Cyberattacken: Bedrohung oder Weckruf?

00:00:18: Hallo, hallo.

00:00:19: Ganz herzlich willkommen!

00:00:20: Schön, dass ihr wieder mit dabei seid hier bei unserem GQS-Podcast Minds in Motion.

00:00:25: Ja, und nachdem unsere erste Folge schon so schön gelaufen ist, habe ich mir gedacht, wiederholen wir das Ganze einfach – zumindest was unseren Gast angeht. Herr Högemann, schön, dich wiederzusehen.

00:00:34: Herzlichen Dank, liebe Karolin.

00:00:35: Freut mich, wieder dabei zu sein.

00:00:37: Ja, für alle, die es nicht wissen:

00:00:38: Ich stelle dich noch mal ganz kurz vor – du bist Geschäftsführender Gesellschafter bei Treuhand Weser-Ems.

00:00:43: Du bist Unternehmensberater, bist seit mehr als zehn Jahren an der Seite von GQS, und beim letzten Mal haben wir über das Thema Nachhaltigkeit gesprochen.

00:00:52: Du bist Nachhaltigkeitsexperte.

00:00:55: Dieses Mal sprechen wir über Cyberattacken, Cybersecurity.

00:00:59: Wie kommst du eigentlich dazu?

00:01:01: Ja, gute Frage.

00:01:03: Also, erst nochmal danke, dass ich hier sein kann – es ist ein bisschen wie ein zweites Wohnzimmer für mich inzwischen, immer eine schöne Umgebung.

00:01:09: Genau.

00:01:09: Ich habe ja beim letzten Mal erzählt, dass ich Umweltwissenschaften studiert habe,

00:01:17: daher auch der Nachhaltigkeitsschwerpunkt und meine eigene Beratung.

00:01:20: Genau – ich bin Geschäftsführer einer Gesellschaft einer größeren Unternehmensberatung, und wir haben ja diverse Beraterinnen im Team, die sich eben mit dem Thema Informationssicherheit und Cybersecurity auseinandersetzen.

00:01:31: Wir begleiten die Unternehmen dahin, dass solche Cybersecurity-Vorfälle eben nicht passieren.

00:01:38: Das ist so unser Beratungsthema, und etwa ein Drittel unseres Beratungsschwerpunktes setzt sich mit diesem Thema auseinander.

00:01:46: Und wie groß dieses Thema ist und wie wichtig es ist – das besprechen wir gleich.

00:01:49: Es gibt ja einen aktuellen Anlass, warum wir uns treffen, denn die neue NIS-2-Richtlinie ist in Kraft getreten.

00:01:55: Kannst du uns erst einmal erklären, was das überhaupt ist?

00:01:59: NIS-2 steht für Network and Information Security Directive.

00:02:04: Das ist eine europäische Richtlinie, die Grundlage auch für die deutsche Umsetzung der Regelung ist. Und davor gab es schon eine NIS-1-Regelung,

00:02:14: deswegen NIS-2. Und die beschäftigte sich vor allem damit, kritische Infrastrukturen zu schützen.

00:02:20: Es geht darum, dass durch Cybervorfälle und Cyberrisiken Milliarden Schäden entstehen.

00:02:27: Vielleicht können wir mal ein bisschen diskutieren, wie groß das in Deutschland ist.

00:02:31: Und in der ersten Runde, NIS-1, hat man sich auf Unternehmen konzentriert, die unter die sogenannte KRITIS-Verordnung fallen.

00:02:40: Also kritische Infrastruktur – das heißt Energieunternehmen, Versicherungen, Krankenhäuser, Wasserwerke et cetera. Und NIS-2 ist eine konsequente Fortsetzung davon, zu sagen: Wir sind nicht nur von diesen Unternehmen abhängig, sondern in weiteren Branchen viel stärker abhängig – und diese Richtlinie legt entsprechend Anforderungen fest.

00:03:03: Was Unternehmen in Sachen Informationssicherheit oder Business Continuity Management – dazu kann ich gleich auch noch etwas erzählen –

00:03:11: einzuhalten haben.

