Zero One ITCyberSecurity
Wer darf lesen?
Ist es noch echt?
Läuft es morgen noch?
Wer greift an?
Angriff. Abwehr. Üben.
Wenn es ernst wird.
Sicherheit verstehen, bevor jemand anderes Ihr Unwissen nutzt.
Angriffe treffen längst nicht mehr nur Konzerne. Ich erkläre Ihnen, wie Angreifer denken, wo kleine und mittlere Unternehmen typischerweise verwundbar sind und welche Maßnahmen wirklich etwas bringen – verständlich, ohne Panik und abgestimmt auf Ihren Datenschutz.
Justin Tölke · DEKRA-zertifizierte Fachkraft für Datenschutz · IT-Hintergrund
Die CIA-Triade: drei Schutzziele, die jeder Angreifer kennt.
Informationssicherheit lässt sich auf drei Ziele zurückführen. Jeder Angriff zielt auf mindestens eines davon, und jede sinnvolle Schutzmaßnahme stärkt mindestens eines. Wer die drei kennt, kann jede Sicherheitsfrage einordnen.
- C · ConfidentialityVertraulichkeitNur berechtigte Personen und Systeme dürfen Informationen lesen. Verletzt durch Datendiebstahl, abgefangene Zugangsdaten oder zu weit gesetzte Berechtigungen.
- I · IntegrityIntegritätDaten sind vollständig und unverändert, niemand hat unbemerkt manipuliert. Verletzt durch gefälschte Rechnungen, geänderte Überweisungsdaten oder manipulierte Datenbanken.
- A · AvailabilityVerfügbarkeitSysteme und Daten stehen bereit, wenn sie gebraucht werden. Verletzt durch Ransomware, Überlastungsangriffe oder Ausfälle ohne funktionierendes Backup.
Drei Begriffe, die dazugehören
Authentizität
Ist mein Gegenüber wirklich, wer es zu sein behauptet? Das gilt für Personen, Geräte und Nachrichten. Werkzeuge dafür sind Mehr-Faktor-Authentifizierung, digitale Signaturen und der Rückruf über eine bekannte Nummer. Das Deepfake-Szenario weiter unten ist ein Angriff auf genau dieses Ziel.
Nichtabstreitbarkeit
Eine Handlung lässt sich im Nachhinein nicht leugnen: Wer hat wann was freigegeben, gesendet oder geändert? Dafür sorgen Protokolle, Signaturen und nachvollziehbare Freigabeprozesse. Ohne sie steht im Ernstfall Aussage gegen Aussage.
Privatsphäre
Personenbezogene Daten werden nur so verarbeitet, wie es erlaubt ist und wie Betroffene es erwarten. Hier treffen sich Cybersecurity und Datenschutz: Die DSGVO verlangt Sicherheit, und Sicherheit schützt die Privatsphäre. Das ist mein Kerngeschäft.
Quellen: Microsoft Security 101 – Was ist Informationssicherheit? · Microsoft Security-101: The CIA triad and other key concepts
Wer greift an – und warum?
„Hacker“ ist als Begriff ungenau: Er beschreibt eine Fähigkeit, keine Absicht. In der Sicherheitsarbeit spricht man von Bedrohungen (Threats) und Bedrohungsakteuren – von organisierten Erpressungsgruppen über Betrüger bis zu unzufriedenen Insidern. Sie alle wollen an die drei Schutzziele heran, und sie verfolgen konkrete Ziele:
Zugriff auf sensible Informationen
Kundendaten, Verträge, Angebote, Gehälter, Gesundheitsdaten, Zugangsdaten. Sie lassen sich verkaufen, zur Erpressung nutzen oder als Sprungbrett für den nächsten Angriff.
Ihre Abläufe kennen
Wer gibt Zahlungen frei? Wann ist die Geschäftsführung unterwegs? Welche Dienstleister werden wann bezahlt? Wer Ihre Abläufe kennt, kann sie glaubwürdig nachahmen.
