Vom Posteingang zur Infrastruktur

MManfred

.reveal, .reveal p, .reveal li, .reveal td, .reveal th { font-family: 'Roboto Serif', serif; }
.reveal h1, .reveal h2, .reveal h3, .reveal h4, .reveal h5, .reveal h6 { font-family: 'Inter', sans-serif; }
</style>

# Vom Posteingang zur Infrastruktur

## Cybersecurity im Zeitalter von Künstlicher Intelligenz

**Präsentation für Handwerksbetriebe**
Dauer: ca. 45 Minuten

---

## Überblick - zwei Wege, ein Ziel

1. **Der Tragödie erster Teil:
 der E-Mail-Angriff** • Posteingang → Endgerät → Netzwerk → Unternehmensdaten
 
2. **Der Tragödie zweiter Teil:
 der Lieferketten-Angriff** • Software-Lieferkette → Server → Unternehmensdaten
 
4. **Verweilt doch (*Daten*)** ihr seid so schön: 
  **Backup & Recovery** • Unternehmensdaten → (mindestens) drei Ebenen der Sicherung

<img src="/api/media/file/wit_logo.svg" alt="WIT" height="50" style="border:none; box-shadow:none; vertical-align:middle;"> Manfred Wisniewski | WIT Consult | [manfred@witconsult.de](mailto:manfred@witconsult.de)

---

# Was KI verändert hat

## Angriffe sind günstig und massenhaft geworden

- Phishing-Mails ohne Tippfehler - perfektes Deutsch, passender Ton, echte Namen und Hintergrund informationen

- Perfekt nachgemachte Fake-Shop Seiten, Zahlungsanbieterformulare, Firmenseiten etc.

- Automatisierte Aufklärung - Ihre Firma wird gescannt, ohne dass jemand zuschauen muss

- Neue Lücken im Tagestakt - KI deckt immer neue Schwachstellen auf; Reaktion in Stunden statt Wochen und Lieferkettensicherung ist Pflicht *(Beispiel: PHP2Shell)*

- bis hin zu geklonte Stimmen am Telefon - „der Chef" klingt wie der Chef (*und braucht schnell Geld*)

- wenn die Roboter kommen...

---

## Für Sie bedeutet das:

<br />

**2024:** *41% deutscher Unternehmen berichten über Social-Engineering-Versuche, 31% Schäden durch Schadsoftware, 27% über telefonische Betrugsversuche "IT Support", 27% Schäden durch Überlastungsangriffe* - Bitkom 2024

**2023:** *im Schnitt 78 neu bekannte Schwachstellen pro Tag - Zero-Days in offenen Systemen liefern den Einstieg und gestohlene Zugangsdaten ermöglichen die Ausbreitung* - BSI 2024 (vor zehn Jahren war das Geheimdienstniveau!)

- Die Frage ist nicht **ob** ein Angreifer vorbeischaut - *er ist schon da gewesen* - sondern **was er sehen kann** und welche **Barrieren er antrifft**

- Gelegenheit macht Diebe - bei einer **unverschlossenen Tür** reicht schon Neugier als Einladung

- Was **nicht zu sehen ist**, erweckt keine Begierden -  Server-Hardening heißt: dem Angreifer weniger Oberfläche geben

Note: Einstieg ruhig halten - keine Angstmache, nur Physik: Angriffe sind skalierbar geworden, die Verteidigung muss es auch sein. PHP2Shell: kritische PHP-Lücke (10/2026, 9,2/10) - volle Server-Kontrolle ohne Passwort und ohne Klick; betraf Standard-Installation von unzähligen Software-Systemen. Punkt kommt an Station 4/5 zurück (zeitnahe Updates + Überwachung).

