Der schonungslose Ablauf: Wie die „Gentlemen” arbeiten

Die Gentlemen-Ransomware funktioniert nach einem kalt kalkulierten Plan. Bevor auch nur eine einzige Datei verschlüsselt wird, räumt sie das Spielfeld auf – und diese Phase ist für Sie und die Möglichkeit zu intervenieren entscheidend.

Das Windows-Defender-Manöver

Die Malware deaktiviert zunächst die Echtzeit-Schutzfunktion von Microsoft Defender, fügt sich selbst und die C:-Festplatte der Ausschlussliste hinzu und löscht relevante Sicherheitsprotokolle. Das bedeutet: Der Defender schaut aktiv weg von dem, was gerade passiert.

Das ist perfide, weil es schnell, leise und hoch effizient geht – für die Hacker.Für Ihre Mitarbeiter sieht im Moment nichts verdächtig aus, da der Defender ja noch läuft. Nur eben … nicht mehr aktiv.

Das Backup-Desaster

Parallel dazu greift die Malware Ihr Backup-System an. Dabei werden alle mit Backup-Services verknüpften Prozesse und Dienste gestoppt, insbesondere:

• Veeam-Backup-Services (falls Sie Veeam nutzen).
• Acronis-Agenten
• andere Enterprise-Backup-Produkte
• Datenbankservices, die regelmäßige Backups auslösen.

Um das Ganze noch zu verschlimmern, löscht die Malware alle Volume Shadow Copies (VSC), also die automatisierten Schnappschüsse, die Windows ständig erstellt. Das ist Ihre letzte Rettungsleine, wenn normale Backups fehlschlagen.

Das Ergebnis: Backups existieren möglicherweise noch auf der Festplatte, aber Sie können sie nicht einfach wiederherstellen, da die zuständigen Dienste deaktiviert sind.

Die Spurenverwischung

Die Malware löscht dann auch noch Event Logs, den PowerShell-Verlauf, RDP-Sitzungsprotokolle und Prefetch-Dateien. Für die IT bedeutet das: Wenn die Verschlüsselung startet, stehen keine Forensik-Daten mehr zur Verfügung, um zu verstehen, wie der Angreifer in das System eingedrungen ist und wie er vorgegangen ist. Diese Informationen wären jedoch notwendig, um einen Rettungsversuch unternehmen zu können.

Die Verschlüsselung selbst kombiniert Curve25519 (elliptische Kurvenkryptografie) mit ChaCha20 – das ist militärische Sicherheit. Jede Datei erhält einen eindeutigen Schlüssel. Ohne den privaten Schlüssel des Angreifers ist eine Entschlüsselung nicht möglich.

Warum das funktioniert: Der technische Hintergrund

Die Gentlemen nutzen ein Ransomware-as-a-Service-(RaaS)-Modell, das seit September 2025 Affiliates rekrutiert. Das bedeutet, dass es sich um ein professionell betriebenes Ökosystem handelt und nicht um einen einzelnen Hacker im Keller.

Besonders beeindruckend ist die Netzwerk-Ausbreitungsfähigkeit. Die Malware nutzt bis zu 21 verschiedene Techniken gleichzeitig, um von einem System zum nächsten zu springen. Wenn Sie nicht alle blocken können, dann haben Sie ein Problem, denn dem Angreifer reicht eine ungeblockte Methode.

Die Verschlüsselung selbst kombiniert Curve25519 (elliptische Kurvenkryptografie) mit ChaCha20 – das ist militärische Sicherheit. Jede Datei erhält einen eindeutigen Schlüssel. Ohne den privaten Schlüssel des Angreifers ist eine Entschlüsselung nicht möglich.

Das eigentliche Gift ist die doppelte Erpressung: Die Angreifer verschlüsseln nicht nur Ihre Dateien, sondern stehlen sie vorher. Wenn Sie nicht zahlen, drohen sie mit der Veröffentlichung.

Das Eingangstor: Hier kommen die Angreifer herein.

Hier sind die typischen Wege, wie die Angreifer Zugang erhalten:

• Phishing und Malicious E-Mails (37 %)
• Ausgenutzte Sicherheitslücken (32 %) – oft in Firewalls und VPN-Appliances
• Gestohlene oder gebrutete Anmeldedaten (23 %) – besonders für VPN und OWA/M365

Das Interessante dabei ist: Das ist kein High-Tech-Einstieg. Hacker nutzen häufig das, was Sie bereits haben: Ihre eigenen Anmeldedaten. Von dort aus eskalieren sie Privilegien und verbreiten sich.

Was ist zu tun? Die Maßnahmen, die wirklich zählen

Viele IT-Leiter denken: „Ein gutes Backup ist genug.” Das ist falsch, denn in diesem Fall ist das Backup selbst das primäre Ziel und nicht die Dateien, die eigentlich durch das Backup bewahrt werden sollen.

1. Die Backup-Architektur reparieren

Immutable (unveränderliche) Backups sind jetzt Pflicht, das bedeutet:

• Backups müssen so konfiguriert sein, dass selbst ein gehackter Admin-Account sie nicht löschen oder verändern kann.
• Sie sollten offline oder in einer isolierten Cloud-Region gespeichert sein.
• Sie müssen regelmäßig getestet und verifiziert werden, denn „Backups existieren” ist nicht gleich „Backups funktionieren”.

Die 3-2-1-Regel ist Standard: – 3 Kopien Ihrer Daten, davon 2 auf verschiedenen Speichermedien und 1 komplett offline.

2. Access Controls aufdrehen

• MFA auf allen Backup-Management-Accounts – Punkt. Keine Ausnahmen.
• Principle of Least Privilege: Admin-Zugang nur für die, die ihn wirklich brauchen.
• Regelmäßige Credential-Rotation

Die Gentlemen nutzen häufig gestohlene oder gebrutete Zugangsdaten. Wenn Sie kein starkes Identitätsmanagement haben, ist Ihre Backup-Konsole das letzte Schloss, das Hacker knacken.

3. Defense-in-Depth: Mehrschichtig denken

• EDR im Block-Mode aktivieren (Endpoint Detection & Response, die auch blockt und nicht nur alarmiert)
• Behavioral Detection auf anomale Massenaktivitäten konfigurieren: Tausende von verschlüsselten Dateien um 3 Uhr nachts? Das sollte sofort geblockt werden.
• Attack Surface Reduction Rules nutzen (bei Microsoft Defender XDR).
• Tamper Protection aktivieren, sodass Prozesse den Defender nicht deaktivieren können.

4. Netzwerk-Segmentierung

Die Gentlemen breiten sich aggressiv aus.
Wenn Sie Ihr Netzwerk segmentieren, beachten Sie:

• Backup-Systeme separat vom Produktiv-Netzwerk
• Kritische Datenbanken in eigenen Segmenten
• Engmaschiges Monitoring zwischen den Segmenten

So wird ein Befall auf einem System nicht sofort zu einem Befall überall.

5. Incident Response und Wiederherstellung trainieren

Die beste Abwehr nützt nichts, wenn Sie nicht üben, zu reagieren.

• Regelmäßige Recovery-Tests durchführen (nicht nur die Backup-Integrität prüfen, sondern ein System vollständig von Backup wiederherstellen).
• Wer entscheidet, was zu tun ist? Dieser Prozess muss vor dem Incident definiert sein.
• Alle Rollen sollten gemeinsam üben, nicht isoliert, um zu erfahren, wie echte Zusammenarbeit zwischen IT-Sicherheit, Infrastruktur und Backup-Team aussieht.

Unser Vorgehen:

Falls Sie dieses Szenario befürchten und Hilfe benötigen, können Sie sich gerne an uns wenden.

Wir beginnen mit Konzeption und Analyse: Wir betrachten Ihre Backup-Architektur, Ihre Zugriffskontrollen, Ihre digitale Reife und IT-Landschaft, Ihre Netzwerksegmentierung und Ihre Dokumentation. Wir ermitteln, wo Sie stehen und wo sich echte Lücken befinden.

In einem Workshop arbeiten wir gemeinsam mit Ihrem Team: Welche Szenarien sind für Sie die Worst-Case-Fälle? Wie sieht ein Wiederherstellungsplan aus, den Sie in vier Stunden und nicht in vier Tagen umsetzen können? Welche Rollen und Entscheidungswege benötigen Sie?

Das Ergebnis ist ein für Ihr Unternehmen passendes Konzept – nicht dasselbe wie bei dem Unternehmen um die Ecke, sondern maßgeschneidert. Gerne unterstützen wir Sie auch beim Change-Management und der User-Adoption und helfen Ihnen dabei, die Maßnahmen in Ihrem Unternehmen dauerhaft und effektiv zu implementieren.

Die Gentlemen mögen aggressiv sein, aber mit dem richtigen Schutzschild sind Sie schneller.

Sarah Weber

Strategische IT-Beraterin

Für Governance ist Verständnis erforderlich: für die Arbeitsweise, die Prozesse und die Gründe.

sarah.weber@digiXperts.it

Ingo Höckenschnieder

Strategischer IT-Berater und Gründer von HOLAGIL

Menschen – und sie mitzunehmen – sind der wesentliche Faktor jeder Veränderung.

ingo.hoeckenschnieder@digiXperts.it

Sicher, du hast schon von Custom GPTs gehört. Das sind die genialen, angepassten ChatGPT-Versionen, mit denen sich der Kundenservice optimieren, Daten schneller aufbereiten und Texte generieren lassen. Eine großartige Sache. Aber Achtung: Sie sind auch eine gigantische Angriffsfläche – und das ist nur die eine Seite des Problems.

