Die Bedrohungen werden durch den Einsatz von KI dramatisch steigen

Sie haben bereits die zweite Ausgabe des IT-Sicherheitstages für die Wohnungswirtschaft mit organsiert und haben viele der Redner für deren Beiträge gewinnen können. Warum ist das Thema so aktuell?

Auf jeder Sicherheitstagung der Welt wird quasi immer dasselbe gepredigt: „Passt auf, seid vorbereitet, irgendwann trifft es jedes Unternehmen“. Durch diese Dauerbeschallung von allen Seiten besteht die Gefahr, dass das Gehörte zur Normalität wird. Die ständig wachsenden Gefahren drohen damit in der Wahrnehmung unterzugehen. Unternehmen, die noch nicht einem erfolgreichen Cyberangriff ausgesetzt waren, sehen sich möglicherweise bestätigt: wir haben Sicherheitsmaßnahmen ergriffen und uns ist bisher nichts passiert – wir sind gut aufgestellt und es wird schon nichts passieren. Manche sprechen von „Panikmache“. Das ist ein fataler Trugschluss! In Deutschland werden immer mehr Wohnungsunternehmen erfolgreich angegriffen. Wenn Sie dort nachfragen, bekommen Sie fast immer dieselbe Antwort: „Wir haben im Vorfeld nicht damit gerechnet, dass es uns treffen kann.“ Während wir hier miteinander sprechen, gibt es hunderte von Unternehmen aller Branchen, die jetzt gerade mit den Auswirkungen eines Angriffs zu kämpfen haben.

Was ist Ihre Empfehlung?

Bewusstsein für die eigene IT-Sicherheit schaffen. Das geht nicht allein mit den in der Regel mit Tagesaufgaben be- und überlasteten eigenen Administratoren. IT-Sicherheit benötigt Spezialisten, die sich den ganzen Tag schwerpunktmäßig mit dieser Thematik beschäftigen. Die sind auf dem Laufenden, was täglich weiterentwickelte Bedrohungen angeht. Das kann normalerweise das eigene IT-Personal oder der externe Dienstleister nicht mit abdecken. Das Bewusstsein bekommt man, wenn man mit Spezialisten spricht und sich anhört, was in der Welt da draußen los ist.

Daher die Sicherheitstagung?

Genau! Wir wollen als Zielgruppe Administratoren und gleichermaßen die Geschäftsführungen ansprechen. Beide ermutigen, sich der Gefahren und der Abwehrmöglichkeiten bewusst zu werden. Daher haben wir zum zweiten Mal einen Mix an Rednern gewinnen können, der Strategien aufzeigt, sich besser zu schützen, zu sehen, was passieren kann und zu wissen, was man im Ernstfall tun muss.

Es gab Vorträge von Betroffenen - auch eines betroffenen  Wohnungsunternehmens-, bei denen die ergriffenen Schutzmaßnahmen so gut waren, dass sich Expertinnen und Experten die Zähne ausgebissen haben.

Wir wollten genau diesen Mix. Durch Cyberexperten zunächst zeigen, wo Hacker wie leicht mit entsprechendem Wissen eindringen und welchen Schaden sie anrichten können. Und dann im Gegenzug ein Wohnungsunternehmen beschreiben lassen, wie sie es mit welchem finanziellen Aufwand geschafft haben, die Hacker gar nicht erst in das Unternehmensnetzwerk zu lassen. Das war aktive und bewusste Vorbereitung der Unternehmensleitung. Das sehen wir als Maßstab, an dem sich alle unsere Mitgliedsunternehmen orientieren sollten. Leider sieht die Praxis anders aus. Das sehen wir bei jedem von uns durchgeführten IT-Audit und an den Ergebnissen der Cyberexperten der DGC AG. Es gibt bis auf wenige Ausnahmen kein Unternehmen, wo keine Schwachstellen vorhanden sind. Das wissen auch die Hacker und die lassen computergestützt das Internet nach Unternehmen mit diesen Schwachstellen suchen. Die Treffer werden dann teils manuell, teils automatisiert angegangen. Meine Prognose: die Bedrohungen werden durch den Einsatz von KI dramatisch ansteigen. Damit kann ein größerer Kreis an Personen mit weniger Fachwissen ins „Hacker-Geschäft“ einsteigen und die definitiv vorhandenen Lücken ausnutzen. Es gilt, möglichst viele Einfallstore zu schließen. Die können durch uns und unsere Partner im Vorfeld entdeckt werden. Und wenn wir die entdecken, können das andere genauso.

