users lounge

Wir sprechen über die Rolle von Exchange als zentrale Groupware und hinterfragen, ob und wann Alternativen sinnvoll sind. Dabei durchleuchten wir wie Abhängigkeiten, Kostenstrukturen und strategischen Überlegungen, die Unternehmen dazu bewegen, sich mit anderen Lösungen auseinanderzusetzen. Wir analysieren verschiedene Alternativen, ihre Stärken und Schwächen sowie die Herausforderungen bei einem möglichen Wechsel. Abschließend ordnen wir ein, warum Exchange trotz aller Diskussionen für viele Unternehmen weiterhin die praktikabelste Lösung bleibt und welche Faktoren bei einer fundierten Entscheidung berücksichtigt werden müssen.

Soundbites

• Exchange ist mehr als nur E-Mail
• IMAP ist nur eine Insellösung
• Preise steigen, Abhängigkeit wächst

Wir sprechen über die Zukunft der Authentifizierung und den Einsatz von Passkeys als Alternative zu klassischen Passwörtern. Wir beleuchten die Schwächen herkömmlicher Passwort- und MFA-Verfahren, zeigen typische Sicherheitsrisiken auf und erklären, warum Passkeys einen entscheidenden Fortschritt in Richtung phishing-resistenter Authentifizierung darstellen. Dabei gehen wir auf technische Hintergründe, Einsatzmöglichkeiten sowie Vor- und Nachteile von Hardware- und Softwarelösungen ein. Abschließend geben wir praxisnahe Empfehlungen für den Einstieg, den sicheren Einsatz im Unternehmen und die strategische Weiterentwicklung hin zu passwortlosen Identitätskonzepten.

Soundbites

• Passkeys brauchen kein Merken mehr
• Hardware-Passkeys sind robust und sicher
• Passkeys sind phishing-resistent

Ressourcen

• FIDO2
• Passkey

Viele Sicherheitsprobleme beginnen mit einer einfachen Frage:
Wissen Unternehmen überhaupt, welche Systeme sie betreiben?
Asset Management ist deshalb eine der zentralen Grundlagen moderner IT-Sicherheit. Denn nur wenn Geräte, Anwendungen, Daten und Prozesse vollständig erfasst sind, können Risiken bewertet und Schutzmaßnahmen umgesetzt werden.

Wir sprechen darüber, was ein Asset wirklich ist, warum Schatten-IT ein großes Risiko darstellt und weshalb ein Asset-Inventar kontinuierlich gepflegt werden muss. Außerdem geht es um Struktur, Dokumentation und geeignete Tools, um Asset Management professionell umzusetzen.

Soundbites

• Man kann nur das schützen, was man wirklich kennt.
• Ein Asset ist alles, was im Unternehmen einen Wert hat.
• Unbekannte Systeme sind oft die größte Sicherheitslücke.
• Asset Management ist kein Projekt – es ist ein Prozess.
• Assets existieren nie isoliert – sie hängen immer miteinander zusammen.
• Eine Liste reicht nicht. Asset Management braucht Struktur.
• Excel funktioniert am Anfang – aber irgendwann braucht man bessere Tools.
• Ohne Asset Management gibt es keine echte IT-Sicherheitsstrategie.

IT-Sicherheitsvorfälle gehören heute zum Alltag vieler Unternehmen. Doch im Ernstfall zeigt sich schnell, ob ein Unternehmen vorbereitet ist oder improvisieren muss.Wir beleuchten in dieser Episode die organisatorischen und technischen Aspekte der Incident Response – von den ersten Minuten eines Angriffs bis zur Wiederherstellung des Betriebs. Wir zeigen typische Fehler auf, erklären die Rolle von Notfallplänen und Krisenkommunikation und machen deutlich, dass Incident Response ein Zusammenspiel aus Technik, Management und Kommunikation ist.Die wichtigste Erkenntnis: Ein funktionierendes Incident-Management entsteht nicht im Ernstfall, sondern lange davor – durch Planung, Dokumentation und regelmäßige Übungen.

Soundbites

• Incident Response ist kein IT-Problem – es ist ein Unternehmensproblem.
• Die ersten Minuten eines Angriffs entscheiden oft darüber, wie groß der Schaden am Ende wird.
• Wer im Ernstfall erst nach einem Forensiker sucht, hat schon verloren.
• Ein Notfallplan hilft nur dann, wenn er auch erreichbar ist – selbst wenn die IT komplett ausgefallen ist.
• Die IT kann technische Maßnahmen empfehlen – strategische Entscheidungen trifft immer das Management.
• Ein Backup ist wichtig – aber hektisch eingespielte Backups können den Schaden sogar vergrößern.
• Klare Kommunikation verhindert Panik – und schützt gleichzeitig die Reputation des Unternehmens.
• Der wichtigste Schritt nach einem Angriff ist nicht der Neustart – sondern das Lernen daraus.

