Die Normen der Softwareentwicklung sind weiterhin gültig. Zumindest offiziell sind robuste CI/CD-Pipelines, elegante Architekturmuster und wartbarer Code nach wie vor gesetzt.

Wenn wir unbeobachtet sind, zeigt sich dann in vielen Fällen die Realität: Wir hängen wie entrückte Magier mit manischem Glanz in den Augen über unseren Konsolen und beschwören Modelle und Agenten, um uns voll und ganz dem KI-Rausch hinzugeben.

Dabei begehen wir nicht selten Development-Sünden, die Fred Brooks die Schamesröte ins Gesicht getrieben hätten. So wie die folgenden sieben. Vorsicht, Ironie – stellenweise.

1. Grundlagenwissen für überflüssig halten

Objektorientierte oder funktionale Programmierung? CAP-Theorem? DRY-Prinzip? Design-Pattern? Können Sie vergessen. Ebenso Frameworks, Runtimes und Deployment-Plattformen.

Die KI weiß schließlich ganz genau, was bereits vorhanden ist und welche Tools zu nutzen sind. So haben wir als Entwickler auch mehr mentale Bandbreite, um uns Nebenprojekten zu widmen. Zum Beispiel einem Roman über die KI-Weltherrschaft.

2. Dokumentationen links liegen lassen

„RTFM“ nutzen viele Developer auch heutzutage noch gerne – auch wenn sie selbst eigentlich seit 2023 keine einzige Seite einer Anbieter-Dokumentation mehr gelesen haben. Löst ein Package eine bizarre Exception aus, wird weder der Execution-Pfad überprüft noch erfolgt ein Blick in die Release Notes. Stattdessen werden alle 200 Zeilen des Stack-Trace kopiert und in eine KI geworfen – in der Erwartung, dass diese uns dann löffelweise mit der Lösung füttert.

Oder es wird direkt eine ADE auf den Fehler angesetzt. Die findet den Fehler und fragt uns dann nur noch, ob die Lösung so korrekt ist. Manche werfen dann eventuell einen Blick auf die Beschreibung dieser Lösung – insofern sie die KI nicht vorher schon auf „Auto-Confirm“ umgestellt haben.

So werden wir zu glorifizierten Copy-Paste-Orchestratoren – die einfach nur darauf hoffen, dass der stochastische Papagei hinter dem Prompt die Syntax richtig errät.

3. Backend-Struktur ignorieren

KI-berauschte Devs geben manchmal vor, Datenflüsse akribisch designt, relationale Einschränkungen sorgfältig ausgearbeitet und API-Beziehungsgeflechte gewissenhaft abgebildet zu haben. Auch wenn wir eigentlich nur die KI angewiesen haben, ein modernes Deployment-Gerüst zu bauen und dieses mit einer Backend-Datenbank zu verknüpfen.   

Dabei wurden Security-Regeln und Schemata erstellt, die wir unter Umständen nicht vollständig verstehen. Aber solange es funktional aussieht, wird es schon gut gehen. Eventuell wurden auch Infrastructure-as-Code-Skripte generiert, die Cloud-Ressourcen bereitstellen. Sicher wird sich jemand anderes darum kümmern, dass das kein Loch ins Budget frisst. Wahrscheinlich, indem er die Metriken in einen anderen Chatbot einspeist.

Ist aber auch egal, weil das Mittagessen wartet.

4. Inzestuöses Testing fördern

Test-driven Development war immer schon ein schöner Traum, der – wenn man ihn lebt – in Dependency-Wildwuchs ausarten kann. Es ist also eine super Sache, dass wir heutzutage mit KI fast mühelos eine Testabdeckung von 95 Prozent erreichen können. Warum sollten wir die Maschine das nicht direkt mit übernehmen lassen, wenn sie auch alles andere automatisiert erstellt?

So kann man auch jedem der es wissen will (oder der gerade keine Fluchtmöglichkeit hat), das Narrativ von der erstaunlichen Testabdeckung unter die Nase reiben und sich in ausgiebigen Schwärmereien über die automatisierte Qualitätssicherung ergehen. Was dabei geflissentlich verschwiegen wird: Die komplexe Anwendungslogik und die Testsuite wurden von derselben KI generiert. Diese validiert also genau den Code, den sie zuvor zusammengeschustert hat.

Daraus entsteht ein hermetisch abgeriegelter Kreislauf der algorithmischen Selbstbeweihräucherung: Die Mocks, Randfälle und Assertions werden zur Echokammer für die ursprünglichen Annahmen des KI-Modells. Die Maschine benotet also ihre eigenen Hausaufgaben und gibt sich dafür eine Eins mit Sternchen.

Das wird von einigen von uns allerdings gerne in Kauf genommen, denn wenn der Code verändert werden muss, zaubert die KI auch dafür mühelos neue Tests aus dem Hut.

5. KI-Ergebnisse als Strategie ausgeben

Dokumente zu designen, kann KI erstaunlich gut: Diese sind meist apart formatiert, wirken schlüssig und schlagen nahtlos die Brücke zwischen übergeordneten Geschäftszielen und detaillierten technischen Specs. Und: Sie enthalten auch die tollen Sequenz-Diagramme, die das Management so schätzt.

Architekturvorschläge, die auf diese Art und Weise entstanden sind, werden regelmäßig in Sprint-Planungs-Meetings präsentiert – und kommen beim Rest des Teams oft gut an. Schließlich weiß auch niemand, dass in den hochgelobten Vorschlag ungefähr vier Sekunden „Mühe“ investiert wurden.

Ignoriert wird dabei, dass solche KI-generierten Dokumente gleichermaßen anfällig für fatale Mängel in Bezug auf Scope und Alignment sind, wie von Menschenhand gemachte. Aber wenn das Projekt schon scheitert, war wenigstens das Markdown schön klar und die Bulletpoints echt überzeugend. Das wahre Ausmaß des folgenden Desasters wird zwar erst erkannt, wenn es schon viel zu spät ist – aber immerhin war der Ansatz visionär.

6. Heimlich dem Vibe Coding verfallen

Vibe Coding ist unter Devs in sozialen Kanälen regelmäßig eine Lachnummer. Und auch in Slack-Channels werden regelmäßige augenrollende Emojis verschickt, wenn es um das Thema geht. Nach außen möchten wir alle möglichst professionell wirken.

Wenn niemand zusieht, wird dann unter Umständen aber doch der heimlichen Vibe-Coding-Leidenschaft gefröhnt: Unausgereifte Gedanken und ein Drink, sind alles was man braucht, um entspannt dabei zusehen zu können, wie die KI ihre “Coding-Magie” entfaltet.

Daraus entsteht dann vielleicht endlich ein funktionierender Ultima-V-Klon oder eine App, um Krypto-Protfolios zu tracken, die nach dem Interface aus „Neuromancer“ aussieht. Und zwar in 30 Sekunden. Das berauscht. Und kann süchtig machen. Leider ganz besonders, wenn man tief in der harten, altmodischen Realität des Programmierhandwerks verwurzelt ist.

7. Prompts als Allheilmittel betrachten

Ahnlich wie die Figur von Adam Sandler in „Der schwarze Diamant“ sind manche Devs davon überzeugt, dass mit der nächsten Runde alles besser wird – nur bezogen auf Prompts. Wenn die Dinge aus dem Ruder laufen, bevorzugen diese regelmäßig, den KI-Prompt zu verfeinern – statt sich selbst dem Komplexitätsdickicht zu widmen.

