Informationssicherheit beginnt mit dem Verständnis des Angreifers#Informationssicherheit beginnt mit dem Verständnis des Angreifers

Informationssicherheit wird in vielen Unternehmen überwiegend aus der Perspektive des Verteidigers betrachtet. Firewalls werden eingerichtet, Systeme aktualisiert, Zugriffsrechte verwaltet und Mitarbeitende geschult. Datensicherungen, Mehrfaktor-Authentifizierung oder regelmäßige Sicherheitsprüfungen ergänzen diese Maßnahmen. Ihr gemeinsames Ziel ist klar: Angriffe verhindern, Schäden begrenzen und die Handlungsfähigkeit des Unternehmens erhalten.

Diese Perspektive ist notwendig – sie ist jedoch nicht ausreichend. Denn Angreifer betrachten ein Unternehmen mit einem anderen Ziel. Sie fragen nicht zuerst, welche Schutzmaßnahmen vorhanden sind, sondern wo sich mit möglichst geringem Aufwand ein Zugang finden lässt. Sie suchen nicht nach dem technisch anspruchsvollsten Weg, sondern nach dem erfolgversprechendsten. Dieser kann über eine bekannte Schwachstelle führen, über einen unzureichend geschützten Zugang oder über einen Geschäftsprozess, in dem Vertrauen, Zeitdruck und etablierte Routinen gezielt ausgenutzt werden können.

Die entscheidende Frage lautet deshalb nicht nur: Wie schützen wir unsere Systeme? Ebenso wichtig ist die Frage: Wie würde ein potenzieller Angreifer unser Unternehmen betrachten?

Dieser Perspektivwechsel ist in technischen Disziplinen keineswegs ungewöhnlich. Konstruktionen werden gezielt belastet, um Schwachstellen und Versagensgrenzen zu erkennen. Produktionsprozesse werden analysiert, um Fehlerquellen und Störungen zu identifizieren. Im Qualitätsmanagement genügt es nicht, das fertige Produkt zu prüfen; entscheidend ist, den Prozess zu verstehen und zu beherrschen, der zu diesem Ergebnis geführt hat.

Für die Informationssicherheit gilt derselbe Grundsatz. Wer Systeme und Prozesse ausschließlich aus Sicht ihres vorgesehenen Betriebs betrachtet, erkennt möglicherweise nicht, wie sie zweckentfremdet, umgangen oder miteinander kombiniert werden können. Erst die Perspektive eines potenziellen Angreifers macht sichtbar, welche Informationen öffentlich verfügbar sind, welche Systeme von außen erreichbar sind und an welchen Stellen technische Schutzmaßnahmen auf organisatorische Abläufe oder menschliche Entscheidungen treffen.

Genau hier setzt Ethical Hacking an. Im Mittelpunkt steht nicht das Erlernen möglichst spektakulärer Angriffstechniken, sondern ein kontrollierter und verantwortungsvoller Perspektivwechsel. Sicherheitsverantwortliche sollten die grundlegenden Methoden und Denkweisen potenzieller Angreifer kennen und nachvollziehen können. Nur so lässt sich beurteilen, welche Angriffswege realistisch sind, welche Schutzmaßnahmen tatsächlich wirken und an welchen Stellen vermeintliche Sicherheit auf Annahmen beruht, die nie praktisch hinterfragt wurden.

Dieser Perspektivwechsel endet nicht an der Grenze der IT-Infrastruktur. Viele erfolgreiche Angriffe beginnen lange bevor eine Firewall oder ein Virenscanner reagieren kann. Öffentlich verfügbare Informationen werden gesammelt, Kommunikationsstrukturen analysiert und alltägliche Eigenschaften funktionierender Zusammenarbeit gezielt ausgenutzt: Vertrauen, Hilfsbereitschaft, Routine und die Bereitschaft, auch unter Zeitdruck handlungsfähig zu bleiben. Informationssicherheit ist deshalb nicht allein eine technische Aufgabe. Sie betrifft ebenso Prozesse, Verantwortlichkeiten, Führung und Unternehmenskultur.

Dieses Nachgelesen betrachtet Informationssicherheit aus diesem Zusammenhang heraus. Es zeigt, warum Sicherheitsverantwortliche die grundlegenden Methoden potenzieller Angreifer kennen sollten, weshalb Social Engineering nicht allein durch Schulungen und simulierte Phishing-Kampagnen beherrscht werden, kann und warum einzelne Penetrationstests oder standardisierte Sicherheitsprüfungen keine belastbare Aussage über die Sicherheit eines Unternehmens als Ganzes erlauben.

Informationssicherheit beginnt nicht mit der Auswahl einzelner Schutzmaßnahmen. Sie beginnt mit dem Verständnis dafür, warum Angriffe überhaupt erfolgreich sein können.

Warum erfolgreiche Angriffe selten spektakulär sind

Wenn in den Medien über Cyberangriffe berichtet wird, entstehen häufig Bilder hochspezialisierter Hackergruppen, die mit bislang unbekannten Sicherheitslücken selbst gut geschützte Systeme kompromittieren. Begriffe wie Zero-Day-Exploit, Advanced Persistent Threat oder Cyberkrieg prägen die öffentliche Wahrnehmung. Solche Angriffe existieren zweifellos und stellen insbesondere für kritische Infrastrukturen oder große Unternehmen eine ernstzunehmende Bedrohung dar.

Im Alltag vieler kleiner und mittlerer Unternehmen sieht die Realität jedoch häufig deutlich unspektakulärer aus.

