Cybersecurity ist Chefsache - Der Podcast!

In dieser Folge von „Cyber Security ist Chefsache" sprechen Nico und Ann-Katrin mit Can Yildiz, der rund zehn Jahre als Head of IT Security bei der Techem Gruppe gearbeitet hat und sich seit Kurzem als Berater für Cybersecurity-Regulatorik und -Technik selbstständig gemacht hat, über ein Spannungsfeld, das die Branche prägt: Regulierung gegen Technik. Wer gewinnt das Rennen, wenn der Gesetzgeber Sicherheit vorschreibt, während sich die Technik rasant weiterentwickelt?Die Antwort des Gasts ist klar: Am Ende gewinnen alle, wenn man es richtig macht, denn Regulierung ist immer nur das Mindestmaß. Wer NIS2, den Cyber Resilience Act oder DORA als reine Pflichtübung abhakt, verpasst den eigentlichen Punkt: Sicherheit lässt sich als echter Wettbewerbsvorteil nutzen. Gemeinsam räumen die drei mit der „Checkbox-Security" auf, der Vorstellung, Compliance mache automatisch sicher, und plädieren dafür, nicht auf die Regulierung zu warten, sondern proaktiv zu handeln. Ein spannender Aspekt: Man kann sich sogar aktiv an den EU-Gesetzgebungsverfahren beteiligen, etwa über Verbände wie den Bitkom, wie es der Gast bei der CRA-Umsetzung mit rund 150 Kommentaren getan hat.Im weiteren Verlauf wird es konkret und persönlich. Der Gast erklärt, warum ein integriertes Managementsystem (ein gutes ISMS deckt viele NIS2-Anforderungen bereits ab) sinnvoller ist als der isolierte Blick auf jede einzelne Regulierung, und warum die CRA-Umsetzung mit ihrer Unterscheidung zwischen Selbstauskunft und externem Audit für „wichtige" Produkte gut gelungen ist. Danach gibt er einen ehrlichen, unromantischen Einblick in seinen frischen Schritt in die Selbstständigkeit, mit klaren Tipps für alle, die mit dem Freelancing liebäugeln. Zum Abschluss geht es tief in die Technik: Zero Trust als Paradigma statt Produkt, Identität als größter Hebel, und die zunehmende Konvergenz von IT und OT.Im Gespräch geht es außerdem um:Warum Regulierung immer nur das Mindestmaß ist und nie der „perfekte Zustand"Warum Compliance nicht automatisch Sicherheit bedeutet, Stichwort Checkbox-SecurityWarum Unternehmen nicht auf die Regulierung warten, sondern vorangehen solltenWie man sich aktiv an EU-Gesetzgebungsverfahren beteiligt, zum Beispiel über den BitkomWarum sichere Produkte ein Wettbewerbsvorteil sind, gerade im Vergleich zu BilligimportenIntegriertes Managementsystem statt isolierter Regularien: Wie ein ISMS vieles abdecktCRA in der Praxis: Selbstauskunft für „normale", externes Audit für „wichtige" ProdukteEin ehrlicher, unromantischer Blick auf die Selbstständigkeit in der CybersecurityZero Trust als Paradigma, nicht als Produkt, und warum Identität der größte Hebel istZero Trust in IT und OT: Zugriffe prüfen, nichts blind vertrauen, auch im Admin-NetzOT- und IoT-Sicherheit, die Konvergenz von IT und OT und warum es langsam besser wirdEine Folge für Geschäftsführungen, IT- und Security-Verantwortliche, Hersteller und alle, die verstehen wollen, warum Regulierung nur der Anfang ist und wie man Cybersecurity strategisch statt als lästige Pflicht angeht.____________________________________________

In dieser Folge von „Cyber Security ist Chefsache" sprechen Nico und Ann-Katrin mit Stefan Pilarczyk, Head of Cybersecurity bei der BRL Risk Consulting GmbH & Co. KG und aktiv in der Cyberwald-Community, über ein Thema, das in der Security-Welt oft unterschätzt wird: Community. Warum lohnt es sich, Teil einer Community zu sein, und warum ist der offene Austausch gerade in der Cybersecurity so schwierig, aber so wichtig?Stefan stellt Cyberwald vor, das unabhängige, werbefreie Portal für die deutschsprachige Security-Community, das von Marlon Hübner ins Leben gerufen wurde. Von Blog-Beiträgen über CVE-Advisories bis zum Netzwerk aus Anbietern und Anwendern geht es dabei immer um denselben Kern: echten Mehrwert schaffen, statt sich gegenseitig etwas zu verkaufen. Die Community ist bewusst offen für alle, vom obersten Management bis zu den Admins, die täglich an der Technik arbeiten. Ein zentrales Thema der Folge ist Transparenz: Noch immer ist es ein Tabu, offen über Cyberangriffe zu sprechen, und genau davon profitieren die Angreifer. Die drei sind sich einig, dass geteiltes Wissen über Vorfälle, Fehler und Learnings allen hilft, gerade dem Mittelstand.Im weiteren Verlauf wird es ehrlich und selbstkritisch. Nico erklärt, warum ihn der Spruch „Es geht nicht darum, ob, sondern wann du gehackt wirst" stört, weil er Nichtstun rechtfertigen kann, und plädiert für den Vergleich mit der Brandschutzübung: einfach mal machen, aber sinnvoll, mit klaren Quick Wins. Außerdem geht es um die Schattenseiten der Branche: eine Flut an Regulierungen, ein völlig überlaufener Markt an Security-Lösungen, der KI-Hype samt FOMO und das wachsende Thema Burnout. Stefan beschreibt sich selbst als jemanden, der die Pionierarbeit gern anderen überlässt und dann in Ruhe schaut, was für ihn wirklich taugt, ein gesunder Gegenentwurf zum Druck, bei jedem neuen KI-Modell sofort mithalten zu müssen.Im Gespräch geht es außerdem um:Was Cyberwald ist und warum die Community bewusst offen für alle ist, vom Management bis zum AdminWarum echter Mehrwert wichtiger ist als „Klassentreffen" und MarketingWarum es noch immer ein Tabu ist, offen über Cyberangriffe zu sprechen, und wer davon profitiertWie Transparenz über Vorfälle Betroffenen hilft, und warum Cyberwald seine öffentliche Vorfall-Liste wieder zurückgezogen hatWarum „nicht ob, sondern wann" als Spruch zu kurz greift, samt Vergleich Brandschutz- vs. Cyberübung„Einfach mal machen, aber sinnvoll": Quick Wins statt AktionismusRegulierungsflut, KI-Hype und ein überlaufener Markt an Security-LösungenBurnout, FOMO und der Druck, bei KI ständig mithalten zu müssenWarum die Open-Source-Community durch KI unter Druck gerätWarum LinkedIn an Persönlichkeit verliert und guter Content zunehmend woanders entstehtWie man niederschwellig Teil einer Community wird, samt Hol- und BringschuldEine Folge für alle in der Cybersecurity, vom Admin bis zur Geschäftsführung, die verstehen wollen, warum Zusammenarbeit und Transparenz am Ende mehr bringen als jedes einzelne Tool, und wie man selbst Teil einer starken Community wird.____________________________________________

In dieser Folge von „Cyber Security ist Chefsache" sprechen Nico und Ann-Katrin mit Torsten Strelow, IT-Bereichsleiter bei der AGL Activ Services GmbH und zertifizierter HEAT-Trainer (Hostile Environment Awareness Training), über ein Thema, das heute weit mehr Menschen betrifft als früher: Reisesicherheit. Torsten kommt aus dem Bundeswehr-Umfeld, war in Auslandseinsätzen und bereitet heute unter anderem NGO-Mitarbeitende auf Reisen in schwierige Regionen vor, von Checkpoints über Minenfelder bis hin zu Geiselnahme-Szenarien.Der rote Faden der Folge: Sicheres Reisen beginnt im Kopf. Torsten erklärt, warum jede Reise mit einer nüchternen Risikobewertung startet (er nutzt ein einfaches Ampel-System aus Grün, Gelb und Rot) und warum das Smartphone heute das größte Einfallstor ist. Auf dem Gerät liegen Kontakte, Firmendaten, Bewegungsprofile und die halbe Lebensgeschichte, und all das kann an einer Grenze in fünf Minuten kopiert werden. Sein pragmatischer Ansatz: dedizierte Reisegeräte mit möglichst wenig Daten, Zugriff nur über Browser und ein Reise-VPN in eine sichere Zone, statt den ganzen Datenschatz mit über die Grenze zu nehmen. Und ein Satz, den er immer wieder betont: „Keiner ist mein Freund", weder der Taxifahrer noch der Flughafenbeamte noch das kostenlose WLAN.Besonders praxisnah wird es bei der Frage, was Unternehmen und Reisende konkret tun können: von der ELEFAND-Registrierung und der „Sicher Reisen"-App des Auswärtigen Amts über den Zweitpass bis zum richtigen Umgang mit Social Media. Denn wer live postet, wo er gerade ist, liefert Angreifern die Informationen frei Haus, gerade in Zeiten, in denen sich offene Profile per KI in Sekunden auswerten lassen. Zum Schluss gibt es Torstens Faustregel für unterwegs, „wenig verbinden, wenig speichern, wenig posten, viel prüfen", und eine schnelle Fragerunde mit klaren Antworten.Im Gespräch geht es außerdem um:Warum sichere Reise im Kopf beginnt und wie eine ehrliche Risikobewertung (grün, gelb, rot) funktioniertWieso das Smartphone das größte Risiko ist und was an der Grenze mit deinen Daten passieren kannReise-Handy und Reise-Laptop: möglichst wenig Daten, Browser-Zugriff und ein Reise-VPNWarum „keiner ist mein Freund" gilt, vom Taxifahrer bis zum kostenlosen WLANWas HEAT-Training ist und warum es für NGO-Mitarbeitende teils vorgeschrieben istELEFAND und die „Sicher Reisen"-App des Auswärtigen Amts, auch offline nutzbarZweitpass, kritische Stempel und der Unterschied zwischen privater und geschäftlicher ReiseSocial-Media-OPSEC: warum du deinen Standort nicht live teilen solltestWas Unternehmen etablieren können, von Reise-Richtlinien bis zur 24/7-HotlineNach der Reise: reflektieren, Warnsignale erkennen und Geräte im Zweifel forensisch prüfen lassenDie Balance zwischen gesundem Sicherheitsbewusstsein und übertriebener ParanoiaEine sehr praxisnahe Folge für Geschäftsreisende, IT- und Sicherheitsverantwortliche, HR und alle, die beruflich oder privat unterwegs sind, und die erkennen wollen, dass Reisesicherheit längst nicht mehr nur ein Thema für Krisengebiete ist.____________________________________________

