YT YouTube2Text

YouTube2Text → Transcripts → Phishing auf Steroiden – Mit Dr. Markus Schmall, CISO von Covestro

Phishing auf Steroiden – Mit Dr. Markus Schmall, CISO von Covestro — Transcript

by Splunk · 6,175 words · 1,222 segments · language en · Watch on YouTube

Open in transcriber Summarize with AI Download SRT/VTT

Full transcript

0:00Die Angreifer werden schneller werden.
0:02Es wird keinen Amateur-Angreifer mehr
0:04geben. Die Maschinen werden am Ende des
0:06Tages alle Schwachstellen abklopfen. Es
0:09hat mich total fasziniert, dass ich AIs
0:11untereinander ausgetauscht haben. Die
0:14Aufgabe, die wir gestellt bekommen
0:15haben, ist in meiner Sandbox nicht
0:17lösbar und ich breche aus. In fünf
0:19Jahren wird der typische
0:20Sicherheitsexperte mehr über
0:22Programmcode verstehen als der typische
0:24ITler.
0:26Mein Name ist Sven Hansel und wie immer
0:28heiße ich euch ganz herzlich willkommen
0:30zum Podcast Digitale Resilienz. Ja, der
0:33Podcast, der euch hinter die Kulissen
0:35resilienter
0:37Unternehmen führt, denn nur hier hört
0:39ihr wie immer von Entscheidern aus IT
0:41Security und Vorstandsetage persönlich,
0:45wie sie das Thema digitale Resilienz
0:47sehen und was sie auf ihrer Reise zu
0:49mehr
0:50Widerstandsfähigkeit im Unternehmen
0:52erlebt haben.
0:55Heute haben wir einen Gast da, der
0:57Computerviren schon gejagt hat, als sie
1:00noch auf Disketten waren.
1:03Er beschäftigt sich seit 1986
1:06mit Sicherheit und äh
1:09man mag's kaum glauben, Ende der 80er
1:10hat er bereits einen Viruskiller für den
1:13Amiga geschrieben. Die Älteren unter uns
1:16erinnern sich. Tolles Gerät, vor allem
1:18grafisch und für Spieler. Ja, später
1:20dann am Virus Testcenter der Universität
1:23Hamburg hat er über die Erkennung von
1:25Schadcode promoviert und danach kam
1:28Station bei Computer Associates, der
1:30Deutschen Telekom und der Deutschen
1:31Börse und heute
1:33verantwortet er die
1:34Informationssicherheit bei Covestro in
1:37Leverkusen, das ehemals börsennotierte
1:40Unternehmen. Das betreibt Chemieanlagen
1:42und ja, die müssen, wie ihr wisst, rund
1:44um die Uhr 24/7 laufen und ein
1:47Stillstand
1:49würde da sofort Geld kosten. Ja, und auf
1:51der Gegenseite von ihm, da sitzen
1:54Angreifer, die mit KI
1:56jeden Monat schneller werden und dazu
1:59hat unser Gast eine klare These, um die
2:01geht es heute.
2:02Security und AI Partner oder Gegner.
2:06Herzlich willkommen Dr. Markus Schmall,
2:09CISO von Covestro.
2:11Ja, schön, dass ich hier sein darf.
2:13Schön, dass du da bist. Ähm, ihr kennt
2:15es, wenn ihr uns öfters hört und seht,
2:18wir beginnen mit der Rubrik wahr
2:22oder falsch.
2:24Markus, zurzeit wird ja viel gecodet,
2:26Vibe Coding riesen Stichwort und äh
2:28Entwickler sind jetzt auch schon
2:30Maschinen. Deshalb erste Frage im wahr
2:32oder falsch in, sagen wir mal, fünf
2:34Jahren,
2:35können dann nur noch Sicherheitsexperten
2:37wie du Programmcode verstehen?
2:39Wahr. Klares wahr.
2:41Okay.
2:41Weil ich glaube einfach, äh es gibt
2:43immer mehr Leute, die KI zum Vibe Coding
2:45nutzen, die prompten und es wird so viel
2:48Code generiert, äh den kann sich niemand
2:50mehr anschauen. Wenn es dann zum
2:52Sicherheitsproblem kommt, wird es eben
2:54genau Leute wie mich und meine Kollegen
2:56brauchen, die das noch verstehen können.
2:59Also gar keine mehr, die da Durchblick
3:00bis auf euch? Ihr seid die die die
3:02Götter der Weisheit dann?
3:03Also das ist tatsächlich ein
3:04Schwarz-Weiß-Bild, aber ich gehe davon
3:06aus, in fünf Jahren wird der typische
3:09Sicherheitsexperte mehr über
3:11Programmcode verstehen als der typische
3:13ITler.
3:15Okay, lassen wir so stehen. Wahr oder
3:17falsch Numero zwei.
3:19In paar Jahren schaut sich im SOC kein
3:22Mensch mehr jeden einzelnen Alarm an?
3:25Klares auch wahr,
3:27weil genau die gleiche Argumentation.
3:28Wir haben so viele Alarme, die ankommen
3:30werden und im SOC werden nur noch
3:32herausragende Fälle oder Fälle, die eine
3:35Maschine, eine KI nicht mehr
3:37einsortieren, nicht eindeutig
3:38einsortieren kann, anschauen.
3:4090 %, 95 % wird rein maschinell
3:43abgearbeitet.
3:45Okay.
3:46Letzte Frage.
3:48Persönliche Frage. Die Konsequenzen aus
3:50dem Hugging Face Angriff, die lassen
3:52dich nicht schlechter schlafen?
3:54Ich schlafe weiterhin gut, äh ich muss
3:56mich darauf einstellen, äh dass Angriffe
3:58schneller werden, aber ich habe
4:00weiterhin einen guten Nachtschlaf.
4:01Das ist das ist die
4:02Hauptsache, muss man als als sie so
4:04heute auch haben, glaube ich, ne? Das
4:05ist
4:06ähm krasses Programm. So,
4:10Interview Part One, wir starten
4:12schneller aber nicht besser haben wir
4:13das mal
4:14übertitelt. Ähm du hast im Sommer, habe
4:17ich dich moderieren dürfen auf der CSO
4:19Threatscape gesagt, was mich in gewisser
4:22Weise gewundert hat, KI ist für
4:25Angreifer ein
4:26Geschwindigkeitsmultiplikator,
4:28kein Ausrufezeichen,
4:31Qualitätsmultiplikator.
4:33Willst du damit deine Zielgruppe
4:35beruhigen nach dem Motto Angriffe werden
4:37nicht klüger, nur schneller und
4:39zahlreicher?
4:41Im Kern ja.
4:43Was äh warum sage ich das? Ich glaube,
4:45ich muss die Verteidiger müssen
4:46umdenken.
4:47Okay.
4:48Ähm
4:49die Angreifer werden schneller werden.
4:51Es wird keinen Amateurangreifer mehr
4:53geben. Die Maschinen werden am Ende des
4:56Tages
4:57systematisch alle Schwachstellen
5:00abklopfen.
5:01Das heißt, die Tür, die ich heute offen
5:03lasse, die von einem manuellen Angreifer
5:06nicht gefunden wird, wird eiskalt von
5:08einer Maschine gefunden werden.
