Es würde mich nicht wundern, wenn Ihnen dieses Szenario bekannt vorkommt. Denn Situationen wie diese sind keine Ausnahme. Laut der Trovarit-Studie „ERP in der Praxis 2024/25“, für die über 1.700 DACH-Unternehmen befragt wurden, nimmt eine typische ERP-Einführung im Mittelstand zwischen zehn und dreizehn Monaten in Anspruch. Parallel werden in mehr als der Hälfte der Projekte Zeit- oder Budgetziele nicht eingehalten. Die Implementierungskosten pro Nutzer liegen demnach bei durchschnittlich 5.917 Euro, wobei Schulung, Datenmigration und Anpassung 50 bis 70 Prozent der Gesamtkosten ausmachen – nicht die Lizenz.

Für einen Konzern mit 800 Mitarbeitern, SAP-Legacy und drei Produktionsstandorten sind das keine Schreckenszahlen. Für einen Immobilienmakler mit 40 Mitarbeitern, der seine Angebote automatisiert versenden will oder einen Steuerberater, der Mandantenpost automatisch klassifizieren möchte, durchaus. Diese Mittelständler brauchen kein ERP-Projekt, sondern im Wesentlichen drei funktionierende Workflows.

Das Low-Code-Versprechen – und die KMU-Praxis

Low-Code– und KI-Automatisierungsplattformen wie n8n oder Make.com versprechen, die Lücke zwischen ERP-Großprojekt und Stillstand aufzulösen. Dabei ist anzumerken, dass beide Plattformen keinen Ersatz für ein ERP darstellen: Sie substituieren keine Stücklisten-Verwaltung, keine mehrstufige Fertigungsplanung und keine IFRS-Konsolidierung. Dafür ist weiterhin ein ERP nötig.

Aber Plattformen wie die beiden genannten stellen Verbindungen zwischen Systemen her, die keine native Schnittstelle haben. Entscheidungen automatisieren, die nach klaren Regeln getroffen werden und Workflows bauen, die bisher über E-Mail, Excel-Export und Telefonanruf abgewickelt werden – das sind für den deutschen Mittelstand oft genau die Prozesse, die täglich die meiste Zeit kosten und zugleich selten im ERP verortet sind. Vielmehr sitzen diese in Outlook-Ordnern, in freigegebenen Tabellenblättern und in den Routinen von Mitarbeitern, die „das schon immer so machen”.

Das KfW-Mittelstandspanel vom Februar 2026 (PDF) stellt fest, dass 20 Prozent der mittelständischen Unternehmen in Deutschland KI einsetzen – fünfmal mehr als noch im Jahr 2018. Bei Unternehmen mit über 50 Mitarbeitern liegt die Quote bereits bei 36 Prozent. KI ist im Mittelstand also angekommen. Die Frage ist nur, in welcher Form. Hier hilft ein Blick auf die KPMG-Studie „Digitalisierung im Rechnungswesen 2025/2026“. Demnach:

• setzen 53 Prozent der Befragten KI in der Buchhaltung ein oder befinden sich gerade in der Einführungsphase.
• berichten 37 Prozent dadurch von sofortigen Zeiteinsparungen bei transaktionalen Prozessen.

Was diese Studien allerdings nicht zeigen, ist der Implementierungsaufwand. Und genau hier liegt der große Unterschied zwischen dem KI-Einsatz per Low-Code und einem ERP-Einführungsprojekt. Das verdeutlichen die folgenden drei Anwendungsfälle für KMU im Bereich KI und Low-Code. Diese sind dazu geeignet, innerhalb von Wochen (statt Monaten oder Jahren) Ergebnisse zu liefern:

• Rechnungseingang: PDF-Rechnungen oder XRechnung-Dokumente entgegennehmen, relevante Felder per KI extrahieren und gegen ERP-Stammdaten prüfen oder vorkontierte Buchungsvorschläge generieren – was früher ein Buchhalter täglich in Stunden manuell erledigte, kann heute als Hintergrundprozess laufen. Dabei werden Fehler weiterhin von Menschen überprüft, statt automatisch in die Buchung zu laufen. Die typische Implementierungszeit hierfür liegt (in überschaubaren Setups) bei zwei bis vier Wochen.
• Angebotsmanagement: Eine Kundenanfrage geht per E-Mail ein, KI extrahiert den Leistungsumfang, prüft gegen Preislisten, generiert einen Angebotsentwurf und leitet ihn zur Freigabe an einen Sachbearbeiter weiter. Der Kunde bekommt sein Angebot schneller, die Bearbeitung kostet weniger Zeit. Dabei ist kein ERP-Modul beteiligt – und es fällt keine siebenstellige Projektsumme an.
• Mandantenpost bei Steuerberatern: Eingehende Dokumente werden nach Typ und Dringlichkeit klassifiziert und Zuständigkeiten zugewiesen. Was in Kanzleien mit hohem Postaufkommen täglich zu Engpässen führt, lässt sich so als regelbasierter Workflow abbilden – ganz ohne großes DATEV-Einführungsprojekt.

