Marc Pastuska

Oh, gute Frage. Also ganz, ganz viel. Ich sag mal, ab unserer Generation, ich bin 89 geboren, alle, die so ungefähr aus der Richtung kommen, kennen das von früher noch, als dann Sachen wie StudiVZ, Facebook und sowas rausgekommen sind und die Eltern gesagt haben: „Lad nichts hoch, das Internet vergisst nie.“ Recht hatten sie.

Also da ist schon ganz, ganz viel, was zusammenkommt: wer wann wo ist, wer wo wohnt, diese ganzen Daten, was zusammengetragen wird, was man für Hobbys hat, mit wem man irgendwie zusammen ist, wer die Eltern sind, wer vielleicht auch die Mutter ist und der Mädchenname der Mutter. Sowas sind alles Sachen, die vielleicht abgefragt werden bei Sicherheitsfragen und sowas alles. Wie heißt das Haustier? Alles.

Das sind so Sachen, die Leute bei damals StudiVZ, irgendwann Facebook, jetzt Instagram oder vielleicht sogar, gehen wir eine Generation weiter, TikTok selber posten und die einfach herauszufinden sind. Das war früher noch viel Handarbeit, wo das wirklich dann Leute machen mussten und das selber raussuchen mussten. Mittlerweile macht das die KI, sofort, ist sofort da.

Das ist einmal eine Sache, wo ganz viele Informationen zusammengesucht werden können, und die ergeben zusammengenommen ein Bild. Ein Post bei Instagram, wo man irgendwas macht, ist vielleicht noch nicht relevant. Aber wenn man diese ganzen Sachen, und jetzt LinkedIn dazu und sowas alles, wenn man das alles zusammenträgt, dann kann man halt Probleme kriegen, weil das ein Gesamtbild ergibt mit ganz, ganz vielen Informationen.

Sowas wie Kreditkartennummer oder so ganz sensible Sachen sollten dann natürlich gar nicht drin sein. Aber was auch immer häufiger kommt, ist, dass irgendein Dienst, den du nutzt, oder irgendein Tool, irgendetwas wird gehackt, irgendeine Webseite wird gehackt, irgendein Dienstleister von dir wird gehackt. Du hast irgendwelche Daten bei ihm und der hat die nicht gut verschlüsselt und die sind dann online gegangen, zum Beispiel im Darknet online gegangen, weil der Erpressungsversuch nicht funktioniert hat. Dann sind die Sachen da und dann gehen die nicht mehr weg.

Wir hatten jetzt vor kurzem einen riesen Hack in Berlin, wo sozusagen das Land Berlin gehackt wurde, und die wollten dann da ihre Bitcoins haben. Ich meine, 20 oder 200 Bitcoins wollten sie haben. 200, meine ich. Da waren ganz, ganz viele personenbezogene Daten drin, aber auch Daten, wie ein Krankenhaus oder wie ein Hochsicherheitsgefängnis aufgebaut ist, oder unsere nationale Sicherheit, wer sind da die Leute und sowas alles.

Diese Daten sind jetzt im Darknet und kommen dann nicht mehr raus. Und so kann das dann sein, wenn das dann Datensammler zusammensammeln, dass sich da ganz, ganz viele Informationen ergeben, die ein problematisches Gesamtbild ergeben können.

Ja, ist unglaublich, auch Impressumspflicht. Also, ich kenne das: Ganz, ganz oft kommen welche zu mir aus meinen Netzwerken. Ich habe ganz viel mit Unternehmern zu tun, und es kommt immer von weiblichen Personen, dass die dann zu mir kommen und sagen: „Wie kann ich das denn machen, dass meine echte Adresse nicht im Internet ist?“

Wo ich dann als Mann gar keine Ahnung von habe, weil das überhaupt gar kein Problem ist und für alle Unternehmer, die ich kenne, das auch gar kein Problem ist. Aber bei Frauen ist das halt oft ein Ding, weil denen nachgestellt wird oder sonst was. Die holen sich dann Dienstleister, dass man dann ein zweites Impressum, also eine andere Adresse angeben kann und dass das dann alles darüber läuft. Extra Dienstleister dafür, dass sowas halt nicht online ist.

Ich teste das in der letzten Zeit tatsächlich häufiger mal, einfach um zu gucken, wie powervoll die verschiedenen KI-Tools mittlerweile sind. Dann nehme ich ein Foto, wenn ich irgendwo bin, mache ich ein Foto und frag die KI: „Wo bin ich denn gerade?“ Und dann gucke ich, wer ist denn jetzt gerade besser, wer ist schneller, wer ist sicherer, wer halluziniert da irgendwas rein.

Weil das ist ein ganz guter Test, um zu gucken: Sagt dann die KI „Ich weiß es nicht, tut mir leid, kannst du mir mehr Informationen geben?“ oder fängt die an zu raten? Da sieht man dann den Unterschied zwischen: Was machen die von Google, was macht Anthropic, was macht OpenAI, was macht auch sowas wie Grok oder vielleicht sogar DeepSeek aus China, wie agieren die da? Das sieht man an solchen Sachen immer sehr, sehr gut. Und dann kann man ja sofort nachvollziehen. Bitte.

Bei solchen Sachen würde ich tatsächlich sagen, ist Google gerade weit vorne. Wahrscheinlich liegt das daran, dass die ihre Street-View-Sachen oder sowas noch mal besser eingebunden haben. Da würde ich tendenziell am ehesten gerade mit Google gehen. Aber der Unterschied ist minimal.

Dann kommt es auch ein bisschen drauf an, wie dein System ausgelegt ist. Hast du deinem System schon wirklich Systemprompts gegeben, dass du keine Guesses haben willst, also dass nicht geschätzt werden soll? Wenn du jetzt zum Beispiel all deine Sachen bei Anthropic hast, bei Claude zum Beispiel, und der schon sehr auf dich eingespielt ist und weiß, dass er nicht raten soll, kriegst du da natürlich noch mal eine andere Antwort, als wenn du jetzt dann OpenAI nutzt, was du sonst nie benutzt. Also, das muss man auch immer einfließen lassen.

Aber durch die Bank weg: Es wird immer noch viel halluziniert, viel wird erfunden und auch wirklich so rübergebracht, als wäre das eine Tatsache. Das ist halt eine Sache, die sehr, sehr problematisch ist oder problematisch sein kann, je nachdem, was man so macht. Und diese ganzen Agentensysteme, die momentan laufen, wo dann fünf Agenten hintereinander arbeiten und keiner wirklich mal zwischendurch überprüft, was da alles drin ist, das führt schon zu größeren Problemen.

Also, ich habe angefangen, als OpenAI so gerade rauskam und ChatGPT, als man so auf der Straße mal gehört hat: „Ah, kennst du schon ChatGPT, hast du mal probiert?“ und sowas alles. Da habe ich angefangen, in meine Datenschutzschulungen im Unternehmen das Thema mit reinzunehmen und zu sagen: Okay, KI-Compliance, was darf man und was sind auch die Gefahren später? Voice-Cloning und Deepfakes und sowas alles, was kommt da auf uns zu?

Am Anfang war das wirklich so, wenn ich gefragt habe „Wer nutzt KI?“, so in den ersten ein, zwei Jahren: Im Unternehmen war wirklich so gut wie gar nichts. Mittlerweile ist es andersrum. Da sagt keiner oder fast keiner mehr: „Wir nutzen gar nichts.“

Und es ist immer noch so, es ist dann relativ egal, wo ich hingehe, ob ich zum Steuerberater gehe, Kunden habe, die Steuerberater sind, im Pharmabereich, bei Ärzten, bei ganz normalen Unternehmen im Mittelstand und sowas alles. Durch die Bank weg ist das Verständnis für KI, was man da darf und sowas, wirklich noch sehr, sehr, sehr schlecht. Da ist sehr, sehr viel Aufholbedarf.

Es gibt jetzt seit Frühling diese Pflicht zur KI-Kompetenz, dass das irgendwie durchgesetzt werden muss vom Arbeitgeber. Das hilft schon mal ein bisschen, aber da ist noch sehr, sehr viel Luft nach oben. Die, die am besten aufgestellt sind, sind wirklich moderne Startups. Die interessieren sich dafür und die lesen sich da rein und die wissen auch, was die Gefahren sind.