Im Oktober 2026 haben Sicherheitsforscher von Huntress eine Kampagne aufgedeckt, die zeigt, wie gefährlich die unkontrollierte Nutzung von KI-Tools sein kann. Angreifer hatten Custom GPTs mit Namen wie „Plus 5.6” erstellt und über Google-Anzeigen verbreitet. Das Ziel war es, Nutzer auf gefälschte Seiten zu locken, wo die Custom GPTs über PowerShell-Befehle einen Fernzugriffstrojaner installieren sollten. Die Täter waren dabei auffallend raffiniert, denn sie nutzten die Glaubwürdigkeit von OpenAI-Domains, um ihre Opfer zu täuschen.

Das Problem: Diese Angreifer brauchten nicht einmal Exploit-Zero-Days oder komplexe Technologie. Sie brauchten nur Vertrauen. Und genau darin steckt die echte Gefahr.

Obwohl Custom GPTs am 11. Dezember 2026 im neuen Gewand daher kommen und Plugins heißen, ändert das nach unserem Kenntnisstand nichts an den hier beschriebenen Problematiken.

Warum Custom GPTs plötzlich zum Sicherheitsrisiko werden

Custom GPTs klingen nach der perfekten Lösung: Du passt ChatGPT an deine Anforderungen an, integrierst dein Wissen und deine Dateien – und schon haben deine Mitarbeiter:innen einen intelligenten Assistenten. Da OpenAI das Ganze hostet, muss es sicher sein, oder?

Nein, das ist genau der Punkt, den viele Geschäftsführer und IT-Leiter – von den Mitarbeitern einmal ganz abgesehen – nicht tiefgründig genug hinterfragen.

Die Realität sieht wie folgt aus: Aktuelle Sicherheitsforschung zeigt, dass etwa 95 % der Custom GPTs unzureichende Sicherheitsmaßnahmen haben. Noch schlimmer: Über 98,8 % sind anfällig für Prompt-Injection-Angriffe, bei denen Angreifer die Anweisungen des GPTs extrahieren können. Deine proprietären Hinweise, dein Know-how, deine Firmendaten – alles in der Hand Fremder. Die anderen 1,2 %? Die fallen bei etwas mehr Aufwand ebenfalls durch das Raster. Kein einziger Custom GPT hat sich als sicher erwiesen.

Die Huntress-Kampagne zeigt jedoch, dass es nicht nur um die Kompromittierung deiner GPTs geht. Es geht auch darum, dass Angreifer deine Mitarbeiter als Werkzeug nutzen, um ins Unternehmen zu gelangen. Genau das ist hier passiert. Ein Mitarbeiter der Personalabteilung klickte auf eine Anzeige für einen „hilfreich aussehenden Custom GPT“, landete auf einer gefälschten Cloudflare-Verifizierungsseite – und schon saß ein Trojaner mit Fernzugriff, Audio- und Kamera-Zugriff, voller Systemkontrolle und der Fähigkeit, weitere Malware nachzuladen auf seinem Desktop.

Das Tückische daran ist, dass der gesamte Infektionsprozess teilweise im Arbeitsspeicher abläuft oder dass legitime, signierte Programme als Tarnung genutzt werden. EDR-Systeme erkennen das oft nicht sofort. Wenn die Persistenz einmal hergestellt ist (Registry-Einträge, geplante Aufgaben), wird es für dein SOC (Security Operations Center, ein üblicherweise ausgelagertes Team von IT-Sicherheitsexperten) zur Sisyphusarbeit, das wieder aus deinem Unternehmensnetzwerk zu entfernen.

Die versteckte Gefahr: KI als Datenleck im eigenen Haus

Aber hier wird es noch wichtiger für dich: Das externe Sicherheitsrisiko ist nicht das Schlimmste. Am schlimmsten ist es, wenn Unternehmen KI-Tools nutzen, ohne zu wissen, was mit ihren Daten passiert.

Ich habe das selbst schon erlebt – und das, obwohl kein konkreter Angriff stattgefunden hat. Ein mittelständischer Personalvermittler wollte die Bewerbungsunterlagen seiner Kunden mit ChatGPT aufbereiten – eigentlich eine coole Idee, um schneller professionelle Lebensläufe zu erstellen. Doch niemand fragte: „Wo landen diese Daten eigentlich? Wer hat Zugriff? Werden sie zum Training von KI-Modellen genutzt?”

Das Ergebnis war mehr als schmerzhaft: Persönliche Daten der Kandidaten – Kontaktinformationen, Qualifikationen und teilweise sogar Gesundheitsinformationen – wurden über die KI-APIs gesendet und befanden sich damit außerhalb der Kontrolle des Unternehmens. Im schlimmsten Fall konnten diese Daten von Dritten abgegriffen oder zum Training genutzt werden. Ein Datenschutzskandal der Marke „Hätten wir vorher drüber nachdenken sollen“.

Das Kernproblem ist, dass Unternehmen KI-Tools verwenden, als wären es neutrale Werkzeuge. Sie sind es nicht. Jeder KI-Einsatz ist eine Vorgabe zur Datenverarbeitung, in der Regel völlig außer Haus – und daher muss man wissen, was man tut.

Die fehlenden Elemente: Bewusstsein und Governance

Hier ist die unbequeme Wahrheit: Es handelt sich nicht nur um ein technisches oder ein Security-Problem. Es ist auch kein reines Awareness-Problem, das sich durch eine Schulung lösen lässt. Es ist ein Governance-Problem.

Governance bedeutet, Fragen zu stellen, bevor die Tür (in die falsche Richtung) aufgeht.

• Welcher Geschäftsprozess soll mithilfe von KI verbessert werden?
• Welche Daten fließen in die KI?
• Wem gehören diese Daten?
• Was macht die KI damit (Training, Speicherung, Verarbeitung)?
• Sind die Daten verschlüsselt?
• Ist dafür eine rechtliche Grundlage vorhanden (DSGVO, KI-Verordnung)?
• Wer trägt die Verantwortung, wenn es schiefgeht?

Viele Mittelständler machen das nicht. Sie laden einen Custom GPT aus dem Store, trainieren ihn mit internen Dokumenten und merken erst zu spät, dass sie gerade ihre Betriebsräte, Gehälter oder Kundenverträge einer Cloud-Anwendung anvertraut haben, deren Datenschutzpraktiken sie nicht kennen.

Die EU-KI-Verordnung (AI Act) ist seit August 2026 in der Transparenz- und Dokumentationspflicht voll wirksam. Das heißt: Du musst dokumentieren, welche KI-Systeme du nutzt, wie sie funktionieren und welche Risiken sie mit sich bringen. Verstöße können bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes kosten.

Die DSGVO war die erste Welle. NIS-2 und die KI-Verordnung sind die zweite. Und sie überlappen sich. Eine Datenschutz-Folgenabschätzung (DSFA) nach DSGVO ist oft gleichzeitig eine Risikoabschätzung nach AI Act.

Das bedeutet konkret für dich: Bevor du einen Custom GPT mit Kundendaten trainierst, musst du:

1. Feststellen: Welche Daten gehen rein? (Kundennamen, E-Mails, Vertragsdetails?)
2. Bewerten: Ist das ein hohes oder niedriges Risiko?
3. Dokumentieren: Was hast du überlegt? Welche Maßnahmen hast du getroffen?
4. Überwachen: Wie überprüfst du, dass die KI sich verhält, wie sie soll?
5. Reagieren: Wenn der GPT kompromittiert wird oder Daten lecken – was dann?

Wie Sicherheit und Datenschutz zusammenhängen – und warum Change Management entscheidend ist

Deine Mitarbeiter sind nicht blöd, wenn sie auf so einen GPT klicken. Sie sind nur nicht geschult. Sie wissen nicht, dass:

• Nicht alle Custom GPTs seriös sind.
• eine schöne Google-Anzeige nicht bedeutet, dass das Tool vertrauenswürdig ist.
• ein PowerShell-Prompt „zur Verifizierung” nichts mit legitimen Websites zu tun hat.
• Sie mit bestimmten KI-Tools automatisch sensible Daten weitergeben.

Das heißt konkret:

• Schulung: Deine Team-Mitarbeitenden brauchen ein Verständnis dafür, was KI kann und wo die Grenzen sind.
• Richtlinien: Es reicht nicht, Custom GPTs zu erlauben. Du brauchst klare Regeln: Welche GPTs sind erlaubt? Welche Daten dürfen verwendet werden?
• Monitoring: Welche KI-Tools nutzen deine Mitarbeitenden wirklich? Das musst du sehen.
• Kommunikation: Wenn etwas schiefgeht – wie bei der Huntress-Kampagne –, musst du schnell und transparent reagieren können.

Das Ganze ist also kein reines IT-Security-Thema. Hier spielt die Zusammenarbeit zwischen den Abteilungen IT, HR, Recht, den verschiedenen Fachbereichen und der Geschäftsleitung eine Rolle. Es umfasst nicht nur eine IT-Governance, sondern die Governance der Zusammenarbeit im Unternehmen.