5:10Das heißt, wir werden auch mehr
5:13Sicherheitsvorfälle,
5:14und ich glaube die nächsten zwei Jahre,
5:16kontinuierlich sehen.
5:18Da Maschinen aber Gelerntes anwenden,
5:22verfolgen sie bekannte Angriffspfade und
5:25keine komplett neuen Angriffspfade.
5:26Deshalb kann ich weiterhin gut schlafen,
5:29aber ich muss mich darauf vorbereiten,
5:31schneller und konsequenter zu reagieren.
5:34Und die Gefahr, die viele sehen, dass
5:35sie dann irgendwann mal selbstständig
5:37werden, siehst du noch nicht?
5:39Die sehe ich noch nicht. Natürlich habe
5:42ich explizit die Hacking Face und die
5:44Veröffentlichung danach gesehen.
5:47Und es hat mich als technischen Nerd
5:50total fasziniert, wie OpenAI berichtet
5:54hat, dass sich AIs untereinander
5:55ausgetauscht haben und sie zu dem
5:57Entschluss gekommen sind, die Aufgabe,
5:59die wir gestellt bekommen haben, ist in
6:01meiner Sandbox nicht lösbar und ich
6:03breche aus.
6:05Das fasziniert mich technisch total.
6:08Aus einer Verteidigersicht, der eine
6:10Firma verteidigen muss, habe ich immer
6:12noch die gleichen Angriffswege und ich
6:14weiß, wie ich mich dagegen verteidigen
6:15kann. Ich muss es nur alles schneller
6:18und konsequenter machen.
6:20Okay.
6:21Dann richtig beruhigt. Ähm
6:24bei deinem Vortrag, den ich ja sehr
6:25spannend fand, wie gesagt, hast du auch
6:27ein Beispiel gebracht, das kennt jeder
6:29aus der Post
6:31oder aus, ja, Messeständen, Phishing
6:33über QR-Code.
6:35Ähm der Link steckt dann in dem Bild,
6:38der Mailfilter sieht nichts, ne?
6:40Und ähm gescannt wird dann mit dem Handy
6:43irgendwo. Das hat ja nicht denselben
6:46Schutz wie der Firmenrechner. Das ist ja
6:48die Gefahr, wenn ich dich richtig
6:49verstehe, ne?
6:51Ähm du sagst dazu, QR-Code Phishing
6:55ist Phishing auf Steroiden. Äh
6:58wie kommst du darauf und wie wie
7:00funktioniert das und wie fängt man sowas
7:01ab und warum sagst du, das ist auf
7:03Phishing auf Steroiden? Warum das
7:04beunruhigt dich dann, ne, oder?
7:06Nein, auch das wieder hat mich
7:07technologisch fasziniert. Ähm also
7:10QR-Code Phishing ist ungefähr drei Jahre
7:12alt. Ähm das heißt, es gab normales
7:15Phishing, dann gab es URLs, die in
7:18E-Mails versendet worden sind. Die
7:19Gegenmaßnahme war, dass die
7:21E-Mail-Filter die URLs untersucht haben
7:24und die E-Mails dann halt geblockt
7:26haben.
7:26Das haben die Angreifer irgendwann
7:28verstanden, also haben sie Bilder mit
7:30QR-Codes verschickt,
7:32die dann gescannt werden mussten.
7:35Die Abwehrmaßnahme von den großen
7:36Mailfilterherstellern war, dass sie eine
7:39Bilderkennung eingebaut haben. Jedes
7:41Attachment, also jede angehängte Datei
7:44an eine E-Mail wurde untersucht, so auch
7:46das Bild. Wenn da drin eine URL
7:48versteckt war, wurde die wiederum der
7:50Analyse übergeben und wurde abgewehrt.
7:53Soweit so gut. Und jetzt ungefähr vor
7:55anderthalb Jahren haben wir das das
7:56erste Mal gesehen, dass keine Bilder
7:59mehr mitgeschickt worden sind, sondern
8:02HTML-Dateien,
8:03wo in Anführungszeichen in HTML QR-Codes
8:06nachgebildet worden sind.
8:08Also aus einer HTML-Tabelle,
8:11wie wir es äh klassisch kennen. Die
8:13wurden besonders, wurden klein als Pixel
8:15äh auf montiert und dann wurden da
8:17QR-Codes draus gemacht.
8:19Das heißt, der normale Phishing-Filter
8:21sah eine HTML-Datei mit einer Tabelle,
8:24konnte damit überhaupt nichts anfangen
8:26und
8:28der Angreifer hat wieder sein Ziel
8:30erreicht. Er ist an allen
8:31Schutzmechanismen vorbei und der User,
8:34der möglicherweise nicht die Awareness
8:35hatte, hat das Bild abgescannt und ist
8:37reingefallen.
8:39Wie wehre ich das ab? Die nächste
8:41Generation der Mail-Filter, ja, haben
8:44dann einen HTML-Parser eingebaut, der äh
8:47das HTML passt, daraus das Bild
8:49generiert, was der Mensch sieht und
8:52dagegen wiederum dann ihre Erkennung
8:53laufen lassen.
8:54Mhm.
8:55Das heißt, das ist so ein klassisches
8:56Hase-und-Igel-Spiel,
8:58was wir hier sehen. Und gerade die
9:00Fälle, die wir Ende letzten Jahres
9:03gesehen haben in dem QR-Code-Phishing
9:05oder diesem HTML-QR-Code-Phishing,
9:07um genau zu sein, das sah alles
9:09tatsächlich maschinell generiert aus. Da
9:11hat kein Mensch mehr äh sich das
9:13gemacht, sondern das war eindeutig
9:15LLM-basiert.
9:16Okay.
9:16Also
9:17technologisch von der kreativen Idee
9:20muss ich meinen Hut ziehen,
9:22aber natürlich das ist kriminell. Punkt.
9:24Ja, ja, ja. Ähm, du bist beruhigt,
9:27stelle ich fest, obwohl alles schneller
9:29wird. Wunderbar.
9:32Als erste Angriffsmaßnahme, wenn ich
9:34dich mal richtig verstanden habe, sagst
9:36du, Akzeptanz ist ganz wichtig als
9:39oberste Prio und zwar ganz konkret, zu
9:42akzeptieren in der Führungsetage, nehme
9:44ich an, dass sich die Welt verändert,
9:46ne? Und erst danach kommt den Wandel
9:48aber auch als Chance
9:50zu nutzen.
9:52An dich mal auch gefragt, die Frage
9:55stellt der jemand aus dem Unternehmen
9:57kommt,
9:58wer tut sich denn in Unternehmen und
10:00Organisation mit dieser Akzeptanz am
10:02schwersten?
10:05Ich glaube, es gibt nicht die eine
10:07Person, die sich besonders schwer tut.
10:09In gerade in klassischen Organisationen
10:12wird man sehr häufig die Aussage finden,
10:14das haben wir schon immer so gemacht, äh
10:16das wird auch die nächsten 10 Jahre noch
10:18so funktionieren. Das ist natürlich bei
10:20jüngeren Firmen,
10:21das zählt dieses Argument nicht. Ähm
10:24ich habe immer wieder Argumente gehört,
10:27ich will keine Verantwortung übernehmen,
10:29äh ich äh stelle das Negative oder die
10:33Gefahr nach vorne.