Dieses Gefahrenbewusstsein ist im deutschen Mittelstand, bei KMU und sowas, gar nicht gegeben, und da muss man wirklich viel Arbeit leisten. Und zu den Fehlern: Die laden da einfach Dinge hoch in der Gratis-Version von ChatGPT, und dann probieren sie mal die Gratis-Version von Claude und dann vielleicht mal eine von Google.

Man muss halt wissen: Wenn man nichts zahlt, zahlt man mit seinen Daten, dann ist man selber das Produkt. Und wenn man da irgendwelche wichtigen Daten eingibt, dann sind die halt weg. Dann darf die KI damit trainieren. Damit trainieren bedeutet nicht, dass das sofort jeder lesen kann, als wenn man das selber bei Instagram hochlädt. So ist es nicht.

Aber wenn ich jetzt etwas eingebe, wie zum Beispiel: Ich arbeite im Unternehmen in der HR-Abteilung und soll ein Zeugnis schreiben für irgendeinen Mitarbeiter. Die Informationen lasse ich dann halt schreiben von der KI, von der Gratis-KI, die damit trainieren darf, oder halt auch von der Bezahl-KI, wo aber das KI-Training nicht ausgeschaltet ist. Und die trainiert dann mit diesen Daten zu dieser Person.

Wenn jetzt vielleicht irgendwann mal jemand hingeht und Fragen zu dieser Person stellt oder zu diesem Unternehmen, dann kann es sein, dass man diese Antworten bekommt. Genauso sieht es aus mit Geschäftsgeheimnissen. Das sind alles Sachen, die sollten nicht einfach in so ein KI-Tool rein. Und da fehlt es halt ganz, ganz vielen dran, dass die nicht wissen, was die dürfen.

Und auch nicht wissen, worauf die achten müssen, weil Phishing zum Beispiel ist unfassbar gut geworden. Da sind keine Schreibfehler mehr drin in so guten Phishing-Mails, da wird man angesprochen mit dem richtigen Namen und die Absendeadresse ist auch korrekt.

Diese ganzen Fehler, wo ich früher noch hingegangen bin und gesagt habe „So erkennt ihr eine Phishing-Mail“, so in den 2017, 18, 19, 20 und sowas, das kann man jetzt nicht mal mehr bringen. Weil dann sind die Leute in falscher Sicherheit und sagen dann: „Ah, guck mal hier, die Umlaute sind alle richtig geschrieben und ich wurde mit dem richtigen Namen angeschrieben, dann kann das ja kein Phishing sein.“ Das habe ich schon lange rausgenommen. Also das ist unglaublich gut geworden, weil die Angreifer halt auch KI nutzen.

Dann erkennt man jetzt Phishing am Inhalt. Man darf nicht mehr auf das große Ganze gucken, also nicht mehr auf den Look gucken: Wo kommt das her, wurde das falsch geschrieben? Von meiner Bank werde ich zum Beispiel nie „Sehr geehrter Kunde“ angeschrieben. Natürlich kennen die meinen Namen.

Mittlerweile sind die meisten Phishing-Mails halt auch so, dass die den Namen kennen und auch verwenden und das automatisiert machen können. Das wird dann eher zu Spear-Phishing, und da muss man dann überlegen: Okay, man muss die Psychologie der Angreifer verstehen.

Das heißt, wenn man das jetzt nicht mehr erkennt an irgendwelchen Schreibfehlern oder sonst irgendwas, da muss man gucken: Was will diese Mail von mir? Will die Druck machen, dass ich etwas klicke? Will die, dass ich ein Passwort eingebe? Will die, dass ich irgendwas mache, was ich normal nicht machen würde? Will die irgendwelche Informationen haben?

Weil man kriegt ja keine Phishing-Mail, nur damit eine nette Konversation passiert, sondern die wollen ja immer irgendwie eine Action von mir haben. Und wenn man die Psychologie verstanden hat, dass es immer was mit Druck zu tun hat, dass die immer irgendwie Druck ausüben wollen: „Wenn man das jetzt nicht macht, dann kriegen wir ein Problem.“

Oder Autorität ausnutzen. Die Mail kommt vom Chef: „Wenn wir jetzt nicht sofort was überweisen, dann verlieren wir einen Kunden.“ Oder kommt von der IT-Abteilung: „Wenn ich nicht sofort dein Passwort kriege, um alles zurückzusetzen, dann fliegt uns hier die IT um die Ohren.“

Solche Sachen muss man halt bedenken und vielleicht noch mal durchatmen, überlegen: Ist das legit, macht das Sinn, dass ich diese Mail bekommen habe, oder eher nicht? Und im Zweifel nimmt man einfach sein Telefon, ruft die Person an oder schreibt, nicht auf „Antworten“ klicken, sondern schreibt dieser Person und sagt: „Stimmt das hier, was gerade passiert ist, oder halt nicht?“

Genauso ist es bei Anrufen, weil die Stimmenimitationen sind halt perfekt mittlerweile. Man braucht ein paar Sekunden Material, und das hat mittlerweile fast jeder irgendwo. Besonders jeder Geschäftsführer hat einen YouTube-Kanal, hat ein Willkommensvideo auf der Webseite, ist irgendwo mal in einem Podcast oder sonst irgendwas gewesen. Man findet immer Material, und wenn es mal ein Anruf war, der mitgeschnitten wurde.

Dann ruft einen die Stimme an vom Chef, mit der richtigen Nummer, in der perfekten Sprache, und sagt einem dann, was man zu tun hat. Und dann muss man halt schalten und überlegen: Kann das sein, dass ich jetzt hier 100.000 € an den und den überweisen muss? Im Zweifel, wie gesagt, auflegen und als Unternehmen Prozesse schaffen, dass dann die Mitarbeiter auch Bescheid wissen, dass die dann noch mal rückfragen müssen, also auf Inhalte.

Ich nenne das immer in den Schulungen: Das ist der Enkeltrick auf Steroiden. Man kennt noch den Enkeltrick. Es werden ältere Leute angerufen und es wird einfach nur gesagt „Oma“, mit ein bisschen verstellter Stimme, vielleicht in der Nähe von der Autobahn, wo alles ein bisschen lauter ist, durch ein Taschentuch geredet. Und die Oma, die auch nicht mehr so gut hört, sagt dann: „Bist du es, Junge? Bist du es, Stefan?“

Und dann sagt man: „Ja, ja, ich bin Stefan, ich habe ein Problem.“ Dann hat man schon die Information. So war früher der Enkeltrick: „Ich habe hier ein großes Problem. Ich hatte einen Unfall, ich brauche das und das Geld“ oder sonst irgendwas. Das ist der Enkeltrick, den man aus dem Fernsehen von früher kennen könnte.

Mittlerweile ist es halt so, dass man keine verstellte Stimme mehr braucht. Das macht die KI. Es muss nicht mehr irgendwie geraten werden, wie man heißt. Man kann direkt den richtigen Namen sagen. Man weiß, wie man angeredet wird.

Das passiert im Privaten natürlich, das passiert aber halt auch im Business. Und das, wo ich früher noch, wenn ich so vor drei, vier, fünf Jahren vielleicht noch über sowas geredet habe, dass sowas kommt und dass man darauf aufpassen muss: „Ja, ja, Science-Fiction und vielleicht im Film.“

Mittlerweile, ich hatte letztens die skurrile Situation, dass ich tatsächlich bei einem Steuerberater, sehr, sehr großer Steuerberater, die Schulung gehalten habe und das dann gesagt habe: „Passt auf sowas auf, achtet auf sowas.“ Das habe ich in meinen Schulungen standardmäßig mit drin.

Auf dem Weg nach Hause ruft mich die Assistenz der Geschäftsführung an und sagt: „Haben Sie das jetzt gerade gefakt? Das war jetzt aber Spaß von Ihnen, oder ist da was? Uns hat gerade der Geschäftsführer angerufen und das und das gesagt.“ Und ich so: „Nee, das war ich nicht.“

Dann ist das tatsächlich eingetreten, am selben Tag noch. Der ist sehr präsent, man kennt ihn aus YouTube-Videos und sonst irgendwas, und die Stimme war einfach zu fälschen, weil es ganz, ganz viele Videos davon gibt. Und dann hat tatsächlich jemand genau diesen Angriff gemacht, vor dem ich am selben Tag noch gewarnt habe, wo ich auch gedacht habe: Okay, das ist jetzt spooky.

