Für den Report hatten die Marktbeobachter von IDC weltweit rund 2.700 Entscheider in 28 Ländern befragt, die im Unternehmen mit Daten- und KI-Initiativen zu tun haben. Jede Organisation wurde anhand von fünf Kriterien bezüglich Trustworthy AI bewertet: Datenqualität und Governance, Model Governance und Kontrolle, Erklärbarkeit und Fairness, Richtlinien für verantwortungsvolle KI, Auditierbarkeit und Verantwortlichkeit.

Anwender lehnen KI-Ergebnisse wegen mangelnder Nachvollziehbarkeit ab

Trotz verbesserter Governance-Strukturen wächst die Skepsis auf Anwenderseite. Weltweit geben 97,2 Prozent der Befragten an, zumindest einen Teil der KI-Empfehlungen zu überstimmen oder zu verwerfen. In Deutschland ist mangelnde Erklärbarkeit mit 32,2 Prozent der häufigste Grund dafür. Dahinter folgen qualitativ schlechter oder faktisch falscher Output (25,4 Prozent) sowie verzerrte oder unfaire Ergebnisse (19,5 Prozent). Erklärbarkeit und Datenqualität sind damit insgesamt der Grund für mehr als die Hälfte aller Ablehnungen.
In Deutschland setzt aktuell bereits fast jedes zweite befragte Unternehmen (45,5 Prozent) Agentic AI ein – also KI-Systeme, die eigenständig Aufgaben übernehmen. Das liegt deutlich über dem internationalen Durchschnitt. 89 Prozent der weltweit eingesetzten KI-Agenten agieren heute selbstständig, mehr als die Hälfte davon mit wenig oder keiner menschlichen Kontrolle. Diese Systeme genießen deutlich weniger Vertrauen als Generative AI (also Chat GPT und Co.): 66 Prozent gegenüber 76 Prozent.

Die Modellpflege legt zu – die Datenbasis bleibt schwach

Der stärkste Zuwachs im Jahresvergleich entfällt auf Model Governance: plus 12,6 Punkte auf 55,8 Punkte. Der EU AI Act dürfte zu dieser Entwicklung beigetragen haben, der Modelldokumentation, Risikoklassifizierung und Lifecycle-Kontrollen verbindlich vorschreibt. Deutschland ist hier in Europa führend: 66,3 Prozent der Unternehmen haben ein entsprechendes Regelwerk eingeführt – mehr als in allen anderen EU-Staaten.
Die Datenbasis hält mit dieser Entwicklung allerdings nicht Schritt. Nur jedes sechste befragte Unternehmen aus Deutschland (16,3 Prozent) gibt an, dass Datenqualitätsprozesse für jedes Projekt verpflichtend vorgegeben sind. Bei 28,5 Prozent existieren zwar Richtlinien für Responsible AI, aber die Befragten sind unsicher, ob diese auch eingehalten werden. Das Bewusstsein für diese Defizite ist gestiegen: 65,9 Prozent der deutschen Unternehmen nennen Datenqualität als zentrale Anforderung, nach 29,2 Prozent im Vorjahr.

The post KI-Governance legt zu – Anwender zweifeln weiter appeared first on IT-Matchmaker.news.

Transparenz statt Versteckspiel

Seit Anfang August gelten die Transparenzpflichten aus Artikel 50 des AI Act. Unternehmen müssen nun Menschen in bestimmten Fällen darauf hinweisen, wenn sie direkt mit einem KI-System interagieren. Das betrifft beispielsweise Chatbots, digitale Assistenten oder automatisierte Kundenservices wie KI-Telefonie. Ein solcher Hinweis braucht keine juristische Abhandlung, wie Horbach erläutert. „Ein klarer Hinweis reicht: Sie sprechen mit einem KI-gestützten Assistenten.“ Anschließend sollte eine einfache Möglichkeit zur Unterstützung folgen.

Diese gesetzlich geforderte Offenheit schütze nicht nur vor Missverständnissen, sondern könne zudem das Verhältnis zwischen Unternehmen und Kunden verbessern: „Wer künstliche Intelligenz verständlich erklärt, der signalisiert Verantwortung. Kunden erhalten eine Wahl und können besser einschätzen, welche Antworten sie von einem System erwarten dürfen.“

5 Leitfragen für eine Bestandsaufnahme

Nicht jede Anwendung verlangt denselben Aufwand. Der AI Act unterscheidet nach dem möglichen Risiko eines Systems. „Eine Anwendung, die Texte zusammenfasst oder interne Abläufe erleichtert, bringt andere Anforderungen mit als eine KI, die über Bewerbungen, Kredite oder den Zugang zu wichtigen Leistungen entscheidet“, verdeutlicht Horbach die Regelung. Für Unternehmen empfiehlt der Experte zunächst eine einfache Bestandsaufnahme anhand der folgenden Kategorien:

• Wo kommt KI bereits zum Einsatz?
• Welche Aufgaben übernimmt sie?
• Welche Informationen verarbeitet sie?
• Wer trägt die Verantwortung für die Ergebnisse?
• Wo braucht es weiterhin menschliche Prüfung?

Diese Fragen führen schnell aus der abstrakten Gesetzesdebatte in die betriebliche Praxis. Zugleich helfen sie, Zuständigkeiten zu klären. Denn KI nimmt Unternehmen die Verantwortung nicht ab. Sie liefert Vorschläge, bearbeitet Informationen oder übernimmt Routinen. Die Entscheidung über den Umgang mit den Ergebnissen bleibt stets beim Menschen.

The post Vertrauen in KI beginnt mit Transparenz appeared first on IT-Matchmaker.news.

In vielen Diskussionen scheint die Antwort bereits festzustehen: Open Source. Doch genau hier beginnt ein Missverständnis. Digitale Souveränität entsteht nicht automatisch durch offenen Quellcode. Sie entsteht vielmehr durch die Fähigkeit, eine Plattform langfristig sicher, wirtschaftlich und kontrolliert betreiben zu können.

Die eigentliche Herausforderung ist nicht Technologie

In Projekten erleben wir häufig, dass die Diskussion sehr schnell auf Produkte und Lizenzmodelle reduziert wird. Dabei geht es für Unternehmen selten um Software selbst. Es geht um Verfügbarkeit. Es geht um Sicherheit. Es geht um Geschäftsprozesse. Und letztlich geht es darum, Risiken beherrschbar zu machen.