Finanzieller Gewinn
Lösegeld, umgeleitete Überweisungen, gefälschte Rechnungen, Betrug mit gestohlenen Identitäten. Am Ende der meisten Angriffe steht Geld.
Je besser ein Angreifer Ihr Unternehmen kennt, desto überzeugender wird sein Angriff. Gute Verteidigung beginnt deshalb mit der Frage, was ein Außenstehender über Sie, Ihre Systeme und Ihre Abläufe herausfinden kann.
Monate unbemerkt im System – dann ein Deepfake im Meeting.
So kann ein moderner Angriff ablaufen. Das Szenario ist konstruiert, vergleichbare Fälle sind aber öffentlich dokumentiert.
- Der ZugangEine Phishing-Mail, ein unachtsamer Klick, und der Angreifer hat Zugriff auf ein Postfach. Niemand merkt etwas.
- Monatelang lernenStatt sofort zuzuschlagen, bleibt der Angreifer still. KI-gestützt wertet er aus, wie die Geschäftsführung schreibt, spricht und entscheidet, wer Zahlungen freigibt, welche Projekte laufen und welche Termine anstehen.
- Der richtige MomentDie Geschäftsführung reist zu einem Geschäftstermin ins Ausland. Genau darauf hat der Angreifer gewartet: Rückfragen sind jetzt umständlich, Zeitdruck wirkt plausibel.
- Die NachrichtDas Finance-Team erhält eine Nachricht „vom Chef“: Für den Abschluss werden kurzfristig 3 Millionen Euro benötigt. Details im Meeting, gleich.
- Das MeetingIn der Videokonferenz sitzt die Geschäftsführung. Gesicht, Stimme, Tonfall, typische Formulierungen – alles stimmt. Die Überweisung wird freigegeben.
- Die WahrheitDie Geschäftsführung war tatsächlich im Ausland. Aber sie brauchte kein Geld, und sie saß nie in diesem Meeting. Es war ein Deepfake, trainiert mit Daten aus monatelanger Beobachtung.
Was diesen Angriff gestoppt hätte: ein Rückruf über eine bekannte Nummer statt über den Link im Meeting, ein Vier-Augen-Prinzip für ungewöhnliche Zahlungen, Mehr-Faktor-Authentifizierung für Postfächer, Warnungen bei ungewöhnlichen Anmeldungen – und ein Team, das weiß, dass so etwas möglich ist.
Vergleichbare Fälle sind dokumentiert: 2024 überwies ein Mitarbeiter eines internationalen Unternehmens in Hongkong nach einer Videokonferenz mit per Deepfake nachgebildeten Vorgesetzten rund 25 Millionen US-Dollar.
Warum Cybersecurity so schwer ist.
Die meisten Unternehmen scheitern nicht an fehlender Technik, sondern an strukturellen Problemen, die jeder Verteidiger hat:
Eine Lücke genügt
Sie müssen alles schützen. Ein Angreifer braucht eine einzige Schwachstelle, einen einzigen Klick.
Der Angriff beginnt mit einer Nachricht
Die meisten erfolgreichen Angriffe starten nicht mit einem technischen Durchbruch, sondern mit einer E-Mail, einem Anruf oder einem Besuch.
Die Angriffsfläche wächst
Cloud-Dienste, Homeoffice, private Geräte, Dienstleister, vergessene Testsysteme: Die Fläche wächst schneller, als man sie überblickt.
Stunden statt Wochen
Zwischen dem Bekanntwerden einer Schwachstelle und ihrer Ausnutzung vergehen oft nur Stunden. Updates werden trotzdem aufgeschoben.
Gute Sicherheit fällt nicht auf
Was funktioniert, bleibt unsichtbar. Deshalb wird Sicherheit leicht gestrichen – bis etwas passiert.
Niemand kann alles wissen
Angreifer verlassen sich darauf, dass Sie nicht wissen, was möglich ist. Genau hier setze ich an.
Die häufigsten Bedrohungen – verständlich erklärt.