Aber ja, das passiert mittlerweile, und das ist mittlerweile auch nicht mehr der einzige Fall. Also, ich hatte jetzt schon in meinem Kreis von meinen Kunden drei Fälle, wo das passiert ist. Manchmal war es dann wirklich tatsächlich der Chef, der nachgemacht wurde. Manchmal war es aber auch sehr professionell angebliche IT oder angebliche Bank, was im dritten Fall die angerufen haben, aber halt sehr, sehr professionell.

Wo man früher sofort gehört hat, weil die Scammer kommen ja meistens nicht aus Deutschland, sondern aus dem Ausland, wo man sofort gehört hat, das ist kein Muttersprachler, oder man hat es dann in den Mails gesehen. Und das hat man halt heutzutage nicht.

Ja, da muss man sehr achtsam sein und noch viel weiter denken als davor.

Oder es ist in der eigenen App. Meistens hat man ja eine App, dass dann in der Commerzbank-App oder wo auch immer man ist, Sparkassen-App, eine Pushnachricht kommt. Dann okay, aber sonst kenne ich das.

Aber wo du jetzt sagst, ich warte auf einen Brief: Auch da ist man nicht mehr sicher. Mittlerweile gibt es Briefe, die gefälscht sind, angeblich vom Finanzamt, angeblich Bußgeldbescheide. Da sind dann QR-Codes drauf, die man scannt. Nennt sich Quishing.

Dann scannt man diese QR-Codes und dann haben die deine Daten. Dann sagen die: „Ach, hier, log dich noch mal bei PayPal ein“, und haben deine ganzen PayPal-Daten. Oder vielleicht hast du falsch geparkt und dann hast du vorne einen Zettel dran. Ist der Zettel wirklich von der Stadt Köln oder ist der von irgendeinem? Und selbst wenn er von der Stadt Köln ist: Ist das der originale QR-Code oder hat den irgendjemand noch mal überklebt?

Es gibt wirklich Leute, die gehen an den Straßen lang und überkleben sowas oder tun Zettel an falsch parkende Autos selber dran. Oder sie überkleben zum Beispiel den QR-Code an Ladesäulen oder in Restaurants, wenn der auf dem Tisch ist, in der Großstadt zum Beispiel. All das sind so Angriffe, wo viele gar nicht Bescheid wissen, aber das sind reale Angriffsszenarien.

Da musst du überlegen: Kann das sein, dass vielleicht dein Mitarbeiter mit dem Firmenhandy das nächste Mal, wenn er sein E-Auto auflädt, so einen falschen QR-Code scannt? Und dann schon habt ihr Schadsoftware im Haus drin.

Ich bin ja nicht nur Datenschützer, sondern ich bin ja selber Unternehmer. Das heißt, ich weiß ja auch, wie sich so ein Unternehmer fühlt: wie viele Mails ich am Tag kriege, wie viele Briefe ich in der Woche kriege, wo irgendjemand was von mir will. Und hier wird wieder was abgebucht und da muss was gemacht werden und da ist ein Abo. Man testet ja auch viel aus und sowas alles.

Klar, und auch sowas, wie du gerade gesagt hast: Da kommt mal eine Abbuchung von 60 € oder 60 $. Das muss man als Unternehmer auch erstmal auf dem Schirm haben und das überhaupt rausfiltern, und vielleicht kommt die dann jeden Monat. Ich weiß nicht, wie viele Unternehmen es gibt, die das gar nicht merken würden.

Ja, also es gibt verschiedene Möglichkeiten, es gibt verschiedene Dienstleister, verschiedene Möglichkeiten, wie man sowas regeln kann. Ich will nicht kleinreden, dass wir in Deutschland und in Europa ein Problem damit haben, dass es viel Bürokratie gibt und dass man viel beachten muss, was es in anderen Ländern nicht gibt. Aber das gibt's im Steuergesetz auch. Wie viel muss man da in Deutschland an Steuern alles beachten, Umsatzsteuervoranmeldung und, und. Es ist schon viel Papierkram, den man machen muss.

Da geht man zum Steuerberater, lässt es machen in der Regel. Und für Unternehmer gibt's halt zum Beispiel Dienstleister wie mich, die dann hingehen und sagen: „Okay, ich übernehme das für dich, ich filter dir heraus, was wichtig ist für dich. Für dich sind nicht alle 100 Artikel aus der DSGVO wichtig. Du musst dich auf das, das, das und das konzentrieren.“

Und wenn es einmal herausgestellt wurde und du einmal wirklich einen Plan hast und dann so ein bisschen an die Hand genommen wurdest und dir alles erklärt wurde, kannst du das entweder mit, ich würde mal sagen, überschaubarem Aufwand selber machen. Oder du holst dir halt einen Datenschützer, der dir hilft, der dich an die Hand nimmt und der das für dich macht. Auch das ist alles zahlbar. Es ist jetzt nichts, was einen in den Ruin treibt, aber irgendwie muss man es halt machen.

Wenn man noch gar kein Budget hat: Informiere dich beim Datenschützer deines Vertrauens, wenn er einen Blog hat oder wenn er zum Beispiel einen Newsletter oder sowas hat. Guck dir an, was die Aufsichtsbehörden dazu sagen. Guck dir an, in welcher Branche du bist, ob es da irgendwelche Vereine oder sowas gibt, die einem da helfen, genauso wie es bei Steuern halt Lohnsteuervereine gibt.

Da muss man immer gucken: Muss man am Anfang alles selber machen, informiert man sich oder holt man sich jemanden, der es dann for you macht? All diese Möglichkeiten gibt es. Das Einzige, was man nicht machen sollte, und das machen viele Unternehmer und besonders viele Selbstständige, das weiß ich wirklich: den Kopf in den Sand stecken und sagen, wird schon nichts passieren.

Ich will keine Angst machen, dass jetzt irgendwie die Aufsichtsbehörde kommt und mit einem großen Bußgeld um sich schmeißt. Das passiert selten kleinen Unternehmen. Gestern zum Beispiel kam raus: Google muss 405 Millionen Euro zahlen, habe ich gesehen. Euro, Dollar. Genau dafür ist die DSGVO gemacht.

Es kommt jetzt keiner zu einem kleinen Unternehmer und sagt: „Hier, gib mal weiß ich nicht wie viel Hunderttausend.“ In den seltensten Fällen. Aber was natürlich sein kann, ist: Du wirst gehackt und dann hast du ein riesen Problem und alle Daten sind weg. Da musst du mit deinen Kunden reden und kannst vielleicht nicht weitermachen.

All das sind so Sachen, ein bisschen muss man sich damit beschäftigen. Ich appelliere da ein bisschen an die Ehre des Geschäftsmanns oder der Geschäftsfrau. Man hat Pflichten, man hat nicht nur Rechte. Man kann nicht immer nur sagen: „Okay, wir haben ja ein geiles Leben, wir können arbeiten, wann wir wollen“, und sowas alles. Ist schön als Unternehmer, müssen wir nicht drum rumreden.

Aber um ein paar Sachen muss man sich kümmern. Entweder macht man es inhouse, holt sich selber die Informationen und setzt das selber um, oder man holt einen Dienstleister. Ganz einfach, das sind so die Möglichkeiten.

Wenn wir jetzt beim Thema Datenschutz bleiben, Datenschutz und, ich würde mal so sagen, Cybersecurity: Beim Selbstständigen geht's los. Du hast eine Webseite, da ist keine vernünftige Datenschutzerklärung drauf, der Cookie-Banner funktioniert nicht richtig. Dann gibt's wieder eine Abmahnwelle wie damals mit den Google Fonts und dann kommt irgendein findiger Rechtsanwalt und mahnt dich ab. Oder ein unzufriedener Kunde oder ein Mitbewerber kommt auf die Idee und mahnt dich ab, und dann hast du da Probleme mit.