Wer eine bestehende Plattform durch verschiedene Open-Source-Komponenten ersetzt, gewinnt möglicherweise mehr technische Unabhängigkeit. Gleichzeitig übernimmt das Unternehmen aber auch mehr Verantwortung für Integration, Betrieb, Aktualisierung, Sicherheit und Lifecycle-Management. Genau deshalb stellt sich nicht die Frage, ob Open Source gut oder schlecht ist. Die entscheidende Frage lautet: Kann die eigene Organisation die zusätzliche Verantwortung dauerhaft tragen?

Support ist nicht gleich Verantwortung

Ein häufiges Argument lautet, dass für viele Open-Source-Lösungen inzwischen professioneller Enterprise-Support verfügbar ist. Das ist richtig. Gleichzeitig besteht ein wichtiger Unterschied zwischen Support und Gesamtverantwortung. Support bedeutet, dass ein Anbieter bei Problemen seines Produkts unterstützt. Gesamtverantwortung bedeutet, dass jemand für die Funktion der gesamten Plattform einsteht. In modernen IT-Landschaften entstehen Störungen selten isoliert. Die Ursachen liegen häufig im Zusammenspiel von Netzwerk, Storage, Virtualisierung, Betriebssystem, Management-Plattform und Sicherheitslösungen. Dann stellt sich eine andere Frage:

• Wer koordiniert die Fehleranalyse?
• Wer priorisiert die Eskalation?
• Wer trägt die Verantwortung gegenüber dem Business?

Gerade für mittelständische Unternehmen wird dieser Unterschied immer wichtiger.

KI erhöht den Druck auf Sicherheits- und Betriebsprozesse

Hinzu kommt ein weiterer Faktor: Künstliche Intelligenz (KI). Während KI Unternehmen neue Möglichkeiten eröffnet, profitieren auch Angreifer von automatisierter Analyse und einer schnelleren Identifikation potenzieller Schwachstellen. Sicherheitslücken können dadurch schneller und gezielter ausgenutzt werden als noch vor wenigen Jahren.

Dadurch steigen die Anforderungen an Plattformbetrieb, Patch-Management und Sicherheitsprozesse. Viele Unternehmen verfügen jedoch weder über große Security-Teams noch über Spezialisten für jede Infrastrukturkomponente. Die Frage lautet deshalb zunehmend: Wie viel Komplexität kann meine Organisation tatsächlich beherrschen?

Warum integrierte Plattformen wieder an Bedeutung gewinnen

Vor diesem Hintergrund gewinnen integrierte Private-Cloud-Plattformen wieder an Bedeutung. Nicht weil Unternehmen zurück in die IT-Welt der Vergangenheit wollen. Sondern weil sie nach einem Betriebsmodell suchen, das Kontrolle und Beherrschbarkeit miteinander verbindet.

Solche Plattformen bündeln Infrastruktur, Netzwerk, Storage, Security und Lifecycle-Management und können dadurch Integrationsaufwand und operative Komplexität reduzieren. Der eigentliche Mehrwert liegt dabei weniger in einzelnen Funktionen als in klaren Verantwortlichkeiten, konsistenten Prozessen und planbaren Betriebsabläufen.

VMware Cloud Foundation ist ein Beispiel für einen solchen integrierten Ansatz. Gleichzeitig gilt auch hier: Eine stärkere Integration reduziert zwar bestimmte technische Abhängigkeiten und Schnittstellen, schafft aber zugleich eine Bindung an den jeweiligen Plattformanbieter. Auch diese Form der Abhängigkeit muss bei einer Souveränitätsstrategie bewusst bewertet werden.

Damit können integrierte Private-Cloud-Plattformen für Unternehmen einen möglichen Mittelweg zwischen Hyperscaler-Abhängigkeit und einer hochkomplexen, vollständig selbst integrierten Plattform darstellen.

Checkliste für Entscheider

Vor jeder strategischen Plattformentscheidung sollten Unternehmen folgende Punkte bewerten:

• Sind die vollständigen Betriebs- und Personalkosten berücksichtigt?
• Wer übernimmt im Krisenfall die Gesamtverantwortung?
• Verfügt die Organisation über ausreichendes Plattform- und Security-Know-how?
• Ist die Plattform auch mit den verfügbaren Ressourcen langfristig beherrschbar?
• Können regulatorische Anforderungen dauerhaft eingehalten werden?
• Wie schnell kann auf Sicherheitsvorfälle reagiert werden?
• Entsteht ein echter Geschäftsvorteil durch den höheren Eigenbetriebsanteil?
• Sind Ausfallrisiken und Wiederherstellungskosten realistisch bewertet?
• Welche neuen Abhängigkeiten entstehen durch die gewählte Plattform – technisch, wirtschaftlich und vertraglich?

Fazit: Digitale Souveränität heißt, Abhängigkeiten beherrschbar zu machen

Digitale Souveränität ist keine Technologieentscheidung. Sie ist eine Betriebs- und Governance-Entscheidung. Open Source bleibt ein wichtiger Baustein moderner IT-Strategien. Gleichzeitig sollten Unternehmen die damit verbundene Verantwortung nicht unterschätzen.

Die zentrale Frage lautet nicht, ob eine Lösung offen oder proprietär ist. Viel wichtiger ist, ob sie langfristig sicher, wirtschaftlich und mit den vorhandenen Ressourcen betrieben werden kann. Für viele Organisationen wird deshalb ein pragmatischer Mittelweg zunehmend attraktiv: mehr Kontrolle als in der Public Cloud, aber weniger Komplexität als in einer vollständig selbst integrierten Infrastruktur. Dabei geht es nicht darum, jede Abhängigkeit zu vermeiden, sondern sie bewusst zu wählen und beherrschbar zu machen. Denn echte digitale Souveränität entsteht nicht durch maximale Unabhängigkeit auf dem Papier, sondern durch die Fähigkeit, die eigene IT dauerhaft zu beherrschen. bs

The post Digitale Souveränität ist keine Softwareentscheidung appeared first on IT-Matchmaker.news.