Praktische Warnsignale – Was du jetzt überprüfen solltest

Bei der Analyse der Kampagne hat Huntress folgende Indikatoren für eine Infektion identifiziert. Diese Informationen sind aber auch sehr hilfreich, um allgemein zu verstehen, was schiefläuft:

• PowerShell startet msiexec.exe im stillen Modus. Das ist typisch für Malware-Installationen, nicht für legitime Prozesse.
• Signierte Anwendungen starten aus ungewöhnlichen Pfaden (z. B. %LOCALAPPDATA%\Programs). Das ist ein klassisches Tarnungsmuster.
• Registry-Einträge und geplante Aufgaben mit seltsam vertrauten Namen: Angreifer verwenden oft harmlos klingende Namen wie „Canon Configuration Reader” oder „Stardock Config Service”.
• Verschlüsselte Dateisysteme in Temp-Ordnern: Das war besonders raffiniert. Die Angreifer bauten ein eigenes Archiv mit 1 128 Einträgen, um Persistenz und weitere Payloads zu verstecken.

Für dich als Geschäftsführer oder IT-Leitung bedeutet das:

Was ist zu tun? Der Fahrplan

Die Antwort kann nicht lauten, alle Custom GPTs oder KI generell zu verbieten. Ihre Nutzung erfordert jedoch Struktur und Wissen.

Dein Maßnahmenplan:

1. Bestandsaufnahme: Welche KI-Tools nutzen wir bereits? Welche sind geplant? Welche Daten verarbeiten sie?
2. Risikoklassifizierung: Handelt es sich um Hochrisiko-Systeme (z. B. HR-Tools, Kundenanalysen) oder um Low-Risk-Systeme (z. B. Textformatierung)?
3. Governance etablieren: Es müssen klare Richtlinien für den KI-Einsatz erstellt werden: Wer darf was, mit welchen Daten und zu welchem Zweck?
4. Technische Maßnahmen:
   • Zugriffsschutz auf KI-APIs
   • Logging der KI-Nutzung
   • Regelmäßige Sicherheitsprüfungen
   • Segmentierung sensibler Daten
5. Schulung und Change Management:
   • Awareness-Kampagnen für Mitarbeiter
   • Regelmäßiges Training zu neuen Bedrohungen
   • Klare Kommunikation über erlaubte und verbotene Tools
6. Compliance-Dokumentation:
   • DSFA für KI-Projekte mit hohem Risiko
   • AI-Act-Compliance bis zum 2. Dezember 2027
   • DSGVO-konforme Verarbeitungsverträge mit KI-Anbietern

Unser Vorgehen

Ja, ein solches Governance-Projekt inklusive Change-Management, User Adoption und IT-Härtung ist komplex. Und ja, es braucht Zeit. Aber es ist nicht optional, sondern aufgrund des Cyber Resilience Acts seit dem 11.09. Pflicht – und es schützt dein Unternehmen.

Wenn du Fragen hast oder Beratung oder Projektunterstützung benötigst, sind wir für dich da. Unser Vorgehen ist klar und nachvollziehbar. Zunächst erstellen wir ein Konzept, in dem wir die Unternehmensprozesse und die IT-Landschaft betrachten, den digitalen Reifegrad und die aktuellen KI-Einsätze ermitteln und gemeinsam Chancen und Risiken ausloten.

In Workshops mit den Fachbereichen durchlaufen wir einen strukturierten Fragenkatalog. Wo soll KI eingesetzt werden? Welche Daten sind betroffen? Welche Governance-Regeln brauchen wir? Welche technischen Maßnahmen sind nötig?

Das Ergebnis ist ein Governance-Konzept, das genau zu deinem Unternehmen passt – kein generischer „Best Practice“-Plan, sondern eine maßgeschneiderte Lösung.

Wir unterstützen euch auch beim Change Management: Wir schulen eure Mitarbeitenden, kommunizieren die neuen Regeln klar und – ganz wichtig – passen kontinuierlich an, wenn sich die Bedrohungslage ändert.

Unser Ziel: KI nutzen, ohne die Kontrolle zu verlieren. Das ist möglich. Es braucht aber einen Plan.

Sarah Weber

Strategische IT-Beraterin

Für Governance ist Verständnis erforderlich: für die Arbeitsweise, die Prozesse und die Gründe.

sarah.weber@digiXperts.it

Ingo Höckenschnieder

Strategischer IT-Berater und Gründer von HOLAGIL

Menschen – und sie mitzunehmen – sind der wesentliche Faktor jeder Veränderung.

ingo.hoeckenschnieder@digiXperts.it

Die entscheidende Frage lautet deshalb nicht nur: „Wie verhindern wir einen Angriff?” Sondern auch: „Wie bleibt unser Unternehmen handlungsfähig, wenn wichtige Systeme ausfallen oder Daten nicht mehr vertrauenswürdig sind?”

IT-Sicherheit und Geschäftskontinuität gehören zusammen

Lange wurde Business Continuity vor allem mit Notfallplänen, Ausweicharbeitsplätzen und Wiederanlaufzeiten in Verbindung gebracht. Doch heute hängen Geschäftsprozesse eng mit Cloud-Diensten, Identitäten, Softwareanbietern und digitalen Lieferketten zusammen. Ein Ausfall bei einem Dienstleister oder eine kompromittierte Benutzerkennung kann deshalb genauso schnell den Betrieb beeinträchtigen wie ein Angriff auf die eigene Infrastruktur.

Cyberresilienz verbindet Sicherheitsdenken mit der Frage, wie das Unternehmen auf Störungen reagiert und sich davon erholt. Das bedeutet, dass nicht nur Systeme, sondern auch Prozesse, Abhängigkeiten, Verantwortlichkeiten und die Fähigkeit, Entscheidungen unter Druck zu treffen, betrachtet werden müssen. Sicherheit wird damit zu einem Teil der Unternehmenssteuerung und kann nicht vollständig an die IT delegiert werden.

Erst verstehen, was das Unternehmen nicht verlieren darf

Eine sinnvolle Konzeption beginnt nicht mit einer Liste möglicher Sicherheitsprodukte. Sie beginnt mit dem Geschäft: Welche Leistungen müssen unbedingt weiterlaufen? Welche Prozesse sind dafür notwendig? Welche Daten und Systeme werden benötigt und von welchen externen Anbietern sind sie abhängig?

Erst diese Fragen machen die tatsächlichen Risiken sichtbar. So kann es sein, dass nicht der größte Serverausfall das kritischste Szenario darstellt, sondern der Verlust des Zugriffs auf zentrale Identitäten, ein längerer Ausfall eines Cloud-Dienstes oder die Unsicherheit, ob Daten nach einem Angriff noch korrekt sind. Entscheidend ist, die möglichen Folgen für den Betrieb, die Kunden, die Mitarbeitenden und die Lieferfähigkeit zu verstehen.

Risiken: Abhängigkeiten, Unklarheit und trügerische Sicherheit

Viele Risiken entstehen nicht durch eine einzelne Schwachstelle, sondern durch miteinander verbundene Abhängigkeiten. Ein SaaS-Anbieter, ein IT-Dienstleister, eine Schnittstelle oder ein einzelnes Administratorkonto kann zum Engpass werden. Wenn solche Abhängigkeiten bei der Planung nicht berücksichtigt werden, mag ein Notfallkonzept auf dem Papier vollständig erscheinen, im Ernstfall ist es das aber nicht.

Ein weiteres Risiko ist unklare Verantwortung. Wer darf über den Weiterbetrieb entscheiden? Wer bewertet die Auswirkungen auf Kunden und Lieferanten? Wer koordiniert IT, Fachbereiche, Kommunikation und Geschäftsführung? Werden diese Fragen erst während eines Vorfalls geklärt, kostet das Zeit und erschwert abgestimmtes Handeln. Selbst ein vorhandenes Konzept bietet nur begrenzt Sicherheit, wenn unklar ist, ob es unter realistischen Bedingungen funktioniert.

Möglichkeiten: Resilienz stärkt mehr als nur die IT

Eine durchdachte Cyberresilienz kann Ausfallzeiten verringern und dabei helfen, wichtige Leistungen gezielt zu priorisieren. Zudem schafft sie ein gemeinsames Verständnis dafür, welche Risiken das Unternehmen trägt und welche Maßnahmen im Verhältnis dazu sinnvoll sind. Das ist besonders für mittelständische Unternehmen wichtig, denn nicht jedes Risiko lässt sich vollständig verhindern. Im Ernstfall ist es jedoch entscheidend, vorbereitet zu sein und zu wissen, worauf es zuerst ankommt.

Hinzu kommt ein organisatorischer Nutzen. Wenn Geschäftsführung, IT und Fachbereiche gemeinsam über kritische Prozesse sprechen, werden Verantwortlichkeiten und Abhängigkeiten oft klarer – unabhängig von einem Cyberangriff. Lieferantenbeziehungen, Notfallkommunikation und Wiederanlaufplanung werden dadurch nicht nur sicherheitsrelevanter, sondern auch geschäftlich besser steuerbar.

NIS-2 als Anlass, nicht als Ersatz für gute Planung

NIS-2 unterstreicht, dass Cybersicherheit eine Führungsaufgabe ist. Sie verlangt einen systematischen Umgang mit Risiken und wirksame Maßnahmen. Eine reine IT-Perspektive greift dafür zu kurz. Gleichzeitig sollte die Richtlinie nicht dazu führen, dass Unternehmen lediglich Dokumente für die Ablage produzieren. Ein Sicherheitskonzept ist nur dann hilfreich, wenn es zur tatsächlichen Organisation passt und im Alltag Orientierung gibt.

Der sinnvolle Ausgangspunkt ist daher eine ehrliche Bestandsaufnahme: Welche Prozesse sind für das Unternehmen besonders wichtig? Welche digitalen und externen Abhängigkeiten bestehen? Wo liegen die größten Auswirkungen, wenn ein System oder Dienst ausfällt? Welche Entscheidungen müssen im Krisenfall schnell getroffen werden? Die Antworten darauf verbinden Compliance mit konkreter betrieblicher Resilienz.