Dann zahlst du da irgendwie einen hohen dreistelligen Betrag, vielleicht einen vierstelligen Betrag, dann hast du internen Aufwand, dann wirst du bei der Datenschutzaufsichtsbehörde genannt. Diese Sachen können passieren, dass du auf der Webseite einfach Probleme hast.

Das ist das Erste, was du fixen solltest. Die Webseite muss vernünftig sein: Cookie-Banner vernünftig eingebunden, Datenschutzerklärung muss stimmen, Impressum muss stimmen. Solche Sachen müssen einfach stimmen, weil das ist das, was nach draußen geht. Das ist das größte Einfallstor für Beschwerden und sowas.

Dann halt, was ich schon gesagt habe: auf Phishing achten. Also nicht auf Links klicken beziehungsweise wissen, was man da macht, vernünftige Systeme eingesetzt haben. Das ist ein riesen Ding, wo es Probleme gibt, dass man da gehackt wird und dann sind die Daten weg und alles ist verschlüsselt. Oder es wird damit gedroht, dass die Daten im Darknet landen. Auch das kommt gerade unfassbar oft vor.

Was gerade sehr problematisch ist: wenn man Dienstleister einbindet, einen Webhoster, einen Hoster für deine E-Mails oder sonst was, und der wird gehackt. Dann hast du ein Problem, wenn du keinen Auftragsverarbeitungsvertrag mit dem hattest. Bei vielen von denen denkt man ja, das wird ja schon irgendwie so stimmen, das wird in den AGBs drin sein. Aber ganz oft muss man diesen Vertrag einmal abschließen mit denen.

Wenn du dann keinen Vertrag mit denen abgeschlossen hast, dann hast du ein Problem als Verantwortlicher, weil die Daten dann weg sind. Auch wenn du gar nichts falsch gemacht hast: Du musst nur diesen Vertrag einmal abgeschlossen haben. Also guckt: Welche Verträge müsst ihr haben und habt ihr die auch abgeschlossen? Auftragsverarbeitungsvertrag nennt sich das bei ganz, ganz vielen Sachen.

Es geht vor allem so einfach. In den allermeisten Fällen sind das drei, vier Klicks. Und dann wird's nicht gemacht und dann wird der gehackt und dann hast du ein riesen Problem, obwohl du nichts falsch gemacht hast. Das ist eine Sache.

Wenn wir jetzt eine Stufe drüber gehen, wir reden jetzt von Unternehmen, die vielleicht einen Standort haben und eine Videoüberwachung haben: Da sind wir in Deutschland sehr extrem. Das ist eine sichere Sache, da gibt's Stress. Wegen Videoüberwachung wird sich immer jemand beschweren.

In Deutschland ist das ganz extrem im Vergleich zu anderen europäischen Ländern. Ich meine, wir haben halt die NS-Zeit hinter uns, wir haben halt die Stasi hinter uns. Die Leute wollen nicht gefilmt werden und da gibt es sehr, sehr viele Beschwerden immer deswegen. Das heißt, man kann davon ausgehen: Wenn man irgendwo eine Videoüberwachung macht, da wird sich jemand beschweren.

Das heißt, da muss auch alles stimmen. Speicherzeiten nicht länger als 72 Stunden, wird da empfohlen. Die Daten jetzt vielleicht nicht in die Cloud nach China, nur weil das der günstigste Anbieter war. Ein vernünftiges Hinweisschild hinmachen, und nicht einfach nur „Hier wird videoüberwacht“, sondern ein richtiges, korrektes Schild, wo alle Angaben drauf sind aus der DSGVO. Auf sowas muss man da achten. Das ist dann wieder ein großes Einfallstor.

Und was gerade auch, seitdem die KI immer mehr berät, sagen wir mal so, ein großes Ding wird, besonders wenn man jetzt schon ein paar Mitarbeiter hat als Unternehmer: dass Betroffenenrechte geltend gemacht werden. Bedeutet, jemand kommt und sagt: „Ich hätte gerne meine Informationen nach Artikel irgendwas DSGVO“, oder schreibt sowas wie Betroffenenrechte. Wenn irgendwie so etwas in der Mail steht oder jemand ruft an oder schickt einen Brief oder sonst was: immer Obacht. Das könnte Stress geben.

Weil es ist ganz oft so: Dieses Recht hat halt jeder. Jeder Betroffene, jeder Mensch in Deutschland hat das Recht, zu jeder Firma, Verein, sonst was zu gehen und zu sagen: „Ich hätte gern Informationen über alle personenbezogenen Daten, die ihr habt von mir.“

Und wenn man darauf dann nicht fristgerecht innerhalb eines Monats antwortet, wenn man nicht korrekt antwortet, wenn man nicht vollständig antwortet oder wenn man antwortet und da sind Sachen drin, die schon längst hätten gelöscht werden müssen, dann kriegt man häufig Stress. Weil die Leute, die diese Rechte geltend machen, sind selten Leute, die es einfach nur so machen. Das sind oft Leute, die auf Krawall gebürstet sind, die irgendwas wollen. Mitarbeiter, die eine höhere Abfindung haben wollen oder auf Wiedereinstellung klagen.

Das ist das Erste, was bei jedem YouTube-Video kommt, wenn du sagst: „Ich wurde gekündigt, was tun?“ Wenn du das googelst, kommt das. Wenn du einen Anwalt fragst, kommt das. Wenn du bei ChatGPT, Claude oder sonst irgendwas fragst: „Ich wurde gekündigt. Was mache ich jetzt?“ Das Erste ist immer: Hol dir erstmal nach DSGVO deine Daten, dann schauen wir weiter.

Dann wird in diesen Daten gesucht, ob da irgendwas falsch läuft oder ob da irgendwelche falschen Daten drin sind, unvollständig, ob die vielleicht gar nicht antworten. Und dann kriegt man deswegen richtig Probleme. Da muss man ein bisschen drauf achten, dass da alle im Unternehmen Bescheid wissen: Ah, okay, da gibt es was, Betroffenenrechte, und wie damit umgegangen wird und halt sowas.

Letzte Sache: diese Datenpanne, über die ich schon geredet habe, dass man da auch weiß, was dann zu tun ist. Wenn jetzt dein Dienstleister, dein Webhoster zum Beispiel, zu dir hinkommt und sagt: „Pass auf, wir sind Opfer von einem Phishing-Angriff, einer Cyberattacke oder sowas geworden, auch eure personenbezogenen Daten sind betroffen.“ Weißt du dann, was zu tun ist?

Dann musst du das, sobald du das weißt, innerhalb von 72 Stunden melden bei der Aufsichtsbehörde. Da müssen alle Informationen drin sein. Was für Informationen müssen da rein? Wer ist die zuständige Aufsichtsbehörde für dich? Und sowas. Für all diese Sachen brauchst du Prozesse.

Das ist so eine Sache, da muss man sich halt mit auseinandersetzen. Ob man das jetzt komplett selber macht: Es gibt gute Videos dazu, es gibt gute Informationen der Aufsichtsbehörden dazu. Man kriegt das alles selber hin. Wenn man aber sagt, ich will den vollen Fokus auf meinem Unternehmen haben, dann holt man sich jemanden dazu, der da helfen kann.

Genau. Bleiben wir kurz bei den Schildern. Da muss ein Piktogramm drauf. Da gibt's auch Beispiele von der Aufsichtsbehörde, die kann man sich runterladen, kann man dann direkt verwenden. Da ist dann so ein blaues Piktogramm mit so einer Kamera drauf.

Dann steht daneben: Okay, wer ist verantwortlich für die Daten? Wer ist der Datenschutzbeauftragte? Wie lange werden die Daten gespeichert? Und, und. Die Sachen stehen dann daneben.

Ich löse das dann immer so, dass unten noch so ein QR-Code oder ein Link dafür da ist: „Hier geht's zu weiteren Informationen“, und dann kommt man zur ausführlichen Datenschutzerklärung auf der Webseite. Wenn man das nicht machen will, kann man auch einfach ein Schild mit allen Informationen machen, das ist dann aber wirklich viel Text.

Aber das ist alles eine Pflicht aus der DSGVO, das muss gemacht werden. Da kann ich wirklich versprechen: Wenn man das nicht macht, kriegt man definitiv Stress, weil da gibt's immer jemanden, der sich beschwert.

