Sichere Pflege im Wandel | Folge 43

00:00:00:

00:00:05: Herzlich willkommen bei We Talk Security, dem Podcast von ESET zu den Themen IT-Sicherheit und

00:00:14: Digitalisierung.

00:00:22: Herzlich Willkommen zu einer neuen Folge We Talk security, Folge Nummer dreiundvierzig.

00:00:26: mittlerweile heute wieder mit Philipp Plumm diesmal aus dem wunderschönen Dortmund Und ich spreche heute mit dem Heiko Hähnel von der ICN und dem Alexander Bulbos zusammen über das Thema IT-Sicherheit in Pflegewesen, im Pflegebetrieben.

00:00:46: und da sag ich mal ja schön dass ich heute hier bin.

00:00:49: Stell euch mal vor

00:00:50: wir sind ein Gesundheitsunternehmen, Familien geführt aus dem Pflegebereich.

00:00:55: Wir kommen aus der ambulanten Pflege.

00:00:58: gewachsen sind jetzt einen kleinen Mittelständler betreiben mehrere Pflegeunternehmungen, stationäre Pflege, Tagespflege, ambulante Pflege.

00:01:09: Ja, sind ja mit der ICN als unseren IT-Dienstleister heute jetzt hier.

00:01:14: Weil natürlich immer das Thema IT in der Pflege doch wie wir heute feststellen werden doch sehr präsent ist.

00:01:19: Das ist ein Waldesfeld!

00:01:20: Genau

00:01:22: Heiko zu dir.

00:01:22: Mein Name ist Heiko Hänel von der ICA.

00:01:25: Ich bin seit ca.

00:01:25: twenty fünf Jahren dabei und habe früher sehr viel Technik selber noch gemacht.

00:01:30: Bin jetzt in der technischen Leitung.

00:01:33: Wir betreuen so Unternehmen wie DINAYO die sich keine eigene IT leisten können, leisten wollen die in deren Bedarf etwa externe Unterstützung benötigen und sind dann ein Stück weit interner IT-Abteilung der Kunden.

00:01:47: Und entwickeln da gemeinsam Kunden letztendlich weiter auch im Bereich der IT-Sicherheit.

00:01:53: das ist jetzt in sich so was wir machen.

00:01:55: unser Spektrum ist teilweise vom Kleint vom Drucker weiterhelfen etc.

00:02:00: bis zum Server Rechenzentrums Betrieb Security Konzepte Also wirklich komplett breit aufgestellt.

00:02:07: Find

00:02:07: ich ein sehr schönes Stichwort, was du gerade gesagt hast?

00:02:09: Wie groß seid ihr ungefähr bei der Naio?

00:02:11: Wir haben vierhundertfünfzig Mitarbeiter auf sieben Standorte.

00:02:14: Das

00:02:14: ist schon ordentlich.

00:02:15: also habt ihr da in letzter Zeit ... Okay, ich muss ein bisschen vorgreifen.

00:02:19: Ich hab mich auch informiert.

00:02:19: Wir haben eine Case-Teile geschrieben, EZ und zusammen mit ICN und Najo da ging das raus hervor.

00:02:25: Er hat in den letzten Jahren ordentlich zugelegt, auch was Mitarbeiter und fast auch was natürlich, was Geräte angeht, sag' ich mal richtig?

00:02:31: Ja absolut!

00:02:32: Und logischerweise ja wie du gesagt hast Heiko dann muss man natürlich auch in Punkt OIT Sicherheit... aufrüsten, gerade bei uns insbesondere bei kleineren, sage ich meinen Anführungszeichen, kleineren Gesundheitsbetrieben.

00:02:47: Wie sah das konkret bei euch aus?

00:02:49: Also ganz am Anfang was war so die Problemstellung?

00:02:53: oder wie seid ihr da dran gegangen?

00:02:55: Na jo gehört jetzt auch schon eher zu den mittleren bis etwas größeren Betrieben, die wir betreuen von unseren Zielgruppen her und ist Vom Prinzip ein relativ spannender Kunde, weil der Alex auch die Bereitschaft hat in IT zu investieren.

00:03:13: Und wir sind zusammengekommen, ich würde sagen vor sieben, acht Jahren ungefähr.

00:03:18: Mach doch so lange!

00:03:19: Genau und haben damals im Endeffekt Stand vor der Herausforderung das in der bestehenden Betreuung ... kannst du vielleicht auch noch einen Satz dazu sagen?

00:03:27: Ein bisschen Unzufriedenheit hatte, ein bisschen Innovation gefehlt hat und dass mehr so eine Absitzen war.

00:03:32: Der Painpoint quasi...

00:03:33: der Paintpoint schlechthin und wir aber trotzdem eine relativ komplexe Aufgabe hatten, weil die IT war schon komplett out-gesourced.

00:03:39: Es war in einem fremden Rechenzentrum und das Projekt war damals zu überlegen.

00:03:44: wie können wir möglichst ohne Ausfall den Betrieb übernehmen?

00:03:48: Die Verantwortung für den Kunden übernehmen und dann nach und nach ein paar Altlasten beseitigen.

00:03:54: Das war erstmal unsere Hauptaufgabe und danach quasi wirklich den Kunden und die Umgebung weiterzuentwickeln.

00:04:01: Da kann vielleicht aber Alex auch noch einen Satz zu sagen.

00:04:03: Ja,

00:04:03: ich glaube wenn man so Rückblicken guckt, wenn ich gucke wo wir heute stehen und wo wir jetzt vor diesen acht Jahren stehen... Ich glaube das sind ja Welten wenn was zu wenig zu sagen.

00:04:12: also wer damals ja da habe ich bin da war frisch im Unternehmen ab IT erst mal kennengelernt was es bedeutet eine externe IT zu haben und nicht nur über ein Computer zu reden.