Der gleiche fehlerbehaftete Stack Trace wird dann unerbittlich immer und immer wieder in den Chat gehämmert, das Modell auf einen immer schmaleren Pfad gezwungen – solange, bis der Code endlich keine Fehler mehr ausgibt. Debugging und Variablen-Tracing sind so gut wie nicht mehr existent, Funktionen werden nicht mehr schrittweise geprüft. Stattdessen wird unermüdlich iterativer Druck auf die KI ausgeübt, bis diese kapituliert. Und dann geht’s ab in die Produktion.

So fließt am Ende ähnlich viel Zeit und Energie in den Kampf mit dem Bot, wie früher in die manuelle Syntaxerstellung. (fm)

Dieser Artikel ist im Original bei unserer Schwesterpublikation Infoworld.com erschienen.

Ein Freelance-Entwickler präsentiert sich mit tadellosem Lebenslauf, sauberem Portfolio und überzeugendem Video-Interview. Trotzdem sitzt am anderen Ende kein einzelner Kandidat, sondern ein Glied in einem staatlich gelenkten Betrugsnetzwerk. Was nach Spionagefilm klingt, hat sich zu einem konkreten Insider-Risiko für Unternehmen entwickelt.

Seit Jahren schleusen nordkoreanische Netzwerke IT-Fachkräfte mit falschen, gestohlenen oder geliehenen Identitäten in westliche Unternehmen ein, meist als Remote-Freelancer für Softwareentwicklung, Datenbanken, Cloud-Administration oder App-Projekte. Behörden sprechen von Tausenden weltweit eingesetzten Arbeitskräften.

Wie groß einzelne Netzwerke werden können, zeigen inzwischen abgeschlossene Strafverfahren: In einem Fall wurden 309 US-Unternehmen und zwei internationale Firmen getäuscht; das Netzwerk erwirtschaftete mehr als 17 Millionen US-Dollar. Im April 2026 wurden zwei weitere Helfer verurteilt, deren Struktur mit gestohlenen Identitäten Jobs bei mehr als 100 Unternehmen erlangte und über fünf Millionen US-Dollar einnahm.

Für CIOs ist das kein akademisches Risiko. Wer regulär eingestellt wurde, erhält reguläre Zugangsdaten und damit unter Umständen Zugriff auf Quellcode, Kundendaten, Entwicklungsumgebungen oder interne Wissensbestände. Genau das macht den Fall gefährlich: Technisch sieht der Zugriff zunächst legitim aus, obwohl Identität, Standort und Zweck der Tätigkeit falsch sein können.

Wie das Schema funktioniert

Die Struktur ist arbeitsteilig. IT-Fachkräfte übernehmen die eigentliche Projektarbeit. Rekruter suchen passende Stellen, Mittelsleute beschaffen Identitäten und Konten, andere Personen treten in Interviews auf oder wickeln Verträge und Zahlungen ab. Hinzu kommen lokale Helfer, die Firmenhardware entgegennehmen. Ein Unternehmen kann daher im Bewerbungsgespräch, beim Versand des Laptops und während der täglichen Zusammenarbeit jeweils mit einer anderen Person oder Rolle aus demselben Netzwerk interagieren.

Eine Schlüsselrolle spielen sogenannte Laptop Farms. Firmenrechner stehen physisch im Land des vermeintlichen Mitarbeiters, werden aber über Fernwartungssoftware oder KVM-Technik (Kernel-based Virtual Machine) aus dem Ausland bedient. Für einfache Standortkontrollen wirkt der Zugriff damit lokal. Gleichzeitig helfen Scheinfirmen, Zahlungsaccounts, Profile auf Jobplattformen und professionell gestaltete Portfolios dabei, die erfundene Biografie konsistent erscheinen zu lassen.

Generative KI erhöht die Qualität und Geschwindigkeit dieser Täuschung. Microsoft hat unter anderem KI-bearbeitete Profilbilder, verbesserte Bewerbungsunterlagen und den Einsatz von Stimmveränderungssoftware beobachtet. Ein fehlerfreier Lebenslauf oder ein plausibles Profil ist deshalb kein belastbarer Identitätsnachweis mehr.

Warum klassische Prüfungen zu kurz greifen

Ein einmaliger, dokumentenbasierter Background-Check kann bei dieser Betrugsform ins Leere laufen. Er bestätigt im besten Fall, dass die vorgelegten Daten zu einer realen Identität passen. Der Check beantwortet aber nicht automatisch, ob diese Identität der Person im Interview gehört, ob später dieselbe Person arbeitet oder ob dieselben Kontaktdaten bereits in anderen Bewerbungen aufgetaucht sind. Identitätsprüfung muss deshalb als Prozess gedacht werden: vom Recruiting über das Onboarding bis zu risikobasierten Kontrollen während der Beschäftigung.

Zusätzliche Blindstellen entstehen bei externen Entwicklern und Personaldienstleistern. Wer das Recruiting an einen Dritten auslagert, gibt damit nicht die Verantwortung für den Systemzugang ab. Unternehmen sollten vertraglich und operativ sicherstellen, dass Dienstleister vergleichbare Prüfstandards anwenden und relevante Auffälligkeiten melden.

Warnsignale im Bewerbungsprozess

Behörden und Sicherheitsforscher beschreiben wiederkehrende Muster. Kein einzelnes Merkmal beweist einen Betrug; entscheidend ist die Kombination mehrerer voneinander unabhängiger Signale:

• Kontaktdaten, hier besonders VoIP-Nummern, E-Mail-Adressen oder Zahlungsinformationen, tauchen bei mehreren angeblich unabhängigen Bewerbungen identisch auf.
• Lebenslauf, Portfolio und öffentliches Profil passen zeitlich oder inhaltlich nicht zusammen; ganze Textpassagen oder Arbeitsproben finden sich bei anderen Personen wieder.
• Der Kandidat weicht einem stabilen Video-Interview aus, Bild und Stimme wirken wiederholt asynchron oder die Person im späteren Arbeitsalltag unterscheidet sich auffällig vom Interview.
• Antworten zum aktuellen Standort, zu Ausbildung oder früheren Projekten bleiben trotz fachlicher Nachfragen ungewöhnlich vage oder widersprüchlich.
• Kurz vor oder nach Vertragsstart ändern sich Lieferadresse, Bankverbindung oder Zahlungsplattform; Hardware soll an eine andere als die verifizierte Adresse gehen.
• Der Kandidat drängt auf einen sehr schnellen Start, fordert weitreichende Rechte vor Abschluss der Prüfungen oder bevorzugt ungewöhnliche Zahlungswege.

Warnsignale nach dem ersten Arbeitstag

Mit der Einstellung endet die Prüfung nicht. Technische Indikatoren können zeigen, dass der Firmenrechner nur als Zwischenstation dient oder dass mehrere Personen ein Konto nutzen:

• Mehrere Anmeldungen desselben Kontos aus weit auseinanderliegenden Ländern oder IP-Bereichen innerhalb kurzer Zeit.
• Nicht genehmigte Fernwartungs- oder Remote-Desktop-Software, auffällige KVM-Geräte sowie Versuche, lokale Administratorrechte zu erhalten.
• Ungewöhnliche Browser-Sitzungen, wechselnde Gerätefingerabdrücke oder Arbeitsaktivität, die dauerhaft nicht zum angegebenen Standort und zur Zeitzone passt.
• Großflächiges Kopieren von Quellcode oder Dokumenten in private Cloudspeicher, persönliche Repositories oder nicht freigegebene Filesharing-Dienste.
• Mehrere parallele Audio- oder Videoverbindungen und wiederkehrende Probleme, die darauf hindeuten, dass Meetings durch Dritte unterstützt werden.

Auch hier gilt: VPN-Nutzung, Remote-Tools oder ein ungewöhnlicher Arbeitsrhythmus sind für sich genommen kein Beweis. Sie werden erst im Zusammenhang mit Auffälligkeiten aus Recruiting, Hardwareversand und Zahlungsdaten aussagekräftig.