00:03:12: Ich habe es schon angesprochen:

00:03:14: Das ist ein Thema, das wirklich relevant durch die Medien geistert.

00:03:19: Welche Unternehmen müssen denn jetzt hellhörig werden?

00:03:21: Also, wen betrifft das?

00:03:23: Wir haben einen sehr großen Anwenderkreis – es sind circa dreißigtausend Unternehmen betroffen von dieser NIS-2-Regelung, die im Dezember in deutsches Recht umgesetzt worden ist.

00:03:35: Und das sind unterschiedlichste Branchen.

00:03:37: Erst mal die besonders wichtigen Branchen –

00:03:38: das sind auch die, die ich gerade erwähnt hatte: Energie, Wasser, Gas, Versicherungen, Medizin und Krankenhäuser.

00:03:49: Das sind die Unternehmen – und die Grenzen waren früher höher bei der ersten Runde. Jetzt sind Unternehmen mit über zweihundertfünfzig Mitarbeitern schon dabei.

00:03:58: Das sind die besonders wichtigen Branchenunternehmen.

00:04:01: Dann gibt es noch die wichtigen Branchenunternehmen –

00:04:03: da geht man sogar auf fünfzig Mitarbeiter runter und zehn Millionen Euro Umsatz.

00:04:09: Und das sind dann Branchen wie zum Beispiel Post- und Kurierdienstleistung, Maschinenbau, Herstellung von Waren, aber auch Lebensmittelhandel und -produktion.

00:04:19: Und da kommen wir natürlich wieder zu den GQS-Kunden.

00:04:22: Ein Großteil der GQS-Kunden ist eben im SAP-Bereich in diesem Bereich aktiv – und das heißt: Jedes Unternehmen, das Lebensmittel produziert oder mit Lebensmitteln handelt, mit über fünfzig Mitarbeitern, ist von dieser Richtlinie betroffen und muss sich jetzt mit dem Thema Informationssicherheit auseinandersetzen.

00:04:40: Welche Neuerungen gibt es da? Also was muss das Unternehmen dann auf einmal einhalten?

00:04:43: Ja.

00:04:44: Erster Schritt ist, erst mal zu prüfen: Bin ich davon betroffen, von dieser Richtlinie?

00:04:48: Also falle ich unter diese Branchen?

00:04:52: Es gibt sogenannte europäische NACE-Codes – falle ich da drunter, habe ich die richtige Größe und den richtigen Umsatz?

00:05:00: Und dann muss ich mich im ersten Schritt mal registrieren beim BSI – Bundesamt für Sicherheit in der Informationstechnik.

00:05:05: Da muss ich mich als KRITIS- oder als NIS-2-Unternehmen entsprechend registrieren und bestimmte Dinge umsetzen, die an ein Unternehmen gestellt werden.

00:05:18: Wie zum Beispiel ein Informationssicherheitsmanagementsystem einzuführen.

00:05:24: Also Schutzmaßnahmen festzulegen, damit ich nicht von Cybervorfällen oder Cyberattacken betroffen bin.

00:05:31: Das ist das erste Thema.

00:05:33: Das zweite Thema ist, sich mit Notfallplanung auseinanderzusetzen:

00:05:36: Was passiert eigentlich, wenn ich von einem Cybersecurity-Vorfall betroffen bin?

00:05:42: Wie läuft mein Business weiter – oder wie kann ich es möglichst schnell wieder hochfahren?

00:05:46: Und das Dritte ist Sensibilisierung und Schulung.

00:05:48: Das fängt sogar bei der Geschäftsführung an – NIS-2 schreibt Informationssicherheits- bzw. NIS-2-Schulungen für die Geschäftsführung vor und eben auch für alle anderen Mitarbeiter.

00:05:59: Ich kann mir vorstellen, dass du da erst mal Vorarbeit leisten musst.

00:06:03: Als ich das gelesen habe, dachte ich auch: Neue Regularien – das ist wahrscheinlich nicht so, dass die Unternehmen schreien: „Juhu!

00:06:09: Jetzt müssen wir uns an diese Vorgaben halten!" – auch wenn wir dadurch sicherer sind.

00:06:12: Aber das Thema ist ja schon wahnsinnig relevant.