⚠️ Inhaltshinweis / Triggerwarnung: Diese Folge behandelt bewusst schwere Themen wie digitale Gewalt, Cybermobbing, sexualisierte Gewalt gegen Kinder, Erpressung und Suizid. Wer damit gerade nicht umgehen kann, hört gerne bei der nächsten Folge wieder rein.In dieser Folge von „Cyber Security ist Chefsache" sprechen Ann-Katrin und Nico mit Noèl Funke, Gründer und Vorstand von Hackers4Good e.V., über ein Thema, das oft totgeschwiegen wird: digitale Gewalt gegen Kinder und Jugendliche. Der Verein engagiert sich seit Jahren in der Präventionsarbeit an Schulen, und die drei sind sich einig: Gerade weil diese Themen unbequem sind, muss man offen über sie sprechen und sie aus der Grauzone herausholen.Noèl Funke ordnet zunächst ein, wie breit das Feld der digitalen Gewalt reicht, von scheinbar „harmlosem" Mobbing in Klassenchats über die Weiterverbreitung intimer Bilder und Erpressung (Sextortion) bis hin zu den härtesten Formen von Missbrauch. Er beschreibt, warum sich die Dynamik durch Smartphones und soziale Medien komplett verändert hat: Was früher auf dem Schulhof blieb, ist heute in Minuten für die ganze Welt sichtbar und lässt sich kaum zurückholen. Besonders eindringlich wird es beim Thema KI: Aus einem harmlosen Foto und wenigen Sekunden Sprachnachricht lassen sich heute mit wenig Aufwand täuschend echte, missbräuchliche Inhalte erzeugen, eine Entwicklung, mit der Aufklärung und Strafverfolgung kaum Schritt halten.Der zweite Teil der Folge macht Mut. Noèl Funke erklärt, warum Verbote und der erhobene Zeigefinger nicht funktionieren und warum es stattdessen auf Offenheit, Begleitung und ein echtes „Wir-Gefühl" ankommt, zwischen Kindern, Eltern, Schulen und Gesellschaft. Am Beispiel eines Vorzeigeprojekts in Köln zeigt er, wie Peer-Education wirklich wirkt: Ältere Schülerinnen und Schüler werden zu Medien-Coaches ausgebildet und entwickeln eigenständig Formate für die jüngeren Jahrgänge, mit enormem Engagement, gerade auch von Jugendlichen, die sonst als „Problemfälle" gelten. Zum Abschluss beantwortet er sehr konkrete Fragen von Eltern und Lehrkräften, vom richtigen Umgang mit Warnsignalen bis zur Frage, wann man die Polizei einschaltet.Im Gespräch geht es außerdem um:Was „digitale Gewalt" alles umfasst und warum sie eine ganz andere Dynamik hat als Mobbing früherWarum das Netz nichts vergisst und was das für Betroffene bedeutetWie KI missbräuchliche Bilder und geklonte Stimmen ermöglicht, und warum Prävention damit kaum Schritt hältWarum Verbote und Bildschirmzeit-Regeln allein ins Leere laufenWeshalb Kinder Selbstbewusstsein brauchen und Eltern befähigt werden müssen, statt nur zu kontrollierenWie Peer-Education an einer Kölner Schule zum Selbstläufer wurdeCybergrooming: woran man riskante Plattformen und Kontaktversuche erkenntWarum sich nichts zu 100 Prozent verhindern lässt, und wie man trotzdem vorbereitet istKonkrete Elternfragen: Warnsignale erkennen, das Gespräch suchen, ohne dass das Kind „dichtmacht"Was zu tun ist, wenn das eigene Kind zum Opfer oder zum Täter wirdEine bewusst unbequeme, aber wichtige Folge für Eltern, Lehrkräfte, Schulleitungen und alle, die Verantwortung für Kinder und Jugendliche tragen. Denn eines wird in dieser Folge sehr deutlich: Schützen können wir unsere Kinder nur gemeinsam.

In dieser Folge von „Cyber Security ist Chefsache" sprechen Ann-Katrin und Nico mit Sandra Heger, CISO an einer Hochschulen in Nordrhein-Westfalen, über ein Umfeld, das sich von jedem klassischen Unternehmen unterscheidet: die Hochschule. Hier gibt es keine Belegschaft, die per Arbeitsvertrag einer Security-Policy folgt, sondern Forschungsfreiheit, tausende Studierende und wissenschaftliche Mitarbeitende, die neue Systeme ausprobieren wollen, und eine IT-Infrastruktur, die das alles tragen muss.Sandra beschreibt, wie man in diesem Spannungsfeld die Balance hält: zwischen der grundgesetzlich verankerten Freiheit von Forschung und Lehre auf der einen und dem Schutz vor einer wachsenden Angriffsfläche auf der anderen Seite. Ihr wichtigstes Werkzeug ist dabei nicht die Technik, sondern die Kommunikation. Statt als „Spielverderberin" mit dem erhobenen Zeigefinger aufzutreten, geht es ihr darum, Projekte zu ermöglichen, riskante Vorhaben sauber zu isolieren und früh ins Gespräch zu kommen. Sie erklärt außerdem, warum Hochschulen ein besonders lohnendes Angriffsziel sind, von Personal- und Studierendendaten über Patente und Start-up-Ideen bis zu noch unveröffentlichten Forschungsergebnissen.Ein großer Teil der Folge dreht sich um Strukturen, Ressourcen und Zusammenarbeit. Sandra zeigt, dass eine Hochschule im Kern wie ein Unternehmen funktioniert, mit IT, Verwaltung, Personalräten und Gremien, durch die eine Leitlinie oft viele Iterationen wandern muss. Sie berichtet vom starken Netzwerk der Hochschulen in NRW, von der „Vereinbarung zur Informationssicherheit und Cybersicherheit" mit dem Land, die Maßnahmen an Fördermittel und eigene ISO-Stellen koppelt, und davon, warum der Austausch zwischen den Hochschulen die chronisch knappen Ressourcen zumindest teilweise auffängt. Zwischendurch geht es auch um ein Herzensthema aller drei: nachlassende Grundlagen-Skills bei Studierenden und der richtige Umgang mit KI in Studium und Lehre.Im Gespräch geht es außerdem um:Warum an der Hochschule Forschungsfreiheit und Informationssicherheit ständig neu ausbalanciert werden müssenWieso Kommunikation und Ermöglichen wichtiger sind als Verbote und der erhobene ZeigefingerWas Hochschulen zum attraktiven Angriffsziel macht, von Studierendendaten bis zu unveröffentlichter ForschungWie BYOD und tausende private Geräte die Absicherung erschwerenWarum eine Hochschule strukturell einem Unternehmen ähnelt, inklusive Gremien und langer EntscheidungswegeWie das Netzwerk der Hochschulen in NRW funktioniert und warum Zusammenarbeit knappe Ressourcen auffängtWas die NRW-Vereinbarung zur Informationssicherheit bewirkt, von Fördermitteln bis zu eigenen ISO-StellenWarum viele Hochschulen sich (noch) keine eigene ISO leisten und sich Stellen teilenNachlassende Grundlagen-Skills bei Studierenden und der richtige Umgang mit KI in Studium und LehreSandras drei erste Maßnahmen, wenn sie Hochschulleitung wäre, mit klarem Fokus auf Personal und AwarenessEine Folge für alle in Hochschulen, Forschung und Verwaltung, aber auch für alle aus der Wirtschaft, die sehen wollen, wie Informationssicherheit dort gelingt, wo Freiheit Programm ist, und warum „Cybersecurity ist Chefsache" auch an der Hochschule gilt.____________________________________________

In dieser Folge von „Cyber Security ist Chefsache" sprechen Nico und Ann-Kathrin mit Rebecca Lennartz, Product Security Managerin bei IGEL, über ein Thema, das durch neue Regulierung gerade enorm an Fahrt aufnimmt: Produktsicherheit und der Cyber Resilience Act. Für Rebecca ist es die erste Podcast-Folge überhaupt, und man merkt von der ersten Minute an, wie viel Leidenschaft in diesem Thema steckt.Rebecca nimmt die Hörerinnen und Hörer mit in die Grundfragen, die in der Praxis oft übersprungen werden: Was ist eigentlich ein „Produkt", und wann beginnt Produktsicherheit? Sie zeigt, warum sichere Voreinstellungen, ein sauberer Umgang mit Schwachstellen und Transparenz über die eigene Software-Lieferkette entscheidend sind. Am Beispiel von IGEL, einem Linux-basierten Betriebssystem für Endgeräte, erklärt sie, wie das Team mit Schwachstellen in Open-Source-Komponenten umgeht, sie über das CVE-Programm validiert und in eigenen Security Advisories veröffentlicht. Auch das gerade brandaktuelle Thema rund um das auslaufende Secure-Boot-Zertifikat kommt zur Sprache, inklusive der Panik, die es bei vielen Kunden auslöst.Besonders spannend wird die ehrliche Diskussion über Verantwortung und Regulierung. Wo hört die Produktsicherheit des Herstellers auf und wo beginnt die Betreiberverantwortung? Warum ist „billig einkaufen und teuer absichern" genau der falsche Ansatz? Und warum würden nach Einschätzung der drei aktuell die meisten Hersteller eine CRA-Konformitätsprüfung nicht bestehen? Rebecca, Nico und Ann-Kathrin ordnen ein, was der Cyber Resilience Act konkret bedeutet, vom ersten Mal, dass eine Regulierung beim Hersteller statt beim Nutzer ansetzt, über die Meldepflichten ab dem 11. September bis zur vollen Geltung 2027, und warum Produktsicherheit eben nicht nur Aufgabe der Security-Abteilung ist.Im Gespräch geht es außerdem um:Was ein „Produkt" wirklich ausmacht, aus Sicht von Vertrieb, Entwicklung und SicherheitWarum sichere Default-Einstellungen oft mehr bringen als jedes nachträgliche FeatureWie man mit Schwachstellen in Open-Source-Komponenten umgeht, validiert und transparent kommuniziertDas auslaufende Secure-Boot-Zertifikat und warum es viele Hersteller und Kunden nervös machtHersteller- versus Betreiberverantwortung, und wo die Grenze wirklich verläuftSupply Chain und Partnerprogramme: warum man fremder Software nicht blind vertrauen darfWie ein lokal laufendes KI-Tool beim Scannen von Quell- und Binärcode hilft, ohne dass Daten das Haus verlassenWarum manche Produkte je nach Anwendungsfall nie zu 100 Prozent sicher sein könnenWas der Cyber Resilience Act konkret fordert, von Meldepflichten über SBOM bis zu fünf Jahren SicherheitsupdatesWarum „billig einkaufen, teuer absichern" der Idee von Security by Design widersprichtOpen Source unter Druck: Finanzierung, KI und die Frage, ob das Fundament gerade ins Wanken gerätDie häufigsten Fehler in der Produktsicherheit, von Supply-Chain-Vertrauen bis zu mangelnder KommunikationEine sehr praxisnahe Folge für Produktmanagerinnen und Produktmanager, Entwicklungs- und Security-Verantwortliche, Hersteller und alle, die wissen wollen, was der Cyber Resilience Act wirklich bedeutet, und die rechtzeitig vom „grünen Häkchen" zu echter Produktsicherheit kommen wollen.____________________________________________

