Der Mensch ist Schicht 8 des ISO-OSI-Modells, das mit dem Application Layer endet. Keine Firewall schützt ihn. Kein Patch schließt seine Schwachstellen. Und genau deshalb ist er das bevorzugte Einfallstor für professionelle Angreifer:innen.
Technische Maßnahmen lösen ein menschliches Problem nicht
Der Reflex ist verständlich: Ein neues Risiko entsteht, ein neues Tool kommt ins Gespräch. Spam-Filter, E-Mail-Gateways, Multi-Faktor-Authentifizierung. Diese Maßnahmen sind richtig und notwendig. Aber sie verschieben das Problem, sie eliminieren es nicht.
Laut dem Verizon Data Breach Investigations Report ist menschliches Verhalten in rund 68 Prozent aller erfolgreichen Sicherheitsvorfälle ein entscheidender Faktor. Der Mensch wird nicht angegriffen, weil Technik fehlt. Er wird angegriffen, weil er reagiert. Weil er hilft. Weil er Autorität respektiert. Weil er unter Zeitdruck entscheidet. All das sind keine Fehler, das sind menschliche Eigenschaften, die Angreifer:innen gezielt ausnutzen.
Eine Sicherheitsstrategie, die auf technische Maßnahmen reduziert bleibt, baut auf einem Fundament mit einer bekannten, unbehobenen Lücke.
Wie Social Engineering funktioniert und warum es so effektiv ist
Social Engineering bezeichnet die gezielte Manipulation von Menschen, um sie zu Handlungen zu bewegen, die sie andernfalls nicht ausführen würden. Das Prinzip ist so alt wie Betrug selbst. Die Umsetzung hat sich professionalisiert.
Angreifer:innen nutzen eine Handvoll psychologischer Mechanismen, die in der Verhaltenspsychologie gut dokumentiert sind. Autorität: Eine E-Mail im Namen der Geschäftsführung löst andere Reaktionen aus als eine von einem Unbekannten. Dringlichkeit: Wer in 10 Minuten handeln muss, prüft nicht mehr kritisch. Vertrauen durch Kontext: Eine Nachricht, die auf ein laufendes Projekt Bezug nimmt, wirkt legitim. Reziprozität: Wer etwas bekommt, gibt leichter.
Ein konkretes Beispiel zeigt die Wirkung: Der Automobilzulieferer Leoni AG verlor 2016 über 40 Millionen Euro, weil eine Mitarbeiterin auf eine CEO-Fraud-E-Mail hereinfiel, also eine gefälschte Anfrage der Geschäftsführung. Kein Schadcode, kein Exploit. Nur eine gut formulierte E-Mail und ein Vorgang, der ungeprüft ausgeführt wurde.
KI hat diese Angriffsmethodik in den letzten zwei Jahren qualitativ verändert. Sprachmodelle generieren fehlerfreie, kontextsensitive Phishing-Mails in Sekunden, personalisiert auf Basis öffentlich verfügbarer Informationen über Zielpersonen. Deepfake-Sprachnachrichten imitieren Vorgesetzte. Die Hürde für überzeugend gemachte Social-Engineering-Angriffe ist gesunken.
Warum einmalige Schulungen nicht wirken
Einmal im Jahr ein Pflichttraining absolvieren und anschließend eine E-Mail-Bestätigung versenden: Dieses Modell ist in vielen Unternehmen noch Standard. Es erfüllt formal eine Anforderung. Es verändert kein Verhalten. Das Problem liegt in der Lernpsychologie. Wissen, das nicht aktiviert wird, verblasst. Handlungssicherheit entsteht durch Wiederholung, durch das Erleben von Situationen, und durch unmittelbares Feedback. Ein einmaliges Webinar über Phishing-Erkennung schafft das nicht.
Hinzu kommt: Angriffe werden nicht seltener, sondern häufiger. Wer seine Mitarbeitenden einmal im Jahr sensibilisiert, schickt sie elf Monate unvorbereitet ins Feld.
Studien zeigen, dass Klickraten bei simulierten Phishing-Mails mit kontinuierlichem Training von rund 34 Prozent auf etwa 5 Prozent sinken können. Der Effekt entsteht nicht durch Information, sondern durch das wiederholte Erleben, Erkennen und Melden von Angriffen in einer sicheren Trainingsumgebung.
Was wirksame Security Awareness ausmacht
Drei Eigenschaften unterscheiden Awareness-Programme, die Verhalten verändern, von solchen, die Compliance-Boxen abhaken.
Kontinuität
Awareness ist kein Projekt, das abgeschlossen wird. Es ist ein Betriebsprozess. Regelmäßige Phishing-Simulationen, kurze Lernimpulse im Arbeitsalltag, und systematisches Messen des Fortschritts schaffen eine Sicherheitskultur, die trägt.
Verhaltenspsychologische Fundierung
Effektive Programme arbeiten mit denselben Mechanismen wie Angreifer:innen, nur umgekehrt. Sie erzeugen kein schlechtes Gewissen nach einem Klick, sondern einen Lernmoment. Die Mitarbeiterin, die auf eine simulierte Phishing-Mail hereingefallen ist, sieht sofort, warum, und was das Erkennungsmerkmal gewesen wäre. Dieses unmittelbare Feedback ist pädagogisch entscheidend.
Messbarkeit
Gute Programme machen sichtbar, welche Abteilungen welchen psychologischen Taktiken besonders anfällig gegenüber sind, wie sich die Klickrate über Zeit entwickelt, und wo gezielter nachgebessert werden muss. Diese Daten sind nicht nur für die Sicherheitsverantwortlichen relevant, sie sind Nachweisgrundlage für Audits und Compliance-Anforderungen.
Security Awareness als regulatorische Pflicht
NIS2 und ISO 27001 sind keine optionalen Rahmenbedingungen mehr für die meisten Unternehmen im DACH-Raum.
ISO 27001 verlangt in Annex A, Kontrolle 6.3, ausdrücklich ein Awareness-Programm für alle Mitarbeitenden, das relevante Bedrohungen und Verhaltenserwartungen adressiert. Kein zertifizierter ISMS-Betrieb ohne nachgewiesene Schulungsmaßnahmen.
NIS2, umgesetzt im deutschen NIS2UmsuCG, fordert in Artikel 21 Maßnahmen zur Sensibilisierung der Mitarbeitenden als expliziten Bestandteil des Risikokonzepts. Betreiber wesentlicher und wichtiger Einrichtungen, und das sind nach NIS2 deutlich mehr Organisationen als nach der Vorgängerrichtlinie, müssen Awareness-Maßnahmen nachweislich umsetzen und dokumentieren.
Wer Security Awareness nur als Nice-to-Have behandelt, riskiert damit nicht nur Sicherheitsvorfälle, sondern auch Compliance-Lücken mit regulatorischen Konsequenzen.
Wie carmasec Security Awareness umsetzt
Wir verstehen Security Awareness als integrierten Bestandteil einer mehrschichtigen Sicherheitsstrategie, nicht als isoliertes Schulungsformat. Technische Maßnahmen und menschliche Resilienz verstärken sich gegenseitig, wenn sie aufeinander abgestimmt sind.
In der Praxis bedeutet das: Wir konzipieren mit dir ein Awareness-Programm, das zu deiner Risikolage und deiner Organisationsstruktur passt. Für die Umsetzung von Phishing-Simulationen und kontinuierlichen Lernprogrammen setzen wir auf die Plattform von SoSafe, einem der führenden europäischen Anbieter für Security Awareness Training mit verhaltenspsychologischem Ansatz.
Das schließt ein: realistische, zielgruppenspezifische Phishing-Kampagnen, Lernmaterialien mit unmittelbarem Feedback nach jedem simulierten Angriff, Auswertungen nach Abteilung und Risikomuster, sowie ISO-konformes Reporting, das dir den Nachweis gegenüber Auditoren abnimmt.
Unser Beratungsansatz endet nicht bei der Plattform. Wir begleiten dich dabei, die Erkenntnisse aus Awareness-Programmen in dein Sicherheitskonzept zu integrieren: in Richtlinien, in Incident-Response-Prozesse, und in die regelmäßige Überprüfung durch Penetrationstests.
Fazit
Kein Unternehmen ist zu klein, um Ziel von Social Engineering zu sein. Und kein technisches Schutzkonzept ist vollständig, solange der menschliche Faktor unbehandelt bleibt. Wer Security Awareness kontinuierlich, verhaltenspsychologisch fundiert und messbar umsetzt, reduziert seine Klickrate nachweislich, erfüllt NIS2- und ISO-27001-Anforderungen mit auditfähiger Evidenz, und macht aus dem schwächsten Glied der Sicherheitskette eine aktive Verteidigungslinie.