Warum der Schaden weit über das Gehalt hinausgeht

Die erste Motivation ist häufig die Einnahme regulärer Gehälter. Doch aus dem legitimen Zugang kann ein zweites Geschäftsmodell entstehen. Das FBI warnt vor dem Abfluss proprietärer Daten und Quellcode sowie vor Erpressung nach der Enttarnung.

Hinzu kommen Kosten für Forensik, Rechtsberatung, Wiederherstellung von Systemen und mögliche Meldepflichten. Bei sensiblen Technologien können außerdem Exportkontrollen, Sanktionen und vertragliche Geheimhaltungspflichten berührt sein.

Was CIOs konkret tun können

Wirksam ist kein einzelnes Tool, sondern ein Kontrollmodell, das HR, IT, Security, Einkauf und Compliance verbindet. Fünf Maßnahmen reduzieren das Risiko deutlich:

• Rollen nach Risiko staffeln. Für Tätigkeiten mit Zugriff auf Quellcode, Produktionssysteme, Forschungsdaten oder privilegierte Konten gelten stärkere Prüf- und Freigabeschritte als für risikoarme Rollen.
• Identität mehrfach verifizieren. Dokumente, Kontaktangaben, Ausbildung und frühere Beschäftigung werden über unabhängige Quellen geprüft. Bei Remote-Rollen sollte die Identität beim Interview, beim Onboarding und bei begründetem Anlass erneut bestätigt werden.
• Hardware und Zahlungen kontrollieren. Firmenrechner gehen nur an die verifizierte Adresse. Änderungen von Lieferort, Bankverbindung oder Zahlungsplattform lösen eine erneute Prüfung aus. Systemzugänge werden erst nach Abschluss der vorgesehenen Kontrollen freigeschaltet.
• Least Privilege technisch durchsetzen. Neue Mitarbeitende erhalten zunächst nur die Rechte, die sie tatsächlich benötigen. Nicht freigegebene Fernwartungssoftware wird blockiert; Identitäts-, Endpoint- und Cloud-Logs werden risikobasiert auf ungewöhnliche Muster geprüft.
• Dienstleister und Eskalation einbeziehen. Für Freelancer und Staffing-Partner gelten dieselben Mindeststandards. Ein gemeinsamer Eskalationsweg legt fest, wer bei Auffälligkeiten entscheidet, Beweise sichert und Zugriffe begrenzt.

Für Unternehmen in Deutschland, Österreich und der Schweiz muss dieses Vorgehen verhältnismäßig und datenschutzkonform ausgestaltet sein. Ziel ist nicht die möglichst umfassende Sammlung von Personendaten, sondern die nachvollziehbare Prüfung relevanter Risiken für eine konkrete Rolle, mit klaren Kriterien, begrenzten Aufbewahrungsfristen und menschlicher Bewertung von Treffern.

Wenn sich der Verdacht erhärtet

Ein Verdachtsfall gehört nicht allein ins Recruiting. HR, Security, Legal beziehungsweise Datenschutz und gegebenenfalls Compliance sollten koordiniert vorgehen. Dazu gehören die Sicherung relevanter Protokolle, die kontrollierte Begrenzung von Zugängen, der Wechsel exponierter Schlüssel oder Tokens und die Prüfung, ob Daten in private Repositories oder Cloudkonten abgeflossen sind.

Welche Behörden oder Vertragspartner informiert werden müssen, hängt vom Sitz des Unternehmens, den betroffenen Daten und regulatorischen Pflichten ab. Entscheidend ist ein vorbereiteter Incident-Plan, nicht eine improvisierte Konfrontation.

Wer sensible Systeme oder Daten verantwortet, kommt an dieser Form von Personalrisiko nicht mehr vorbei. Die Fälle zeigen: Cybersicherheit beginnt nicht erst an der Firewall. Sie beginnt dort, wo eine digitale Identität erstmals Vertrauen, Hardware und Zugriffsrechte erhält und sie endet nicht mit dem ersten Arbeitstag. (jd)

Einen peinlichen Moment im Arbeitsleben hat sicher jeder schon einmal erlebt. Vielleicht hat man sich durch eine sehr wichtige Präsentation gestammelt oder auf einer Unternehmensfeier lautstark ein volles Glas umgeworfen und mit der verschütteten Flüssigkeit im schlimmsten Fall auch noch einen Kollegen getroffen. Besonders schwer wiegen peinliche Fehler dann, wenn man den Wunschjob noch nicht einmal in der Tasche hat. Gerade beim Bewerbungsgespräch kommt es darauf an, einen starken ersten Eindruck zu hinterlassen.

Das Online-Karriereportal Careerbuilder hat mehr als 3.000 Arbeitgeber und Personal-Experten sechs häufige Fehler im Bewerbungsgespräch danach bewerten lassen, wie sehr sie dem Kandidaten schaden. Den größten Fehler begehen Kandidaten dann, wenn sie im Gespräch ein Handygespräch annehmen oder eine SMS schreiben, 77 Prozent der Umfrage-Teilnehmer stören sich an diesem Verhalten. Das zweitschlimmste Vergehen ist es, kein Interesse an der ausgeschriebenen Stelle zu zeigen (75 Prozent), das drittschlimmste, sich unangemessen zu kleiden (72 Prozent).

Auf Rang vier der schlimmsten Fehler in Bewerbungsgesprächen liegt arrogantes Auftreten, daran stören sich 72 Prozent der befragten Personal-Experten. 67 Prozent der Personaler stören sich daran, wenn ein Bewerber im Gespräch schlecht über den jetzigen oder über frühere Arbeitgeber spricht. Für 63 Prozent der Umfrageteilnehmer ist es ein schlimmes Vergehen, wenn ein Kandidat im Bewerbungsgespräch Kaugummi kaut.

Darüber hinaus befragte Careerbuilder die Personal-Experten nach ihren ungewöhnlichsten Erlebnissen bei Bewerbungsgesprächen. Die Umfrageteilnehmer berichteten von den folgenden Gesprächssituationen:

• 1. Ein Kandidat brachte einen Bewerbungsratgeber zum Gespräch mit.
• 2. Ein anderer Bewerber fragte: “Wie heißt ihr Unternehmen noch mal?”
• 3. Bei einem Telefoninterview wurde ein Personaler von der Kandidatin in die Warteschleife gestellt. Als die Kandidatin das Gespräch in die Leitung zurückholte, erzählte sie, sie hätte sich in der Zwischenzeit für Freitag für ein Date verabredet.
• 4. Ein Bewerber trug zum Bewerbungsgespräch eine Pfadfinderuniform und erklärte im Laufe des Gesprächs nicht, weshalb er das tat.
• 5. Ein Kandidat sprach während des gesamten Bewerbungsgesprächs von sich in der dritten Person.
• 6. Ein anderer Bewerber zog sich während des Jobinterviews seine Schuhe aus.
• 7. Ein Bewerber fragte, ob er einen Schluck vom Kaffee des Personalers trinken dürfe.
• 8. Und schließlich berichtet ein Personaler von einer Kandidatin, die im Gespräch sagte, sie sei sich nicht sicher, ob der angebotene Job es wert sei, dafür das Auto zu starten.

3 Tipps für ein erfolgreiches Bewerbungsgespräch

“Man mag ja denken, dass ein Bewerber nie und nimmer während eines Jobinterviews einen Anruf annehmen würde, aber wir hören diese Geschichten immer wieder, wenn wir mit Personalern sprechen”, sagt Rosemary Haefner von Careerbuilder. Bei der Masse der Bewerber gehe es jedoch nicht darum, solche Fehler zu vermeiden sondern sich von den anderen Bewerbern abzuheben. Haefner gibt die folgenden Ratschläge für ein erfolgreiches Bewerbungsgespräch:

1. Intensiv vorbereiten: Um auf Fragen zum Unternehmen souverän zu antworten, sollte man sich gut über den Wunscharbeitgeber informieren. Geeignete Quellen dafür sind die Selbstdarstellung auf der Unternehmenswebsite, aktuelle Pressemeldungen und die Vorstellung angebotener Produkte und Dienstleistungen.