---

**Der Tragödie erster Teil**

# Der E-Mail-Angriff

## Über den Posteingang zu den Unternehmensdaten

**60 % aller Angriffe** in Deutschland kommen über Phishing & Social Engineering 
(Phishing, Vishing, Malspam, Malvertising via E-Mail oder Telefon) - *ENISA Threat Landscape 2025*

<br />

```mermaid
%%{init: {"themeVariables": {"fontSize": "32px"}, "flowchart": {"htmlLabels": false, "useMaxWidth": false}} }%%
graph LR
    Mail["Angriffs-Mail"] --> S1["Spam Proxy"]
    S1 --> S2["Mailserver (Postfach)"]
    S2 --> S3["Endgerät"]
    S3 --> S4["Unternehmensnetzwerk"]
    S4 --> Shares["Unternehmensdaten"]
```

Note: Teil 1 wandert Posteingang → Endgerät → Daten. Jeder Schritt: was passiert + was KI daran verändert.

---

# Die Angriffs-Mail

## Sie sieht aus wie eine echte Rechnung

**Was passiert:**

- Eine Mail kommt an - scheinbar von einem echten Kunden, im richtigen Ton, mit plausibler Rechnung
- Anhang oder Link verbirgt die Schadsoftware

**Was KI hier verändert hat:**

- Perfektes Deutsch, echte Namen, Hintergrundwissen - massenhaft erzeugt; an Tippfehlern erkennt man es nicht mehr, am Ton oder den technischen Details der E-Mail - aber wer schaut da schon rein?

---

# Dr Spam Proxy

## Erste Schutz-Schicht: Der vorgeschaltete Filter

**Was passiert:**

- Eine Filtereben hält den größten Teil schadhafter E-Mails ab - Spam, Phishing, bekannte Schädlinge, bevor sie überhaupt in einem Postfach landen
- positiver Nebeneffekt: ein Notfall-Postfach hält Mails, wenn der eigentliche Server ausfällt, bis sie wieder zugestellt werden können

**Was KI hier verändert:**

- Täglich neue Varianten - keine Signatur kennt sie alle; aber schon  *eine* gut gemachte E-Mail genügt
- KI unterstützt bei der Erkennung durch vorschläge. Entscheidungen muss aber ein Mensch treffen.
- Gerade für mittlere, regionale Unternehmen kann man hier sehr effektiv mit Geo-Filtern arbeiten. Die meisten haben keine Kunden in Indien, China oder Russland.

---

# Postfach & Identität

## Wer darf Was - die zentrale Benutzerverwaltung

**Was bisher geschah:**

- Die schadhafte E-Mail hat es durch den Proxy-Filter geschafft und liegt im Postfach - was jetzt passiert, hängt davon ab, **wer** sie öffnet und **welche Rechte** das Konto hat - das entscheidet die Identitätsverwaltung **(IAM)**
- Ein Login, Zwei-Faktor-Anmeldung überall; Selbst ein gestohlenes Passwort wird so nicht zum Einfallstor

**Was KI hier verändert:**

- Gekaperte Postfächer sind oft der zweite Einstieg (*"Passwort vergessen"*) - gestohlene Zugangsdaten sind heute Massenware (Darknet) - Missbrauchsversuche können leicht automatisiert werden.
- Zusätzlicher Schutz: Der Zugangsnachweis im IAM beantwortet die Fragen von Versicherer und Prüfer 
(Wer war wann wo angemeldet? Von wo kam die Anfrage?)

---

# Das Endgerät

## Der letzte Wiederstand: Der Anhang wird geöffnet

**Was jetzt passiert:**

- Jemand öffnet die Rechnung - die Schadsoftware wird ausgeführt
- **Variante A:** Keine Endgeräteschutz - **zu spät:** *"Ich hoffe jemand merkt es und das wir eine Datensicherung haben."*
- **Variante B:** Der Endgeräte-Schutz erkennt das Verhalten und meldet es - Endgerät wird gesperrt - aber die ersten Dateien auf der gemeinsamen Freigabe sind schon verschlüsselt