Schicht 8 lässt sich nicht patchen. Sie lässt sich trainieren.
Du willst wissen, wie anfällig deine Organisation heute ist?
Wir starten mit einer gezielten Phishing-Simulation und zeigen dir, wo dein Handlungsbedarf liegt.
Timm Börgers ist Managing Partner & Trusted Advisor bei carmasec und treibt das Thema Corporate Social Responsibility mit persönlichem Einsatz voran. Im persönlichen Interview spricht er darüber, was ihn antreibt, was carmasec bereits bewegt hat und wo die Reise hingeht.
Hallo Timm, zunächst möchten wir gerne mehr über dich als Person wissen. Womit beschäftigst du dich, wenn du nicht als Managing Partner der carmasec tätig bist?
„Privat verbringe ich meine Zeit am liebsten mit meiner Familie. Ich bin außerdem Hobby-Barista und immer auf der Suche nach dem perfekten Espresso. Ich interessiere mich außerdem sehr für Urban Gardening in Kombination mit Smart Home und entwickle beispielsweise immer neue Wege, um mein eigenes Obst und Gemüse auf kleinstem Raum anzubauen. Als echter Kölner bin ich natürlich begeisterter Karnevalist und kennt die meisten Lieder auswendig.
Wie bist du zu carmasec gekommen?
Ich habe zunächst eine Ausbildung zum Fachinformatiker und anschließend ein Bachelorstudium der IT-Sicherheit an der Ruhr-Universität Bochum absolviert . Danach war ich zunächst freiberuflich als Cyber Security Consultant tätig, bevor ich mich 2020 entschied, carmasec zukünftig als Managing Partner zu unterstützen. Mein Ziel ist es, carmasec als modernen und attraktiven Arbeitgeber zu positionieren. Mir ist vor allem wichtig, dass sich unsere Kolleg:innen langfristig wohlfühlen, motiviert arbeiten können und persönliche Wertschätzung erfahren.
Du hast dir das Thema Corporate Social Responsibility auf die Fahnen geschrieben und engagierst dich bei carmasec stark für das Thema. Was treibt dich hierbei an?
Das Engagement für Gesellschaft und Umwelt ist ein wichtiger Teil der Unternehmensphilosophie von carmasec und genießt bei mir hohe Priorität. Deshalb kümmere ich mich persönlich um das Thema Corporate Social Responsibility. Ich werde dabei von einem schlagkräftiges Team unterstützt, unter anderem bei der Planung und Umsetzung von Maßnahmen. In den vergangenen zwei Jahren haben wir bereits eine große Müllsammel-Aktion durchgeführt und die Kölner Tafel unterstützt. Mein Ziel: Ich will mit einem stetig wachsenden Unternehmen immer mehr bewegen können. Für die Zukunft wünsche ich mir, dass carmasec CO2-neutral wird und dass wir langfristige Kooperationspartner für größere Aktionen finden.
Danke für das Interview!
Wachsen, wo Sicherheit mehr als ein Job ist.
Wir denken Cybersicherheit weiter. Aus Begeisterung, aus Neugier, aus Überzeugung. Bei carmasec hat jede:r die Möglichkeit, sich auszuprobieren, Verantwortung zu übernehmen und dabei ein Team im Rücken zu haben. Wir begegnen uns auf Augenhöhe, mit Vertrauen, Transparenz und dem gemeinsamen Ziel, wirklich etwas zu bewegen.
Das Ausgangsproblem: OT wurde nicht für Vernetzung gebaut
Operational Technology in der Energieversorgung, in Wasserwerken, in der Verkehrsinfrastruktur oder im Gesundheitswesen hat einen grundlegenden Konstruktionsfehler aus heutiger Perspektive: Sie wurde für Verfügbarkeit und Prozessstabilität entwickelt, nicht für Sicherheit gegen Cyberangriffe. Steuerungssysteme auf Basis proprietärer Protokolle wie Modbus, Profibus oder DNP3 liefen jahrzehntelang in physisch isolierten Umgebungen. Der sogenannte Air Gap, die physische Trennung vom Internet, war das primäre Sicherheitskonzept.
Diese Isolation existiert in der Form nicht mehr. Die zunehmende IT/OT-Konvergenz, ausgelöst durch Fernwartungsanforderungen, Effizienzprogramme und die Integration von Smart Grid, SCADA und industriellen IoT-Komponenten, hat die Grenzen aufgelöst. Was früher eine Produktionsinsel war, ist heute über ZTNA-Gateways, Cloud-Backends und Wartungs-VPNs mit der Außenwelt verbunden. Und damit angreifbar.
Das Purdue Enterprise Reference Architecture Model (PERA), lange Zeit der konzeptuelle Rahmen für OT-Sicherheit, beschreibt eine klare Zonierung in Ebenen: von der Feldgeräteebene über die Steuerungsebene bis hin zur Unternehmens-IT. Theorie und Praxis klaffen hier weit auseinander. In der Praxis überspringen Wartungszugänge, Remote-Dienste und Datenintegrationspfade diese Zonen. Angreifer:innen auch.
Was Zero Trust bedeutet und wo der Begriff herkommt
Den Begriff „Zero Trust“ prägte John Kindervag 2010 während seiner Zeit als Analyst bei Forrester Research. Die Kernthese: Kein Gerät, kein Nutzer, keine Verbindung darf allein aufgrund seiner Netzwerklokation als vertrauenswürdig gelten. Weder innerhalb noch außerhalb des Perimeters. Vertrauen muss explizit und kontinuierlich hergestellt werden, nicht implizit vorausgesetzt.
Das National Institute of Standards and Technology (NIST) hat diesen Rahmen 2020 mit der SP 800-207 formalisiert. Drei Kernprinzipien stehen im Zentrum: „Verify explicitly“ bedeutet, dass jede Zugriffsanfrage anhand von Identität, Gerätekontext und Verhalten geprüft wird. „Use least privilege access“ begrenzt Berechtigungen strikt auf das, was für eine Aufgabe erforderlich ist. „Assume breach“ geht davon aus, dass eine Kompromittierung bereits stattgefunden haben kann, und entwirft Architekturen, die laterale Bewegungen innerhalb des Netzwerks verhindern.
Die CISA (Cybersecurity and Infrastructure Security Agency) hat darauf aufbauend ein Zero Trust Maturity Model entwickelt, das fünf Säulen definiert: Identity, Devices, Networks, Applications and Workloads sowie Data. Diese Säulen beschreiben, wo Zero Trust-Kontrollen ansetzt und in welcher Reihenfolge eine Reifegradentwicklung sinnvoll ist.
Warum KRITIS ein besonderes Problem hat
KRITIS-Betreiber stehen vor Einschränkungen, die in der klassischen IT-Welt so nicht vorkommen.
Lange Betriebszyklen.
OT-Systeme laufen 15 bis 25 Jahre. Ein Leitsystem, das heute im Einsatz ist, wurde unter anderen Bedrohungsannahmen beschafft. Patches sind oft nicht möglich, weil der Hersteller keine bereitstellt, weil Zertifizierungen erlöschen würden, oder weil ein Neustart der Anlage operativ nicht tolerierbar ist. Das Ergebnis ist eine verwundbare, aber produktionskritische Landschaft, die sich nicht einfach modernisieren lässt.
Proprietäre Protokolle ohne Authentifizierungslogik.
Modbus kennt keine Authentifizierung. DNP3 in seiner Basisversion auch nicht. Viele OT-Protokolle wurden unter der Annahme entwickelt, dass niemand Unberechtigtes im Netz ist. Diese Annahme ist heute nicht mehr haltbar. Zero Trust kann hier nicht mit klassischen Nutzername-Passwort-Mechanismen arbeiten, sondern benötigt Lösungen wie zertifikatsbasierte Geräteidentitäten (X.509) und protokollbewusste Proxies.
Fehlende Security-Teams.
Viele KRITIS-Betreiber, insbesondere mittelgroße Stadtwerke, Wasserversorger oder Krankenhäuser, haben keine dedizierten OT-Security-Ressourcen. Der für Zero Trust notwendige Aufwand bei Inventarisierung, Klassifizierung und Monitoring erscheint vor diesem Hintergrund prohibitiv. Er ist es nicht, wenn man mit dem richtigen Scope beginnt.
Regulatorischer Druck steigt.