00:06:15: Ich habe es irgendwie bei ein, zwei, drei Unternehmen mitbekommen, dass sie betroffen waren.

00:06:19: Aber wie groß ist der Schaden eigentlich tatsächlich,

00:06:22: der dadurch entsteht – durch Cyberattacken?

00:06:24: Der wirtschaftliche Schaden ist immens.

00:06:26: Das sind Summen, die man sich kaum vorstellen kann. Wir reden ja immer noch von Dunkelziffern – das sind Unternehmen, die das gar nicht melden, weil sie keinen Imageschaden haben wollen.

00:06:35: Der Branchenverband BITKOM – der digitale Branchenverband – gibt jährlich so einen Bericht heraus und schätzt aktuell, dass in Deutschland circa dreihundert Milliarden Euro Schaden pro Jahr in der Wirtschaft entstehen durch Cyberkriminalität, Cybersabotage, bewusste gezielte Zerstörungen, Erpressung et cetera.

00:07:02: Also der Schaden, der da entsteht und entstehen kann, ist halt immens.

00:07:06: Kannst du da Beispiele nennen?

00:07:08: Ja, es gab gerade in den letzten Jahren auch prominente Beispiele von Unternehmen, die gehackt wurden.

00:07:15: Man nehme die IHK – die Deutschland-IHK.

00:07:18: Betroffen waren dann alle IHKs.

00:07:19: Die waren, glaube ich, ein halbes Jahr lang digital nicht erreichbar.

00:07:22: Also keine E-Mails, keine Webmeetings, keine digitalen Anmeldungen zu Schulungen – und die IHK-Akademie ist ja auch ein Riesenthema.

00:07:34: Das hat alles nicht funktioniert, weil sie eben angegriffen worden sind – und dann hat sich das auf alle IHKs entsprechend ausgeweitet.

00:07:41: Das System ist komplett zusammengebrochen.

00:07:44: Beispiel einer Bäckerei – das ist vielleicht nicht so ein Riesenthema – aus der Region Hannover.

00:07:50: Da sind alle Verkaufsbildschirme gehackt worden.

00:07:52: Das war im Rahmen des Israel-Angriffs auf Gaza, und da wurden politische Botschaften verbreitet in den Bäckereien.

00:08:01: Man geht ja rein und guckt: Okay, da oben steht Brötchen, kostet so und so viel.

00:08:05: Oder das Brotangebot heute.

00:08:07: Und da waren dann eben politische Botschaften drauf.

00:08:10: Die Bäckerei hatte um die dreißig Filialen.

00:08:12: Das heißt: dreißig Rechner, die irgendwie dahinter standen, und das Zentralsystem war betroffen.

00:08:17: Das musste alles wieder auf null gesetzt werden, wieder eingespielt werden.

00:08:23: Stammdaten waren teilweise weg.

00:08:24: Also alle Informations- und Verkaufsdaten mussten irgendwie wiederhergestellt werden.

00:08:29: Die Datensicherung war in dem Fall

00:08:30: dann, glaube ich, auch nicht so optimal.

00:08:34: Genau – da entsteht erst mal wirtschaftlicher Schaden.

00:08:36: Aber was ist mit dem Imageschaden?

00:08:39: Ja – Käuferinnen und Käufer gehen rein

00:08:41: und sind erst mal erschreckt, weil da irgendwelche Botschaften drüber laufen – und denken: Okay, vielleicht gehe ich in diese Bäckereikette dann doch nicht mehr so gerne hin.

00:08:50: Das sind mal so zwei Beispiele.

00:08:52: Es gibt noch tausende mehr. Die Dunkelziffer ist recht hoch – gerade wenn wir über Erpressung sprechen.

00:08:59: Dann bezahlen viele kleine und mittlere Unternehmen – und auch große – einfach die geforderte Lösegeldsumme, damit sie den Code für ihren Verschlüsselungstrojaner kriegen.

00:09:09: Weil sie einfach sagen: Ich möchte diesen Imageschaden gar nicht haben.

00:09:12: Das heißt, die Motivation dahinter ist ganz unterschiedlich?