Wir beleuchten gängige Mythen, zeigen die Grenzen ihrer Schutzfunktion auf und erklären, warum ein umfassendes Sicherheitsökosystem notwendig ist. Dabei machen wir deutlich, dass moderne Angriffe Firewalls häufig umgehen und Unternehmen eine ganzheitliche Sicherheitsstrategie benötigen, die über einzelne Schutzmechanismen hinausgeht. Außerdem sprechen wir über Zero Trust, Awareness-Trainings und die Bedeutung durchdachter Backup-Strategien.

Takeaways

• Firewalls bieten keinen vollständigen Schutz.
• Moderne Angriffe umgehen oft Firewalls.
• Mitarbeitersensibilisierung ist entscheidend.
• Ein Sicherheitsökosystem ist notwendig.
• Zero Trust-Strategien erhöhen die Sicherheit.
• Backup-Strategien müssen regelmäßig getestet werden.
• Firewalls sind nur ein Teil der Lösung.
• Managed Firewalls bieten zusätzliche Sicherheit.
• Falsche Sicherheit kann gefährlich sein.
• IT-Sicherheit ist ein fortlaufender Prozess.

Wir beleuchten die Bedeutung von Prozessdisziplin, Risikomanagement und die Rolle von Führungskräften in der IT-Sicherheit. Dabei erklären wir den Unterschied zwischen Patchmanagement und Schwachstellenmanagement und analysieren typische Schwachstellen sowie deren Ursachen.

Takeaways

• Schwachstellenmanagement ist ein fortlaufender Prozess.
• Sicherheit ist eine Führungsaufgabe.
• Patchen gehört nicht ins Schwachstellenmanagement.
• 70 Prozent aller Angriffe nutzen bekannte Schwachstellen.
• MFA überall da, wo es geht.
• Reporting bedeutet nicht, dass der ITler alles nachguckt.
• Schwachstellenmanagement ist kein Projekt.
• Es ist günstiger, eine Lücke zu schließen als einen Angriff zu erklären.
• Die Ressourcen müssen bereitgestellt werden.
• Unklare Verantwortlichkeiten führen zu Sicherheitslücken.

Wir behandeln das Thema Risikomanagement umfassend und diskutieren die Unterschiede zwischen Risiko und Bedrohung sowie die Bedeutung einer fundierten Risikoeinschätzung. Dabei gehen wir auch auf typische Fehler ein, die in der Praxis immer wieder auftreten. Anhand konkreter Beispiele zeigen wir, wie emotionale Faktoren die Risikobewertung beeinflussen können und welche Rolle der Datenschutz im Risikomanagement spielt. Zudem beleuchten wir die Herausforderungen bei der Nutzung von Cloud-Diensten und der Umsetzung geeigneter Sicherheitsmaßnahmen.


Takeaways

• Ein Risiko ist nicht gleich eine Bedrohung.
• Risikomanagement ist entscheidend für Unternehmen.
• Falsche Risikoeinschätzungen können gravierende Folgen haben.
• Emotionale Faktoren beeinflussen die Risikobewertung.
• Datenschutz ist ein wichtiger Aspekt des Risikomanagements.
• Entscheidungen müssen auf realen Risiken basieren.
• Verschlüsselung kann neue Risiken schaffen.
• Cloud-Dienste erfordern eine kritische Betrachtung.
• Falsche Investitionen im Risikomanagement sind häufig.
• Risikomanagement sollte individuell auf das Unternehmen abgestimmt sein.

Wir diskutieren die Herausforderungen und Strategien im Bereich IT-Sicherheit und Datenschutz. Dabei beleuchten wir die Gefahren von Panikmache, die Notwendigkeit nachhaltiger Sicherheitsstrategien und die Bedeutung von Mitarbeiterschulungen. Zudem thematisieren wir das individuelle Risikomanagement in Unternehmen, um passgenaue Sicherheitslösungen zu entwickeln. Abschließend betonen wir die Bedeutung langfristiger Strategien sowie Klarheit und Struktur in der Entscheidungsfindung.