00:04:22: Und ja hab dann relativ fest auch schnell festgestellt weil ich so ein Thema in hoher Affinität habe, dass wir einfach unterirdisch versorgt sind.

00:04:30: Dass wir uns mit Sachen zufrieden geben die... Und auch viele wirklich Payment-Points haben, die nicht da sein müssten.

00:04:36: Dann sind wir durch Zufall irgendwo an den Peter Hanselmann geraten ... Das war

00:04:42: eine Internetrecherche von euch oder so.

00:04:45: Ganz

00:04:45: schreckend!

00:04:45: Da aber so gut abgeholt im ersten Gespräch, dass wir dann angefangen haben diesen Umzug zu machen.

00:04:51: Erst mal ne eins-zu-eins-Kopie, das ist Zustandes und dann eigentlich überhaupt gemerkt was man wie IT aussehen kann.

00:04:59: Dass es auch systemisch

00:05:00: besser

00:05:01: geht?

00:05:03: dass es einfach gehen kann, dann natürlich eher in einer Lüse über die Zeit immer wieder halt mal offene, also schwachstellen, offene Themen hatten, die wir gar nicht gesehen haben.

00:05:12: Die natürlich auch noch in der Zimmerarbeit dann immer wieder thematisiert worden sind.

00:05:15: und so haben wir uns parallel zu unserem Wachstum was dazu gekommen ist, was immer andere Themen wieder aufgemacht hat weiterentwickelt, dass wir jetzt nach acht Jahren später über ein ganz anderes IT-Umfeld sprechen als es noch vor acht Jahren war.

00:05:30: Gott

00:05:30: sei Dank mussten wir nicht durch Schmerz lernen also im Sinne von wer war mal ein Vorfall oder so sondern wir waren immer noch rechtzeitig dran die nächsten Schritte zu gehen.

00:05:40: Wie kann man sich den IT in einem Pflegebetrieb vorstellen?

00:05:44: Also da hat sich wahrscheinlich in den letzten Jahren auch viel getan.

00:05:47: Man liest ja überall Pfleger, Pflegarin gehen mittlerweile mit Tablets, mit Smartphones zu ihren Kunden, Patienten wie man es nennt.

00:05:59: Zu den Personen die sie pflegen und tippen.

00:06:01: das da ein ist bei euch wahrscheinlich auch so richtig also dass da sehr viele mobilen Sektor stattfindet.

00:06:08: Genau, also wir sind hier auf der einen Seite.

00:06:09: Wir haben natürlich die klassischen Unternehmensaufgaben, die jetzt mal ganz normal wie viele andere Unternehmen haben wo wir Verwaltung haben, wo entsprechend viel klassische IT stattfindet.

00:06:18: aber gerade in der Pflege ist es in den letzten Jahren sehr viel passiert dass wir sehr viele mobile Endgeräte einsetzen und immer mehr verschiedene Fachanwendungen dazukommen die jetzt früher auf dem Stationscomputer oder irgendwo im Büro dann einfach gemacht worden sind und jetzt durch die Möglichkeiten die letzten Jahre auch hergekommen sind immer mehr mobile Endgeräte stattfinden und das hat sich schon sehr viel verändert.

00:06:44: Das macht natürlich auch was im Prozess aus, wenn der Mitarbeiter die Daten sofort verfügbar hat als wenn er einen Blutdruck misst oder eine Wunddokumentation macht.

00:06:52: Früher haben wir Kameras gehabt, die mussten am PC angeschlossen werden, die Bilder mussten hochgeladen werden dann irgendwie aufs System gebracht werden und jetzt ist es einfach ein Foto, was man in der Anwendung macht und am Ende direkt in den digitalen Akten landet.

00:07:04: Das ist natürlich ein Riesenunterschied.

00:07:06: Das

00:07:07: bringt natürlich auch für die Mitarbeiter dann sehr viel eine große Zeit ersparen, das sage ich mal und ist natürlich auch bei weitem bequemer.

00:07:12: Zeit ersparen ist und natürlich wieder, vor allem auch dann gemacht.

00:07:15: Weil das eine ist ja was... Also dass du komplizierter Prozess bist, dass du fehleranfälliger isst und nicht nur Fehler im Form von, dass irgendwas nicht funktioniert sondern vor allen Dingen auch, dass es einfach aus zeitlichen Gründen einfach hinten runter fällt und man die Fotos gemacht hat, da nicht hochgeladen hat in Systemen oder ähnliches, die auf irgendwelchen Speicherkarten dann... Kann

00:07:34: ich mir gut vorstellen, dass vor allem gegen Ende des Arbeitstage erst mal Gefahr lief?

00:07:38: Dann vielleicht doch nur die Dokumentation nicht komplett auszufüllen oder vielleicht die Bilder auf dem Handy zu lassen oder auf der Kamera zu lassen besser gesagt.

00:07:46: Kennt man auch aus der alten Dokumentation, kenne ich auch von meiner Arbeit

00:07:50: da.".

00:07:51: Ganz generell das ist wahrscheinlich auch für dich Heiko in der Gesundheitsbranche ist es wahrscheinlich auch ein Phänomen sage ich mal dass da jetzt vermehrt auch in den mobilen Sektor reingedreht wird und dass immer mehr Betriebe auf mobile Geräte umstellen.

00:08:04: Das merken wir schon so.

00:08:05: und das was du auch gesagt hast, also diese Schnittstellen versuchen zu reduzieren.

00:08:11: Analogeprozesse umzustellen auf digitale Prozesse.

00:08:13: ich weiß gar nicht ob es in allen Bereichen mittlerweile verpflichtet ist aber ich glaube dass immer noch einige... Wir erleben das auf jeden Fall immer noch dass es analoge Prozesses an vielen Stellen gibt und dass auch auf Papier noch dokumentiert wird etc.