In dieser Folge von „Cyber Security ist Chefsache" sprechen Nico und Ann-Kathrin mit Andreas Krüger, Gründer und Geschäftsführer von Laokoon SecurITy, über ein Thema, bei dem in der Praxis ständig Begriffe durcheinandergeworfen werden: Penetrationstests, und warum gerade im OT- und Hardware-Umfeld vieles anders läuft als in der klassischen IT. Andreas kommt selbst aus dem Bundeswehr-Umfeld, hat dort das Hacken von der Pike auf gelernt und betreibt heute ein eigenes Labor für Hardware- und OT-Pentests.Zum Einstieg räumt Andreas mit dem „bunten Blumenstrauß" aus Pentest, Schwachstellenscan, Red Teaming und Hardware-Hacking auf. Sein Bild dafür ist eine Pyramide: Sie beginnt unten bei der konzeptionellen Absicherung, also klaren Dokumenten, Prozessen und einem sauberen Asset-Management. Darauf folgen der breit angelegte Schwachstellenscan, der nur bereits bekannte Muster findet, dann der fokussierte Pentest, der bewusst die Angreiferperspektive einnimmt und auch unbekannte Lücken sucht, und schließlich das Red Teaming, das eher Prozesse prüft und im besten Fall als Purple Teaming gemeinsam mit dem Verteidiger-Team läuft. Seine klare Botschaft an Unternehmen: Überspringt keine Stufe der Pyramide, und beginnt mit dem Fundament statt mit der spektakulären Übung.Besonders ehrlich wird das Gespräch beim Unterschied zwischen IT und OT. Ein OT-Pentest ist für Andreas eine „Operation am offenen Herzen": Man kann nicht einfach einen automatisierten Scanner über eine laufende Produktionsanlage jagen, sondern braucht echtes Prozessverständnis, Referenz- oder Laborsysteme und oft auch den Blick auf physische Sicherheit und Social Engineering. Genau hier sieht er ein Marktproblem: Immer mehr IT-Beratungen drängen ohne echte Expertise in den OT-Markt und machen mit „grünen Häkchen" den Preis kaputt. Wie man einen wirklich kompetenten Anbieter erkennt, woran man Scharlatane entlarvt und warum Pentests, die aus Compliance-Gründen unbedingt „grün" sein müssen, das eigentliche Ziel sabotieren, diskutieren die drei sehr offen.Im Gespräch geht es außerdem um:Den Unterschied zwischen Schwachstellenscan, Pentest, Red Teaming und Hardware-Hacking, ohne Buzzword-NebelWarum Asset-Management und die kritischen Pfade der Ausgangspunkt jedes sinnvollen Tests sindWarum ein OT-Pentest „Operation am offenen Herzen" ist und auf Referenz- statt Produktionssystemen gehörtWie physische Sicherheit, Social Engineering und sogar Drohnen ins Spiel kommenWoran man einen seriösen Anbieter erkennt, und warum manche Beratungen den OT-Markt kaputtmachenWarum Compliance-getriebene Pentests, die „grün" sein müssen, kontraproduktiv sindWie oft man wirklich testen sollte, mindestens jährlich und nach jeder großen Änderung, nicht alle drei JahreWelche Rolle KI im Pentesting spielt, stark beim Report und der Ausbildung, riskant als Ersatz für echtes VerständnisWarum „Prompt Engineering" kein Pentest ist und Leidensfähigkeit zum Handwerk gehörtHardware als Nischenmarkt: offene Debug-Schnittstellen, Seitenkanalangriffe und Firmware als GoldgrubeDie Anekdote mit dem Computerspiel auf dem Geräte-Display, das den Hardware-Zugriff beweisen sollteLieferketten und digitale Souveränität: zugelieferte Chips, versteckte Menüs und Europas blinde FleckenEinsteiger-Tipps für Studierende: erst die Basics verstehen (TCP/IP, Protokolle), dann Plattformen wie Capture the FlagEine sehr praxisnahe Folge für IT- und OT-Verantwortliche, Sicherheitsbeauftragte, Hersteller und alle, die wissen wollen, was ein Pentest wirklich leistet, und die nicht erst im Ernstfall merken wollen, dass „Häkchen grün" eben nicht „sicher" bedeutet.____________________________________________

In dieser Folge von „Cyber Security ist Chefsache" sprechen Nico und Ann-Kathrin mit Isabelle Ewald, Manager Information Security Awareness bei der BDO Germany, ISACA-Aktive und Co-Autorin des Buchs „Kommunikation in der Cyberkrise", über ein Thema, das die drei selbst „digitale Entwicklungshilfe" getauft haben: Was müssen wir der nächsten Generation im Umgang mit KI, Daten und Medien mitgeben, damit wir nicht dieselben Fehler wiederholen wie bei der Medienkompetenz? Nicos provokante These zieht sich durch die ganze Folge: „Bei der Medienkompetenz haben wir es verpasst, bei der KI haben wir jetzt die Chance, es besser zu machen."Isabelle bringt dafür eine ungewöhnliche Perspektive mit. Vom Studium der systematischen Musikwissenschaft über den Online-Journalismus und die Strategieberatung ist sie in der Cybersecurity gelandet, ist Mutter, Dozentin am Zentrum für Schule, Jugend und Information der Schulbehörde Hamburg und steht regelmäßig auf Elternabenden. Genau dort beginnt für sie die „digitale Entwicklungshilfe": nicht bei großer Digitalkompetenz, sondern bei emotionaler Kompetenz und der Bereitschaft, sich der Welt der Kinder überhaupt zu öffnen. Verbote, sind sich die drei einig, laufen ins Leere, weil Kinder längst in einer digitalen Welt aufwachsen und KI ohnehin nicht mehr verschwindet. Wichtiger sei eine „Daten-Liebe": Jugendliche müssen verstehen, dass ihre Daten einen Wert haben und ein Stück weit sie selbst sind.Im zweiten Teil geht es ehrlich zur Sache: KI in der Arbeitswelt, Schatten-KI und Resilienz. Isabelle ordnet ein, warum KI als Werkzeug gehört, nicht als Allheilmittel, und warum guter KI-Einsatz vor allem intellektuelle Arbeit ist, ein echter Dialog statt blindes Bestätigen-Lassen. Beim Reizthema Schatten-KI plädieren alle drei dafür, Verbote durch Use Cases, klare Spielregeln und Schulung zu ersetzen, weil Menschen kreativ werden, sobald man ihnen etwas verbietet. Und sie diskutieren, warum eine gute Meldekultur und Eigenmacht der Beschäftigten mehr bringen als Panik und „geistige Brandstiftung", gerade in einer Welt, in der sich auch Angriffstechnik wie Deepfakes und Desinformation rasant demokratisiert.Im Gespräch geht es außerdem um:Warum „digitale Entwicklungshilfe" mehr ist als ein Schlagwort, und was wir der nächsten Generation wirklich mitgeben müssenWarum Verbote bei Kindern und KI ins Leere laufen, und warum emotionale Kompetenz mehr zählt als reine „Digitalkompetenz"Wieso Eltern und alle Bezugspersonen Ansprechpartner Nummer eins bleiben, statt Verantwortung an „die Schule" oder „die anderen" abzugebenWas „Daten-Liebe", Datenhygiene und Datenwertschätzung bedeuten, und warum Jugendliche den Wert ihrer Daten verstehen müssenWie KI die Arbeitswelt in drei Zonen teilt, und wo der „symbiotische" Mittelteil entsteht, den wir aktiv gestalten könnenWas Schatten-KI und Schatten-IT wirklich sind, und warum sie zugleich Zeichen von Innovation und ein Führungsthema sein könnenWarum „jeder seine eigene Firewall" ist und eine gute Meldekultur mehr bringt als PanikWie KI die Resilienz von Unternehmen verändert, zwischen demokratisierter Angriffstechnik und neuen SchutzmöglichkeitenWarum wir den Innovationsbegriff nicht verwässern sollten, Stichwort Buzzword-Falle wie schon bei Zero Trust und DigitalisierungDie zentrale Abschlussfrage: Was sollten wir ab morgen anders machen, um besser mit KI umzugehen?Eine Folge für alle, die mit Kindern, Teams oder ganzen Organisationen vor derselben Frage stehen: Wie bringen wir Menschen sicher, selbstbewusst und ohne Angst in eine Welt, in der KI nicht mehr wegzudenken ist? Oder, wie Nico es zum Schluss zusammenfasst: Am Ende brauchen wir starke Mauern, und die kann keine KI der Welt bauen.____________________________________________

In dieser Folge von „Cyber Security ist Chefsache" sprechen Nico und Ann-Katrin in einer Solo-Folge ohne externen Gast über ein Thema, das längst überfällig ist: die Cybersecurity-Kultur in Israel. Rund 10 Prozent des globalen Cybersecurity-Marktes kommen aus dem kleinen Land. Wichtig vorab: Die beiden wollen bewusst nicht politisch diskutieren, sondern den Blick darauf richten, was wir uns von einem Land abschauen können, das beim Thema Cyber seit Jahren Vorreiter ist.Nico war in den letzten Jahren mehrfach vor Ort und teilt sehr persönliche Eindrücke. Besonders eindrücklich: ein Besuch im SOC eines israelischen Energieversorgers, wo er statt einer niedrigen fünfstelligen Zahl an „Angriffen pro Jahr" mit knapp 11.000 potenziellen Angriffen pro Sekunde konfrontiert wurde. Genau diese Realität, sagen Nico und Ann-Katrin, formt eine Gesellschaft, die Cyber nicht als IT-Thema versteht, sondern als selbstverständlichen Teil ihrer Lebensrealität.Ein zentraler Teil der Folge dreht sich um die israelische Ausbildung und das Mindset. Talente werden bereits mit 16 in der Schule für Eliteeinheiten wie die Unit 8200 gescoutet. Nico erzählt von einem Gespräch mit einem dortigen Ausbildungsleiter, in dem er deutsch-pragmatisch fragte, warum man sechsstellige Summen in Menschen investiert, die später in die freie Wirtschaft wechseln. Die Antwort: „Weil ich die besten Menschen für mein Land ausbilde, egal wo sie später arbeiten." Genau dieser Mindset-Shift ist für beide einer der wichtigsten Lerneffekte.Spannend wird es bei der ehrlichen Diskussion darüber, was Deutschland tatsächlich übernehmen kann. Beide plädieren dafür, Medienkompetenz und Cyber-Bildung deutlich früher in Schule und Ausbildung zu verankern, jungen Talenten echte Verantwortung zuzutrauen und die deutsche „Seniority-Falle" zu hinterfragen. Sie machen aber auch klar: Israel hat eine andere Realität, kopieren wäre falsch, übersetzen aber dringend nötig.Im Gespräch geht es außerdem um:Warum „Cyber-Nation Israel" weit mehr ist als Unit 8200 und Tel Aviv Start-upsWie ein nationaler Energieversorger mit Angriffsvolumen umgeht, das deutsche Unternehmen kollabieren ließeWarum Talente in Israel früh in Verantwortung kommenWie Cyber-Bildung in der Schule beginnen müsste, nicht als Wahlfach, sondern als gesellschaftliches PflichtthemaWarum das Mindset „Ich bilde meine Leute aus, egal wo sie hingehen" auch ein deutsches Industrie-Thema sein sollteDie ambivalente Seite, Grauzonen und GreyhatsWie wir die deutsche Bürokratie als Realität anerkennen, ohne sie als Ausrede zu nutzenDie zentrale Schlussfrage: Geldproblem oder Gesellschaftsfrage?____________________________________________