Kommen wir zu größeren Unternehmen. Das ist ein schönes Beispiel, weil das sehr aktuell ist, das habe ich bei vielen Kunden gerade. Und zwar: Wenn man neue Leute einstellt, sagen die Leute das bei LinkedIn oder bei Xing. Die machen entweder einen Post, „Ich bin hier neu angestellt“, oder ändern auch nur im Lebenslauf ihren Arbeitgeber. Das reicht schon.

Dann gibt's Angreifer, die suchen explizit danach, und dann sehen die: „Ach, guck mal hier, Peter Müller von Unternehmen XY ist jetzt neu da.“ Und dann kriegt der Phishing-Mails, aber Spear-Phishing. Es ist ja logisch, wie die E-Mail-Adresse von dem ist. Das ist ja bei den meisten Unternehmen vorname.name@unternehmensname.de oder .com. Das kriegt man leicht raus, wie das funktioniert.

Und dann kriegen die personalisierte Mails von der IT-Abteilung, mit natürlich dem richtigen Namen, weil von dem großen Unternehmen weiß man, wer da die IT-Abteilung leitet. Das kriegt man raus über die Webseite, über LinkedIn oder sonst was. Vom Geschäftsführer, von der HR-Abteilung, und alle sagen dann: „Hier, klick mal hier, um deinen Account zu verifizieren.“ Oder: „Hier, hallo von der Geschäftsleitung“, kommt eine Mail, und dann bestätigt man mit irgendeinem Klick oder sonst irgendwas.

Diese Mails kommen gerade massenhaft, besonders für neue Leute. Warum neue Leute? Weil die wissen noch nicht so ganz genau: Okay, wie ist die Unternehmenskultur? Wie reden die Leute hier miteinander? Ist das legitim, dass der Geschäftsführer mich anschreibt oder die IT-Abteilung? Die wollen keine Fehler machen und sind sehr leichte Ziele.

Das passiert gerade sehr, sehr oft, dass neue Mitarbeiter direkt unglaublich gute Phishing-Mails kriegen, Spear-Phishing-Mails. Deswegen ist das so wichtig, dass beim Onboarding schon darüber geredet werden muss und das schon alles geklärt werden muss.

Genau, das ist sinnvoll, weil viele sagen: „Macht das nicht, das zeigt den Leuten, dass die eine Phishing-Mail erkennen könnten. Und das kann man heutzutage halt nicht mehr. Macht eure Systeme so, dass Phishing-Mails keine Chance haben.“ Verstehe ich, den Ansatz.

Ich habe allerdings den Ansatz, dass ich sage: Die lernen bei diesen Sachen ja, genau darauf zu achten, auf den Inhalt zu achten. Weil diese Phishing-Mails, die selber erstellt wurden, sind perfekt gemacht. Da stimmt die Anrede, da stimmt alles. Und da achten die dann extra nicht mehr auf sowas wie Schreibfehler, sondern auf den Inhalt.

Und wenn die das dann erkennen, dann ist von der Awareness ein riesen Schritt gemacht. Die haben das ja in ihren Arbeitsalltag integriert, weil es könnte ja jederzeit kommen, und die haben das ständig im Kopf, dass das so sein könnte. Das hilft meiner Meinung nach unglaublich. Ich setze das auch sehr, sehr gern bei Kunden ein. Das ist ein super Mittel dafür.

Ja, das ist auch gar nicht so Mitarbeiterüberwachung, wer wird an den Pranger gestellt, darum geht es gar nicht. Es geht auch ein bisschen darum zu gucken: Okay, sind unsere Mitarbeiter genug geschult? Sind die auf dem guten Stand? Das hilft wirklich dabei, so Klicks zu vermeiden. Nummer eins.

Zum Beispiel dieser Hack in Berlin, jetzt vor kurzem, als das Land Berlin da gehackt wurde: Das wurde durch so eine Phishing-Mail ausgelöst. Hätte die Person ein bisschen mehr Awareness gehabt, wer weiß, was dann passiert wäre. Wobei die Sicherheitsvorkehrungen eine Katastrophe waren, aber das ist ein anderes Thema.

Also dabei hilft das. Und natürlich hilft das auch, wenn was passiert. Dann kann man nachträglich hingehen und der Aufsichtsbehörde sagen: „Es ist zwar was passiert, aber wir haben wirklich alles versucht. Wir haben die Mitarbeiter geschult, die haben Richtlinien und die kriegen noch diese Awareness-Maßnahmen, dass die Testmails kriegen. Und trotzdem ist es passiert. Wir haben alles versucht, was wir konnten.“

Das hilft dann dabei, dass man kein Bußgeld kriegt oder keine Verwarnung oder keine Nachprüfung oder sowas. Je mehr man von diesen Sachen sammelt, desto besser ist es. Dann kriegt man meistens, selbst wenn dann was passiert, kein Bußgeld und alles ist in Ordnung. Und man kriegt vielleicht doch eher eine Cyberversicherung, wenn man solche Maßnahmen macht. Es hat viele Gründe, warum das sinnvoll ist.

Ja, habe ich gerade aktuell wirklich. Also letztes Wochenende, jetzt nicht gestern, sondern das davor, war das komplette Wochenende nur damit voll. Was passiert dann? In erster Linie sollte man, wenn man irgendwas merkt, den Datenschutzbeauftragten kontaktieren, dann die IT-Abteilung kontaktieren. Man sollte einen Notfallplan haben, um zu wissen: Okay, wer sind die Ansprechpartner?

Dann läuft die Zeit, dann hat man 72 Stunden Zeit, um das zu melden bei der Aufsichtsbehörde. Und man muss gucken: Okay, was ist jetzt passiert? Welche Daten sind weg? Haben wir Backups? Haben wir keine Backups, können wir es wiederherstellen? Wurden die Daten ausgelesen oder sind die nur verschlüsselt? Also nur verschlüsselt oder hat die jetzt auch jemand und kann die veröffentlichen?

Für all sowas hilft es, wenn man dann einen guten IT-Forensiker hat. Sowas mache ich zum Beispiel nicht. Also, ich bin Datenschutzbeauftragter. Ich habe da nicht meine Expertise, dass ich dann da reingehe und solche Maßnahmen wie IT-Forensik mache.

Habe aber über die Jahre natürlich ein hervorragendes Netzwerk. Und da kommt dann bei meinen Kunden einer von meinen Partnern ins Unternehmen oder schaltet sich dazu und findet dann Antworten auf all diese Fragen. Der kann dann vielleicht die Sicherheitslücke schließen, kann dann vielleicht sagen, welche Daten betroffen waren.

Ich habe zum Beispiel einen Fall, der ist jetzt zwei, drei Jahre her. Da war es so, dass die Sachen hochgeladen haben im Darknet, wirklich. Also, wir reden von Nebenwirkungsmeldungen: wer welche Potenzmittel und sowas nimmt und was für Nebenwirkungen dabei hatte, wer welche Krebsmedikamente nimmt. Also wirklich, wir reden von sensiblen Daten ohne Ende. Wurden hochgeladen.

Und die Angreifer haben gesagt: „Das waren nur 0,1 % der Daten, die wir gehabt haben. Wenn ihr so und so viele Bitcoins zahlt“, oder Monero hatten die damals gefordert, eine andere Kryptowährung, „dann veröffentlichen wir alles und dann könnt ihr euren Laden zumachen.“

Die IT-Forensik, die wir bestellt haben, die dann mit mir zusammengearbeitet hat, hat dann geguckt: „Nee, nee, das ist fast alles, was die haben. Die haben gar nicht mehr. Die haben geblufft.“ Weil wir konnten sehen: Was war kompromittiert, welche Daten sind abgeflossen, welche nicht? Und dadurch war dann ganz klar, dass wir nicht bezahlen, weil die hatten gar kein Druckmittel in der Hand. Das war halt ein Bluff.

Auch, wenn es irgendwie geht: nicht bezahlen. Weil wenn man bezahlt, darauf eingeht, dann kommt man auf, ich nenne die die Lohnenswertliste. Weil dann spricht sich das rum: Ah, den müsst ihr angreifen, die bezahlen. Das ist ein lohnenswertes Opfer. Also, darauf sollte man achten.

