Blog

Wer sich ernsthaft mit Informationssicherheit beschäftigt, stößt früher oder später auf eine Flut an Abkürzungen und Normenbezeichnungen: ISO 27001, ISO 27002, BSI IT-Grundschutz, NIST, COBIT, TISAX, DORA, DSGVO – und das ist nur der Anfang. Für Außenstehende wirkt dieses Regelwerk wie ein unüberschaubarer Dschungel aus Vorschriften, Empfehlungen und Zertifizierungen. Doch wer die wichtigsten Normen kennt und versteht, erkennt schnell, dass sie m

Es knirscht selten laut, wenn es passiert. Kein großer Knall, keine rot blinkenden Warnlampen. Stattdessen: eine kleine Konfigurationsänderung bei einem Dienstleister, ein unscheinbares Update, eine freundliche E-Mail eines „Partners“, ein Browser-Plugin aus einem Hersteller-Marketplace. Wochenlang wirkt alles normal, die Dashboards bleiben grün. Und doch hat sich die Risikolage grundlegend verschoben – nur eben nicht dort, wo das eigene SOC hins

ISO 27001 – allein der Name klingt nach Norm, Paragraphen und endlosen Dokumenten. Viele, die ihn hören, denken sofort an eine trockene, bürokratische Übung, die man nur für Auditoren und Zertifizierer macht. Doch hinter ISO 27001 steckt weit mehr als ein dicker Ordner mit Richtlinien. Sie ist der international anerkannte Standard für Informationssicherheits-Managementsysteme – kurz ISMS – und damit so etwas wie die „Bedienungsanleitung“ dafür, w

Viele Unternehmen betrachten Informationssicherheit immer noch als eine Disziplin, die irgendwo tief in der IT-Abteilung angesiedelt ist. Dort sitzen die Administratoren, die Passwortrichtlinien einführen, Firewalls konfigurieren, Updates einspielen und im Ernstfall versuchen, Angriffe abzuwehren. Diese Sichtweise hat sich über Jahrzehnte gehalten, weil IT-Sicherheit tatsächlich in den Serverräumen, Rechenzentren und Netzwerken beginnt. Doch sie

„GRC“ war über Jahre ein Sammelbegriff, hinter dem sich vieles und damit oft zu wenig verbarg: Richtlinienbibliotheken, Risikomatrizen, Kontrollen-Kataloge, Auditkalender. Das war nützlich, aber selten spürbar wertschöpfend. Heute kippt die Perspektive. Märkte reagieren in Stunden, Lieferketten sind digital verschaltet, Vorfälle verbreiten sich viral, Regulierungen greifen tiefer in Produkte und Prozesse ein. In dieser Welt kann Governance, Risk

Mit der NIS2-Richtlinie rückt ein Aspekt besonders in den Fokus, der in vielen Unternehmen bisher unterschätzt wurde: die persönliche Haftung von Führungskräften. Während Cybersicherheit früher zu oft als „IT-Thema“ betrachtet wurde, macht NIS2 unmissverständlich klar: Die Verantwortung liegt an der Spitze – und sie lässt sich nicht delegieren. Das verändert Entscheidungswege, Prioritäten und auch die Art, wie über Risiken gesprochen wird. Im Ker

Wer DORA zum ersten Mal liest, stößt unweigerlich auf den Begriff ICT-Risikomanagement, im Deutschen meist als IKT-Risikomanagement bezeichnet. Er steht im Zentrum der gesamten Verordnung und ist weit mehr als nur eine formale Pflicht. Im Kern geht es darum, Risiken, die aus der Nutzung von Informations- und Kommunikationstechnologien entstehen, systematisch zu erkennen, zu bewerten, zu steuern und zu überwachen. Das klingt zunächst vertraut, den

Jede Organisation, egal ob kleines Start-up oder globaler Konzern, muss sich mit Risiken auseinandersetzen. Dabei geht es nicht nur um Cyberangriffe oder IT-Ausfälle, sondern um alles, was den Geschäftsbetrieb stören, den Ruf schädigen oder finanzielle Verluste verursachen kann. Die entscheidende Frage lautet: Wie viel Risiko ist akzeptabel – und ab wann wird es gefährlich? Die Antwort darauf ist nicht so einfach, wie sie klingt. Ein Null-Risiko

Wer sich mit Informationssicherheit beschäftigt, kennt sie: die drei klassischen Schutzziele Vertraulichkeit, Integrität und Verfügbarkeit. Sie sind das Fundament der Sicherheitsarchitektur und bilden seit Jahrzehnten den Ausgangspunkt fast jeder Sicherheitsstrategie. Doch so zeitlos diese „magischen drei“ sind – die Welt, in der sie entstanden, war eine andere. Heute sind Unternehmen global vernetzt, Datenströme kennen keine Landesgrenzen mehr,

Zero Trust hat in den vergangenen Jahren viele Etiketten getragen: Paradigmenwechsel, neues Sicherheitsmodell, Buzzword. In der Praxis ist es weniger eine Revolution als ein Architekturprinzip, das Organisationen zwingt, ungeschriebene Annahmen sichtbar zu machen. Nicht mehr „im Netz = vertrauenswürdig“, nicht mehr „einmal angemeldet = immer berechtigt“, nicht mehr „VPN an = alles gut“. Zero Trust bedeutet, Vertrauen situativ und begründet zu ver