Dunkle Muster und verlorenes Vertrauen

Auch abseits der Cookies bleibt das Feld komplex. Fingerprinting kombiniert unscheinbare Datenpunkte wie Betriebssysteme, Bildschirmauflösung oder installierte Plugins zu einem eindeutigen Nutzerprofil. Pixel-Tags melden Seitenaufrufe an externe Server, Mobile-IDs begleiten Nutzer durch Apps, ID-Graphen verknüpfen Logins über mehrere Geräte hinweg. Solche Verfahren laufen oft im Hintergrund, ohne dass Nutzer etwas davon mitbekommen. Genau deshalb gelten sie rechtlich als zustimmungspflichtig und fehlerhafte oder intransparente Umsetzungen gefährden das Vertrauen. Ein weiterer Stolperstein liegt in speziellen Gestaltungstricks wie Framing oder Nagging, die Zustimmung scheinbar erzwingen sollen. Voreingestellte Häkchen, versteckte Ablehnen-Optionen oder verwirrende Buttonfarben gehören zu den sogenannten Dark-Patterns. Sie sind nicht nur auf Grundlage des Digital Services Acts (DSA) unzulässig, sondern auch strategisch kurzsichtig. Wer Nutzer so unter Druck setzt, signalisiert, dass kurzfristige Datensammlung wichtiger ist als eine langfristige Beziehung.

Consent-Management als Schaltzentrale

Die technische Antwort auf diese stetig wachsenden Herausforderungen lautet Consent-Management-Platform (CMP). Eine gute CMP zeigt nicht nur Banner an, sondern blockiert alle nicht autorisierten Skripte, protokolliert Einwilligungen revisionssicher, ermöglicht eine granulare Auswahl und integriert sich tief in die Website des jeweiligen Unternehmens. Die erweiterte Form der Consent-and-Preference-Management-Platform (CPMP) speichert zusätzlich noch die speziellen Einwilligungen des Nutzers, wie beispielsweise die Zustimmung zur telefonischen Kontaktaufnahme. Sie integriert sich also noch wesentlich tiefer in die IT-Landschaft des Unternehmens und steuert, wann und in welchem Umfang Daten erhoben werden. Sie synchronisiert Einwilligungsinformationen in Echtzeit mit ERP-, CRM-, Marketing- und E-Commerce-Systemen. So verhindert sie, dass ein Nutzer, der den Newsletter abbestellt hat, wenige Tage später doch wieder eine automatisierte Mail erhält. Dabei darf eine CPMP kein isoliertes Frontend-Tool bleiben. In vielen Unternehmen werden Datenflüsse quer über den Tag-Manager, APIs und Drittanbieterdienste verteilt organisiert. Ohne tiefere Integration laufen personenbezogene Daten oft schon, bevor eine Zustimmung vorliegt. Mit technischer Orchestrierung lassen sich dagegen Segmentierungen umsetzen, Löschregeln automatisieren und Widerrufe konsequent über alle Kanäle hinweg durchsetzen – egal ob national oder in internationalen Systemlandschaften.

Datenschutz im Unternehmen beginnt im Code

Rechtliche Sicherheit entsteht jedoch nicht allein durch Technik. Datenschutz beginnt schon in der Softwareentwicklung. Wer Privacy-by-Design in den Code integriert, reduziert Risiken von Anfang an. Verschlüsselung, Pseudonymisierung, restriktives Logging und die Minimierung erhobener Daten verhindern Verstöße, bevor sie entstehen. Viele Datenschutzrechtverletzungen resultieren nicht aus Absicht, sondern aus fehlendem Bewusstsein im Entwicklungsprozess. Ein unscheinbares Logging von IP-Adressen kann so schnell zum Datenschutzvorfall werden – mit Bußgeld, Reputationsschaden und Kundenverlust. Organisatorische Klarheit ist ebenso entscheidend. Datenschutz gehört nicht nur auf den Tisch des Datenschutzbeauftragten, sondern in jede Abteilung. Marketing prüft Kampagnen, IT überwacht die Sicherheit, HR achtet auf Bewerberdaten und die Geschäftsleitung trägt die Gesamtverantwortung. Gemeinsame Prozesse, regelmäßige Schulungen und klare Eskalationswege helfen, Fehler zu vermeiden und im Ernstfall schnell zu reagieren. Datenschutz im Alltag bedeutet also weit mehr, als einen hübschen Banner zu schalten. Es geht um Transparenz, technische Präzision und gelebte Verantwortung. Unternehmen, die Einwilligungen ehrlich einholen, Systeme sauber integrieren und Datenschutz in ihre Produkte einbauen, sichern sich mehr als nur Compliance: Sie gewinnen Vertrauen. Und das ist im digitalen Wettbewerb oft wertvoller als jedes Datenset.

The post Vom Banner zur Verantwortung – Datenschutz im Unternehmen praxisnah umsetzen appeared first on IT-Matchmaker.news.

DORA definiert sechs Resilienzbereiche: Risikomanagement; Erkennung, Kategorisierung und Reporting von Vorfällen; Testen der betrieblichen Resilienz; Management des IT-Drittanbieterrisikos; Überwachung kritischer Drittdienstleister; Informationsaustausch sowie Notfallübungen. Aktuelle Umfragen von Security-Spezialisten deuten darauf hin, dass viele deutsche Banken und Finanzdienstleister die erforderlichen Maßnahmen hinsichtlich der Klassifizierung von sicherheitsrelevanten Vorfällen sowie der detaillierten Berichterstattung bislang nicht umgesetzt haben. Network Detection and Response leistet bei der Compliance eine wichtige Hilfe.

Monitoring deckt Anomalien und Risiken auf

Network Detection and Response repräsentiert die wachsamen Augen und Ohren eines Netzwerks. Die Lösungen kommunizieren mit zahlreichen Sensoren, die überall aktiv sind, wo Daten in und aus dem Netzwerk fließen. So wird der gesamte Datenfluss kontinuierlich überwacht. Zur Analyse der Sensordaten nutzen die Lösungen Künstliche Intelligenz und Machine Learning. So entsteht ein detailliertes Bild des üblichen Netzwerkverhaltens. Sobald das Monitoring anomale Aktivitäten erkennt, erhält das Team eine Nachricht und erste automatisierte Abwehrmaßnahmen starten.

Insgesamt eignet sich Network Detection and Response dazu, um Unternehmen in ihrer DORA-Strategie zu unterstützen. Vier Bereiche decken diese Lösungen ab:

1. IT-Risiken managen

In Art. 5-15 verlangt DORA eine laufende Risikoanalyse, den Einsatz technischer Schutzmaßnahmen sowie kontinuierliches Monitoring. Monitoring-Lösungen unterstützen dies durch umfassende Netzwerksichtbarkeit. Ergänzend liefern sie historische Daten und Threat Intelligence Feeds, die fundierte Risikoanalysen ermöglichen.