2. Optimistisch bleiben: Egal, wie die Stimmung im Bewerbungsgespräch auf einen wirkt. Haefner rät, positiv zu bleiben und auf keinen Fall schlecht über frühere Arbeitgeber zu sprechen.

3. Beispiele und Ideen vorbereiten: Am besten überlegt man sich bereits vor dem Interview Anekdoten, die den eigenen Lebenslauf veranschaulichen und zum Beispiel erläutern, wie man in früheren Jobs mit herausfordernden Situationen umgegangen ist. Auch mit Ideen und Vorschlägen für den Wunschjob kann man aus der Masse der Bewerber hervorstechen.

Das Online-Karriereportal Careerbuilder sprach für diese Umfrage mit mehr als 3.000 Arbeitgebern und Personal-Experten in den USA.

Erzählen Sie mir von einem Vorgang, den Sie für andere dokumentiert haben.

Die Antwort zeigt, wie wichtig dem Bewerber Teamwork ist und ob er sein Wissen anderen zugänglich macht.

Erzählen Sie mir von einem ihrer bisherigen Projekte.

Hier können Bewerber punkten, wenn sie auch auf Herausforderungen, komplexe Aufgaben und Einschränkungen eingehen.

Was könnten Sie mir über Details zur Programmierung von … sagen?

Die soll zeigen, ob ein Kandidat zu einer Wissenslücke steht oder blufft.

Wie würden Sie dieses Thema einem Kollegen erläutern, der kein IT-Experte ist?

Hier kann man zeigen, wieviel einem an einem guten Verhältnis von Business und IT liegt.

Sie können ein Projekt entweder rechtzeitig und unvollständig oder vollständig, jedoch nach der Deadline, abschließen. Wofür entscheiden Sie sich?

Eine gute Antwort wäre zum Beispiel, gemeinsam mit Projektleiter und Team nach der besten Lösung zu suchen.

Die Rolle des CISO wird für Unternehmen immer wichtiger. Deshalb nehmen Sicherheitschefs inzwischen immer öfter auch einen Platz am Entscheidertisch ein – und berichten direkt an den CEO. In dieser Position soll der CISO vor allem dazu beitragen, die Unternehmensstrategie erfolgreich voranzutreiben.

Mit dem direkten Berichtsweg zum CEO eröffnet sich für Security-Verantwortliche ein besserer, direkterer Zugang zur Unternehmensleitung, der potenziell auch ihre Einflussmöglichkeiten steigern kann. Das klingt auf den ersten Blick äußerst vorteilhaft. Doch direkt unter dem CEO zu operieren, heißt für CISOs aber auch, neue Perspektiven einnehmen, sich neue Skills aneignen und ihren KPI-Fokus stärker auf das Business ausrichten zu müssen.

Für diesen Artikel haben wir verschiedene Experten gefragt, wie Sicherheitsentscheider mit „direktem Draht“ zum CEO diese Beziehung optimal ausgestalten können. Nämlich:  

• George Gerchow, Chief Security Officer bei Bedrock Data und Mitglied der IANS-Faculty,
• Matt Chiodi, Chief Security Officer bei Cerby,
• Chris Schueler, Chief Executive Officer bei Cyderes, und
• Greg Fuller, Vice President bei Skillsoft.

Diesen Gesprächen sind die folgenden neun Tipps entsprungen.

1. CEO-Perspektive verstehen

Die meisten CEOs erwarten von den ihnen direkt unterstellten Führungskräften, dass diese ihren Zuständigkeitsbereich vollständig eigenverantwortlich wahrnehmen. Ob Cybersecurity, IT-Operations oder Finanzen: Der jeweilige Entscheider ist in den Augen des CEO der Experte auf seinem Gebiet. Der CEO hat natürlich auch eine eigene Meinung, setzt jedoch voraus, dass Sie als CISO letztendlich Führungsverantwortung übernehmen und die Richtung vorgeben.

Darüber hinaus erwartet ein CEO von einem CISO, der direkt an ihn berichtet, nicht nur über Risiken aufgeklärt zu werden. Vielmehr geht er davon aus, dass Sicherheitsverantwortliche die Security-Perspektive auch mit Umsatzsicherung, Compliance, Kundenvertrauen und operativer Resilienz verknüpfen. Anders ausgedrückt: CEOs wollen einen echten strategischen Partner.

2. Führungs-Skills ausbauen

Aus technologischer Sicht sind KI, Machine Learning, Cloud Security, Incident Response, Zero Trust sowie GRC die Bereiche, in denen sich Bedrohungen am schnellsten weiterentwickeln – und strategische Führung die größte Hebelwirkung erzeugen kann.

Mindestens ebenso wichtig sind jedoch auch „Power-Skills“ wie:

• Kommunikation,
• kritisches Denken,
• Anpassungsfähigkeit oder
• emotionale Intelligenz.

Dabei trennt die Fähigkeit, komplexe Risiken in Business-Sprache übersetzen zu können, die CISO-Spreu (rein technisch ausgerichtet) vom -Weizen. Auch in den Augen des CEO entscheiden die Skills eines CISO über dessen Effektivität – nicht bloß sein Job-Titel.

3. Direktzugang richtig nutzen

Der direkte „Zugang“ zum CEO ermöglicht CISOs auch:

• Einfluss auf die Strategie zu nehmen,
• die Resilienzplanung mitzugestalten, und
• sicherzustellen, dass Security als geschäftliche Notwendigkeit betrachtet wird und nicht bloß als Kostenstelle.

Diese Einflussmöglichkeiten sind regelmäßig am größten, wenn der CEO die Cybersicherheit auch als strategischen Hebel versteht und sie nicht zur rein technischen Funktion abwertet.

Auf der anderen Seite schafft ein direkter Berichtsweg zwar leichteren Zugang zum CEO, bringt aber auch die Verantwortung mit sich, auf dieser Ebene zu liefern. Sicherheitsentscheider sollten ihre Cyberinitiativen deshalb für die Executive-Ebene so transparent wie möglich gestalten.

4. Risk-Assessment-Chancen wahrnehmen

Besonders effektive CISOs betrachten jede Business-Konversation als „getarntes“ Risikogespräch. Dieses Mindset macht den Unterschied zwischen einem großartigen CISO – und einem großartigen Technologen.

Indem sie zuerst über das Business und erst nachgelagert über die Security sprechen, können Sicherheitsentscheider zudem das Vertrauen des CEO gewinnen. Dazu empfiehlt es sich, jedes Risiko in Kontext zu Umsatz, Reputation oder regulatorischen Lücken zu setzen. Behalten Sie dabei im Hinterkopf: Der CEO will kein Alarmsystem und erwartet keine Überraschungen, sondern eine klare Einschätzung der wesentlichen Risiken und einen Sicherheitsverantwortlichen, der das Unternehmen nicht ausbremst.

5. Erfolgreiche Beziehung definieren

Ganz unabhängig vom tatsächlichen Berichtsweg macht es Sinn, das Ziel einer geschäftlichen Beziehung zu definieren – und zwar schriftlich. Denn das schafft anfängliche Klarheit, schließt dabei aber nicht aus, dass sich die definierte Zielsetzung im Zeitverlauf weiterentwickelt.