In dieser Folge von „Cyber Security ist Chefsache" sprechen Nico und Ann-Katrin mit Thorsten Rohde, Leiter IT-Service und Co-Leiter E-Government bei der Stadtverwaltung Nettetal, über das Thema, bei dem die meisten beim Stichwort „Verwaltung und KI" reflexhaft den Kopf schütteln: Künstliche Intelligenz im öffentlichen Sektor. Thorsten ist der lebende Beweis, dass das nicht nur funktioniert, sondern dass kommunale Verwaltungen sogar zu echten Vorreitern werden können.Thorsten erzählt, wie die Stadtverwaltung Nettetal mit rund 43.000 Einwohnenden den Weg von ersten KI-Experimenten hin zu einem eigenen, intern betriebenen KI-Portal gegangen ist. Inspiration holte sich das Team unter anderem in Wien, wo bereits sehr früh ein Verwaltungs-KI-Portal aufgebaut wurde. Statt typisch deutsch alles bis ins letzte Detail durchzuplanen, hat man sich entschieden, „loszulegen, zu lernen und Schritt für Schritt nachzujustieren", inklusive Datenhoheit, eigener Richtlinie und Hausmarken-Lösung mit eigenen Daten.Ein zentraler Teil der Folge dreht sich um das Schulungs- und Wissenskonzept. Anders als in vielen Unternehmen wird KI hier nicht als Top-Down-Tool ausgerollt, sondern flankiert von einem freiwilligen Bildungsangebot für alle Mitarbeitenden, auch für die im Bauhof oder im Grünflächenamt, das sogar abends auf der Couch genutzt werden kann. Die Botschaft dahinter: Eine Verwaltung hat eine Verantwortung gegenüber ihren Beschäftigten, sie nicht nur fachlich, sondern auch in der Welt von generativer KI mitzunehmen.Spannend wird es bei der ehrlichen Diskussion zu Kosten, Datenschutz und Föderalismus. Thorsten ordnet ein, warum KI heute „so günstig ist wie nie wieder" und warum Verwaltungen jetzt experimentieren müssen, solange Frontier-Modelle noch quersubventioniert werden. Gleichzeitig plädiert er klar dafür, kleinere Modelle für kleinere Use Cases einzusetzen, statt mit der größten Kanone auf jede E-Mail zu schießen. Und er beschreibt, wo der deutsche Föderalismus, rund 20.000 unterschiedliche Fachverfahren ohne saubere Schnittstellen, der Digitalisierung systematisch im Weg steht.Im Gespräch geht es außerdem um:Warum kommunale Verwaltungen beim Thema KI oft offener austauschen als die PrivatwirtschaftWie Wien als Vorbild und Sparringspartner für ein eigenes KI-Portal genutzt wurdeWarum es ein Fehler ist, Mitarbeitenden den Zugang zu KI vorzuenthaltenWie ein verwaltungseigenes Wissensportal Bildung für alle ermöglichtWarum die Frage „KI ersetzt meinen Job?" zu kurz greift, und wie sich Rollen wirklich verändernWie Datenschutz, Datenhoheit und Cloud-Strategie in der Verwaltung zusammenspielenWarum sich Bund und Länder eigene KI-Center und gemeinsame Standards ernsthaft anschauen solltenEine sehr motivierende Folge für IT-Verantwortliche, Bürgermeisterinnen, CIOs und alle, die in Verwaltung oder Mittelstand vor der gleichen Frage stehen: Wie bringe ich KI sauber, sicher und mit den eigenen Leuten in den Echtbetrieb, ohne auf das große bundesweite Konzept zu warten?____________________________________________

In dieser Folge von „Cyber Security ist Chefsache" sprechen Nico und Ann-Kathrin in einer Solo-Folge ohne externen Gast über das Thema Deepfakes, eines der unterschätztesten Awareness- und Risikothemen in deutschen Unternehmen.Die beiden klären zunächst, was ein Deepfake überhaupt ist. Ann-Kathrin bringt es auf eine schöne Kurzformel: „der Enkeltrick, nur mit Video". Sie räumen mit der Annahme auf, Deepfakes seien vor allem Memes oder einzelne Erpressungsfälle. In Wahrheit sind sie längst ein Werkzeug für gezielte Diskreditierung, Meinungsmanipulation und Desinformation. Schöner O-Ton von Nico zur KI-Kennzeichnungspflicht: Man könne den Einbrecher auch nicht freundlich bitten, seine Tat doch bitte vorher zu markieren.Konkret wird es bei einer Anekdote, die zeigt, wie wirksam vor allem Audio-Deepfakes sind: Ein Anrufer setzt mit einem schreienden Baby im Hintergrund einen Service-Mitarbeiter beim Telefonanbieter so unter Druck, dass dieser die normalen Sicherheitsprozesse umgeht und den Account zurücksetzt. Genau diese Mischung aus emotionalem Druck und glaubwürdiger Stimme sehen Nico und Ann-Kathrin als die unterschätzte Schwachstelle in Unternehmen. Ihr Vorschlag: regelmäßige „Deepfake-Pentests" als fester Teil der Awareness-Programme.Im Gespräch geht es außerdem um:Warum die KI-Kennzeichnungspflicht in der Praxis kein wirksamer Schutz ist.Warum Deutschland beim Thema Awareness eher reaktiv als proaktiv unterwegs ist.Audio-Deepfakes mit emotionalem Druck als unterschätzte Schwachstelle.Die Frage: Security-Incident oder Compliance-Incident, wenn jemand auf einen Deepfake hereinfällt?Strafverfolgung über Landesgrenzen hinweg, wenn Täter im Ausland sitzenGenerationenfrage: Was passiert, wenn Kinder mit KI und Deepfakes als Normalität aufwachsen?Eine ehrliche Folge für alle, die Awareness, Krisenkommunikation oder Incident Response verantworten und nicht erst dann reagieren wollen, wenn der erste Deepfake-Anruf in der eigenen Geschäftsführung landet.____________________________________________

In dieser Folge von „Cyber Security ist Chefsache" gibt es eine besondere Aufnahme: Nico und Ann-Katrin sind live vor einem Publikum aus Wohnungs- und Immobiliengesellschaften zu Gast. Statt klassischem Studiogespräch hört ihr eine kompakte Vortrags- und Diskussionsfolge mit echten Fragen aus dem Saal und sehr konkreten Praxisbeispielen.Den Einstieg liefert ein echter Fall aus Karlsruhe: Bei einem Bauträger wurde die E-Mail-Kommunikation mit einer Käuferfamilie übernommen. Die Angreifer schrieben unter dem bestehenden Mailverlauf weiter, änderten am Ende die Bankverbindung, und der vollständige Kaufpreis für die Immobilie floss auf ein fremdes Konto. Keine Ransomware, kein Stillstand, aber ein klassischer Vertrauensbruch mit hohem Schaden, und die offene Frage: Wer trägt am Ende den Verlust?Ein zentraler Teil dreht sich um Krisenmanagement statt nur Prävention. Nico und Ann-Katrin betonen, dass Prävention nie zu 100 Prozent gelingt, gerade weil KI das Eindringen für Angreifer massiv vereinfacht. Im Akutfall sehen sie bei vielen Unternehmen den „Headless Chicken-Modus": Es wird schnell reagiert, schnell etwas abgeschaltet, schnell gelöscht, und damit werden oft genau die Spuren vernichtet, die später für Strafverfolgung und Versicherung entscheidend wären. Genauso problematisch: Nach einem Vorfall liegt die Wahrscheinlichkeit, im selben Jahr erneut angegriffen zu werden, bei rund 80 Prozent.Spannend wird es, als die beiden das Publikum direkt einbinden. Auf die Frage, wer im Saal Brandschutzübungen macht, gehen viele Hände nach oben. Auf die Frage, wer ähnlich strukturierte Übungen für den Fall eines Cyberangriffs durchgeführt hat, bleibt der Saal weitgehend still. Genau diese Lücke, sagen Nico und Ann-Katrin, sei der eigentliche Skandal: Brandschutz ist trotz geringerer statistischer Wahrscheinlichkeit für alle selbstverständlich, Cyber-Übungen sind es nicht.Im Gespräch geht es außerdem um:Wer Lösegelder eigentlich bezahlt und warum Versicherer oft schneller zahlen als sie strukturell helfen.Wie das Geschäftsmodell „Ransomware as a Service" funktioniert.Warum die meisten Unternehmen nicht gezielt, sondern „im Schrotflintenfeuer" landen.Wie ein simpler IBAN-Tausch in Rechnungstemplates eines Lieferanten Zahlungsströme umleitetWie man Bankverbindungsänderungen wirklich verifiziert und nicht nur per Mail bestätigt.Warum viele Unternehmen heute mehrfach versichert sind, ohne es zu wissenEine sehr konkrete Folge für Geschäftsführungen, Vorstände und IT-Verantwortliche in der Wohnungs- und Immobilienwirtschaft, die wissen wollen, was im Ernstfall wirklich passiert, und die nicht erst beim ersten gefälschten Kontowechsel im Mailverlauf merken wollen, wie verwundbar das eigene Unternehmen ist.____________________________________________

In dieser Folge von „Cyber Security ist Chefsache" sprechen Nico und Ann-Kathrin mit Roland Klobs, Datenschutzbeauftragter bei Uniper, einem der großen deutschen Energieversorger und Betreiber kritischer Infrastruktur mit rund 7.000 Mitarbeitenden, über das zentrale Thema digitale und datenbezogene Souveränität.Roland erklärt zu Beginn, warum „Datensouveränität" weit mehr bedeutet als nur die Frage, wo Daten physisch gehostet werden. Es gehe nicht primär um den Standort eines Rechenzentrums, sondern um die Hoheit und Macht über die eigenen Daten, also um vertragliche Absicherung, Portabilität und die Möglichkeit, jederzeit den Anbieter zu wechseln. Aus seiner technischen wie juristischen Perspektive (Maschinenbauingenieur und Master of Laws) zeigt er, wie Uniper das in der Praxis umsetzt: mit Microsoft 365 als zentralem Cloud-Partner mit Hosting in Amsterdam, SAP als weiterem strategischem Partner und einem klaren Rahmen aus Master Service Agreements und Auftragsverarbeitungsverträgen.Ein zentraler Punkt ist die Realität zwischen Anspruch und Machbarkeit. Roland, Nico und Ann-Kathrin diskutieren offen, warum trotz aller Diskussionen rund um DSGVO, Schrems II und das Data Privacy Framework am Ende kaum ein Unternehmen Microsoft Teams oder andere Hyperscaler-Dienste rauswirft, die Wechselkosten und der Innovationsverlust wären zu groß. Stattdessen plädieren alle drei für ein echtes, sauberes Risikomanagement statt panik- oder hypegetriebener Bauchentscheidungen. Auch Open Source bekommt einen ehrlichen Blick: technisch attraktiv, aber rechtlich und vertraglich oft unmöglich abzusichern und mit eigenen Risiken wie eingeschleusten Hintertüren in offenem Quellcode.Im weiteren Verlauf geht es darum, wie KI im Unternehmen sicher eingeführt werden kann. Roland beschreibt die Einführung von Microsoft Copilot bei Uniper: wie Vertraulichkeitslabel von PowerPoint auf erzeugte Word-Dokumente weitergegeben werden, wie die Beschäftigten geschult wurden, dass Daten den eigenen Tenant nicht verlassen und nicht für Trainingszwecke bei OpenAI oder Microsoft landen, und warum die KI-Verordnung sowie Codes of Conduct (Telekom seit 2017, Microsoft) wichtige Leitplanken sind. Spannend wird es, wenn er von seinen eigenen Anfängen mit neuronalen Netzen Ende der 1990er erzählt und damit erklärt, warum er heute weder Hype-getrieben noch ängstlich auf KI schaut.Im Gespräch geht es außerdem um:Den Unterschied zwischen Hosting-Standort und echter DatensouveränitätVertragsgestaltung mit Cloud-Anbietern: Provider-Wechsel, Insolvenzszenarien, DatenrückgabeOpen Source als Chance und Risiko inklusive Lieferketten und VertrauensfragenWarum Initiativen wie die „deutsche Cloud" immer wieder am gleichen Punkt scheitern: der ZahlungsbereitschaftDatenschutz als echter Wettbewerbsvorteil, warum manche Kunden bereit sind, mehr zu zahlenKI-Einführung im Konzern: Schulungen, Tenant-Schutz, Diskriminierungsfreiheit, WahrheitsprüfungMultifaktor-Authentifizierung, Passkeys und die wachsende Abhängigkeit vom SmartphoneKuriose Praxisbeispiele: Bußgelder fürs Bedienen des Tesla-Displays oder einer E-Zigarette während der FahrtEinen Zehn-Jahres-Ausblick: verteilte Data Lakes, abgestufte Datensilos nach Schutzbedarf, Sensorik überall und eine Hybrid-Lösung zwischen Innovation und Schutz besonders schützenswerter BereicheRoland, Nico und Ann-Kathrin geben einen sehr praxisnahen Einblick, wie ein Konzern mit 7.000 Beschäftigten Datenschutz, Datensouveränität und Innovationsdruck gleichzeitig managt und warum am Ende kein Unternehmen drumherum kommt, Sicherheit und Datenschutz als kontinuierliche Management-Aufgabe und nicht als einmaliges Compliance-Projekt zu begreifen.____________________________________________