Woran Low-Code und KI scheitern – und wie Sie das verhindern

Das größte operative Risiko bei Low-Code-Projekten ist Schatten-IT, beziehungsweise -KI. So hat der Digitalverband Bitkom in einer Befragung vom Oktober 2025 herausgefunden, dass 17 Prozent der Umfrageteilnehmer davon ausgehen, dass ihre Mitarbeiter KI-Tools über private Accounts dienstlich nutzen. Bei weiteren 17 Prozent gab es diesbezüglich vereinzelte Fälle – und bei acht Prozent ist dieses Gebaren weit verbreitet. Sind in einem solchen Fall Kundendaten im Spiel, handelt es sich um einen DSGVO-Verstoß ohne Auftragsverarbeitungsvertrag als Grundlage. Insofern braucht eine Low-Code-Strategie klare Nutzungsrichtlinien – ansonsten tauscht man ein ERP-Risiko gegen ein Compliance-Risiko, was eher kein Fortschritt wäre.

Darüber hinaus können Low-Code-Plattformen bei hochspezialisierten Logikstrukturen (mehrstufige Produktionsplanung, Konzernkonsolidierung, ISO-zertifizierte Auditpfade) an strukturelle Grenzen stoßen. Und: Der Vendor Lock-in ist real – proprietäre Plattformen lassen sich schlecht migrieren. Hier haben Open-Source- und Self-Hosting-Lösungen einen strukturellen Vorteil. Allerdings ist auch das kein Garant dafür, dass Abhängigkeiten künftig ausbleiben.

Vor diesem Hintergrund empfehle ich Mittelständlern, sich an den folgenden drei Schritten zu orientieren, um ihre Low-Code-KI-Ambitionen nachhaltig zu verwirklichen.

1. Pilotprozess nach harten Kriterien wählen: Der erste Kandidat sollte vier Kriterien gleichzeitig erfüllen: hohes Volumen, klare fachliche Regeln, keinen schreibenden Zugriff auf das ERP in der ersten Ausbaustufe, und einen Verantwortlichen, der den Prozess heute schon im Detail kennt. Die Bereiche Rechnungseingang und Angebotsvorbereitungerfüllen diese Voraussetzungen fast immer. Ein Prozess, der gleichzeitig produktionskritisch und schlecht dokumentiert ist, hingegen fast nie. Wer an dieser Stelle den falschen Piloten wählt, muss damit rechnen, dass die Akzeptanz bei einem zweiten Versuch deutlich geringer ist.
2. Datenschutz vor dem ersten Workflow klären: Ein Auftragsverarbeitungsvertrag mit dem Modellanbieter ist eine Sache, die vor dem Produktivstart stehen sollte, nicht in der Nachbereitung. Diese Prüfung muss auch mit Blick auf die Low-Code-Plattform selbst erfolgen, nicht nur das Sprachmodell dahinter. Wer hier sauber arbeitet, nimmt der eingangs beschriebenen Schatten-IT-Problematik die Grundlage: Wenn die offizielle Lösung schneller einsatzbereit ist als die inoffizielle, greifen Mitarbeiter auch seltener auf private KI-Accounts zurück.
3. Skalierungsgrenze vorab definieren: Legen Sie fest, ab welchem Komplexitätsgrad ein Prozess zurück auf die ERP-Roadmap wandert, bevor Sie ihn brauchen. Diese Grenze nachträglich einzuziehen, kostet – inmitten eines gewachsenen Workflows mit zwölf Verzweigungen – mehr Zeit als die ursprüngliche ERP-Entscheidung eingespart hat. Ein einfaches Signal funktioniert in der Praxis gut: Sobald ein Workflow mehr als drei verschachtelte Bedingungen benötigt, um eine einzelne Entscheidung abzubilden, sollte die Logik überprüft – nicht erweitert – werden.

Der eigentliche Nutzwert für KMU

Sechs Monate weniger Implementierungszeit bedeutet nicht nur sechs Monate früher produktiv sein zu können. Es bedeutet:

• Ergebnisse demonstrieren zu können, bevor das ERP-Budget freigegeben ist.
• Prozesse testen zu können, bevor sie skaliert werden.
• Scheitern zu können, weil es um einen Workflow für 4.000 Euro und nicht um ein Projekt für 200.000 Euro geht.