10:35Die Akzeptanz
10:37wird dann groß, das das das, was ich
10:39gemerkt habe, wenn die Leute das Risiko,
10:42was sie eingehen, verstehen oder das
10:44Risiko transparent gemacht wird.
10:46Stichwort Agenten äh Agentennutzung.
10:49Wir haben Anfang des Jahres über Open
10:51Claws viel gehört, das ist ein Agent,
10:54den ich auf meinem Desktop installieren
10:55kann, der meine E-Mail äh Inbox
10:58sortiert.
10:59Ähm die ersten Varianten waren
11:01sicherlich in der Nerd-Kultur
11:02angekommen. Heute bieten große Firmen
11:05auch solche Agenten an. Die bieten immer
11:08noch, haben immer noch latente Risiken.
11:10Mhm.
11:11Wenn ich diese Risiken aber transparent
11:13mache und ich vielleicht auch als
11:15Sicherheitsabteilung sage, soweit würde
11:17ich gehen, das sind die Restrisiken,
11:19willst du das persönlich akzeptieren,
11:21dann bröckelt diese Abwehrhaltung
11:24deutlich schneller. Also
11:26ich glaube, Transparenz machen und als
11:28Sicherheitsabteilung ist äh bei vielen
11:30Sicherheitsvorgaben wird auch immer
11:32gesagt, die Sicherheit verhindert.
11:33Ich glaube, ich ich drehe es um.
11:35Ich zeige euch, wie weit ihr gehen
11:37könnt, mit welchem Risiko und wie ich
11:38euch unterstütze und dann wird auch der
11:40Change kommen.
11:42Genau das passiert bei uns jetzt in der
11:44Covestro mit AI.
11:45Mhm.
11:45Wir haben relativ früh unser Chief AI
11:48Officer Mieszjanus und ich haben
11:50zusammen gesagt, das ist der Weg in die
11:51Richtung, in die die wollen wir gehen,
11:53auch gemeinsam gehen und haben da einen
11:55Schulterschluss äh gewagt.
11:58Das heißt, der AI Officer mit
12:00innovativen Ideen,
12:02der Sicherheitsverantwortliche, der äh
12:05das aktiv mit begleitet, das ist eher
12:08nein, das ist konkret ein Hand-in-Hand
12:10nach vorne gehen.
12:11Ja.
12:12Und so kann man eine Akzeptanz auch
12:13fördern.
12:14Gehen viele den Weg aber erst nach euch
12:16auch, was Governance und so angeht, aber
12:18das das ist doch eigentlich ein
12:20Standard, sollte das sein, oder?
12:21Das sollte ein Standard sein. Auch da
12:24muss man trennen.
12:26Governance
12:28kann man auf verschiedenste Formen
12:30leben. Eine Governance-Abteilung, die
12:33sehr nah an der Technik, an der
12:35betrieblichen Realität ist und ich bin
12:37ja in Teil auch eine Governance-Funktion
12:39mit Sicherheitsvorgaben. Dadurch, dass
12:41ich Vorgaben mache, die eben nicht aus
12:43einem Elfenbeinturm kommen, sondern
12:46technisch fundiert äh die Realität
12:48widerspiegeln, äh wird Governance auch
12:51ganz anders akzeptiert.
12:52Ja.
12:53Das hängt aber von der inneren äh der
12:55jeweiligen Ausrichtung der
12:57Governance-Funktion als Ganzes ab.
12:59Mhm.
13:00Ähm Markus, in einer Sache, da bist du
13:01dir auch einig mit allen unseren Gästen
13:04äh bevor gerade mal Carsten Mossar
13:05steigt, fällt mir da gerade eine in dem
13:07Zusammenhang. Du hast prognostiziert,
13:09ich weiß gar nicht, ob es auch im Sommer
13:10war oder so,
13:11äh ich zitiere dich jetzt mal so
13:13ungefähr, Systeme, die am Internet
13:15hängen,
13:16ähm die sollen noch bis Ende des Jahres
13:18bestenfalls innerhalb von 4 Stunden
13:21gepatcht sein, um Sicherheit zu
13:24gewährleisten. Jetzt sind ja schon
13:25einige Monate vergangen.
13:27Äh schafft ihr das denn, das geschafft?
13:30Nein. 4 Stunden ist Stand heute zum
13:33Durchpatchen
13:34Okay.
13:35und mit einer großen Infrastruktur, also
13:37gerade wenn du äh mehrere Systeme im
13:39Internet hast, äh ist das die äh
13:41die Kategorie Wunschdenken äh
13:44der Sicherheit. Ich glaube,
13:47was man schaffen muss, man muss
13:50erkennen, wo wo könnten wogegen könnten
13:53Angriffe laufen und welche Systeme
13:56müsste ich dann abschalten an der
13:57Stelle.
13:58Okay.
13:58Ähm das heißt aber auch den Prozess, es
14:01kommt ein neuer Sicherheitshinweis von
14:03einem Hersteller, ich muss das innerhalb
14:06von wenigen Stunden bewertet haben und
14:09auch zu der Entscheidung kommen, will
14:11ich abschalten, ja oder nein.
14:13okay.
14:13Ähm und auch die
14:15haben, zentral abzuschalten. Ich glaube,
14:18da haben wir jetzt auch firmenintern
14:20riesige Schritte getan.
14:21Mhm.
14:21Wir arbeiten auch an diesem Thema
14:23Patching, durch Patching,
14:25haben natürlich auch das Problem, dass
14:27wir nicht nur selbst geschriebene
14:28Software verwenden, sondern auch
14:30explizit Software natürlich, die wir
14:31kommerziell eingekauft haben.
14:33Ob die dann in der Kette
14:35den Patch testen zur Verfügung stellen
14:37können? Nein. Also, es wird verschiedene
14:39Fragestellungen geben, wo wir dann
14:41einfach sagen müssen, wir müssen Systeme
14:43abschalten.
14:44Und
14:45passiert das heute schon? Ja, wir haben
14:48auch letzte Woche, als PHP to Shell,
14:50also die Schwachstelle in dem PHP
14:52Framework war, haben wir uns
14:54entschieden, dass wir temporär ein
14:56System vom Netz nehmen, weil wir es
14:58nicht so schnell gepatcht kriegen an der
15:00Stelle.
15:01Da haben wir gesagt, Gefahr eines einer
15:03Übernahme ist größer und dann haben wir
15:04uns entschieden,
15:06wir schalten das System temporär ab. Wir
15:08haben dann das Business informiert.
15:11Also, das war ein System, wo es auch vom
15:13Business in in der Summe vertretbar war,
15:15aber dann haben wir uns entschieden und
15:16wir schalten das ab.
15:18Aber ja, wir haben da in den letzten
15:19Monaten relativ viel Aufwand
15:22reingesteckt in die Kette Threat
15:25Intelligence, also
15:26Schwachstelleninformationen, was
15:27passiert in der Community,
15:29das ins Cyber Defense Center zu
15:31bekommen, das zu prozessieren,
15:33verwundbare Systeme zu identifizieren.
15:36Das heißt, da sind wir weiterhin aktiv
15:38dran.
15:39Die 4 Stunden haben wir nicht gelöst.
15:42Nein, wir sind dran.