Besonders wichtig ist das für CISOs, die noch neu in ihrer Position sind. In diesen Fällen hilft die Zieldefinition für Geschäftsbeziehungen beim Alignment – wodurch die Chancen für einen erfolgreichen Einstieg steigen. Die Zielsetzung lässt sich auch gemeinschaftlich erarbeiten.

6. Trust und Offenheit priorisieren

Ein CEO muss sich voll und ganz darauf verlassen können, dass der CISO keine Informationen zurückhält. Sicherheitsentscheider benötigen auf der anderen Seite auch ausreichend psychologische Sicherheit, damit schlechte Nachrichten ebenso schnell kommuniziert werden wie gute.

Sind diese Voraussetzungen gegeben, verwandelt sich die Security von einer Kostenstelle in einen strategischen Vorteil. CISOs tun deshalb gut daran, klar zu kommunizieren und sich als Teamplayer zu präsentieren, nicht als Einzelkämpfer.

Um Trust zu vermitteln, ist es außerdem hilfreich, auch bei Incidents die Ruhe zu bewahren und Menschen als gleichgestellt zu behandeln. Langfristig erfolgreiche Führungskräfte kontrollieren nicht alles in Grund und Boden – sie bauen vielmehr Vertrauen auf, bevor sie es benötigen.

7. Governance als Wettbewerbsvorteil sehen

Eine starke Partnerschaft zwischen CISO und CEO erfordert auch ein gemeinsames Bekenntnis dazu, Governance als strategischen Wettbewerbsvorteil zu betrachten.

Besteht mit Blick auf diesen Grundsatz Einigkeit, kommt die Organisation in die Lage, mit KI innovativ zu sein und dabei parallel unnötigen Risiken aus dem Weg zu gehen. Unter dem Strich steht dann ein Unternehmen, das nicht nur auf Bedrohungen reagiert, sondern resilient operiert.

8. Security-Ziele setzen und messen

Ziele zu definieren, ist nicht für erfolgreiche Geschäftsbeziehungen wichtig, sondern auch wenn es um die Cybersecurity selbst geht. Wenn die Erwartungen klar abgesteckt sind, wird auch deutlicher, welche Bereiche dabei besonders im Fokus stehen sollten.

Das löst zwar nicht jedes Problem, ist aber speziell CISOs anzuraten, die direkt an den CEO berichten: Eine frühe Abstimmung über mögliche Indikatoren verringert den Druck, der auf dem Sicherheitsentscheider lastet und sorgt dafür, dass keine bösen Überraschungen entstehen können.

9. Frustrationstoleranz aufbauen

Beharrlichkeit und die Bereitschaft, sich auch mit unangenehmen Dingen auseinanderzusetzen, um die Sicherheit zu gewährleisten, sind für CISOs, die an den CEO berichten, ebenfalls entscheidend.

Ganz generell kann die Rolle einer Führungskraft im Bereich Cybersicherheit undankbar sein: Geht etwas schief, ist der CISO oft der Sündenbock. Ist alles in Ordnung, wird seine Arbeit so gut wie nicht wahrgenommen.

Dieser Artikel ist im Original bei unserer Schwesterpublikation CSOonline.com erschienen.

Unabhängig davon, ob Sie noch Windows 10 nutzen oder bereits mit Windows 11 arbeiten, können Sie das Sicherheitsniveau Ihres Rechners mit Bordmitteln optimieren. Wie, das zeigen die folgenden zehn ganz konkreten Tipps, die sich unmittelbar positiv auf die Sicherheit Ihres Systems und Ihrer Daten auswirken.

1. PUPs blockieren

Windows kann “potenziell unerwünschte Programme” (Potentially Unwanted Programs; PUPs) automatisiert blockieren. Dieser Begriff umschreibt Anwendungen, bei denen es sich aus technischer Perspektive zwar nicht um Malware handelt – die aber unter Umständen unerwünschte Aktionen ausführen, beispielsweise Daten ausspähen oder Werbung einblenden.

Um sicherzustellen, dass solche Anwendungen geblockt werden, müssen Sie die entsprechende Option aktivieren. Dazu rufen Sie die App “Windows Sicherheit” über das Startmenü auf. Anschließend navigieren Sie über “App- und Browsersteuerung” zu “Zuverlässigkeitsbasierter Schutz” und aktivieren den Schieberegler unter “Potenziell unerwünschte Apps werden blockiert“.  

2. Verschlüsselung einsetzen

Bei modernen Windows-PCs wird die Geräteverschlüsselung automatisch aktiviert, sobald Sie sich mit einem Microsoft-Konto verbinden. Um zu überprüfen, ob Ihr Device tatsächlich verschlüsselt wird, suchen Sie im Startmenü nach BitLocker und klicken anschließend auf “BitLocker verwalten“.

Falls Sie im sich nun öffnenden Fenster feststellen, dass BitLocker nicht aktiviert ist, gibt es dafür zwei mögliche Erklärungen:

• Sie sind mit einem lokalen Konto angemeldet, oder
• Sie nutzen ein älteres Gerät, das die Option nicht unterstützt.

Im ersten Fall hilft der Umstieg auf ein Microsoft-Konto, im zweiten lediglich ein Upgrade auf Windows Professional.  

3. Synchronisierungseinstellungen prüfen

Sowohl unter Windows 10 als auch unter Windows 11 liegt Microsoft viel daran, dass OneDrive Ordner wie Desktop, Dokumente und Bilder automatisch synchronisiert. Das führt dazu, dass deren Inhalt online mit Ihrem Microsoft-Konto verknüpft und zwischen Ihren PCs synchronisiert wird. Das kann praktisch sein – oder nicht erwünscht, je nachdem, mit welcher Art von Daten Sie arbeiten. Falls diese Compliance-Vorgaben unterliegen, kann die Synchronisierungseinstellung die Datensicherheit unterwandern.  

Um die Einstellungen zu überprüfen und genau zu definieren, was OneDrive synchronisiert, öffnen Sie die Einstellungen – zum Beispiel über einen Rechtsklick auf das OneDrive-Symbol rechts unten in ihrer Taskleiste. Anschließend klicken Sie unter “Wichtige PC-Ordner auf OneDrive sichern” die Schaltfläche “Sicherung verwalten“. Im folgenden Fenster “Ordner auf diesem PC sichern” können Sie die entsprechenden Einstellungen vornehmen.

4. Sicher(er) einloggen

Passwörter sollten wegen ihrer inhärenten Unzulänglichkeiten schon länger aus der Mode gekommen sein. Falls Ihr PC zeitgemäßere, biometrische Authentifizierungsmethoden in Form von Windows Hello unterstützt, sollten Sie diese stattdessen nutzen.

Um den Login per Fingerabdruck oder Gesichtserkennung zu aktivieren, suchen Sie über das Windows-Startmenü nach “Anmeldeoptionen” und richten die für Sie in Frage kommende Option ein. Anschließend freuen Sie sich über komfortablere, schnellere Logins – und mehr Sicherheit.

5. Überwachten Ordnerzugriff aktivieren

Um zu verhindern, dass Ransomware Ihre Dateien “in Geiselhaft” nimmt, bietet Windows die Option des überwachten Ordnerzugriffs, die Datenmanipulationen verhindert. Das bietet zusätzlichen Schutz, allerdings ist die Option standardmäßig nicht aktiviert und zieht im Regelfall auch ein wenig Konfigurationsaufwand nach sich.

Suchen Sie über die Windows-Startleiste nach “Überwachter Ordnerzugriff“, um die Funktion aufzurufen und zu konfigurieren.

6. Office-Updates sicherstellen

Falls Sie Microsoft-Office-Anwendungen (beziehungsweise Microsoft 365) nutzen, sollten Sie unbedingt sicherstellen, dass die verwendeten Versionen mit Sicherheits-Updates versorgt werden. Um zu überprüfen, ob das der Fall ist, öffnen Sie eine entsprechende Anwendung – beispielsweise Word. Hier wählen Sie “Datei“, gefolgt von “Konto“.