Was ist zu tun?

• Kritische Geschäftsprozesse und die dafür erforderlichen Systeme, Daten und Dienstleister identifizieren.
• Risiken nach ihren möglichen Auswirkungen auf den Betrieb priorisieren – und nicht nur nach technischer Wahrscheinlichkeit.
• Verantwortlichkeiten und Entscheidungswege zwischen Geschäftsführung, IT und Fachbereichen klären.
• Wiederanlauf- und Notfallplanung mit realistischen Szenarien verbinden.
• Bestehende Konzepte darauf prüfen, ob sie im Alltag verständlich und im Ernstfall anwendbar sind.
• Eine priorisierte Roadmap erstellen, die Lücken, Verantwortliche und nächste Schritte sichtbar macht.

Unser Vorgehen:

Brauchen Sie dabei Hilfe? Wenden Sie sich gerne an uns. Unser Vorgehen ist strukturiert und eindeutig definiert. Wir beginnen mit einer Analyse Ihrer Prozesse, Dokumentationen und Arbeitsweisen. Dabei betrachten wir, welche Leistungen für Ihr Unternehmen kritisch sind, von welchen Systemen und Dienstleistern sie abhängen und wie Ihr aktueller Umgang mit Risiken und Notfällen aussieht.

In einem gemeinsamen Workshop strukturieren wir die relevanten Fragen, klären Perspektiven aus Geschäftsführung, IT und Fachbereichen und skizzieren mögliche Lösungswege. Daraus entsteht ein auf Ihr Unternehmen zugeschnittenes Konzept mit einer nachvollziehbaren Priorisierung.

Gerne unterstützen wir Sie auch beim Change-Management und bei der User-Adoption, damit die vereinbarten Maßnahmen nicht in der Dokumentation bleiben, sondern dauerhaft und wirksam in Ihrem Unternehmen verankert werden.

Sarah Weber

Strategische IT-Beraterin

Für Governance ist Verständnis erforderlich: für die Arbeitsweise, die Prozesse und die Gründe.

sarah.weber@digiXperts.it

Ingo Höckenschnieder

Strategischer IT-Berater und Gründer von HOLAGIL

Menschen – und sie mitzunehmen – sind der wesentliche Faktor jeder Veränderung.

ingo.hoeckenschnieder@digiXperts.it

Das ist keine Panikmache, sondern Mathematik. Gartner hat eine unbequeme Wahrheit ausgerechnet, die viele KI-Enthusiasten lieber ignorieren würden. Die Einnahmelücke in der KI-Infrastruktur ist größer als manche nationale Haushalte.

Die Nachricht kurz zusammengefasst:

Bis 2030 benötigen KI-Betreiber insgesamt 8,5 Billionen Dollar Einnahmen, um ihre Kosten zu decken und eine angemessene Rendite (12 % ROIC) zu erwirtschaften. Realistisch werden sie aber nur etwa 3,6 Billionen Dollar einnehmen. Das Loch beträgt somit 4,9 Billionen Dollar. Die Konsequenz sind Abschreibungen auf Infrastruktur in Höhe von 3,5 Billionen Dollar, da diese schneller veraltet als erwartet. Zudem werden 80 % der Cloud-Neuanbieter vom Markt verschwinden oder übernommen.

Hier muss man klar warnen: Die Bilanzen und Zahlen sind eindeutig.

Warum das passiert – die kritische Analyse

Die Hardware-Realität: schneller kaputt als gedacht.

Wer glaubt, dass eine KI-Infrastruktur zehn Jahre hält, hat die rasante Entwicklungsgeschwindigkeit unterschätzt. GPU-Generationen wechseln mittlerweile alle 18–24 Monate. Eine H100 von heute ist in drei Jahren nicht mehr State of the Art – und in fünf Jahren schlicht unrentabel. Das bedeutet, dass massive Hardware-Investitionen schneller abgeschrieben werden müssen als kalkuliert.

Für Unternehmen, die auf KI-Services setzen, ist das relevant. Welche Anbieter haben genug finanzielle Rücklagen, um diese Abschreibungen zu tragen?

Die Hyperscaler dominieren, während alle anderen verlieren.

Amazon, Google, Microsoft und Apple haben einen entscheidenden Vorteil: Sie verdienen mit vielen anderen Dingen Geld. Cloud-Storage, Enterprise-Software, Werbung, Telefone. Ihre KI-Infrastruktur ist ein Rädchen im großen Getriebe und nicht das ganze Geschäft. Sie können Verluste in einem Bereich durch Gewinne in anderen kompensieren.

Reine KI-Cloud-Anbieter hingegen? Die sitzen auf einer Kostenlawine. Sie haben gebaut, gehofft und investiert, ohne diversifizierte Einnahmequellen zu haben. Das ist kein Geschäftsmodell, sondern ein Hoffnungsgeschäft.

Die Konsequenz für Entscheider: Wenn Sie KI-Services von kleineren Anbietern nutzen oder planen, sollten Sie deren Finanzstabilität sehr genau prüfen. Ein Konkurs des Anbieters ist nämlich nicht nur ein IT-Problem, sondern ein existenzielles Risiko.

Die Rechnung passt nicht – und das wissen die Investoren längst.

Die Rechnung ist einfach: Wenn die Einnahmen dauerhaft unter den Kosten liegen, sind endlose Finanzierungsrunden nötig. Venture-Capital-Geld wird knapper. Kurskorrekturen werden unvermeidlich sein. Konsolidierung ist nicht mehr optional, sondern unvermeidlich.

Das bedeutet nicht, dass KI verschwindet, sondern dass sich die Landschaft radikal verändern wird. Der Wildrausch ist vorbei. Jetzt folgt die Marktbereinigung.

Was bedeutet das für dein Unternehmen?

Drei konkrete Punkte zum Mitnehmen:

1. Vendor-Lock-in-Risiken neu bewerten: Wenn ihr auf KI-Services von neuen Anbietern setzt, müsst ihr verschiedene Szenarien durchspielen. Was passiert, wenn dieser Anbieter übernommen wird? Was, wenn er Kapazitäten abbaut? Was, wenn die API-Stabilität sinkt? Diversifizierung ist nicht paranoid, sondern rational.
2. Kosten vs. echte Mehrwerte hinterfragen: KI-Projekte sind teuer geworden. Das liegt nicht nur an der Technologie, sondern auch an der Preisgestaltung der Infrastruktur. Wenn die Infrastrukturkosten unter Druck geraten, werden auch die Preise für eure KI-Services unter Druck geraten. Das ist eine Chance für euch – aber nur, wenn ihr wisst, wie ihr sie nutzt.
3. Nachhaltigkeit und Effizienz in den Fokus rücken: Wer bei der KI-Infrastruktur spart, spart auch Strom. Wer seine KI-Prozesse optimiert und nicht ständig herumexperimentiert, senkt Kosten und Umweltbelastung gleichzeitig. Das ist keine Geschichte des Verzichts – es ist eine Geschichte der Effizienz.

Die Realität sieht anders aus: Evolution statt Apokalypse.

Das ist nicht das Ende von KI. Es ist das Ende von unrealistischen Geschäftsmodellen. Die Hyperscaler werden KI-Services auch weiterhin anbieten, allerdings profitabler, konsolidierter und mit klarerem Fokus auf die Rentabilität. Kleinere Anbieter werden sich spezialisieren, zusammengehen oder vom Markt verschwinden.

Für euch bedeutet das: Jetzt ist der richtige Moment, um KI-Investitionen kritisch zu hinterfragen – nicht, um sie zu stoppen, sondern um sie intelligenter zu gestalten. Welche KI-Projekte bringen echten Mehrwert? Welche sind Spielereien? Welche Anbieter sind stabil? Wo könnt ihr Kosten sparen, ohne Innovation zu opfern?

Die Unternehmen, die diese Fragen jetzt beantworten, werden in zwei Jahren deutlich besser dastehen als diejenigen, die einfach weitermachen wie bisher.

Sarah Weber

Strategische IT-Beraterin

Für Governance ist Verständnis erforderlich: für die Arbeitsweise, die Prozesse und die Gründe.

sarah.weber@digiXperts.it

Ingo Höckenschnieder

Strategischer IT-Berater und Gründer von HOLAGIL

Menschen – und sie mitzunehmen – sind der wesentliche Faktor jeder Veränderung.

ingo.hoeckenschnieder@digiXperts.it

Zero-Click-Attacken sind die neue Generation von Cyberbedrohungen und machen die traditionelle Cybersicherheitsstrategie vieler Unternehmen obsolet. Während wir unseren Mitarbeitern seit Jahren einbläuen, „nicht auf verdächtige Links zu klicken”, lachen die Angreifer, denn genau das müssen sie nicht mehr.

Was ist ein Zero-Click-Angriff – und warum ist er so gefährlich?

Ein Zero-Click-Exploit infiziert dein Gerät, ohne dass du als Anwender irgendwelche Aktionen durchführen musst. Die Malware installiert sich selbstständig, wenn das System im Hintergrund arbeitet, etwa beim Empfang einer Nachricht, beim Verarbeiten eines Bildes oder beim Abspielen von Audiodateien.