Sie müssen keine Technikerin und kein Techniker sein, um diese Begriffe zu verstehen. Aber Sie sollten sie kennen, wenn Sie über Ihr Unternehmen entscheiden.
Phishing
Phishing bezeichnet gefälschte Nachrichten – meist E-Mails, aber auch SMS, Anrufe oder Chatnachrichten –, die Sie zu einer Handlung verleiten sollen: Zugangsdaten eingeben, einen Anhang öffnen, eine Zahlung freigeben. Der Absender wirkt vertraut, die Nachricht erzeugt Druck.
- „Ihre Rechnung“: Eine Mail mit einem Anhang wie „Rechnung_2026-11.pdf.exe“ oder einem Office-Dokument mit Makros. Beim Öffnen wird Schadsoftware installiert – der klassische Weg, Malware per Mailversand zu verbreiten.
- „Ihr Microsoft-365-Passwort läuft ab“: Ein Link führt auf eine täuschend echte Anmeldeseite. Die eingegebenen Zugangsdaten landen direkt beim Angreifer.
- Spear-Phishing: Gezielt auf eine Person zugeschnitten, mit echten Namen, Projekten und Terminen. Die Vorstufe zum Deepfake-Szenario oben.
Was hilft: Absender und Links prüfen, bei Zeitdruck misstrauisch werden, Anmeldeseiten nie über Links aus Mails öffnen, Mehr-Faktor-Authentifizierung und ein klarer Meldeweg im Team.
Malware – der Überbegriff für Schadsoftware
Ransomware
Verschlüsselt Ihre Daten und fordert Lösegeld, häufig verbunden mit der Drohung, gestohlene Daten zu veröffentlichen. Trifft die Verfügbarkeit und die Vertraulichkeit zugleich.
Was hilft: getestete, getrennt aufbewahrte Backups, segmentierte Netze, schnelle Updates, Notfallplan.
Trojaner
Tarnt sich als nützliches Programm oder harmloses Dokument und öffnet im Hintergrund eine Tür für den Angreifer: Fernzugriff, Mitlesen der Tastatur, Nachladen weiterer Schadsoftware.
Was hilft: keine Software aus unbekannten Quellen, eingeschränkte Benutzerrechte, aktueller Endgeräteschutz.
Viren & Würmer
Viren hängen sich an Dateien an und verbreiten sich, wenn diese ausgeführt werden. Würmer verbreiten sich selbstständig über das Netzwerk, ganz ohne Klick.
Was hilft: Updates, Netzwerksegmentierung, Firewalls zwischen Bereichen, die nichts miteinander zu tun haben.
Angriffe auf Systeme, Anwendungen und Menschen
(D)DoS – Denial of Service
Ein System wird mit Anfragen überflutet, bis es für echte Nutzer nicht mehr erreichbar ist. „Distributed“ heißt: Die Anfragen kommen gleichzeitig von tausenden gekaperten Geräten, einem Botnetz. Oft verbunden mit Erpressung.
Was hilft: Hosting mit DDoS-Abwehr, Lastverteilung, ein Notfallplan für den Ausfall.
SQL Injection
Eingabefelder einer Website werden mit Datenbankbefehlen gefüttert. Fehlt die Absicherung, liest, ändert oder löscht der Angreifer ganze Datenbanken.
Was hilft: vorbereitete Abfragen (Prepared Statements), Eingabeprüfung, minimale Datenbankrechte.
Cross-Site Scripting (XSS)
Fremder Code wird in eine Website eingeschleust und im Browser anderer Besucher ausgeführt, etwa um Sitzungen zu stehlen oder Eingaben mitzulesen.
Was hilft: Ausgaben konsequent kodieren, Content Security Policy, aktuelle Frameworks.
Social Engineering
Der Angriff auf den Menschen statt auf die Technik: Vertrauen, Hilfsbereitschaft, Respekt vor Autorität und Zeitdruck werden ausgenutzt – am Telefon, per Mail, an der Eingangstür. Phishing und CEO-Betrug sind Spielarten davon. Sehr erfolgreich, weil keine Technik Vertrauen ersetzt.