Ein erheblicher Teil erfolgreicher Angriffe nutzt keine bislang unbekannten Schwachstellen. Stattdessen greifen Angreifer auf bekannte Verfahren zurück, die sich seit Jahren bewährt haben. Schwache oder mehrfach verwendete Passwörter, unzureichend geschützte Fernwartungszugänge, veraltete Software, öffentlich erreichbare Dienste oder unachtsam geöffnete E-Mail-Anhänge gehören nach wie vor zu den häufigsten Ursachen erfolgreicher Sicherheitsvorfälle. ^{(Bundesamt für Sicherheit in der Informationstechnik, 2025)}

Gerade diese Erkenntnis ist für Unternehmen von großer Bedeutung. Denn sie zeigt, dass Informationssicherheit nicht zwangsläufig daran scheitert, dass Angreifer technisch überlegen sind. Viel häufiger gelingt ein Angriff deshalb, weil sich vorhandene Schwachstellen mit geringem Aufwand ausnutzen lassen.

Der Aufwand entscheidet

Angreifer verfolgen in der Regel ein wirtschaftliches Ziel. Sie investieren nur so viel Zeit und Ressourcen, wie für einen erfolgreichen Angriff erforderlich sind. Warum sollte ein Angreifer eine aufwendige Sicherheitslücke entwickeln, wenn ein Standardpasswort oder eine unzureichend gesicherte Fernwartung denselben Erfolg verspricht?

Diese Überlegung verändert den Blick auf Informationssicherheit grundlegend.

Unternehmen müssen sich nicht ausschließlich fragen, welche theoretisch denkbaren Angriffe möglich wären. Wesentlich wichtiger ist die Frage, welche Angriffe mit vertretbarem Aufwand tatsächlich wahrscheinlich sind. Genau hier entstehen die größten Risiken.

Ein anschaulicher Vergleich findet sich im Alltag: Ein Einbrecher wird nur selten versuchen, eine massive Tresortür aufzubrechen, wenn gleichzeitig ein gekipptes Fenster oder eine unverschlossene Nebentür den deutlich einfacheren Zugang ermöglicht. Nicht die spektakulärste Angriffsmethode entscheidet über den Erfolg, sondern häufig die einfachste.

Für Cyberangriffe gilt derselbe Grundsatz.

Die Eintrittshürde sinkt

Noch vor einigen Jahren erforderten das Auffinden und Ausnutzen technischer Schwachstellen häufig ein hohes Maß an Fachwissen. Heute stehen zahlreiche Werkzeuge frei zur Verfügung, die viele Arbeitsschritte automatisieren. Suchmaschinen für öffentlich erreichbare Systeme, Programme zur Schwachstellenanalyse oder Werkzeuge zur Passwortprüfung können innerhalb weniger Minuten umfangreiche Informationen liefern.

Auch Künstliche Intelligenz verändert die Bedrohungslage. Moderne Sprachmodelle unterstützen Angreifer dabei, überzeugende E-Mails zu formulieren, Texte sprachlich anzupassen oder Informationen effizient auszuwerten. Dadurch sinkt die Einstiegshürde weiter. Nicht jede angreifende Person muss heute noch über tiefgehende technische Kenntnisse verfügen, um bekannte Angriffsmethoden erfolgreich einzusetzen.

Diese Entwicklung bedeutet jedoch nicht, dass jeder Angreifer automatisch erfolgreich ist. Sie führt vielmehr dazu, dass sich einfache Angriffe leichter skalieren lassen. Wo früher einzelne Unternehmen gezielt ausgewählt wurden, können heute tausende potenzielle Ziele automatisiert geprüft werden. Wer dabei eine bekannte Schwachstelle oder einen unzureichend geschützten Zugang aufweist, gerät schneller in den Fokus. ^{(Bundeskriminalamt); (Bundesamt für Sicherheit in der Informationstechnik, 2025)}

Die Angriffsfläche ist größer als die IT

Ein weiterer Irrtum besteht darin, Informationssicherheit ausschließlich auf Server, Netzwerke oder Arbeitsplatzrechner zu beziehen. Tatsächlich beginnt die Informationsbeschaffung häufig lange vor einem technischen Angriff.

Unternehmenswebseiten, Pressemitteilungen, Stellenanzeigen oder Beiträge in sozialen Netzwerken liefern oftmals wertvolle Hinweise auf eingesetzte Technologien, Organisationsstrukturen oder Ansprechpartner. Hinzu kommen öffentlich verfügbare Dokumente, Metadaten oder Informationen aus Lieferanten- und Partnernetzwerken.

Für Angreifer entsteht daraus Schritt für Schritt ein immer vollständigeres Bild eines Unternehmens.

• Welche Software wird eingesetzt?
• Welche Personen arbeiten in der Buchhaltung?
• Welche Dienstleister übernehmen die IT-Betreuung?
• Wann findet die Inventur statt?
• Welche Projekte befinden sich aktuell in der Umsetzung?

Jede einzelne Information mag für sich genommen unbedeutend erscheinen. In ihrer Gesamtheit können sie jedoch die Vorbereitung gezielter Angriffe erheblich erleichtern.

Informationssicherheit beginnt mit den richtigen Fragen

Die entscheidende Konsequenz lautet daher nicht, jede denkbare Angriffsmethode im Detail zu kennen. Viel wichtiger ist die Bereitschaft, die eigene Organisation regelmäßig mit den Augen eines potenziellen Angreifers zu betrachten.

• Welche Informationen würden wir selbst finden, wenn wir unser Unternehmen nicht kennen würden?
• Welche Systeme wären von außen sichtbar?
• Welche öffentlich verfügbaren Informationen würden wir miteinander kombinieren?
• Welche Prozesse erscheinen besonders vertrauenswürdig – und könnten gerade deshalb missbraucht werden?

Erst durch diese Fragestellungen entsteht ein realistisches Bild der eigenen Angriffsfläche. Genau dieses Denken bildet die Grundlage moderner Informationssicherheit und erklärt zugleich, weshalb das Verständnis typischer Angriffsmethoden für Sicherheitsverantwortliche unverzichtbar geworden ist.