2. Vorfälle erkennen und klassifizieren

In Art. 17-23 schreibt DORA ein schnelles Erkennen, Klassifizieren und Melden von IT-Vorfällen vor. Monitoring-Tools analysieren laufend den Netzwerkverkehr und erkennen mithilfe von Machine Learning verdächtige Abweichungen sowie unerlaubte Zugriffsversuche. Forensische Funktionen ermöglichen eine Ursachenanalyse. Das detaillierte Protokollieren und standardisierte Berichte unterstützen Unternehmen beim gesetzeskonformen Incident Management.

3. Drittanbieter-Risiken überwachen

Zur Erfüllung der DORA-Vorgaben müssen auch externe IT-Dienstleister überwacht werden. Network Detection and Response schafft hier Transparenz durch die Analyse der Netzwerkdaten aus Cloud- und Remote-Diensten. So fallen Datenabflüsse und ungewöhnliche Verbindungen sofort auf.

4. Informationen austauschen

In Art. 40 fordert DORA von Finanzinstituten, dass sie sich untereinander über Bedrohungen und Schwachstellen austauschen. Die Lösungen zum Netzwerk-Monitoring integrieren sich in Threat-Intelligence-Plattformen und erleichtern so den standardisierten Austausch und identifizieren Hinweise auf eine Kompromittierung. Dies stärkt die gemeinsame Abwehrfähigkeit gegenüber Cyberbedrohungen.

Deep Observability prüft verschlüsselte Daten

Da die aktuellen Lösungen für Network Detection and Response verdächtige Aktivitäten und Bedrohungen schneller erkennen als herkömmliche Tools, erweisen sie sich in Sachen DORA-Compliance als Schlüsseltechnologie. Es bleiben allerdings Limitierungen: Sobald die überwachenden Sensoren neu konfiguriert werden – zum Beispiel, wenn sich die Netzwerkinfrastruktur verändert oder wächst, entstehen Lücken bei der Transparenz. Zudem bewegen sich im Netzwerk unzählige, größtenteils verschlüsselte Daten aus verschiedenen Richtungen. Monitoring-Lösungen können verschlüsselte Daten kaum überprüfen. Das birgt ein Risiko: Laut einer Marktstudie des Security-Spezialisten Gigamon verbergen sich 86 Prozent der Cyberbedrohungen in verschlüsselten Daten.

Damit Network Detection and Response für vollständige Sichtbarkeit bis hinunter auf Netzwerkebene sorgen kann, ist eine weitere Komponente nötig, die sich Deep Observability nennt. Lösungen, die nach dieser Methode arbeiten entschlüsseln die Daten, extrahieren daraus umfassende Informationen und leiten sie an das Netzwerk-Monitoring weiter. Nur im Verbund entfalten die Sicherheitslösungen das Sicherheitspotenzial, das sie versprechen. jf

The post Mit Network Detection and Response zur DORA-Compliance appeared first on IT-Matchmaker.news.

Neben den vielen leistungsfähigen und kompetenten Projektleiterinnen und -leitern dieser Welt hat Avision fünf ganz spezielle Typen identifiziert, mit denen auch das vielversprechendste IT-Projekt zielsicher gegen die nächste Wand kracht.

1. Der Moderator – stets bemüht.

Er führt kein Meeting allein und trifft keine Entscheidung, ohne mindestens drei Kolleginnen und Kollegen zu befragen. Alle dürfen zu Wort kommen, das auch gern mehrfach. Und lange. Seine eigenen Einwürfe bringen auch den kleinsten Fortschritt auf den Anfang zurück und den meisten Mitarbeitenden graut es schon vor dem nächsten „kurzen“ Team-Update. Nach zwei Stunden ist zwar alles besprochen, aber nichts entschieden. Der Moderator verwechselt dabei sehr gerne Führung mit physischer Anwesenheit und Gesprächsdauer mit echtem Fortschritt. Seine Stärke liegt in der Organisation von Meetings, nicht in ihrer Wirksamkeit. Projekte mit ihm enden selten mit einem Durchbruch, wenn sie überhaupt enden. Perfekt für alle, die nicht scheitern wollen – weil sie nie fertig werden. Und noch ein kleiner Haken dabei: Projekte werden immer teurer und der Zeitplan ist eher ein Art gut gemeinte Richtungsvorgabe.

2. Der Redner – ein Freund seiner Worte.

Er verwechselt Kommunikation mit Dauerbeschallung. Jedes Meeting beginnt mit einem Monolog und endet mit einer Wiederholung desselben. Wer versucht, etwas beizutragen, löst einen einstündigen Exkurs aus. Der Redner liebt seine eigene Stimme so sehr, dass er sie ungern unterbricht – weder für Argumente noch für Ergebnisse. Irgendwann spricht im Team niemand mehr über Probleme, weil man fürchtet, eine neue Vorlesung zu provozieren. So wird jedes Thema gründlich zerredet, jedes Projekt zu Tode moderiert – und jede Stunde zu einer, die man nie zurückbekommt. Frei nach dem Motto „This meeting could have been an E-Mail“ blickt das Team dabei schon mit Unbehagen auf den nächsten Termin im Kalender.

3. Der Unsichtbare – Tarnmodus an.

Er ist formal Projektleiter, praktisch aber Mythos. Im Meeting fehlt er, im Chat ist er offline, im Projektplan nur als Name präsent. Während das Team sich so gut es eben geht selbst organisiert, wundert der Kunde sich über die doch beachtlich lange Funkstille. Im besten Falle taucht der Unsichtbare kurz vor dem Go-live wieder auf, meist zum Gratulieren und um die Arbeit des Teams als gemeinsamen Erfolg zu verkaufen. Führung ist für ihn ein Konzept, das auch ohne ihn funktionieren sollte. Und manchmal funktioniert das sogar, bis jemand merkt, dass niemand mehr mit dem Kunden spricht. Der Unsichtbare sorgt zuverlässig für Eskalationen – und das intern wie extern.