Ihr ERP-Projekt darf ruhig auf der Roadmap bleiben. Aber für die nächsten zwölf Monate gibt es meistens einen schnelleren Weg. (fm)

Dieser Beitrag wurde im Rahmen des deutschsprachigen Experten-Netzwerks von Foundry veröffentlicht. Lust mitzumachen? Jetzt bewerben!

Selbst wenn Sie bei der Absicherung Ihres Rechenzentrums, Ihrer Cloud-Implementierungen und der physischen Sicherheit Ihres Firmengebäudes alle Register ziehen – mit Hilfe von Social Engineering finden gewiefte Cyberkriminelle meistens einen Weg, diese Maßnahmen zu umgehen.

Social Engineering – Definition

Social Engineering bezeichnet die “Kunst”, menschliche Schwächen auszunutzen, um sich Zugang zu Gebäuden, Systemen oder Daten zu verschaffen. Anstatt zu versuchen, eine Software-Schwachstelle zu finden und auszunutzen, wird ein Social Engineer beispielsweise einen Mitarbeiter anrufen und sich als IT-Support-Angestellter ausgeben, um ihn zur Herausgabe seines Passworts zu bewegen.

Der bekannte Hacker Kevin Mitnick hat den Begriff Social Engineering in den 1990er Jahren entscheidend mitgeprägt. Die Grundidee, sich menschliches Verhalten zunutze zu machen und die Techniken dahinter, gibt es allerdings schon so lange, wie es Betrüger gibt.

Social Engineering – Techniken

Social Engineering hat sich für Cyberkriminelle als besonders erfolgreich erwiesen, wenn es darum geht in Unternehmen einzudringen. Sobald ein Angreifer das Passwort eines vertrauenswürdigen Mitarbeiters erbeutet hat, kann er sich damit einloggen und sensible Daten auslesen. Mit einer Zugangskarte oder einem Code, der physischen Zugang gewährt, können Cyberkriminelle sogar noch größeren Schaden anrichten.

Im Artikel “Social Engineering: Anatomy of a Hack” beschreibt ein Penetrationtester, wie er aktuelle Ereignisse, öffentlich verfügbare Informationen aus sozialen Netzwerken und ein Hemd mit Cisco-Logo aus einem Second-Hand-Laden dazu nutzte, illegal in ein Unternehmen einzudringen. Das vier Dollar teure Gebrauchthemd half ihm, die Rezeptionisten und andere Mitarbeiter davon zu überzeugen, dass er im Auftrag von Cisco technischen Support leisten müsste. Einmal eingedrungen, war es für ihn ein Leichtes, auch anderen Teammitgliedern Zutritt zu verschaffen. Darüber hinaus gelang es dem Ethical Hacker, mehrere mit Malware verseuchte USB-Sticks in den Räumen zu platzieren und sich in das Unternehmensnetzwerk zu hacken. All das lief vor den Augen der Mitarbeiter ab.

Um einen erfolgreichen Social-Engineering-Angriff zu fahren, müssen Sie nicht unbedingt zuerst in einen Second-Hand-Laden gehen, diese Angriffe funktionieren ebenso gut per E-Mail, Telefon oder über soziale Netzwerke. Allen Angriffsarten ist dabei gemein, dass sie menschliche Eigenschaften zu ihrem Vorteil nutzen – beispielsweise Gier, Angst, Neugier oder auch das Bedürfnis, anderen zu helfen.

Cyberkriminelle nehmen sich dabei oft Wochen oder Monate Zeit, um ein Ziel auszukundschaften, bevor Sie einen persönlichen Besuch wagen, eine Nachricht senden oder einen Anruf tätigen. Zu den Vorbereitungen kann beispielsweise gehören, eine Telefonliste oder ein Organigramm des Zielunternehmens zu finden oder die Mitarbeiter über soziale Netzwerke zu recherchieren. Anschließend können Sie beispielsweise über folgende Wege aktiv werden.

• Am Telefon: Ein Social Engineer könnte anrufen und vorgeben, ein Mitarbeiter oder eine vertrauenswürdige externe Autorität zu sein (zum Beispiel ein Strafverfolgungsbeamter oder ein Wirtschaftsprüfer).

• Im Büro:“Können Sie mir die Tür aufhalten? Ich habe meinen Schlüssel/ meine Zugangskarte vergessen.” Diesen Satz haben Sie sicher auch schon einmal so vernommen. Auch wenn die fragende Person nicht verdächtig erscheinen mag – das ist eine beliebte Taktik beim Social Engineering.