In dieser Folge von „Cyber Security ist Chefsache" sprechen Nico und Ann-Katrin in einer Solo-Folge ohne externen Gast über das Thema Security Operations Center, kurz SOC. Es ist gleichzeitig die erste Folge nach längerer Pause, der Auftakt mit neuem Makeover und Nicos neuer Co-Host Ann-Kathrin, die als Security-Beraterin selbst tief in dem Thema steckt und ab sofort regelmäßig dabei ist.Zum Einstieg räumen die beiden mit einem Mythos auf: Nicht jedes SOC ist für jedes Unternehmen geeignet, und 24/7 ist nicht automatisch die richtige Antwort. Bevor man überhaupt über Anbieter, Vergleichbarkeit oder Preise spricht, muss klar sein, was das SOC eigentlich leisten soll, welche Risiken überhaupt überwacht werden und wie viel der eigene Betrieb noch selbst tragen kann.Ein zentraler Teil der Folge dreht sich um SOC-Ausschreibungen. Nico und Ann-Katrin zeigen mit vielen Beispielen aus der Beratungspraxis, warum genau dieser Beschaffungsweg in der Security so oft schiefgeht: Anbieter interpretieren Vorgaben unterschiedlich, geben generische Pauschalangebote ab, kopieren Anforderungen aus anderen Branchen oder nennen Referenzahlen, hinter denen man als Mittelständler nur eine kleine Nummer ist. Die Folge: Vergleichbarkeit, das eigentliche Ziel jeder Ausschreibung, ist am Ende oft gar nicht gegeben.Im weiteren Verlauf wird es konkret. Beide gehen detailliert auf Stolperfallen ein, die Unternehmen unbedingt auf dem Schirm haben sollten: Vendor-Lock-in, der oft erst beim Wechsel sichtbar wird, fehlende eigene Mannschaft im Hintergrund (zum Beispiel niemand, der nachts ein Passwort zurücksetzen kann, obwohl das SOC 24/7 alarmiert), reine Linearität der Ausschreibung, die der Realität eines SOC-Betriebs nicht gerecht wird, sowie kreative Preisgestaltungen, bei denen ein Anbieter eine Million, der nächste zehn Millionen aufruft und niemand mehr weiß, was eigentlich verglichen wurde.Spannend wird es bei einer kleinen Anekdote, die Nico aus seiner Beratungszeit mitbringt: Ein Kunde wird angegriffen, das eigene Monitoring schlägt an, der externe SOC-Dienstleister meldet sich aber nicht. Auf Nachfrage hieß es lapidar: „Doch, gesehen haben wir das, aber weil sich niemand gemeldet hat, sind wir davon ausgegangen, dass alles in Ordnung war." Genau solche Fälle, sagen die beiden, sind der Grund, warum eine SOC-Auswahl mehr braucht als ein gut formuliertes Lastenheft.Im Gespräch geht es außerdem um:Wann ein SOC sinnvoll ist und wann ein gut aufgestelltes internes Team reichtWarum 24/7 nicht für jedes Unternehmen die richtige Lösung istVendor-Lock-in als oft unterschätzte Red Flag bei Tooling-EntscheidungenWie man Referenzen wirklich auswertet, nämlich im direkten Gespräch mit aktiven Kunden, nicht nur über Logo-ListenWarum „SOC-Umsatz" oder „Mitarbeiterzahl" als KPI nur bedingt aussagekräftig sindWie man verhindert, dass die Vergleichbarkeit von Angeboten an unterschiedlichen vertrieblichen Auslegungen scheitertDen Unterschied zwischen Anbieter, Größe und Passung: Wer 500 Referenzen hat, kann großartig sein, oder man ist schlicht eine Nummer von vielenWarum Ausschreibungen für SOCs strukturell schwierig sind und zu generischen Antworten führenDen Praxistipp einer (gerne bezahlten) Probewoche oder eines Proof of Concepts vor jeder großen SOC-Vergabe, damit beide Seiten wissen, worauf sie sich einlassenNico und Ann-Kathrin geben einen sehr ehrlichen, hands-on-orientierten Einblick, was bei der Auswahl, Ausschreibung und Bewertung eines SOC wirklich zählt, und warum die scheinbar saubere Beschaffungslogik aus anderen IT-Bereichen bei Security oft genau das Falsche ist. Eine Folge für alle, die gerade vor einer SOC-Entscheidung stehen oder einen bestehenden Anbieter ehrlich auf den Prüfstand stellen wollen.____________________________________________

Der wöchentliche Podcast „Cybersecurity ist Chefsache“ ist eine Plattform, auf der verschiedene Experten aus der Welt der Digitalisierung und Cybersecurity zusammenkommen, um über aktuelle Themen, Trends und praktische Anwendungen zu sprechen.Die Hosts Nico Freitag und Ann-Kathrin Lange laden regelmäßig Freunde, Kollegen und Gleichgesinnte aus unterschiedlichen Branchen ein, um ihre Erfahrungen und Perspektiven zu teilen. Gemeinsam diskutieren sie aktuelle Themen rund um Digitalisierung, Cybersecurity, OT-Sicherheit, Datenschutz und Informationssicherheit sowie deren praktische Umsetzung.Die Themen werden durch die Community mitbestimmt, sodass die Zuhörer:innen relevante, praxisnahe und aktuelle Einblicke erhalten.________________________________________________________________________________________

In dieser Folge von „Cyber Security ist Chefsache“ spricht Nico mit Ralf Kleinfeld, Division Manager Information Governance bei OTTO und Vorstandsmitglied der CISO Alliance, über das zentrals Thema Cybersecurity-Ausbildung in Deutschland.Ralf erklärt, warum die klassischen Ausbildungswege heute oft zu unübersichtlich sind und kaum junge Talente frühzeitig für Security begeistern. Er beschreibt, wie vielfältig die heutigen Studien- und Ausbildungswege im IT-Bereich geworden sind und wie wichtig es ist, Cybersecurity als echten Berufsweg sichtbar zu machen – sowohl für Schulabgänger als auch für Quereinsteiger.Ein zentraler Punkt ist, dass keine Ausbildung allein alle Kompetenzen vermitteln kann. Neben technischem Wissen gehören auch Kommunikation, Empathie und Resilienz zu den Fähigkeiten, die Sicherheitsexperten wirklich brauchen. Ralf betont, dass Unternehmen und Ausbilder mehr Praxis-Bezug schaffen sollten – etwa durch duale Ausbildungsplätze mit Cybersecurity-Stationen im Betrieb.Im Gespräch geht es außerdem um:• Die Notwendigkeit eines sichtbaren Ausbildungsberufs im Bereich Cybersecurity• Herausforderungen beim Einführen neuer Ausbildungswege in Deutschland• Die Bedeutung von Mentorship und Praxiswissen• Wie junge Menschen motiviert werden können, früh in die Cyberwelt einzusteigen• Unterschiede zwischen technischen und nicht-technischen Rollen in der SecurityRalf und Nico geben praktische Einblicke, wie Unternehmen und Ausbildungsinstitutionen gemeinsam Talente fördern können und warum Cybersecurity kein einmaliges Projekt, sondern ein kontinuierlicher Entwicklungsprozess ist.

In dieser Folge von Cybersecurity ist Chefsache spricht der Host mit Maximilian Moser, Consultant Industrial & Product Security beim VDMA über die Herausforderungen und Chancen des EU Cyber Resilience Act. Gemeinsam klären sie, was der Act für Hersteller von Produkten mit digitalen Elementen bedeutet, welche Pflichten auf Unternehmen zukommen und wie man ein sinnvolles Risikomanagement aufsetzt. vdma.orgMax erklärt, was unter einem „Produkt mit digitalen Elementen“ zu verstehen ist und warum es gerade im EU-Markt wichtig ist, Produktgrenzen klar zu ziehen und zu dokumentieren.Er erläutert, wie Hersteller eine Software Bill of Materials (S-BOM) nutzen, um überhaupt ein Risk Assessment durchführen zu können und wie dies die Grundlage für Schutzmaßnahmen schafft.Ein weiterer Schwerpunkt sind Schwachstellen- und Update-Management: Welche Meldefristen gelten bei aktiv ausgenutzten Schwachstellen und wie kann ein Hersteller Prozesse dafür einrichten? Außerdem gehen sie auf Sonderfälle ein – von maßgeschneiderten („Tailor-Made“) Produkten über Ersatzteilregelungen bis zu kritischen Komponenten. Abschließend diskutieren sie, wie Unternehmen die Konformitätsbewertung meistern, welche Fristen wichtig sind und welche Auswirkungen der Cyber Resilience Act auf Lieferketten und globale Anbieter hat. vdma.orgRessourcen & Links: • Cyber Resilience Act (EU-Regulation): Überblick und was Hersteller betrifft vdma.org • VDMA Cybersecurity-Seite mit Leitfäden und Factsheets vdma.org • Maximilian Moser LinkedIn: https://tinyurl.com/2nh3rc2f____________________________________________

In dieser Folge spreche ich mit Sander Rotmensen, Head of Business Line Cybersecurity Software for OT bei Siemens. Gemeinsam beschäftigen wir uns mit einem Problem, das viel zu oft ignoriert wird: In der Industrie heißt es häufig „Never change a running system“ patchen wäre zu riskant für Produktion und Sicherheit.Sander erklärt, warum genau dieses Mindset in der OT-Welt problematisch ist: Weil Transparenz über Assets, Firmwarestände und Häufigkeit von Updates fehlt, ist es oft unmöglich, Schwachstellen zuverlässig zu identifizieren und zu beheben.Wir gehen dabei folgende Themen durch:Warum klassische IT-Methoden (automatisches Scannen, schnelle Patches) in Industriesteuerungen selten funktionierenWie wichtig eine gründliche Inventarisierung aller OT-Komponenten ist aktiv und auch Geräte, die selten online sindWie man Schwachstellen-Management in der OT pragmatisch angeht: mit Tools, passenden Prozessen oder mit spezialisierten DienstleisternWarum nicht jedes System einfach gepatcht werden kann Zertifizierungen, Safety-Regeln und Produktionszwänge sind entscheidendWie moderne Ansätze aussehen können: Asset-Mapping + Risiko-Analyse + gezielte Updates oder Kompensationsmaßnahmen (Segmentierung, Monitoring, passive Überwachung)Warum OT-Security ein kontinuierlicher Prozess sein muss nicht ein einmaliges ProjektAm Ende geben wir einen pragmatischen Leitfaden: Transparenz schaffen, mit externen Integratoren oder Dienstleistern starten, Prozesse und Tooling etablieren und Sicherheit zur Chefsache machen.____________________________________________

