Kategorie: IT-Security

Welche unserer öffentlich erreichbaren Anwendungen muss jetzt jemand mit dem Dienstleister prüfen?

Diese Frage will die Leitung bewusst nicht mit zusätzlicher Unruhe belasten, solange noch unklar ist, ob überhaupt ein Problem besteht. Sie verlangt keine technische Ferndiagnose und auch keine Entscheidung über ein Update am Telefon. Sie richtet sich an eine öffentliche Website, ein Kundenportal oder eine andere Anwendung, die Menschen von außen erreichen können: Wer klärt ihren Pflegeweg mit dem Dienstleister?

Am 21. Oktober 2026 veröffentlichte das PHP-Projekt Sicherheitsupdates für zwei kritische Schwachstellen. Die Meldung nennt Installationen, die Webanfragen bedienen, als betroffenen Bereich. Das ist ein Anlass, die eigene Übersicht hervorzuholen oder erstmals anzulegen. Es ist kein Beleg dafür, dass die Website oder ein Portal Ihres Betriebs PHP nutzt, ungepflegt ist oder angegriffen wurde.

Ruhe ist ein guter Grund, keine Antwort

Dahinter steht kein Wegsehen. Die Leitung will, dass der Betrieb ruhig arbeiten kann und aus jeder technischen Meldung kein neues Projekt wird. Der Admin oder IT-Dienstleister will die Systeme am Laufen halten.

Zwischen diesen beiden Perspektiven liegt eine konkrete Betriebsfrage: Welche Anwendung ist von außen erreichbar, wer betreibt sie technisch, und wer bestätigt bei einer Herstellerwarnung den Pflegeweg? Bleibt diese Frage offen, kann die frühere Ruhe sie nicht beantworten. Sie sagt nur, dass bisher kein Anlass im Betrieb sichtbar geworden ist.

Was die PHP-Meldung tatsächlich hergibt

Das PHP-Projekt beschreibt in seiner Meldung vom 21. Oktober Sicherheitsupdates für PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Es nennt zwei kritische Schwachstellen, die unauthentifizierte Remote-Code-Ausführung ermöglichen können. Betroffen sind laut Projekt PHP-Installationen, die Webanfragen bedienen, etwa mit PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP oder LiteSpeed.

Die Information trägt eine betriebliche Frage, aber kein Urteil über den eigenen Betrieb. Sie sagt nicht, ob Ihre öffentliche Website auf einer dieser Installationen läuft. Sie sagt auch nicht, was der Vertrag mit Ihrem Dienstleister umfasst oder ob eine Aktualisierung dort bereits geschehen ist. Wer daraus eine Gefährdung der eigenen Website ableitet, lässt genau die Klärung aus, die jetzt noch fehlt.

Die Leitung muss dafür keine PHP-Version beurteilen. Sie muss auch nicht aus einer Herstellerwarnung eine Schuldfrage für den Dienstleister machen. Ihre Aufgabe ist enger: eine Person im Betrieb hält die Frage, der Dienstleister kann für die betreffende Anwendung die technische Rückmeldung geben. So bleibt bei einer Meldung sichtbar, wer auf welcher Seite antwortet und welche Information noch fehlt.

Das kann auch zeigen, dass die Website bei einem anderen technischen Betreiber liegt oder dass mehrere Anwendungen unterschiedliche Pflegewege haben. Daraus folgt noch keine Bewertung. Es verhindert lediglich, dass die Sicherheitsmeldung an eine allgemeine Adresse geht und niemand die Anwendung zuordnen kann, um die es tatsächlich geht.

Wie ich das sehe: Vorsorge beginnt hier damit, die offene Pflegefrage sichtbar zu machen. Die frühere Ruhe belegt nicht, dass heutige Zugänge und vereinbarte Pflegewege noch zusammenpassen. Der Dienstleister kann den technischen Status erklären. Die Geschäftsführung muss entscheiden, wer die Frage im Betrieb hält und welche Rückmeldung sie erwartet.

Wenn Sie gerade den Umgang mit angekündigten Produktlebenszyklen sortieren, hilft Ihnen auch der Impuls Das Supportende gehört auf den Tisch. Bei einer aktuellen Herstellerwarnung geht es vorher um die Übersicht, welche Anwendung welchem Pflegeweg zugeordnet ist.