Was hilft: Sensibilisierung, klare Freigabeprozesse, eine Kultur, in der Rückfragen erwünscht sind.
Zero-Day-Exploits
Eine Schwachstelle, für die es noch kein Update gibt: „null Tage“ Vorwarnung für den Hersteller. Wird sie ausgenutzt, hilft Patchen allein nicht.
Was hilft: Angriffsfläche klein halten, Systeme härten, Angriffe erkennen statt nur vorzubeugen.
Credential Attacks
Angriffe auf Passwörter: Brute Force (Durchprobieren), Credential Stuffing (geleakte Passwörter aus anderen Diensten) und Password Spraying (ein häufiges Passwort gegen viele Konten).
Was hilft: Mehr-Faktor-Authentifizierung, Passwort-Manager, Sperren nach Fehlversuchen, Abgleich mit Leak-Listen.
MITRE ATT&CK®
ATT&CK steht für „Adversarial Tactics, Techniques and Common Knowledge“: eine frei zugängliche Wissensbasis, die dokumentiert, wie Angreifer tatsächlich vorgehen – von der ersten Erkundung über den Zugang bis zum Abfluss der Daten. Die Einträge beschreiben Taktiken (das Warum), Techniken (das Wie) und Vorgehensweisen, zusammen TTPs: Tactics, Techniques and Procedures.
Für Sie heißt das: Befunde aus einem Sicherheits-Check oder einer Red-Team-Übung ordne ich diesen Techniken zu. So wird aus „irgendwas mit Hackern“ eine nachvollziehbare Liste, die auch Ihre anderen IT-Dienstleister verstehen.
Quelle: attack.mitre.org
Geheimnisse gehören nicht ins Frontend.
Websites, Web-Apps und SaaS-Produkte entstehen heute schnell – mit Baukästen, KI-Werkzeugen oder externen Agenturen. Ein Fehler zieht sich durch erstaunlich viele Projekte: Zugangsdaten und Schlüssel landen dort, wo jeder sie lesen kann.
// app.js – wird an jeden Browser ausgeliefert const API_KEY = "sk_live_51H…"; // ✗ jeder Besucher kann das lesen const DB = { user: "admin", pass: "…" }; // ✗ Zugangsdaten im Frontend fetch("https://api.example.com/kunden?key=" + API_KEY); // Richtig: Der Browser spricht nur mit Ihrem Server. // Der Schlüssel bleibt dort und darf nur das Nötigste. fetch("/api/kunden"); // ✓ Server prüft die Sitzung, nutzt den Schlüssel intern
Was ich in Prüfungen regelmäßig finde
- API-Schlüssel und Tokens im JavaScript-Bundle oder im HTML-Quelltext.
- Konfigurationsdateien, .env-Dateien oder Backups im Webroot oder in einem öffentlichen Repository.
- Admin- und Test-Endpunkte ohne Anmeldung („kennt ja keiner“).
- Zugangsdaten in Kommentaren, Build-Protokollen oder Fehlermeldungen.
- Schlüssel mit viel zu weiten Rechten, die nie rotiert wurden.
- Datenspeicher mit öffentlichem Lesezugriff.
Grundregel: Alles, was der Browser lädt, gehört dem Besucher. Ein Schlüssel im Frontend ist kein Geheimnis mehr, sondern eine Einladung.
Mein Anspruch: Ich berate so, dass Ihr Unwissen nicht ausgenutzt wird. Sie müssen keine Sicherheitsexpertin und kein Sicherheitsexperte werden. Sie müssen wissen, welche Fragen Sie Ihrer Agentur, Ihrem Entwickler oder Ihrem Werkzeug stellen – und woran Sie eine gute Antwort erkennen.
So unterstütze ich Sie.
Von der ersten Bestandsaufnahme bis zum Ernstfall. Umfang und Vergütung vereinbaren wir nach dem Erstgespräch; Penetrationstests und Zutrittsprüfungen finden ausschließlich mit schriftlicher Beauftragung und klar abgegrenztem Umfang statt.