In dieser Folge spricht Nico Freitag mit Dennis Buroh, Informationssicherheitsbeauftragter und CISO in der Minimax Viking Gruppe. Dennis verantwortet Informationssicherheit und Business Continuity Management für mehrere Gesellschaften weltweit und betreibt gleich fünf ISMS parallel von Entwicklung und Brandhäusern bis hin zu Produktion und Service im Feld.Im Mittelpunkt steht die Beziehung zwischen Entwicklung und Security. Dennis erzählt offen, wie Security schnell als „Bremse“ wahrgenommen wird, wenn sie erst kurz vor Go Live in Projekte einsteigt etwa bei der Einführung von PAM oder Sicherheitsreviews in letzter Minute. Gleichzeitig zeigt er, wie frühe Einbindung in Architektur und Design, klare Leitplanken und eine ehrliche Fehlerkultur dafür sorgen können, dass Security Teil des Codes wird und nicht nur ein Häkchen im Audit.Ein weiterer Schwerpunkt ist der Cyber Resilience Act mit Themen wie SBOM, Secure Development Lifecycle und mehrjähriger Updatepflicht. Dennis erklärt, was das konkret für Hersteller bedeutet vor allem in der OT, wo Anlagen jahrzehntelang laufen und warum SBOM und Sicherheitsanforderungen nur funktionieren, wenn Entwicklung, Security und Management gemeinsam daran arbeiten. Dazu kommen aktuelle Fragen rund um KI in der Entwicklung, Umgang mit Quellcode als „Kronjuwel“, Secrets, externe Dienstleister und Git Repositories.Außerdem geht es um:• wie du Security früh in den Entwicklungsprozess holst, statt am Ende alles zu stoppen• was der Cyber Resilience Act für Hersteller und langfristige Patches praktisch bedeutet• warum Bug Bounty kein Ersatz für Schulungen, Pentests und saubere Prozesse ist• wie Security Champions, Leitplanken und Fehlerkultur das Verhältnis zu Entwicklern verändern• welche Risiken KI Tools für Quellcode und Architekturwissen haben• warum Security für große Unternehmen gesetzt ist, im Handwerk und bei kleinen Betrieben aber oft noch als Luxus gesehen wirdEine Episode für alle, die Entwicklung und Security endlich als gemeinsames Projekt verstehen wollen ohne Bullshit-Bingo, sondern mit Praxisbeispielen aus einem Unternehmen, das jeden Tag sicherheitskritische Technik baut.____________________________________________

In dieser Folge spricht Nico Freitag mit Dr. Daniel Meltzian, Leiter des Grundsatzreferats Cyber und Informationssicherheit im Bundesministerium des Innern. Der Zeitpunkt könnte kaum aktueller sein, denn am Tag der Aufnahme hat der Bundestag das NIS-2-Umsetzungsgesetz in zweiter und dritter Lesung verabschiedet.Daniel erklärt Schritt für Schritt, wie ein Gesetz in Deutschland entsteht. Vom ersten Entwurf über Haus und Ressortabstimmung, Kabinett, Bundesrat, Bundestag bis hin zur Veröffentlichung im Bundesgesetzblatt. Beim NIS-2-Gesetz zeigt sich, warum dieser Weg oft länger dauert, als viele erwarten. Politische Blockaden, die Auflösung der Regierung, Wahlen und zusätzliche politische Wünsche haben den Prozess deutlich verzögert.Ein Schwerpunkt der Folge ist die Frage, warum Deutschland wie viele andere EU-Staaten die EU Frist zur Umsetzung verfehlt hat. Daniel beschreibt offen, wie neun Monate Stillstand zwischen Ministerien entstanden sind und wie die neue Abteilungsleitung und veränderte Prioritäten schließlich Bewegung in die Sache gebracht haben.Außerdem geht es um Themen wie: • die Diskussion um kritische Komponenten und warum diese kurzfristig ins Gesetz aufgenommen wurden • die Rolle von Bund, Ländern und Kommunen bei der Cybersicherheit • warum die Bundesregierung nur die Ministerien, nicht aber die gesamte Bundesverwaltung regeln wollte • wie das Parlament in der jetzigen Version doch eine breitere Regelung durchgesetzt hat • welche Fristen jetzt gelten und warum das Gesetz vermutlich noch im Dezember in Kraft tritt • welche Aufgaben nun beim BSI und in den Unternehmen liegen • wie NIS-2 im Kontext anderer EU-Regelwerke wie dem Cyber Resilience Act und dem AI Act steht • welche nächsten großen Themen im Innenministerium anstehen, darunter aktive Cyberabwehr und die neue CybersicherheitsstrategieDie Folge zeigt, warum Cybersicherheit politisch, organisatorisch und rechtlich komplex ist und wie viele Faktoren darüber entscheiden, wann ein Gesetz wirklich kommt. Gleichzeitig wird deutlich, wie groß der Druck inzwischen ist, weil die EU bereits ein Vertragsverletzungsverfahren gestartet hat.Ein Blick hinter die Kulissen, der selten so offen erzählt wird.____________________________________________

In dieser Folge spricht Nico Freitag mit Ferdinand Geringer, Sicherheitsexperte der Konrad-Adenauer Stiftung. Täglich beschäftigt er sich mit Cyber-Sicherheit, hybriden Bedrohungen, Desinformation, Sabotage und kritischen Infrastrukturen und erklärt, warum Deutschland heute verwundbarer ist, als viele glauben.Der Schwerpunkt:Was bedeutet „Ernstfall“ im Jahr 2025 wirklich und wie bereiten wir uns sinnvoll darauf vor?Ferdinand ordnet ein, warum wir hybride Angriffe, Spionage, Drohnenvorfälle, Lieferkettenrisiken und digitale Manipulation längst im Alltag sehen, sie aber oft falsch interpretieren. Und warum Resilienz nicht durch Alarmismus entsteht, sondern durch realistische Vorbereitung, Vertrauen und klare Kommunikation.Wir sprechen außerdem über:• wie hybride Angriffe funktionieren und warum sie kaum jemand bemerkt• weshalb Deepfakes gefährlicher sind als je zuvor• warum Bürokratie und föderale Strukturen Sicherheit manchmal ausbremsen• welche Rolle der neue Nationale Sicherheitsrat spielt• wieso Medienkompetenz in Familien genauso wichtig ist wie in Unternehmen• wie Unternehmen und Bürger sich auf Ausfälle besser vorbereiten können• was wir von Ländern wie Schweden bei der Krisenvorsorge lernen solltenDiese Episode zeigt: Sicherheit entsteht heute nicht durch Perfektion, sondern durch pragmatische Vorsorge privat, staatlich und gesellschaftlich.

In dieser Folge spricht Nico Freitag mit Janine Rauch, CISO und Head of Corporate Security bei Schnellecke Logistics. Janine hat im Unternehmen eine komplette Sicherheitsorganisation aufgebaut, die Informationssicherheit, physische Sicherheit, personelle Sicherheit, BCM und Risikomanagement zusammenführt. Ein Ansatz, der zeigt, wie wichtig ganzheitliche Security heute geworden ist.Der Schwerpunkt dieser Folge: Wie entsteht echte Cyber-Resilienz?Janine erklärt, warum der Begriff „digitale Souveränität“ oft völlig falsch verstanden wird. Es geht nicht darum, über Nacht unabhängig zu werden, sondern Verantwortung zu übernehmen. Verantwortung für Lieferketten, Abhängigkeiten, Datenhoheit und für Entscheidungen, die weit über IT hinausgehen. Resilienz entsteht nicht durch Perfektion, sondern durch Pragmatismus.Ein zentrales Thema: Community. Keine Organisation kann heute alleine resilient werden. Unternehmen, Politik, Verbände, Bildung und Forschung müssen deutlich enger zusammenarbeiten. Statt Parallelinitiativen, Insellösungen und endlosen Diskussionen braucht es Austausch, Transparenz und Mut zu unperfekten, aber funktionierenden Schritten.Wir sprechen außerdem über:• Warum Unternehmen nicht immer First Mover sein können oder sollten• Wie man Fachkräfte intern entwickelt, statt idealisierte Superprofile zu suchen• Warum Medienkompetenz und KI-Verständnis längst in Schulen gehören• Wie Eltern und Jugendliche heute mit Risiken, Daten und Plattformen umgehen• Warum Überbürokratie Innovation ausbremst• Welche Rolle Open Source für Resilienz spielen kann• Wie BCM in der Praxis entscheidet, ob ein Vorfall zum Problem oder zur Krise wird• Warum Verantwortung das bessere Wort ist als digitale SouveränitätDiese Episode zeigt, wie vielfältig und gleichzeitig greifbar Cyber-Resilienz ist, wenn man sie endlich aus der Praxis heraus betrachtet. Ohne Alarmismus, ohne Schönfärben, dafür mit klaren Worten und handfesten Ansätzen.

In der aktuellen Folge von „Cybersecurity ist Chefsache“ geht es um ein Thema, das besonders für kleine und mittlere Unternehmen brisant ist:Was tun, wenn das Budget für IT-Sicherheit fehlt?Nico Werner spricht mit Henry Werner, Sales Engineer bei Enginsight, darüber, warum IT-Security nicht teuer sein muss – aber durchdacht.Themen der Episode:Kein Budget, keine Ausrede: Warum es trotzdem machbar ist, Sicherheit umzusetzenTransparenz statt Technik-Fetisch: Warum Sichtbarkeit der erste Schritt istBuzzword-Bingo vermeiden: Warum viele Unternehmen glauben, einen „SOC“ zu brauchen aber nicht wissen, was das istIT-Security ist kein Projekt: Warum Sicherheitsarbeit niemals abgeschlossen istTool-Vielfalt im Markt: Wie man die richtige Lösung findet, ohne sich zu verzettelnRolle von AI & Pentesting: Henry zeigt, wie man mit KI und kostenlosen Tools echte Lerneffekte erzielen kannSecurity darf im IT-Budget nicht untergehen: Warum IT und Security getrennt betrachtet werden müssen„Was ist dein Asset?“ Die richtige Fragestellung entscheidetRealistische Einstiegshürden: Was Unternehmen heute schon umsetzen können auch mit knappen RessourcenFehlende gesetzliche Standards: Warum viele Unternehmen handeln würden, wenn sie müssten aber genau das nicht tunFazit:Es braucht keine Millionen-Investments, sondern den Mut zum ersten Schritt. Wer sich Sichtbarkeit verschafft, lernt – und wer lernt, kann handeln.Cybersecurity ist nicht sexy – aber existenziell.Und abonnieren nicht vergessen!

In dieser Episode von Cybersecurity ist Chefsache spricht Nico mit Rainer Rehm, Security Verantwortlicher bei ITERATEC, über eines der drängendsten Themen der Branche: den Fachkräftemangel in der IT-Security und warum dieser nicht allein durch Tools oder Zertifikate gelöst werden kann.Rainer bringt über 25 Jahre Erfahrung im Bereich Cybersecurity mit und ist darüber hinaus Vorsitzender des (ISC)² Germany Chapters, Ausbilder für ISACA-Zertifizierungen sowie Dozent für IT-Sicherheitsmanagement und Security by Design an einer dualen Hochschule. Damit liefert er einen einzigartigen Blick auf den Markt, die Ausbildungspraxis und die Fehler im System.

In dieser Episode diskutieren Nico und Tolga schonungslos ehrlich über das Trendthema digitale Souveränität. Zwischen Buzzword-Bingo, realen Sicherheitsherausforderungen und der Frage, ob Europa sich nicht längst in die nächste Abhängigkeit manövriert, geht es um klare Fakten und praxisnahe Einschätzungen aus über 20 Jahren IT-Erfahrung.Tolga teilt seine Perspektive aus der Security-Praxis: Warum es keine hundertprozentige Ausfallsicherheit gibt, weshalb Cloud-Ausfälle wie bei AWS unvermeidlich sind und wieso Business-Continuity-Pläne in KMUs oft nicht existieren, obwohl genau dort der größte Handlungsbedarf besteht.Die beiden sprechen außerdem über:Warum der Begriff digitale Souveränität häufig missverstanden wirdWie viel Kontrolle wir in Cloud-Umgebungen tatsächlich habenWelche Alternativen zu US-Hyperscalern es realistisch gibtWarum Open Source wichtig, aber kein Allheilmittel istWie KI, Chips und Cloud die neuen Machtzentren der digitalen Welt prägenUnd wieso Vertrauen in Europa nicht automatisch Unabhängigkeit bedeutetEin ehrliches Gespräch über Verantwortung, fehlendes Risikokapital, Bürokratie im KI-Bereich und die bittere Wahrheit: Souveränität beginnt im eigenen Unternehmen mit Know-how, Notfallplänen und echter Bereitschaft, zu investieren.