00:08:24: Und dann im Nachgang erst übertragen wird.

00:08:28: Das ist auch eine Herausforderung, mit der wir oft zu kämpfen haben oder wo wir auch gefragt werden und wo wir ein bisschen für den Kunden unsere Erfahrung schon mal so einbringen können.

00:08:37: Weil wir halt verschiedene Kunden aus der Branche bedienen, dass dann auch schon mal sowas übertragen werden kann wie jetzt zum Beispiel bei Naio, dass das da funktioniert, dass uns auch ein anderer Kunde fragt, ich habe dir ja die Erfahrungen, wie können wir es gegebenenfalls machen?

00:08:51: Und auch schon einmal die ein oder andere Produktempfehlung jetzt gerade gar nicht nur aus dem Security Bereich kommt sondern Wir geben falls von der Anwendungseite her.

00:09:00: Ich würde da trotzdem jetzt gerne einsteigen, ich mein EZ ICN Gettmann auch.

00:09:04: Wir sitzen ja nicht ohne Vorgeschicht.

00:09:06: hier sag' ich mal wie sieht denn das aus?

00:09:07: Artisecurity-Technisch bearbeiten damit der Komplit bei der NIO.

00:09:12: Kannst du einfach mal kurz sagen, wie liegt es da mit der Implementierung ab?

00:09:15: Einfach mal so einen grober Überblick über Implementierungen.

00:09:18: Wie ist er?

00:09:19: läuft eventuell auch Kritik Ist ja ein offener Podcast.

00:09:23: Was du dazu so sagen kannst quasi.

00:09:25: Vom

00:09:25: Prinzip muss man dazusagen, wir haben damals das System übernommen und haben erst mal versucht eine gewisse Grundsicherheit reinzubekommen.

00:09:31: Deswegen sind wir auch damals mit der Entry gestartet letztendlich Und haben dann jetzt überlegt Auch durch veränderte Arbeitsverhalten.

00:09:41: Also man hat natürlich DSG-KVO und Gesundheitsdaten immer ein bisschen schützenswerte Daten.

00:09:45: Aber es gibt gewisse Prozesse die dann doch Auch mal über die Cloud laufen oder ein Teams wird hier und da benutzt.

00:09:51: Und dann sind halt noch ein paar neue Anforderungen hinzugekommen, wo man gesagt hat Mensch, man macht sich da gegebenenfalls auch vielleicht neue Einfallstore auf?

00:09:59: Man hat das Thema der Verschlüsselung.

00:10:00: Daten liegen immer mehr vielleicht an doch nur um auf den Geräten, obwohl sie zentral gespeichert sind.

00:10:05: aber gewisse Kopien sind irgendwo vorhanden und muss man immer irgendwie

00:10:08: ein Stück gehört.

00:10:09: jetzt im Arbeitsalltag dazu

00:10:10: mit drüber nachdenken Menschen habe ich da nicht irgendwie nur offene Flanke und haben wir gesagt kommen Jetzt ist eigentlich der richtige Schritt Lass uns da auch nicht mit irgendwie dezentralen Lösungen wie jetzt ein Bitdefender oder irgendwas anfangen, sondern lass uns das einfach in einer Plattform vereinheitlichen.

00:10:24: Und in dem Fall hatten wir den schwierigen Schritt schon hinter uns weil wir hatten überall ja schon Ese drauf und wir hatten auch den Agenten schon darauf und konnten dann einfach wie man hat das so schön in der Pyramide dargestellt?

00:10:34: Wir konnten einfach die nächsten Schritte gehen und konnten sagen kommen wir holen uns jetzt noch Sandboxing Vulnerability Management und dann das E-Cos halt diese Cloud Security dazu.

00:10:49: Und ja, das war letztendlich so die Motivation dahinter um auch dieser Einfallstöre noch mal zuzumachen.

00:10:54: Das Thema MDM war letztens endlich ein Stück einfach mit im Gepäck drin und war auch ersten Treiber.

00:11:03: und da haben wir uns dann auch nochmal tief in die Augen geguckt und gesagt okay Verwaltbarkeit versus Sicherheit Alex auch gleich noch mal ein Satz zu sagen, was ihn da getrieben hat und was uns da treibt.

00:11:15: Und wie wir uns da dann auch ergänzt haben, haben die halt gesagt aber EZ ist halt der Security-Anbieter und wir brauchen jedenfalls auch AV auf den Androids.

00:11:25: Wir können den Webfilter zentral in die Fläche bringen usw.

00:11:29: Das sollten wir machen.

00:11:30: unabhängig davon vielleicht wenn man jetzt eine Schwäche antrifft es nicht das Tool im Vergleich vielleicht zu anderen Anbietern Rollout Prozesse Verwaltbarkeit an oberste Stelle stellt, sondern es steht halt ganz klar der Security Aspekt im Fokus genau.

00:11:45: Und das haben wir auch schnell rausgearbeitet und da sind wir jetzt zu dem Ergebnis gekommen, dass wir da einfach das von zwei Flanken bespielen?

00:11:52: Ja genau also wie mobile Geräte sprechen, das war ja auch so ein Thema für mich gemerkt.

00:11:58: Wir gingen jetzt gar nicht als Sicherheitsthema als Nummer eins, sondern Aus der Praxis, einfach die Verwaltung der Geräte war so ein Thema was ich seit Jahren mich eigentlich beschäftigt.

00:12:10: Tiefem Herzen, ich bin zwar betriebsfähig, aber eigentlich dann auch doch so was um ein Hobby IT-Labin.

00:12:14: Und immer mal wieder eigenständige Versuche unternommen habe, mich dem Thema zu nähern.

00:12:18: bei den Appelgeräten die wir auch einsetzen war es noch irgendwie noch mit gab's noch klickeybuntie Lösungen wo ich als Laia das noch halbwegs noch selber mal versuchen konnte bei Android.