Erfolgreiche Cyberangriffe scheitern nur selten an fehlender technischer Raffinesse. Häufig entscheiden bekannte Schwachstellen, öffentlich verfügbare Informationen und alltägliche Routinen darüber, ob ein Angriff gelingt oder frühzeitig erkannt wird.

Warum Sicherheitsverantwortliche wie Angreifer denken sollten

In vielen technischen Disziplinen gehört es selbstverständlich dazu, Produkte oder Systeme kritisch zu hinterfragen. Konstruktionen werden belastet, bis sie versagen. Software wird getestet, um Programmfehler zu finden. Produktionsprozesse werden analysiert, um Engpässe oder Qualitätsprobleme frühzeitig zu erkennen. Niemand würde auf die Idee kommen, ein neues Produkt auf den Markt zu bringen, ohne vorher versucht zu haben, mögliche Schwachstellen aufzudecken.

In der Informationssicherheit sollte derselbe Grundsatz gelten.

Dennoch begegnet man in Unternehmen immer wieder einer gewissen Zurückhaltung, wenn es um die Beschäftigung mit Angriffsmethoden geht. Mancherorts besteht die Sorge, dass die Auseinandersetzung mit Werkzeugen oder Vorgehensweisen von Angreifern unnötig sei oder sogar falsche Anreize setzen könnte. Tatsächlich verhält es sich genau umgekehrt.

Wer Risiken bewerten möchte, muss zunächst verstehen, wie diese Risiken entstehen.

Ein Brandschutzbeauftragter beschäftigt sich mit den Ursachen von Bränden. Ein Qualitätsmanager analysiert Fehlerquellen in Produktionsprozessen. Ein Arbeitsschutzverantwortlicher kennt typische Unfallursachen. Niemand würde daraus schließen, dass diese Personen Brände legen, fehlerhafte Produkte herstellen oder Arbeitsunfälle verursachen möchten. Sie beschäftigen sich mit möglichen Schadensereignissen, um genau diese zu verhindern.

Für die Informationssicherheit gilt derselbe Grundsatz.

Sicherheitsverantwortliche müssen keine Angreifer werden. Sie sollten jedoch verstehen, wie Angreifer denken, welche Informationen sie sammeln und nach welchen Kriterien sie mögliche Ziele bewerten. Erst dieses Verständnis ermöglicht es, Risiken realistisch einzuschätzen und geeignete Schutzmaßnahmen abzuleiten.

Ethical Hacking bedeutet kontrollierten Perspektivwechsel

Der Begriff Ethical Hacking wird häufig missverstanden. Nicht selten entsteht das Bild eines Sicherheitsexperten, der versucht, spektakuläre Angriffe auf Unternehmensnetzwerke durchzuführen. Tatsächlich beschreibt Ethical Hacking in erster Linie eine strukturierte Vorgehensweise.

Ausgehend von einer klaren Beauftragung und festgelegten Rahmenbedingungen werden Systeme, Anwendungen oder organisatorische Abläufe gezielt aus der Perspektive eines potenziellen Angreifers untersucht. Ziel ist dabei nicht, Schaden anzurichten oder Sicherheitsmechanismen zu umgehen, sondern Schwachstellen kontrolliert sichtbar zu machen, bevor sie von Dritten ausgenutzt werden können.

Im Mittelpunkt steht daher weniger das eigentliche Angriffswerkzeug als vielmehr die Fragestellung:

Wo würde ein Angreifer ansetzen?

Diese Perspektive unterscheidet sich deutlich vom normalen IT-Betrieb. Während Administratoren dafür sorgen, dass Systeme zuverlässig funktionieren, sucht ein Ethical Hacker gezielt nach Situationen, in denen genau diese Systeme nicht wie vorgesehen arbeiten. Beide Rollen verfolgen dasselbe Ziel – stabile und sichere IT-Systeme –, betrachten sie jedoch aus unterschiedlichen Blickwinkeln.

Gerade dieser Perspektivwechsel liefert häufig Erkenntnisse, die im täglichen Betrieb verborgen bleiben.

Es geht nicht um Werkzeuge, sondern um Denkweisen

In öffentlichen Diskussionen wird Ethical Hacking häufig auf bekannte Programme oder Angriffswerkzeuge reduziert. Dabei entsteht leicht der Eindruck, Informationssicherheit ließe sich durch den Umgang mit bestimmten Anwendungen erlernen.

Tatsächlich altern Werkzeuge schnell. Neue Programme entstehen, bestehende verlieren an Bedeutung und Angriffsmethoden entwickeln sich kontinuierlich weiter. Was heute als Stand der Technik gilt, kann bereits in wenigen Jahren überholt sein.

Beständig bleibt dagegen die Denkweise.

Angreifer stellen sich zunächst grundlegende Fragen:

• Welche Informationen lassen sich ohne großen Aufwand beschaffen?
• Welche Systeme sind erreichbar?
• Welche Prozesse wirken besonders vertrauenswürdig?
• Wo könnten Mitarbeitende unter Zeitdruck Entscheidungen treffen?
• Welche Schutzmaßnahmen erscheinen vorhanden – und welche möglicherweise nicht?

Nicht jede dieser Fragen führt unmittelbar zu einer kritischen Schwachstelle. Zusammengenommen ermöglichen sie jedoch ein deutlich realistischeres Verständnis der eigenen Angriffsfläche.

Damit verändert sich auch die Priorisierung von Sicherheitsmaßnahmen. Unternehmen investieren nicht mehr ausschließlich dort, wo technische Risiken vermutet werden, sondern dort, wo tatsächliche Angriffsmöglichkeiten bestehen.

Informationssicherheit beginnt vor dem ersten Angriff

Eine der wichtigsten Erkenntnisse des Ethical Hackings lautet, dass erfolgreiche Angriffe selten spontan entstehen. Sie sind häufig das Ergebnis sorgfältiger Vorbereitung.