Takeaways

• Panikmache ist eine schlechte Geschäftsgrundlage.
• Die Wahrheit liegt zwischen den Extremen.
• Passwörter müssen sicher sein und regelmäßig aktualisiert werden.
• Nachhaltige Sicherheitsstrategien sind entscheidend.
• Mitarbeiterschulungen sollten kontinuierlich und nicht sporadisch erfolgen.
• Risikomanagement muss individuell auf das Unternehmen abgestimmt sein.
• Technische Maßnahmen sind wichtig, aber nicht die einzige Lösung.
• Klarheit und Struktur sind entscheidend für Sicherheit.
• Langfristige Strategien sind notwendig, um IT-Sicherheit zu gewährleisten.
• Entscheidungen sollten nicht aus Panik, sondern mit Bedacht getroffen werden.

Wir diskutieren die Bedeutung von Datenschützern und IT-Mitarbeitern in Unternehmen. Dabei beleuchten wir die Herausforderungen, die mit externer Beratung verbunden sind, sowie die Wahrnehmung von IT-Dienstleistern. Unsere Diskussion umfasst Themen wie Kosten, Wertschöpfung, Beraterpflicht, Objektivität und die Notwendigkeit, proaktiv zu handeln, um Risiken zu minimieren und Vertrauen im Kundenverhältnis aufzubauen.Darüber hinaus sprechen wir über die Herausforderungen und Chancen in der IT- und Datenschutzberatung. Wir betonen die Bedeutung von Know-how, Effizienz und einer engen Zusammenarbeit zwischen IT und Datenschutz. Die Kommunikation mit Dienstleistern heben wir als entscheidenden Faktor für eine erfolgreiche Partnerschaft hervor. Zudem thematisieren wir die Notwendigkeit, Abhängigkeiten von Dienstleistern zu vermeiden und die Motivation hinter ihrer Arbeit kritisch zu reflektieren.

Takeaways

• Die Wichtigkeit von Datenschützern und IT-Mitarbeitern ist entscheidend für den Unternehmenserfolg.
• Externe Berater werden oft missverstanden und als Kostenfaktor wahrgenommen.
• Ein Externer sollte als Partner und Unterstützer gesehen werden.
• Die Wertschöpfung durch IT-Dienstleister ist oft unsichtbar, aber entscheidend.
• Beraterpflicht erfordert Objektivität und Unabhängigkeit in der Beratung.
• Die Wahrnehmung von Erfolgen in der IT ist oft negativ, wenn alles gut läuft.
• Risiken müssen proaktiv erkannt und adressiert werden.
• Vertrauen zwischen Dienstleister und Kunde ist essenziell für eine erfolgreiche Zusammenarbeit.
• IT-Dienstleister sollten als Mitdenker und Partner agieren.
• Regulatorische Änderungen müssen kontinuierlich im Blick behalten werden. Die Beratung erfordert tiefes Know-how und Erfahrung.
• Effizienz in der Beratung führt zu Kosteneinsparungen für den Kunden.
• Dokumentation und Vorarbeit sind entscheidend für den Erfolg.
• IT und Datenschutz müssen eng zusammenarbeiten.
• Klare Kommunikation mit Dienstleistern ist unerlässlich.
• Abhängigkeit von Dienstleistern sollte vermieden werden.
• Partnerschaftliche Zusammenarbeit auf Augenhöhe ist wichtig.
• Die Motivation hinter der Arbeit beeinflusst die Qualität der Dienstleistung.
• Kunden sollten ihre Dienstleister regelmäßig evaluieren.
• Ein gutes Verhältnis zu Dienstleistern fördert den Erfolg. 

Wir starten ins neue Jahr in der users lounge mit der NIS-2. Wir ordnen ein, warum NIS-2 für Unternehmen so relevant ist, welche Rolle Cybersecurity spielt und wo noch Unsicherheiten bei der Frage der Betroffenheit bestehen. Außerdem geben wir Einblicke, wie Unternehmen ihre Betroffenheit prüfen können und sprechen über ein konkretes Beispiel.

Takeaways

• NIS2 betrifft nur ca. 1 % der Unternehmen in Deutschland.
• Jedes Unternehmen muss sich um Cybersecurity kümmern.
• Es ist wichtig zu wissen, ob man gesetzlich betroffen ist.
• Die Formulierungen im Gesetz sind oft unklar.
• Die Prüfung der Betroffenheit ist entscheidend.
• Dokumentation ist wichtig für rechtliche Absicherung.
• Die rechtlichen Anforderungen sind komplex und verwirrend.
• Unternehmen sollten sich extern beraten lassen.

Links
BSI Betroffenheitsprüfung