Erweitere dein Wissen über digitale Sicherheit mit "Cybersecurity ist Chefsache".In dieser spannenden Folge spricht Nico Freitag mit Susann Bartels, Beraterin und Trainerin für Security Awareness und Gründerin der Marke „The Strongest Link“. Gemeinsam räumen sie mit überholten Mythen über Awareness auf und zeigen, warum klassische Schulungen allein nicht mehr ausreichen, um Unternehmen zu schützen.Folgende Fragen und Themen werden in der Episode intensiv beleuchtet:Warum viele Unternehmen beim Thema Awareness scheitern, trotz guter AbsichtWeshalb der Mensch nicht die „Human Firewall“ sein sollte und was stattdessen sinnvoll istWieso Fehlerkultur und emotionale Anreize entscheidend für echte Veränderung sindDeepfakes, KI und moderne Angriffsszenarien: Wie bereiten wir Mitarbeitende darauf vor?Warum Awareness in die Unternehmenskultur gehört, nicht ins E-Learning-AbstellgleisWie Drucker, Kaffeemaschinen oder kleine GIFs im Alltag ein Umdenken erzeugenPraktische Beispiele, wie Awareness mit wenigen Mitteln wirksam umgesetzt werden kannDie Gefahr der Resignation: „Ich kann eh nichts ändern“ und wie man ihr begegnetEin besonderer Fokus liegt auf einem ganzheitlichen Verständnis von Awareness:Nicht als einmalige Schulung, sondern als dauerhafter Mindset-Change, der Mitarbeitende einbindet, ihnen Verantwortung zutraut und sie als aktiven Teil der Sicherheitsstrategie begreift.

Erweitere dein Wissen über digitale Sicherheit mit "Cybersecurity ist Chefsache".In der neuesten Episode begrüßt Nico Freitag Fabian Flock, CEO vom Global Cyber Circle. In dieser spannenden Folge geht es um den Cyber Resilience Act – und wie dieser neue EU-Act die Spielregeln für Unternehmen radikal verändert.Besonderer Fokus: Die neue Rolle von Produktentwicklung, Management und Organisation im Umgang mit digitaler Sicherheit.Ein zentrales Thema dieser Folge ist die CE-Konformität und Produktsicherheit. Gemeinsam analysieren wir, warum der CRA weit über NIS2 hinausgeht, und Unternehmen nicht nur zur Dokumentation, sondern zu echter Veränderung zwingt. Beispiel: Wer jetzt nicht beginnt, Sicherheitsanforderungen in der Produktentwicklung zu verankern, wird 2027 möglicherweise keine Produkte mehr liefern dürfen.Besonders spannend: Die organisatorische Komplexität. Vom Einkauf über HR bis hin zur Entwicklung, Security wird zur Querschnittsaufgabe. Wer diese Verantwortung nur an die IT oder einen externen Berater delegiert, verpasst nicht nur regulatorische Anforderungen, sondern auch unternehmerisches Potenzial.Ein weiteres Highlight: Wie Burnout, Überforderung und fehlende Kommunikation echte Risiken für den Fortschritt werden und wie Netzwerke wie der Global Cyber Circle hier echte Mehrwerte stiften, durch Austausch auf Augenhöhe, über Branchen und Rollen hinweg.Erfahrt in dieser Episode,Warum der CRA mehr ist als ein weiteres RegelwerkWie ihr eure Organisation resilienter aufstelltund warum Kommunikation der Schlüssel zu echter Cybersicherheit ist.

Erweitere dein Wissen über digitale Resilienz mit Cybersecurity ist Chefsache.In dieser Episode spricht Nico Freitag mit Dr. Marlen Hofmann, Gründerin der DORA-Werkstatt und Leiterin im Bereich Prozess- und Projektmanagement bei der Sparda-Bank Berlin.Im Fokus: die DORA-Verordnung – ihre Herausforderungen, Missverständnisse und praktischen Auswirkungen.

Erweitere dein Wissen über digitale Sicherheit mit "Cybersecurity ist Chefsache".In dieser Episode begrüßt Nico Freitag Jennifer Bloom, operative IT-Security-Spezialistin bei citeq / Stadt Münster. Jennifer gewährt spannende Einblicke in ihren beruflichen Alltag im kommunalen Umfeld vom Patch-Management über die operative Schwachstellenanalyse bis zur strategischen Weiterentwicklung der digitalen Sicherheit in einer komplexen Verwaltungslandschaft.Gemeinsam sprechen sie darüber, wie IT-Security in Kommunen wirklich funktioniert, fernab von Schlagzeilen und Vorurteilen. Jennifer berichtet aus erster Hand, wie die Stadt Münster mit Sicherheitslücken umgeht, wie der Umgang mit veralteten Fachverfahren aussieht und welche Rolle Schulung, Awareness und Teamkultur spielen.

Erweitere dein Verständnis für digitales Sicherheitsdenken mit der neuen Folge von „Cybersecurity ist Chefsache“.Nico Freitag spricht mit Olaf Röhrbein, Senior Consultant Cybersecurity bei der BWI und ehemaliger Berufssoldat, über das Thema: Was hat Disziplin mit einem starken Security-Mindset zu tun?In dieser Folge erfährst du:

Erweitere dein Wissen über digitale Sicherheit mit „Cybersecurity ist Chefsache“.In dieser Folge begrüßt Nico Freitag die Informationssicherheitsspezialistin Katia Winkler, die in ihrer Rolle als Senior Information Security Specialist bei einer großen Versicherung täglich mit den Herausforderungen rund um Lieferkettensicherheit, regulatorischen Anforderungen und realistischen Sicherheitsansätzen konfrontiert ist.Gemeinsam sprechen sie über:Die Realität der Lieferkette: Warum gerade Start-ups und Nischenanbieter oft nicht allen Anforderungen gerecht werden – und wie Unternehmen dennoch sicher mit ihnen zusammenarbeiten können.DORA, NIS2 und der Cyber Resilience Act (CRA): Was unterscheidet diese Vorgaben? Was ist verpflichtend, was nur Papiertiger? Und warum redet niemand über den CRA, obwohl er so viele betreffen wird?Zero Trust, S-BOMs und Penetrationstests: Was davon ist sinnvoll, was wird überbewertet – und was übersehen Unternehmen regelmäßig?Die Illusion von vollständiger Kontrolle: Warum Audits, Ratings und Excel-Checklisten oft nicht halten, was sie versprechen.Vertrauen als Sicherheitsfaktor: Wie echte Zusammenarbeit mit Lieferanten gelingen kann – und warum Security mehr Mensch als Metrik ist.Ein ehrliches Gespräch über Prozesse, Verantwortung und darüber, wie man Regulatorik nicht nur überlebt, sondern sinnvoll nutzt.____________________________________________

Erweitere dein Wissen über KI in der IT-Security mit „Cybersecurity ist Chefsache“.In dieser Episode begrüßt Nico Freitag Marco Eggerling, Global CISO bei Check Point Software Technologies. Gemeinsam beleuchten sie, ob „AI Defense“ tatsächlich ein Gamechanger ist – oder doch eher ein glorifiziertes Marketing-Buzzword.Ein zentrales Thema: Wie viel KI braucht IT-Sicherheit wirklich?Marco erklärt, warum viele „KI-Features“ im Kern auf altbekannten Mechanismen beruhen – und wie Unternehmen sich davor schützen können, nur Hype statt Substanz zu kaufen.Weitere Highlights:Warum KI sowohl von Angreifern als auch von Verteidigern genutzt wirdDeepfakes, synthetische Identitäten & Voice Cloning – reale Risiken für UnternehmenWas gute AI-Defense wirklich ausmacht: Use Cases, Datenqualität, MenschenSpannender Einblick in Check Points eigene KI-StrategieGovernance, Auditierbarkeit und Datenschutz im KI-ZeitalterAußerdem geht es um die spannende Frage: Wer übernimmt eigentlich Verantwortung für KI im Unternehmen? CISO? CIO? Oder braucht es bald einen Chief AI Officer?Diese Folge gibt klare Impulse für eine realistische, praxisnahe und sichere Umsetzung von Künstlicher Intelligenz in der Cyberabwehr.____________________________________________

Erweitere dein Verständnis für Diversity und digitale Sicherheit mit "Cybersecurity ist Chefsache".In der aktuellen Episode begrüßt Nico Freitag Julia Hermann, CISO bei infodas. In einem offenen Gespräch sprechen sie über Female Empowerment in der Cyberbranche, über persönliche Erfahrungen, Herausforderungen und konkrete Schritte, wie Frauen gezielt gefördert werden können.Julia erzählt, wie sie ihre Karriere in der IT-Security startete – oft als einzige Frau im Raum – und warum es ihr heute ein Herzensanliegen ist, andere Frauen zu ermutigen, ihren eigenen Weg in der Cyber Security zu gehen.Themen dieser Folge:Female Empowerment bedeutet: Räume schaffen, in denen Frauen sich fachlich wie persönlich entfalten könnenWarum Netzwerke wie She@ISACA echte Veränderung bewirken – weit über Symbolpolitik hinausWieso Frauen gerade in Krisensituationen starke, strukturierte Führung einbringenWie Unternehmen den Unterschied zwischen Sichtbarkeit und Scheinaktivismus verstehen müssenWarum Mentoring, Offenheit und Vielfalt auf allen Ebenen der Schlüssel zu resilienten Security-Teams sindJulia spricht auch über ihre Rolle bei der ISACA, die Relevanz internationaler Zusammenarbeit und die Verantwortung, junge Talente nicht erst an der Uni, sondern schon viel früher zu gewinnen.Eine Folge voller Impulse, Klartext und echter Motivation – nicht nur für Frauen, sondern für alle, die Vielfalt als Stärke begreifen.____________________________________________

Erweitere dein Wissen über digitale Sicherheit mit „Cybersecurity ist Chefsache“.In dieser Episode von Cybersecurity ist Chefsache begrüßt Nico Freitag den erfahrenen IT-Sicherheitsverantwortlichen Malte Vollandt. Gemeinsam sprechen sie über die sich stark wandelnde Rolle des CISO – und warum Wertschätzung dabei eine Schlüsselrolle spielt.

Erweitere dein Wissen über digitale Sicherheit mit „Cybersecurity ist Chefsache“.In dieser Episode spricht Nico Freitag mit Caroline Krohn, Fachbereichsleiterin für digitalen Verbraucherschutz beim Bundesamt für Sicherheit in der Informationstechnik (BSI).Zentrales Thema: Das vom BSI ausgerufene E-Mail-Sicherheitsjahr 2025. Gemeinsam mit Unternehmen, Providern und zivilgesellschaftlichen Akteuren will das BSI die E-Mail-Infrastruktur in Deutschland sicherer machen – proaktiv, freiwillig und sichtbar.