• Online: Soziale Netzwerke erleichtern es, Social-Engineering-Angriffe zu fahren. Über Plattformen wie LinkedIn lassen sich schnell und einfach die meisten Mitarbeiter eines Unternehmens finden. Oft kommen noch viele andere Informationen dazu, die unter Umständen für weitere Angriffe nützlich sein können.

Beim Social Engineering werden regelmäßig auch aktuelle Ereignisse, Feiertage oder auch Popkultur-Phänomene dazu eingesetzt, Opfer in die Falle zu locken. Dabei passen die Cyberkriminellen ihre Phishing-Angriffe so an, dass sie auf bestimmte Interessen (Musik, Sport, Politik, etc.) abzielen. Das erhöht die Chance, dass die mit Malware verseuchten Anhänge angeklickt werden.

Social Engineering – Angriffsformen

• Phishing-Angriffe (zu denen auch SMS-basierte Smishing– und Voice-basierte Vishing-Attacken zählen) sind oft mit geringem Aufwand verbunden. Das Motto: “Die Masse macht’s”. Im Rahmen von Phishing-Kampagnen werden oft Tausende identischer E-Mails verschickt. Anschließend müssen die Angreifer nur noch darauf warten, dass jemand leichtgläubig genug ist, um auf den enthaltenen Anhang zu klicken.

• Spear Phishing oder auch Whaling bezeichnet Phishing-Angriffe, die ganz bewusst hochrangige Ziele ins Visier nehmen. Spear-Phishing-Angreifer verbringen im Regelfall viel Zeit damit, solche Ziele zunächst auszukundschaften. Das Ziel besteht dabei darin, einen möglichst überzeugenden, personalisierten Scam auf die Beine zu stellen.

• Baiting ist ein essenzieller Bestandteil aller Phishing-Formen – und anderen Betrügereien. Es bezeichnet die Verlockung, mit der die Ziele in Versuchung geführt werden – sei es eine SMS, die kostenlose Geschenkkarten verspricht oder eine E-Mail, die Kryptowährungen zu besonders attraktiven Preisen oder gar kostenlos in Aussicht stellt.

• Beim Pretexting handelt es sich um eine betrügerische Form von “Storytelling”. Die dabei erfundene Geschichte soll das Opfer zum Beispiel dazu bewegen, persönliche Informationen oder Zugangsdaten preiszugeben. Weiß ein Angreifer beispielsweise, bei welcher Bank sein Opfer Kunde ist, könnte er sich als Mitarbeiter des Kundendiensts ausgeben und unter einem Vorwand wie “Zahlungsverzug” versuchen, Finanzinformationen zu erhalten.

• Business Email Compromise (BEC), auch bekannt als CEO-Fraud, kombiniert mehrere der bislang genannten Techniken. Ein Angreifer erlangt entweder die Kontrolle über die E-Mail-Adresse eines Opfers oder schafft es, E-Mails zu versenden, die so aussehen, als kämen sie von dieser legitimen Adresse. Damit kontaktieren die Angreifer die Untergebenen des Angegriffenen in seinem Namen und ordnen beispielsweise dringliche Überweisungen an.

• Tailgating ist eine physische Social-Engineering-Form, bei der Angreifer den Mitarbeitern eines Unternehmens ins Firmengebäude folgen. Dazu könnten diese sich beispielsweise als Lieferant oder neuer Mitarbeiter, der den Ausweis vergessen hat, ausgeben.

Social Engineering – Beispiele

Um ein Gefühl dafür zu bekommen, auf welche Social-Engineering-Taktiken Sie besonders achten sollten, empfiehlt sich ein Blick auf erfolgreiche Angriffe der Vergangenheit. Hierbei konzentrieren wir uns auf drei spezifische Social-Engineering-Angriffe, die für Cyberkriminelle besonders einträglich ausgefallen sind:

1. Etwas Verlockendes anbieten

Jeder Trickbetrüger weiß: Am einfachsten ist es, aus der menschlichen Gier Profit zu schlagen. Das bildet die Grundlage des klassischen nigerianischen 419-Scams: Hierbei gaukeln Betrüger ihren Opfern vor, sie müssten hohe, unrechtmäßig erworbene Geldsummen aus dem eigenen Land zu einer sicheren Bank im Ausland transferieren. Dazu bräuchten sie Unterstützung: Gegen die Zahlung vermeintlicher Provisions-, Verwaltungs- oder Versicherungsgebühren könnten die Opfer einen Gutteil des oft millionenschweren Geldbetrags abbekommen, so dass betrügerische Versprechen.

