Interview mit Tizian Kohler, Head of Security bei Adlon „Reines Präventionsdenken reicht heute nicht mehr aus“

Die Bedrohungslage im Cyberraum bleibt angespannt: Angreifer werden professioneller, setzen zunehmend KI ein und nutzen gestohlene Iden­ti­tä­ten als Einstiegspunkt. Im Interview erklärt Tizian Kohler, Head of Security bei Adlon Intelligent Solutions, warum reines Präventionsdenken nicht mehr ausreicht und Unternehmen Erkennung sowie Reaktionsfähigkeit stärken müssen.

Security-Insider: Herr Kohler, welche Themen im Bereich der IT-Sicherheit stellen aktuell die größten Herausforderungen dar?

Tizian Kohler: Die Bedrohungslage ist weiterhin angespannt. Schaut man in den neusten „Digital Defense Report“ von Microsoft zeigt sich, dass der Datenklau („Data theft“) nach wie vor an oberster Stelle der Tätermotivation steht. Er wird dicht gefolgt von der Erpressung („Extortion“) und der Zerstörung durch Ransomware („Destruction/human-operated ransomware“). Daraus ergibt sich nicht die eine große Herausforderung, sondern eine Kombination von mehreren Themen. Ganz oben steht der adäquate Schutz der Identität: Gestohlene oder missbrauchte Zugangsdaten sind noch immer der häufigste Einstiegspunkt für Angriffe, weshalb Schutzmaßnahmen wie Multi-Faktor-Authentifizierung für alle User an oberster Stelle stehen müssen. Parallel dazu sehen wir eine enorme Zunahme an Komplexität durch Cloud Infrastrukturen, hybride Umgebungen und eine wachsende Zahl an Sicherheitslösungen. Diese Komplexität sinnvoll zu beherrschen und dabei den Überblick zu behalten, ist für viele Unternehmen eine echte Herausforderung.

Die Professionalisierung der Angreifer und der Einsatz von KI-gestützten Tools führt dazu, dass reines Präventionsdenken nicht mehr ausreicht. Erkennung, Reaktionsfähigkeit und geübte Prozesse werden immer wichtiger.

Nicht zuletzt spielen auch regulatorische Anforderungen wie NIS 2 eine große Rolle. Viele Organisationen müssen Sicherheit heute gleichzeitig technisch, organisatorisch und rechtlich sauber umsetzen – oft bei knappen Ressourcen und Fachkräftemangel. Genau dieses Zusammenspiel macht IT Sicherheit derzeit so anspruchsvoll.

BSI-Lagebericht 2025

Deutschland bleibt leichtes Ziel für Cyberangriffe

Security-Insider: Diverse Sicherheitsunternehmen sowie das FBI berichteten im Jahr 2025 von einer Zunahme von Bedrohungen durch „Business E-Mail Compromise”. Können Sie dem zustimmen?

Kohler: Ja, absolut. Auch wir sehen bei den Kunden eine Zunahme der Angriffe, die diesem Phänomenbereich zugeordnet werden. Wer heute noch ohne Multi-Faktor-Authentifizierung arbeitet, bietet den Tätern eine perfekte Grundlage, da sie lediglich an die Passwörter der Mitarbeiter gelangen müssen, z.B. durch Phishing.

Security-Insider: Oft beginnen Angriffe damit, dass Mitarbeitende ihre Zugangsdaten auf gefälschten Webseiten eingeben. Warum funktionieren solche Methoden nach wie vor so gut?

Kohler: Diese Methoden funktionieren weiterhin so gut, da die Täter ihre Angriffstechniken stetig anpassen. Die menschliche Psyche spielt hier eine große Rolle und genau diese gilt es hier auszuhebeln. Dies gelingt den Angreifern durch sehr gut nachgestellte Mails, dem Ansprechen der menschlichen Grundemotionen wie Angst, Gier, Neugierde und sehr gut gemachten Phishing-Seiten, die kaum mehr von den Original-Webseiten zu unterscheiden sind.

Hervorzuheben ist auch, dass die Angreifer ihre Opfer mehr und mehr aus der „sicheren“ und „überwachten“ Zone des Unternehmens locken, indem sie diese über einen initialen Link auf eine legitime Filehosting-Seite wie z.B. OneDrive oder Dropbox locken. Dort liegt dann ein weiteres Dokument, über das das Opfer zu den maliziösen Seiten gelangt – sozusagen außerhalb des Sichtfelds der eigenen Verteidiger. So gelangen die Täter an Zugangsdaten, ohne dass das Unternehmen es in diesem Schritt merkt.

Security-Insider: Nachdem Angreifer Zugriff auf ein Postfach erhalten haben, beobachten sie oft zunächst unauffällig die Kommunikation. Was macht diese „stille Mitlesephase” so gefährlich für Unternehmen?