00:09:15: Also politische Botschaften beispielsweise, oder Lösegeld, das erpresst wird.

00:09:18: Was weiß man denn über die Täter?

00:09:22: Über die Täter weiß man erschreckend wenig.

00:09:23: In den seltensten Fällen findet man tatsächlich die Täter heraus, weil sie irgendwo in Russland, Nordkorea – oder auch hier in Deutschland – in einer verbrecherischen Organisation stecken, und das ist teilweise nicht nachvollziehbar.

00:09:39: Die bauen manchmal ein Cyberangriffs-[unklar] auf und arbeiten teilweise lange darauf hin.

00:09:48: Da redet man teilweise von bis zu drei Jahren Recherche, die sie reinstecken, wenn sie sehr viel Geld damit verdienen wollen.

00:09:56: So arbeiten sie langsam darauf hin, und irgendwann brechen sie schnell wieder ab und gehen woanders hin.

00:10:00: Also da ist es wirklich schwierig herauszufinden, wer das eigentlich war.

00:10:05: Also geht es – und deswegen auch diese europäische Richtlinie – darum, zu sensibilisieren und zu schützen. Also nicht zu sagen: Wir versuchen ein System aufzubauen, um die möglichst schnell zu finden. Und deswegen legt die europäische Richtlinie den Fokus auf Schutz, Informationssicherheitsmanagement, Business Continuity Management.

00:10:25: Wie kriegst du dein Unternehmen möglichst schnell wieder an den Start, wenn es mal ausgefallen ist?

00:10:30: Unternehmer bezahlen ja auch diese Lösegelder, weil sie einfach sagen: Ich kann mir keine zwei, drei Wochen leisten, in denen meine Produktion steht oder ich meine Kunden nicht bedienen kann.

00:10:44: Einmal der wirtschaftliche Schaden dadurch, dass Umsatz weggeht, ist natürlich enorm.

00:10:49: Aber auf der anderen Seite – haben wir schon drüber gesprochen – der Imageschaden.

00:10:52: Wer kauft dann gerne bei einem Unternehmen, wo ich nicht sicher sein kann, dass ich mein neues Produkt bald kriege – oder ist mein Produkt vielleicht sogar betroffen?

00:11:00: Mh, stimmt ja.

00:11:01: Weitere Richtlinie: Cyber Resilience Act – CRA heißt das –, wo Europa festgelegt hat: In Produkten, wo Software drauf und drin ist, muss sich [unklar] auch besonders schützen.

00:11:12: Genau, und da können Hacker natürlich auch, wenn sie ein Unternehmen angreifen, in diese Systeme und die Produkte mit reingehen und noch einen größeren Schaden verursachen.

00:11:21: Und da kann man die Unternehmen verstehen, die sagen: Okay, ich halte das lieber ein bisschen flach und gebe das gar nicht an.

00:11:28: Meldet es gar nicht, bezahlt einfach das Lösegeld – was aber am Ende doch kontraproduktiv ist.

00:11:33: Es ist eine Motivation für alle Täter.

00:11:34: Absolut.

00:11:35: Und deswegen ist auch Teil dieser NIS-2-Richtlinie, dass jetzt eine Meldepflicht besteht.

00:11:40: Also wenn im Nachgang rauskommt: Ein Unternehmen hat sich registriert und es ist ein Fall bei ihnen gewesen und sie haben es nicht gemeldet – dann werden sie bestraft.

00:11:53: Also das ist auch wieder ein bisschen wie bei der DSGVO – horrende Strafen, die irgendwo dahinter stecken in diesem Gesetz, zumindest.

00:12:00: Ob es wirklich so gezogen wird, weiß man nicht. Aber es wird dann auch wieder vom BSI veröffentlicht:

00:12:06: Wer hat eigentlich was nicht gemacht?

00:12:08: Und gerade wenn ich in Branchen unterwegs bin, wo ich öffentliche Ausschreibungen habe, bin ich da auch ganz schnell raus.

00:12:13: Also darum: lieber ein bisschen früher starten, das Unternehmen schützen.

00:12:16: Wenn jetzt ein Unternehmen aus dem Mittelstand auf dich zukommt und sagt: „Ich möchte mich an diese Richtlinie halten" – oder muss es das sogar?