Angriffe dieser Art sind seit Jahrzehnten bekannt und eigentlich eine Lachnummer, aber nichtsdestotrotz immer noch eine effektive Social-Engineering-Technik, auf die Menschen hereinfallen: Im Jahr 2007 überwies der Schatzmeister eines dünn besiedelten Bezirks im US-Bundesstaat Michigan einem solchen Betrüger 1,2 Millionen Dollar an öffentlichen Geldern – in der Hoffnung abkassieren zu können.

Ein weiterer gängiger Köder ist die Aussicht auf einen neuen, besseren Job: Im Rahmen einer äußerst peinlichen Kompromittierung traf es im Jahr 2011 das Sicherheitsunternehmen RSA auf diese Weise. Mindestens zwei Mitarbeiter öffneten eine Malware-verseuchte Datei, die an eine Phishing-E-Mail angehängt war. Der Dateiname: “2011 recruitment plan.xls”.

2. Fake it till you make it

Eine der simpelsten – und überraschenderweise auch erfolgreichsten – Social-Engineering-Techniken besteht darin, sich als ratlosen Mitarbeiter auszugeben. Bei einem seiner legendären frühen Betrugsversuche verschaffte sich Kevin Mitnick Zugang zu den Betriebssystem-Entwicklungsservern der Digital Equipment Corporation. Sein Vorgehen: Er rief bei DEC an, gab sich als leitender Entwickler aus und behauptete, er habe Probleme mit dem Login. Er wurde postwendend mit neuen Logindaten versorgt. Das spielte sich schon 1979 ab – man sollte also meinen, die Dinge hätten sich seitdem verbessert. Das ist allerdings nicht der Fall: Im Jahr 2016 erlangte ein Hacker die Kontrolle über ein E-Mail-Konto des US-Justizministeriums und nutzte es, um sich wie seinerzeit Mitnick Zugangsdaten zu verschaffen.

Zwar haben viele Organisationen Barrieren aufgebaut, die diese Art des dreisten Betrugs verhindern sollen, aber oft ist es nicht besonders schwer, sie zu umgehen. Als Hewlett-Packard (HP) im Jahr 2005 Privatdetektive damit beauftragte herauszufinden, welche Vorstandsmitglieder Informationen an die Presse durchstachen, versorgte das Unternehmen die Schnüffler mit den letzten vier Ziffern der Sozialversicherungsnummer ihrer Zielpersonen. Diese Daten akzeptierte der technische Support von HPs TK-Provider AT&T als Identitätsnachweis und händigte den Detektiven detaillierte Anrufprotokolle aus.

3. Autorität spielen

Viele Menschen sind daran gewöhnt, Autoritäten zu respektieren. Das wissen auch Cyberkriminelle. Sie spielen sich als Vorgesetzte oder Führungskräfte aus, um an ihr Ziel zu gelangen. So überwiesen im Jahr 2015 Finanzmitarbeiter von Ubiquiti Networks Firmengelder in Millionenhöhe an Social-Engineering-Betrüger, die sich als Führungskräfte des Unternehmens ausgegeben und ihre Glaubwürdigkeit mit gefälschten E-Mail-Absendern unterstrichen hatten.

Ein anderes Beispiel: Zur Jahrtausendwende gehörte es für (manche) britische Boulevard-Journalisten zum guten Ton, sich Zugang zu den Voicemail-Konten von für sie interessanten Personen zu verschaffen. So überzeugte ein Journalist den TK-Anbieter Vodafone davon, die Voicemail-PIN der Schauspielerin Sienna Miller zurückzusetzen, indem er dort anrief und sich als “Kollege John aus der Credit-Control-Abteilung” ausgab.

Ein weiteres prominentes Beispiel ist John Podesta, Hillary Clintons ehemaliger Wahlkampfleiter, der 2016 von russischen Spionen gehackt wurde. Die Cyberkriminellen hatten ihm im Vorfeld eine Phishing-E-Mail zugestellt, die als Nachricht von Google getarnt war und eine Aufforderung enthielt, sein Passwort zurückzusetzen. Statt sein Konto zu schützen, gab er damit seine Anmeldedaten preis.