Wenn Leitung und Dienstleister diese Übersicht gemeinsam brauchen, kann eine gemeinsame Bestandsaufnahme mit Admin oder Dienstleister helfen. Danach kennen beide Geräte, Zugänge und Zuständigkeiten auf einem gemeinsamen Stand. Das Erstgespräch führt Michael vorher mit der Leitung allein.

Eine Liste für die offene Pflegefrage

Nehmen Sie diese Woche mit Admin oder IT-Dienstleister einen Termin für die öffentlich erreichbaren Anwendungen. Die Geschäftsführung benennt dafür eine intern entscheidungsfähige Person. Auf eine kurze Liste kommen Website, Kundenportal oder andere Anwendungen, die von außen erreichbar sein können. Zu jeder Anwendung halten Sie Zweck, technischen Betreiber und Pflegeweg fest. Dann fragen Sie, ob PHP eingesetzt wird und wer einen aktuellen Update- oder Paketstatus bestätigen kann.

Vier Fragen reichen für den Anfang:

• Welche Anwendungen sind von außen erreichbar?
• Wer betreibt jede Anwendung technisch?
• Wer bestätigt den Pflege- oder Paketstatus?
• Wen informiert der Dienstleister bei einer kritischen Herstellerwarnung, und wer entscheidet dann im Betrieb?

Diese Liste ist eine Arbeitsgrundlage, keine vollständige Methode und keine Patch-Anweisung. Sie kostet einen Termin und kann offenlegen, dass bei einer Anwendung noch niemand klar benannt ist. Danach können Sie sagen, welche öffentlich erreichbare Anwendung welchem Pflegeweg zugeordnet ist und welche Rückmeldung noch fehlt.

Sie ersetzt keine technische Prüfung und trifft keine Aussage über eine konkrete Betroffenheit.

Für die wiederkehrende Frage, wie technische Betreuung und betriebliche Verantwortung zusammenpassen, lesen Sie auch Die Firewall mit Werkseinstellungen. Dort geht es um ein Gerät, hier um den Pflegeweg einer Anwendung. Wer hält die Liste bei Ihnen so, dass eine Herstellerwarnung die richtige Person erreicht?

Quellen

• php.net

---

Michael Höner ist IT-Architekt und strategischer Sparringspartner für den Mittelstand. Er berät Unternehmen in NRW und bundesweit zu IT-Sicherheit, KI-Verantwortung und digitaler Architektur, ohne Produktprovisionen und ohne Implementierungsmandat.

Beitragsbild: KI-generiertes Bild.

Wenn der Bildschirm sagt: „Fügen Sie das nur kurz ein, dann geht es weiter“, ist die Versuchung verständlich.

Die Arbeit wartet. Vielleicht steht eine Datei offen, ein Kunde braucht eine Antwort oder der nächste Schritt im Ablauf hängt an genau diesem Bildschirm. Niemand möchte wegen einer Kleinigkeit erst eine Stelle suchen, anrufen und erklären müssen, was gerade passiert.

Auch die anderen Beteiligten haben gute Gründe. Mitarbeitende wollen ihre Aufgabe ohne Umweg erledigen. Admin oder IT-Dienstleister wollen, dass der Betrieb läuft und Hilfe nicht zum Hindernis wird. Die Geschäftsführung will keine neue Regel, die jeden kleinen Arbeitsschritt schwerer macht. So entsteht leicht eine Lücke: Alle wollen Arbeit ermöglichen, doch für eine unerwartete Anweisung am Bildschirm ist kein gemeinsamer Weg festgelegt.

Wenn der Bildschirm zur Anleitung wird

Das Ministerium des Innern und für Sport Rheinland-Pfalz beschreibt eine laufende Kampagne gegen deutsche Institutionen. Ein Opfer öffnet dabei eine Windows-Konsole und führt einen Befehl aus. Mehr sagt dieser Anlass nicht über einen einzelnen Betrieb aus. Er zeigt aber eine Frage, die Firewall und Virenschutz nicht allein beantworten: Was passiert, wenn eine Aufforderung aussieht wie ein nötiger Arbeitsschritt?

Firewall und Virenschutz bleiben nötig. Sie können Angriffe abfangen und Schäden begrenzen. Die Entscheidung, einer Anweisung zu folgen, trifft jedoch ein Mensch im Arbeitsalltag. Sicherheit fängt im Kopf an. Das ist kein Vorwurf an die Person vor dem Bildschirm. Es ist eine Führungsaufgabe: Der sichere Weg muss so klar und erreichbar sein, dass niemand erst Mut zur Unterbrechung sammeln muss.