§8a BSIG verpflichtet KRITIS-Betreiber bereits heute zu technischen und organisatorischen Schutzmaßnahmen nach Stand der Technik. NIS2 (umgesetzt in Deutschland durch das NIS2UmsuCG) verschärft die Anforderungen und weitet den Geltungsbereich erheblich aus. Artikel 21 NIS2 fordert explizit Risikokonzepte, Netzwerksicherheitsmaßnahmen, Zugriffskontrollkonzepte und Segmentierung. Das sind genau die Bausteine, die Zero Trust adressiert.
Zero Trust in der OT-Praxis: Was funktioniert und was nicht
Die direkte Übertragung von IT-seitigen Zero Trust-Architekturen auf OT-Umgebungen scheitert in der Regel. Ein Industrieregler kann kein Software-Agenten ausführen. Eine SPS unterstützt keine MFA. Ein SCADA-System toleriert keine Latenzen durch kontinuierliche Authentifizierungsprüfungen, wenn Echtzeitsteuerung erforderlich ist.
Das bedeutet aber nicht, dass Zero Trust-Prinzipien in OT-Umgebungen nicht umsetzbar sind. Es bedeutet, dass die Implementierung angepasst werden muss.
Mikrosegmentierung nach Zone-Conduit-Modell
IEC 62443 beschreibt das Zone-Conduit-Modell als Grundlage für OT-Sicherheitsarchitekturen. Zonen gruppieren Assets nach Schutzbedarf und Kommunikationsprofil. Conduits definieren, welche Kommunikation zwischen Zonen erlaubt ist. Dieses Modell ist direkt mit Zero Trust-Prinzipien kompatibel: Kein Datenfluss zwischen Zonen ohne explizite Kontrolle und Protokollierung. Unidirektionale Datendioden für unkritische Monitoring-Daten von OT nach IT sind ein bewährtes Mittel, um Angriffsflächen strukturell zu reduzieren.
Geräteidentität statt Nutzeridentität
Wo Nutzer nicht authentifiziert werden können, müssen Geräte es sein. X.509-Zertifikate für OT-Endpunkte sind machbar, auch in Legacy-Umgebungen, wenn die Zertifikatsverwaltung über geeignete PKI-Infrastruktur erfolgt. Geräteidentitäten sind die Grundlage für granulare Zugriffskontrollen auf Netzwerkebene.
ZTNA statt VPN für Remote Access
Fernwartungszugänge auf Leittechnik sind einer der häufigsten Angriffsvektoren auf KRITIS-Infrastrukturen. Klassische VPN-Zugänge geben Wartungstechniker:innen oft weitreichenden Netzwerkzugriff weit über das hinaus, was für die jeweilige Aufgabe notwendig ist. ZTNA-Lösungen beschränken den Zugriff auf exakt die Ressource, die benötigt wird, für genau die Dauer, die erforderlich ist, mit vollständiger Protokollierung.
Network Detection and Response (NDR) für OT-Sichtbarkeit
Zero Trust setzt Sichtbarkeit voraus. In OT-Umgebungen, wo Agenten nicht einsetzbar sind, liefert passives NDR diese Sichtbarkeit durch Analyse des Netzwerkverkehrs. OT-fähige NDR-Lösungen verstehen proprietäre Protokolle und erkennen Anomalien im Kommunikationsverhalten, ohne aktiv in den Prozess einzugreifen. Das ist der Einstieg in kontinuierliches Monitoring, wie es das „Assume Breach“-Prinzip verlangt.
NIS-2 als konkreter Anlass
Die NIS2-Richtlinie ist kein abstraktes Compliance-Konstrukt. Sie definiert Mindestanforderungen, die inhaltlich stark mit Zero Trust-Prinzipien übereinstimmen. Risikomanagement und Risikoanalyse, Netzwerksicherheit und Segmentierung, Zugriffsverwaltung und Authentifizierung, Monitoring und Vorfallserkennung: Diese Anforderungen aus Artikel 21 NIS2 lassen sich nicht durch Dokumentation allein erfüllen. Sie erfordern technische Umsetzung.
Zero Trust bietet hier einen strukturierten Rahmen, der NIS2-Anforderungen nicht nur erfüllt, sondern operationalisiert. Wer Zero Trust als Architekturprinzip einführt, baut gleichzeitig die Evidenz auf, die ein NIS2-Audit erfordert: Zugriffsprotokolle, Segmentierungsnachweise, Geräteinventare, Anomalie-Alerts.
Wie der Einstieg gelingt: risikoorientiert, nicht maximal
Zero Trust ist kein Schalter, den man umlegt. Es ist ein Reifegradprozess. Der häufigste Fehler ist der Versuch, das gesamte Architekturkonzept auf einmal umzusetzen. Das scheitert an Ressourcen, an Legacy-Systemen und an der Komplexität der Abhängigkeiten.
Der richtige Ansatz ist risikobasiert: Welche Assets sind kritisch? Welche Zugänge sind am stärksten exponiert? Welche lateralen Bewegungspfade im Netz wären für Angreifer:innen am lukrativsten? Diese Fragen beantwortet eine strukturierte Risikoanalyse nach BSI IT-Grundschutz oder ISO 27001. Auf Basis dieser Antworten lässt sich eine Zero Trust-Roadmap entwickeln, die mit den wirkungsvollsten Maßnahmen beginnt und sukzessive ausbaut.
Das CISA Zero Trust Maturity Model beschreibt fünf Entwicklungsstufen je Säule: Traditional, Initial, Advanced, Optimal. Kein KRITIS-Betreiber muss auf Anhieb „Optimal“ erreichen. Ein klar definierter Ausgangszustand und ein realistischer Zielpfad sind wertvoller als eine ambitionierte Architektur, die in der Umsetzung steckenbleibt.
Fazit
Zero Trust für KRITIS ist kein Projekt, das du abschließt. Es ist eine Haltung gegenüber Sicherheit, die du in Architekturentscheidungen, Betriebsprozesse und Beschaffungsstrategien einbettest. Wer heute damit beginnt, gewinnt drei Dinge gleichzeitig: eine deutlich reduzierte Angriffsfläche durch Mikrosegmentierung und granulare Zugriffskontrollen, eine nachweisbare Erfüllung der NIS2-Anforderungen mit auditfähiger Evidenz, und die operative Sicherheit, dass ein erfolgreicher Einbruch in eine Teilinfrastruktur nicht zur vollständigen Kompromittierung der Gesamtanlage führt.
Sicherheit entsteht nicht durch den perfekten Perimeter. Sie entsteht durch die Annahme, dass der Perimeter bereits gefallen ist, und durch Architekturen, die genau darauf ausgelegt sind.
Du willst wissen, wo deine KRITIS-Infrastruktur heute steht?
Wir bewerten deinen Reifegrad und entwickeln mit dir eine Zero Trust-Roadmap, die zu deiner Betriebsrealität passt.
Der CRA verändert die Anforderungen an digitale Produkte tiefgreifend. Welche Pflichten auf Hersteller zukommen, erfährst du hier kompakt zusammengefasst.
Was ist der Cyber Resilience Act?
Der EU Cyber Resilience Act (EU CRA) ist eine rechtsverbindliche EU-Verordnung. Er legt ein Mindestmaß an Cybersicherheit für Produkte mit digitalen Elementen fest und verfolgt das Ziel eines einheitlichen Sicherheitsstandards innerhalb des europäischen Binnenmarktes. Durch Minimierung von Sicherheitslücken und Verringerung der Angriffsflächen sollen die Produkte und deren Nutzer besser vor Cyberangriffen und deren Auswirkungen geschützt werden.
Der CRA ist eine ergänzende Regulierung zu bereits bestehenden Anforderungen wie der NIS2-Richtlinie oder der RED-Directive und verknüpft sie miteinander. Zudem ist der EU CRA mit der CE-Kennzeichnung verbunden: Bei fehlender Compliance kann diese aberkannt oder von vornherein nicht erteilt werden.
Definition: Produkte mit digitalen Elementen
Gemeint sind Hardware- und Softwareprodukte, die eine direkte oder indirekte, logische oder physische Datenverbindung mit einem Gerät oder Netzwerk eingehen. Dazu zählen IoT-Geräte, industrielle Steuerungen, Betriebssysteme, Apps, Router, Wearables und Unternehmenssoftware mit Netzwerkanbindung.
Ohne belegbare CRA-Konformität entfällt die CE-Kennzeichnung. Ohne CE-Kennzeichnung kein Marktzugang in der EU.
Wen betrifft er und warum fast jedes Produkt dazugehört
Der EU Cyber Resilience Act betrifft alle Hersteller, Importeure und Händler von Produkten mit digitalen Elementen. Auch Unternehmen außerhalb der EU, die Produkte auf dem europäischen Markt vertreiben wollen, sind verpflichtet, den CRA zu erfüllen.