Man sollte das Bundeskriminalamt einschalten, die haben da extra eine Behörde für Cybercrime. Man kriegt da keinen Stress. Also arbeitet mit den Leuten zusammen. Ihr kriegt da keine Haue oder kriegt irgendwie sonst einen drauf, sondern die wissen selber, dass das gerade ein Riesenproblem ist, und helfen da auch dabei.

Die IT-Forensik hilft euch, einschätzen zu können, ob ihr danach wieder sicher seid und sowas. Alles klar, es kostet dann Geld, logisch. Aber dann wisst ihr auch, wie ihr eine Meldung machen müsst bei der Aufsichtsbehörde.

Letzte Woche, von der Meldung, wo ich erzählt habe: Die wurden gehackt, alles war down. Wir konnten es aber wiederherstellen. Die IT-Forensik hat im Tempo alles herausgekriegt, welche Daten betroffen waren, was hochgeladen wurde. Und dann konnten wir eine so gute Meldung bei der Aufsichtsbehörde machen, diese Meldepflicht, die man da hat, wo alle Daten drin waren, wo wir nachweisen konnten, dass wir es nicht schuld waren, also dass wir uns gut vorbereitet haben.

Und keine 12 Stunden später kam die Bestätigung von der Aufsichtsbehörde, die gesagt hat: „Alles klar, ist für uns abgeschlossen, bitte nicht noch mal machen.“ Und die haben nicht mal Nachfragen gestellt, weil einfach die Kommunikation so gut war.

Und wenn man dann eine gute IT-Forensik hat und einen Datenschützer, der Ahnung von der Materie hat und vielleicht auch die Aufsichtsbehörde schon kennt, schon so ein paar Fälle durchgemacht hat, dann kriegt man in der Regel, selbst wenn man gehackt wurde, kein Bußgeld oder so.

Und trotzdem ist es wichtig, dass man nicht zu viele Daten verliert. Weil wenn die Daten halt einmal im Darknet sind, sind sie im Darknet, und dann hat man ein Problem. Und das Problem ist dann nicht die Aufsichtsbehörde, sondern das sind dann die Kunden, die kein Vertrauen mehr haben.

Ja, das auf jeden Fall. In den allerallermeisten Fällen sind das Bluffs, die haben gar kein Material von sonst irgendwas. Also klar, sinnvoll ist es: Klebt eure Kamera ab, sowieso. Also die meisten neuen haben ja so einen Schieberegler da oben dran. Macht das natürlich, dann muss man gar nicht drüber nachdenken.

Aber sonst, das sind fast immer Bluffs. Und die kommen dadurch, dass halt irgendjemand gehackt wurde. Irgendwie kamen die auf dein Passwort, weil es zu schlecht war oder weil halt irgendeiner deiner Dienstleister gehackt wurde. Und dann können die dir von deinem E-Mail-Account dann was schicken als Beweis: „Wir haben alles von dir.“ Aber mehr haben die dann gar nicht.

Aber ja, solche Sachen kommen auch da. Natürlich ist mein erster Rat auch: Zahlt nichts. Aber sonst ruft euch jemanden, der Ahnung davon hat und der mal guckt. Jetzt nicht bei jeder Phishing-Mail, das nicht. Aber wenn wirklich irgendwas ist, einer eurer Accounts wurde gehackt, holt euch jemanden, der Ahnung hat. Das definitiv.

Ich sag mal so: Alle Unternehmer, mit denen ich ja zu tun habe, die kommen dann ja richtigerweise zu mir und die machen dann nichts falsch. Was ich allerdings schon gehört habe, ganz viel: dass die drauf eingehen, dass die denken: „Ach, guck mal, die fordern jetzt nur irgendwie 2.000 € oder sowas. Das ist ja günstiger, als wenn wir uns jetzt einen Anwalt holen, der da irgendwie gegen vorgeht.“ Also es wird oft im blinden Gehorsam bezahlt.

Und was auch oft passiert: Es ist irgendein Cybervorfall und dann nehmen die direkt alles vom Strom und denken, jetzt ist alles geklärt. Aber das kann wieder auch Beweise vernichten und sowas. Also, dass die dann direkt alles komplett ausmachen, ausstecken, vom Strom nehmen, auch das ist nicht immer die beste Lösung. Also, dass die dann ohne Sinn und Verstand handeln und vorher kein Sicherheitskonzept hatten.

Und man muss sich vorher als Unternehmer, auch da wieder: Ihr seid Unternehmer, ihr habt Verantwortung für eure Daten, für die Kundendaten und sowas alles. Schützt die und habt Vorkehrungen. Was passiert, wenn ich gehackt werde? Habe ich ein Backup? Habe ich das Backup auf demselben Laptop? Oder wenn bei euch eingebrochen wird, liegt das Backup neben dem Laptop oder habe ich das irgendwo noch mal mehrfach gesichert?

Also habt einen Plan, was passiert, wenn was ist, und danach nicht kopflos handeln. Sondern habt vielleicht dann auch vorher schon mal einen Ansprechpartner, den ihr ansprechen könnt, und nehmt da jemanden eurer Wahl und arbeitet mit dem zusammen und macht nicht alles.

Aktuell sehe ich ja, wie gut das funktioniert bei den neuen Mitarbeitern. Also wenn ich es jetzt machen müsste: Ich finde auch so Sachen lustig, dass man wirklich noch oldschool, Ocean's-Eleven-mäßig oder sowas reingeht ins Unternehmen und dann irgendwie im Blaumann oder mit einer Leiter oder sowas dahingeht. Auch das mache ich teilweise für Kunden. Das ist dann Awareness und das bespreche ich dann vorher mit dem Geschäftsführer und sowas alles. Macht mir auch Spaß.

Also, dass wir dann reingehen und gucken: Wie sind die Social-Engineering-Skills? Dann gucken wir mal in dem neuen Unternehmen, die mich halt vielleicht noch nicht kennen als Datenschutzbeauftragten, dann gehe ich mal rein und guck mal, was ich da so sehen kann. Wenn ich in eine Arztpraxis reingehe, gucke ich mir mal an: Was für Patientendaten kann ich denn jetzt hier abgreifen? Da ist ganz oft dann der Bildschirm so gedreht, dass man gucken kann und sowas alles. Also, damit hat man schon ganz, ganz viele Sachen.

Man geht rein mit einem Klemmbrett oder mit einem Blaumann und sagt: „Ich muss hier irgendwas machen.“ Also, es reicht oft schon. Und dann steckt man einen USB-Stick rein und dann hat man es, oder man klaut einen Laptop, der gerade offen steht, oder sonst irgendwas. Das ist eine Methode, die Spaß macht. So könnte man es machen.

Und sonst, ja, Lücken finden. Also keine Anleitung machen, aber ich sag mal so: Die KI-Tools, besonders die aktuellen, besonders Claude ist da, dass die dafür gemacht sind, Sicherheitslücken zu finden, um die zu schließen. Natürlich. Die bösen Buben finden auch diese Lücken, aber die nutzen sie halt aus. Also, mit KI ist es sehr, sehr viel einfacher geworden, und auch das ist eine neue Herausforderung, auf die man sich vorbereiten muss.

Ja, ja, klar.

Ja, ich meine, Louvre lief auch ähnlich. Wann war das, letztes Jahr? Die sind da auch einfach mit Blaumännern und Leitern und so reingegangen. Ich hab's jetzt nicht mal 100 % im Kopf, aber auch das ging in diese Richtung. Und auch da gibt's ja 1.000 Filme, „Catch Me If You Can“ und sowas alles. Das kommt ja alles nicht von ungefähr.

Das funktioniert tatsächlich, weil die Leute denken: „Ja klar, kommt da jetzt jemand, der die Heizung reparieren muss. Ja, kann ja sein, lasse ich den mal rein.“ Und da müssen alle im Unternehmen wissen: Wenn sowas passiert, klärt das ab. Ist das legit, dass der jetzt hier reinkommt? Also klärt das mit dem Vorgesetzten oder Geschäftsführer, wer auch immer.