15:44Und
15:45ich glaube, wichtig ist, dass die Firmen
15:47als Ganzes akzeptieren,
15:50dass diese Zeiträume einfach kleiner
15:52werden und
15:54da hat die Webseite Zero Day Clock, die
15:56ich ja auch erwähnt hatte bei dem CSO
15:58Vortrag, einfach super viel
16:00Aufklärungsarbeit geleistet.
16:02Okay.
16:03Ähm, das heißt, das ist ja ein
16:05Deutscher, ein Sergey Epp, der Zero Day
16:07Clock maßgeblich gebaut hat.
16:09Und der hat, glaube ich, das Thema
16:12Sicherheit, Angriffslage einfach damit
16:14Transparenz gemacht und hat damit einen
16:16Riesendienst für die
16:17Sicherheitscommunity geleistet.
16:18Mhm.
16:20Ihr nähert euch an. Es ist schon mal
16:22richtig. In der Office-IT sind vier
16:25Stunden schon mal sportlich, so.
16:28Chemieanlage, ne? Oder OT insgesamt, wo
16:31die Maschinen 24/7 laufen,
16:34ähm ist das eine ganz andere Liga. Jetzt
16:36habt ihr,
16:38das hast du mir mal erzählt, IT und OT
16:39zusammengeführt schon vor einiger Zeit
16:42mit einheitlichen Regeln. Trotzdem sagst
16:46du auch, ja, der Konflikt zwischen
16:47diesen beiden Welten ist vor allem
16:49emotional. Ich habe ja mal einen
16:50Kollegen von dir auch interviewt, der
16:51sagt, boah, das eine ist die
16:52Ingenieurswelt, das andere ist die
16:54schöne IT-Welt. Das sind schon Welten,
16:56die im Kopf
16:57ähm
16:58aufeinanderprallen. Und wir haben ja
17:00wahrscheinlich einige Zuschauer und
17:02Zuhörer in dem Bereich.
17:04Der Betrieb will eins, das muss laufen.
17:06Die Pumpe muss laufen, ne? Die Security
17:09äh ne
17:10die will vor allem überwachen. Da
17:12knirscht es sicher. An der einen oder
17:14anderen Stelle, da gibt's Friktion, wie
17:16man im Fachterminus sagt, aber wie
17:18kriegt man das gelöst? Technisch, sowohl
17:20technisch als auch kulturell.
17:22Ja.
17:23Also tatsächlich werden wir die IT- und
17:24OT-Sicherheit vor fünf Jahren
17:26zusammengelegt.
17:27Mhm.
17:28Das war damals eine Kulturrevolution,
17:31weil die OT-Sicherheit, ja, wie das Wort
17:35sagt, war Teil der OT, war Teil der
17:37Produktion
17:38und unterlag da auch den Vorgaben. Äh
17:42Verfügbarkeit war das höchste Ziel. Die
17:45Normen und Regeln, die in der Produktion
17:48gelten, das ist eine IEC 62443 Norm.
17:54Die ist sorgsam entwickelt worden, hatte
17:57zum damaligen Zeitpunkt aber ein Alter
17:59von acht Jahren.
18:00Ja.
18:00Jetzt muss ich dir sagen, in der
18:01heutigen IT-Angriffswelt
18:04sind acht Jahre
18:06ähm
18:07also das ist war äh Steinzeitvorgabe,
18:10wenn man es mal ganz hart ausdrücken
18:11will.
18:12Jetzt haben wir eine Welt, wo IT und OT
18:14immer weiter konvergiert.
18:17Wie gehe ich denn jetzt damit um? Also
18:19Erstes war, wir haben gesagt,
18:2180 % unserer OT Anforderungen,
18:23Sicherheitsanforderungen, sind
18:25deckungsgleich mit
18:26IT-Sicherheitsanforderungen. Das heißt,
18:27wir haben hier standardisiert.
18:30Zweites in der OT
18:33hat man niemals Internetzugang.
18:35Das heißt, man äh die Produktionsanlagen
18:39haben typischerweise nie eine direkte
18:41Verbindung ins Internet und bieten vor
18:43allen Dingen nie Services, Webserver ins
18:46Internet an. Das heißt,
18:48die Angriffswellen müssen erstmal in die
18:50Firma reingekommen sein, um danach dann
18:52in die OT weiter reinzugehen.
18:54Das heißt, wir wir haben mehr Zeit
18:57grundsätzlich. Jetzt äh hast du gesagt,
19:00wie geht ihr mit kulturellen Konflikten
19:02um? Und
19:04ich ein Praxisbeispiel, wir haben uns
19:06vor knapp zwei Jahren dazu entschieden,
19:09ein Endpoint Detection und Response
19:11System,
19:12quasi ein Antivirus auf Steroiden,
19:15ähm den wir in der IT tatsächlich auf
19:17jedem Server und auf jedem Client
19:19ausgerollt haben, auch in die oberste
19:21Schicht der Produktion in der OT äh
19:24auszurollen.
19:24Mhm.
19:25Die oberste Schicht der OT zeichnet sich
19:27durch Windows Server, File Server und
19:30ähnliches aus. Also eigentlich ist das
19:32eh sehr nah an der IT.
19:34Ja.
19:35Die erste Sorge war, im Sinne nach
19:37Markus,
19:39ähm
19:40diese EDR Technologie, die Endpoint und
19:42Detection Response Technologie, braucht
19:44eine stehende Verbindung ins Internet.
19:47Unsere Regeln sagen, das geht nicht und
19:48by the way, das ist Teufelszeug.
19:50Ja.
19:51Ähm, was haben wir gemacht? Wir haben
19:52das dann durchdekliniert. Wir haben
19:54gesagt, wir machen nur eine Verbindung
19:56von innen
19:57nach außen aus. Das heißt, ein Angreifer
20:01kann trotzdem die Anlagen noch nicht im
20:03Internet sehen.
20:04Die Verbindung von innen nach außen ist
20:06verschlüsselt
20:08und
20:09es gibt auch keine Chance, diese
20:10Verbindung aufzubrechen,
20:13weil der EDR Hersteller technische
20:15Maßnahmen, sogenanntes Certificate
20:17Pinning angewendet hat. Das heißt, wir
20:19haben das Risiko oder äh die
20:21Angriffsszenarien und das Risiko
20:22durchdekliniert.
20:24Und damit haben wir dann die OT Kollegen
20:26überzeugt, dass es gar nicht so schlimm
20:29ist. Ähm, das war hat es drei Monate
20:32gedauert in der Diskussion in der
20:34Überzeugungsarbeit.
20:36Nach den drei Monaten war die Diskussion
20:37aber auch beendet und wir haben das
20:39weltweit mit verschiedensten
20:41Kulturkreisen, weil wir von USA bis
20:44Asien vertreten sind durchdiskutiert und
20:47dann haben wir das weltweit ausgerollt.
20:49Es gab seither keinerlei Beschwerden
20:52und noch wichtiger keinen einzigen
20:54Ausfall aufgrund der EDR Technologie.
20:57Mittlerweile veröffentlichen wir äh
20:59tatsächlich unser Vulnerability
21:00Management machen wir auch über das
21:02gleiche Tooling
21:03und die OT Kollegen haben dann eine
21:05komplette Sicht, was bei ihnen an
21:07Schwachstellen äh existiert mit höheren
21:10äh Vorlaufzeiten zum Patchen. Also
21:12Risiko transparent machen und mit
21:15Fachwissen überzeugen.