Angreifer sammeln Informationen, beobachten Abläufe und suchen gezielt nach einfachen Einstiegsmöglichkeiten. Je mehr sie über ein Unternehmen wissen, desto präziser lassen sich spätere Angriffe vorbereiten.

Genau deshalb sollte auch Informationssicherheit deutlich früher beginnen.

• Nicht erst dann, wenn ein Penetrationstest durchgeführt wird.
• Nicht erst nach einem Sicherheitsvorfall.
• Nicht erst bei der Einführung neuer Schutzsoftware.
• Sondern bereits bei der Gestaltung von Prozessen, der Veröffentlichung von Informationen, der Vergabe von Berechtigungen und der täglichen Zusammenarbeit im Unternehmen.

Wer diese Zusammenhänge versteht, erkennt schnell, dass Ethical Hacking weit mehr ist als eine technische Disziplin. Es ist eine Methode, Unternehmen aus einer ungewohnten Perspektive zu betrachten – mit dem Ziel, Risiken frühzeitig zu erkennen und kontinuierlich zu reduzieren.

Ethical Hacking bedeutet nicht, Angriffe zu erlernen. Es bedeutet, Risiken aus der Perspektive eines potenziellen Angreifers zu verstehen und daraus bessere Entscheidungen für die eigene Informationssicherheit abzuleiten.

Social Engineering – warum Informationssicherheit zur Führungsaufgabe wird

Die Vorstellung, dass Cyberangriffe in erster Linie technische Systeme zum Ziel haben, hält sich bis heute hartnäckig. Tatsächlich investieren Unternehmen erhebliche Mittel in Firewalls, Endpoint-Schutz, Netzsegmentierung oder Angriffserkennungssysteme. Diese Maßnahmen sind unverzichtbar und bilden das Fundament einer modernen Informationssicherheit. Dennoch zeigt die Praxis, dass zahlreiche erfolgreiche Angriffe einen völlig anderen Ausgangspunkt haben: Sie beginnen nicht mit einer technischen Schwachstelle, sondern mit einer alltäglichen Handlung eines Menschen.

Dabei ist es wichtig, einen weit verbreiteten Irrtum zu vermeiden. Erfolgreiche Social-Engineering-Angriffe sind nur selten die Folge unaufmerksamer oder unzureichend geschulter Mitarbeitender. Die meisten Menschen handeln in solchen Situationen nachvollziehbar. Sie möchten ihre Aufgaben zuverlässig erfüllen, Kolleginnen und Kollegen unterstützen, Kundenanfragen zeitnah beantworten oder Anweisungen von Vorgesetzten umsetzen. Genau diese Eigenschaften machen funktionierende Unternehmen aus – und genau deshalb werden sie von Angreifern gezielt ausgenutzt.

Social Engineering verfolgt damit einen grundlegend anderen Ansatz als klassische technische Angriffe. Statt Sicherheitsmechanismen zu überwinden, versuchen Angreifer, Entscheidungsprozesse zu beeinflussen. Sie schaffen Situationen, in denen eine Handlung plausibel erscheint, obwohl sie dem Angreifer nutzt. Eine E-Mail wirkt dringend, ein Telefonanruf vermittelt Autorität oder eine Nachricht scheint von einer bekannten Person zu stammen. Der eigentliche Angriff besteht nicht im technischen Eindringen in ein System, sondern darin, Vertrauen gezielt zu missbrauchen.

Die zunehmende Digitalisierung verstärkt diese Entwicklung zusätzlich. Informationen über Unternehmen und ihre Mitarbeitenden sind heute in einem Umfang öffentlich verfügbar, der noch vor wenigen Jahren kaum vorstellbar gewesen wäre. Unternehmenswebseiten, Pressemitteilungen, soziale Netzwerke oder berufliche Plattformen liefern häufig ausreichend Informationen, um Kommunikationsstrukturen nachzuvollziehen oder gezielt einzelne Personen anzusprechen. Gleichzeitig ermöglichen moderne KI-Systeme die Erstellung sprachlich überzeugender Texte sowie täuschend echt wirkender Sprach- oder Videonachrichten. Dadurch sinkt der Aufwand für Angreifer erheblich, während es für Mitarbeitende immer schwieriger wird, manipulierte Kommunikation zuverlässig zu erkennen.

Vor diesem Hintergrund stellt sich die Frage, wie Unternehmen angemessen reagieren sollten. Die naheliegende Antwort lautet häufig: mehr Schulungen. Tatsächlich sind Sensibilisierungsmaßnahmen ein wichtiger Bestandteil jeder Sicherheitsstrategie. Sie allein greifen jedoch zu kurz. Wer ausschließlich versucht, Mitarbeitende für immer neue Angriffsmethoden zu sensibilisieren, überträgt die Verantwortung auf diejenigen, die sich täglich unter Zeitdruck, mit wechselnden Prioritäten und einer Vielzahl von Kommunikationskanälen im Arbeitsalltag bewegen.

Nachhaltiger ist ein anderer Ansatz. Statt ausschließlich das Verhalten einzelner Personen in den Mittelpunkt zu stellen, sollte die Organisation selbst hinterfragt werden. Welche Prozesse setzen voraus, dass E-Mails grundsätzlich vertrauenswürdig sind? Wo können Zahlungsfreigaben allein auf Grundlage einer elektronischen Nachricht erfolgen? Welche Entscheidungen müssen unter erheblichem Zeitdruck getroffen werden? Wo fehlen verbindliche Rückversicherungsschritte oder das Vier-Augen-Prinzip? Solche Fragestellungen betreffen nicht die IT-Abteilung allein. Sie betreffen die Gestaltung betrieblicher Abläufe und damit den Verantwortungsbereich der Unternehmensleitung.