Die übliche Empfehlung, auf einen verdächtigen Absender zu achten, greift hier zu kurz. Eine Anweisung kann genau dort auftauchen, wo jemand gerade weiterarbeiten will. Gute IT merkt man daran, dass sie Arbeit leichter macht. Dazu gehört auch ein Weg, der bei einer ungewöhnlichen Aufforderung Orientierung gibt. Er muss auch dann wirklich tragen, wenn gerade niemand Zeit für lange Erklärungen hat.

Ein Stopp braucht keinen Rechtfertigungstext

Wie ich das sehe: Es reicht nicht, technische Schutzmaßnahmen einzurichten und die Verantwortung damit abzulegen. Geschäftsführung, Mitarbeitende und Dienstleister brauchen eine einfache Vereinbarung für diesen Moment. Wer eine unerwartete Installations- oder Konsolenanweisung sieht, darf anhalten und nachfragen. Ohne Erklärung, warum die Frage vielleicht übervorsichtig war.

Das ist auch fair gegenüber dem Dienstleister. Er kann eine erreichbare Prüfstelle benennen und die technische Einordnung übernehmen. Die Geschäftsführung entscheidet, dass dieser Weg gilt. Mitarbeitende erkennen häufig zuerst, wenn eine Aufforderung nicht in ihren normalen Ablauf passt. Ihre Rückfrage ist dann keine Störung. Sie macht die Lage sichtbar, bevor aus einem einzelnen Klick eine schwer zu klärende Frage wird.

Eine Regel für diese Woche

Nehmen Sie das Thema „Anweisungen am Bildschirm“ in alle Fachbereiche. Die Führung benennt eine erreichbare Prüfstelle, bei Bedarf gemeinsam mit Admin oder IT-Dienstleister. Legen Sie dann eine Regel fest: Unerwartete Aufforderungen zu Installation oder Konsole werden nicht ausgeführt, bevor sie über diesen Weg geprüft sind. Testen Sie die Regel an einem Beispiel: Wer wird angesprochen, wie ist die Stelle erreichbar und was sagt die Person vor dem Bildschirm?

Damit ist kein Sicherheitsproblem erledigt. Aber die nächste Entscheidung liegt nicht mehr allein bei dem Menschen, der gerade weiterarbeiten will. Sie wird zu einer Regel, die Schutz und Arbeitsfähigkeit zusammenbringt.

Quellen

• Ministerium des Innern und für Sport Rheinland-Pfalz, „TerminalFix-Kampagne“, September 2026, abgerufen 30.09.2026 · https://mdi.rlp.de/themen/verfassungsschutz/cyberschutz/terminalfix-kampagne
• mdi.rlp.de

---

Michael Höner ist IT-Architekt und strategischer Sparringspartner für den Mittelstand. Er berät Unternehmen in NRW und bundesweit zu IT-Sicherheit, KI-Verantwortung und digitaler Architektur, ohne Produktprovisionen und ohne Implementierungsmandat.

Beitragsbild: KI-generiertes Bild.

Ein Zugang von außen soll einfach funktionieren.

Das ist verständlich. Wenn jemand unterwegs ist, im Homeoffice arbeitet oder der Dienstleister helfen muss, soll der Zugang nicht im Weg stehen. Die Zwei-Faktor-Authentifizierung wirkt dann wie eine zusätzliche Hürde. Wieder ein Schritt, der Zeit kostet, obwohl die Arbeit längst wartet.

Auch der Admin oder IT-Dienstleister hat einen guten Grund, den Zugang einfach zu halten: Er will helfen, wenn etwas klemmt. Mitarbeitende wollen ohne Umweg an ihre Aufgabe. Die Geschäftsführung will, dass Aufträge, Termine und Kunden nicht warten. Niemand handelt leichtfertig. Gerade deshalb kann ein Zugang entstehen, den jeder einzeln für sinnvoll hält und den niemand als Ganzes betrachtet.

Eine offene Frage nach elf Tagen

Der Fall der Südwestfalen-IT zeigt, warum diese Gesamtansicht wichtig ist. In der Nacht vom 29. auf den 30. Oktober 2023 wurden dort erste verschlüsselte Dateien bemerkt. Laut Berichten über den Forensikbericht gab es bereits ab dem 18. Oktober erste Anmeldeversuche am VPN, rund elf Tage davor.