00:12:23: Wie gehst du dann konkret vor?

00:12:25: Genau. Wenn sie sich nicht ganz sicher sind, ob sie wirklich davon betroffen sind,

00:12:28: machen wir so einen Quick Check.

00:12:30: Das dauert nur zwei, drei Stunden.

00:12:31: Bin ich davon betroffen?

00:12:33: Sie kriegen dann eine klare Aussage.

00:12:35: Dann starten wir mit dem Readiness Check:

00:12:37: Was hast du eigentlich schon, was auf das Thema Informationssicherheitsmanagement und Business Continuity Management einzahlt?

00:12:42: Viele haben ja schon auch Unterweisungen für Mitarbeitende,

00:12:47: haben eine Firewall, haben technische Maßnahmen, haben organisatorische Maßnahmen,

00:12:51: haben ein Datensicherungs-Handbuch et cetera.

00:12:54: Also wir gucken erst mal: Was ist eigentlich da – und wo ist dann die Lücke zum Soll?

00:12:59: Also: Was sagt das Gesetz, was brauchst du noch, und wie kommst du dahin?

00:13:02: Also: erster Schritt Readiness Check, dann vielleicht noch eine tiefergehende Bestandsaufnahme – welche Risiken hast du eigentlich?

00:13:09: Wir haben festgestellt: Okay, deine Risikoanalyse ist nicht so gut.

00:13:13: Und wie kannst du diesen Risiken begegnen?

00:13:16: Durch organisatorische Maßnahmen?

00:13:18: Das können Richtlinien, Prozesse, Dokumentationen, Schulung, Sensibilisierung sein – oder technische Maßnahmen: Firewall, bestimmte Angriffserkennungssysteme.

00:13:32: Ich schließe meinen Laptop, kann keine USB-Sticks mehr anstecken.

00:13:37: Mein E-Mail-Programm ist so dicht, dass gar keine Links mehr durchgehen.

00:13:40: Also je nach Risikopotenzial stehen die entsprechenden Maßnahmen – und dann geht's in die Notfallplanung rein:

00:13:48: Also was passiert eigentlich wenn?

00:13:51: Wie haben wir unsere Datensicherung schnell wieder da?

00:13:54: Haben wir Ersatzrechner, zumindest für die wichtigsten Mitarbeiter, irgendwie im Schrank?

00:13:58: Können wir unsere Server kurzfristig auslagern?

00:14:01: Das ist so dieser Notfallplan.

00:14:03: Es gibt ja auch Sicherheit, ne?

00:14:04: Wenn du weißt, dass im Fall der Fälle du einen Plan hast – dann kann eigentlich nicht so viel passieren.

00:14:09: Ja.

00:14:10: Das sind die Themen, bei denen wir begleiten können.

00:14:13: Wir begleiten bei all diesen Themen, und häufig lassen die Unternehmen dann ein Informationssicherheitsmanagementsystem nach einer ISO-Norm –

00:14:20: das ist dann die ISO 27001 – auch zertifizieren.

00:14:23: Da kommt dann noch mal ein externer Auditor – TÜV oder DQS zum Beispiel – die bestätigen nochmal, dass man sich daran hält.

00:14:32: Was ist, wenn ich jetzt all diese Regularien selbst umgesetzt habe und mich an die Vorgaben halte?

00:14:37: Wie sieht es da mit meinen Lieferanten oder Dienstleistern aus?

00:14:42: Genau!

00:14:42: Das ist das Nächste – die Lieferkette steht auch drin.

00:14:45: Dass man sich entsprechend in der Risikoanalyse –

00:14:48: im ersten Schritt muss man sich natürlich erst mal um sich selber kümmern, dass man selber sicher ist. Danach soll man in die Lieferkette einsteigen.

00:14:55: Also: Wir sprechen davon – ich habe gerade gesagt, betroffen ist Lebensmittelproduktion und Lebensmittelhandel.

00:15:02: Dazwischen haben wir Logistik.

00:15:03: Irgendjemand bringt ja die Waren vom Lebensmittelproduzenten in den Handel.