Social Engineering – Zahlen & Statistiken

• Allein im Jahr 2024 konnten kriminelle Hacker durch BEC-Angriffe rund 6,3 Milliarden Dollar einstreichen. (Quelle: Verizon DBIR 2025)

• Smishing macht 39 Prozent aller mobilen Bedrohungen aus. (Quelle: SlashNext)

• Mit der Einführung von ChatGPT stieg die Zahl der Social-Engineering-Angriffe um 45 Prozent. (Quelle: SlashNext)

• Mit 17 Prozent aller Kompromittierungen ist Phishing der zweithäufigste, initiale Malware-Infektionsvektor. (Quelle: Mandiant M-Trends-Report 2024)

Social-Engineering-Angriffe abwehren

Wir haben fünf Tipps zur Abwehr von Social-Engineering-Attacken für Sie zusammengestellt:

1. Security Awareness

Security-Awareness-Schulungen sind der beste Weg, um Social Engineering zu verhindern. Nur wenn die Mitarbeiter wissen, welche Gefahr ihnen droht, können sie sich gegen solche Angriffe wappnen. Erarbeiten Sie ein umfassendes Schulungsprogramm, dass zu mehr Sicherheitsbewusstsein führt! Es sollte regelmäßig aktualisiert werden, um sowohl allgemeinen Phishing-Bedrohungen als auch neuen, gezielten Bedrohungen angemessen begegnen zu können.

Dabei sollten Sie von einer tiefgehenden Erklärung technischer Schwachstellen und Details absehen und stattdessen Beispiele nennen, die die Methoden der Angreifer in den Fokus stellen. Auch interaktive Elemente wie ein Quiz können dazu beitragen, Mitarbeiter vorzubereiten.

2. Security-Briefing für Mitarbeiter in Schlüsselpositionen

Unternehmen sollten Führungskräfte und leitende Angestellte in ihre Bemühungen einbeziehen, da sie für Cyberkriminelle die attraktivsten Social-Engineering-Ziele darstellen. Wichtig ist es auch Mitarbeiter, die die Berechtigung zu Finanztransaktionen haben, regelmäßig über die Gefahren aufzuklären.

3. Bestehende Prozesse prüfen

Für finanzielle und andere wichtige Transaktionen bietet es sich an, zusätzliche Kontrollmaßnahmen einzuziehen. Dabei gilt es im Auge zu behalten, dass einige Schutzmaßnahmen, beispielsweise eine Aufgabentrennung, sinnlos werden könnten, wenn es sich um eine Insider-Bedrohung handelt. Eine regelmäßige Risikoanalyse ist zu empfehlen.

4. Neue Richtlinien für dringende Anfragen

Sendet der Vorstandsvorsitzende eine E-Mail von seinem Gmail-Konto, sollte das bei den Mitarbeitern Alarmsignale auslösen. Um vorschnelle Reaktionen zu vermeiden, die ins Unglück führen können, sollten Mitarbeiter ein klar definiertes Notfallverfahren an die Hand bekommen und im Zweifel direkt mit dem Absender kommunizieren können.

5. Incident Management

Überprüfen, verfeinern und testen Sie regelmäßig Ihre Incident-Management-Systeme. Dazu bieten sich Übungen mit der Geschäftsleitung und den wichtigsten Mitarbeitern an, in denen Kontrollmechanismen und potenzielle Schwachstellen auf den Prüfstand kommen.

Social Engineering – Toolkits

Es gibt am Markt einige Tools und Services, die Unternehmen bei Awareness-Kampagnen und Phishing-Simulationen unterstützen:

• Das Social Engineering Toolkit von TrustedSec steht als kostenloser Download zur Verfügung und hilft bei der Automatisierung von Penetrationstests. Zu den Features gehören neben Social Engineering auch Spear Phishing, Fake Websites und USB-basierte Angriffe.

• Das Social Engineering Framework ist eine weitere gute Ressource. Laut Aussage der Macher enthält es “aktuelle wissenschaftliche, technische und psychologische Informationen” zum Thema. Das Ziel sei es, “eine Informationssammlung für Sicherheitsexperten, Penetrationstester und Enthusiasten zu schaffen”. Das Framework wird regelmäßig aktualisiert.

(fm)

Dieser Beitrag ist im Original bei unserer Schwesterpublikation CSOonline.com erschienen.

Auf einen Blick

Pro

• Hochwertiges Design mit angenehmer Haptik
• Sehr gutes Kamerasystem
• Große, leuchtstarke Displays
• Solide Akkulaufzeit und schnelles Aufladen

Kontra

• Relativ klobig
• Stiftfunktion nicht optimal umgesetzt
• Leistung nicht auf Spitzenniveau

Fazit

Motorola bleibt seinem Stil auch bei den großen Foldables treu und liefert ein überzeugendes Gesamtpaket. Das Smartphone muss den Vergleich mit der Konkurrenz nicht scheuen und punktet mit einem gelungenen Design, starken Kameras und einer guten Akkulaufzeit.

Motorola hat sich einen ungewöhnlichen Zeitpunkt für den Marktstart seines ersten Foldables im Buchformat ausgesucht. Die hohen Preise für wichtige Komponenten bremsen derzeit selbst die größten Smartphone-Hersteller aus und treiben die Verkaufspreise in die Höhe. Gleichzeitig könnte Apple mit dem erwarteten iPhone Ultra die Kategorie der Foldables schon bald neu definieren.