Die Südwestfalen-IT erklärte später, die Angreifer hätten über eine softwarebasierte VPN-Lösung mit einer Schwachstelle Zugang zum internen Netzwerk erlangt. Diese Lösung verlangte keine Multifaktor-Authentifizierung. Wie die benötigten Zugangsdaten abgegriffen wurden, konnte nach Angaben der Südwestfalen-IT nicht abschließend geklärt werden.

Das ist keine Geschichte, in der man bequem auf einen Fehler zeigen kann. Bei diesem Zugang fehlte die Multifaktor-Authentifizierung. Betroffen waren 72 Verbandskommunen und eine IT-Infrastruktur für über 22.000 Arbeitsplätze sowie 160 Fachverfahren.

Der ehrliche Einwand lautet: Firewall und Virenschutz sind nötig. Sie nehmen einem aber nicht die Entscheidung ab, wie ein Zugang von außen geschützt wird. Sicherheit fängt im Kopf an. Dort, wo Geschäftsführung, IT und Tagesgeschäft gemeinsam festlegen, welcher Zugang welchen Schutz braucht.

Zwei-Faktor-Authentifizierung gemeinsam prüfen

Ich würde nicht mit einer langen Liste anfangen. Ich würde einen Zugang auswählen, der von außen erreichbar ist. Die Frage lautet: Reicht dort wirklich ein Passwort, oder braucht es einen zweiten Faktor? Danach wird festgelegt, wer den Zugang nutzt, wer ihn betreut und was passiert, wenn der zweite Faktor einmal nicht funktioniert.

Das ist keine Aufgabe für die IT allein. Die Geschäftsführung entscheidet, welchen Aufwand der Betrieb für einen sicheren Zugang trägt. Der Admin oder Dienstleister kennt die Technik und die Folgen im Alltag. Die Mitarbeitenden können sagen, an welcher Stelle der Weg sie tatsächlich aufhält. Erst aus diesen drei Sichtweisen wird eine Regel, die im Alltag bestehen kann.

Ein erster Schritt für diese Woche

Nehmen Sie sich mit der Geschäftsführung und dem Admin oder IT-Dienstleister 30 Minuten Zeit. Thema: Zugänge von außen. Bereich: der Zugang, über den Mitarbeitende oder Dienstleister in die IT kommen. Verantwortlich ist eine Person aus der Geschäftsführung. Der nächste Schritt: Für jeden solchen Zugang aufschreiben, ob ein zweiter Faktor verlangt wird und wer die Antwort prüft.

Damit lösen Sie noch nicht jedes Sicherheitsproblem. Sie machen aber eine Stelle sichtbar, die im Alltag leicht als Komfortfrage durchgeht. Vorsorge beginnt dort, wo jemand die Frage stellt, bevor etwas passiert.

Sie möchten diese Frage einmal für Ihren Betrieb klären? Dann sprechen wir zwanzig Minuten darüber. Ohne Vorbereitung. Die Frage reicht als Anfang. Ich höre mir an, was bei Ihnen daran hängt, und schaue mit Ihnen auf den ersten Schritt.

Quellen

• kuerten.de
• burbach-erleben.de

---

Michael Höner ist IT-Architekt und strategischer Sparringspartner für den Mittelstand. Er berät Unternehmen in NRW und bundesweit zu IT-Sicherheit, KI-Verantwortung und digitaler Architektur, ohne Produktprovisionen und ohne Implementierungsmandat.

Beitragsbild: KI-generiertes Bild.

Der Freitag beginnt mit einer offenen Akte

Kurz vor Feierabend landet der Sicherheitsfragebogen eines Großkunden im Vertrieb. Die Rückgabe ist für Montag vorgesehen. Bevor jemand antworten kann, muss geklärt werden, welche Aussage belegt werden kann und wer sie verantwortet. Der Anhang wirkt klein, seine offenen Verbindungen reichen weit in den Arbeitsalltag.

Die erste Antwort ist eine Prüfung

Der Anhang sieht nach einer Aufgabe für den Vertrieb aus. Tatsächlich legt er eine Prüfung offen: Wie arbeitet das Unternehmen an dieser Stelle? Wo lässt sich die Aussage nachlesen? Wer kann sie fachlich vertreten?