Bei kommerziellem Einsatz sind auch Open-Source-Produkte und -komponenten betroffen. Der CRA gilt für alle Produkte, die nach seinem Inkrafttreten auf dem EU-Markt in Verkehr gebracht werden. Bereits zuvor in Umlauf gebrachte Produkte sind nicht betroffen, solange keine wesentlichen Änderungen vorgenommen werden.
Explizit ausgenommen vom Anwendungsbereich
- Kraftfahrzeuge, Kraftfahrzeugteile, Luftfahrzeuge und deren Bestandteile
- Medizinische Geräte
- Produkte für die nationale Sicherheit / Militär
- Produkte für die Verarbeitung von Verschlusssachen
Inkrafttreten und Übergangsfristen
Der Cyber Resilience Act tritt 20 Tage nach seiner Veröffentlichung im Amtsblatt der Europäischen Union in Kraft. Für Unternehmen beginnt damit eine gestaffelte Umsetzungsphase. Die Übergangszeit sollte gezielt genutzt werden, um Sicherheitsarchitektur, Produktprozesse und Nachweisführung konform aufzustellen.
Fakten auf einen Blick
- Verabschiedung: 13. März 2024 durch das Europäische Parlament
- Inkrafttreten: 10. Dezember 2024 (anschließend 36 Monate Übergangsfrist)
- Ab 11. September 2026: Meldepflicht für aktiv ausgenutzte Schwachstellen und Sicherheitsvorfälle
- Ab 11. Dezember 2027: Alle CRA-Anforderungen für neu in Verkehr gebrachte Produkte verpflichtend
- Rechtsform: EU-Verordnung (direkt verbindlich, ohne nationale Umsetzung)
- Zielsetzung: Einheitliches Mindestniveau an Cybersicherheit für digitale Produkte
Wen betrifft er und warum fast jedes Produkt dazugehört
Der EU Cyber Resilience Act betrifft alle Hersteller, Importeure und Händler von Produkten mit digitalen Elementen. Auch Unternehmen außerhalb der EU, die Produkte auf dem europäischen Markt vertreiben wollen, sind verpflichtet, den CRA zu erfüllen.
Bei kommerziellem Einsatz sind auch Open-Source-Produkte und -komponenten betroffen. Der CRA gilt für alle Produkte, die nach seinem Inkrafttreten auf dem EU-Markt in Verkehr gebracht werden. Bereits zuvor in Umlauf gebrachte Produkte sind nicht betroffen, solange keine wesentlichen Änderungen vorgenommen werden.
Explizit ausgenommen vom Anwendungsbereich
- Kraftfahrzeuge, Kraftfahrzeugteile, Luftfahrzeuge und deren Bestandteile
- Medizinische Geräte
- Produkte für die nationale Sicherheit / Militär
- Produkte für die Verarbeitung von Verschlusssachen
Diese Anforderungen müssen erfüllt sein
Technische und organisatorische Sicherheitsanforderungen an Produkte:
- Security by Default: Das Produkt muss in einer sicheren Standardkonfiguration auf den Markt gebracht werden.
- Security by Design: Das Produkt wird unter Beachtung der Cybersicherheit konzipiert.
- Vulnerability Management: Schwachstellen müssen in einem Regelprozess behandelt werden. Nur unter bestimmten Voraussetzungen dürfen bekannte Schwachstellen im Produkt enthalten sein.
- Risk Management: Risiken durch Schwachstellen werden analysiert, bewertet und getrackt. Jede Entscheidung über den Umgang mit diesen Risiken ist dokumentationspflichtig.
- Secure Software Development Lifecycle: Das Produkt muss für die gesamte Lebensdauer sicher sein. Das schließt lange Update-Unterstützung, Schutz vor bekannten Schwachstellen aus externen Quellen und automatische oder einfach installierbare Sicherheitsaktualisierungen ein.
Diese Infrastrukturen brauchst du
Der CRA verlangt Sicherheit entlang des gesamten Produktlebenszyklus. Das gelingt nur, wenn Unternehmen passende Infrastrukturen aufbauen. Sie sichern die Umsetzung technischer und organisatorischer Anforderungen und schaffen die Grundlage für dauerhafte Compliance.
Infrastruktur für Dokumentation und Transparenz
- Erstellung und Pflege einer SBOM (Software Bill of Materials / Software-Stückliste)
- Technische Dokumentation
- Risikoanalysen und Risikomanagement
- Kundeninformationen und Anwendungshinweise
- Meldeprozesse gegenüber Behörden wie der ENISA
Infrastruktur für Schwachstellenmanagement
- Schwachstellen müssen ohne Zeitverzug identifiziert, priorisiert und behoben werden.
- Sicherheitslücken, die von außen gemeldet werden, erfordern eine strukturierte und dokumentierte Reaktion (Incident Response).
- Informationen über behobene Schwachstellen müssen öffentlich nachvollziehbar gemacht werden (Incident Disclosure).
- Sicherheitsupdates müssen sicher, kostenfrei und sofort nach Bereitstellung verfügbar gemacht werden.
Infrastruktur für Sicherheitsprüfungen
- Statische Codeanalyse (SAST)
- Dynamische Tests (DAST)
- Penetrationstests
Infrastruktur für Transparenz und Meldungen
- Bereitstellung klarer Sicherheitsinformationen und Handlungsempfehlungen für Kunden
- Fristgerechte und strukturierte Meldungen an Behörden wie ENISA oder nationale Marktüberwachungsstellen
- Nachvollziehbare und dokumentierte Kommunikationsprozesse für Audit und Nachweisführung
Infrastruktur für Konformitätsbewertung
- Bewertung je nach Risikoklasse
- Selbstbewertung oder externe Prüfung durch notifizierte Stelle
- Nachweis der Konformität und CE-Kennzeichnung
Cyber Resilience Act umsetzen: Diese Schritte sind jetzt wichtig
Die Anforderungen des Cyber Resilience Act sind umfangreich. Mit einem strukturierten Vorgehen lassen sie sich klar priorisieren und umsetzen. Wichtig ist, früh zu klären, welche Produkte betroffen sind, welche Lücken bestehen und welche Maßnahmen notwendig sind. carmasec begleitet Unternehmen entlang des gesamten Prozesses von der Analyse bis zur Umsetzung sicherheitsrelevanter Maßnahmen.
Betroffenheit analysieren
Allgemeine Betroffenheitsanalyse auf Organisationsebene. Produktspezifische Bewertung inklusive Risikoklassifizierung.
Lücken identifizieren
Durchführung einer Gap-Analyse und eines EU CRA Impact Assessments.
Maßnahmen planen
Abgleich mit den Fristen des CRA. Priorisierung nach Kritikalität und verfügbaren Ressourcen.
Umsetzung vorbereiten
Die wichtigsten Maßnahmen für CRA-Compliance:
- Schulungen für relevante Rollen und Fachbereiche
- Aufbau der vollständigen Sicherheitsdokumentation
- Erstellung einer SBOM (Software Bill of Materials)
- Einführung und Verbesserung von Schwachstellenmanagementprozessen
- Integration von Security by Design und Default in Entwicklungsprozesse
- Implementierung automatisierter Sicherheitsprüfungen in CI/CD-Pipelines
- Aufbau von Strukturen für Security Monitoring und Incident Response
- Sicherstellung regelmäßiger, sicherer und kostenloser Sicherheitsupdates
- Durchführung von Security Tests (SAST, DAST, Penetrationstests) nach Bedarf, ergänzt durch Threat-Informed Defense zur Überprüfung der Wirksamkeit gegenüber realen Angriffsmethoden
Nur wer vorbereitet ist bleibt am Markt. Das droht bei Nichteinhaltung des CRA
Der Cyber Resilience Act ist kein Papiertiger. Wer ihn ignoriert oder nur oberflächlich umsetzt, bringt sein Geschäftsmodell in Gefahr. Produkte ohne CRA-Konformität erhalten keine CE-Kennzeichnung und dürfen nicht auf den europäischen Markt. Unternehmen verlieren den Zugang zu Kunden und Umsätzen. Rückrufe und Vertriebsstopps verursachen hohe Kosten und reißen Lücken in Lieferketten und Roadmaps.
Verstöße gegen die Anforderungen führen zu empfindlichen Geldbußen. Die Strafen reichen bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes. Händler und Importeure zahlen bis zu 10 Millionen Euro oder 2 Prozent.
Hinzu kommt der Vertrauensverlust. Kunden stellen Fragen. Partner springen ab. Behörden schauen genauer hin. Aus einem Compliance-Fehler wird schnell ein Reputationsproblem.
Wer trägt die Verantwortung?