Kohler: Diese Phase ist deshalb so gefährlich, da die Angreifer hier gezielt vertrauliche Daten mitlesen. Für die Mitarbeiter gilt das Kommunikationsmedium E-Mail ja als sicher, weshalb hier tagtäglich vertrauliche Daten hin und her geschickt werden. Durch die Mitlesephase erreichen die Angreifer einen Grad an Wissen, der es ihnen ermöglicht, später viel zielgerichteter auf die Opfer einzuwirken. Sie kennen dann den Wortgebrauch der Firma, das Aussehen der Mails sowie die Prozesse rund um die Rechnungsstellung und -bezahlung. Und am Ende verfügen Sie über das Mail-Postfach des Opfers, von dem aus sie dann ihre Angriffe starten, sozusagen als „vertrauter“ Kommunikationspartner.

Finanzsysteme in Echtzeit schützen

Wenn Zahlungen zur Falle werden

Security-Insider: Eine oft verwendete Methode der Angreifer ist es, gefälschte Rechnungen im Namen der betroffenen Mitarbeitenden zu versenden. Welche Auswirkungen haben solche Vorfälle typischerweise auf die betroffenen Unternehmen und deren Geschäftsbeziehungen?

Kohler: Solche Angriffe führen oft zu mehr als nur einem finanziellen Schaden. Kurzfristig entstehen falsche Zahlungen, hoher Klärungsaufwand und Verunsicherung bei Mitarbeitenden und Geschäftspartnern. Besonders kritisch ist es, wenn externe Partner betroffen sind. Mittelfristig leidet vor allem das Vertrauen: Geschäftsbeziehungen werden vorsichtiger, Prozesse langsamer und Kommunikationswege stärker hinterfragt. In manchen Fällen drohen zudem rechtliche oder regulatorische Folgen.

Insgesamt zeigen gefälschte Rechnungen sehr deutlich, dass Cyberangriffe direkte Auswirkungen auf Reputation, Zusammenarbeit und den Geschäftsbetrieb haben – nicht nur auf die IT.

Security-Insider: Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnte jüngst vor einer neuen Generation täuschend echter Phishing-Angriffe, die durch künstliche Intelligenz massenhaft personalisiert werden und gezielt mobile Nutzer ins Visier nehmen. Nehmen Sie die erhöhte Bedrohung durch KI-Cyberangriffe ebenfalls wahr?

Kohler: Die Warnung des BSI ist sachlich richtig, aber man sollte sie auch einordnen. Wir sehen keine völlig neue Bedrohungskategorie bei unseren Kunden, sondern eine Weiterentwicklung bekannter Angriffe. Phishing, Social Engineering und Identitätsmissbrauch sind seit Jahren die Hauptangriffsvektoren – KI macht sie vor allem schneller, skalierbarer und sprachlich besser. Der eigentliche Erfolgsfaktor für Angreifer ist dabei weniger die KI selbst, sondern weiterhin menschliches Verhalten oder Organisationsfaktoren: Zeitdruck, mobile Nutzung und fehlende klare Prozesse.

Wer grundlegende Maßnahmen wie MFA, E Mail Authentisierung, technische Erkennung, Awareness Trainings und verbindliche Freigabeprozesse konsequent umsetzt, ist auch gegen KI gestützte Angriffe deutlich besser geschützt.

Security-Insider: Neben Phishing-Attacken bildet die immer größer werdende Flut an Schwachstellen ein weiteres großes Thema, mit dem sich Unternehmen auseinandersetzen müssen. Viele Betriebe orientieren sich dabei stark am CVSS-Score einer Schwachstelle. Ist es aus Ihrer Sicht ausreichend, erst einmal alle kritischen Schwachstellen zu patchen?

Kohler: Nein, das greift aus meiner Sicht zu kurz. Der CVSS‑Score ist ein hilfreicher technischer Richtwert, aber er sagt wenig darüber aus, wie relevant eine Schwachstelle für ein konkretes Unternehmen tatsächlich ist. In der Praxis sehen wir immer wieder, dass vermeintlich ‚kritische‘ Schwachstellen keine reale Angriffsfläche haben, während Schwachstellen mit mittleren Scores aktiv ausgenutzt werden – etwa, weil sie internetexponiert sind, ein attraktives Ziel betreffen oder bereits Exploits verfügbar sind.

Die reine Fokussierung auf ‚CVSS 9 oder höher patchen‘ erzeugt daher oft trügerische Sicherheit. Entscheidend ist der Kontext: Ist das System extern erreichbar? Wie kritisch ist es fürs Geschäft? Gibt es Hinweise auf aktive Ausnutzung?

Unternehmen müssen weg von einer reinen Fokussierung auf CVSS, hin zu einem risikobasierten Vulnerability‑Management. Sonst patcht man sehr viel – aber nicht unbedingt das, was Angreifer tatsächlich interessiert.