**Was KI hier verändert:**

- Schadsoftware verändert sich ständig und weicht der Erkennung aus:  Verhaltenserkennung schlägt Signatur
 Erweiterte Erkennung und Reaktion (Extended Detection and Response **XDR**)

**Ganz Ehrlich:**

- Garantien gibt es nicht und keine Ebene kann alles abfangen
  wichtig ist: **Erkennung** und **Reaktion** statt unbemerkt + ordentliche Backup-Strategie (**!!!**)

---

**Der Tragödie zweiter Teil**

# Der Lieferketten-Angriff

## Der Weg durch die Hintertür

Software-Systeme sind sehr komplex und basieren meist auf vielen fremden Komponenten - jede davon ein potentielles Einfallstor.

<br />

```mermaid
%%{init: {"themeVariables": {"fontSize": "32px"}, "flowchart": {"htmlLabels": false, "useMaxWidth": false}} }%%
graph LR
    Lieferant["Software-Lieferkette / Update"] --> Server["Server"]
    Server --> B["Betriebsplattform"]
    B --> Shares["Unternehmensdaten"]
```

<br />

**16 % der Vorfälle** starten über Supply Chain / Drittsysteme - **schädlichster** Einstiegsweg;
Ø Kosten 4,52 Mio. € - *IBM Cost of a Data Breach 2025 (Deutschland)*

Note: Teil 2 führt direkt zum Server - über die Leute, denen Sie vertrauen. Lieferkette und technische Schulden sind die Türen.

---

# Software-Lieferanten

## Der Bank-Tresor ist gut gesichert ➜ Transporter

**Was passiert:**

- Der Tresor (*Server*) ist gut gesichertert und niemand kommt rein - deshalb versteckt der Angreifer ein "Äffchen" (*Trojaner*) im Transporter (*Software-Update*) und das Äffchen macht eine Tür von Innen auf
- Der Angriff kommt verpackt in Software, Updates oder Dienstleister-Zugängen, denen man vertraut

**Was KI hier verändert:**

- **Aufklärung** ist automatisiert - das schwächste Glied in der Kette ist schnell gefunden - das **gilt aber auch umgekehrt**

**Die Verteidigung:**

- **Abhängigkeiten Kennen** und Verwalten, Dritt-Zugänge begrenzen, befristen und **dokumentieren (!!!)**
- „Wer außer uns hat noch Zugang oder Schlüssel zur Zentrale?" (Servicepersonal *(Update)*, Dachluke)

---

# Der Server

## die Schatzkammer steht offen

**Was bisher geschah:**

- Der Angreifer steht vor den Kronjuwelen - das Äffchen hat eine schlecht gesicherte Hintertür geöffnet
- Die wichtigste Frage **hat es jemand mitbekommen?** Wie viel Zeit hat der Angreifer jetzt?

**Was KI hier verändert:**

- Neue Lücken im Tagestakt - KI deckt Schwachstellen auf, bevor Updates veröffentlicht werden *(PHP2Shell)*

**Die Verteidigung:**

- Gehärtete, gepflegte Systeme, Zugriffsbeschränkung auf **Notwendigkeits-Basis** und strikte Trennung von Bereichen
- **Angriffserkennung** - KI hilft nicht nur Red Team, sondern auch Blue Team

---

# Systemarchitektur

## verrostete Schrauben und klemmende Türen
Schlitz-Schrauben (15. Jhd) sind nach zehn Jahren im Feld nicht mehr zu drehen, Torx Technologie ist älter als ich - aber in meinen meinen Regalen finde ich Schlitz-Schrauben (*Opa Günther*)

**Der Lauf der Welt:**
    
- **Technische Schulden:** veraltete Komponenten werden weiter eingesetzt, weil „es ja läuft" - bis sie weder gewartet noch ersetzt werden können. Was klemmt will niemand mehr anfassen.
- Gleich zu Torx wechseln - Schlitz und Kreuz lassen sich nach Jahren im Feld kaum noch lösen

**Was KI hier verändert:**

- Digital kostet der Wechsel fast nichts mehr - (automatisches) Refactoring ist der günstige Wechsel zu Torx oder besser
- Die wichtigste Frage: **Wer** ist **verantwortlich**, **überwacht** und **entscheidet** Veränderungen? 
Die Software Welt ist sehr schnellebig.

</div>
</div>

---

# Der Betrieb

## Jemand schaut hin *(hoffentlich)*

**Was jetzt passiert:**

- Die Systemüberwachung (**Monitoring** für Server oder **XDR** für Endgeräte) bemerkt eine Abweichung - Verfügbarkeit, Last, Protokolle; der Alarm geht in Minuten raus, ggf. werden direkt Zugänge gesperrt
- Unbeaufsichtigte Systeme "melden" Vorfälle erst wenn der Kunde anruft und unangenehme Fragen stellt

**Was KI hier verändert:**

- Beide Seiten (Red vs Blue) automatisieren - wer **Auffälliges schneller mitbekommt**, verliert weniger; hinschauen ist keine Wochenend-Aufgabe mehr
- Das Hauptproblem liegt in der Praxis meist bei der **Verantwortung** - "Das ist doch nicht mein Zuständigkeitsbereich."
- und die **Dokumentation** "Sowas haben wir? Was ist das nochmal?" ➜ eine der Hauptanforderung von Versicherungen

---

# Sicherung & Wiederherstellung

## Backup auf (*mindestens*) drei Ebenen

76 % von Ransomware getroffenen Unternehmen in Deutschland zahlten 2024 kein Lösegeld mehr - funktionierende Wiederherstellung macht **unabhängig** - *Bitkom Umfrage 2024*

89 % der Organisationen berichten, dass Angreifer gezielt ihre Backups angreifen - nur 32 % nutzten unveränderbare Speicher. Wer die Rettung verhindern will, zerstört zuerst die Sicherung. - *Veeam Ransomware Trends 2025*

```mermaid
%%{init: {"themeVariables": {"fontSize": "32px"}, "flowchart": {"htmlLabels": false, "useMaxWidth": false}} }%%
graph LR
    Shares["Unternehmensdaten"] --> Lokal["Lokale Sicherung"]
    Lokal --> Shares
    Lokal --> Online["Online Sicherung"]
    Online --> Deep["Tiefe Online Sicherung (immutable)"]
    Lokal --> Offline["Offline Sicherung"]
```

Note: Teil 3 dreht die Richtung um - der Weg zurück. Offline ist die Ebene, die Verschlüsselung nicht erreicht.

---

# Lokale Sicherung

## Der schnelle Zugriff vor Ort

**Was passiert:**

- Schnelle Wiederherstellung direkt vor Ort - der erste Griff bei kleinen Ausfällen oder versehentlichen Löschungen

**Die Grenze:**

- Liegt am selben Ort wie das Risiko - Brand, Diebstahl oder Verschlüsselung trifft Originale und Sicherung

---

# Online-Sicherung

## Kopie(n) außer Haus

**Was passiert:**

- Extern gelagerte und geprüfte Sicherung - Wiederherstellung ist getestet, nicht nur protokolliert 
➜ Anforderung von Versicherern

**Was KI hier verändert:**

- Automatisierung macht das Erstellen maßgeschneiderter Angriffe günstig - ein Angriff der genau auf *Ihre* Infrastruktur zugeschnitten ist heute auch schon bei Unternehmen aus dem Mittelstand plausibel

---

# Offline-Sicherung

## Die Feuer- und Sturmsichere Kopie

**Wovor es schützt:**

- Physisch getrennt - eine Kopie die nicht online zugänglich ist
- Wenn alle online Stricke reißen ist trotzdem noch eine Sicherung vorhanden
- Revisionssicheres Archiv - Nachweis, was wann passiert ist