- CISOs: volle Verantwortung für technische Nachweise und ein funktionierendes Schwachstellenmanagement
- CEOs: wirtschaftliche Haftung, strategische Vorsorge
- IT-Leiter:innen: belastbare Prozesse, die das Produkt absichern
Ohne Vorbereitung wird der CRA zum Geschäftsrisiko.
FAQ zum Cyber Resilience Act
Wann tritt der CRA in Kraft?
Der CRA trat am 10. Dezember 2024 in Kraft. Es gibt gestufte Übergangsfristen: Ab 11. September 2026 gilt die Meldepflicht für aktiv ausgenutzte Schwachstellen. Ab 11. Dezember 2027 müssen alle neuen Produkte vollständig konform sein.
Gilt der CRA auch für mein Produkt?
Ja, wenn Dein Produkt eine direkte oder indirekte Datenverbindung mit einem Gerät oder Netzwerk eingeht und nach Dezember 2024 neu in Verkehr gebracht wird. Ausnahmen: Kraftfahrzeuge, Medizinprodukte, Militär. Im Zweifel gilt: Wenn es vernetzt ist, ist es betroffen.
Wie funktioniert die Konformitätsbewertung?
Die meisten Produkte (Standardkategorie) können sich per Selbstbewertung zertifizieren. Produkte der Klasse I und II erfordern eine externe Prüfung durch eine notifizierte Stelle. Die Einstufung hängt vom Risikopotenzial des Produkts ab.
Was ändert sich beim CE-Kennzeichen?
Die CRA-Konformität ist ab Dezember 2027 Voraussetzung für die CE-Kennzeichnung bei Produkten mit digitalen Elementen. Ohne nachweisbare Compliance kein CE-Zeichen und kein Marktzugang in der EU.
Was ist eine SBOM?
Eine Software Bill of Materials ist die vollständige Auflistung aller Software-Komponenten eines Produkts. Sie ist Pflichtbestandteil der technischen Dokumentation nach CRA, muss maschinenlesbar vorliegen, aber nicht veröffentlicht werden. Sie dient als Frühwarnsystem für Schwachstellen in der Lieferkette.
Wie schnell müssen Vorfälle gemeldet werden?
Bei aktiv ausgenutzten Schwachstellen und schwerwiegenden Sicherheitsvorfällen: initiale Meldung an ENISA innerhalb von 24 Stunden. Vollständige Meldung mit Details zu Ursache, Auswirkungen und Gegenmaßnahmen innerhalb von 72 Stunden.
Gilt der CRA auch für Hersteller außerhalb der EU?
Ja. Wer Produkte mit digitalen Elementen auf dem EU-Markt vertreiben will, muss den CRA erfüllen, unabhängig vom Unternehmenssitz. Ohne EU-Niederlassung ist die Benennung eines bevollmächtigten EU-Vertreters verpflichtend.
Reicht eine ISO 27001-Zertifizierung als CRA-Nachweis?
Nein. ISO 27001 adressiert das Informationssicherheitsmanagementsystem einer Organisation, nicht die produktspezifischen Anforderungen des CRA. Beide Frameworks ergänzen sich, ersetzen sich aber nicht gegenseitig.
Was ist TID und wie ergänzt es den CRA?
Threat-Informed Defense (TID) ist ein Ansatz, der Security-Maßnahmen an realen Angriffsmethoden ausrichtet. Im CRA-Kontext hilft TID dabei, die Wirksamkeit technischer Maßnahmen wie Penetrationstests und Schwachstellenmanagement gegenüber tatsächlichen Bedrohungsszenarien zu überprüfen.
Wie hilft carmasec bei der Umsetzung?
carmasec begleitet Unternehmen von der Betroffenheitsanalyse über die Gap-Analyse bis zur vollständigen Umsetzung aller CRA-Anforderungen. Das umfasst Risikoklassifizierung, SBOM-Aufbau, Schwachstellenmanagementprozesse, technische Sicherheitsmaßnahmen und Vorbereitung auf die Konformitätsbewertung.
Fazit
Der Cyber Resilience Act ist kein regulatorisches Randthema. Er verändert, wie digitale Produkte entwickelt, dokumentiert und auf den Markt gebracht werden. Wer bis Dezember 2027 nicht vorbereitet ist, verliert den Zugang zum EU-Markt. Das ist keine Drohkulisse, das ist Verordnungstext.
Die gute Nachricht: Die Anforderungen sind planbar. Betroffenheit analysieren, Lücken schließen, Prozesse aufbauen. Wer früh beginnt, vermeidet Zeitdruck, reduziert Haftungsrisiken und schafft Strukturen, die länger halten als eine Übergangsfrist.
Drei Dinge, die du aus diesem Artikel mitnimmst: Der CRA gilt für fast jedes vernetzte Produkt. Die ersten Pflichten greifen bereits ab September 2026. Und Unternehmen, die Schwachstellenmanagement, SBOM und Security by Design jetzt aufbauen, sind compliant und wettbewerbsfähig.
Quellen: EU-Verordnung 2024/2847 (Cyber Resilience Act), Amtsblatt der Europäischen Union, 20. November 2024, BSI TR-03183 Technische Richtlinie Cyber Resilience Requirements, Bundesamt fur Sicherheit in der Informationstechnik, BSI: Cyber Resilience Act, bsi.bund.de/CRA, Europäische Kommission: Cyber Resilience Act, digital-strategy.ec.europa.eu
Wo steht euer Unternehmen?
Wir analysieren eure Ausgangslage, identifizieren Lücken und zeigen euch den effizientesten Weg zu nachweisbarer IT-Sicherheit. Unverbindlich, konkret und auf den Punkt.
Autoren
Noch Fragen?
carmasec Content & Marketing
Wir schreiben über Sicherheitsthemen, die bewegen, und lassen dabei kein Detail aus. Unsere Inhalte entstehen im Zusammenspiel aus Fachexpertise und redaktioneller Sorgfalt. Das Ergebnis: Wissen, das hält, was es verspricht.
Du hast Fragen oder wertvollen Input? Schreib uns.
Passwörter sind bis heute die am weitesten verbreitete Methode zum Schutz digitaler Zugänge. Doch in der heutigen Zeit werden sie zunehmend zur Schwachstelle: Phishing, Datenlecks, Brute-Force-Angriffe und die Wiederverwendung von Passwörtern lassen herkömmliche Authentifizierungssysteme immer mehr zum Sicherheitsrisiko werden.
Passwörter stellen zudem eine organisatorische Belastung dar – von den wiederkehrenden IT-Support-Anfragen bis hin zur Durchsetzung komplexer Passwort-Richtlinien und dem aufwändigen Einsatz von Passwortmanagern.
Mehr Sicherheit, mehr Komfort: Deshalb sind Passkeys die bessere Wahl für dein Unternehmen
Passkeys gewinnen als sichere und komfortable Alternative zu klassischen Passwörtern zunehmend an Popularität. Sie werden von großen Technologieplattformen wie Google, Apple und Microsoft aktiv unterstützt und auch immer mehr SaaS-Lösungen und Business-Tools integrieren Passkeys nativ in ihre Anwendungen. Prognosen gehen davon aus, dass Passkeys in den nächsten Jahren zum Standard in der Authentifizierung werden.
Was sind Passkeys und wie funktionieren sie?
Passkeys basieren auf der Public-Key-Kryptografie. Die Technologie ist erprobt und bietet ein hohes Maß an Sicherheit. Anstelle eines Passworts wird ein digitales Schlüsselpaar verwendet:
- Der private Schlüssel wird sicher auf dem Gerät des Nutzers gespeichert.
- Der öffentliche Schlüssel verbleibt beim Dienstanbieter.
Bei der Anmeldung erzeugt der Dienstanbieter eine kryptografische Challenge, die mit dem privaten Schlüssel signiert wird. Der öffentliche Schlüssel überprüft die Signatur und gewährt bei Übereinstimmung den Zugriff.
Warum sind Passkeys sicherer als herkömmliche Passwörter?
- Keine zentrale Speicherung: Passkeys eliminieren das Risiko von Datenlecks, da sensible Informationen wie Passwörter nicht in zentralen Datenbanken gespeichert werden müssen.
- Phishing-Resistenz: Selbst wenn Nutzer auf gefälschte Webseiten gelangen, können Passkeys nicht abgefangen oder missbraucht werden.
- Schutz vor Man-in-the-Middle-Angriffen: Die kryptografische Signatur verhindert, dass sich Angreifer zwischen Nutzer und Dienstanbieter schalten können.
Warum sind Passkeys benutzerfreundlicher?