00:12:28: Er war es dann doch immer schwieriger, wir hatten immer wieder einen Austausch gehabt wie wir das am Ende lösen können.

00:12:34: Für mich war weil für die Verwaltbarkeit... Ich hab einfach festgestellt, ich weiß gar nicht oder wusste gar wir im Unternehmen einsetzen.

00:12:41: Man kauft Eins, man gibt Eins raus und es gibt zwar eine Liste oder noch eine Leste... Die wird

00:12:46: auch gut gepflegt in den meisten Fällen?

00:12:48: Dann geht ein Handy raus, dann kommt zwei neu rein, da wird zwei Gästen einzutragen.

00:12:52: Das ist eine, man weiß gar nicht mehr was man im Bestand hat.

00:12:55: Kopfengerät

00:12:55: zurück mit irgendwas drauf!

00:12:57: Genau das sind natürlich Themen, also man weiß garnicht was man beim Bestand habt, man weiss nichts von wann sie sind, d.h.

00:13:03: das Thema ja auch Software-Updates und ähnliches, das sind alles Sachen die man irgendwie auch als Ein geschulter Endnutzer, wie war er?

00:13:10: Sollte man den Blick behalten.

00:13:11: Das sind alles Themen die wir nicht so im Blick hatten.

00:13:14: Dann natürlich das ganze Thema der Konfiguration war.

00:13:16: Für uns ist ein ganz großes Thema, dass wir da auf der einen Seite bei unserem Unternehmen, weil wir die RT-Out-Gesourced haben aber die Handys normal auch vor Ort liegen wie ja auch am Ende immer viel noch selbst also bei den Mobilgeräten selber gemacht haben und das immer so ein bisschen.

00:13:29: das Problem war Ja wenn Mitarbeiter, Handys sind ja ein wichtiges Arbeitsmittel Wenn eines kaputt geht muss es schnell wieder funktionieren.

00:13:36: nur wer richtet sie ja am Ende ein?

00:13:37: Und dann ist es jetzt so dass wir das immer gemacht haben dann hat man irgendwo ... dass wir ein privates Endgerät quasi betrachtet.

00:13:44: Man geht den ganzen Loggingprozess des Herstellers durch, die natürlich aber eigentlich für uns gar nicht notwendig sind.

00:13:49: Weil ich brauche nur eine Fachanwendung... Ich brauche am Ende die Telefonie, sag' ich jetzt mal für unterwegs zu sein und das war so ein wesentlicher Punkt.

00:13:58: Das Thema Schutz und noch Antivier, das war mir gar nicht so bewusst.

00:14:01: und auch gerade das natürlich Android da weil ich auch privat doch eher aus der Apple-Fraktion komme.

00:14:06: Kennt man das Apple-Nutzer gar nicht wirklich?

00:14:07: Genau!

00:14:08: Da ist das Marketing einmal verspricht.

00:14:10: Sicher ist.

00:14:11: nein Das war erstmal, was mir erst mal in dem Prozess bewusst geworden ist.

00:14:15: Dass wir natürlich da auch ein Riesenthema haben und dann insbesondere weil wir natürlich Mitarbeiter haben die vielleicht das Gerät nicht nur Firmenbezogen einsetzen und dann gerätet man wiederkommen von den Mitarbeitern wo plötzlich Sachen drauf sind oder auch Dateien drauf sind noch tappsoffen sind, mit Dingen die man dann einfach nicht sehen möchte und dann auch mal merkt ja einfach was das für Einfallstore sind.

00:14:37: Und am Ende wir sind Gesundheitsdienstleister.

00:14:39: Wir haben halt nochmal die sehr sinnvolle

00:14:41: Daten da genau.

00:14:42: Sehr

00:14:42: sensible Daten und das war halt dann so erst bei mir persönlich.

00:14:46: erstmal die zweite Ebene, die mir dann bewusst geworden ist jetzt auf die Kritik bezogen.

00:14:51: Auch vielleicht ist es halt so dass das Antivir war auch für uns schön, dass wir es im Produkt einfach quasi mithaben beim Rollout.

00:14:57: Es gibt sicherlich da Optimierungsbedarf die wir da nochmal sehen würden, wobei auch in der Produktauswahl bei anderen Herstellern ein paar mehr Features im Vergleich dazu wünschen würde.

00:15:10: Aber für uns erstmal der größte Gewinn ist erst mal zu sagen Wir wissen überhaupt wie viele Geräte wir haben.

00:15:14: Wir wissen welche Geräten es sind.

00:15:15: Das ist ja nicht unerheblich wenn man plötzlich merkt Auch das habe ich dann nach Schrecken festgestellt Wenn noch so alte Samsung Galaxy Nummer fünf, was unterwegs sind.

00:15:23: Und wie jetzt bei einundzwanzig sind?

00:15:25: Ich weiß nicht ob es dann mal... Nein!

00:15:26: Es wird, glaub ich, Versionen übersprungen worden sein.

00:15:28: Wir wollen

00:15:29: das aber

00:15:30: nicht.

00:15:30: Hauptsache, dass es läuft.

00:15:31: Dass man merkt erstmal okay, dass man ein Themen hat auch für die Investitionsplanung zu sagen ok weil Mitarbeiter, die schreien vielleicht dann nicht wenn das Gerät so alt ist.

00:15:39: Aber eigentlich müsste man da einfach viele Sicherheitslücken auch drauf sein seitens Android und Co.

00:15:42: Das ist auf jeden Fall schon eine große Genugtuung, dass wir da jetzt erstmal einen Überblick haben.

00:15:46: Meine

00:15:47: ganze Frage nebenbei Ein paar Monaten im April war es eine Umfrage durchgeführt, auch im Healthcare-Bereich.