4. Der Ahnungslose – viel heiße Luft.

Inhalte? Braucht kein Mensch! Statt Probleme anzugehen und Teams mit seiner Erfahrung zu führen, zählt er Tickets, prüft komplizierte Tabellen und ist die meiste Zeit sowieso in mysteriösen Meetings gebunden. Fachliche Fragen nimmt er „mit“ (wohin auch immer) – und bringt sie nie wieder zurück (warum auch immer). Der Projektstatus ist für ihn eine Zahl, kein Zustand. Sein Verständnis von Leitung baut darauf auf, dass sich alle zu jederzeit gegenseitig updaten müssen – morgens sogar im Stehen. So bleibt er stets oberflächlich informiert und kann den Projektplan aktualisieren. Risiken erkennt er mit großer Verlässlichkeit immer erst dann, wenn das Worst-Case-Szenario eingetroffen ist und Erfolge, wenn jemand anderes sie ihm erklärt. Für Probleme im Team hat er genau null offene Ohren und auch kein Interesse für was auch immer seine Kolleginnen und Kollegen da eigentlich im Detail arbeiten.

5. Der Diktator – alles hört auf sein Kommando.

Er weiß alles (besser), vor allem wann etwas „fertig“ ist. Kritik gilt als Illoyalität, Widerspruch als Schwäche. Unter seiner Regie werden Aufgaben eher abgeschlossen als erledigt. Druck ist sein bevorzugtes Führungsinstrument, und Drohungen sind Teil seiner Meetingkultur. „Da sehe ich ja, wie du priorisierst“, ist einer seiner Lieblingssätze – halb Zynismus, halb Warnung. Teams unter seiner Leitung funktionieren nur so lange, bis die Ersten gehen. Was merkwürdigerweise sehr oft passiert. Danach sorgt er für „frischen Wind“, weil ständig jemand Neues dazukommt. Er verwechselt Disziplin mit Angst und merkt nicht, dass unter seinem Kommando nicht nur Projekte fehlschlagen, sondern auch Menschen die Motivation verlieren.

„Am Ende sind es nicht nur neue Methoden oder leistungsstarke Tools, die über den Erfolg oder Misserfolg von IT-Projekten entscheiden, sondern Menschen“, sagt Nadine Riederer von Avision mit einem Augenzwinkern. „Eine gute IT-Projektleitung hält das Team zusammen, schafft Orientierung und trifft Entscheidungen, wenn andere zögern.“

The post IT-Projektleitung in der Krise: 5 Führungsstile, die Projekte ruinieren appeared first on IT-Matchmaker.news.

DSGVO als Sprungbrett zur NIS2-Compliance

Unternehmen, die Datenschutz– und Sicherheitsanforderungen der DSGVO aktiv umgesetzt haben, profitieren jetzt: Sie können auf bestehenden Strukturen aufbauen. Das betrifft nicht nur Prozesse und Dokumentation, sondern auch die Kultur im Umgang mit sensiblen Daten und IT-Risiken.

Von der Sanktion zur Prävention

Die DSGVO hat mit empfindlichen Bußgeldern für mehr Disziplin im Datenschutz gesorgt – 5,88 Milliarden Euro an Strafen EU-weit, davon allein 89,1 Millionen in Deutschland im Jahr 2024 (Quelle: DLA Piper). Auch für NIS2 sind hohe Strafen geplant. Neu ist: Geschäftsführende sollen künftig sogar mit ihrem Privatvermögen haften. Das sorgt für Bewegung – viele Organisationen arbeiten bereits an ihrer NIS2-Compliance, oft mit externer Unterstützung.

Umsetzung ist komplex – und bleibt individuell

Einheitliche Regeln sucht man bei NIS2 vergebens. Vielmehr hängt die Umsetzung vom Einzelfall ab: Welche Organe sind zuständig? Wie sind Meldeprozesse geregelt? Wer stellt im Ernstfall die nötigen Ressourcen bereit? Gerade die hohe Interpretationsfreiheit stellt Unternehmen vor Herausforderungen.Eine erfolgreiche NIS2-Compliance setzt voraus, dass Unternehmen ihre Meldeprozesse und Zuständigkeiten klar definieren – individuell und passgenau.

Neue Fristen, neue Anforderungen

Anders als bei der DSGVO, wo bei einem Verstoß 72 Stunden Zeit zur Meldung bleiben, verlangt NIS2 bei schwerwiegenden Vorfällen die Information des Bundesamtes für Sicherheit in der Informationstechnik (BSI) innerhalb von 24 Stunden. Damit rücken Geschwindigkeit und Struktur ins Zentrum – Kommunikationswege und Prozesse müssen sitzen. Wer bereits DSGVO-konforme Abläufe definiert hat, kann sie nun entsprechend verschlanken und beschleunigen.

Zudem muss klar sein, welche Informationen bei einem Vorfall bereitzustellen sind. Dazu braucht es automatisierte Prozesse und ein umfassendes Datenverständnis im Unternehmen. Nur wer den Schaden schnell analysieren kann, kann ihn auch schnell melden – und korrekt einordnen.

Prävention beginnt bei der Datenstruktur

NIS2 fordert ein IT-Risikomanagement, das weit über den Datenschutz hinausgeht. Analyseprozesse aus der DSGVO – etwa Datenschutz-Folgenabschätzungen – lassen sich dabei sinnvoll weiterentwickeln. Sicherungskopien und ihre Analyse können helfen, Angriffe frühzeitig zu erkennen.

Auch die Wiederherstellung von Systemen muss regelmäßig getestet werden. Digitale Cleanrooms – realitätsnahe Testumgebungen – schaffen hier Sicherheit, insbesondere wenn es darum geht, Abläufe für den Ernstfall einzuüben.

Mindestbetrieb sichern – trotz Angriff

Im Angriffsfall ist es entscheidend, arbeitsfähig zu bleiben. Ein „Minimum-Viable-Company“-Ansatz hilft dabei, die geschäftskritischen Prozesse und Anwendungen vorab zu definieren. Notfallpakete, manipulationsgeschützt und sicher gespeichert, bilden die Grundlage für eine zügige Wiederherstellung in isolierten Umgebungen.

IT- und Security-Teams müssen dabei eng zusammenarbeiten, um den Betrieb zu stabilisieren und gleichzeitig Ursachen und Schwachstellen des Angriffs aufzuarbeiten.

