Hallo Daniel, hallo Yannick!
Schön, dass ihr Zeit finden konntet und uns mehr Einblicke in das Thema IT-Security ermöglicht. Fangen wir mit der Grundlage an: Daniel, was sagst Du – als Sicherheitsexperte und COO der think about IT GmbH – warum ist IT-Sicherheit heute relevanter denn je?

Daniel:
IT-Sicherheit ist deshalb relevanter denn je, weil sich die Bedrohungslage in den vergangenen Jahren fundamental verändert hat – sowohl quantitativ als auch qualitativ. Aktuelle Studien und Lageberichte des BSI oder BITKOM zeigen kontinuierlich steigende Zahlen bei Cyberangriffen und gezielten Attacken auf Unternehmen. Nahezu jedes Unternehmen – unabhängig von Branche oder Größe – steht inzwischen im Fokus potenzieller Angreifenden.

Laut der jüngsten BITKOM-Studie verursachten alle erfassten Angriffe im vergangenen Jahr einen Schaden von rund 267 Milliarden Euro. Zusätzlich wurden allein 2025 durchschnittlich über 300.000 neue Malware-Varianten pro Tag identifiziert. Ein klares Zeichen dafür, wie schnell sich Bedrohungen weiterentwickeln und wie raffiniert die Angriffe heutzutage gestaltet sind. 

Besonders besorgniserregend sind die zunehmende Professionalität und Vielfalt. Angreifende agieren hochorganisiert, arbeiten arbeitsteilig und nutzen mittlerweile auch automatisierte und KI-gestützte Tools, um Sicherheitsmechanismen zu überwinden.

Die Auswirkungen sind gravierend: Neben direkten finanziellen Schäden durch Betriebsunterbrechungen oder Lösegeldforderungen entstehen erhebliche Folgekosten, z. B. durch Datenverlust, Reputationsschäden, regulatorische Konsequenzen oder Vertrauensverlust bei Kunden*innen und Partnern. Für viele Unternehmen kann ein einzelner erfolgreicher Angriff existenzbedrohende Folgen haben. 

Für mich ist deshalb klar: IT-Sicherheit ist heute keine unterstützende Funktion mehr, sie ist ein geschäftskritischer Erfolgsfaktor und muss integraler Bestandteil jeder Unternehmensstrategie sein.

Laura:
Da sprechen die Zahlen für sich. Yannick, Du bist Product Owner für IT-Security bei der INCAS GmbH. Für wen ist IT-Security aus Deiner Sich besonders relevant?

Yannick:
Ja, das bin ich und ich habe das Vergnügen täglich – gemeinsam mit unseren Partnern – Sicherheitskonzepte an die aktuellen Gegebenheiten anzupassen und einen kontinuierlichen Verbesserungsprozess zu etablieren.  

Wie Daniel gerade schon erwähnt hat, muss man feststellen, dass die Relevanz einer modernen IT-Security für jedes Unternehmen enorm hoch ist – ganz unabhängig von Branche und Größe.

Besonders durch die überarbeitete NIS-2 Richtlinie der EU ändern sich die Anforderungen an Unternehmen erheblich. Strengere Pflichten, höhere Haftungsrisiken und mehr Verantwortung zur Netzwerk- und Informationssicherheit. Compliance ist im Mittelstand angekommen! Auch die Vorschriften für Organisationen, die als Teil von KRITIS besonders wichtige Infrastrukturen betreiben oder eine andere wesentliche Bedeutung für unser aller Gemeinwesen haben, stechen hier besonders heraus.

Von der Änderung habe ich gelesen. Viele mittelständische Unternehmen fallen darunter – und das bereits ab 50 Mitarbeitenden. Neben deiner Expertise zu den gängigen IT-Security Lösungen hast du uns noch mehr mitgebracht: Die MDR-Lösung von Sophos. Was unterscheidet diese von den bereits weit verbreiteten IT-Security Lösungen?

Gängige IT-Security Produkte sind technische Lösungen, die unsere Systeme schützen. Beispielsweise Firewalls und Security Software.

Damit aber der Schutz bei der stetig steigenden Anzahl neuer Bedrohungen effektiv funktioniert, bindet man Algorithmen und KI zur Unterstützung ein. So kann die Informationsflut gebündelt und gefiltert werden. Gepaart mit der Expertise hunderter Mitarbeitenden von Sophos, die die Zusammenhänge erkennen und Angriffe 24/7 abwehren, nennen wir diese dann MDR – Managed Detection and Response.

Laura: Also KI gepaart mit menschlicher Expertise?

Yannick: Ja, genau – und nicht nur das! Spuren werden gesichert, die Vorfälle bewertet und ein daraus resultierender Verbesserungsprozess abgeleitet. Viele unserer Kundinnen und Kunden sind durch die NIS-2 Kriterien dazu verpflichtet, diese Schritte zu gehen und einen Vorfall zu melden.

Daniel, jetzt haben wir ganz viele wirkungsvolle Möglichkeiten gehört, wie man sein Unternehmen schützen kann – warum passieren dennoch so viele geschäftsschädigende Angriffe?

Das ist eine sehr berechtigte Frage und die ehrliche Antwort lautet: Weil IT-Sicherheit nicht allein ein technologisches Thema ist. 

Unternehmen investieren heute in Firewalls, Endpoint Protection, E-Mail-Security, Multifaktor-Authentifizierung, moderne Monitoring-Lösungen und vieles mehr. Die technische Basis ist in vielen Fällen solide. Dennoch gelingt es Angreifenden immer wieder, in Organisationen einzudringen. Der entscheidende Faktor dabei ist häufig der Mitarbeitende selbst. 