00:15:08: Die sind nicht direkt betroffen – aber indirekt, weil sie dann eben Fragen und Informationen bekommen werden: Was machst du denn schon? Wie gut bist du?

00:15:16: Also das Thema geht ein bisschen wie Nachhaltigkeit auch –

00:15:19: was ich beim letzten Mal erzählt hatte – in die Lieferantenbewertung dann mit rein. Und das ist auch ein gutes Beispiel für GQS:

00:15:25: Wenn Angebote erstellt werden, gibt es inzwischen die Frage: Habt ihr ein Informationssicherheitsmanagementsystem?

00:15:31: Weil auch GQS ein Unternehmen ist, das direkt an der IT – in den Testsystemen, in den Produktivsystemen – mitarbeitet. Und für GQS ist das auch unglaublich wichtig und hat sich entsprechend damit beschäftigt, das einzuführen.

00:15:47: Wenn ich jetzt mich an alle Regeln gehalten habe und es trotzdem zu einer Cyberattacke kommt – man ist natürlich nie ganz gefeit –:

00:15:54: Man kann das Risiko zwar runterdrücken, aber es ist wahrscheinlich nie bei ganz null. Und ihr habt diesen Notfallplan auch erarbeitet – wie geht ihr dann vor?

00:16:02: Also steht ihr als GQS dem Unternehmen dann auch zur Seite?

00:16:05: Ja, das können wir machen. Im ersten Schritt

00:16:07: würde ich immer empfehlen: zuerst direkt Meldung beim BSI, dann bei der Polizei – und dann fängt das Thema Forensik an.

00:16:15: Was ist betroffen, welche Systeme?

00:16:16: Und auch dabei können wir dann mit unterstützen.

00:16:18: Also da sind wir manchmal auch begleitend zur Polizei dabei, in die Analyse reinzugehen.

00:16:27: Wir helfen gegebenenfalls auch direkt, ein neues System aufzusetzen – je nachdem, was im Notfallplan steht und wo der Bedarf ist.

00:16:36: Und vor allen Dingen: Lessons learned.

00:16:37: Also: Was habe ich jetzt aus diesem Vorfall gelernt?

00:16:40: Wie stark bin ich wirklich betroffen?

00:16:42: Und was kann ich jetzt tun, um beim nächsten Mal sicherer zu sein?

00:16:46: Was hältst du denn selbst eigentlich von der neuen Regulierung?

00:16:49: Also hältst du sie für realistisch, so schnell umzusetzen – oder bist du doch eher ein bisschen skeptisch?

00:16:54: Also sie ist super sinnvoll!

00:16:56: Das ist eine sehr gute Richtlinie, sehr gute Regulatorik.

00:17:02: Die wird der Wirtschaft weiterhelfen. Aber die Umsetzung –

00:17:06: ich habe es vorhin schon gesagt: Sie ist im Dezember verabschiedet worden in Deutschland. Also die NIS-2-Richtlinie auf europäischer Ebene gibt es schon länger, aber da gab es noch mehrere Schleifen.

00:17:15: Dann ist sie in Deutschland im Dezember verabschiedet worden, und jetzt sollen die Unternehmen im März registrieren und müssen das Informationssicherheitsmanagement bis September umsetzen.

00:17:24: Völlig unrealistisch.

00:17:25: Jetzt reden wir wieder über dreißigtausend Unternehmen –

00:17:28: wo sind die ganzen Experten, die die Unternehmen unterstützen können?

00:17:31: Es ist wieder eine Riesenwelle, die da irgendwie gemacht wird.

00:17:35: Ja, das sehe ich dann eher kritisch.

00:17:37: Und was entgegnest du Unternehmern oder Chefs, die sagen: „Okay, ich bin eigentlich nur ein kleiner Abfüller –

00:17:43: was soll ich denn jetzt mit dieser neuen Richtlinie?"

00:17:45: Du musst wahrscheinlich auch erst mal Motivationsarbeit leisten.

00:17:48: Was sagst du denn da?

00:17:50: Naja – es gibt nicht mehr die Regel, dass nur die großen, wertvollen Unternehmen angegriffen werden. Es sind auch viele kleine Unternehmen betroffen, weil jemand, der zehn-, zwanzig-, dreißigtausend Euro erpressen kann, das auch nutzt.