Ein Anhang kennt Ihre Ablage und Ihre Zuständigkeit nicht. Er bringt nur Fragen und eine Frist. Sobald er eintrifft, wird sichtbar, ob die Organisation ihre Antworten vorbereitet hat oder ob sie den eigenen Alltag erst rekonstruieren muss.

Eine Aussage braucht drei Verbindungen

Nehmen wir die Frage, wie Zugänge geschützt werden. Eine vertraute Formulierung aus einem alten Angebot klingt zunächst brauchbar. Sie trägt erst, wenn die beschriebene Praxis im Unternehmen bekannt ist, ein passender Nachweis auffindbar bleibt und eine verantwortliche Person die Aussage einordnen kann.

Diese Verbindungen gehören zusammen. Ein Dokument ohne Bezug zur Praxis hilft bei der Prüfung wenig. Eine richtige Praxis ohne auffindbaren Beleg bleibt für den Empfänger unsichtbar. Eine Aussage ohne Zuständigkeit lässt offen, wer sie nach einer Rückfrage erklärt.

Der Vertrieb braucht eine klare Übergabe

Im Vertrieb bleibt der Kundenkontakt und der Montag im Blick. Das macht diesen Bereich zum Eingangspunkt für die Anfrage. Die fachliche Verantwortung liegt deshalb noch nicht automatisch dort.

Eine tragfähige Übergabe benennt, wer den Ablauf kennt, wer den Nachweis pflegt und wer eine Formulierung nach außen vertreten kann. Diese Zuordnung muss im Alltag auffindbar sein. Sie darf nicht an einer einzelnen Erinnerung hängen.

Das entlastet den Vertrieb auf eine nüchterne Weise. Er muss keine fachliche Antwort erraten. Er kann eine konkrete Aussage an die richtige Stelle geben und den Rücklauf nachvollziehbar koordinieren.

Pflege geschieht zwischen den Anfragen

Sicherheit braucht Routine, nicht Projekte. Routine heißt hier: Nachweise werden an einem festen Ort gepflegt, ihre Gültigkeit bleibt sichtbar und Änderungen hinterlassen eine Spur. Die Arbeit passiert an Tagen, an denen kein Großkunde eine Rückgabe bis Montag verlangt.

Dafür braucht es kein großes Versprechen. Ein gemeinsamer Ablageort, verständliche Bezeichnungen und eine benannte Verantwortung schaffen bereits eine andere Ausgangslage. Jede neue Anfrage kann dann an etwas Bestehendes anknüpfen.

Der Blick auf das Postfach als Eingangstür beschreibt denselben Anfang: Eine Nachricht kommt an. Die Grundlage für eine verlässliche Antwort muss früher entstanden sein.

Die Frist zeigt den Zustand

Am Montag wird der Fragebogen zurückgeschickt. Die eigentliche Aussage über die Organisation entsteht früher: in der Pflege ihrer Nachweise, in der Zuordnung ihrer Verantwortung und in der Klarheit ihrer Abläufe. Wer diese Grundlage regelmäßig prüft, erkennt offene Stellen vor dem nächsten Kundentermin und kann sie ohne hektische Suche bearbeiten.

Eine Frist ist dann ein Prüfpunkt im Kalender. Sie entscheidet nicht über die Qualität der Grundlage. Das tut die tägliche Arbeit, die vor dem Eingang des Anhangs geleistet wurde. Dort zeigt sich, wie gut Verantwortung bereits verteilt ist.

Für den Ernstfall habe ich die 15 Prüfpunkte als Checkliste zusammengestellt: Security-Fragebogen-Notfallcheck als PDF. Ausdrucken, beim nächsten Fragebogen danebenlegen.

 

---

Michael Höner ist IT-Architekt und strategischer Sparringspartner für den Mittelstand. Er berät Unternehmen in NRW und bundesweit zu IT-Sicherheit, KI-Verantwortung und digitaler Architektur — ohne Produktprovisionen, ohne Implementierungsmandat.

Der Satz, der Verantwortung verschiebt

Ihr Dienstleister hält Ihre IT am Laufen. Genau deshalb wirkt die Sicherheitsfrage auf den ersten Blick erledigt. Die fünf Entscheidungen über Risiko, Prioritäten, Rollen, Notfall und Kultur bleiben trotzdem bei der Geschäftsführung.

Der Dienstleister ist nicht der Verantwortliche

Ein guter IT-Dienstleister nimmt Arbeit ab. Er überwacht Systeme, schließt Lücken, dokumentiert Maßnahmen und hilft im Ernstfall. Dafür wird er beauftragt.