00:15:55: Und da wurden auch Pflegedienstleister befragt.

00:16:00: An die dreißig Stück haben wir da befragt zusammen mit Tech-Consult und da wurde unter anderem gefragt fast die größten Painpoints und dann kamen da auch als Antwort jetzt insbesondere bei Pflegedienstleisten, auch bei anderen Gesundheitsbetrieben Mitarbeiter.

00:16:17: Awareness zum Thema IT-Sicherheit.

00:16:21: Ich frage jetzt mal ganz frech vorne weg, wie sieht das bei euch in dem Bereich aus?

00:16:26: Dieses Awareness in puncto IT Sicherheit du hast es gerade angesprochen mit den Tabs auf dem Handy würde mich einfach so interessieren.

00:16:33: Da differenziere ich immer in zwei Personengruppen und die Mitarbeiter in aktiven Pflege sind natürlich die, die ja wirklich wenig ... ... am Endgerät, also im klassischen PC und so was arbeiten oder im Web unterwegs sind.

00:16:44: Das sind ja die, die ich sage mal eigentlich im Wesentlichen unsere Fachanwendung benutzen... Da haben wir das nicht so stark fokussiert, dass für etwas auch in unseren Schulungen sondern eher da haben.

00:16:56: wir versuchen wir jetzt eher auf der Geräteseite ist so sicher zu machen, dass es einfach im Ende kein Browser zum Beispiel drauf ist.

00:17:02: Jetzt den Konfiguration als Beispiel Bei den anderen Mitarbeitern, die viel PC natürlich arbeiten.

00:17:09: Da sind wir gerade dran auch mit der ICN zusammen und unsere Mitarbeiter mehr zu sensibilisieren.

00:17:13: Also wir merken schon dass da ja viel Nachholpotenzial ist.

00:17:19: Man muss ja immer wieder sagen wenn man jetzt nur auf die Pflege guckt ich sage mal keinen Mitarbeiter geht in die Pflege weil der Bürojob so toll ist und dann gehen hier eine Pflege um für Menschen dazu sein.

00:17:28: Dementsprechend ist diese Kompetenz wie vielleicht es für einen Bürokaufmann oder andere Berufsgruppen sehe ihr vielleicht nicht ganz so.

00:17:35: Die Vorqualifizierung ist nicht so da.

00:17:37: Deswegen werden wir dort noch mal herangehen.

00:17:40: Andererseits, ich muss jetzt auch ganz ehrlich sagen... Ich glaube das habe ich schon einmal nach Folge erwähnt.

00:17:46: Auch in der IT-Sicherheit sind nicht alle vor einer guten Fishing Mail oder vor allem von einem guten Pan-Testing gefeilt.

00:17:53: Ich glaube kann ich ja erzählen, vor einem Jahr gab es bei uns einen internen Pan-test.

00:18:00: Da wurde eine Mail rumgeschickt zum Thema Home Office Umfrage Und ich hatte, glaube ich einen schlechten Tag oder irgendwas.

00:18:08: War gerade auf jeden Fall stressig und da denkt man sich eine Umfrage auswählen zum Thema Homeoffice.

00:18:13: Ja das ist immer was Angenehmes, was zunehmend beimachten den Kopf frei zu bekommen.

00:18:17: Jetzt haben sich die Kollegen aus dem Haku gefreut, ist doch in die Dürde doch fein gefallen!

00:18:21: Als etwas passiert auch in der Branche muss man denen... muss nur den richtigen Moment abpassen oder den falschen Moment besser erfassen.

00:18:28: Er hatte Alex gerade angesprochen, da sind wir auch gerade dran im Endeffekt mit AirBrain jetzt so Kampagnen zu schulen und dann im Nachgang gegebenenfalls auch das Gelernte nochmal abzufragen um auch bei denen Mitarbeitern die jetzt wirklich am PC arbeiten und mehr Zugänge haben das dann auch zu prüfen und noch mal ein Stück weit zu verbessern.

00:18:48: Die Resilenz beim Thema.

00:18:49: Ja super!

00:18:50: Und jetzt auch nochmal was Thema Geräts zukommen.

00:18:52: Merken die Mitarbeiter etwas davon, wenn sie jetzt mal im Feld unterwegs sind quasi.

00:18:57: Jetzt vor allem auf den Mobilgeräten gibt es da irgendwie Reibungen, merken überhaupt etwas davon dass da eine Sicherheitslösung im Hintergrund werkelt oder eine MDM-Lösung?

00:19:06: Meiner Meinung nach nicht ich.

00:19:07: natürlich sind die Geräte jetzt deutlich cleaner weil viele Sachen gar nicht mehr anzeigen und viele gerade Freunde zu LTE Apps oder so was gar nicht zur Verfügung stehen.

00:19:16: aber auch das machte glaube ich die gute Lösung aus dass eben nicht ... bemerkbar ist, der Mitarbeiter soll mit dem Gerät arbeiten.

00:19:21: Es muss funktionieren.

00:19:22: Ich glaube es ist mal ganz wichtig was macht das?

00:19:25: Also wenn es dich verlässlich funktioniert zu unseren unsere Geräte dann wirds nicht benutzt und wir werden Schattenstrukturen aufgebaut... ...dann werden dann wieder Sachen auf Papier aufgeschrieben.

00:19:33: deswegen war uns das ja auch so wichtig auch im Überblick unserer... unserer Geräte zu bekommen, weil wir auch dann festgestellt haben, dass wir vielleicht Altbestände unterwegs haben die nicht mehr so leistungsfähig waren und Mitarbeiter, die nicht mal so gerne benutzt haben.

00:19:46: Wir gar nicht gewusst haben.

00:19:47: warum dokumentiert ihr nicht mehr das System?