DSGVO als Fundament nutzen – drei zentrale Hebel

Viele Prozesse, die IT-Verantwortliche aus Anlass der DSGVO etabliert haben, lassen sich auch für die NIS2-Compliance weiterführen:

• Weiterentwickeln der Governance-Organisation: Die DSGVO hat den Datenschutzbeauftragten und andere Governance-Strukturen eingeführt. Nun verlangt NIS2 eindeutige Zuständigkeiten für Cybersicherheit, so verpflichtend die Position eines Chief Information Security Officers (CISO) oder vergleichbarer Funktionsträger. Unternehmen können die im Rahmen der DSGVO etablierten Governance-Strukturen adaptieren oder ausbauen.
• Sichereitsmaßnahmen weiterführen: Die DSGVO fordert unter anderem Standards zu Pseudonymisierung, Verschlüsselung, Authentifikation und Zugangskontrolle. NIS2 erwartet vergleichbare, aber eher operativ eingestellte Cybersicherheitschecks. Viele der DSGVO-Sicherheitskontrollen realisieren die NIS2-Vorgaben vollständig oder zumindest zum Teil. So genügt es häufig schon, vorhandene IT-Sicherheitsmaßnahmen auszubauen.
• Dokumentation der Arbeit mit personenbezogenen Daten verknüpfen: DSGVO-Meldungen müssen dokumentieren, wie Unternehmen Daten verarbeiten und Datenschutz-Folgebewertungen liefern. NIS2 verlangt Belege über Vorfallreaktionen, Sicherheitsrichtlinien und Auditergebnisse. Vorhandene Dokumentationssysteme lassen sich modular ergänzen.

NIS2-Compliance als Chance: Mehr Sicherheit, mehr Vertrauen

NIS2 ist kein zusätzlicher bürokratischer Aufwand, sondern eine Gelegenheit, Sicherheit zur unternehmerischen Stärke zu machen. Wer mit strukturierten Prozessen, klaren Zuständigkeiten und geübten Abläufen arbeitet, kann nicht nur besser auf Angriffe reagieren – sondern erarbeitet sich gleichsam einen Wettbewerbsvorteil.

The post NIS2-Compliance – mehr als eine Pflichterfüllung appeared first on IT-Matchmaker.news.

„Unser Compliance-Chatbot zieht diese Anfragen in ein Ticketsystem und kategorisiert sie. Anschließend erstellt das System einen Vorschlag für die Antwort und legt diesen der zuständigen Juristin beziehungsweise dem zuständigen Juristen vor.“

Die Compliance-Anfragen betreffen beispielsweise Zuwendungen, die EnBW-Mitarbeiter von Lieferanten erhalten. Es könnte jemand einen großen Obstkorb im Wert von 84 Euro erhalten und will nun wissen, ob er das annehmen darf. Für seine Antwortvorschläge greift der Chatbot sowohl auf eine Datenbank mit den Compliance-Richtlinien des Unternehmens als auch auf historische Anfragen samt Antworten zurück. Aus der Kombination dieser beiden Quellen baut sich der Bot eine Antwort zusammen und schlägt diese dem Mitarbeiter der Rechtsabteilung vor. „Vielleicht hat vor zwei Jahren ein anderer Mitarbeiter eine Käseplatte im gleichen Wert bekommen, und die damalige Antwort passt auch heute“, erklärt Heck das Prinzip. Der Vorschlag landet in einer vorformulierten Mail, die die Juristin beziehungsweise der Jurist zur Prüfung erhält. Ist die Mail inhaltlich korrekt, wird sie freigegeben und wandert zum Fragesteller.

Vorformulierte Mails und ein gestraffter Workflow

Der Business-Vorteil dieses intelligenten Systems liegt in der eingesparten Arbeitszeit: Das Beraten in Compliance-Fragen ist eine von zahlreichen Aufgaben der Rechtsabteilung. In der Vergangenheit haben die Juristen über 1000 Compliance-Anfragen pro Jahr erhalten. Bei 200 Arbeitstagen entspricht das mehr als fünf Anfragen pro Tag. Dank des Bots müssen sie nun nicht mehr manuell in früheren Anfragen recherchieren, um eine Antwort zu erstellen.

Der zweite Erfolgshebel des Projekts ist das Ticketsystem, das die Anfragen bündelt. Vorher mussten die Rechtsmitarbeiter das Sammelpostfach selbst abfragen. Heute liegt alles an einem Ort: „Die Anfragen sind vorsortiert und auf die richtigen Kategorien gefiltert“, berichtet Heck. „Und ich kann schnell auf die früheren Anfragen und Antworten zugreifen. Dieses Gesamtpaket erleichtert und beschleunigt das Beantworten der Fragen deutlich.“

Weitere Arbeitszeit spart EnBW dadurch ein, dass der Compliance-Bot jede Antwort inklusive der Korrekturen in seiner Datenbank abspeichert. Die Erweiterung der Datenquellen trägt dazu bei, dass der Chatbot mit jeder Anfrage dazulernt und präzisere Antworten liefern kann.

Menschliche Prüfung verhindert Halluzinationen der KI

Da Künstliche Intelligenz halluzinieren kann, muss EnBW die inhaltliche Qualität der Antworten sicherstellen. Der Kniff dabei: Das System agiert niemals autonom, wie Jessica Kreidel, Product Owner Low Code in der IT-Abteilung von EnBW, berichtet.

„Wir geben keine Antworten an die Nutzer raus, ohne dass eine Juristin oder ein Jurist diese prüft. Das System erstellt nach einer Anfrage ein Ticket und macht einen Antwortvorschlag. Ein Mitarbeiter der Rechtsabteilung prüft den Inhalt, gibt ihn frei und mailt dann die Antwort.“

Die spannende Frage ist nun, wie gut die Antworten des Compliance-Chatbots ausfallen. Überraschend gut, allerdings teilweise in einer leicht holprigen Sprache, wie Heck berichtet: „Ein bisschen was verändern die Juristen an den Antworten fast immer. Allerdings betrifft das üblicherweise den Sprachstil. Inhaltlich ist die Antwort in den meisten Fällen korrekt oder nur marginal falsch.“ Grobe Fehler sind selten und fallen den Juristen sofort auf.

„Für eine stringente Rechtsberatung ist die Künstliche Intelligenz heute noch nicht ausgereift “, erläutert Heck. „Man kann sich nicht darauf verlassen, weil immer etwas schief gehen kann. Daher ist für uns die Kontrolle der Ergebnisse durch einen Menschen unerlässlich.“

Microsoft Power Platform als technische Basis des Compliance-Bots

Beim Compliance-Bot kommt die komplette Bandbreite von Microsofts Power Platform zum Einsatz: Das Frontend ist eine Model Driven App, und im Backend laufen die Power Automate Flows. Die Künstliche Intelligenz kommt vom Azure AI Foundry, als Datenquelle dient Dataverse.