Klärt das ab: Kommt heute wirklich jemand? Ist das in Ordnung? Und im Zweifel ruft ihr bei der angeblichen Firma an. Auch das kennt man ja, dass jemand zum Stromablesen kommt mit dem Klemmbrett. Auch das gibt's ja im Privathaushalt, und dann wird da alles ausgeraubt oder sonst irgendwas. Das gibt's ja selbst bei privat, und bei Firmen ist das natürlich noch lohnenswerter.

Wobei ich aber natürlich sagen muss, dass dieses Social Engineering wirklich jetzt vor Ort natürlich weniger geworden ist im Gegensatz zu KI-gestützten Phishing-Angriffen oder Cyberangriffen. Aber ich finde die lustig halt.

So muss es sein.

Genau, da gab's eine Besucherregelung, also sowas mache ich mit meinen Konzernkunden. Ich habe auch einige Konzerne bei mir drin. Ich war auch letztens in Amerika, da läuft es wieder ganz anders. Da war ich in Kalifornien, auch für einen Kunden habe ich da ein bisschen geguckt, wie es da läuft. Und da ist es dann noch mal krasser, wer da rein darf und wer nicht und wer da wie abgetastet wird, und mit Waffen und sowas alles.

Aber auch hier: Eine vernünftige Besucherregelung muss es da geben. Ist der angekündigt, der Handwerker? Ist der nicht angekündigt? Und wenn er nicht angekündigt ist, dann muss erstmal gecheckt werden, ob der da rein darf, und dann auch, dass der dann nicht alleine einfach irgendwas machen darf, sondern in Begleitung. Also all das muss geregelt sein und ist es in guten Unternehmen halt auch.

Ja, klar. Einfach ausnutzen, dass wir heute als Unternehmer jeden Tag 200 E-Mails im Postfach haben, und einfach drauf hoffen, dass er da mal einen falschen Klick macht. Das auf jeden Fall.

Was auch funktioniert, besonders bei Unternehmern, die Umsatz wollen, ist, dass das angebliche potenzielle Kunden sind, die sich dann melden und dann irgendwas haben wollen, und dass man da dann dadurch Informationen kriegt. Auch das sind Möglichkeiten. Aber ja, Phishing-Mails sind schon sehr, sehr verbreitet und sehr gut aktuell, und dadurch gibt's oft Probleme.

Ja, ist eine Never-ending Story. Das ist ein Katz-und-Maus-Spiel tatsächlich. Was ist gerade besser: die Spamfilter oder die Angreifer? Das war jahrelang immer ziemlich gleich, und jetzt halt, seit KI, ist es so, dass die Angreifer da ganz neue Mittel gekriegt haben.

Klar, den Absender sperren und sowas. Alles klar. Man kann es bei der Bundesnetzagentur melden und sowas alles. Das sind Sachen, aber das verhindert nicht, dass die dann wieder von einem anderen Account weiterschreiben.

Genau. Und dann halt: Man braucht Prozesse im Unternehmen, dass es halt nicht möglich ist. Wenn jetzt jemand wie in Berlin, die hat ein reCAPTCHA gelöst, und durch diese Tastenkombination, da stand dann: „Drück die und die Tastenkombination und dann löst du das reCAPTCHA“, und dadurch ist das dann passiert, dass die ein Einfallstor geschaffen haben.

Einfach muss man natürlich auch als Unternehmen eine so fähige IT haben, IT-Security haben, dass das gar nicht möglich ist durch so ein paar falsche Klicks. Die DSGVO fordert technische und organisatorische Maßnahmen. Also einmal die IT-Security, technisch muss die gut sein, aber auch der Nutzer muss aware sein.

Das heißt, das ist wirklich die wichtigste Sache, dass die Mitarbeiter alle Bescheid wissen: Das sind die aktuellen Themen. Und so alle zwei Jahre, wie das früher noch war, eine Datenschutzschulung, ist da gar nicht mehr ausreichend aktuell. Das muss schon häufiger sein.

Ich arbeite immer gerne aus einer Mischung aus wirklich am besten Präsenz, wirklich vor den Leuten stehen, mit denen reden. Da kommt ein ganz anderer Vibe, da redet man ganz anders, als wenn das irgendwie ein Online-Ding ist. Sonst aber wenigstens ein Live-Online-Meeting, wenn die irgendwo sonst verteilt sitzen, dass die wenigstens alle live da sind, Fragen stellen, vielleicht interagieren, zwischendurch mal Fragen beantworten im Chat, wer wo sitzt, sowas alles. Dass die sich auch melden und Handzeichen machen und auch sprechen dürfen und sowas.

Das ist eine wichtige Sache, aber halt einmal im Jahr reicht nicht aus. Kombiniert das mit sowas wie Phishing-Attacken, mit so Testmails, kombiniert das mit diesen Durchklickschulungen, dass die da jeden Monat irgendwie noch was machen müssen, also dass das so ein Gesamtding ist. Eine Sache alleine ist selten ausreichend. Also wirklich, das ist den aktuellen Gefahren nicht angemessen. Deswegen würde ich da sagen: Macht zwei, drei Sachen in Kombination.

Aber das Wichtigste ist wirklich, besonders je größer das Unternehmen wird: Holt euch mal jemanden rein, der wirklich eine Schulung bei euch gibt. Da kommt tausendmal mehr bei rum.

Ich gehe immer hin und geb den Unternehmen direkt beim Onboarding, dass die ein Schulungsvideo von mir bekommen. Das geht 35 Minuten, da gucken die die Basics Datenschutz, weil ich kann nicht zu jedem Kunden immer, wenn die einen neuen Mitarbeiter haben, sofort die Schulung machen. Das heißt, irgendwas müssen die haben, bevor die in die erste Live-Schulung kommen von mir. Und dann sehen die das Video und dann stelle ich Nachfragen zu diesem Video. Da bleibt nichts hängen.

Da müssen wir ganz ehrlich sein, da bleibt nur ganz, ganz wenig hängen. Und wenn die mal so eine Live-Schulung gehabt haben, danach sieht das ganz anders aus, weil da kannst du ganz anders interagieren, als wenn die einfach nur vorm PC sitzen.

Ja, auch da sage ich: Macht die Kamera an. Also, ich will euch danach Zertifikate geben. Wenn ich zum Beispiel eine KI-Schulung gebe, dann gebe ich danach Zertifikate über diese KI-Kompetenz nach Artikel 4 KI-Verordnung, die braucht jeder. Das ist auch sinnvoll, dass jeder, der KI nutzt, und eigentlich auch die, die keine KI nutzen, weil die Angreifer nutzen ja KI, eine gewisse Art von KI-Kompetenz haben.

Was sind so die aktuellen Gefahren? Was darf man irgendwo eingeben? Was muss man für Einstellungen machen? Was für Tools sollte man nutzen? So eine Grundschulung zur KI-Kompetenz, wenn ich die gebe in den Unternehmen: Ich gebe keinem ein Zertifikat, der dann irgendwie da zwei Stunden saß und seinen Bildschirm aus hatte und vielleicht Netflix geguckt hat oder andere E-Mails geschrieben hat.

Also, das mache ich nur bei Leuten, die interagiert haben. Wo die abgestimmt haben, wenn ich mal eine Frage reinstelle, wo wirklich Interaktion war, wo ich weiß, die haben zugehört und die Kamera anhatten, dann können wir drüber reden. Aber sonst, wenn die einfach nur da waren, das Video geguckt haben, da bleibt nichts hängen. Da kann ich nicht guten Gewissens sagen: Die Person hat jetzt irgendwie auch nur ansatzweise eine Art von KI-Kompetenz.

Ja, aber das gehört zu einer guten KI-Schulung dazu, auf jeden Fall. Also das ist einer der Bestandteile. Definitiv.

Ja, ich darf ja anonymisiert über alle sprechen. Also das, was ich vorhin erzählt hatte mit den Nebenwirkungsmeldungen, da werde ich jetzt mit Sicherheit nicht sagen, wer das war. Also logisch. Und auch nicht, wenn da jemand mal sonst irgendwie gehackt wurde, natürlich. Also, ich habe so viele Kunden und so viele schon betreut, dass man da keine Rückschlüsse ziehen kann.