00:19:49: Ja es hängt sich ständig auf und hin und her und vielleicht dieser Feedback Loop nicht gekommen ist oder andere Gründe da waren Und aber, wie gesagt, merken tun sie es glaube ich im Wesentlichen nur dass die jetzt wirklich wunderschöne gleich eingerichtete Geräte haben wo alles gleich ausschaut.

00:20:01: Alles gleich eingeblendet ist und nicht der eine Kollege noch sechs weitere Apps installiert oder der andere noch das und bis hin zu Hintergrundbildern, die mittlerweile einheitlich sind um die richtigen Firmenlogos zeigen und nicht die falschen.

00:20:14: Können doch geändert werden?

00:20:15: Die Hintergrund Bilder?

00:20:16: Nein.

00:20:18: Ist das ja auch ganz typisch für diesen Sektor.

00:20:20: oder Heiko, also das was der Alex gerade erzählt hat?

00:20:23: Ja es ist ein schönes Feedback an der Stelle dass man's nicht merkt.

00:20:27: Man muss natürlich dazu sagen, dass es schon so ist, dass Sicherheit und Komfort meistens schon mal Themen sind die so ein bisschen gegeneinander stehen und man muss halt schon schauen, dass man das irgendwie so ausbalanciert.

00:20:38: bei dem Thema MDM ist jetzt einfacher gewesen weil man eine klare Anwendung hat die Geräte einen Anwendungszweck haben, den sie erfüllen sollen.

00:20:48: Auf dem PC ist es dann oft schon mal ein bisschen schwieriger das umzusetzen und dann macht man irgendwie ein Webschutz oder ein Firewall-Modul dazwischen und dann geht eine Webseite nicht auf und kann es auch mal false positives sein.

00:20:58: und umso erter man es einstellt, um so eher vielleicht einmal die Wahrscheinlichkeit.

00:21:03: und dass Auszunungstieren ist eigentlich... Teil unseres Jobs.

00:21:06: Das merken wir schon auf den Arten.

00:21:09: Da

00:21:09: muss man auch ehrlich sein, wenn manche Stellen merkt man IT-Sicherheit dann doch

00:21:12: ne?

00:21:12: Wie du gesagt hast, da gibt es halt eine Schnittmenge zwischen Komfort und Sicherheit Und irgendwann wird's zu viele ist halt wichtig diese Gradwanderung zu haben.

00:21:19: Also das kennt man ja auch aus dem persönlichen Wenn man nur schon daran denkt an Passwörter.

00:21:23: Ich komme auch häufig darauf zu sprechen Passwürter eingeben, passwürtermarken, Passwürdern niederschreiben Passwortmanager hilft, haben mittlerweile sehr viele Menschen verstanden.

00:21:31: Aber dann kommt noch das Thema Zwei Faktor Identifizierung.

00:21:36: Und ich glaube, da ist halt auch diese Schnittmenge von es ist nicht mehr bequem genug und deswegen richtig ist dich ein.

00:21:42: Aber ich weiß eigentlich, dass sie es bräuchte für meine Sicherheit jetzt im Thema MFA.

00:21:46: Weil

00:21:46: man auf der anderen Seite bei der Bank heute zu Tage nicht mehr darüber nachdenken würde ohne Tan in sein Konto zu gehen?

00:21:52: Ich glaube das würde man auch gar nicht mehr wollen.

00:21:54: Ja, ich auf jeden Fall nicht.

00:21:56: Wenn man das mal so ein bisschen überträgt... Das ist ja doch teilweise wirklich genauso sensibel Daten gehen kann, weil in einem Unternehmen kann ja die Mitarbeiterinnen Zugang zum Konto haben.

00:22:06: Ist schon oft genug passiert genau?

00:22:07: With credentials und so was.

00:22:09: Ja ich denke das spannende Herausforderung ist ja dass wir jetzt gerade mit dem mobilen Endgerät Jetzt Mitarbeiter mit IT-Ausstatten, die früher gar keinen Bezug dazu dem Maße hatten.

00:22:18: Das heißt wir geben das ja in Berufsgruppen jetzt rein, die ja vielleicht vor zehn, fünfzehn Jahren gar nicht in dem Maß, also auch quasi jetzt im Vergleich zu anderen Branchen da vielleicht auch keine IT-Kendisse benötigen.

00:22:30: Das heisst jetzt auch jemand der jetzt bei uns angelernt wird als Pflegemitarbeiter, der ich sage mal klassischerweise eigentlich aus seinem Leben einen Bezug zum... Also klassischen PC Beruf hat, so wie ich jetzt dann dokumentieren muss.

00:22:41: Und dann wird es natürlich das Thema IT-Sicherheit, wenn man das über die Geräte sehr hinaus denkt und sich immer schwieriger, weil gerade wir merken, dass mit Passwörtern das klassische Beispiel, dass wir nach Urlauben oder Ähnliches zurücksetzen müssen, weil Leute sich das nicht merken.

00:22:54: Das ist halt wirklich für uns immer ein... Auch intern.

00:22:58: was kann man zumuten?

00:23:01: Wo hört's denn auf?

00:23:01: Wir haben es gemerkt auch, wir haben jetzt unsere Lohnabrechnung digital umgestellt, was den Abruf angeht, das auch mit zwei Faktor als Bedingungen.

00:23:08: da sind sehr viele dran gescheitert und das ist halt interessant zu beobachten, wenn man selber ja in der Blase für sich auch immer lebt.

00:23:13: Man muss von selbst immer mein, täglich umzusetzen.

00:23:16: Wenn man die Awareness vielleicht hat dann ist er für einen selbstverständlich.

00:23:19: oder ich habe gemerkt dass viele mit dem zweiten Faktor, auch jetzt die gar keine Bezugspunkte dazu haben und wir da wirklich noch sehr, sehr viele Monate gebraucht haben, dass die Mitarbeiter in der Lage waren ihre Lohnabrechnung digital abzurufen.