CVSS-Wert ist unzureichend

Unternehmen schließen nur selten Sicherheitslücken

Security-Insider: Eine Ihrer Security-Lösungen für Kunden setzt auf risikobasierte Kennzahlen. Was verstehen Sie darunter und wie helfen diese Kennzahlen dabei, den tatsächlichen Einfluss für den jeweiligen Kunden realistisch einzuschätzen?

Kohler: Die risikobasierten Kennzahlen habe ich in meiner vorherigen Antwort bereits angedeutet. Wir messen nicht nur, wie viele Sicherheitsprobleme es gibt, sondern wie groß das tatsächliche Risiko für genau diesen Kunden ist – also Wahrscheinlichkeit × Auswirkung im jeweiligen Kontext.

Konkret fließen dabei etwa die folgenden Faktoren ein: Ist ein System aus dem Internet erreichbar? Gibt es aktive Exploits oder Hinweise auf Angriffe? Wie kritisch ist das betroffene System für den Geschäftsbetrieb? Und welche Schutzmaßnahmen sind bereits aktiv – etwa MFA, EDR, Segmentierung oder Backup-Strategien. Ein Wert den Unternehmen hier zusätzlich heranziehen können ist der sog. EPSS-Wert (Exploit Prediction Scoring System). Dieser beschreibt die Wahrscheinlichkeit, dass eine bekannte Schwachstelle tatsächlich in naher Zukunft ausgenutzt wird.

Der große Vorteil: Der Kunde bekommt bei uns keine abstrakte „rote Ampel“, nur weil irgendwo ein hoher CVSS-Score steht, sondern eine realistische Priorisierung. So lassen sich Maßnahmen gezielt dort ansetzen, wo sie den größten Effekt haben – zum Beispiel bei Schwachstellen auf öffentlich erreichbaren Systemen oder bei Identitätsrisiken, die in der Praxis häufig der Einstiegspunkt sind.

Security-Insider: Angesichts der stark zunehmenden Bedrohungslage durch Business-E-Mail-Compromise, komplexe Phishing-Kampagnen und die wachsende Zahl an Schwach­stellen: Musste sich Adlon aufgrund dieser Entwicklungen strategisch neu ausrichten – insbesondere mit Blick auf den Fokus IT-Security? Wenn ja, was hat sich konkret verändert?

Kohler: Wir sind seit jeher ein sehr security-affines Unternehmen gewesen und bieten in diesem Bereich auch schon länger Dienstleistungen für unsere Kunden an. Dennoch haben wir immer mehr gespürt, dass unsere Kunden aufgrund der geänderten Bedrohungslage einen großen Bedarf haben und wir diesen Bedarf auch decken können. Daher haben wir das bestehende Portfolio an Security-Services konsequent erweitert und abgestuft auf die unterschiedlichen Zielgruppen Services gebaut. Diese richten sich nach dem anerkannten NIST Cyber Security Framework, sodass wir im Bereich „Identify“ Schwachstellenmanagement, in den Bereichen „Detect & Respond“ von Managed Endpoint Protection bis hin zum vollen Managed SOC und in dem Bereich „Protect“ z.b. Managed Firewalls oder auch Umsetzungs­dienst­leistungen anbieten können. Durch den modularen Aufbau haben wir es aus meiner Sicht geschafft, den Kundenbedürfnissen noch treffender gerecht zu werden. Das heißt, wir können sowohl kleine Kunden mit einem Basis-Schutz, aber auch große Kunden mit umfassendem Schwachstellenmanagement und SOC-Dienstleistungen helfen – alles auf Augenhöhe und im „Partnermodus“. Der Kunde ist also nicht nur ein Empfänger unserer Findings, sondern ein echter Sparringspartner.

Security-Insider: Wenn Sie die aktuelle Bedrohungslage zusammenfassen: Welche drei Maßnahmen würden Sie jedem Unternehmen empfehlen, das seine Sicherheitslage nachhaltig verbessern möchte?

Kohler: Um es kurz und knackig auf den Punkt zu bringen:

• 1. Identitäten schützen: MFA konsequent einsetzen, privilegierte Konten absichern und Zugriffe kontinuierlich überwachen – die meisten Angriffe starten hier.

• 2. Risiken priorisieren statt alles gleichzeitig patchen: Schwachstellen und Alarme nach realem Risiko bewerten (Exponierung, Exploit‑Wahrscheinlichkeit, Geschäftskritikalität) und Ressourcen gezielt einsetzen.

• 3. Erkennung und Reaktion stärken: Prävention allein reicht nicht – es braucht gute Sichtbarkeit, klare Incident‑Response‑Prozesse und die Fähigkeit, Angriffe schnell zu erkennen und zu stoppen.

Priorisierung von Schwachstellen

Sicherheitslücken nur mit CVSS bewerten reicht nicht!

(ID:50799549)