Dabei hätte man eigentlich erwarten können, dass Motorola in diesem Bereich eine Vorreiterrolle einnimmt. Schließlich hat das Unternehmen mit der Razr-Serie ab 2020 das moderne Klapp-Smartphone entscheidend mitgeprägt.

Ich bezweifle, dass Motorolas Vision eines Falt-Smartphones für knapp 2.000 Euro zum aktuellen Zeitpunkt noch viele Anhänger finden wird. Gemessen an den begrenzten Rahmenbedingungen, die Samsung vor sieben Jahren mit dem ersten Galaxy Fold vorgegeben hat, ist das Razr Fold jedoch ein beeindruckendes Stück Hardware.

Design & Verarbeitung

• 9,89 mm dünn (geschlossener Zustand) und 243 g leicht
• Hochwertige Materialien
• Solides Scharnier
• IP48/IP49-Zertifizierung gegen Staub und Wasser

Das Razr Fold wirkt weniger wie ein überkonstruierter Prototyp, sondern eher wie ein stimmiges Smartphone, das ich mir gut im täglichen Gebrauch vorstellen kann. Mit 160,05 × 73,6 × 9,89 Millimetern im geschlossenen Zustand (4,55 Millimeter im aufgeklappten Zustand) und einem Gewicht von 243 Gramm ist es jedoch einen ganzen Millimeter dicker und 28 Gramm schwerer als das Samsung Galaxy Z Fold 7.

Das Design erinnert an das schlanke, hochwertige Motorola Signature, wurde hier aber auf die deutlich größere Fläche eines Foldables übertragen. Die abgerundeten Kanten und die griffigen Materialien wirken dabei nicht nur edel, sondern auch alltagstauglich. Das Smartphone liegt gut in der Hand. Das Gewicht ist gleichmäßig verteilt. Das fließend gestaltete Kameramodul bietet zudem eine praktische Auflage für Ihre Finger.

Auch das Scharnier ist hervorragend abgestimmt. Es ist straff genug, macht das Öffnen aber nicht unnötig schwer. Die Rundungen des Gehäuses sorgen für mehr Halt an den Kanten, den ein flacheres Gerät wie das Galaxy Z Fold 7 so nicht bietet. Hier merkt man deutlich, dass Motorola viel Erfahrung aus den bisherigen Razr-Modellen mitgenommen hat.

Das grundlegende Problem der Bauform löst Motorola damit allerdings nicht. Die IP48/IP49-Zertifizierung bietet einen ausgezeichneten Schutz gegen Wasser, bleibt beim Thema Staub aber auf dem Niveau anderer Foldables. Eine Ausnahme bildet hier nur das Google Pixel 10 Pro Fold.

Die Position der KI-Taste gefällt mir jedoch nicht. Sie ist im Grunde nur wirklich sinnvoll nutzbar, wenn das Smartphone aufgeklappt ist. Im geschlossenen Zustand sitzt sie ungünstig über den Lautstärketasten. Sie können sie außerdem nicht frei belegen.

Auch bei der Farbauswahl hätte ich mir bei Motorola mehr Mut gewünscht. Die Pantone-Optionen Blackened Blue und Lily White wirken zwar hochwertig und klassisch, ein oder zwei zusätzliche, lebendigere Farben hätten dem Foldable aber gut gestanden.

Bildschirm & Lautsprecher

• Außen: 6,56 Zoll, FHD, pOLED, 165 Hz
• Innen: 8,09 Zoll, 2K, pOLED, 120 Hz
• Moto Pen Ultra-Stift im Lieferumfang enthalten
• Dolby Atmos-Stereolautsprecher

Das Motorola Razr Fold bietet zwei helle und flüssige Displays. Außen findet sich ein großes Cover-Display mit einer ungewöhnlich hohen Bildwiederholrate von bis zu 165 Hetz im Gaming-Betrieb. Überdies erreicht es in HDR-Szenen eine Spitzenhelligkeit von bis zu 6.000 Nits.

Das innere Display verzichtet auf diese höhere Frequenz und bleibt bei 120 Hertz. Dafür punktet es mit seiner Größe, einer nur dezenten, wenn auch sichtbaren Falte und einer extrem hohen Spitzenhelligkeit von bis zu 6.200 Nits. Die beiden Bildschirme sind gut aufeinander abgestimmt. Zusammen liefern sie ein scharfes, flüssiges und farblich stimmiges Bild.

Beim Razr Fold stehen drei unterschiedliche Farbeinstellungen für die Displays zur Auswahl: Vivid, Radiant und Natural. Auch ohne Kolorimeter fand ich die Farbintensität und Präzision bei “Radiant” besonders gut ausbalanciert.