21:18Markus, erstmal vielen Dank ähm für das
21:20Interview an der Stelle.
21:23Meine Resilienz, gehen wir mal da in den
21:26Personal Sektor. Ähm, ich kann mich
21:29erinnern, das ist jetzt auch schon ein
21:30paar Jahre her, da hatten wir den
21:31digitalen Round Table moderiert. Alle
21:32saßen vor ihren Rechnern, du warst
21:34plötzlich mal weg kurz und kamst wieder
21:36und ich sah dich da mit dem Lenker und
21:38tratst in die Pedale. Ähm, dachte ich,
21:40nicht schlecht. Also du fährst auch
21:42häufig
21:43nicht wenig Kilometer
21:45mit dem Fahrrad zur Arbeit. 30 Kilometer
21:47sind das ungefähr, wenn ich das richtig
21:49recherchiert habe.
21:50Was passiert da in der Zeit in in deinem
21:54Kopf und hast du schon wirklich Security
21:56Entscheidungen
21:57zwischen Haustür und Werkstor auf dem
21:59Fahrrad sitzen getroffen?
22:02Ich muss schmunzeln, als es den
22:04Crowdstrike Vorfall vor zwei Jahren gab,
22:07als der fehlerhafte das Treiber Update
22:09Ja, ja.
22:10ähm zu weltweiten Problemen geführt hat,
22:14kam ich tatsächlich am Morgen gerade vom
22:16Sport zurück und wollte ins Homeoffice
22:18und unser Infrastrukturleiter rief mich
22:20an, wir haben folgendes äh Phänomen.
22:24Markus, sollen wir das sollen wir die
22:27die Internetverbindung kappen.
22:28Ja.
22:29Dann
22:30hatten wir kurz ich auf dem Fahrrad er
22:32vom Arbeitsplatz schon diskutiert.
22:35Was ist das Fehlerbild? Ist das ein
22:37Angriff? Was passiert hier gerade? Dann
22:39haben wir gesagt, nein,
22:41wir warten jetzt noch ab, das sieht hier
22:44nicht nach einem Angriff aus an der
22:45Stelle, was es ja im Endeffekt auch war.
22:47Das heißt, das war eine aktive
22:49Sicherheitsentscheidung auf dem Weg
22:52vom Sport auf einer 6 km Runde zu
22:56Also das war eine anfassbare
22:57Sicherheitsentscheidung, die morgens um
23:0011 Minuten nach 7 Uhr getätigt wurde.
23:03Tatsächlich fahre ich abends, soweit das
23:05Wetter es erlaubt, von der Firma zurück.
23:08Das sind ungefähr, je nachdem wie
23:10schnell oder langsam ich fahre,
23:12anderthalb Stunden.
23:13Mhm.
23:13Und ich glaube, was man da macht, man
23:15lässt natürlich den Tag noch mal Revue
23:17passieren, welche Probleme hat man nicht
23:19gelöst. Und
23:21da wir relativ viel in Haus selbst
23:24entwickeln mit KI, aber auch unsere
23:26Verteidigungsmechanismen selbst
23:28entwickeln, sind durchaus ungelöste
23:31technische Probleme, die wir im Team
23:33diskutiert haben
23:35zwischen Düsseldorf, Dormagen und
23:38Leverkusen.
23:39Haben Sie vielleicht noch mal kam
23:41vielleicht der eine oder andere
23:43Geistesblitz, der dann am Abend noch mit
23:45den US-Kollegen diskutiert werden
23:47konnte, als ich dann zu Hause war? Also
23:49konkrete Sicherheitsentscheidungen
23:51sind eher am Morgen gefällt, den Tag
23:54Revue passieren lassen und einfach noch
23:56mal
23:58nach einer Stunde den Kopf frei
23:59bekommen, noch mal eine frische Idee
24:01bekommen zu haben, das ist schon mehr
24:03als einmal passiert.
24:04Das ist gut so.
24:05Ich habe es gesagt am am Eingang, du
24:08hast 86 angefangen mit Viruskiller
24:10Programmierung damals für diesen
24:12legendären Amiga. Gibt es was, was du
24:14damals zu der Zeit gelernt hast, was du
24:16heute noch anbringen kannst in deiner
24:18Arbeit?
24:20Also natürlich habe ich einen
24:21wunderbaren Aufhänger für jede Form von
24:23Präsentation, dass ich eine Amiga
24:24Diskette nach oben halten kann und
24:26sagen, liebes Publikum, wer von euch
24:29erkennt diese Disketten noch? Ähm.
24:32Alle Anwesenden über 50 fühlen sich
24:35sofort oder alle technisch versierten
24:37Anwesenden fühlen sich sofort
24:38angesprochen.
24:40Ähm.
24:41Ich glaube die Zeit und tatsächlich 86
24:43habe ich mit der Antivirenarbeit auf dem
24:45Amiga angefangen. Ich war damals 15
24:48und
24:50damals war das eine komplett andere
24:51Welt. Das ging nicht um kommerzielle
24:54Angreifer, es ging nicht um Ransomware,
24:57also Erpresser oder ähnliches, sondern
24:59es war in Teilen ein Wettstreit zwischen
25:03Virenprogrammierer und der aufkeimenden
25:06Antivirusindustrie.
25:08Deshalb kann man das nicht
25:09hundertprozentig vergleichen.
25:11Ähm. Es gab ja den ersten Virus,
25:14der aus
25:16glaube Indien, Bangladore, Bangladesh
25:18kam,
25:20ähm der dann tatsächlich eigentlich als
25:21Kopierschutz
25:23von zwei Händlern entwickelt wurde auf
25:25dem PC. Da war kein keine böse Absicht
25:28dahinter. Die spanische 29A Gruppe, die
25:33extrem elaborierte Viren in den 80ern
25:36und 90ern gebaut haben,
25:38die hatten eher einen Wettstreit mit den
25:41Antivirenherstellern.
25:43Ich selbst auf dem Amiga hatte eine
25:47Erfahrung.
25:48Damals gab es Viren, die sich an Dateien
25:50angehängt haben. Das nannte man
25:52Linkviren. Gibt's heute in der Form
25:54nicht mehr und die waren dann im
25:56Speicher und haben sich fröhlich weiter
25:58verbreitet und in meinem Viruskiller
26:00hatte ich den, wenn ich schon Virus
26:02erkannt habe im Speicher, habe ich den
26:04deaktiviert
26:05Mhm.
26:05und dann hatte ich da reingeschrieben
26:07deaktiviert
26:09von meinem Pseudonym damals, was ich
26:11verwendet habe.
26:13Die nächste Generation dieses Viruses
26:15hatte dann plötzlich einen String in dem
26:17Virus
26:20zu der
26:22der Virenentwickler hatte also
26:24analysiert, wie ich seine Vorgeneration
26:26deaktiviert habe und hat mir dann eine
26:28Notiz in in Generation hinterlassen.