Die Microsoft Power Platform nutzt Low-Code-Technologie, und das bietet Profis und Einsteigern gleichermaßen Vorteile, wie Jessica Kreidel berichtet: „Professionelle Entwickler können damit schneller als bisher arbeiten, gleichzeitig erhalten Mitarbeiter der Fachabteilung die Möglichkeit, kleine bis mittlere Projekte der Digitalisierung auch selbst umzusetzen.“ Insgesamt hat das Low-Code-Konzept allerdings Grenzen: „Wir haben im Fachbereich einige versierte Kolleginnen und Kollegen, die sich den einen oder anderen Workflow selbst bauen“, berichtet Heck. Das bringt im Alltag Erleichterungen. Ein Projekt wie der Compliance-Bot ist aber zu komplex, als das es Citizen-Developer alleine stemmen können. Professionelle Entwickler seien beispielsweise für das Erstellen der Anonymisierungs-Instanz unerlässlich.

The post EnBW nutzt Microsoft Power Platform für Compliance-Prozesse appeared first on IT-Matchmaker.news.

Sage, Anbieter von Mittelstand-spezifischen Lösungen für Buchhaltung, Finanzen, ERP (Enterprise Resource Planning), Personalmanagement und Gehaltsabrechnung, reagiert mit diesen Services auf die wachsende Nachfrage kleiner Unternehmen nach vereinfachten Funktionen für die Unternehmensverwaltung, die direkt in das Ökosystem der Anwendungen aus ihrem Tagesgeschäft eingebettet sind. Der Zugriff auf wichtige Finanztools wie Buchhaltung, Reporting und Compliance steht damit auch kleinen Unternehmen zur Verfügung, ohne dass sie die Plattform wechseln oder bestehende Arbeitsabläufe umkrempeln müssen. Sage hat diese Services zunächst im Vereinigten Königreich eingeführt und nun weitet das Angebot nun auf Nordamerika, Europa und Deutschland aus.

„Kleine Unternehmen verlangen heute nach integrierten All-in-One-Lösungen, die den täglichen Betrieb rationalisieren und Geld in Echtzeit in ihrem gewohnten digitalen Umfeld verwalten“, berichtet Gordon Stuart, SVP Operations Fintech & Embedded Services bei Sage. „Durch die Einführung der Embedded Services in mehreren europäischen Ländern erfüllt Sage die Anforderungen von Banken und Plattformen, die Buchhaltungsfunktionen innerhalb der Apps anbieten möchten, die kleine Unternehmen täglich nutzen.“

Buchhaltung und Reporting für kleine Unternehmen

Funktional sind die Embedded Services auf Organisationen zugeschnitten, die digitale Produkte entwickeln, die Selbstständige und kleine Unternehmen nutzen. Banken, Fintechs und Software-Anbietern können mit diesen Services ihre Lösungen differenzieren, indem sie darin Buchhaltungs-, Reporting- und Compliance-Tools einbetten, die auf spezifische Kundenbedürfnisse zugeschnitten sind.

Die Beispiele für derartige Services umfassen ein ehrdimensionales Hauptbuch, Finanzberichte in Echtzeit sowie anpassbare Einsichten und Analysen. Je nach Region sind zudem zusätzliche Funktionen wie CO2-Bilanzierung oder die Zusammenarbeit mit externen Buchhaltern verfügbar. Die Embedded Services sind modular aufgebaut und als White-Label konzipiert, sodass Partner selbst bestimmen können, wie sie diese gestalten und bereitstellen.

Ein Ökosystem bindet Plattform-Partner ein

Plattform-Partner erhalten mit Sage Embedded Services die Chance, mit den „Headless APIs“ die Markteinführungszeit zu verkürzen und die technischen Hürden für die Erstellung und Wartung neuer Angebote zu senken sowie maßgeschneiderte Lösungen mit modularen Funktionen bereitzustellen. So steigern sie die Kundenbindung und erschließen sich zusätzliche Einnahmequellen über Funktionen mit Mehrwert. Jürgen Frisch

The post Embedded Services: Buchhaltung, Reporting und Compliance nahtlos in Apps integriert appeared first on IT-Matchmaker.news.

Auf dem Weg zur passwortlosen Authentifizierung

Selbst komplexe Passwörter stellen nicht immer ein Hindernis für moderne Cyberangriffe dar: Sie können durch Phishing, Brute-Force-Attacken oder Credential Stuffing kompromittiert werden. Sogar bei einigen Mehrfaktor-Authentifizierungsverfahren bleiben Schwachstellen – beispielsweise dann, wenn unsichere Faktoren wie SMS-TANs oder statische OTPs (One-Time Passwords) zum Einsatz kommen. Abhilfe schafft hier eine Public-Key-Infrastruktur (PKI), die eine starke, zertifikatsbasierte Authentifizierung bietet und es Nutzern ermöglicht, sich zuverlässig zu verifizieren, Daten zu verschlüsseln und digitale Signaturen zu erstellen. Man stelle sich dies wie einen digitalen Reisepass vor: Wer einreisen möchte, zeigt an der Grenze seinen Pass vor, in dem eine Ausstellungsbehörde die Identität bestätigt. Der Grenzbeamte überprüft den Pass, stellt sicher, dass er gültig und nicht manipuliert ist, und gewährt dann den Zugang. Ähnlich funktioniert PKI: Anstatt ein Passwort einzugeben, verwendet der Nutzer ein digitales Zertifikat (privater Schlüssel), das von einer vertrauenswürdigen Instanz – der Zertifizierungsstelle – vorab verifiziert wurde (öffentlicher Schlüssel). Wann immer der Nutzer auf eine Unternehmensressource zugreifen möchte, überprüft das System automatisch, ob das Zertifikat authentisch und gültig ist, bevor der Zugriff gewährt wird. Folglich müssen sich Anwender keine Passwörter mehr merken.