Sicherheits-Check
Bestandsaufnahme Ihrer IT, Konten, Berechtigungen, Backups und Abläufe. Sie erhalten eine priorisierte Liste: Was ist dringend, was kann warten, was kostet wenig und bringt viel.
Penetrationstests & Zutrittsprüfung
Kontrollierter Angriff auf vereinbarte Systeme, Websites oder Anwendungen. Auf Wunsch auch physisch: Kommt ein Fremder an Ihren Serverraum, Ihre Drucker oder einen unbeaufsichtigten Arbeitsplatz?
Red Team & Blue Team
Simulation eines Angriffs (Red Team) und Training der Verteidigung (Blue Team): Erkennt Ihr Team den Angriff? Wer reagiert wie, und wer informiert wen? Danach wissen Sie, wo Erkennung und Abläufe Lücken haben.
Mitarbeitersensibilisierung
Phishing-Simulationen und Schulungen, die nicht belehren, sondern zeigen, wie ein Angriff wirklich aussieht. Abgestimmt mit Ihrer Datenschutzschulung.
Microsoft 365 & Defender absichern
Mehr-Faktor-Authentifizierung, bedingter Zugriff, Defender-Richtlinien und nachvollziehbare Berechtigungen – abgestimmt auf den Datenschutz.
Websites, Web-Apps und SaaS prüfen
Prüfung auf Secrets im Frontend, unsichere Schnittstellen und typische Schwachstellen wie SQL Injection und Cross-Site Scripting. Verständlich erklärt, mit konkreten Fixes.
Im Ernstfall zählt jede Stunde.
Aktiver Angriff, laufende Verschlüsselung, verdächtige Überweisung? Dann geht es um Eindämmen, Beweise sichern und Meldepflichten (72-Stunden-Frist nach Art. 33 DSGVO). Eine Rufbereitschaft rund um die Uhr bei schweren Sicherheitsvorfällen ist Premium-Kunden vorbehalten; alle anderen erreichen mich zu den üblichen Zeiten über das Kontaktformular.
Keine Umsatzsteuer gemäß § 19 UStG. Der Leistungsumfang ergibt sich aus dem vereinbarten Angebot.
Was Sie vorab wissen möchten.
Brauchen kleine Unternehmen überhaupt Cybersecurity?
Ja. Angriffe laufen weitgehend automatisiert und treffen jeden, der erreichbar ist. Kleine Unternehmen sind oft leichter zu treffen, weil Schutzmaßnahmen, geprüfte Backups und klare Abläufe fehlen, und sie können sich einen Ausfall am wenigsten leisten.
Was ist der Unterschied zwischen Sicherheits-Check und Penetrationstest?
Ein Sicherheits-Check betrachtet Ihre Situation in der Breite: Konten, Berechtigungen, Backups, Prozesse und Dienstleister. Ein Penetrationstest greift gezielt ein vereinbartes System an, um nachzuweisen, ob und wie es überwunden werden kann. Meist beginnt man mit dem Check.
Was tun bei einem aktiven Angriff?
Betroffene Geräte vom Netz trennen, nichts löschen, keine Lösegeld-Kommunikation ohne Absprache, Passwörter zentral zurücksetzen und mich kontaktieren. Außerdem prüfen, ob Meldepflichten nach der DSGVO bestehen; als Datenschutzbeauftragter begleite ich diesen Schritt.
Wie hängen Cybersecurity und Datenschutz zusammen?
Die DSGVO verlangt in Art. 32 geeignete technische und organisatorische Maßnahmen, also genau die Dinge, die auf dieser Seite beschrieben sind. Wer Sicherheit ernst nimmt, erfüllt einen großen Teil seiner Datenschutzpflichten gleich mit. Mehr dazu unter Externer Datenschutzbeauftragter.
Wo steht Ihre Sicherheit heute?
Schildern Sie mir kurz Ihr Unternehmen und Ihre wichtigste Sorge. Im kostenlosen Erstgespräch klären wir, welche Schritte sinnvoll sind – und welche nicht.