26:31Was ich damit sagen will, das hat nichts
26:34mit
26:35Ransomware, mit Schadcode
26:37heute zu tun. Ähm, was damals ich
26:41gelernt habe,
26:43ich war 15, ich habe
26:45wenig von Softwarequalität verstanden,
26:47ich war ein totaler Hobbyprogrammierer
26:49und ich hatte in Deutschland äh einen
26:52Mentor in der Antivirus-Szene,
26:54den Heiner Schneegold aus Würzburg. Der
26:57hat mir Softwarequalität beigebracht.
26:59Äh, vernünftige Software äh ähm
27:03was man heute als QA bezeichnen würde,
27:05Regressionstests. Das war für einen
27:0715-Jährigen, der nur schnell ein Problem
27:09lösen wollte, fremd. Dieses
27:10strukturierte Rangehen, das ist etwas,
27:13was ich damals sicherlich, was mich
27:15prägenderweise mit äh auf dem Weg
27:18begleitet hat und auch heute noch
27:20begleitet und natürlich so diese
27:21technische Verliebtheit,
27:23die ist auch heute geblieben.
27:26Kann man ins Detail gehen. Spannend,
27:28also wir hatten ja auch schon Thomas
27:29Tschersich zu Gast von der Telekom,
27:31Telekom Security und der hatte neulich
27:33gesagt, ich glaube die erste Ransomware
27:35wurde Ende der 80er Jahre programmiert
27:37von einem Entwickler am MIT und hat das
27:40an AIDS-Forscher verschickt, also
27:42Wahnsinn, wie lange das äh wie lange das
27:44alles schon geht, ne?
27:45Ja, und die ersten spamfähigen Würmer,
27:48die äh zum Verbreiten von Spam verwendet
27:50worden sind, sind ja um 2002 wirklich,
27:54die Sober-Würmer bekannt geworden, womit
27:57äh dann auch die ganzen Internetprovider
27:59Probleme hatten. Also
28:01das hat sich massiv entwickelt.
28:02Thomas, vielen Dank. Interview Part 2.
28:05Ihr habt ja schon äh bemerkt, kannst gut
28:07schlafen weiterhin, das ist auch eine
28:09Sache, wie man arbeitet.
28:11Ähm, im aktuellen CISO Report von Splunk
28:13sagen trotzdem mehr als drei Viertel der
28:14Befragten, dass sie sich Sorgen um ihre
28:15persönliche Haftung machen. So, dazu mal
28:19auch eine andere Frage. Bei euch laufen
28:21jeden Monat, habe ich gelernt, Alarme in
28:24vierstelliger Zahl auf, ne? Und damit
28:26seid ihr nicht alleine. Im ähm CISO
28:29Report von Splunk sagen 98 % der
28:32befragten CISOs,
28:34die schiere Menge an Alarm, haben wir es
28:37wieder das Thema, sei für Sie
28:39ein Stressfaktor.
28:4194% sagen, das tun die Fehlalarme
28:44bereits.
28:46Du hast mir mal irgendwann erzählt, dein
28:47Ziel ist
28:49das KI 95%
28:52dieser Alarme bei euch aussortiert.
28:56Also das heißt, das habt ihr habt ihr
28:57schon angegangen oder wie habt ihr das
28:59gemacht und wie weit seid ihr da?
29:02Also
29:03ich komme noch mal zu dem Hugging Face
29:05Thema zurück, zu der Ausgangsfrage.
29:09KI-basierte Angriffe erzeugen unheimlich
29:12viele Fehlalarme, unheimlich viele
29:14Fragmente, unheimlich viele Spuren,
29:17denen man nachgehen muss. Was passiert,
29:20wenn ich eine Million falsche Fährten
29:22gefunden
29:23gesehen habe? Ich werde irgendwann als
29:26Mensch werde ich irgendwann müde, diese
29:28Alarm Fatigue.
29:30Das heißt, da da muss ich rangehen als
29:33Technikabteilung oder als
29:34Sicherheitsabteilung und das muss ich
29:36wegautomatisieren.
29:38Wenn ich heute bei uns in die
29:39Statistiken schaue, werden
29:42ein Großteil, vielleicht um die 90%
29:46werden
29:47ein Security Operations Center hat
29:48verschiedene Verarbeitungsstufen. So das
29:51Massengeschäft nennt man Level 1 SOC. Da
29:54wird die Spreu vom Weizen getrennt und
29:56sehr viel aussortiert. Sagen wir mal,
29:58das sind 90%, dann haben wir
30:0110% wo im SOC ein eine detailliertere
30:05Analyse stattfinden muss, weil es Level
30:071 nicht mehr beantworten kann und die
30:09ganz schlimmen Sachen kommen zu Level
30:10Level 3.
30:12Level 1 ist also das, was sich mit einem
30:16Handbuch, mit einem Prozess, mit einem
30:18Leitfaden abarbeiten kann und genau das
30:20ist die Größe, die ich auch über
30:22Automatisierung angehen kann. Das heißt,
30:25wenn ich es einem Menschen
30:26aufgeschrieben habe, der nach einer
30:28Checkliste vorgeben gehen kann, dann
30:30kann ich das auch einer Maschine
30:32vorgeben. Genau das tun wir an der
30:34Stelle.
30:36Vertrauen wir heute der Maschine
30:38hundertprozentig,
30:39ähm
30:41dass immer die Entscheidung richtig ist?
30:43Wir sind auf dem Weg dahin. Ich glaube,
30:45das ist die die faire und die richtige
30:47Antwort.
30:47Okay.
30:48Wir lassen stand heute
30:51haben wir ein klassisches Struktur Level
30:531, Level 2, Level 3 SOC.
30:56Wir lassen aber alle Analysen
30:58von einer KI mitlaufen und der Level 1
31:02Analyst kann heute sagen, äh das, was
31:05die Maschine gesagt hat, äh das sehe ich
31:07genauso oder sehe ich anders.
31:10Das heißt, heute ist die KI im Level 1
31:12noch eine Unterstützung und wenn dann
31:15die Zuversicht von der Maschine so hoch
31:17ist,
31:18werden wir in zeitnaher Zukunft genau da
31:20äh die Automatisierung ansetzen lassen,
31:23dass ich das Massengeschäft weg
31:25automatisiere.
31:26Und natürlich werden wir uns dann die
31:28Gedanken machen, dass eine zweite KI die
31:30erste KI überwachen muss.
31:31Mhm.
31:32Wir analysieren die verschiedenen
31:34Modelle von äh verschiedenen Anbietern.
31:36Wie verhalten die sich? Aber ich glaube,
31:38da sehe ich unheimlich viel Chance drin,
31:43das zu entwickeln und
31:45mir war es wichtig,
31:47dass wir diese Lösung und die Kompetenz,
31:49die Agenten zu entwickeln, komplett bei
31:52uns im Team im Haus halten.
31:55Ich möchte also nicht einen Dritten
31:56fragen müssen, bau mir mal einen
31:59Agenten, der mir meine Sicherheitsarbeit
32:01macht,
32:01Ja.
32:02sondern ich möchte interne Kollegen und
32:03Kolleginnen haben, die mir diese
32:05Probleme lösen können.
32:06Warum? Hugging Face hat ja klar gesagt,
32:10äh sie haben eine Menge Alarme gesehen,
32:12ihre ihr bekanntes Tooling konnte es
32:14nicht mehr händeln, also musste sich das
32:15Sicherheitsteam am besagten Montag
32:18das ganze Erkennungstooling neu selbst
32:20neu bauen.