Genau hier wird deutlich, weshalb Informationssicherheit eine Führungsaufgabe ist. Führung bedeutet nicht nur, wirtschaftliche Ziele vorzugeben oder Ressourcen bereitzustellen. Führung gestaltet Rahmenbedingungen, unter denen Mitarbeitende handeln. Wird Geschwindigkeit konsequent höher bewertet als Sorgfalt, steigt die Wahrscheinlichkeit, dass Sicherheitsprüfungen übersprungen werden. Werden Rückfragen als Ausdruck mangelnder Kompetenz verstanden, sinkt die Bereitschaft, ungewöhnliche Situationen anzusprechen. Entsteht dagegen eine Kultur, in der kritische Nachfragen ausdrücklich erwünscht sind, verändert sich das Sicherheitsniveau eines Unternehmens häufig nachhaltiger als durch die Einführung zusätzlicher technischer Schutzmaßnahmen.

Dabei geht es keineswegs darum, Misstrauen zur Unternehmenskultur zu machen. Unternehmen leben von Vertrauen, Eigenverantwortung und effizienten Entscheidungswegen. Niemand möchte, dass jede E-Mail oder jeder Telefonanruf grundsätzlich infrage gestellt wird. Ziel einer gelebten Sicherheitskultur ist vielmehr ein bewusstes Vertrauen. Mitarbeitende sollten erkennen können, wann eine Situation vom normalen Geschäftsablauf abweicht und welche Möglichkeiten ihnen zur Verfügung stehen, ohne Gesichtsverlust oder negative Konsequenzen Rückfragen zu stellen. Gerade diese Sicherheit im Umgang mit Unsicherheiten zeichnet reife Organisationen aus.

Für Unternehmensleitungen ergibt sich daraus eine wichtige Schlussfolgerung. Informationssicherheit lässt sich nicht allein durch technische Investitionen oder regelmäßige Schulungen verbessern. Ebenso entscheidend ist die Gestaltung organisatorischer Rahmenbedingungen. Klare Verantwortlichkeiten, nachvollziehbare Freigabeprozesse, eine konstruktive Fehlerkultur und Führungskräfte, die sicherheitsbewusstes Verhalten selbst vorleben, tragen wesentlich dazu bei, die Erfolgsaussichten von Social-Engineering-Angriffen zu reduzieren.

Social Engineering ist deshalb weniger ein technisches Problem als vielmehr ein organisatorischer Stresstest. Jeder erfolgreiche Angriff wirft dieselbe Frage auf: Hat die Organisation ihre Mitarbeitenden dabei unterstützt, in einer ungewöhnlichen Situation eine sichere Entscheidung treffen zu können?

Die Antwort darauf entscheidet häufig nicht die IT-Abteilung, sondern die Art und Weise, wie ein Unternehmen geführt wird.

Warum einzelne Sicherheitsprüfungen keine Informationssicherheit garantieren

Wenn Unternehmen ihre Informationssicherheit bewerten möchten, greifen sie häufig auf etablierte Verfahren zurück. Schwachstellenscans identifizieren bekannte Sicherheitslücken, Penetrationstests überprüfen ausgewählte Systeme unter realistischen Bedingungen und Audits bewerten die Umsetzung organisatorischer oder normativer Anforderungen. Solche Verfahren sind seit vielen Jahren bewährte Bestandteile professioneller Informationssicherheit und liefern wertvolle Erkenntnisse über den aktuellen Sicherheitszustand eines Unternehmens.

Gleichzeitig besteht die Gefahr, die Aussagekraft dieser Ergebnisse zu überschätzen.

Nicht selten entsteht nach einem erfolgreich abgeschlossenen Penetrationstest oder einem positiven Audit der Eindruck, das Unternehmen sei nun „sicher“. Diese Schlussfolgerung ist verständlich, greift jedoch zu kurz. Jede Sicherheitsprüfung beantwortet zunächst nur eine klar definierte Fragestellung innerhalb eines festgelegten Untersuchungsrahmens. Daraus lässt sich nicht automatisch auf die Sicherheit des gesamten Unternehmens schließen. ^{(Bundesamt für Sicherheit in der Informationstechnik & ISACA Germany Chapter e. V.)}

Ein Penetrationstest untersucht beispielsweise nur diejenigen Systeme und Szenarien, die zuvor gemeinsam festgelegt wurden. Er bildet den Sicherheitszustand zu einem bestimmten Zeitpunkt ab und orientiert sich an den damals bekannten Angriffsmöglichkeiten. Bereits wenige Wochen später können neue Systeme eingeführt, Software aktualisiert oder bislang unbekannte Schwachstellen veröffentlicht worden sein. Die technische Ausgangslage verändert sich kontinuierlich.

Hinzu kommt, dass sich auch Unternehmen selbst permanent verändern. Neue Mitarbeitende beginnen ihre Tätigkeit, Zuständigkeiten wechseln, Prozesse werden angepasst, externe Dienstleister eingebunden oder neue Cloud-Dienste eingeführt. Jede organisatorische Veränderung kann Auswirkungen auf die Informationssicherheit haben – unabhängig davon, ob die zugrunde liegende Technik unverändert geblieben ist.

Noch bedeutsamer ist jedoch eine andere Erkenntnis: Viele Risiken lassen sich durch technische Sicherheitsprüfungen allein überhaupt nicht erfassen.

Ein Penetrationstest kann feststellen, ob ein Server korrekt abgesichert ist. Er kann jedoch nicht bewerten, ob Zahlungsfreigaben sinnvoll organisiert sind, ob Berechtigungen regelmäßig überprüft werden oder ob Mitarbeitende ungewöhnliche Situationen ohne Hemmungen ansprechen können. Ebenso wenig lässt sich automatisiert beurteilen, ob Sicherheitsrichtlinien im Alltag tatsächlich gelebt oder lediglich dokumentiert werden.

Informationssicherheit entsteht deshalb nicht durch das erfolgreiche Bestehen einzelner Prüfungen. Sie entsteht durch das kontinuierliche Zusammenspiel technischer, organisatorischer und personeller Maßnahmen. Sicherheitsprüfungen liefern hierfür wichtige Informationen – sie ersetzen den kontinuierlichen Verbesserungsprozess jedoch nicht.

Ein Vergleich aus dem Qualitätsmanagement verdeutlicht diesen Zusammenhang. Eine Endkontrolle kann feststellen, ob ein Produkt zum Zeitpunkt der Prüfung die definierten Anforderungen erfüllt. Sie garantiert jedoch nicht, dass auch zukünftige Produkte dieselbe Qualität besitzen. Erst ein beherrschter Produktionsprozess sorgt dauerhaft für reproduzierbare Ergebnisse. Aus diesem Grund beschränkt sich modernes Qualitätsmanagement nicht auf Stichproben oder Endkontrollen, sondern betrachtet den gesamten Prozess.

Für die Informationssicherheit gilt ein vergleichbarer Grundsatz.

Ein Penetrationstest ist keine Bescheinigung für Sicherheit. Er ist vielmehr ein Instrument, um Erkenntnisse über den aktuellen Zustand zu gewinnen und daraus Verbesserungsmaßnahmen abzuleiten. Sein eigentlicher Wert liegt daher nicht im Testergebnis selbst, sondern in den Konsequenzen, die Unternehmen daraus ziehen.

Dazu gehört auch, Sicherheitsprüfungen nicht isoliert zu betrachten. Die Ergebnisse eines Penetrationstests sollten gemeinsam mit Erkenntnissen aus Schwachstellenmanagement, Sicherheitsvorfällen, internen Audits, Mitarbeiterschulungen und organisatorischen Bewertungen ausgewertet werden. Erst die Zusammenführung dieser unterschiedlichen Perspektiven ermöglicht eine fundierte Einschätzung der tatsächlichen Sicherheitsreife.

Für Unternehmensleitungen ergibt sich daraus eine wichtige Konsequenz. Die entscheidende Frage lautet nicht, ob bereits ein Penetrationstest durchgeführt wurde. Wesentlich relevanter ist, wie mit den gewonnenen Erkenntnissen umgegangen wird. Wurden identifizierte Schwachstellen nachhaltig beseitigt? Haben die Ergebnisse zu organisatorischen Veränderungen geführt? Wurden Prozesse angepasst oder Verantwortlichkeiten geschärft? Und wurde überprüft, ob die eingeleiteten Maßnahmen tatsächlich wirksam sind?

Informationssicherheit ist deshalb weniger als Zustand zu verstehen als vielmehr als kontinuierlicher Verbesserungsprozess. Technische Prüfungen liefern hierfür unverzichtbare Impulse. Ihre Wirkung entfalten sie jedoch erst dann, wenn sie Bestandteil eines systematischen Sicherheitsmanagements werden. ^{(VdS Schadenverhütung GmbH, 2018)}

Vom Wissen zum Handeln – was Unternehmen konkret tun können

Die vorangegangenen Kapitel haben gezeigt, dass Informationssicherheit weit mehr umfasst als den Einsatz technischer Schutzmaßnahmen. Wer die Perspektive potenzieller Angreifer einnimmt, erkennt schnell, dass technische Systeme, organisatorische Abläufe und menschliches Verhalten untrennbar miteinander verbunden sind. Daraus ergibt sich zwangsläufig die Frage, welche Konsequenzen Unternehmen für ihre eigene Sicherheitsstrategie ziehen sollten.

Eine allgemeingültige Antwort gibt es darauf nicht. Größe, Branche, Digitalisierungsgrad oder regulatorische Anforderungen unterscheiden sich erheblich. Dennoch lassen sich einige Grundprinzipien ableiten, die unabhängig von der Unternehmensgröße dazu beitragen können, die eigene Sicherheitsreife systematisch weiterzuentwickeln.

Informationssicherheit als Führungsaufgabe verankern

Der vielleicht wichtigste Schritt besteht darin, Informationssicherheit nicht ausschließlich als Aufgabe der IT zu verstehen. Entscheidungen über Investitionen, Prozesse, Verantwortlichkeiten oder den Umgang mit Risiken werden in Unternehmen überwiegend außerhalb der IT-Abteilung getroffen. Entsprechend sollte auch die Unternehmensleitung Informationssicherheit als Bestandteil ihrer Führungsverantwortung begreifen.

Dies bedeutet nicht, jede technische Fragestellung selbst beurteilen zu müssen. Vielmehr geht es darum, Informationssicherheit regelmäßig in strategische Überlegungen einzubeziehen, Verantwortlichkeiten eindeutig festzulegen und die notwendigen personellen sowie organisatorischen Voraussetzungen zu schaffen. Sicherheit wird dort wirksam, wo sie bei unternehmerischen Entscheidungen selbstverständlich mitgedacht wird.

Die eigene Angriffsfläche regelmäßig hinterfragen

Unternehmen verändern sich kontinuierlich. Neue Software wird eingeführt, Prozesse angepasst, Mitarbeitende eingestellt oder externe Dienstleister eingebunden. Jede Veränderung kann auch Auswirkungen auf die Informationssicherheit haben.

Für kleine und Kleinstunternehmen bietet der CyberRisikoCheck nach DIN SPEC 27076 einen strukturierten Einstieg in eine solche Bestandsaufnahme und die Ableitung konkreter Handlungsbedarfe. ^(BSI)

Deshalb sollte die Frage nach der eigenen Angriffsfläche nicht ausschließlich im Rahmen externer Prüfungen gestellt werden. Ebenso sinnvoll ist es, regelmäßig selbst einen Perspektivwechsel vorzunehmen. Welche Informationen sind öffentlich verfügbar? Welche Systeme sind von außen erreichbar? Welche Prozesse basieren auf Vertrauen oder informellen Absprachen? Wo könnten organisatorische Schwachstellen entstehen, ohne dass sie unmittelbar als Sicherheitsproblem wahrgenommen werden?

Bereits diese Fragestellungen fördern häufig Verbesserungspotenziale zutage, bevor daraus konkrete Sicherheitsvorfälle entstehen.

Technische und organisatorische Maßnahmen gemeinsam betrachten

In vielen Unternehmen werden technische Schutzmaßnahmen und organisatorische Regelungen getrennt voneinander entwickelt. Tatsächlich ergänzen sich beide Bereiche jedoch.

Ein sicher konfigurierter Server verliert an Wirkung, wenn Berechtigungen nicht regelmäßig überprüft werden. Umgekehrt helfen klar definierte Prozesse nur begrenzt, wenn technische Schutzmaßnahmen fehlen.

Informationssicherheit sollte daher immer beide Perspektiven berücksichtigen. Ziel ist nicht die maximale Absicherung einzelner Systeme, sondern ein ausgewogenes Zusammenspiel technischer, organisatorischer und personeller Maßnahmen.

Sicherheitskultur fördern statt Fehler sanktionieren

Trotz aller Vorsichtsmaßnahmen werden auch künftig Fehler passieren. Neue Angriffsmethoden entstehen kontinuierlich, technische Entwicklungen verändern die Bedrohungslage und nicht jede ungewöhnliche Situation lässt sich eindeutig erkennen.

Entscheidend ist daher weniger, ob Fehler auftreten, sondern wie Unternehmen damit umgehen.

Wer Sicherheitsvorfälle ausschließlich mit Schuldzuweisungen verbindet, riskiert, dass Unsicherheiten oder Fehlentscheidungen künftig verschwiegen werden. Für die Informationssicherheit ist dies deutlich problematischer als der ursprüngliche Fehler.

Eine offene Sicherheitskultur fördert dagegen die Bereitschaft, Auffälligkeiten frühzeitig zu melden, Erfahrungen gemeinsam auszuwerten und daraus Verbesserungen abzuleiten. Dadurch entwickelt sich Informationssicherheit schrittweise zu einem kontinuierlichen Lernprozess.

Externe Unterstützung bewusst nutzen

Gerade kleine und mittlere Unternehmen verfügen häufig nicht über eigene Spezialisten für alle Bereiche der Informationssicherheit. Externe Unterstützung kann deshalb einen wichtigen Beitrag leisten. Weiterführende Informationen, Selbstchecks und konkrete Unterstützungsangebote stellt unter anderem die Transferstelle Cybersicherheit im Mittelstand bereit.

Dabei sollte jedoch nicht ausschließlich nach einzelnen Dienstleistungen gefragt werden, sondern nach deren Zielsetzung. Ein Penetrationstest liefert beispielsweise wertvolle Erkenntnisse über technische Schwachstellen. Er ersetzt jedoch weder ein Informationssicherheitsmanagement noch die kontinuierliche Weiterentwicklung organisatorischer Prozesse.

Ebenso gilt für Beratungsleistungen, Audits oder Sensibilisierungsmaßnahmen: Ihr größter Nutzen entsteht dann, wenn die gewonnenen Erkenntnisse dauerhaft in die Organisation integriert werden.

Informationssicherheit als kontinuierlichen Prozess verstehen

Vielleicht die wichtigste Erkenntnis dieses Nachgelesens lautet, dass Informationssicherheit kein Projekt mit einem definierten Endpunkt ist. Weder der Kauf neuer Sicherheitssoftware noch ein erfolgreich bestandener Penetrationstest oder eine absolvierte Mitarbeiterschulung schließen das Thema dauerhaft ab.

Unternehmen entwickeln sich kontinuierlich weiter. Gleiches gilt für die Methoden potenzieller Angreifer. Informationssicherheit muss sich daher ebenfalls kontinuierlich weiterentwickeln.

Das Ziel besteht nicht darin, jeden Angriff zu verhindern. Ein solches Ziel wäre weder realistisch noch wirtschaftlich sinnvoll. Ziel sollte vielmehr sein, Risiken frühzeitig zu erkennen, Schutzmaßnahmen angemessen weiterzuentwickeln und die Organisation so aufzustellen, dass Sicherheitsvorfälle möglichst verhindert oder ihre Auswirkungen wirksam begrenzt werden können.

Informationssicherheit ist damit weniger ein Zustand als vielmehr Ausdruck einer lernenden Organisation.

Fazit

Informationssicherheit wird häufig mit technischen Schutzmaßnahmen in Verbindung gebracht. Tatsächlich bilden sie eine unverzichtbare Grundlage moderner IT-Sicherheit. Dieses Nachgelesen hat jedoch gezeigt, dass nachhaltige Informationssicherheit deutlich früher beginnt.

Wer die Perspektive potenzieller Angreifer versteht, betrachtet nicht nur Server, Firewalls oder Endgeräte. Er hinterfragt auch Prozesse, Kommunikationswege und organisatorische Rahmenbedingungen. Gerade dort entstehen häufig Risiken, die sich mit technischen Maßnahmen allein nicht erkennen oder beseitigen lassen.

Ethical Hacking leistet hierzu einen wichtigen Beitrag. Nicht, weil Unternehmen lernen sollten, Systeme anzugreifen. Sondern weil der kontrollierte Perspektivwechsel hilft, Schwachstellen sichtbar zu machen, bevor sie ausgenutzt werden können.

Ebenso deutlich wurde, dass Social Engineering weit über technische Fragestellungen hinausgeht. Angriffe auf Menschen zielen nicht auf mangelnde Kompetenz, sondern auf Eigenschaften, die erfolgreiche Zusammenarbeit überhaupt erst ermöglichen. Vertrauen, Hilfsbereitschaft und Verantwortungsbewusstsein sind keine Schwächen einer Organisation – sie sind ihre Stärke. Aufgabe der Unternehmensleitung ist es daher, Rahmenbedingungen zu schaffen, unter denen diese Stärken nicht zum Sicherheitsrisiko werden.

Nachhaltige Informationssicherheit entsteht deshalb weder durch einzelne Werkzeuge noch durch einmalige Prüfungen. Sie entsteht dort, wo technisches Verständnis, organisatorische Verantwortung und eine gelebte Sicherheitskultur zusammenwirken.

Unternehmen, die bereit sind, ihre eigene Organisation regelmäßig aus der Perspektive potenzieller Angreifer zu betrachten, gewinnen dadurch weit mehr als zusätzliche Sicherheit. Sie entwickeln ein tieferes Verständnis ihrer eigenen Prozesse, stärken ihre organisatorische Resilienz und schaffen die Grundlage für fundierte Entscheidungen in einer zunehmend digitalisierten Welt.

---

Weiterführende Informationen und Quellen

Die folgenden Veröffentlichungen und Angebote ermöglichen eine weiterführende Beschäftigung mit den im Nachgelesen behandelten Themen. Die Auswahl berücksichtigt unterschiedliche Perspektiven: die aktuelle Bedrohungs- und Kriminalitätslage, die systematische Bewertung und Weiterentwicklung der Informationssicherheit, den Umgang mit Social Engineering sowie konkrete Unterstützungsangebote für kleine und mittlere Unternehmen.

Bedrohungslage und Cyberkriminalität

Bundesamt für Sicherheit in der Informationstechnik. (2025). Die Lage der IT-Sicherheit in Deutschland 2025. https://www.bsi.bund.de/DE/Service-Navi/Publikationen/Lagebericht/lagebericht_node.html
Als die Cybersicherheitsbehörde des Bundes beobachtet das BSI kontinuierlich die Lage der IT‑Sicherheit in Deutschland. Für den aktuellen Berichtszeitraum besteht kein Grund zur Entwarnung: Die IT-Sicherheitslage bleibt weiterhin auf angespanntem Niveau.

Bundeskriminalamt. Lageprodukte aus dem Bereich Cybercrime. https://www.bka.de/DE/AktuelleInformationen/StatistikenLagebilder/Lagebilder/Cybercrime/cybercrime_node.html
Die digitale Vernetzung birgt enorme Potenziale, bietet aber auch Cyberkriminellen vielfältige Angriffsflächen. Das Bundeslagebild Cybercrime beschreibt die aktuellen Erkenntnisse zur Lage und Entwicklung im Bereich Internetkriminalität.

Den eigenen Sicherheitsstand bewerten

Bundesamt für Sicherheit in der Informationstechnik. CyberRisikoCheck nach DIN SPEC 27076. https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Informationen-und-Empfehlungen/KMU/CyberRisikoCheck/CyberRisikoCheck_node.html
Der CyberRisikoCheck bietet insbesondere kleinen und kleinsten Unternehmen einen strukturierten Einstieg in die Bewertung der eigenen IT-Sicherheit. Betrachtet werden unter anderem Organisation und Sensibilisierung, Identitäts- und Berechtigungsmanagement, Datensicherung, Patchmanagement sowie technische Schutzmaßnahmen. Das Angebot eignet sich besonders für Unternehmen, die einen überschaubaren Einstieg suchen und noch kein umfassendes Informationssicherheitsmanagementsystem betreiben.

Bundesamt für Sicherheit in der Informationstechnik & ISACA Germany Chapter e. V. (Hrsg.). Leitfaden Cyber-Sicherheits-Check. ISACA Germany Chapter – Leitfaden Cyber-Sicherheits-Check. https://www.isaca.de/publikationen/publikationen/leitfaeden/cyber-sicherheits-check-version-2.html
Der Leitfaden beschreibt eine strukturierte Vorgehensweise zur Beurteilung der Cybersicherheit einer Organisation. Er behandelt die Vorbereitung, die Ermittlung des Risikopotenzials, die Dokumentenprüfung, die Vor-Ort-Beurteilung sowie Bewertung und Berichterstattung. Für Unternehmen ist er insbesondere deshalb interessant, weil er Sicherheitsbewertung nicht auf einzelne technische Prüfungen reduziert, sondern in einen umfassenderen Bewertungsprozess einordnet.

Informationssicherheit systematisch weiterentwickeln.

VdS Schadenverhütung GmbH. VdS 10000: Informationssicherheitsmanagementsystem für kleine und mittlere Unternehmen (KMU). https://vds.de/kompetenzen/cyber-security/zertifizierungen/informationssicherheits-und-datenschutzmanagement/vds-10000-informationssicherheit-fuer-kmu
Die VdS 10000 richtet sich ausdrücklich an kleine und mittlere Unternehmen. Sie beschreibt einen pragmatischen Ansatz zum Aufbau eines Informationssicherheitsmanagementsystems und verbindet organisatorische Verantwortung, Risikomanagement und technische Maßnahmen. Für Unternehmen, die über einzelne Sicherheitsmaßnahmen hinausgehen und Informationssicherheit dauerhaft in ihren Abläufen verankern möchten, bietet die Richtlinie eine praxisnahe Orientierung.

Praktische Unterstützung für kleine und mittlere Unternehmen

Transferstelle Cybersicherheit im Mittelstand. Cybersicherheit für den Mittelstand https://transferstelle-cybersicherheit.de/
Die Transferstelle Cybersicherheit im Mittelstand bietet Informationen, Veranstaltungen, Werkzeuge und Unterstützungsangebote speziell für kleine und mittlere Unternehmen. Sie eignet sich insbesondere als Anlaufstelle für Unternehmen, die aus der ersten Beschäftigung mit dem Thema konkrete nächste Schritte ableiten möchten.