Es waren auch interessante Redner von der Polizei und vom Verfassungsschutz auf der Tagung.

Ja, wir wollten aufzeigen, dass die Behörden genauso gegen die dunkle Seite der heutigen Vernetzung kämpfen. Das sind eigens ausgebildete Cyber-Spezialisten, die erfolgreiche Angriffe untersuchen, diese begleiten und die Erkenntnisse in Vorträgen und individuellen Beratungen weitergeben. Auf unserer Tagung sollten sie dazu beitragen, das bereits angesprochene Bewusstsein zu schaffen. Oder aus der Praxis zu berichten, was tagtäglich da draußen und auch in der Nachbarschaft passiert.

Welcher Vortrag war für Sie am überraschendsten/interessantesten?

Wir hatten zum ersten Mal einen „Live-Podcast“ mit zwei Vortragenden auf der Bühne. Der Vortragsteil hieß „Cybersecurity ist Chefsache: Einblick in die Verhandlungen mit Cyberkriminellen“. Das hatte für mich zwei interessante Botschaften: Die IT-Sicherheit kann nicht an die eigenen Administratoren übertragen werden – das ist tatsächlich Chefsache! Wer muss sich im erfolgreichen Angriffsfall intern und extern erklären, wenn das Unternehmen zwei Wochen stillsteht? Wer führt im Extremfall die Kommunikation mit den Cyber-Erpressern? Wer muss Entscheidungen fällen? Immer die Geschäftsleitung. Die zweite Botschaft, die ich bis zu dem Vortrag auch nicht wusste: man kann tatsächlich mit Erpressern verhandeln. Da geht es darum, Zeit für die Forensiker zu gewinnen, aber auch die Höhe des geforderten Lösegelds ist in der Praxis verhandelbar. Dazu rate ich unbedingt, Experten zu beauftragen und das wollten wir den Teilnehmern mit auf den Weg geben.

Mit welchen Themen sollten sich Wohnungsunternehmen in Bezug auf Cybersecurity unbedingt beschäftigen, um gut vorbereitet zu sein?

Das Stichwort ist tatsächlich „vorbereitet sein“. Sich erst im Ernstfall mit der Situation zu beschäftigen ist fatal und fahrlässig. Man kann nicht auf alles vorbereitet sein, aber ein Großteil kann vorher abgedeckt werden. Welche Personen brauchen wir, um den Notfall zu behandeln? Wer hat welche koordinierte Aufgabe? Wer muss informiert werden (z.B. die Datenschutzbehörde)? Was ist das richtige Verhalten, um für die Forensiker keine Spuren zu verwischen? Wie reagieren wir im Erpressungsfall – zahlen wir, können wir in Kryptowährung zahlen? Ein strukturiertes Vorgehen vermeidet Hektik und Fehler und es gewinnt wertvolle Zeit bis zur Wiederaufnahme des Geschäftsbetriebs. Kein Vorstand oder Geschäftsführer will sich erklären müssen, warum man so viel Zeit benötigt hat. Vorsorge ist das Zauberwort.

Merken Sie in Ihrer Beratungstätigkeit für den VNW, dass die Sicherheitstagung eine Wirkung gezeigt und Bewusstsein geschaffen hat?

Ein eindeutiges „Ja“! Zunächst haben wir eine sehr gute Beurteilung der Tagung durch die Teilnehmenden bekommen. Auch gute Tipps für die nächste Tagung, die für den 25. Mai 2027 bereits in Planung ist. Nach beiden bisherigen Tagungen haben die Anfragen nach Sicherheitsmaßnahmen sehr stark zugenommen. Das betrifft interne und externe Cybertests, aber auch Awareness-Schulungen, Phishing-Übungen und bei mir persönlich sind die Aufträge zur Erstellung von Notfallhandbüchern für Wohnungsunternehmen stark angestiegen. Trotz dieser jährlichen Steigerung zum Besseren ist die Wohnungswirtschaft sicherheitstechnisch noch lange nicht an dem Punkt, den ich persönlich gerne sehen würde. Aber wir sind schon mal auf einem guten Weg bei denjenigen, die aktiv etwas auf den Weg bringen.