32:21Und genau die gleiche Erwartung
32:24äh oder das gleiche Ambitionslevel habe
32:25ich für meine internen
32:27Kollegen an der Stelle. Also
32:30unsere SOC-Kollegen sollen nicht nur
32:32Incident Response betreiben können,
32:34sondern auch AI-Automatisierung.
32:36Mhm.
32:38Wenn man das mit manch Organisationen
32:40und Unternehmen vergleicht, seid den
32:41Schritt weiter. Der
32:43der CISO Report von Splunk sagt 6% bis
32:46dato erst der CISOs haben
32:48agentische KI in der Security schon
32:51vollständig im Einsatz.
32:53Ihr habt das schon in mehreren Teilen
32:55der Security jetzt erprobt. Ihr setzt
32:57auf unterschiedliche Agenten und eine
32:59Vielzahl.
33:01Ähm was machen die da im SOC und
33:04jetzt drückt
33:05ne der Mensch den Knopf Recommendation
33:07dann aber da willst du ja ablösen
33:09irgendwann, aber was machen die da?
33:11Also vielleicht wichtig ist zu
33:13verstehen, die KI hat sich ja über die
33:14letzten drei, vier Jahre einfach
33:16entwickelt. Wir haben und jede große
33:18Firma wird das haben, wird ihren
33:19internen äh Chatbot haben. Äh ihren
33:22internes ChatGPT haben wir auch.
33:25Wir bieten dann ähm an, sich eigene
33:28Agenten auf Basis unseres Chatbots zu
33:30bauen.
33:32Wir haben z.B. einen Agenten, der alle
33:35Microsoft Advisories vom Patch Tuesday
33:37analysiert und uns sagt, welche der
33:39Patches müssen wir schneller einspielen
33:41als die alten.
33:42Okay.
33:43Das heißt, wir haben wenn es am
33:44Dienstagabend rauskommt, am
33:46Mittwochmittag haben wir dann immer eine
33:48Runde, wo wir mit der Infrastruktur und
33:50der Cyber Defense abstimmen, was muss
33:52auf Active Directory Server schneller
33:54gepatcht werden. Wir schauen uns das
33:56initial nicht mehr an, sondern ein Agent
33:59gibt uns die Empfehlung und wir
34:00validieren das. Das ist so ein hands-on
34:03Fall. Ähm
34:05wir arbeiten, das habe ich ja gesagt,
34:06konkret an diesem Thema.
34:10Lösbare Fälle im Level 1 werden wir äh
34:12direkt angehen im SOC und
34:16wir werden dann dazu kommen, dass wir an
34:19einigen Fällen auch Sachen komplett
34:21selbstständig äh selbstständig lösen
34:23können oder dass eine KI auch
34:25automatisiert Username Password
34:27resettet, wenn wir erkannt haben, dass
34:29ein User auf einer Phishing-Seite etwas
34:32eingegeben hat. Daran arbeiten wir
34:34heute. Das ist jetzt noch nicht alles
34:36live, aber das ist jetzt die Zukunft der
34:39die drei, vier Monate.
34:40Okay. Markus,
34:41du hast gesagt, du testest gerade
34:43Paperclip. Das ist so eine
34:44Open-Source-Plattform. Da kann man ganze
34:46Teams aus Agenten führen mit
34:48Organigramm, Budget pro Agent und
34:51Freigaben schleifen wirklich wie in
34:53einem Vorstand.
34:55Wir machen ja keine Hugging Face
34:56Gedächtnissendung, aber du hast ja äh
34:59äh das schon das Beispiel genannt,
35:00deshalb nehme ich es auch noch mal.
35:02Zeigt ja auch gerade dieser Angriff, wo
35:05die neuen Risiken liegen und ne, wer
35:08sich dort Module runterlädt, der holt
35:09sich im schlimmsten Fall Schadcode ins
35:12Haus. Kann man das sagen, wie viel
35:15KI-Organisationen Unternehmen
35:17grundsätzlich
35:19verträgt und gibt es am Ende des Tages
35:23in Unternehmen eine KI-Polizei, eine
35:26Agentenpolizei? Wie wie guckst du da in
35:28die Zukunft?
35:29Mhm.
35:31Vielleicht fange ich andersrum an. Wo
35:32komme ich her?
35:33Ähm wir haben uns als ChatGPT
35:36veröffentlicht wurde, haben wir uns
35:38relativ früh wiederum der Chief AI
35:40Officer und ich zusammengesetzt, wie
35:42weit wollen wir gehen, wie wollen wir
35:44das Ganze begleiten, welche Guardrails
35:46wollen wir setzen? Das heißt, wir haben
35:48wieder dieses Motto Risiko bekannt
35:50machen, ausprobieren verfolgt. Das war
35:53erstmal
35:54für uns das, was uns Spaß gemacht hat.
35:58Paperclip probieren wir gerade deshalb
36:00aus, weil es halt einfach unheimlich
36:02viele repetitive Aufgaben gibt, die
36:05wo ich keinen Aufwand mehr selbst
36:07reinstecken muss. Schauen wir uns die
36:08NIS 2 Regulierung in Europa an.
36:12Ihr wisst ja,
36:13die ist relativ zerklüftet. In jedem
36:15Land gibt es eine unterschiedliche Form
36:16von Implementierung, Anforderung. Das
36:19heißt, wir haben natürlich einen
36:20Agenten, der beobachtet, was gab es in
36:23der letzten Woche in Italien für neue
36:26Veröffentlichungen
36:27für NIS 2, was gibt es auf EU-Ebene? Das
36:30heißt, wir haben praktisch den News
36:33Screener voll automatisiert, der uns
36:36wöchentlich die Zusammenfassung gibt ähm
36:39und auch Empfehlungen gibt, was haben
36:40wir noch vielleicht schon adressiert
36:42oder nicht adressiert. Wir hosten das
36:44dann auch selbst äh das Paperclip an der
36:46Stelle. Wir nutzen dann
36:49AI Modelle ähm um die Intelligenz rein
36:51zu kriegen.
36:52Mhm.
36:53Ähm aber dieses Paperclip ersetzt
36:55einfach einen Teil
36:57der Aufgabe von mir oder meiner Kollegen
36:59und ich habe dann mehr Zeit mich um,
37:01sage ich mal, echte Resilienz in der
37:03Firma zu kümmern.
37:05Wir stellen natürlich sicher, also du
37:08hast ja auch die Agentenpolizei
37:10äh erwähnt und ich glaube, das ist
37:11durchaus ein berechtigter Punkt.
37:14Ich glaube, ein
37:15Standardarbeitsplatzsystem,
37:17wie du äh also dein Standard äh Windows
37:20PC, bleiben wir mal dabei. Ähm nicht
37:23jeder Mitarbeiter sollte braucht einen
37:25Agenten.
37:27Es gibt einfach verschiedene Gruppen,
37:28die werden nie äh oder weniger einen
37:29Agenten brauchen, aber dann sollten der
37:32sollte der Agent sicher konfiguriert
37:34sein, sicher installiert bleiben. Das
37:35ist dann die Polizeiarbeit
37:38oder die Regelungsarbeit, die ich mache.