00:23:31: Da muss man sich mal zurückhalten und sagen, das ist eigentlich ganz einfach!

00:23:34: Wie sieht das denn bei euch dann in der Zukunft so einen Ausblick?

00:23:38: Was plant ihr in dem Bereich hinsichtlich Ausbau?

00:23:40: wie wird da an einem IT-Sicherheit mit einberechnet?

00:23:43: Einfach für die Zukunft gesagt was was plant ihr da?

00:23:46: Ich müsste jetzt einmal zur Heiko gucken, weil ich weiß nicht was für alles machen.

00:23:52: Das ist ja der Schöne und das ist auch ganz wichtig.

00:23:55: Also ich habe für mich gelernt dass IT ein so komplexes Themenfeld ist wie auch andere Berufsfelder komplex sind.

00:24:00: Und ich glaube als Geschäftsführer sollte es nicht die Strategie entscheiden sondern ich sollte versuchen den Rahmen zu schaffen.

00:24:07: da sind wir immer wieder im Aushandeln.

00:24:08: Was geht um Budgets?

00:24:09: Das ist natürlich immer eine kaufmännische Frage.

00:24:14: eine wichtige Frage ist.

00:24:17: Ich glaube, wenn ich das gucke, wo wir vor acht Jahren gestartet sind und heute stehen, dann sind es andere Summen über die wir bereit sind zu gehen.

00:24:24: in den Gesundheitswesen haben die große Herausforderung der Refinanzierbarkeit.

00:24:27: nicht alles was sinnvoll ist wird auch von den Kostenträgern als sinnvoll anerkannt.

00:24:34: Wir haben viele Anforderungen, die nicht refinanziert werden aber trotzdem schauen müssen dass wir die Gelder aus anderen Töpfen bereitstellen weil wir das also wichtig finden.

00:24:43: Unsere Arbeitsplatzzahl wird steigen.

00:24:45: Das ist mein Ausblick, ich weiß das für Immobiliengeräte einsetzen werden und dass es immer häufiger wird.

00:24:50: Dass wir da immer wieder schauen müssen aber was jetzt im Detail noch alles kommt freue mich immer auf den unsere regelmäßigen Gespräche wenn man dann eröffnet wird welche neuen Möglichkeiten es gibt uns abzusichern und welcher Einfallstuche es neue gibt und wo wir dann drüber sprechen, wie wir es halt umsetzen.

00:25:06: So mal, ihr werdet natürlich auch wachsen aber die Mitarbeiter, die dann kommen werden müssen sich mit IT-Sicherheit befassen.

00:25:13: dafür habt ihr den Pachten oder habt ihr die EZN?

00:25:16: Ich

00:25:16: kann ja vielleicht ein Satz zu sagen weil das letzte Projekt ist eigentlich ein schönes Beispiel.

00:25:19: also mein IT Security Herz sagt eigentlich hey wir könnten noch so viel mehr

00:25:24: machen!

00:25:26: Und ich weiß aber auch dass funktioniert nicht immer alles sofort.

00:25:30: Wir haben jetzt zum Beispiel gerade einen neuen Kunden übernommen, wo ich weiß.

00:25:33: Guck mal, wo man eigentlich hinmüsste und da ist so viel im Agen!

00:25:37: Und dann müssen wir halt einfach noch mehr Schritte zurückgehen.

00:25:41: und wir sind jetzt hier mit der Komplit schon einen Riesenschritt wieder gegangen.

00:25:45: aber wenn ich jetzt so auf das nächsten, keine Ahnung, zwölf, achtzehn Monate denke wird man irgendwann über so ein Thema wie Intuition Detection Managed Detection und Sponsysteme irgendwie nachdenken weil es einfach... Wir haben das jetzt für uns natürlich schon länger implementiert, auch schon für einige Kunden.

00:26:02: Und das ist halt einfach nochmal eine riesen Erleichterung und gibt einem noch ein richtig gutes Sicherheitsgefühl wenn man weiß dass man einfach innuelle Angriffe vielleicht auch erkennen kann oder einen Gespür dafür hat, wenn mal jemand im Netzwerk ist, dass man den ausschließen kann.

00:26:19: Weil oft ist es wirklich so, dass diese Angreifer, wenn sie irgendwie ein Unternehmen übernehmen oder an einen Angriff starten Eins, zwei, drei Wochen vorher schon da sind.

00:26:30: Sich irgendwie vorbereiten bevor eigentlich die Sichtbarkeit entsteht und durch solche Systeme, die jetzt auch immer besser geworden sind.

00:26:38: Früher war das teilweise nicht bezahlbar.

00:26:41: Da war das für den Enterprise vorbehalten letztendlich oder für kritische Infrastrukturen aber jetzt ist es durch KI, durch neue Modelle kommt es auch keine Sinne Mittelstand reinziehen.

00:26:51: Und das ist, wenn ich so darüber nachdenke, wo ich mich drauf freue.

00:26:55: Ist es irgendwann der nächste Schritt bei den man reden würde?

00:26:59: Das

00:26:59: ist quasi der Mittelstand oder kleine Unternehmen, die müssen sich kein eigenes Zock in die Bude reinsetzen und können auf Dienstlasten zurückgreifen.

00:27:08: Du hast eben die Studie angesprochen, wird das ja auch abgefragt im Krankenhäusern – ich weiß jetzt nicht mehr ganz genau wie du es zugeordnet willst aber ich glaube vier nach fünf Prozent sagen in den nächsten zwölf Monaten wollen sie eigentlich in der MDR... System investieren.

00:27:21: Und mal gucken, wie viele davon es dann wirklich machen?

00:27:25: Aber man merkt wirklich das ist gerade so der Trend dahingehend und auch die Erkenntnis da ist.

00:27:30: Das

00:27:30: ist natürlich ein Herrssieler daran zu investieren oder sogar auszubauen.