Erweitere dein Verständnis für die digitale Realität im Mittelstand mit „Cybersecurity ist Chefsache“.In dieser Folge begrüßt Nico Freitag David Fuhr, Cofounder & CTO der intcube GmbH. Gemeinsam sprechen sie über die dringlichsten Herausforderungen für europäische Unternehmen in Sachen IT-Sicherheit: Abhängigkeit von US-Infrastrukturen, das Chaos im Patch-Management und der Wunsch nach greifbaren Lösungen jenseits von Buzzwords.Ein zentraler Aufhänger ist die aktuelle Diskussion rund um die Finanzierung der CVE-Datenbank durch die USA – und was das für Europas Sicherheitslage bedeutet. David Fuhr spricht offen über die fehlende Skalierbarkeit im Mittelstand, über Verzettelung durch Beratermodelle und warum viele Organisationen lieber „das Rad neu erfinden“, statt vorhandene Lösungen zu nutzen.Dabei geht es auch um:Die Illusion vollständiger Kontrolle durch Regulierung (Stichworte: CRA, NIS 2, DORA)Warum Cloud-Rückzüge plötzlich wirtschaftlich attraktiv werdenWelche Rolle Netzwerke, Genossenschaften und Allianzen in der IT-Sicherheit spielen könntenWie ein nachhaltiges, europäisches Sicherheitsökosystem aussehen kann – und warum ein „europäisches Crowdstrike“ nicht die Antwort sein mussDavid fordert: Weniger Snake-Oil, mehr Zusammenarbeit. Weniger Einzelberatung, mehr wiederverwendbare Best Practices. Und vor allem: mehr Mut zur Kooperation statt Konkurrenz.Hört jetzt rein und erfahrt, wie wir digitale Resilienz im europäischen Mittelstand wirklich skalieren können – jenseits von Buzzwords und Hochglanz-Slides.____________________________________________

Erweitere dein Wissen über digitale Privatsphäre mit „Cybersecurity ist Chefsache“.In dieser spannenden Episode spricht Nico Freitag mit Bronislava V. Panchenko, Gründerin von BVP Data Security, über ein brandaktuelles Thema: den gläsernen Menschen – und warum unsere Daten längst zur wertvollsten Währung geworden sind.Gemeinsam werfen sie einen tiefen Blick auf den unsichtbaren Datenhandel, die Macht der Algorithmen und die dramatischen Folgen mangelnder Aufklärung.

Erweitere dein Wissen mit "Cybersecurity ist Chefsache".In der aktuellen Episode spricht Nico Freitag mit Dr. Gökhan Bal, Teamlead Cybersecurity Consulting bei AONIC, über drei zentrale Themen der modernen Cybersicherheit:IT-OT-Konvergenz, Cyber-Readiness durch Übungen und die Messbarkeit von Sicherheit.Gemeinsam analysieren sie, warum Standardlösungen in der OT-Welt oft scheitern – und wie man durch echtes Verständnis, gezielte Kommunikation und gemeinsame Verantwortung zu echter Resilienz gelangt. Dr. Bal schildert dabei auch seinen eigenen Weg vom klassischen IT-Sicherheitsansatz hin zum Verständnis industrieller Realitäten – und warum Tabletop-Übungen dabei ein entscheidender Hebel sein können.

Erweitere dein Wissen über Krisenmanagement und Cyberkommunikation mit „Cybersecurity ist Chefsache“.In dieser spannenden Folge spricht Nico Freitag mit Janka Kreißl, Partnerin bei DUNKELBLAU, über die richtige Vorbereitung auf Cyberkrisen – und was im Ernstfall wirklich hilft. Als Spezialistin für Krisenmanagement und Krisenkommunikation gibt Janka praxisnahe Einblicke in den Umgang mit digitalen Notfällen.Ein zentrales Thema: Die Definition von „Krise“. Wann kippt ein Vorfall zur Krise? Und warum liegt der Ursprung oft in enttäuschten Erwartungen von Stakeholdern – intern wie extern?Weitere Themen der Folge:

Erweitere dein Wissen über industrielle Cybersicherheit mit "Cybersecurity ist Chefsache".In dieser spannenden Episode spricht Nico Freitag mit Sebastian Froede, Geschäftsführer bei Pentaris Security GmbH, über OT-Pentests und die wahren Herausforderungen in der Absicherung industrieller Steuerungsanlagen.Sebastian teilt seine Erfahrungen aus über einem Jahrzehnt OT-Security, erklärt den Unterschied zwischen IT- und OT-Pentests und warum klassische Tools wie Nmap in der Produktion verheerende Folgen haben können. Er zeigt auf, warum Verfügbarkeit das höchste Gut in OT-Umgebungen ist – und was das für das Sicherheitsdesign bedeutet.Folgende Themen werden behandelt:✅ Legacy-Systeme und deren Herausforderungen: 30 Jahre alt, keine Updates möglich, aber dennoch schützenswert✅ OT-Fernwartung: Warum Lösungen wie TeamViewer ein Sicherheitsrisiko darstellen✅ Angriffsszenarien aus der Praxis – von falschen Sensorwerten bis zur manipulierten HMI-Anzeige✅ Unterschiede zwischen IT- und OT-Pentests – und warum Blackbox-Ansätze hier nicht funktionieren✅ Wie Unternehmen OT-Netze absichern können: Segmentierung, Protokollkontrolle, sichere Fernzugriffe✅ Schulungen, Awareness und Fehlerkultur: Warum auch OT-Teams fit gemacht werden müssen✅ Incident Response in OT-Netzen: Warum Forensik nicht die höchste Priorität hat – sondern schnelle Wiederherstellung✅ Der Hype um ESP32 und Flipper Zero: Was wirklich dran ist und wie man fundiert damit umgeht

Erweitere dein Wissen über moderne Cybersecurity mit "Cybersecurity ist Chefsache"!In der neuesten Episode spricht Nico Freitag mit Vicky Sorge, CISO bei Kaufland e-commerce. Gemeinsam tauchen sie tief in die sich wandelnde Rolle des CISO ein – vom klassischen Technikexperten hin zum kommunikativen Brückenbauer im Unternehmen.Dabei teilt Vicky Sorge ihren ungewöhnlichen Karriereweg vom Quereinstieg bis hin zur CISO-Position. Sie beschreibt, welche Fähigkeiten heute wirklich zählen: Kommunikationsstärke, Leadership, Netzwerkaufbau und vor allem ein gutes Gespür für das Management von Stresssituationen.Ein besonderes Augenmerk liegt auf den Herausforderungen der modernen CISO-Rolle:Wie hält man Schritt mit der sich schnell verändernden Bedrohungslage?Wie bringt man technische Teams, Management und Fachabteilungen an einen Tisch?Und wie wichtig sind Wertschätzung und psychologische Sicherheit für die Motivation der Mitarbeitenden?Ein weiteres Highlight der Folge ist die Diskussion über Burnout-Gefahren im CISO-Umfeld und der Appell an Unternehmen, mehr auf die mentale Gesundheit ihrer Sicherheitsverantwortlichen zu achten.Egal ob Berufseinsteiger, Quereinsteiger oder erfahrene Security Professionals – diese Folge bietet wertvolle Impulse für jeden, der die Zukunft der Informationssicherheit aktiv gestalten will.____________________________________________

Erweitere dein Wissen über digitale Sicherheit mit Cybersecurity ist Chefsache.In der neuen Episode spricht Nico Freitag mit Johannes Steger, Redaktionsleiter beim Tagesspiegel Background Digitalisierung & Cybersecurity. Im Mittelpunkt steht die Frage: Wie sprechen wir über Cyberangriffe – und was bewirken verkürzte, dramatisierte oder gar bewusst falsche Darstellungen?Johannes gibt Einblicke in die journalistische Arbeit hinter Cyber-Berichterstattung, spricht über die wachsende Rolle von Desinformation und erklärt, warum es gefährlich ist, Technikfehler mit Hackerangriffen zu verwechseln.Besonderes Augenmerk liegt auf der Diskrepanz zwischen Medienrealität und technischer Wirklichkeit: Was passiert wirklich – und was wird daraus gemacht? Und wie gelingt es, Betroffene von Cybervorfällen besser zu unterstützen, anstatt sie bloßzustellen?Weitere Themen:Die Flut an Desinformation nach KrisenereignissenWarum „Hacked“ nicht gleich „Hacked“ istDeepfakes & neue Prüfmechanismen für JournalistenWas Unternehmen über Kommunikation im Ernstfall lernen solltenWarum Lessons Learned öffentlich geteilt werden müssenEine Folge, die den Blick schärft und Mut zur differenzierten Debatte macht.____________________________________________

Erweitere dein Wissen über digitale Sicherheit mit "Cybersecurity ist Chefsache".In dieser spannenden Episode spricht Nico Freitag mit Julia Dudenko, Group CISO bei Haniel, über die aktuellen Herausforderungen in der Cyberwelt: Deepfakes, Fehlinformationen, Regulationen und die Rolle von Vertrauen.

Erweitere dein Wissen über digitale Sicherheit mit Cybersecurity ist Chefsache.In dieser spannenden Episode begrüßt Nico Freitag Dr. Robert Koch, Generalstabsoffizier bei der Bundeswehr. Gemeinsam werfen sie einen kritischen Blick auf die zunehmende Bedeutung des Cyberraums in geopolitischen Konflikten.Robert Koch bringt nicht nur jahrzehntelange Erfahrung aus der Marine, dem Ministerium und der NATO mit, sondern auch fundiertes Know-how aus Forschung und Lehre im Bereich Cybersicherheit.In der Folge diskutieren wir unter anderem:Wie hybride Kriegsführung funktioniert – und warum Cyberangriffe längst Realität sindWarum Deutschland bei der Verteidigung kritischer Infrastrukturen besonders verwundbar istWas die Ukraine aus dem Cyberkrieg gelernt hat – und was wir noch lernen müssenWelche Rolle künstliche Intelligenz und Drohnen in künftigen Konflikten spielenWarum Bildung, Transparenz und Zusammenarbeit der Schlüssel zur digitalen Resilienz sindUnd: Warum Zero Trust allein nicht reicht, um unsere digitale Zukunft zu sichernEin besonderes Augenmerk liegt auf der Rolle der NATO, den aktuellen Schwächen in der europäischen Cybersicherheitsarchitektur und der Notwendigkeit, über politische Ressortgrenzen hinauszudenken.____________________________________________

Erweitere dein Wissen über digitale Sicherheit mit Cybersecurity ist Chefsache.In dieser Spezialfolge spricht Nico Freitag mit Tim Guder, Head of Exhibitor Success beim Cybersecurity Summit, über das Konzept, das hinter dem Gipfel-Event steckt – und warum sich die Teilnahme besonders für Entscheider aus IT und Security lohnt.Der Cybersecurity Summit kombiniert Fachmesse, Konferenz und Networking auf einzigartige Weise – mit Fokus auf C-Level, IT-Leiter und strategische Entscheider. 2024 findet das Event am 14. und 15. Mai in Hamburg (Schuppen 52) statt.

Erweitere dein Wissen über Cybersicherheit mit Cybersecurity ist Chefsache!Cybersecurity ist mehr als Technik - sie ist Kommunikation!In der neuesten Episode von Cybersecurity ist Chefsache spricht Nico Werner mit Annika Waegenbauer, Gründerin von CYBERSECURITY REDEFINED, über die größten Herausforderungen in der Kommunikation zwischen CISOs und dem C-Level.

Erweitere dein Wissen über Cybersicherheit mit Cybersecurity ist Chefsache!In dieser Sonderfolge von Cybersecurity ist Chefsache sprechen wir über das Buch „IT für Anfänger“ – ein Gemeinschaftsprojekt mit über 9 Autor:innen, die komplexe IT-Themen einfach, greifbar und oft mit einer Prise Humor erklären.Zu Gast sind einige der Mitwirkenden: