Gottfried Tonweber: Cybersecurity Awareness reicht nicht mehr aus – Wie AI Ihre Sicherheits-Entscheidungen verändert
Das ewige Katz- und Maus-Spiel der Cybersecurity geht mit AI in die nächste Runde. EY-Cybersecurity-Partner Gottfried Tonweber zeigt uns, welche Prioritäten verschoben werden müssen, um großräumige Schäden zu vermeiden. Außerdem werfen wir einen gemeinsamen Blick auf das Spannungsfeld der Effizienz und Abhängigkeit bei großen Cloud-Anbietern. Und vieles mehr.
AI beschleunigt Angriffe und Verteidigung gleichzeitig. Wie verändern sich die Prioritäten in der Cybersecurity?
AI beschleunigt Angriffe und Verteidigung gleichermaßen und verschiebt damit die Prioritäten in der Cybersecurity. Besonders bei Phishing und Social Engineering entstehen skalierbare Angriffe, während auf der Abwehrseite Erkennung und Priorisierung schneller werden.
Zugleich entsteht durch den Einsatz von AI selbst eine zusätzliche Angriffsfläche. AI‑basierte Tools und Agenten benötigen Zugriff auf Daten und Systeme und können dadurch Ziel von Angriffen werden, etwa über kompromittierte Zugangsdaten, Tokens oder unsichere Integrationen.
Der Fokus verschiebt sich damit weg von der reinen Einführung weiterer Maßnahmen hin zu Geschwindigkeit und Handlungsfähigkeit im Ernstfall. Entscheidend ist, Angriffe früh einzugrenzen, Systeme zu isolieren und schnell fundierte Entscheidungen zu treffen.
AI ist dabei als Katalysator zu werten, ersetzt jedoch nicht die Grundlagen. Identitätsmanagement, klare Prozesse sowie belastbare Backup‑ und Recovery‑Fähigkeiten bleiben zentral.
Ein Beispiel: Wenn Angreifer in kurzer Zeit personalisierte Phishing‑Mails erzeugen können, reicht Awareness allein nicht mehr aus. Ergänzend erforderlich sind starke Zugriffskontrollen und automatisierte Erkennung.
EY ist Award-Partner für den Confare CIOSUMMIT Salzburg. Melden Sie sich HIER an und tauschen Sie sich mit Expert:innen der DACH-Region über die neuesten Veränderungen der Cybersecurity aus.
Wie verändert das Zusammenwachsen von IT und OT die Anforderungen an Security und Resilienz?
Der Ausfall eines ERP-Systems ist geschäftskritisch. Wird jedoch über eine unzureichend abgesicherte Verbindung das Produktionsnetz kompromittiert, kann die gesamte Linie stillstehen. IT/OT‑Konvergenz ist deshalb kein reines Vernetzungsthema, sondern vor allem ein Sicherheits- und Resilienzthema.
Mit der Zusammenführung von IT und OT verschiebt sich die Zielsetzung von Security. Neben Vertraulichkeit, Integrität und Verfügbarkeit geht es auch um sicheren Betrieb und physische Auswirkungen. Sicherheitsvorfälle können damit direkte Konsequenzen für Produktion und Menschen haben.
Entsprechend lassen sich IT-Sicherheitskonzepte nicht 1:1 übertragen. OT erfordert andere Prioritäten – insbesondere im Spannungsfeld zwischen Verfügbarkeit und Sicherheit.
Der Fokus verschiebt sich daher weg von reiner Prävention hin zu ganzheitlicher Resilienz und einem gelebten Business Continuity Management. Ziel ist es, kritische Prozesse auch im Störfall aufrechtzuerhalten oder schnell wiederherstellen zu können.
Welche Abhängigkeiten entstehen durch moderne Security-Plattformen und Cloud-Architekturen?
Moderne Security‑Plattformen und Cloud‑Architekturen ermöglichen erhebliche Effizienzgewinne, schaffen jedoch gleichzeitig neue Abhängigkeiten. Viele Organisationen bündeln zentrale Funktionen wie Identitäten, Erkennung oder Kommunikation bei wenigen strategischen Anbietern. Das ist operativ sinnvoll, führt jedoch zu einem Konzentrationsrisiko: Fällt ein zentraler Dienst aus, sind mehrere sicherheits‑ und geschäftskritische Funktionen gleichzeitig betroffen.
Damit wird digitale Souveränität zu einer zentralen Fragestellung: Wie viel Kontrolle und Handlungsfähigkeit verbleiben bei der Organisation, wenn zentrale Plattformen eingeschränkt sind? Diese wachsenden Interdependenzen gelten heute als eine zentrale Herausforderung für die Cyber‑Resilienz.
Entscheidend ist dabei: Abhängigkeiten sind nicht grundsätzlich problematisch. Kritisch wird es dort, wo Organisationen keine realistische Handlungsalternative mehr haben – technisch, vertraglich oder betrieblich. In diesem Fall sinkt die tatsächliche Steuerungsfähigkeit, auch wenn die eingesetzten Systeme hochmodern sind.
Die zentrale Frage lautet daher im Ernstfall: Wie arbeitsfähig bleibt die Organisation, wenn zentrale Plattformen eingeschränkt sind?
Bleiben Sie immer auf dem Laufenden, was die DACH-weite IT gerade beschäftigt mit einem kostenlosen conText Abo. HIER anmelden.
Was bedeutet digitale Souveränität konkret in einem Incident-Fall?
Im Incident zeigt sich schnell, ob digitale Souveränität tatsächlich gelebt wird. Konkret bedeutet sie: Eine Organisation weiß, welche Systeme kritisch sind, hat Zugriff auf ihre Daten und Protokolle und ist in der Lage, eigenständig Entscheidungen zu treffen und Maßnahmen umzusetzen – eben auch unter eingeschränkten Bedingungen.
Souveränität bedeutet dabei nicht Autarkie. Es geht nicht darum, alle Leistungen selbst zu erbringen, sondern darum, im Ernstfall handlungsfähig zu bleiben und Abhängigkeiten so zu gestalten, dass die eigene Steuerungsfähigkeit erhalten bleibt. Wer erst klären muss, ob Logs verfügbar sind, wer Berechtigungen hat oder wann ein externer Provider reagiert, ist im Incident nur eingeschränkt steuerungsfähig.
Im Kern lässt sich das auf drei Fragen verdichten – insbesondere für den Krisenfall:
- Haben wir Zugriff auf relevante Daten und Logs?
- Können wir Zugriffe und Maßnahmen selbst steuern?
- Können wir kritische Prozesse weiterführen oder wiederherstellen?
Wenn diese Fragen klar beantwortet sind, ist digitale Souveränität im Incident keine Theorie, sondern gelebte Krisenfähigkeit.
Welche Entscheidungen in der Architektur bestimmen heute, wie handlungsfähig eine Organisation im Ernstfall bleibt?
Handlungsfähigkeit im Incident ist das Ergebnis von Architekturentscheidungen. Besonders entscheidend sind dabei Identitätsmodelle, Segmentierung, Backup- und Recovery-Design sowie Abhängigkeiten zu zentralen Plattformdiensten.
Darüber hinaus wird Souveränität bereits dadurch geprägt, welche Leitplanken in Projekten und PoCs gelten. Offene Standards, Datenportabilität und Exit-Fähigkeit müssen von Anfang an verbindlich berücksichtigt werden. Gleiches gilt für standardisierte Schnittstellen – proprietäre Integrationen schaffen schnell Abhängigkeiten, die sich im Incident nicht mehr auflösen lassen.
Auch Governance‑Fragen spielen eine zentrale Rolle: Unkontrollierte SaaS‑Einführungen oder fehlende Transparenz über genutzte Dienste führen häufig zu einer „Schatten‑Architektur“, die im Krisenfall schwer steuerbar ist.
Ein weiterer entscheidender Faktor ist die Plattformstrategie: Organisationen müssen wissen, wo sie technologisch gebunden sind und wo eine Entkopplung realistisch ist – etwa bei stark integrierten Plattformen. Ohne diese Transparenz lassen sich Risiken im Ernstfall kaum aktiv steuern.
Am Ende zeigen sich diese Entscheidungen immer im Incident. Eine zu enge Kopplung von Systemen oder Plattformen führt dazu, dass sich Vorfälle schnell ausbreiten. Gute Architektur schafft dagegen Containment‑Fähigkeit und entscheidet damit, ob ein Vorfall beherrschbar bleibt oder unternehmensweit eskaliert.
Welche Fähigkeiten und welches Know-how müssen Organisationen wieder stärker selbst aufbauen?
Einrichtungen müssen vor allem dort wieder mehr eigenes Know-how aufbauen, wo es um Steuerungsfähigkeit im Ernstfall geht. Viele Leistungen lassen sich sinnvoll auslagern – nicht jedoch die Fähigkeit, Risiken zu verstehen, kritische Abhängigkeiten zu bewerten und im Incident fundierte Entscheidungen zu treffen.
Besonders entscheidend sind dabei vier Fähigkeiten:
- Erstens: Ein klares Verständnis der eigenen kritischen Systeme und Abhängigkeiten.
- Zweitens: Gelebte Incident-Kompetenz – also eingeübte Entscheidungs- und Reaktionsprozesse.
- Drittens: Architekturkompetenz, um Lock-in-Risiken und Wiederanlauffähigkeit realistisch beurteilen zu können.
- Viertens: Lieferanten- und Vertragskompetenz, da Abhängigkeiten heute oft nicht nur technisch, sondern auch vertraglich entstehen.
In der Praxis zeigt sich jedoch häufig: Viele Organisationen haben in Tools investiert, aber zu wenig in die Fähigkeit, deren Ausfall oder Fehlverhalten zu managen. Genau dieses Delta wird zunehmend zu einem strategischen Risiko.
Welche Rolle können europäische Anbieter in Security- und Cloud-Strategien realistisch übernehmen?
Europäische Anbieter können eine wichtige Rolle spielen – allerdings nur in einer realistischen & strategischen Einordnung. Es geht nicht darum, globale Hyperscaler vollständig zu ersetzen, sondern europäische und souveränitätsstarke Optionen dort gezielt einzusetzen, wo Kontrolle, sensible Daten oder regulatorische Anforderungen im Vordergrund stehen.
In der Praxis bedeutet das: Europäische Anbieter eignen sich besonders für klar abgegrenzte Anwendungsfälle, etwa bei sensiblen Daten, sicheren Kommunikationsdiensten oder spezialisierten Security‑Leistungen. Gleichzeitig werden globale Plattformanbieter aufgrund von Skaleneffekten und Innovationsgeschwindigkeit auf absehbare Zeit eine zentrale Rolle behalten.
Die entscheidende Strategie liegt daher nicht im „alles oder nichts“, sondern in einem bewussten Multi‑Sourcing nach Kritikalität.
Großevents wie Fußball-WM oder Eurovision Song Contest stehen massiv im Fokus internationaler Aufmerksamkeit. Wie verändern solche Veranstaltungen die Anforderungen an Cybersecurity und Resilienz?
Großevents bringen eine hohe Sichtbarkeit, starken Zeitdruck und viele miteinander vernetzte Systeme zusammen – genau diese Kombination macht sie für Cyberkriminelle, Hacktivisten und auch staatliche Akteure besonders interessant.
Die Herausforderung liegt dabei nicht nur in einzelnen Systemen, sondern im Zusammenspiel vieler Beteiligter: von Ticketing und Payment über Übertragungstechnik und Transport bis hin zu Partnern, temporären Netzwerken und mobilen Anwendungen. Sicherheit wird damit weniger zu einer isolierten IT‑Aufgabe und mehr zu einer Frage der Gesamtstabilität des Systems.
Ein besonderer Risikofaktor ist die zusätzliche, oft kurzfristig aufgebaute Infrastruktur. Temporäre Netzwerke, Partnerzugänge oder neue Services erweitern die Angriffsfläche. Entsprechend müssen Security und Resilienz enger zusammengedacht werden als im Regelbetrieb. Entscheidend sind ein aktuelles Lagebild, klare Zuständigkeiten und abgestimmte Abläufe über alle Stakeholder hinweg.
Welche zusätzlichen Risiken entstehen bei Großevents durch AI, hybride Bedrohungen und Desinformation?
AI verstärkt bei Großevents vor allem bestehende Risiken durch höhere Geschwindigkeit, größere Reichweite und realistischere Täuschung. Inhalte lassen sich heute deutlich überzeugender fälschen – von Phishing-Mails über vermeintliche Partnerkommunikation bis hin zu manipulierten Audio- oder Videoinhalten. Gleichzeitig können solche Angriffe in kurzer Zeit in großem Umfang ausgerollt werden, oft gezielt auf unterschiedliche Zielgruppen zugeschnitten.
Bei hybriden Bedrohungen kommt hinzu, dass digitale Angriffe, Informationsmanipulation und operative Störungen ineinandergreifen. Ein kompromittierter Account, eine gestörte Plattform oder eine manipulierte Meldung kann in einem Event-Kontext unmittelbare Auswirkungen in der physischen Welt haben – etwa durch Fehlinformationen zu Einlass, Evakuierung oder Verkehrsströmen.
Viele Security-Innovationen kommen aktuell von globalen Anbietern. Wie nutzt man diese Innovationsgeschwindigkeit, ohne die eigene Steuerbarkeit zu verlieren?
Viele Security‑Innovationen kommen aktuell von globalen Anbietern. Entscheidend ist daher nicht nur, ob man diese nutzt, sondern wie man die eigene Steuerungsfähigkeit dabei erhält.
Kritisch sind vor allem die Kontrollpunkte: Wer bestimmt über Daten, Zugriffe, Schlüssel, Betriebsmodelle und Wiederanlauf? Genau hier entscheidet sich, ob eine Organisation handlungsfähig bleibt.
In der Praxis geht es weniger um Verzicht als um bewusste Gestaltung. Organisationen sollten früh klären, welche Funktionen kritisch sind, wie portabel Daten und Konfigurationen sind und wie sie im Incident unabhängig agieren können.
Vehemente Grundsatzdiskussionen – etwa ein vollständiger Verzicht auf bestimmte Anbieter – greifen dabei oft zu kurz. Der Grundsatz ist einfach: Innovation nutzen, Kontrolle behalten.