00:27:34: Die Frage war glaube ich in beide Richtungen formuliert.

00:27:37: Da haben dann auch sehr viele nur in meinem Bayer-Wend gesagt, dass sie da auf europäische Hersteller setzen wollen.

00:27:42: Weg von, sag ich mal, außereuropäischen Herstellern um es so zu formulieren... also weg vom US-amerikanischen Herstellern und weg aus anderen Regionen, um das so zu formulieren.

00:27:52: Die Studie werde ich auch nochmal in den Shownotes verlinken.

00:27:55: Ich würde euch jetzt beide mal eine Frage stellen, die ich hier vorbereitet habe.

00:28:00: oder zum Abschluss einfach mal euch ganz frech fragen Was ratet ihr den Pflegeanbietern oder Gesundheitsdienst, die alleister im Allgemeinen, die einen ähnlichen Werdegang vor sich haben?

00:28:13: Also ich habe schon so ein bisschen rausgehört.

00:28:15: Ist immer ein Schritt für Schritt gehen anstelle von einem Sprint oder das ist immer eine furchtlaufende Reise.

00:28:24: Sagen wir es so und unterschreiben oder was könnt ihr noch dazu sagen?

00:28:29: Also ich gucke ja auf die Pflege natürlich jetzt weniger als auf diese großen Krankenhausträge, als auf kleine Pflegerunternehmen.

00:28:35: Die mir auch sehr gut bekannt sind aus meinem beruflichen Umfeld und ich glaube dass man erst mal sagen muss sie überhaupt ernst zu nehmen.

00:28:42: Ich glaube immer das man in seinem Alltag weil IT ja eben nicht unser Schwerpunkt ist und wir natürlich etwas größer Unternehmensgruppe da natürlich jetzt nochmal andere Voraussetzungen haben mit einem sehr starken Partner.

00:28:52: es gibt ja viele kleinere Unternehmen die ja noch ganz anders betreut sind kleinere oder andere Ressourcen haben, aber ich glaube überhaupt ernst zu nehmen.

00:29:00: Ich frage dich, ob ich irgendwann mal angegriffen werde?

00:29:04: Wann es mal irgendwann passiert?

00:29:05: Das Bewusstsein hat sich ja bei uns ja auch dahingehend entwickelt, dass man nicht sagt, ahja wird das schon nicht passieren.

00:29:10: Ich glaub, da einfach mal das Ernst zu nehmen.

00:29:14: Auch als kleineres Unternehmen nicht zu sagen ich jetzt keine Pflegedienst was soll mich das betreffen?

00:29:18: Aber wenn ich eine Software einsetze die jetzt nach Pflege gibt es ja auch gerade im Altenpflegebereich nur eine Handvoll größere Hersteller wenn die natürlich jetzt irgendwann aufgemacht werden oder reinkommen dass man sich dann die Frage stellt habe ich mich darauf vorbereitet und ich glaube einfach zu sagen nehmt es ernst und dann was du gesagt hast Schritt für Schritt das muss ja nicht alles morgen umgesetzt sein und wir schaffen sie auch nicht alle jetzt auch im MDM Bereich hundert Geräte in einer Woche umzusetzen.

00:29:41: Es ist auch ein Marathon, in dem Zug wird man Geräte austauschen und es ist auch jetzt ordentlich ganz fertig mit allen Sachen die wir uns davor genommen haben.

00:29:47: Aber dass man das halt einfach wie gesagt im Fokus hat ja auch dem eine gewisse Priorität.

00:29:52: Weiben ist, nicht nur in der Aufmerksamkeit auch finanziell.

00:29:55: Das wird am Ende nicht kostenlos sein, der Schutz kostet Geld aber der Angriff auch wenn man dann die Arbeitsfähigkeit

00:30:02: ist

00:30:03: und das wäre so mein Plädoyer auch an die Kollegen und Kolleginnen in dem Bereich, die jetzt mal gerade im kleineren Bereich sind nimmt es ernst beschäftige ich euch damit ums das eben bestenfalls nicht passiert.

00:30:14: Kauft nicht ein Produkt sondern kauf eine Lösung.

00:30:18: Zu einer Lösung gehört erst mal irgendwie ein Problem oder eine Herausforderung.

00:30:21: Das heißt, man muss sich erstmal die Herausforderungen angucken und die kann halt jeweils nach einem Stadium wo man steht halt unterschiedlich sein.

00:30:28: also das heißt für den einen ist in dem Fall jetzt komplett... war es die richtige Lösung.

00:30:32: auf die Fragestellung aber im Unternehmen was vielleicht noch in einem anderen Stadium steht sieht die Lösung anders aus.

00:30:39: deswegen braucht's dann einen starken Partner, braucht gute Strategien, gute Konzepte.

00:30:45: Wenn man es selber nicht kann, sollte man sich extern beraten lassen um dann ein Fahrplan zu haben für die nächsten, sage ich mal drei Jahre.

00:30:53: Um dann zu sagen wie kann ich auch mein Budget oder meine Kostensituation darauf ausrichten und nach und nach einfach gewisse Dinge umsetzen?

00:30:59: Vor allem weil die wenigsten, sag ich jetzt mal in Anführungszeilen kleineren Unternehmen natürlich auch ... Die können ja nicht die IT-Sicherheit von sich aus alleine stemmen.

00:31:06: natürlich das waren doch schöne abschließende Worte.

00:31:09: Dann sage ich nochmal vielen Dank.

00:31:11: schön dass ich heute hier sein durfte Hat mich sehr gefreut, mit euch beiden zu sprechen.

00:31:19: Bis zum nächsten Mal!

00:31:21: Das war

00:31:21: We Talk Security – der Podcast von EZ zu den Themen IT-Sicherheit und Digitalisierung.