00:18:04: Und gerade die kleineren Unternehmen sind nicht so prominent, dass sie sehr schnell in der Presse auftauchen oder schnell zur Polizei laufen – sondern die sind inhabergeführt und versuchen, es für sich selber zu lösen.

00:18:16: Ich kann das Beispiel eines befreundeten Steuerberaters nennen.

00:18:19: Der hatte das Thema auch.

00:18:20: Das war vor drei Jahren, und die haben auf einen Link geklickt

00:18:24: in einer Bewerbungsmail – und zack, waren alle Systeme verschlüsselt.

00:18:32: Und dann kam die Lösegeldforderung über zweitausend Euro.

00:18:35: Und das haben sie damals bezahlt?

00:18:36: Ja.

00:18:36: Welche Strafe droht mir, wenn ich diese Frist zur Registrierung nicht einhalte?

00:18:41: Im Gesetz stehen Summen drin von bis zu – jetzt habe ich sie nicht ganz im Kopf – zwei bis drei Prozent, glaube ich, des jährlichen Umsatzes als Strafe, oder bei großen Unternehmen bis zu zwanzig Millionen Euro.

00:18:58: Also da steht schon einiges drin. Wobei – das war ja beim Thema Datenschutz genauso:

00:19:04: Es ist nie ganz so gezogen worden. Aber es sind zwei, drei Jahre nach Verabschiedung der Norm schon einige höhere Strafen für wirklich fahrlässiges Handeln ausgesprochen worden.

00:19:17: Ich würde mich nicht mit dem Thema beschäftigen, weil es Strafen gibt – sondern ich würde mich damit beschäftigen, weil es sinnvoll ist.

00:19:23: Das ist doch ein schönes Schlusswort.

00:19:24: Jetzt haben wir so viel über Unternehmen gesprochen, über Unternehmenssicherheit.

00:19:28: Wie sieht's denn bei dir persönlich aus?

00:19:30: Also wie sicher sind deine eigenen Passwörter zu Hause?

00:19:33: Ich hoffe, du hast nicht „1, 2, 3, 4, 5, 6"!

00:19:35: Nein, das habe ich nicht – und ich habe es auch so eingestellt, dass ich sie regelmäßig ändern muss: halbjährliche Änderung der Passwörter. Genau – und es gibt auch privat sehr gute Tools.

00:19:47: Ein Passwort-Safe zum Beispiel:

00:19:49: Also gar keine selbst ausgedachten Passwörter, sondern generierte Passwörter, die im Safe sind – so findet man sie dann auch schnell wieder.

00:19:57: Das ist wahrscheinlich auch sinnvoll – ich bin wirklich nicht der Vorzeigekunde.

00:20:02: Genau.

00:20:02: Und: nicht nur ein Passwort für alle Systeme. Denn wenn irgendwo mal etwas passiert – keine Ahnung, Amazon wird angegriffen oder irgendwo, wo deine Daten und auch deine Passwörter drin sind, wird angegriffen –

00:20:13: und irgendjemand das Passwort hat, und du es überall nutzt, dann kannst du überall angegriffen werden.

00:20:20: Und da gibt es ja auch genug Beispiele, wo dann tatsächlich Geld vom Konto abgebucht wird oder über PayPal irgendetwas bezahlt wird, was man selber nicht gekauft hat.

00:20:31: Jörg, vielen Dank.

00:20:32: Es war wieder sehr schön mit dir – ein super spannendes Thema und wirklich wichtig, auch wenn das neue Gesetz erst mal sehr trocken klingt.

00:20:40: Es ist super relevant.

00:20:41: Danke dir!

00:20:42: Herzlichen Dank.

00:20:42: Schön, dass ich wieder dabei sein konnte.

00:20:44: Und euch danke ich fürs Zuhören.

00:20:46: Ich hoffe, dass wir uns in der nächsten Folge wieder hören.

00:20:48: Bis dahin wünsche ich euch erst mal eine schöne Zeit.

00:20:51: Macht's gut und bis dann.