Das Problem: Deine klassischen Abwehrmaßnahmen funktionieren nicht – Security-Awareness-Training hilft nicht, da der Mitarbeiter nichts merkt, Endpoint-Warnungen helfen nicht, da es keine verdächtige Benutzeraktion gibt, und User-Reports helfen nicht, da niemand weiß, dass er gehackt wurde. Das System lädt die Malware völlig unbemerkt, während der

Die Auswirkung auf Unternehmen – das unterschätzte Loch in deiner Governance

Für Mittelständler ist das eine Katastrophe. Warum? Weil Zero-Click-Attacken nicht nur einzelne Geräte infizieren, sondern dein gesamtes Sicherheitskonzept unterminieren.

Ein Gedankenexperiment: Ein Vorstandsmitglied erhält eine E-Mail mit einem Video und einer angehängten Audio-Datei. Das Gerät verarbeitet die Audio-Datei automatisch im Hintergrund (für die Vorschau, für die Transkription). Boom. Spyware ist installiert. Der Angreifer sitzt jetzt im Herzen deiner Führungsebene – er kann E-Mails abfangen, Verhandlungsgespräche mitschneiden, Verträge einsehen und MFA-Codes stehlen. Alles unbemerkt. (3,4)

Das ist kein theoretisches Szenario. Im Januar 2026 zeigten Google-Forscher, wie Schwachstellen in der Audioverarbeitung von Android-Geräten genau so ausgenutzt werden können. (4)

Warum treffen Zero-Click-Attacken Unternehmen besonders hart?

Verzögerte Erkennung: Wenn die Kompromittierung unbemerkt stattfindet, bemerkt man sie oft erst, wenn bereits Schaden entstanden ist. Das Problem: Du kennst dann weder den genauen Zeitpunkt des Angriffs noch das Ausmaß der Datenverluste – ein Compliance-Albtraum für regulierte Branchen.

Begrenzte forensische Sichtbarkeit: Die Angreifer arbeiten in verschlüsselten Kanälen und vertrauenswürdigen Systemprozessen. Logs sind minimal oder unauffällig. Oft kannst du nicht rekonstruieren, wann zugegriffen wurde und welche Daten exfiltriert worden sind.

Lateral Movement: Hat der Angreifer einmal Zugang zu deinem System, nutzt er die vertrauenswürdigen Verbindungen und Sessions, um sich in deinem Netzwerk auszubreiten. Eine kleine Kompromittierung kann schnell zu einem unternehmensweiten Datenleck führen.

Compliance und Haftung: In regulierten Industrien musst du Bußgelder zahlen und transparent machen, was passiert ist. Wenn du es aber selbst nicht weißt, wird’s teuer.

Aktuelle Beispiele: Das ist bereits Realität.

Das Unternehmen NSO verkauft die Pegasus-Spyware, eine Zero-Click-Waffe, an Regierungen. Apple-Geräte, Microsoft Outlook und WhatsApp wurden gehackt. Jedes Mal: Zero-Click. Jedes Mal unbemerkt. Im Juni 2026 wurde eine ChatGPT-Schwachstelle entdeckt, die als Zero-Click-Vektor missbraucht werden könnte. Das zeigt: Selbst vertrauenswürdige KI-Tools sind plötzlich angreifbar.

Was ist zu tun?

Stop mit der Illusion, dass Security ein rein technisches Problem ist.
Zero-Click-Attacken erfordern eine Governance-Antwort:

1. Patch-Management und zwar permanent: Jeden Tag, nicht jeden Monat. Zero-Click-Exploits nutzen bekannte Schwachstellen, für die bereits Patches existieren – aber nur, wenn diese auch installiert werden.
2. Netzwerk-Segmentierung: Nicht alles läuft auf einem Big-Bang-Netzwerk. Kritische Systeme, Management-Devices und reguläre User-Geräte müssen voneinander getrennt sein. Falls eine Kompromittierung stattfindet, begrenzt das die Ausbreitung.
3. Fortgeschrittene Endpoint-Security: Verhaltenserkennung und KI-gestützte Anomalieerkennung sind kein Nice-to-have mehr, sondern ein Muss. Du brauchst Tools, die verdächtige Aktivitäten im Hintergrund erkennen, die du nicht sehen kannst. 4. MFA überall, auch bei Zero-Click-Angriffen.
4. MFA überall, ja, auch bei Zero-Click-Angriffen: Ein Angreifer kann zwar Credentials stehlen, aber wenn er die MFA umgehen muss, wird es kompliziert. 5. Incident-Response-Pläne: Falls du gehackt wirst (keine Frage des Ob, sondern des Wann) – was machst du dann?
5. Incident-Response-Pläne: Falls du gehackt wirst – keine Frage des Ob, sondern des Wann – was machst du dann? Wer wird benachrichtigt? Wie forensizierst du? Das kann nicht im Notfall entschieden werden.

Sie brauchen Unterstützung

Viele Unternehmen haben keine Übersicht darüber, ob ihre Governance und technischen Maßnahmen gegen moderne Angriffsvektoren wie Zero-Click standhalten.

Wir beginnen mit einer umfassenden Konzeption und analysieren Ihre aktuelle IT-Governance, Ihre Patch-Management-Prozesse, Ihre Endpoint-Security und Ihre Netzwerk-Segmentierung. Wo sind die kritischen Lücken?

In Workshops konkretisieren wir die Antworten: Welche technischen Tools brauchst du wirklich? Wie definierst du Rollen und Zugriffsrechte? Wie baust du Incident Response auf? Was ändert sich in deinen Security-Richtlinien?

Das Ergebnis ist ein maßgeschneidertes Governance-Konzept – kein Industrie-Standard-Geschwätz, sondern genau das, was dein Unternehmen braucht.

Gerne unterstützen wir Sie auch beim Change-Management, denn eine neue Governance funktioniert nur, wenn Ihre IT-Teams, Fachbereiche und das Management mitziehen. Wir helfen dir, diese Maßnahmen in deinem Unternehmen dauerhaft und effektiv zu implementieren.

Sarah Weber

Strategische IT-Beraterin

Für Governance ist Verständnis erforderlich: für die Arbeitsweise, die Prozesse und die Gründe.

sarah.weber@digiXperts.it

Ingo Höckenschnieder

Strategischer IT-Berater und Gründer von HOLAGIL

Menschen – und sie mitzunehmen – sind der wesentliche Faktor jeder Veränderung.

ingo.hoeckenschnieder@digiXperts.it

Digitale Souveränität bedeutet jedoch nicht, alles selbst zu entwickeln und zu betreiben. Das wäre für die meisten Unternehmen weder realistisch noch sinnvoll. Entscheidend ist, handlungsfähig zu bleiben, wenn ein Anbieter Funktionen streicht, die Preise erhöht oder die Lizenzbedingungen ändert.

Abhängigkeiten müssen frühzeitig erkannt werden, bevor sie zum Problem werden

Nicht jede Abhängigkeit ist automatisch schlecht. Wichtig ist, zu wissen, welche Risiken für einen Geschäftsprozess oder Anwendungsfall akzeptabel sind und wo ein Wechsel möglich sein muss. Eine Risikoanalyse hilft dabei, diese Anforderungen zu klären und bei der Auswahl von Systemen und Plattformen zu berücksichtigen.

Offene Standards und Schnittstellen erleichtern den Wechsel. Open-Source-Lösungen mit aktiven Communities können zusätzliche Freiheiten bieten. Der Quellcode ist einsehbar und anpassbar und in der Regel lassen sich Daten exportieren. Proprietäre Lösungen müssen deshalb nicht grundsätzlich ausgeschlossen werden. Wenn sie verlässliche, standardisierte Schnittstellen bieten und der Zugriff auf die eigenen Daten gesichert ist, kann das Lock-in-Risiko überschaubar bleiben.

Automatisierung macht Wechsel planbar

Automatisierung wird oft vor allem als Werkzeug zur Steigerung der Effizienz verstanden. Wenn sie richtig eingesetzt wird, kann sie jedoch noch mehr: Sie verbindet unterschiedliche Systeme und erleichtert den Austausch von Workloads zwischen Betriebssystemen, Hypervisoren, Cloud-Anbietern und dem eigenen Rechenzentrum. Das schafft Flexibilität im Alltag und bessere Optionen, wenn eine Plattform ersetzt werden muss.

Dafür darf die Automatisierung selbst nicht an einen einzelnen Anbieter oder eine bestimmte Plattform gebunden sein. Hilfreich sind offene, integrationsfähige Werkzeuge und ein deklarativer Ansatz. Dabei wird statt einer festen Reihenfolge von Befehlen der gewünschte Zielzustand beschrieben. Die Automatisierung leitet daraus die notwendigen Schritte ab.

So lassen sich einzelne Komponenten, wie Backup- oder Monitoring-Lösungen, austauschen, ohne dass alle Abläufe neu aufgebaut werden müssen. Auch Datenexporte und andere Maßnahmen für den Anbieterwechsel können regelmäßig getestet werden. Das macht Exit-Strategien belastbarer und reduziert den Aufwand, falls kurzfristig gehandelt werden muss.

Modular bauen, einfacher wechseln

Offene Automatisierungswerkzeuge wie Ansible bietet einen entsprechenden Ansatz, bei dem Automatisierungen transparent, überprüfbar und versionierbar bleiben. Playbooks können nachvollzogen und bei Bedarf auf frühere, funktionierende Versionen zurückgesetzt werden. Der modulare Aufbau erleichtert es außerdem, einzelne Bausteine wiederzuverwenden oder auszutauschen.