Angreifende wissen genau, dass technische Schutzmechanismen in den letzten Jahren deutlich besser geworden sind. Deshalb zielen viele Angriffe nicht primär auf Schwachstellen in der Infrastruktur, sondern auf Schwachstellen im Verhalten. Phishing-Mails sind heute täuschend echt, gespickt mit realen Unternehmensbezügen, aktuellen Projekten oder sogar öffentlich verfügbaren Informationen aus sozialen Netzwerken. Mit KI-gestützten Methoden lassen sich personalisierte Nachrichten oder sogar Deepfake-Anrufe erzeugen, die Vertrauen schaffen und an einer sensiblen Stelle Druck aufbauen. 

Laura: Und dann handeln wir unbedacht?

Ja. Der Mensch wird so zur Brücke ins Unternehmen – und das hat nichts mit mangelnder Intelligenz zu tun, sondern mit psychologischen Prinzipien. Angriffe setzen gezielt auf Stress, Hilfsbereitschaft, Autorität oder Neugier. 

Hinzu kommt ein weiterer Aspekt: Sicherheit ist kein statischer Zustand. Angriffe und Bedrohungen entwickeln sich permanent weiter. Wenn Schutzmaßnahmen nicht kontinuierlich überprüft, angepasst und geschult werden, entsteht eine Lücke zwischen Bedrohung und Verteidigung. 

Laura: Wie lässt sich das verhindern? 

Mit Awareness-Trainings. Es geht hierbei nicht darum, Mitarbeitende zu kontrollieren oder Angst zu erzeugen, sondern darum, sie zu befähigen die erste Verteidigungslinie zu sein. Regelmäßige Schulungen, praxisnahe Phishing-Simulationen und eine offene Sicherheitskultur sorgen dafür, dass Risiken frühzeitig erkannt und gemeldet werden. 

Moderne IT-Sicherheit besteht daher aus drei Säulen: Technologie, Prozesse und Menschen. Erst wenn alle drei ineinandergreifen, entsteht ein wirklich belastbares Sicherheitsniveau. Und genau deshalb sind Investitionen in Awareness und Sicherheitskultur heute genauso wichtig wie Investitionen in Technologie. 

Was ist euer persönlicher Rat an Unternehmen, die eurer Ansicht nach noch nicht genug für ihre Sicherheit tun?

Nicht warten, bis etwas passiert. Viele Unternehmen beschäftigen sich erst dann intensiv mit IT-Sicherheit, wenn bereits ein Sicherheitsvorfall eingetreten ist. Dann wird es nicht nur teuer, sondern auch existenziell riskant. 

Man sollte sich ehrlich Fragen, ob das eigene Unternehmen Angriffe nicht nur verhindern, sondern auch frühzeitig erkennen und aktiv abwehren kann. Prävention allein reicht heute nicht mehr aus. Angreifende finden früher oder später einen Weg – entscheidend ist, wie schnell ein Angriff entdeckt und eingedämmt wird.

Genau hier kommt ein Security Operations Center (SOC) ins Spiel. Ein professionelles SOC überwacht Systeme rund um die Uhr, korreliert sicherheitsrelevante Ereignisse und reagiert im Ernstfall sofort. Für viele mittelständische Unternehmen ist ein eigenes 24/7-SOC jedoch personell und wirtschaftlich kaum darstellbar. 

Deshalb empfehlen wir häufig einen Managed Service-Ansatz – beispielsweise mit Sophos Managed Detection and Response. Hier arbeiten weltweit hochspezialisierte Security-Analystinnen und Analysten permanent daran, Bedrohungen zu identifizieren, Angriffe zu analysieren und, wenn nötig, aktiv einzugreifen. Das bedeutet: Es werden nicht nur Alarmmeldungen erzeugt, sondern es findet eine echte Reaktion statt. Im Ernstfall werden so schnellstmöglich Systeme isoliert, Angriffswege geschlossen und konkrete Handlungsempfehlungen ausgesprochen.

Mein Rat an Unternehmen lautet daher:
Schaffen Sie Transparenz. Es muss klar definiert sein, wer im Ernstfall was tut – und das in Minuten, nicht in Tagen. Beziehen Sie die Menschen mit ein, denn Technologie ohne Awareness bleibt lückenhaft. 

Und zu guter Letzt: eine Kontinuierliche Entwicklung. IT-Sicherheit ist kein Projekt mit Enddatum, sondern ein Prozess. Wer heute in strukturierte Sicherheitsstrategien, ein starkes Monitoring und professionelles Incident Response investiert, schützt nicht nur seine IT, sondern die gesamte Zukunftsfähigkeit seines Unternehmens. 

Ich stimme Daniel zu. Man sollte langfristig sowie strategisch planen. Man kann davon ausgehen, dass es einen eher morgen als in einem Jahr trifft – und dann sind die Konsequenzen dramatisch. Ein hohes Niveau an Sicherheit kostet eine Menge Geld. Ein Angriff führt zu einem Ausnahmezustand, der dem Unternehmen dann jegliche Handlungsmöglichkeit nimmt. Die Kundschaft wartet und verliert das Vertrauen, die Konkurrenz gewinnt an Marktchancen.

Um es kurz zu sagen: mit Managed Detection & Response schützt sich ein Unternehmen effizient vor Angriffen, die mit ungeplanten Kosten einhergehen.

Ich möchte keine Panik verbreiten – viel lieber möchte ich gemeinsam mit unseren Kundinnen und Kunden daran arbeiten, das Risiko und vor allem die Auswirkungen auf ein Maß zu reduzieren, bei dem man ruhig schlafen kann.

Vielen Dank für eure intensiven Einblicke. Ich glaube, wir haben jetzt einen guten Eindruck davon erhalten, welche Konsequenzen Unternehmen erwarten, wenn man mit dem Thema leichtfüßig um geht.