- Kein Passwort merken oder eingeben: Passkeys eliminieren die Notwendigkeit, sich komplexe Passwörter zu merken oder manuell einzugeben, da die Authentifizierung automatisch über das Gerät erfolgt.
- Schnelle und einfache Anmeldung: Die Anmeldung erfolgt über eine biometrische Bestätigung (Gesichtserkennung, Fingerabdruck) oder eine einfache PIN, wodurch der Anmeldevorgang deutlich beschleunigt wird.
- Automatische Synchronisierung: Passkeys werden sicher auf dem Gerät gespeichert und können über vertrauenswürdige Cloud-Dienste plattformübergreifend synchronisiert werden, so dass sie jederzeit verfügbar sind.
Passkeys und Compliance
- DSGVO-Konformität: Passkeys unterstützen Unternehmen bei der Einhaltung der DSGVO, da keine persönlichen Passwörter gespeichert werden.
- Einhaltung von Sicherheitsstandards: Durch den Einsatz von Passkeys werden Standards wie ISO 27001 in den Bereichen Authentifizierung und Zugangskontrolle unterstützt.
- Branchenspezifische Vorteile: Besonders Branchen mit hohen Sicherheitsanforderungen wie der Finanzsektor oder das Gesundheitswesen profitieren von den Sicherheitsvorteilen der Passkeys.
Indem du auf Passkeys wechselst, kannst du Sicherheitsrisiken reduzieren, Kosten senken und den Arbeitsalltag deiner Kolleg:innen vereinfachen.
Du möchtest wissen, wie Passkeys deine IT-Sicherheit verbessern können?
Wie kannst du Passkeys erfolgreich in dein Unternehmen integrieren?
Die Einführung von Passkeys erfordert eine durchdachte Strategie, um technische Hürden zu überwinden und die Nutzerakzeptanz zu fördern. Wichtige Aspekte sind dabei:
Technische Integration:
Ältere Systeme unterstützen oft keine passwortlose Authentifizierung. Hier können Middleware-Systeme helfen, Passkeys in bestehende IT-Umgebungen einzubinden. Langfristig empfiehlt sich der Aufbau einer FIDO2-kompatiblen Infrastruktur.
Interoperabilität:
Passkeys müssen auf unterschiedlichen Geräten und Plattformen nahtlos funktionieren. Standards wie FIDO2 und die Unterstützung großer Anbieter erleichtern die Umsetzung.
Nutzerakzeptanz:
Viele Nutzer empfinden den neuen Login-Prozess anfangs als „zu einfach“ und unsicher. Hier hilft eine klare Kommunikation und Aufklärung über die Vorteile von Passkeys, z.B. in Form von regelmäßigen Schulungen.
Backup-Lösungen:
Passkeys sind oft gerätegebunden – Dein Unternehmen sollte hierfür Alternativen bereitstellen. Möglichkeiten hierfür sind Zweitgeräte, Recovery-Codes oder Cloud-Synchronisierung.
Eine Hybridlösung aus Passkeys und klassischen Authentifizierungsverfahren kann den Übergang erleichtern und die Sicherheit schrittweise erhöhen.
Unser Fazit: Passkeys sind ein strategischer Vorteil für dein Unternehmen
Passkeys bieten Unternehmen klare strategische Vorteile in der modernen Authentifizierung:
- Höhere Sicherheit & Compliance: Passkeys minimieren Cyberrisiken, erleichtern die Einhaltung von Compliance-Vorgaben und schützen Unternehmen vor Cyber-Bedrohungen.
- Kostensenkung & Effizienz: Weniger Passwort-Resets entlasten den IT-Support, sparen Kosten und steigern die Produktivität, da Mitarbeitende nicht durch vergessene Passwörter ausgebremst werden.
- Einfache Implementierung ohne zusätzliche Kosten: Passkeys funktionieren mit vorhandener Hardware wie Laptops und Smartphones, so dass keine teuren Hardware- oder Software-Token benötigt werden.
Für IT-Leiter und CISOs ist die Einführung von Passkeys eine strategische Entscheidung, um das Unternehmen langfristig abzusichern. Sie reduzieren Angriffsflächen, verbessern die Benutzerfreundlichkeit und sorgen für eine zukunftssichere Authentifizierungsstrategie.
Ausblick: Die Zukunft ist passwortfrei
Die Entwicklung geht eindeutig in Richtung einer durchgängigen, passwortlosen Identifikation. Unternehmen, die frühzeitig auf Passkeys setzen, profitieren von erhöhter Sicherheit, reduzierten IT-Kosten und einer verbesserten Nutzerfahrung. Passwortlose Accounts werden bald Standard sein – und Passkeys sind der Schlüssel zu dieser Zukunft.
Wie sieht die Passkeys-Strategie für dein Unternehmen aus?
Möchtest du mehr über Passkey und die Integration in deine Systeme wissen?
Die Bewertung von Risiken ist die Grundlage jeder strategischen Entscheidung. Trotzdem erleben wir in vielen Unternehmen, dass IT-Risikomanagement als reine IT-Aufgabe betrachtet wird – ein Fehler, der nicht nur Effizienz kostet, sondern auch das Risiko erhöht, Standards wie ISO 27001, TISAX oder NIS 2 nicht zu erfüllen. IT-Risikomanagement ist ein gesamtorganisatorisches Thema, das alle Abteilungen betrifft und daher von der Geschäftsleitung gesteuert werden muss.
In diesem Artikel stellen wir dir unseren dreistufigen Ansatz zur Implementierung eines IT-Risikomanagements vor und zeigen dir, wie du Risiken systematisch managest und dein Unternehmen nachhaltig absicherst.
Was ist IT-Risikomanagement?
IT-Risikomanagement ist eine Methode, mit der Unternehmen:
- Risiken wie Cyberangriffe, Datenschutzverletzungen oder Systemausfälle systematisch identifizieren, bewerten und behandeln,
- Maßnahmen zur Einhaltung von Standards wie ISO 27001, TISAX, DORA oder NIS 2 priorisieren
- und fundierte Entscheidungen treffen, die IT-Sicherheit und strategische Unternehmensziele verbinden
Die Vorteile eines funktionierenden IT-Risikomanagementsystems
Ein etabliertes IT-Risikomanagementsystem liefert klare Mehrwerte für Unternehmen und Führungskräfte:
- Transparenz: Risiken werden sichtbar und für alle Mitarbeitenden verständlich.
- Entscheidungsfähigkeit: Führungskräfte erhalten eine fundierte Entscheidungsgrundlage.
- Effizienz: Ressourcen werden gezielt eingesetzt, statt durch Aktionismus verschwendet.
- Zukunftssicherheit: Unternehmen werden nicht nur gegen aktuelle Bedrohungen geschützt, sondern auch auf kommende Herausforderungen vorbereitet.
Warum ist IT-Risikomanagement eine Aufgabe für die Chefetage?
Ein IT-Risikomanagementsystem betrifft nicht nur die IT-Abteilung. Die Implementierung ist ein gesamt-organisatorischer Veränderungsprozess, der alle Abteilungen einbezieht und übergreifend verankert werden muss.
Deshalb verankern wir unseren Ansatz im Management:
- Risikomanagement ist nicht nur Aufgabe der Geschäftsleitung als oberstem Risikoträger. Sie muss auf hoher Unternehmensebene angesiedelt sein, um effizient umgesetzt zu werden. Die aus der Risikobeurteilung abgeleiteten Maßnahmen haben oft abteilungsübergreifende Auswirkungen. Diese können nicht von einer Abteilung allein gelöst werden.
- Die Einführung eines IT-Risikomanagements ist nur dann erfolgreich, wenn sie die unternehmensspezifische Kultur berücksichtigt.
- Standards wie ISO 27001, TISAX, DORA und NIS 2 fordern klare Verantwortlichkeiten, die auf allen Ebenen des Unternehmens getragen werden.
Ein systematischer IT-Risikomanagementansatz für klare Ergebnisse
Führungskräfte stehen bei der Einführung eines Risikomanagement oft vor drei zentralen Fragen:
Welche Risiken sind für unser Unternehmen relevant? Wie lassen sich diese effizient und nachhaltig bewältigen? Welche Maßnahmen sind zwingend erforderlich und wie priorisieren wir sie?
Bei carmasec setzen wir auf einen dreistufigen Ansatz zur Implementierung eines IT-Risikomanagements. So können wir relevante Risiken frühzeitig identifizieren und gezielt behandeln.
1. Standortbestimmung und Zieldefinition
Im ersten Schritt analysieren wir die aktuelle Situation des Unternehmens:
- Welchen IT-Reifegrad hat das Unternehmen und wie gut ist das bestehende Risikomanagement etabliert?