Auf der rechten Seite des App-Fensters sehen Sie nun “Produktinformationen” und etwas unterhalb den Punkt “Microsoft 365- und Office-Aktualisierungen“. Sollten Sie hier lesen “Updates werden automatisch heruntergeladen und installiert.“, sind Sie auf der sicheren Seite. Anderenfalls aktivieren Sie die Funktion.

7. App-Stati checken

Auch andere Windows-Apps werden nicht unbedingt immer automatisch mit Sicherheitsupdates versorgt. Deshalb sollten Sie zunächst dafür sorgen, dass Apps, die über den Microsoft Store bezogen werden, automatisch aktualisiert werden. Selbst wenn Sie diesen nicht direkt nutzen, können diverse Apps darüber aktualisiert werden. Um die Funktion zu aktivieren, öffnen Sie den Store, klicken auf Ihr Profilbild und rufen die Einstellungen auf. Anschließend stellen Sie sicher, dass die Option “App Updates” aktiviert ist.

Anschließend können Sie außerdem prüfen, ob sich anfällige, veraltete Anwendungen auf Ihrem System befinden. Dazu stehen diverse Optionen zur Verfügung – zum Beispiel:

• das Windows-Befehlszeilen-Tool WinGet, oder
• das kostenlose Drittanbieter-Tool Home Updater.

8. Kernisolierung aktivieren

Windows verfügt über eine Reihe von Low-Level-Funktionen zur Systemhärtung, die es erschweren sollen den Windows Kernel auszunutzen. Um diese zu aktivieren, rufen Sie die Anwendung “Windows Sicherheit” auf und navigieren anschließend zum Punkt “Gerätesicherheit“.

Sobald Sie eine der hier aufgeführten Sicherheitsfunktionen aktivieren, überprüft Windows, ob diese auf Ihrem System ordnungsgemäß funktioniert. Ist das nicht der Fall – beispielsweise wegen veralteten, inkompatiblen Hardwaretreibern –, erkennt Windows das in der Regel automatisch und deaktiviert die Funktion entsprechend.

9. Sandboxing nutzen

Angenommen, Sie möchten (entgegen aller Empfehlungen) auf Ihrem System ein dubioses Programm installieren, sollten Sie dazu in jedem Fall die Windows Sandbox verwenden. Allerdings ist diese Funktion den Professional-, Enterprise-, und Education-Editionen von Windows 10 und 11 vorbehalten.

Haben Sie die richtige Windows-Version, finden Sie “Windows-Sandbox” über Ihr Startmenü: Suchen Sie nach “Windows-Features aktivieren und deaktivieren” und setzen Sie im folgenden Fenster einen Haken beim entsprechenden Eintrag. Falls Sie nicht über eine unterstützte Windows-Version verfügen, können Sie Sandboxing alternativ auch über Drittanbieter-Virtualisierungssoftware wie etwa VirtualBox realisieren.

10. Exploit-Schutz prüfen

Windows verfügt inzwischen über einen integrierten Exploit-Schutz, der Ihre Programme zusätzlich vor Angriffen schützt. Um die Einstellungen für dieses Feature zu überprüfen, rufen Sie ebenfalls “Windows-Sicherheit” auf. Anschließend navigieren Sie zu “App- und Browsersteuerung” und rufen die “Einstellungen für Exploit-Schutz” auf.

Fast alle Optionen sollten hier standardmäßig aktiviert sein. Zu beachten ist dabei, dass die Option “Zufällige Anordnung für Images erzwingen (obligatorische ASLR)” zu Problemen mit einigen älteren Anwendungen führen kann, wenn sie aktiviert wird. Es empfiehlt sich deshalb, das nicht zu tun. (fm)

Dieser Artikel ist im Original bei unserer Schwesterpublikation Computerworld.com erschienen.

Es bringt nichts, Pannen herunterzuspielen oder zu vertuschen. Oft ist ein offensiver Umgang damit besser, am Ende sitzen schließlich alle im selben Boot. Entschuldigen Sie sich, machen Sie das Beste draus – und geben Sie ruhig einmal zu, dass ihnen etwas unangenehm ist. Sie werden sehen, dass sich die anderen entspannen. Wir haben ein paar typische Situationen herausgesucht, die im geschäftlichen Alltag peinlich sein können.

1. Sie werden gelobt für die Arbeit anderer

Es ist schön, Wertschätzung zu erfahren – für manche sogar so schön, dass sie Lob auch dann einheimsen, wenn es eigentlich anderen gebührt. Dass das nicht geht, ist klar: In solchen Fällen gilt es mutig zu korrigieren und zu sagen: “Danke für die Blumen, liebe Chefin, aber nicht ich, sondern die Kollegin muss heute gefeiert werden. Sie hat wochenlang an dem Projekt gearbeitet und einen unglaublichen Job gemacht. Insofern reiche ich die Blumen gerne weiter!”

Man möchte ja auch nicht, dass andere die Lorbeeren für die eigenen Leistungen einstecken. Wer kennt ihn nicht, den lieben Kollegen, der wochenlang während der Projektarbeit vor sich hindämmert, um dann die Präsentation der Ergebnisse an sich zu reißen und damit zu glänzen.

Keiner will Aufschneider sein

Es ist wichtig für das eigene Wohlbefinden und auch für die Karriere, sich nicht zu verstecken und die eigenen Leistungen ins rechte Licht zu rücken. Wer sich freiwillig in eine Opferposition begibt, hat schon verloren. Andererseits ist zu viel Offensive auch gefährlich, denn als Aufschneider dazustehen, kann sich kontraproduktiv auswirken.

Besonders kompliziert wird die Situation, wenn Sie in einem Vortrag oder einer Präsentation von Kollegen Ihre eigenen Ideen wiederfinden, ohne dass Ihre Urheberschaft kenntlich gemacht wird. Eigentlich hätten Sie gerne, dass klar wird, auf welchem Mist die guten Arbeitsergebnisse gewachsen sind, andererseits empfinden Sie es als unangemessen, dies während eines sachbezogen vorgetragenen Vortrags allzu deutlich zu zeigen. Am besten, Sie warten geduldig auf ihre Chance, bei Zwischenfragen oder einer abschließenden Diskussion noch einmal vertieft darzustellen, was SIE sich dabei gedacht haben.

2. Ihr Chef rastet aus und beschimpft sie vor dem Team

In Großraumbüros ist Privatheit nicht gewünscht. Umso schwieriger, wenn jemand Sie laut kritisiert – aus dem Bauch heraus und in Gegenwart anderer. Solange die Vorwürfe nicht persönlich werden, sollten Sie versuchen, die Contenance zu wahren und die Kritik, ob sie nun vom Vorgesetzten oder einem Kollegen kommt, nicht an sich heranzulassen. Auf keinen Fall sollten Sie wütend den Raum verlassen oder sich beleidigt in die Ecke setzen. Besser ist es, sich freundlich für das “Feedback” zu bedanken, sachliche Erklärungen zu finden und Verbesserungsvorschläge zu machen.

Besonders unangenehm wird es, wenn sich der übellaunige oder cholerische Vorgesetzte an Ihnen austobt. Wenn rationale Argumente nicht ans Ziel fühlen, kann es in diesem Fall tatsächlich die bessere Strategie sein, den Raum zu verlassen, damit sich die Atmosphäre abkühlen kann.

Zeigen Sie klare Kante!

Suchen Sie sich dafür am besten eine kurze Erklärung: ein Termin, ein Telefonat oder Ähnliches. Wichtig ist es, sich nicht klein machen zu lassen. Halten Sie Ihren Körper aufrecht und sprechen sie klar und deutlich. So zeigen Sie, dass Sie sich nichts vorzuwerfen haben.