Rollen übernehmen dabei wiederkehrende Aufgaben, wie das Anlegen, Ändern oder Löschen einer Instanz, die Installation eines Backups oder die Einrichtung des Monitorings. Eine Rolle kann Details verschiedener Cloud-Anbieter vereinheitlichen. So lassen sich Anbieter ergänzen oder entfernen, ohne jeden Ablauf von Grund auf neu zu entwickeln. Collections bündeln solche Inhalte in einem einheitlichen Paketformat und unterstützen unter anderem Versionierung und Metadaten.

Mit der Red Hat Ansible Automation Platform lassen sich daraus Workflows für durchgängige Prozesse erstellen. Ein automatisierter IT-Service kann beispielsweise eine Cloud-Instanz bereitstellen, eine IP-Adresse reservieren, einen DNS-Eintrag anlegen, das Betriebssystem konfigurieren sowie Backup und Monitoring einrichten. Werden diese Schritte modular geplant, lassen sich einzelne Komponenten leichter ersetzen.

Souveränität ist mehr als Technik.

Automatisierung allein macht ein Unternehmen noch nicht souverän. Auch Prozesse und Mitarbeitende müssen berücksichtigt werden. Einfach gehaltene Abläufe erleichtern nicht nur die Bereitstellung und den Betrieb, sondern auch die Ablösung und den Wechsel von Lösungen. „Keep it simple“ bedeutet deshalb keinen Verzicht auf Professionalität, sondern ist eine gute Voraussetzung für Anpassungsfähigkeit.

Ebenso braucht es ein gemeinsames Verständnis davon, was digitale Souveränität im Unternehmen bedeutet: Welche Abhängigkeiten sind akzeptabel? Welche Daten und Prozesse müssen jederzeit übertragbar sein? Welche Wechseloptionen sollen regelmäßig getestet werden? Offene Kommunikation, Weiterbildung und Freiräume zum Ausprobieren helfen Mitarbeitenden, diese Ziele im Arbeitsalltag umzusetzen.

Dabei müssen Menschen, Prozesse und Technologie gleichwertig berücksichtigt werden. Fehlen geeignete Werkzeuge, verständliche Abläufe oder Mitarbeitende, die das Ziel kennen und mittragen, bleibt die Exit-Strategie auf dem Papier. Souveränität entsteht, wenn alle drei Bereiche zusammenspielen.

Change-Management und User-Adoption sind immer bei allen IT-Governance und Digitalisierungprojekten ein wesentlicher Faktor. Mangelne Planung dieser beiden Themen führen meist zu wesentlichen Mehrkosten und sind daher zu bedenken!

Was jetzt zu tun ist

• Kritische Geschäftsprozesse und ihre Abhängigkeiten erfassen.
• Festlegen, welche Anbieter- oder Plattformwechsel möglich sein müssen.
• Bei neuen Lösungen Datenexporte, offene Schnittstellen und Standards prüfen.
• Automatisierungen modular und möglichst plattformunabhängig gestalten.
• Exit-Szenarien regelmäßig testen, nicht erst, wenn ein Wechsel dringend wird.
• Mitarbeitende einbeziehen und ein gemeinsames Verständnis für digitale Souveränität schaffen.
• Schulungsmaßnahmen planen.
• Key-User bestimmen und User-Adoption-Konzept umsetzen.

Vom Ist-Stand zum passenden Vorgehen

Wenn Sie bei solchen Themen Hilfe benötigen, wenden Sie sich an uns. Unser Vorgehen beginnt mit einer Analyse Ihrer Prozesse, Dokumentationen und Arbeitsweisen. Wir ermitteln, wo in Ihrem Unternehmen heute Abhängigkeiten und Risiken bestehen. In einem Workshop betrachten wir gemeinsam die Anforderungen Ihrer Geschäftsprozesse, klären notwendige Wechseloptionen und skizzieren passende Lösungswege.

Aus den Ergebnissen entwickeln wir ein zu Ihrem Unternehmen und Ihrer IT-Umgebung passendes Konzept. Gerne unterstützen wir Sie auch bei der Umsetzung, beim Change-Management und bei der User Adoption – damit neue Abläufe nicht nur eingeführt, sondern dauerhaft und wirksam gelebt werden.

Sarah Weber

Strategische IT-Beraterin

Für Governance ist Verständnis erforderlich: für die Arbeitsweise, die Prozesse und die Gründe.

sarah.weber@digiXperts.it

Ingo Höckenschnieder

Strategischer IT-Berater und Gründer von HOLAGIL

Menschen – und sie mitzunehmen – sind der wesentliche Faktor jeder Veränderung.

ingo.hoeckenschnieder@digiXperts.it

Im ersten Beitrag ging es darum, warum Cybersicherheit eine Führungsaufgabe ist. Der nächste Schritt ist die Umsetzung: Wie wird aus einer Bestandsaufnahme ein Plan, der im Alltag trägt und im Ernstfall nicht erst gesucht werden muss?

Erst klären, was wirklich gilt

Im nächsten Schritt wird aufgezeigt, welche Aspekte bereits geregelt sind und wo noch Handlungsbedarf besteht. Es reicht nicht aus, Richtlinien und Konzepte zu sammeln. Entscheidend ist, ob die Verfahren im Alltag bekannt sind, ob Verantwortliche benannt wurden und ob die Abläufe im Ernstfall tatsächlich funktionieren.

Dazu gehört auch die Betrachtung von Risiken, Systemen und Abhängigkeiten. Welche Prozesse sind für den Betrieb besonders wichtig? Welche Dienstleister oder Lieferanten sind kritisch? Wie werden Daten gesichert und wiederhergestellt? Und wer entscheidet, wenn ein Sicherheitsvorfall den normalen Geschäftsbetrieb beeinträchtigt?

Vom Ist-Zustand zu den wichtigsten Lücken

Im nächsten Schritt wird sichtbar, was bereits geregelt ist und wo noch Handlungsbedarf besteht. Dabei reicht es nicht, Richtlinien und Konzepte zu sammeln. Entscheidend ist, ob Verfahren im Alltag bekannt sind, Verantwortliche benannt wurden und die Abläufe im Ernstfall tatsächlich funktionieren.

Dazu gehört der Blick auf Risiken, Systeme und Abhängigkeiten: Welche Prozesse sind für den Betrieb besonders wichtig? Welche Dienstleister oder Lieferanten sind kritisch? Wie werden Daten gesichert und wiederhergestellt? Und wer entscheidet, wenn ein Sicherheitsvorfall den normalen Geschäftsbetrieb beeinträchtigt?

Priorisieren statt alles gleichzeitig anzufangen

Eine Bestandsaufnahme kann viele offene Punkte sichtbar machen. Das ist jedoch kein Grund, überall gleichzeitig neue Projekte zu starten. Sinnvoller ist eine Priorisierung nach Risiko und möglicher Auswirkung auf das Unternehmen, beispielsweise danach, welche Ausfälle die Leistungserbringung, Kunden oder gesetzliche Pflichten besonders stark betreffen würden.

Aus den Lücken wird ein umsetzbarer Maßnahmenplan erstellt. Für jede Maßnahme sollten eine verantwortliche Person, eine Priorität, ein Zieltermin und ein Weg zur Überprüfung feststehen. So wird aus der Aussage „Wir müssen unsere Sicherheit verbessern“ eine konkrete Aufgabe, deren Fortschritt sich nachvollziehen lässt.

Verantwortlichkeiten im Alltag verankern

Cybersicherheit lässt sich nicht dauerhaft an eine einzelne Person oder Abteilung delegieren. Die Geschäftsführung muss die erforderlichen Maßnahmen genehmigen und ihre Umsetzung überwachen. IT, Fachbereiche, Personal, Datenschutz, Kommunikation und gegebenenfalls Recht müssen wissen, welche Rolle sie haben – besonders im Falle eines Vorfalls.

Das bedeutet jedoch nicht, dass jede Abteilung zu einer Sicherheitsabteilung werden muss. Es bedeutet jedoch, dass Mitarbeitende wissen, wen sie informieren müssen, welche Schritte sie nicht eigenmächtig unternehmen sollten und wo sie verlässliche Anweisungen finden. Diese Klarheit entsteht durch verständliche Prozesse, passende Schulungen und regelmäßige Übungen.

Pläne testen, nicht nur ablegen

Ein Notfallplan, der nie getestet wurde, ist zunächst einmal nur eine Annahme. Ein gemeinsamer Probelauf kann zeigen, ob die Kontaktwege funktionieren, Entscheidungen rechtzeitig getroffen werden und die Wiederherstellung wichtiger Systeme realistisch geplant ist.

Besonders wichtig ist der Meldeprozess: Wer erkennt und bewertet einen Vorfall? Wer koordiniert die Informationen? Wer ist für die Meldung zuständig? Bei erheblichen Vorfällen gelten kurze Fristen, weshalb Rollen und Abläufe im Voraus festgelegt werden sollten und nicht erst während eines Angriffs ausgehandelt werden dürfen.

Was ist zu tun?

• Betroffenheit klären und gegebenenfalls Registrierung beim BSI dokumentieren.
• Kritische Geschäftsprozesse, Systeme und Abhängigkeiten erfassen.
• Bestehende Maßnahmen auf Wirksamkeit prüfen, und zwar nicht nur auf ihre Dokumentation.
• Lücken nach Risiko und möglicher Auswirkung priorisieren.
• Für jede Maßnahme Zuständigkeit, Termin und Prüfkriterium festlegen.
• Melde-, Krisen- und Wiederherstellungsprozesse definieren und testen.
• Geschäftsführung und Mitarbeitende regelmäßig schulen.
• Ergebnisse, Entscheidungen und Fortschritte müssen nachvollziehbar dokumentiert werden.
• Mitarbeiter schulen und Handouts erstellen
• Sicherung und Recovery planen, implementieren, testen und automatisieren.