- Welche Lücken (Gaps) bestehen in Hinblick auf Informationssicherheit und Datenschutz?
- Wo stehen wir in Bezug auf regulatorische Anforderungen?
Im Rahmen eines Workshops entwickeln wir gemeinsam ein Zielbild, das den spezifischen Anforderungen des Unternehmens entspricht.
2. Maßnahmenplan und Priorisierung
Auf Basis der Analyse erstellen wir einen konkreten Umsetzungsplan:
- Welche Risiken haben die höchste Relevanz und wie geht das Unternehmen damit um?
- Welche Maßnahmen sind kurzfristig notwendig, welche langfristig sinnvoll?
- Wie können wir mit minimalem Aufwand maximale Wirkung erzielen?
3. Implementierung und Verstetigung
Nach der Planung folgt die Umsetzung:
- Einführung eines operativen Risikomanagements mit klaren Prozessen und Verantwortlichkeiten.
- Schulungen und Trainings, um das gesamte Team einzubinden.
- Bereitstellung von Tools und Dokumenten wie Risikoregister und Heatmaps, die die Entscheidungsfindung unterstützen.
Unser Ziel ist ein lebendiges Risikomanagement, das nicht nur die IT-Infrastruktur absichert, sondern auch andere Risikofelder wie Enterprise-Risiken oder Chancenmanagement integrieren kann.
Unser Angebot: Maßgeschneiderte Lösungen und Umsetzung auf Augenhöhe
1. Maßgeschneiderte Beratung statt „One Fits All“
- Wir entwickeln für dein Unternehmen ein individuelles Zielbild, das präzise auf deinen spezifischen Anforderungen basiert.
- Unsere Lösungen sind unternehmenskompatibel – wir berücksichtigen die Kultur und Arbeitsweise Deines Unternehmens.
2. Praktische Unterstützung statt reiner Theorie
- Wir hören nicht bei Konzepten auf. Gemeinsam mit dir setzen wir Maßnahmen um und begleiten dich aktiv in der Praxis.
3. Interdisziplinäre Expertise
- Unser Team bringt Fachwissen aus verschiedenen Bereichen ein, um auch komplexe Anforderungen abzudecken.
- Durch unsere skalierbare Teamstruktur können wir dir jederzeit die benötigte Manpower und Expertise anbieten.
4. Von der Beratung bis zur sicheren Umsetzung: Unsere Kernkompetenzen
- Unsere Kernkompetenzen reichen vom Informationssicherheitsmanagement über den Aufbau sicherer IT-Infrastrukturen und Cloud Security bis hin zu Angriffssimulationen und Penetrationstests. Für dein IT-Risikomanagement erarbeiten wir nicht nur die notwendigen Maßnahmen, sondern setzen diese direkt um und testen sie bei Bedarf auf ihre Wirksamkeit.
Fazit: Ein Instrument für verantwortungsvolle Unternehmensführung
IT-Risikomanagement ist weit mehr als ein technisches Werkzeug. Es ist ein strategisches Instrument, das Unternehmen hilft, Sicherheit und Effektivität zu verbinden. Gleichzeitig ermöglicht es Führungskräften, ihrer Verantwortung gerecht zu werden – sei es im Hinblick auf regulatorische Anforderungen, den Schutz der Organisation oder die Vermeidung persönlicher Haftung.
Mit unserem dreistufigen Ansatz fokussieren wir auf die individuellen Anforderungen des Unternehmens – seien es regulatorische Vorgaben oder strategische Entwicklungsziele – und berücksichtigen die individuellen kulturellen Gepflogenheiten des Teams. Wir achten darauf, effiziente Prozesse zu implementieren und erleichtern Deinen Mitarbeitenden die Umstellung auf neue Prozesse mit intensiven Schulungs- und Trainingsmaßnahmen.
Frag unseren Experten Till Bormann
Wenn du mehr darüber erfahren möchtest, wie ein maßgeschneidertes IT-Risikomanagement dein Unternehmen stärken kann, steht dir unser Kollege und Senior Security Consultant Till Bormann gerne zur Verfügung.
„Kunden beauftragen Fachexpertise und brauchen häufig aber systematische Problemlösungen“
Till, Bormann
Auch in diesem Jahr haben wir fast das gesamte Team eingepackt und sind für eine Woche in die wunderschönen belgischen Ardennen gereist. In unserer kleinen Fotostory erhältst Du einen Eindruck vom tollen Wetter, dem bombastischen Haus und der schönen gemeinsame Zeit mit unseren Kolleg:innen.
Die Idee:
Um frische Ideen zu entwickeln, wechseln wir nicht nur die Perspektive, sondern auch den Arbeitsort. Als logische Weiterentwicklung der Remote-Arbeit haben wir unsere Laptops geschnappt und verbrachten eine Woche in Belgien.
Unser Ziel:
In inspirierender Atmosphäre haben wir fachlichen Austausch mit erholsamen Freizeitaktivitäten und gemütlichen Abenden in der Gruppe kombiniert. Die gesamte Organisation hat das Team wieder selbst übernommen, die Geschäftsführung stellte lediglich die Unterkunft bereit.
Darauf freut sich das Teams:
Dieses Jahr haben wir uns besonders auf den hauseigenen Pool und den Nerfgun-Wettbewerb gefreut. Außerdem haben wir die tiefgehenden Gespräche mit den Kolleg:innen, die bei 100% Remote-Arbeit manchmal zu kurz kommen, sehr genossen.
Wir wünschen Euch viel Spaß mit unserer Bilderstory!
Heute stellen wir unsere Kollegin Josephine Kolodziej vor. Josephine unterstützt uns als Backoffice-Managerin und hat vor kurzem ihre Weiterbildung zur Ausbilderin abgeschlossen. Im Interview haben wir mit ihr über die Erfahrungen mit ihrer ersten Auszubildenden und ihre Zukunftspläne bei carmasec gesprochen.
Hallo Josephine, zunächst möchten wir dich gerne vorstellen und mehr über dich erfahren. Was sind deine Ausgaben bei carmasec?
Seit November 2023 bin ich im Backoffice als Backoffice-Managerin tätig. Ich übernehme die operativen und administrativen Aufgaben, zu denen auch das Personalwesen und die Buchhaltung gehören. Die Unterstützung und Entlastung unserer Mitarbeitenden und der Geschäftsführung ist mir sehr wichtig. Ich freue mich über die Anerkennung und Wertschätzung, die ich von meinen Kollegen erfahre.
Du hast vor kurzem eine Ausbildung zur Ausbilderin abgeschlossen. Warum hast du dich dazu entschieden?
Unser Geschäftsführer Timm Börgers hat mich dazu inspiriert. Schon im Vorstellungsgespräch habe ich erwähnt, dass ich in meiner alten Firma auf der Stelle trete. Trotz diverser Schulungen war für mich klar: Ich möchte mich weiterbilden und mein Unternehmen unterstützen. Mein Selbststudium zur Ausbilderin ist für mich ein wichtiger Karriereschritt. Besonders die pädagogischen Themen haben mich begeistert.
Mit Lucena Mai betreust du nun deine erste Auszubildende. Wie gefällt dir deine neue Aufgabe?
Noch vor wenigen Jahren war ich selbst Auszubildende – jetzt gebe ich mein Wissen weiter. Ausbilderin zu sein fühlt sich wie ein zusätzlicher Job an, den ich in meinen Arbeitsalltag integriere. Dabei spielt Struktur für mich eine zentrale Rolle. Ich folge zwar einen Ausbildungsrahmenplan, investiere aber viel eigene Energie in die Gestaltung der Themen und der Zusammenarbeit. Umso mehr freut es mich, zu sehen, dass ich zur positiven Entwicklung meiner Auszubildenden und zu einem freundschaftlichen Miteinander beitrage.
Welche Pläne hast du noch für die Ausbildung?
Lucena soll am Ende ihrer Ausbildung in der Lage sein, mich im Backoffice bei jeder Tätigkeit zu unterstützt und in der Urlaubszeit zu vertreten. Ich wünsche mir, dass sie mit mir als Ausbilderin zufrieden und stolz auf ihren Weg bei carmasec ist. Natürlich widmen wir uns während der Ausbildungszeit auch schwierigeren Themen wie Buchhaltung oder Projektcontrolling. Aber auch das werden wir gemeinsam meistern.
Welche neuen Herausforderungen willst du in den nächsten Jahren angehen, um weiter zu wachsen?
