Das Thema IT-Security ist ein Dauerbrenner. Eine ganzheitliche Herangehensweise schafft den bestmöglichen Schutz. Der Round Table zeigt wie dieser Ansatz umgesetzt werden kann und welche Lösungen es für große Unternehmen wie auch KMUs gibt.
Die Teilnehmer:
Franz Großmann, Geschäftsführer, SCHOELLER
Mario Zimmermann, Regional Director Austria, Veeam
Dr. Ronke Babajide – Manager Systems Engineering, Fortinet
DI Robert Pumsenberger, CEO conova communications GmbH
source
Dauer: 01:25:58
Inhalt:
Management Summary – Roundtable „Security: Guter Schutz durch einen ganzheitlichen Ansatz“
Kurzfazit
Hauptangriffsvektor bleibt der Mensch: Phishing/Social Engineering, Deepfakes (Voice/Video), Zeitdruck & Multitasking.
Basics schlagen Bling: Patchen, MFA, Segmentierung/Zero Trust, gesicherte/immutable Backups, Monitoring & Üben (Tabletop).
Ohne Plan kein Schutz: Incident-Response-Playbooks, Rollen & Befehlsketten, Notfall- und Wiederanlaufpläne.
Ressourcen knapp → Managed & Automatisierung: Konsolidierte Plattformen + KI-gestützte Detection/Response; wo sinnvoll Best-of-Breed, aber integriert.
Regulatorik zieht an: NIS2 macht Governance, Risikoanalyse, Meldepflicht & Resilienz zur Chefsache.
Lagebild & Bedrohungen
Angriffe nehmen zu und treffen alle Größen, besonders KMU, Produktion/OT und kritische Infrastruktur.
Doppelte Erpressung: Verschlüsselung und Datenexfiltration mit Veröffentlichungsdruck.
Neue Qualität: KI-gestützte, perfekt formulierte Mails; Voice-/Video-Clones.
Skill-Gap: Zu wenig Fachkräfte und zu viele Tools → Blind Spots.
Datensouveränität & Schrems II: Cloud nur mit Schlüssel-/Standort-Konzept.
Wirksame Hebel (pragmatisch)
Hygiene: Patch- & Vulnerability-Management, MFA überall, Least Privilege, Netzwerk-Segmentierung/Zero Trust.
Erkennen & Reagieren: EDR/XDR + NDR, SIEM/SOAR mit Automatisierung (Entlastung bis >80–90 % der Analystenroutine).
Backups als letzte Rettung: 3-2-1-1-0-Regel, immutable/offline, Anomalie-Erkennung, Recovery-Orchestrierung & Restore-Tests.
Awareness: Kontinuierliches, realitätsnahes Training inkl. Deepfake-Szenarien; Phishing-Simulationen.
IR-Readiness: Tabletop-Exercises, Notfallhandbuch, Kontaktlisten, Meldewege (inkl. Polizei/Behörden), PR-Plan.
Konsolidieren – aber integriert: Von 20–30 Tools Richtung wenige Plattformen; offene APIs & Use-Case-Fit wahren.
Krypto & Cloud: Durchgängige Verschlüsselung (at rest/in transit), Hold-Your-Own-Key/Double Encryption, AT/EU-DCs als Option.
90-Tage-Plan (KMU-tauglich)
Woche 1–2 – Security-Quick-Scan & Priorisierung
Top-5 Risiken, Asset-Inventar, Patch-Backlog, Admin-Konten, extern erreichbare Dienste.
Woche 3–6 – Schutz hochziehen
MFA erzwingen, E-Mail-Security & Webfilter, lokale Adminrechte reduzieren, Immutable Backup einführen, kritische Systeme patchen.
Woche 7–10 – Erkennen & Üben
EDR/XDR ausrollen (Start mit Kronensystemen), zentrale Logs, Basis-Playbooks, Tabletop (Ransomware & Datenabfluss).
Woche 11–13 – Automatisieren & formalisieren
SOAR-Workflows (Isolate Host, Ticket, Notify), Restore-Drill mit RTO/RPO-Messung, NIS2-Gap-Analyse, Lieferanten-Security-Check.
KPIs, die zählen
MTTD/MTTR, Patch-Zeit (kritisch < 7 Tage), MFA-Quote (≈100 %), Backup-Erfolg & Restore-Zeit, Phishing-Fail-Rate ↓, EDR-Coverage, Tabletop-Frequenz (≥2/Jahr).
Checkliste „Letzte Meile“
Rollen/Kontaktbaum (Technik, Recht, CEO, PR, CERT/Behörden).
Melde- & Entscheidungswege (inkl. Lösegeld-Policy).
Vorbereitete Kommunikationsbausteine (Kunden, Partner, Medien).
Alternativ-Arbeitsplatz/Cloud-Failover oder lokales DC (AT/EU).
Beweis-/Forensik-Vorgehen (Chain of Custody).
Typische Irrtümer
„Wir sind zu klein, uns hackt keiner.“ → Falsch. Automatisierte Angriffe zielen gerade auf KMU.
„Backup reicht.“ → Nicht gegen Daten-Leaks/Erpressung durch Veröffentlichung.
„Technik löst alles.“ → Menschen & Prozesse sind der häufigste Hebel.
Merksatz: Trainiere Menschen, automatisiere Routine, teste Recovery – und plane so, als ob morgen Incident ist.