Sind die Emotionen abgekühlt, ist es sinnvoll, ein klärendes Gespräch mit dem Vorgesetzten zu suchen. Wenn Sie einen Fehler gemacht haben, der zu dem Streit geführt hat, sollten Sie die Hintergründe und Begleitumstände erklären. Haben Sie es einfach nur mit einem schlecht gelaunten und charakterschwachen Boss zu tun, der seine sonstigen Probleme an Ihnen auslässt, zeigen Sie klare Kante. Machen Sie deutlich, dass der Ton die Musik macht und sie sich nicht alles gefallen lassen – schon gar nicht in Gegenwart Dritter. Hilft das alles nicht, nehmen Sie die nächste Stufe auf der Eskalationsleiter: Eine Beschwerde beim nächsthöheren Chef und gegebenenfalls bei der Mitarbeitervertretung ist fällig.

3. Sie wurden bei einer Lüge erwischt

“Es wird niemals so viel gelogen wie vor der Wahl, während des Krieges und nach der Jagd”, sagte Otto von Bismarck. Ganz offensichtlich hat er das Büro vergessen. Wir alle lügen, und weil es so ist und wir uns dafür schämen, wählen wir gerne verniedlichende Begriffe wie Flunkern, Schwindeln oder einen Bären aufbinden.

Was also tun, wenn wir beim Flunkern erwischt wurden? Wenn also das Projekt entgegen unserer Angaben feststeckt, das Mailing fehlerhaft ausgesandt wurde oder die Abrechnung verlorengegangen ist? Regel Nummer eins lautet: Verstricken Sie sich nicht in noch mehr Lügen – in dem hilflosen Versuch, Ihre Spuren zu verwischen. Das geht nicht gut. Sie verlieren den Überblick über ihre Lügengeschichten, und dann wird es richtig unangenehm.

Billige Ausreden – keine gute Idee

Gestehen Sie, wenn Sie ertappt wurden, entschuldigen Sie sich aufrichtig und machen Sie das Beste aus der Situation. Die Kollegen verstehen das, sie schwindeln ja auch gelegentlich. Billige Ausreden zu suchen, ist keine gute Idee, aber plausible Erklärungen können hilfreich sein. Vielleicht haben Sie mit Ihrer Lüge ja etwas Positives bezweckt, aber leider nicht erreicht? Zumindest helfen Sie den anderen so, Ihren Standpunkt zu verstehen.

Wenn durch Ihre Lügen jemand zu Schaden gekommen ist, müssen Sie die Verantwortung übernehmen und sich um Wiedergutmachung bemühen. Außerdem wichtig: Hören Sie auf zu lügen, sonst ist Ihre Glaubwürdigkeit bald nachhaltig beschädigt. Bewahren Sie sich Ihre kleinen Lügen lieber für den Feierabend daheim oder Ihren Stammtisch auf. Dort ist man bereit, Ihnen zu verzeihen – sofern Ihre Schummeleien unterhaltsam sind.

4. Der Kollege ist nicht “salonfähig”

Körper- und Mundgeruch können in gemeinsamen Büros zu einer echten Qual werden. Das gleiche gilt für mangelnde Hygiene oder unangemessene Kleidung. Doch wie sag ich’s dem Kollegen, ohne ihn und mich zu beschämen? Darf ich jemanden, der riecht oder schmuddelig wirkt, ansprechen? Und will ich das überhaupt? Immerhin könnte der Bürofrieden nachhaltig gestört sein.

So schwer es fällt: Wenn Ihre Toleranzschwelle überschritten ist, sollten Sie die Person freundlich und unter vier Augen ansprechen. Vielleicht weiß sie gar nicht von ihrer zweifelhaften Aura und ist dankbar für einen solchen Hinweis. Möglicherweise hat er sich schon gewundert, warum sich andere abwenden, und hat nun eine Erklärung: Die Ausdünstungen sind schuld.

Ehrliches Feedback lohnt sich

Sagen Sie Ihrem Zimmergenossen, wie schwer es Ihnen fällt, die Sprache auf ein solch heikles Thema zu bringen und dass Sie dieses vertrauliche Gespräch suchen, weil Ihnen an Ihrer guten Beziehung liegt. Vermutlich wird sich der Angesprochene erst einmal beleidigt zurückziehen, aber schon bald dürften Sie Veränderungen im Hygieneverhalten erkennen. Erwarten Sie keine Dankbarkeit, vermutlich wird das Thema nie wieder angesprochen. Ist ja auch nicht nötig, wenn das Problem beseitigt wurde und die Zusammenarbeit funktioniert.

5. Sie haben eine vertrauliche E-Mail an den falschen Adressaten gesendet

Die Fülle der jeden Tag abzuarbeitenden E-Mails zwingt uns dazu, schnell zu arbeiten. Damit steigt die Fehleranfälligkeit: Man beginnt den Adressaten einzutippen, und die Autovervollständigung sorgt dafür, dass das Feld schnell ausgefüllt wird. Dumm nur, wenn die Mail nicht an Sven Meyer, sondern an Sven Meyer-Holthaus geht – und der auch noch im Vorstand sitzt. Ebenfalls ärgerlich: Sie klicken auf “Antwort an alle” und vergessen dabei, dass der Inhalt Ihrer Mail vielleicht eben doch nicht für alle geeignet ist.

Zugegeben, unsere Ratschläge für solche Situationen sind unbefriedigend. Steht etwas Ungemessenes in der E-Mail, können Sie versuchen, diese E-Mail noch zurückzurufen. Vielleicht haben Sie auch einen guten Draht zum Vorzimmer des Chefs, und jemand dort hilft ihnen, die ungeöffnete Post still und heimlich zu beseitigen.

Im Ton immer sachlich bleiben

Sie können sich auch überlegen, den Chef zu benachrichtigen und sich zu entschuldigen. Andererseits ist bei vielen Vorgesetzten die Wahrscheinlichkeit groß, dass die Nachricht gar nicht geöffnet wurde. Da wäre es schade, die Aufmerksamkeit darauf gelenkt zu haben.

Natürlich tritt das Problem nicht nur gelegentlich in der Konversation mit Vorgesetzten, sondern auch mit anderen Menschen innerhalb und außerhalb des Unternehmens auf. Deshalb ist die einfachste und wichtigste Grundregel, im Ton stets sachlich und geschäftsmäßig zu bleiben. Das macht Sie unangreifbar. Dass sensible Anhänge mit einem Passwort zu schützen sind, ist ohnehin selbstverständlich. Und machen Sie nicht den Fehler, das Passwort zusammen mit dem Anhang in derselben Mail zu verschicken. Wir würden es nicht schreiben, wenn es nicht immer wieder vorkäme.

6. Ein Fehler in der PowerPoint

Die große Präsentation steht an, Sie wollen dem Vorstand die IT-Strategie erklären und fühlen sich bestens vorbereitet. Doch während Ihres Vortrags bemerken Sie einen peinlichen Rechtschreib- oder Logikfehler in Ihrer Präsentation. Zeigen Sie, dass Sie eine coole Socke sind! Ignorieren Sie den Fehler oder – wenn er zu offensichtlich ist – machen sie ein kleinen Scherz darüber.

Wir würden uns nicht wundern, wenn gewiefte Präsentatoren absichtlich solche kleinen Fehler in ihre Präsentationen einbauen würden. Eine schlechte Idee wäre es jedenfalls nicht. Schließlich machen uns Fehler menschlich und geben uns die Gelegenheit, einen Moment der persönlichen Nähe zum Publikum herzustellen – nach dem Motto: Ich bin auch nur ein Mensch.