Mein Ziel ist es, mich immer weiterzuentwickeln. Dazu möchte ich noch tiefer in administrative Themen wie das Personalmanagement eintauchen und mich neuen Herausforderungen stellen. Ich kann mir gut vorstellen, noch einen weiteren Auszubildenden zu übernehmen oder auch mal in die Rolle des Team Leads zu schlüpfen. Vor allem ist es mir wichtig, gemeinsam mit dem Unternehmen zu wachsen und mehr Verantwortung zu übernehmen. Dabei möchte ich auch andere zu motivieren sich weiterzuentwickeln.
Wir danken dir für dieses Interview.
Du hast Lust, unser Team zu verstärken?
Weitere Informationen zum Arbeiten bei carmasec findest du hier.
Bei carmasec stehen Offenheit und Innovation im Mittelpunkt. Der carmasec Open Friday ist unser Format, um genau das zu fördern: eine spontan organisierte Veranstaltung, bei der alle Kolleg:innen die Möglichkeit haben, neue Ideen auszutauschen, Wissen zu teilen und gemeinsam an Lösungen zu arbeiten. Alles abteilungsübergreifend und in einer entspannten Atmosphäre.
Warum ein Open Friday?
Innovation entsteht, wenn Menschen zusammenkommen, Themen diskutieren und Neues ausprobieren. Seit der Einführung unseres Open Fridays treffen wir uns jeden ersten Freitag im Monat, um genau das zu tun. Egal ob technische Herausforderungen, kreative Projekte oder neue Technologien. Bei uns gibt es keine Grenzen für Themen oder Teilnehmer:innen.
So läuft unser Open Friday ab
9:30Uhr
Begrüßung und Themenvorstellung. Alle, die ein Thema mitgebracht haben, stellen es kurz vor.
10:00 Uhr
Start der Sessions. Die Themen werden auf Räume und Zeitfenster verteilt. Dabei bleibt alles freiwillig. Du kannst an den Sessions teilnehmen, die dich interessieren, oder eigene Themen einbringen.
12:15 Uhr
Gemeinsames Mittagessen. Eine Gelegenheit, in entspannter Runde zu netzwerken und Eindrücke auszutauschen.
15:15 Uhr
Abschlussrunde. Hier präsentieren wir die Ergebnisse der Sessions und sammeln Ideen für nächste Schritte.
Unsere Prinzipien für den Open Friday
- Alles ist freiwillig: Jeder kann ein Thema einbringen, jeder kann teilnehmen oder auch nicht.
- Die richtigen Leute sind da: Ob eine oder zwanzig Personen teilnehmen, spielt keine Rolle. Alle, die da sind, bringen wertvolle Perspektiven mit.
- Das Gesetz der zwei Füße: Du bleibst nur so lange in einer Session, wie sie für dich sinnvoll ist und kannst jederzeit wechseln.
- Ungeplantes ist willkommen: Gerade spontane Ideen führen oft zu den besten Ergebnissen.
Warum wir den Open Friday lieben
Der carmasec Open Friday ist für uns ein unschätzbares Instrument. Er ermöglicht es uns, Wissen einfach und effektiv zu teilen. Wir entdecken neue Perspektiven und verborgene Talente im Team. Gleichzeitig schaffen wir Freiräume für innovative Projekte. Der Austausch zwischen Abteilungen wird aktiv gefördert, und wir finden gemeinsam Lösungen für aktuelle Herausforderungen.
Neugierig? Komm vorbei und sei dabei.
Ob Kolleg:in, Partner:in oder Gast – du bist herzlich eingeladen, Teil unseres Open Fridays zu werden. Bring ein Thema mit, hör zu oder diskutiere mit uns. Wir freuen uns auf dich!
Unser Team besteht aus vielen unterschiedlichen Charakteren mit spannenden Karrierewegen. Heute stellen wir Euch unsere Kollegin Stefanie Koß vor. Im Interview sprachen wir mit dem Multitalent über ihren Karriereweg, den Wechsel aus der Wissenschaft in die Beratung und fragten, was sie antreibt.
Hallo Stefanie. Zunächst würden wir gerne wissen: Was treibt dich an?
Ich bin ein Mensch, der sich schnell für viele Dinge begeistern kann. Besonders interessieren mich alle Sportarten, die mit einem Ball zu tun haben. Ich habe zum Beispiel schon früh mit Tischtennis angefangen und war auch Trainerin im Verein und im Hochschulsport.
Generell interessierte ich mich dafür, wie Dinge funktionieren. In letzter Zeit habe ich mich mehr mit dem Küchenbau beschäftigt. Ich hatte immer mehr Ideen, wie die Küche besser nach meinen Wünschen gebaut werden könnte und wollte diese auch selbst umsetzen können. Ähnlich verhält es sich mit meinem Fahrrad, das ich gerne als Fortbewegungsmittel benutze und gelegentlich reparieren muss. Außerdem spiele ich sehr gerne Gesellschaftsspiele mit meinen Freund:innen und singe gerne im Chor.
Wie bist du zur IT-Sicherheit gekommen?
Eigentlich durch einen Zufall. Ich habe mein Informatikstudium in Aachen mit einem Master abgeschlossen. Während des Studiums habe ich mich hauptsächlich mit Themen der theoretischen Informatik beschäftigt. Meinen ersten Kontakt zur IT-Sicherheit hatte ich während eines Auslandssemesters in Edinburgh. Dort belegte ich das Fach Computer Security. Besonders begeisterten mich die vielen praktischen Übungen. Nach dem Studium nahm ich zunächst eine Stelle am Fraunhofer-Institut für Sichere Informationstechnologie an. Dort arbeitete ich unter anderem an der Weiterentwicklung und Optimierung eines Schwachstellenscanners, der mittels statischer Analyse Sicherheitslücken in Android-Apps und Java-Anwendungen findet – mein Interesse an der IT-Security war geweckt.
Was hat dich dazu bewogen in die Industrie zu gehen?
Ich wollte neue Erfahrungen sammeln, vor allem eigene Projekte entwickeln und mit unterschiedlichen Menschen zusammenarbeiten. Am Anfang wusste ich nicht genau, in welche Richtung ich gehen wollte. Ich konnte mir mehrere Möglichkeiten vorstellen: Softwareentwicklerin, etwas explizit mit IT-Sicherheit oder sogar eine Lehrtätigkeit.
Wie hast du deine Entscheidung schlussendlich getroffen?
Ich habe mich im Internet informiert und bin auf den Beruf des Consultant gestoßen. Das hat mir sofort gefallen, weil ich an verschiedenen Kundenprojekten arbeiten und unterschiedliche Branchen kennenlernen kann. Außerdem suchte ich einen Job, den ich mit meinem Interesse für IT-Sicherheit und Projektmanagement verbinden konnte.
Wieso hast du dich für die carmasec entschieden?
Bei carmasec kann ich mich nach meinen Wünschen weiterentwickeln und an verschiedenen Themen arbeiten. Als Beraterin finde ich es wichtig, dass man nicht einfach irgendeinen Kunden oder irgendein Projekt zugeteilt bekommt, sondern dass es zu einem passt und einen interessiert. Genau das bekomme ich hier geboten.
Weißt du schon, was die Zukunft für dich bereithält?
Aktuell habe ich noch keine langfristigen Pläne. Im Moment konzentriere ich mich weiterhin auf das Projektmanagement. Ich kann mir aber auch vorstellen, Abschlussarbeiten zu betreuen und möchte mich auch noch tiefer in das Informationssicherheitsmanagement einarbeiten. Generell möchte ich noch viel lernen und sehen.
Wir beschäftigen uns viel mit dem Thema Diversität und wir wissen bereits, dass Frauen in technischen Berufen unterrepräsentiert sind. Gibt es negative Erfahrungen die du machen musstest?
Bisher habe ich keine großen negativen Erfahrungen gemacht. Ich finde es aber schade, wenn veraltete Phrasen wie “die Jungs aus der IT” verwendet werden. Damit werden definitiv nicht alle Menschen angesprochen und das vermittelt ein falsches Bild. Ich habe auch schon erlebt, dass manche Leute ihren normalen Sprachgebrauch ändern, nur weil ich im Raum bin. Mein Tipp: Wenn Ihr wollt, dass sich die Personen in Eurem Umfeld mit Euch wohlfühlen, reflektiert gelegentlich Euren eigenen Sprachgebrauch.
Danke für das Interview!
Wachsen, wo Sicherheit mehr als ein Job ist.
Wir denken Cybersicherheit weiter. Aus Begeisterung, aus Neugier, aus Überzeugung. Bei carmasec hat jede:r die Möglichkeit, sich auszuprobieren, Verantwortung zu übernehmen und dabei ein Team im Rücken zu haben. Wir begegnen uns auf Augenhöhe, mit Vertrauen, Transparenz und dem gemeinsamen Ziel, wirklich etwas zu bewegen.