37:41Und
37:42ich möchte den Stein relativ weit nach
37:45vorne schmeißen, weil tatsächlich
37:49ich nutze Agenten jeden Tag heute bei
37:52meiner Arbeit. Ähm
37:54es gibt Sachen, dass ich mir schneller
37:57Auswertelogik mit einem Coding Agenten
38:00äh mit einem kleinen Python Script bauen
38:01lasse, als dass ich versuche in Excel äh
38:04eine VLOOKUP Funktion zu äh zu
38:06verstehen. Dann muss ich Ich glaube, da
38:08gibt's verschiedenste
38:09Anwendungsbereiche, wo man das einfach
38:11schneller machen kann.
38:12Und
38:14meine Aufgabe ist total sinnvoll äh oder
38:16total sinnvoll ist auf jeden Fall. Ähm
38:18meine Aufgabe ist total einfach.
38:21Die Leute, die es effizient ein äh
38:23nutzen wollen,
38:25denen muss ich das auf eine sichere
38:26Weise ermöglichen. Ich werde also selten
38:29nein sagen. Ich werde immer sagen, ja
38:32unter folgenden äh Bedingungen und nehmt
38:35uns damit. Das heißt, wie viel KI kann
38:37eine Firma vertragen,
38:39hängt in Teilen von der Regulierung ab.
38:43Also da gibt's einfach äh im
38:45Finanzsektor vielleicht ganz Sachen und
38:47im Endeffekt
38:49soweit, wie es risikotechnisch
38:51verantwortbar ist. Ich glaube, da kann
38:53man den Stein heutzutage schon sehr sehr
38:55weit nach vorne schmeißen.
38:56Ja.
38:58Excel, gut, dass du es erwähnst. Ich
38:59habe gemerkt äh in meinem Cloud-Code,
39:02dass es in Europa und Amerika
39:04unterschiedliche Programmiersprachen
39:05mitunter gibt bei den Makros und so
39:07weiter und nicht einheitlich. Der nackte
39:09Wahnsinn in Tüten. Aber ohne KI hätte
39:11ich es niemals rausgefunden.
39:12Markus, zum Schluss die Frage äh mit der
39:15du dich ja auch bei Vorträgen
39:17beschäftigst. Security und AI Partner
39:20oder Gegner Fragezeichen. Ich hab es
39:22Level 1, ne, ich lerne ja dazu. Klar,
39:24das ist ja glaube ich ganz einfach beant
39:27zu beantworten.
39:29Wenn man die Frage jetzt mal
39:30grundsätzlich nimmst, was sagst du einem
39:32Vorstand, ich sage Vorstand CEO, nicht
39:35Techniker, so wie wir, die Bock drauf
39:37haben und
39:38äh sich damit tagtäglich aus auch
39:40auseinandersetzen. Was sagst du dem,
39:43äh wenn der jetzt entscheiden muss, wie
39:44viel Budget er in die Automatisierung
39:47der Abwehr stecken soll?
39:49Mhm. Also erstmal die Lage hat sich seit
39:51Sommer komplett geändert.
39:52Okay.
39:53Ja, äh nein, also
39:57bei uns intern in der Firma lebe ich in
39:59einem Umfeld, was immer schon sehr
40:01sicherheitsaffin war, weil Safety,
40:04Verfügbarkeit ist nah an Sicherheit. Das
40:07heißt, äh vielleicht habe ich es da
40:08einfach. Mit
40:10ist natürlich noch mal eine ganz andere
40:13Präsenz hochgekommen, dass da Angriffe
40:15sind äh, dass Angriffe besagte Sandbox
40:18Outbreaks waren. Das heißt äh, da muss
40:21ich nicht mehr überzeugen, dass wir das
40:23tun müssen. Wenn mich mein Vorstand
40:26fragt,
40:28soll ich in mehr Mensch oder mehr
40:30Automatisierung äh investieren,
40:33sage ich, investiere in die Security
40:36Automation Engineers und investiere
40:38gleichzeitig äh in Token äh also in die
40:42Infrastruktur, die ich nutzen kann. Das
40:44heißt, ich würde dort, wo ich äh durch
40:47eine KI schneller und besser machen
40:49kann, würde ich den internen
40:50Fachexperten mir Einkaufen aufbauen, der
40:54dann noch schönere KIs baut an der
40:55Stelle.
40:59Beides dann
41:00Also beides. Ich glaube, das ist die
41:02richtige Antwort.
41:02Man salomonisch, also das können wir
41:04könnten Politik machen, einen
41:05politischen Podcast,
41:07nein, das ist ja völlig in Ordnung, das
41:08ist ja
41:09da entweder oder zu sagen ist, glaube
41:11ich auch ein bisschen eindimensional,
41:14ne oder?
41:15Na ja, die Automatisierung, die ich
41:17nicht verstehe und die ich nicht
41:18adaptieren kann, die bringt mir drei
41:20Monate später nichts mehr, also brauche
41:22ich intern den Fachexperten.
41:24Richtig. Ist der Mensch gefragt.
41:27Markus, vielen Dank.
41:28Danke euch.
41:28Wir sind schon äh am Ende und euch auch,
41:31liebe Zuschauer, liebe Zuhörer, vielen
41:33Dank dafür, dass ihr uns so treu folgt
41:36bei unserem Resilienz Podcast. Wenn ihr
41:39es noch nicht gemacht habt, glaub die
41:40meisten von euch haben es sicher schon
41:41gemacht, abonniert uns
41:43bitte, gibt uns fünf Sterne bei der
41:45Bewertung, denn nur so können wir es
41:47gewährleisten, dass wir ständig
41:49so tolle Gäste wie Markus
41:51im Podcast begrüßen dürfen. Ähm ich
41:53denke, zu der Folge passt neben
41:56vielen Veröffentlichungen zur Hugging
41:58Face
41:59der Splunk CISO Report vom Risiko zur
42:01Resilienz im KI-Zeitalter und ich glaube
42:04auch der Machine Data Outlook Report,
42:06wie Unternehmen KI erfolgreich
42:08operationalisieren. Da findet ihr sicher
42:10auch
42:11Anregungen und Ideen.
42:15Schickt uns Fragen und Gästevorschläge
42:17gerne an die bekannte
42:19E-Mail-Adresse [email protected].
42:23Markus, vielen Dank und bleibt uns
42:26gewogen. Danke. Danke schön.

About this transcript

This page contains the full transcript of Phishing auf Steroiden – Mit Dr. Markus Schmall, CISO von Covestro by Splunk, generated from the public captions YouTube serves with the video. The transcript has 6,175 words across 1,222 segments, with the original timestamps preserved so you can click any line to jump to that moment in the embedded player.

What you can do with it

Use the transcript to take notes, quote the speaker, build a study guide, generate a summary with ChatGPT or Claude via the YouTube Summary tool, or export it as a timed subtitle file with YouTube to SRT. You can also re-open it in the transcriber to choose a caption track available on the video.

Free YouTube transcript tool

YouTube2Text is a free YouTube transcript generator — no signup, no daily limit. Paste any YouTube link and get the full transcript instantly, with timestamps, click-to-jump, caption language selection, AI prompts for ChatGPT, Claude, and Gemini, and exports to TXT, SRT, VTT, or Markdown.