Der Maßstab ist nicht, möglichst viele Maßnahmen auf eine Liste zu setzen. Entscheidend ist, dass die wichtigsten Risiken bearbeitet werden und die Organisation nachweisen kann, wie sie ihre Sicherheitsmaßnahmen umsetzt, überprüft und verbessert.

Vom Befund zur Umsetzung

Wenn Sie Hilfe benötigen, finden Sie bei uns die optimale Beratung und Unterstützung. Zunächst analysieren wir Ihre bestehenden Prozesse, Dokumentationen und Arbeitsweisen. Dabei betrachten wir unter anderem die Themen Risiken, Datensicherheit, Backups, Notfallmanagement und Zusammenarbeit mit Dienstleistern. So werden der aktuelle Stand und die wesentlichen Handlungsfelder sichtbar.

In einem gemeinsamen Workshop ordnen wir die Ergebnisse ein, klären offene Fragen und skizzieren passende Lösungswege. Daraus erstellen wir einen auf Ihr Unternehmen zugeschnittenen Maßnahmenplan mit Prioritäten und nächsten Schritten.

Anschließend unterstützen wir Sie dabei, die Maßnahmen in geeignete Konzepte und gelebte Abläufe zu überführen. Dazu können auch Schulungen, Change-Management und User-Adoption gehören, damit Sicherheit nicht nur dokumentiert ist, sondern auch im Arbeitsalltag funktioniert.

Sarah Weber

Strategische IT-Beraterin

Für Governance ist Verständnis erforderlich: für die Arbeitsweise, die Prozesse und die Gründe.

sarah.weber@digiXperts.it

Ingo Höckenschnieder

Strategischer IT-Berater und Gründer von HOLAGIL

Menschen – und sie mitzunehmen – sind der wesentliche Faktor jeder Veränderung.

ingo.hoeckenschnieder@digiXperts.it

Ein passendes Patch-Regelwerk hilft Ihrem Unternehmen, Sicherheitsrisiken zu senken, Ausfälle planbar zu halten und Verantwortlichkeiten zu klären. Es verwandelt eine oft hektische Einzelmaßnahme in einen nachvollziehbaren Prozess, der zu Ihrem Geschäft und Ihren tatsächlichen Risiken passt.

IT-Governance gibt den Rahmen vor

IT-Governance beschreibt, wie ein Unternehmen seine IT steuert: Welche Ziele verfolgt sie? Welche Risiken sind akzeptabel? Wer darf Entscheidungen treffen und wie wird kontrolliert, ob Vereinbarungen eingehalten werden? Damit verbindet sie technische Maßnahmen mit den Anforderungen des Unternehmens.

Ein Patchregelwerk übersetzt diesen Rahmen in konkrete Vorgaben. Es legt beispielsweise fest, welche Systeme erfasst sind, wie Updates nach Kritikalität priorisiert werden und innerhalb welcher Fristen sie installiert werden sollen. Governance sagt also, was erreicht und verantwortet werden muss, während das Patchregelwerk beschreibt, wie das Unternehmen dabei vorgeht.

Ohne klare Regeln wird jedes Update zum Einzelfall

In vielen Unternehmen wird das Patchen ad hoc gehandhabt: Ein Team installiert Updates regelmäßig, ein anderes wartet auf ein Wartungsfenster und bei besonders kritischen Systemen ist unklar, wer die Freigabe erteilt. Solange nichts schiefgeht, fällt das kaum auf. Bei einer Sicherheitslücke oder einem ungeplanten Ausfall werden die offenen Fragen jedoch plötzlich teuer.

Ein wirksames Regelwerk schafft hier Klarheit über Zuständigkeiten und Abläufe. Es legt fest, wer Sicherheitsmeldungen bewertet, wer Updates testet und freigibt, wer den Rollout durchführt und wie Ausnahmen dokumentiert werden. So muss bei jedem Patch nicht neu verhandelt werden, was eigentlich gelten soll.

Sicherheit und Geschäftsbetrieb müssen zusammen gedacht werden

Nicht jedes Update ist gleich dringend und nicht jedes System kann gleich behandelt werden. Ein Patch für eine öffentlich erreichbare, geschäftskritische Anwendung hat möglicherweise eine höhere Priorität als ein Update für ein weniger kritisches Gerät. Deshalb ist eine risikobasierte Einordnung sinnvoll: Wie schwerwiegend ist die Schwachstelle, wie wahrscheinlich ist eine Ausnutzung und wie groß wäre der Schaden für den Geschäftsbetrieb?

Das Regelwerk sollte außerdem festlegen, wie getestet und ausgerollt wird. Tests und gestaffelte Rollouts können dabei helfen, Probleme frühzeitig zu erkennen. Für besonders kritische Sicherheitslücken muss es zugleich einen klaren Weg für beschleunigte Maßnahmen geben. Wenn ein Update vorübergehend nicht installiert werden kann, muss die Ausnahme begründet, genehmigt und mit geeigneten Ersatzmaßnahmen sowie einem Prüfdatum versehen werden.

Governance braucht Nachweise und Rückkopplung

Eine Vorgabe ist nur dann hilfreich, wenn sich überprüfen lässt, ob sie im Alltag funktioniert. Dafür ist eine nachvollziehbare Dokumentation notwendig. Welche Systeme wurden erfasst? Welche Updates wurden wann installiert? Wo gibt es offene Abweichungen und wer kümmert sich darum? Das unterstützt nicht nur Prüfungen, sondern auch die operative Steuerung.

Geeignete Kennzahlen können beispielsweise die Zeit bis zur Installation kritischer Patches, den Anteil fristgerecht aktualisierter Systeme und die Zahl offener Ausnahmen sichtbar machen. Diese Informationen fließen durch KPIs zurück in die IT-Governance und zeigen, ob die Fristen realistisch sind, ob Ressourcen fehlen oder ob Prozesse angepasst werden müssen. So wird das Patch-Regelwerk zu einem steuerbaren Teil der IT und nicht zu einem Dokument im Ablageordner.

Was ist zu tun?

• Erfassen Sie, welche Systeme, Anwendungen und Geräte in den Geltungsbereich fallen.
• Ordnen Sie Systeme und Schwachstellen nach ihrer Bedeutung und ihrem Risiko ein.
• Legen Sie Rollen, Entscheidungswege und Fristen fest – einschließlich eines beschleunigten Verfahrens für dringende Sicherheitsupdates.
• Definieren Sie Tests, Rollout, Erfolgskontrolle und einen Rückfallplan für fehlgeschlagene Updates.
• Regeln Sie, wie Ausnahmen genehmigt, abgesichert, dokumentiert und erneut geprüft werden.
• Überprüfen Sie regelmäßig anhand weniger aussagekräftiger Kennzahlen, ob der Prozess funktioniert.

Vom Regelwerk zum gelebten Prozess

Wenn Sie bei der Entwicklung eines Konzepts und Prozesses oder bei der Einführung Hilfe benötigen, stehen wir Ihnen gerne zur Seite. Unser Vorgehen beginnt mit einer Analyse Ihrer Prozesse, Dokumentationen und Arbeitsweisen, um zu ermitteln, wo Ihr Patchmanagement heute steht. In einem Workshop betrachten wir gemeinsam zentrale Fragen – etwa zu Zuständigkeiten, Kritikalität, Fristen und Ausnahmen – und skizzieren passende Lösungswege.

Das Ergebnis ist ein Konzept, das zu Ihrem Unternehmen, Ihrer IT-Landschaft und Ihren Abläufen passt. Auf Wunsch unterstützen wir Sie auch beim Change-Management und bei der User Adoption, damit die vereinbarten Maßnahmen dauerhaft und wirksam im Unternehmen verankert werden.

Unsere Empfehlungen zu Rollen, Priorisierung, Ausnahmen und Kennzahlen orientieren sich an gängigen Ansätzen für Patchmanagement-Richtlinien.

Sarah Weber

Strategische IT-Beraterin

Für Governance ist Verständnis erforderlich: für die Arbeitsweise, die Prozesse und die Gründe.

sarah.weber@digiXperts.it

Ingo Höckenschnieder

Strategischer IT-Berater und Gründer von HOLAGIL

Menschen – und sie mitzunehmen – sind der wesentliche Faktor jeder Veränderung.

ingo.hoeckenschnieder@digiXperts.it

NIS-2 macht genau das deutlich: Cybersicherheit wird zur Führungsaufgabe. Unternehmen müssen Risiken systematisch bewerten, Schutzmaßnahmen umsetzen und Sicherheitsvorfälle melden. Sie müssen nachweisen können, dass sie ihre Verantwortung ernst nehmen.

Was ist NIS-2?

NIS-2 ist die zweite EU-Richtlinie zur Netzwerk- und Informationssicherheit. Sie soll die Widerstandsfähigkeit europäischer Unternehmen gegenüber Cyberangriffen verbessern und gilt für deutlich mehr Organisationen als die ursprüngliche NIS-Richtlinie.

In Deutschland ist die Richtlinie inzwischen in nationales Recht umgesetzt. Das deutsche NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz ist am 6. Dezember 2025 in Kraft getreten. Eine allgemeine Übergangsfrist für die Umsetzung der Sicherheitsanforderungen gibt es nicht.