**Das Ergebnis beider Tragödien:**

- Erster Teil: Endgerät isoliert und neu aufgesetzt - Daten zurückgespielt, Betrieb läuft weiter
- Zweiter Teil: Server gesäubert und Daten wiederhergestellt
- Kein Lösegeld, kein mehrtägiger Stillstand, ein sauberer Bericht für den Versicherer

---

# Deep Storage

## Die Kür - Ein Tresor im Gletscher

**Der Unterschied:**

- Daten werden in externe "Tiefe" Speicher geschrieben *(z.b. Amazon Glacier & Co.)*. Einmal geschrieben, unveränderbar, nur sehr langsam lesbar
- Relativ günstig für die Sicherung, teuer beim Lesen - Langzeit- und Katastrophen Sicherung für den Notfall
- Bis hin zu spezialisierte Systemen mit Bandsicherung in Salzbergwerken. Ausgelegt für Katastrophen wie Atomkrieg. *(andere Prioritäten?)*

**Was KI hier verändert:**

- KI ändert hier an der Sache nichts, erhöht aber grundsätzlich die Gefahrensituation für normale Backups
- Wird eventuell die Ursache für die Katastrophe auf die wir uns mit solchen Maßnahmen vorbereiten.

---

# Des Pudels Kern

## Keine Schutz-Ebene fängt alles - zusammen werden sie stark

- **Viele Zugangswege**: über die E-Mail bis an die Daten, über Lieferkette durch eine Hintertür an den Server 
Beide Vorfälle erkannt, begrenzt, Schaden rückgängig gemacht
- Die Flanke zählt: Lieferanten und Software sind Teil Ihrer Verteidigung - wer Zugänge hat, muss 
- Software Systeme altern - alte Schrauben will keiner mehr anfassen, und im Notfall kommt keiner mehr ran
- KI macht Angriffe günstiger und besser - **das macht die Schutz-Ebenen wichtiger**, nicht hinfällig

#### Die **teuerste Sicherheitsvorkehrung** ist die, bei der **keiner Hinschaut** oder die **gar nicht vorhanden** ist

Note: Echo des KI-Einstiegs - Angriff skaliert, Verteidigung muss das auch: automatisiert, übereinander, betreut.

---

# Zusammenfassung

## Was einem Angreifer auf dem Weg begegnet entscheidet über Ihren Betrieb

- **Der E-Mail-Angriff** - Vorgeschalteter Filter, Identitätsmanagement und Endgeräteschutz mindern das Risiko
- **Der Lieferketten-Angriff** - begrenzte Abhängigkeiten und gepflegte Systeme halten das System aktuell, anpassungsfähig und sicher
- **Backup & Recovery** - drei Ebenen der Sicherung schützen im Ernstfall: 
[1] schnell und ständig vor Ort 
[2] sicher offline und außer Haus 
[3] unveränderbar im Rechenzentrum

---

## Fragen & Kontakt

Vielen Dank!- Ihre Fragen | <img src="/api/media/file/wit_logo.svg" alt="WIT" height="30" style="border:none; box-shadow:none; vertical-align:middle;"> | manfred@witconsult.de

<figure style="display:inline-block; margin:0; vertical-align:middle;">
<img src="https://hd.witconsult.de/uploads/248cdf68-925b-4c1f-a217-2904987d2090.jpg" height="350" style="border:none; box-shadow:none;">
<figcaption><small>„Gretchen ist gerettet!" von Wilhelm Hensel (1835)</small></figcaption>
</figure>
<figure style="display:inline-block; margin:0; vertical-align:middle;">
<img src="https://hd.witconsult.de/uploads/03f6474f-9e53-4568-82d4-29b371177733.png" height="750" style="border:none; box-shadow:none;">
<figcaption><small>"Arbeitsalltag auf der digitalen Baustelle" erträumt von von KI (2026)</small></figcaption>
</figure>