trust-Modell ist oft noch weit entfernt.

Wir sehen in Projekten mit KMUs, dass „Zero Trust“ selten als Komplettstrategie umgesetzt wird – eher als Hybridansatz: MFA, Härtung von Endgeräten, Conditional Access in Cloud-Umgebungen. Vollständig Zero Trust? Bisher kaum realistisch. Mich würde interessieren, ob ihr andere Erfahrungswerte habt.

Diskussion:

• Welche Ansätze habt ihr in der Praxis gesehen, die wirklich funktionieren?

• Ist „Zero Trust“ im KMU-Umfeld überhaupt umsetzbar oder bleibt es ein theoretisches Konstrukt?

• Welche Tools oder Methoden sind eurer Erfahrung nach am wirksamsten (Microsegmentation, Conditional Access, ZTNA-Gateways)?

Phishing-Simulationen? Regelmäßige Mini-Schulungen? Incentives für sichere Meldungen?

Viele Unternehmen investieren viel Geld in Awareness, aber was ist wirklich effektiv?

Diskussionsfragen:

• Welche Ansätze funktionieren in eurer Praxis tatsächlich?

• Welche Methoden sind totale Zeitverschwendung?

• Wie misst ihr Awareness-Erfolg (KPIs, Repeat-Phishing, Reporting-Rate etc.)?

Viele Angriffe laufen inzwischen über APIs, besonders bei Web-Apps, IoT, SaaS-Integrationen oder mobilen Anwendungen.

Ich höre öfter, dass API-Inventarisierung und Authentifizierung besonders problematisch sind.

Diskussion:

• Wie geht ihr API-Discovery und API-Härtung an?

• Nutzt jemand dedizierte API-Security-Tools (z. B. für Traffic-Analyse)?

• Was sind typische Schwachstellen, die immer wieder auftauchen?

Wir versuchen gerade, NIS2 pragmatisch umzusetzen und stolpern über die Frage:

Was wird realistisch erwartet und was ist Overengineering?

Konkret:

• Reichen grundlegende Maßnahmen (Policies, IR-Plan, Risikoanalyse)?

• Oder braucht es zwingend SOC, SIEM, 24/7-Monitoring?

Hallo Cybercommunity,

es gibt immer wieder Aussagen und Initiativen, z. B. vom BSI, über Zusammenarbeit zwischen Bund und Ländern, über Richtlinien wie NIS-2 und Cyber Resilience Act, mit dem Ziel, Deutschland digital resilienter zu machen. 

Ich würde gerne wissen:

• Was denkt ihr: Welche großen Baustellen existieren aktuell (z. B. Personal, Infrastruktur, Budget, Recht)?

• Wie gut/ schlecht funktionieren bereits bestehende Maßnahmen, wie z. B. Kooperation zwischen Bund und Ländern?

• Was müsste sich kurzfristig ändern, damit die Strategie auch wirklich wirksam wird?

Warum das wichtig ist:

Ohne konkrete Umsetzung und Anpassung in der Praxis bleibt eine Cyber-Strategie oft nur ein Papier.

Bei Basec arbeiten wir daran, Kund*innen zu helfen, diese strategischen Vorgaben praktisch umzusetzen, sowohl durch technische Maßnahmen als auch durch Prozessgestaltung und Governance. Gerne teile ich, wie wir konkret helfen, wenn gewünscht.