7. Über andere lästern und nicht bemerken, dass diese zuhören

Sie stehen in der Kaffeeküche und ziehen mächtig über einen Kollegen her, ohne zu bemerken, dass der draußen vor der Tür steht und gebannt zuhört. Oder Sie werden nach einem schwierigen Telefonat den Hörer aufs Telefon und fluchen über ihren Gesprächspartner – der aber dummerweise noch in der Leitung ist. Möglichkeiten, sich auf diese Art zu blamieren, gibt es reichlich. Aber wie windet man aus einer solchen Situation heraus?

Tatsächlich ist es am klügsten, zu seinen Worten zu stehen und die Kritik in einem milderen und sachlicheren Ton zu wiederholen. Wenn in der Küche gesagt wurde: “Der Meyer hat wirklich die bescheuertste Marketing-Idee aller Zeiten, so erreichen wir nie unsere Ziele”, können Sie dann sagen: “Herr Meyer, entschuldigen Sie bitte den forschen Ton, aber wir müssen wirklich noch einmal über Ihren Marketing-Ansatz reden. Das Beispiel XYZ hat ja deutlich gezeigt, dass wir damit nicht vorankommen werden.”

Wie so oft ist es am besten, Kritik immer sachlich-korrekt zu üben. Selbst wenn Ihnen der Kollege nicht zuhört, müssen Sie damit rechnen, dass Dritte Ihre Worte weitertragen. Wie immer gilt also: Bleiben Sie professionell!

Java Development Kit (JDK) 28, a non-LTS (Long-Term Support) or “feature release” of standard Java due in March 2027, has started to take shape. Features listed for JDK 28 now include a preview of value objects, switching the default mode of the Shenandoah garbage collector to generational mode, and a preview of strict field initialization in the Java Virtual Machine (JVM).

As a non-LTS release, JDK 28 will be backed by six months of support by Oracle.

The three features currently targeted to JDK 28 include the following:

• Introduce value objects, which are immutable and lack object identity. Value objects are distinguished by the values of their fields, and can be represented by the JVM in ways that improve performance. A goal of the feature is to give developers a programming model for immutable data in which the == operator, and all other operations, distinguish objects by the values of their fields rather than their identities. Value objects is a preview language and VM feature.
• Switch the default mode of the Shenandoah Garbage Collector (GC) to the generational mode and deprecate the non-generational mode, with the intent to remove it in a future release. Goals include signaling the intent that future development will focus on generational mode, and reducing the maintenance cost of supporting two different modes. However, it is not a goal to remove non-generational mode at this time.
• Introduce strictly-initialized fields in the JVM. Such fields must be initialized before they are read, thus default values such as 0 or null are never observed. For strictly-initialized fields that are final, the same value is always observed. A goal is offering designers of JVM-based programming languages a model for field initialization, which has stronger integrity guarantees than the present model. This is a preview VM feature.

The predecessor to JDK 28, JDK 27, is due September 15. JDK 27 also is a non-LTS release that will be backed by six months of support by Oracle.

Given the widespread enterprise adoption of passkeys to replace passwords, a Palo Alto Networks Unit 42 report disclosing ways attackers are getting around passkey protections is concerning, analysts say, but they stress that the demonstrated attacks can only happen after a successful intrusion.

They also pointed out that the issues are not strictly caused by holes in passkeys so much as by weaknesses in the procedures surrounding them. 

“The researchers didn’t break the underlying cryptography. They exploited the seams around it: onboarding flows, recovery mechanisms and trust signals that weren’t being validated,” said Justin Greis, CEO of consulting firm Acceligence. “That distinction matters because it tells us where the actual risk lives.”

The Palo Alto report showed attacks that, it said, “demonstrate how malware on a compromised endpoint can misuse onboarding, recovery and device trust workflows to take over passkey-protected accounts,” as well as “how an attacker can authenticate without user interaction, bypass user verification requirements and extract all synced passkey private keys.”

Palo Alto described three categories of attack, collectively dubbed Pass-ta-key: Pass-ta-key, where an attacker takes over an account protected by a Google-synced passkey using malware running on the victim’s device, without requiring privilege escalation, device unlock or user interaction; Silver Pass-ta-key, which involves an attacker tricking Google Cloud Authenticator into believing the victim has unlocked the device with biometrics, leading to full account takeover without using the victim’s device during authentication; and Golden Pass-ta-key, which allows an attacker to extract all synced passkeys in a form that lets them be shared or sold on the credential black market.

Given the complexity of most global enterprise threat surfaces, some CISOs have struggled with adapting passwordless processes to environments with legacy and virtual environments. Passcodes have been recently embraced by enterprise CISOs as the first step in implementing a passwordless strategy.

Analysts and consultants in the main agreed that the flaw Palo Alto reports is significant, despite the fact that it assumes the attacker has already penetrated an environment and successfully installed malware. Sadly, given that such penetration only requires one privileged user anywhere to accidentally click on a poisoned link or attachment, the assumption of prior penetration is likely valid.

Implementation issues are the problem

What the report reveals is less about any flaws within passcodes directly, and more about the lack of attention paid to a wide range of mechanisms surrounding them. 

Greis said CISOs now need to focus on what to do, and what to test, based on the assumption that user behavior is not always as expected. 

In several cases cited in the report, he pointed out, issues occurred “not because the standard is flawed, but because implementations haven’t caught up to it. It mirrors what we’ve seen repeatedly in security: the specification is sound, but the ecosystem implementing it is uneven.”

Consultant Brian Levine, executive director of FormerGov, agreed. 

“On any service where your organization is the relying party, require user verification and actually validate the user-verified flag in the authentication response,” he said. “The researchers found real-world services accepting logins without it, which quietly collapses a multi-factor login back into a single factor.”

Frank Dickson, group VP for security at IDC, added that he would stress to CISOs that this attack assumes a prior successful penetration. 

“This isn’t passkeys getting hacked from across the internet. It’s what [an attacker] does once they’re already inside the house. So the real headline is that ‘phishing resistant’ stops being resistant the moment the endpoint stops being clean,” he said.

“Stop treating verification as optional,” he advised. “Flip it to required, check it server side every single time, and save your hardware bound keys, the YubiKeys of the world, for the accounts that matter most. A key that never leaves a physical device is a key no attacker can ever harvest in bulk.”

Or Finkelstein, head of marketing at Secret Double Octopus, agreed that CISOs have gotten complacent about the way in which systems support passkeys.

“CISOs should probably look at how user verification is enforced, how enrollment and recovery work, have a clear and enforced policy on whether credentials are synced or device-bound, and have some ITDR system to quickly mitigate suspicious endpoints and authenticators,” he said. “In most serious enterprise environments, EDR and device management reduce the likelihood of initial attacks, but do not close every post-compromise attack path.”

Poor support processes weaken passkeys

Some have argued that the lack of sufficiently robust support processes actually weakens passkey capabilities and undermines the whole point of such systems.

J. Wolfgang Goerlich, a member of the faculty of IANS and a longtime cybersecurity consultant, pointed out that the original FIDO2 spec eliminated credential theft by binding the private key to a physical authenticator. Synced passkeys reintroduced credential portability and therefore reintroduced the form of credential theft risk cited in the Palo Alto report.

“A passwordless system is exactly as strong as the flow that re-establishes it,” he said. “Both serious techniques here start by forcing a device to re-enroll. Many security teams have never modeled, never monitored and never rehearsed a response to this.”

Goerlich’s advice to CISOs is to require device-bound authenticators, such as hardware tokens or computers, for all privileged and sensitive access. They may consider allowing wallets for lower risk access, he said, “however, much like passwords in Web browsers have long been at risk, we must now consider passkeys in the browsers an unacceptable risk.”

This article originally appeared on CSOonline.