Die entscheidende Frage lautet deshalb nicht mehr: „Kommt NIS-2 irgendwann auf uns zu?“ Sondern: „Welche Anforderungen gelten für uns – und wie können wir ihre Umsetzung belegen?“

Für wen gilt NIS-2?

Der Anwendungsbereich geht weit über die klassischen Betreiber kritischer Infrastrukturen hinaus. Betroffen sein können Unternehmen ab einer bestimmten Größe, die in einem der gesetzlich definierten Sektoren tätig sind.

Dazu zählen unter anderem:

• Energieversorgung und Wasserwirtschaft
• Verkehr und Transport
• Banken und Finanzmarktinfrastrukturen
• Gesundheitswesen und bestimmte Pharmaunternehmen
• Digitale Infrastruktur, Telekommunikation und IT-Dienstleistungen
• Öffentliche Verwaltung und Raumfahrt
• Abfallwirtschaft sowie Post- und Kurierdienste
• Chemie- und Lebensmittelindustrie
• Bestimmte Unternehmen des verarbeitenden Gewerbes
• Digitale Dienste wie Online-Marktplätze und Suchmaschinen
• Forschungseinrichtungen

NIS-2 unterscheidet im Wesentlichen zwischen wesentlichen Einrichtungen und wichtigen Einrichtungen. Welche Kategorie zutrifft, hängt vom Tätigkeitsbereich, der Unternehmensgröße und weiteren gesetzlichen Kriterien ab.

Unternehmen werden in der Regel nicht automatisch von einer Behörde darüber informiert, dass sie betroffen sind. Sie müssen ihre Betroffenheit selbst prüfen und – sofern erforderlich – die Registrierung beim BSI vornehmen. Die gesetzliche Registrierungsfrist ist inzwischen abgelaufen. Unternehmen, die noch nicht registriert sind, sollten daher unverzüglich handeln.

Was müssen betroffene Unternehmen umsetzen?

NIS-2 schreibt weder ein bestimmtes Produkt noch eine bestimmte Zertifizierung vor. Vielmehr ist ein angemessenes und wirksames Risikomanagement für die Informationssicherheit gefordert.

Dazu gehören insbesondere:

• eine strukturierte Risikoanalyse
• Maßnahmen zur Bewältigung von Sicherheitsvorfällen
• Backup- und Wiederherstellungsverfahren
• Krisen- und Notfallmanagement
• Sicherheit in Lieferketten und bei Dienstleistern
• Zugriffskontrollen und sichere Authentifizierung
• Schutz vor Schadsoftware und Ausnutzung von Schwachstellen
• Verschlüsselung und sichere Kommunikation
• Regelmäßige Sicherheitsprüfungen
• Schulungen und Sensibilisierung der Mitarbeitenden
• Verfahren zur Bewertung der Wirksamkeit aller Maßnahmen

Entscheidend ist dabei nicht nur, ob Maßnahmen existieren. Ein Unternehmen muss auch nachweisen können, dass Verantwortlichkeiten geklärt sind, Prozesse funktionieren, die Maßnahmen regelmäßig überprüft und verbessert werden und regelmäßige sowie hinreichende Schulungen stattfinden.

Ein PDF mit dem Titel „IT-Sicherheitskonzept” reicht dafür nicht aus. Wenn im Ernstfall niemand weiß, welche Systeme wiederhergestellt werden müssen oder wie ein Vorfall zu melden ist, bleibt das Konzept Theorie.

Meldepflichten: 24 Stunden sind schneller vorbei, als man denkt

Ein wesentlicher Bestandteil von NIS-2 sind die verschärften Meldepflichten für erhebliche Sicherheitsvorfälle. In Deutschland ist grundsätzlich das Bundesamt für Sicherheit in der Informationstechnik zuständig.

Der Meldeprozess ist zeitlich gestaffelt:

1. Innerhalb von 24 Stunden: Eine Frühwarnung nach Bekanntwerden des Vorfalls.
2. Innerhalb von 72 Stunden: Eine ausführlichere Meldung mit einer ersten Bewertung des Vorfalls.
3. Innerhalb eines Monats: Ein Abschlussbericht mit Ursachen, Auswirkungen, Bedrohungsart und Gegenmaßnahmen.

Das klingt zunächst nach einer Aufgabe der IT-Sicherheit. In der Praxis müssen jedoch mehrere Bereiche zusammenarbeiten: IT, Geschäftsführung, Datenschutz, Kommunikation, Recht, Versicherung und gegebenenfalls externe Dienstleister.

Wer erst im laufenden Angriff klärt, wer melden darf, welche Informationen vorliegen und wo das BSI-Portal zu finden ist, verliert wertvolle Zeit. Ein belastbarer Incident-Response-Prozess und eine Kommunikationsmatrix müssen deshalb vor dem Vorfall erstellt werden – nicht danach.

Die Geschäftsführung trägt Verantwortung

NIS-2 macht Cybersicherheit zur Chefsache. Die Leitungsorgane müssen die Risikomanagementmaßnahmen billigen, ihre Umsetzung überwachen und sich selbst angemessen weiterbilden.

Das bedeutet jedoch nicht, dass die Geschäftsführung jedes technische Detail kennen muss. Sie muss jedoch die Risiken, denen das Unternehmen ausgesetzt ist, die dagegen ergriffenen Maßnahmen und den bestehenden Handlungsbedarf verstehen.

Ebenso wichtig ist die Frage nach der persönlichen Verantwortung. Bei schuldhaften Pflichtverletzungen können Geschäftsleitungsmitglieder gegenüber dem Unternehmen persönlich haften. Die oft gehörte Aussage „Das macht unsere IT“ schützt daher nicht vor der Verantwortung der Unternehmensleitung.

Welche Sanktionen drohen?

Die möglichen Bußgelder sind erheblich:

• Für wesentliche Einrichtungen bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes.
• Für wesentliche Einrichtungen bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes und – für wichtige Einrichtungen bis zu 7 Millionen Euro oder 1,4 Prozent des weltweiten Jahresumsatzes. Entscheidend ist jeweils der höhere Betrag.

Entscheidend ist jeweils der höhere Betrag. Sanktionen können unter anderem bei fehlenden Sicherheitsmaßnahmen, nicht erfüllten Meldepflichten oder Verstößen gegen Registrierungs- und Mitwirkungspflichten relevant werden.

NIS-2 sollte trotzdem nicht als reines Bußgeldthema verstanden werden. Ein funktionierendes Sicherheits- und Notfallmanagement schützt vor regulatorischen Konsequenzen und hat weitere Vorteile. Es reduziert Ausfallzeiten, verbessert die Verhandlungsposition gegenüber Kunden und stärkt die Widerstandsfähigkeit des Unternehmens.

Was ist zu tun?

Unternehmen sollten jetzt strukturiert vorgehen:

• Betroffenheit nach Branche, Größe und Unternehmensstruktur prüfen
• Registrierungspflichten und zuständige Ansprechpartner klären
• aktuellen Sicherheits- und Organisationsstand erfassen
• Risiken bewerten und priorisieren
• Verantwortlichkeiten für Geschäftsführung, IT und Fachbereiche festlegen
• Sicherheits- und Notfallkonzept erstellen oder aktualisieren
• Backup, Wiederherstellung und Krisenkommunikation testen
• Lieferanten und Dienstleister in die Betrachtung einbeziehen
• Meldeprozesse einschließlich der 24-, 72-Stunden- und Monatsfristen vorbereiten
• Mitarbeitende und Geschäftsleitung regelmäßig schulen
• Maßnahmen dokumentieren und durch Audits überprüfen

Der wichtigste Schritt ist eine realistische Bestandsaufnahme. Nicht jede Lücke muss am selben Tag geschlossen werden. Aber jede relevante Lücke braucht einen Verantwortlichen, eine Priorität und einen nachvollziehbaren Zeitplan.

Weiterlesen bei: NIS-2: Vom Maßnahmenkatalog zur gelebten Sicherheit

Unser Vorgehen

Wir beginnen mit einer Analyse Ihrer bestehenden Prozesse, Dokumentationen und Arbeitsweisen. Dabei betrachten wir unter anderem Risikoanalyse, Datensicherheit, Löschung, Backup, Archivierung, Notfallmanagement und die Zusammenarbeit mit Dienstleistern. So ermitteln wir Ihren aktuellen Reifegrad und prüfen, welche NIS-2-Anforderungen für Ihr Unternehmen relevant sind.

In einem gemeinsamen Workshop bearbeiten wir einen strukturierten Fragenkatalog, klären Verantwortlichkeiten und skizzieren passende Lösungswege. Das Ergebnis ist eine auf Ihr Unternehmen zugeschnittene Reifegradanalyse mit einem konkreten Maßnahmenkatalog.

Darauf aufbauend entwickeln wir mit Ihnen ein Datensicherheits- und Notfallkonzept einschließlich Kommunikationsmatrix sowie eine priorisierte Roadmap für die Umsetzung. Wir unterstützen Sie außerdem beim Change-Management und bei der User-Adoption, begleiten Schulungen und helfen Ihnen dabei, die Maßnahmen dauerhaft und wirksam in Ihrem Unternehmen zu verankern.

Sarah Weber

Strategische IT-Beraterin

Für Governance ist Verständnis erforderlich: für die Arbeitsweise, die Prozesse und die Gründe.

sarah.weber@digiXperts.it

Ingo Höckenschnieder

Strategischer IT-Berater und Gründer von HOLAGIL

Menschen – und sie mitzunehmen – sind der wesentliche Faktor jeder Veränderung.

ingo.hoeckenschnieder@digiXperts.it