Das PKI-Prinzip: So funktioniert die zertifikatsbasierte Authentifizierung

Die Erstellung des kryptografischen Schlüsselpaars durch den Nutzer und die Zertifizierung durch eine Certificate Authority (CA) erfolgt einmalig. Der private Schlüssel wird an einem sicheren Ort (z. B. physischer Token) gespeichert, während der öffentliche Schlüssel dazu dient, die Identität des Nutzers oder Geräts zu bestätigen. Diese Methode stellt sicher, dass nur autorisierte Nutzer und Geräte auf geschützte Systeme zugreifen können. Phishing und Passwortdiebstahl sind ohnehin unmöglich, weil es kein Passwort gibt, das sich stehlen lässt. Die Kenntnis des öffentlichen Schlüssels lässt keinen Rückschluss auf den privaten Schlüssel zu. Aufgrund der unvorstellbar großen Zahl von Möglichkeiten ist der private Schlüssel unmöglich zu erraten. Er lässt sich auch durch Ausprobieren aller Möglichkeiten (Brute-Force-Angriff) mittels herkömmlicher Computer nicht in einem praktikablen Zeitraum ermitteln. Quantencomputer wurden lange als Risikofaktor betrachtet, da sie solche Aufgaben wesentlich schneller lösen können. Zwischenzeitlich befinden sich jedoch kryptographische Verfahren in der Phase der Standardisierung, die auch hinreichenden Schutz gegen die gesteigerte Rechenpower von Quantencomputern bieten.

Herausforderungen und Lösungen beim PKI-Management

Obwohl PKI eine der sichersten Methoden zur Authentifizierung und Verschlüsselung darstellt, bringt ihr Management in Organisationen einige Herausforderungen mit sich.

1. Effiziente Verwaltung von Identitäten und Zertifikaten durch Lifecycle-Management

Besonders die Verwaltung von Tokens und Zertifikaten kann komplex werden – insbesondere für große Organisationen, die regelmäßig Mitarbeiter on- und offboarden. Ein fehlerhaftes Zertifikatsmanagement kann dazu führen, dass ehemalige Mitarbeiter weiterhin Zugriff haben oder neue Nutzer nicht rechtzeitig autorisiert sind. Ein Lifecycle-Management für digitale Identitäten und Zertifikate stellt sicher, dass diese automatisch ausgestellt, erneuert und bei Bedarf gesperrt werden. Das entlastet die IT und verhindert, dass ehemalige Mitarbeitende weiterhin über gültige Zertifikate verfügen.

2. PKI-as-a-Service als Alternative zur komplexen Eigenverwaltung

Ein weiteres Hindernis sind die erforderlichen Ressourcen und das notwendige Know-how, um eine PKI korrekt aufzusetzen und zu betreiben. Organisationen benötigen nicht nur spezialisierte IT-Sicherheitsfachkräfte, sondern auch Hardware-Sicherheitsmodule (HSMs), Zertifizierungsstellen und skalierbare Verwaltungsprozesse – all das erfordert Investitionen. PKI-as-a-Service kann hier eine attraktive Alternative sein, da sie alle notwendigen Funktionen als Cloud-Service bereitstellt und keine weiteren spezifischen Ressourcen – hinsichtlich Hardware, Rechenzentrum, Personal oder Know-how – erfordert. Dies reduziert Kosten und stellt sicher, dass die PKI stets auf dem neuesten Sicherheitsstandard bleibt. Allerdings eignet sich PKI-as-a-Service nur für Unternehmen, die ihre IT-Sicherheitsinfrastruktur in der Cloud hosten können.

3. Benutzerfreundlichkeit dank Self-Service

Eine zertifikatsbasierte Authentifizierung ist in der Regel wesentlich einfacher und komfortabler als herkömmliche Login-Methoden mit Benutzernamen und Passwort. Trotzdem kann es vorkommen, dass sich Nutzende aussperren, sei es durch verlorene Tokens, defekte Smartcards oder vergessene PINs. Moderne Self-Service-Funktionen ermöglichen es ihnen, verlorene oder abgelaufene Zertifikate eigenständig zu erneuern, ohne auf die Freischaltung durch die IT-Abteilung warten zu müssen. Dies reduziert nicht nur den Helpdesk-Aufwand und sorgt für eine höhere Benutzerzufriedenheit – dank Lifecycle-Management bleibt die Verwaltung dennoch übersichtlich für Administratoren.

4. Zukunftssicherheit durch Kryptoagilität

Aufgrund der zunehmenden Professionalisierung der Cyberkriminalität – heute durch ausgeklügelte Angriffsmethoden wie Ransomware oder zukünftig durch Quantencomputer, die klassische Verschlüsselungen aushebeln könnten –, ist Kryptoagilität ein wichtiger Aspekt bei PKI. Das bedeutet, dass die Lösungen in der Lage sind, neue kryptografische Verfahren schnell zu integrieren sowie Zertifikate automatisch zu aktualisieren – ohne, dass aufwendige manuelle Migrationen notwendig sind. Nur so bleibt die zertifikatsbasierte Authentifizierung langfristig sicher, anpassungsfähig und schützt somit die getätigten Investitionen effektiv.

Ein gut durchdachtes PKI-Management sorgt also nicht nur für höhere Sicherheit, sondern reduziert auch den administrativen Aufwand und stellt sicher, dass Unternehmen und andere Institutionen flexibel auf technologische Veränderungen reagieren können.

Fazit: Worauf Organisationen bei der Wahl Ihres PKI-Managements achten sollten

Alles in allem ist der Verwaltungsaufwand einer Public-Key-Infrastruktur nicht zu unterschätzen. Hier hilft es, das PKI-Management in die Hände eines professionellen Anbieters zu legen. Dieser sollte umfassende Dienstleistungen anbieten, darunter Lifecycle-Management und Self-Service-Funktionen. Außerdem ist eine Wahl zwischen On-Premises- oder PKI-as-a-Service-Modellen essenziell. Der Anbieter muss über eine erprobte Infrastruktur und hohe Kryptoagilität verfügen. Er sollte eine Vielzahl von Smartcards und Token-Typen unterstützen, um ein Vendor Lock-In zu vermeiden und flexibel auf neue Trends sowie wechselnde Anforderungen reagieren zu können. Zudem ist es wichtig, dass der Sitz des Anbieters sowie der Betrieb von Cloud-Services innerhalb der EU liegen und entsprechende Sicherheitszertifizierungen vorweisen. So stellen Organisationen auch zuverlässig die Gesetzeskonformität und interne Compliance ihrer Authentifizierungslösung sicher.

The post Zertifikatsbasierte Authentifizierung für maximale Sicherheit appeared first on IT-Matchmaker.news.