Die Verantwortung für die Richtung bleibt im Unternehmen. IT-Security ist eine Führungsaufgabe, weil dort Entscheidungen über Risiko, Geld und Verhalten zusammenlaufen. Der Dienstleister setzt um. Die Richtung gibt die Geschäftsführung vor.

Das klingt unbequem. Gerade deshalb muss es ausgesprochen werden.

Risiko braucht eine bewusste Grenze

Jedes Unternehmen trägt Risiken. Die Geschäftsführung muss festlegen, welche davon bewusst getragen werden und welche nicht. Darf ein System bei einem Angriff vom Netz? Wie viel Ausfall ist tragbar? Welche Daten dürfen das Unternehmen auf keinen Fall verlassen?

Auf diese Fragen gibt es keine technische Standardantwort. Ein Dienstleister kann Folgen erklären und Optionen vorbereiten. Die Grenze setzt die Geschäftsführung. In einem Gespräch lässt sich das greifbar machen: Ein Betrieb kann einen kurzen Ausfall tragen, aber den Verlust bestimmter Daten nicht. Diese Unterscheidung muss ausgesprochen und festgehalten werden.

Budget folgt Priorität

Sicherheit kostet Geld. Die relevante Frage lautet deshalb, welches Risiko zuerst bearbeitet wird und welche Maßnahme dafür ausreicht.

Ein Dienstleister kann Aufwand und Abhängigkeiten benennen. Er sieht auch, wo eine Reparatur nur einen alten Fehler verlängert. Die Reihenfolge muss das Unternehmen festlegen. Sonst entscheidet am Ende die lauteste Lücke.

Rollen zeigen sich im Ernstfall

Wenn ein Angriff läuft, bleibt keine Zeit für Zuständigkeitsdebatten. Wer darf Systeme abschalten? Wer spricht mit Mitarbeitenden, Kunden und Behörden? Wer entscheidet, ob ein Betriebsteil weiterläuft?

Diese Antworten gehören auf den Tisch, bevor etwas passiert. Eine Telefonnummer im Vertrag benennt noch keinen Entscheider.

Notfall ist eine Führungsentscheidung

Technische Abläufe lassen sich vorbereiten. Die Entscheidung, einen Dienst zu unterbrechen, Datenzugriffe zu sperren oder den Betrieb kontrolliert herunterzufahren, bleibt eine unternehmerische Abwägung.

Ich erlebe in Gesprächen oft, dass dafür ein Plan existiert, aber niemand benannt ist, der ihn auslösen darf. Dann ist der Ablauf dokumentiert und trotzdem nicht handlungsfähig.

Kultur entsteht nicht im Schulungsportal

Awareness bedeutet, dass Menschen Risiken erkennen und im Alltag richtig reagieren. Eine Schulung kann dafür Wissen vermitteln. Sie schafft aber keine Haltung, wenn Führung Sicherheit nur einmal im Jahr abfragt.

Die Geschäftsführung prägt, was im Zweifel zählt: Bequemlichkeit oder Rückfrage. Kultur zeigt sich in solchen kleinen Entscheidungen.

Der Dienstleister entlastet, wenn die Grenze klar ist

Der Dienstleister bleibt ein wichtiger Teil der Sicherheitsarbeit. Er bringt Fachwissen, Überwachung, technische Umsetzung und Unterstützung im Vorfall ein. Das entlastet die Geschäftsführung spürbar.

Entlastung bedeutet nicht Übergabe der Verantwortung. Wer nur ein Siegel oder eine einmalige Prüfung sucht, passt zu meiner Arbeitsweise nicht. Ich arbeite mit Geschäftsführungen, die ihre Entscheidungen nachvollziehbar treffen und dauerhaft im Unternehmen verankern wollen.

Eine IT-Security-Standortbestimmung schafft dafür den nötigen Überblick: Welche Risiken sind bekannt? Welche Rollen sind geklärt? Welche Entscheidung liegt noch bei niemandem? Eine klare Bestandsaufnahme zeigt, wo die Führung ansetzen muss.

---

Michael Höner ist IT-Architekt und strategischer Sparringspartner für den Mittelstand. Er berät Unternehmen in NRW und bundesweit zu IT-Sicherheit, KI-Verantwortung und digitaler Architektur — ohne Produktprovisionen, ohne Implementierungsmandat.