Schön fand ich einen Fall. Also das mit den Nebenwirkungsmeldungen war natürlich eine krasse Sache, definitiv. Aber schön fand ich auch eine Sache, wo ein Onlineshop einen anderen Onlineshop aufgekauft hat. Marktführer hat den zweiten Marktführer aufgekauft. Ich habe die betreut und habe ganz klar gesagt, was die dürfen, was die nicht dürfen mit Einwilligung von Newsletterdaten zum Beispiel, und wem man dann noch weiter was schicken darf und wem nicht.

Und durch irgendeinen Systemfehler, durch wie auch immer, nennen wir es Systemfehler, Fehler von den Menschen dahinter, vollkommen irrelevant, sind an 150.000 Leute, abgerundet, E-Mails rausgegangen. 150.000, ohne Einwilligung, und die dann gesagt haben: „Was ist das denn für eine Firma? Kennen wir ja gar nicht.“ Was glaubst du, wie viele davon sich beschwert haben?

Ja, wir leben hier in Deutschland, beschweren sich gerne die Leute. Da kam eine Flut an Mails. Das Schlimmste war, die nächste Mail war schon programmiert. Das war so eine Follow-up-Mail von einem auf den anderen Tag, die ging dann auch noch raus. Und das ging dann alles weg und da war Highlife. Das hat Monate gedauert in der Aufarbeitung.

Da habe ich dann Anwälte aus Köln, mit denen ich sehr, sehr gut zusammenarbeite seit vielen Jahren, die habe ich dann dazugeholt. Und auch da haben wir es geschafft, meine 100-%-Quote aufrechtzuhalten. Auch da haben wir kein Bußgeld gekriegt, obwohl das natürlich ein absoluter Fauxpas war. Also schlimmer kann man es sich gar nicht vorstellen, was Datenschutz angeht.

Für keine dieser Sachen gab es eine Einwilligung oder sowas. Das ist halt passiert. Die Daten waren halt noch da, durften aber nicht genutzt werden. Und das war ein Riesenfall auf jeden Fall. Das definitiv.

Ja, und das mit den Nebenwirkungsmeldungen, da war auch wochenlang Highlife, und Forensiker und Landeskriminalamt und Aufsichtsbehörden. Da hatten wir jeden Tag Spaß mit. Auf jeden Fall, das sind so größere Fälle, die ich dabei hatte.

Aber auch die kleinen haben es in sich. Jetzt zum Beispiel, da kamen ganz viele Fotografen vor kurzem. Wann war das? Im Juni muss das gewesen sein, um Pfingsten rum war das. Da wurde ein Anbieter gehackt, der die Bilder von Fotografen, wenn man zum Beispiel Kita-Fotograf ist oder sowas, wenn dann diese Bilder an die Eltern weitergegeben werden. Diese Plattform wurde gehackt und dementsprechend kann man sich halt vorstellen, wie viele Kinderfotos dann auf einmal von Kleinkindern online waren.

Das war ein Riesenfall, wo ich dann auch, weiß ich nicht, bestimmt 15, 16, 17 von den selbstständigen Fotografen, die natürlich von Datenschutz alle keine Ahnung haben und von diesen ganzen Sachen, die haben mich aufgelöst angerufen, haben gedacht: „Komme ich jetzt ins Gefängnis?“ und sowas alles. Da gab's ein Riesenproblem. Und die meisten von denen hatten zum Beispiel keinen Vertrag abgeschlossen mit diesem Dienst, keinen Auftragsverarbeitungsvertrag abgeschlossen mit diesem Dienst.

Die hatten ein Riesenproblem. Also die waren es dann selber nicht schuld, und auch da geht die Aufsichtsbehörde jetzt nicht hin und gibt dann jedem von denen irgendwie riesen Bußgelder, weil die da Mist gebaut haben. Aber man muss dann vernünftig agieren. Aber da ist schon einiges zusammengekommen.

Woran arbeite ich gerade? Ich habe gerade einige Keynotes vor der Brust, also einige Vorträge, auf der IDACON zum Beispiel, auf der TÜV-Datenschutzkonferenz und sowas. Und da werde ich dann auch Datenschützer, die jetzt noch nicht so bewandert sind, was KI-Verordnung und sowas angeht, die werde ich da ein bisschen ausbilden, die nächste Generation der Datenschützer. Also, da bin ich gerade viel dran, da die Konzepte zu schreiben, dass ich da die Schulungen und Workshops geben kann. Das ist gerade ein großes Ding.

Man findet mich am allerbesten auf LinkedIn. Da bin ich sehr, sehr aktiv, auch jeden Tag. Und sonst ist das wirklich das nächste große Ding, auch herzliche Einladung, aber du bist gerade in Kroatien: Am 14.11. im schönen Rheinland in Monheim am Rhein mache ich den zweiten Tatort Mittelstand. Der erste war im Frühling und der kam so super an, dass ich jetzt eine zweite Veranstaltung mache.

Also wirklich eine Live-Veranstaltung, nicht online oder sowas, live vor Ort mit bestem Catering und sowas alles. Und da habe ich dann halt meine Leute, mit denen ich halt seit vielen Jahren vertrauensvoll zusammenarbeite, die kommen da zusammen und da wird's Keynotes geben.

Beim letzten Mal war ein Kampfkunstgroßmeister da, der dann Selbstverteidigungssachen vorgeführt hat, auch so ein bisschen, dass das Mindset so ist, dass man nicht Daten preisgibt und sowas alles. Also so auch physische Sicherheit. Dann ist da eine Ex-Kriminalpolizeibeamtin, Oberkommissarin, die dann darüber redet, wie die Angreifer so ticken.

Dann sind da die Dienstleister, mit denen ich zusammenarbeite. Das, was ich gerade so ein bisschen angeschnitten habe: Was passiert beim Cybervorfall? Dann ist da die größte deutsche Versicherung vor Ort, die so ein bisschen aus dem Nähkästchen plaudert und natürlich noch mal 1.000 mehr Fälle betreut hat und sowas alles.

Dann, das Highlight ist immer, kommt jetzt auch wieder: Datenträgerspürhunde kommen extra aus dem Schwarzwald hier ins Rheinland. Die Polizistin, oder ehemalige Polizistin, versteckt dann so Abhörwanzen und sowas alles und Handys im ganzen Raum, und der Hund erschnüffelt das dann alles und findet das dann. Das ist superspannend, ist der Oberhammer.

Auch da, meine Konzernkunden, das ist natürlich für Mittelstand nicht relevant, nicht großartig, aber meine Konzernkunden, die wurden sofort hellhörig. Die haben alle gesagt: „Ja, wir gehen sonst immer, wenn wir unsere Jahreshauptversammlung haben, müssen wir hier mit Detektoren rumgehen und alles absuchen und sowas.“ Und da hilft so ein, Ace heißt sie, der Hund, hilft da natürlich ungemein. Und das ist natürlich ein Highlight ohne Ende. Die sammelt da alles ab und die ist supersüß und die ist dann dabei.

Dann ist da ein Showhacker, der beim letzten Mal auch so ein paar Minuten live vor Ort gemacht hat. Diesmal kriegt der einen ganzen Vortrag, der dann live vor Ort die Handys der Leute hackt, und die gucken dann dabei zu. Ich saß da mit offenem Mund, und ich habe Ahnung von dem Thema.

Also so Sachen, ich nenn es mal Infotainment. Ganz, ganz viel nehmen die Leute mit. Geht 8 Stunden, ist ein Samstag, wo die dann wirklich ganz, ganz viel mitnehmen am Ende. Aber halt auch: Alle gehen da mit einem Lachen raus, definitiv. Weil ich bin halt nicht der typische Datenschützer, der da irgendwie langweilig die Artikel vorliest, sondern halt alles so praktisch statt Paragraphen macht.

Superspannendes Event. Ich freue mich unglaublich drauf, ein paar Karten gibt's auch noch. Freue mich da auf die zweite Runde und ja, 14.11., Tatort Mittelstand hier in Monheim am Rhein. Wird super.

tatort-mittelstand.de. Oder selbstverständlich im Fokusbereich bei meinem LinkedIn, ist das natürlich auffindbar.

Ebenfalls. Ciao.