Bei der Position der internen Selfie-Kamera hat sich Motorola eher von Google als von Samsung inspirieren lassen. Die Linse sitzt in der oberen rechten Ecke des Bildschirms. Dadurch stört sie beim Surfen im Vollbildmodus nicht zu sehr.

Nachdem Samsung die Unterstützung für den S Pen beim Galaxy Z Fold 7 aufgegeben hat, ist Motorolas Integration des Moto Pen Ultra besonders lobenswert. Er ist im Lieferumfang enthalten und unterstützt Sie beim Notieren und Skizzieren auf beiden Displays.

Der Moto Pen Ultra ist jedoch nicht wie bei Samsungs Galaxy S26 Ultra nahtlos ins Smartphone-Gehäuse integriert. Stattdessen wird er mit einem sperrigen (wenn auch gut verarbeiteten) Ladeetui in Zigarrengröße geliefert.

Für einen runden Klang sorgen zwei Dolby-Atmos-fähige Stereolautsprecher. Die Qualität ist gut, wenn auch bei höheren Lautstärken etwas zu höhenbetont und schrill. Die Lautsprecher sind solide, können es jedoch nicht mit Apples iPhone 17 Pro aufnehmen.

Ausstattung & Rechenleistung

• Älterer Qualcomm Snapdragon 8 Gen 5-Chip
• 16 GB LPDDR5X-RAM
• Nur eine Speicheroption mit 512 GB

Motorola verbaut im Razr Fold genau dieselben Komponenten wie im Flaggschiff-Modell “Signature“. Auch hier werkeln der Qualcomm Snapdragon 8 Gen 5-Chip mit 16 Gigabyte RAM und es gibt nur eine Speicheroption mit 512 Gigabyte.

Der Snapdragon 8 Gen 5 ist mittlerweile ein etwas älterer Chip, der bereits um die Jahreswende abgelöst wurde. Bei einem Smartphone für 1.399 Euro wie dem Motorola Signature ist das vielleicht nur eine interessante Beobachtung. Beim Fold jedoch, das mit knapp 2.000 Euro zu Buche schlägt, ist das ein Kritikpunkt. Insbesondere dann, wenn das Galaxy Z Fold 7 mit einem neueren Prozessor zu einem ähnlichen Preis angeboten wird.

Im Alltag wirkt das Razr Fold jedoch nicht weniger leistungsfähig als seine faltbaren Konkurrenten. In Benchmark-Tests übertrifft es das Google Pixel 10 Pro Fold sogar. Auch wenn Sie die 165-Hertz-Funktion nicht of nutzen, macht sich beim Spielen von “Destiny Rising” die flüssige Darstellung sehr positiv bemerkbar. Auch die Bedienung ist stets flüssig, mit sanften Animationen, nahtlosen Übergängen und verzögerungsfreiem Multitasking.

Motorola Razr Fold Benchmarks

Kameras

• 50 MP, f/1,6 Hauptkamera auf der Rückseite
• 50 MP, f/2,0 Ultraweitwinkel mit 120-Grad-Sichtfeld
• 50 MP, f/2,4, 3-fach-Teleobjektiv
• 20-MP- und 32-MP-Selfie-Kameras

Im Razr Fold kommt das bekannte Motorola-Dreifach-Kamerasystem mit drei 50-Megapixel-Sensoren zum Einsatz. Das zahlt sich hier besonders aus, denn faltbare Smartphones haben oft eine schlechtere Kamera-Ausstattung als ihre nicht faltbaren Pendants. Das Razr Fold macht in nahezu allen Situationen sehr gute Fotos.

Der relativ große 1/1,28-Zoll-Hauptsensor in Kombination mit der großen Offenblende von f/1,6 sorgt dafür, dass Aufnahmen bei Tageslicht scharf und hell ausfallen. Auch die Bildverarbeitung von Motorola scheint sich deutlich verbessert zu haben. Die Bilder wirken lebendiger und bieten mehr Kontrast. Davon profitieren unter anderem Porträts, bei denen ein natürliches Bokeh für Tiefe sorgt.

Nachtaufnahmen gelingen ebenfalls sehr detailliert. Sie sind jedoch nicht ganz auf dem Niveau der aktuell besten Kamera-Smartphones Google Pixel 10 Pro und Xiaomi 17 Ultra.

Die 50-Megapixel-Ultraweitwinkelkamera liefert gute Ergebnisse bei Landschaftsaufnahmen und erzeugt detailreiche Bilder ohne übermäßige Randverzerrung und mit einem gleichmäßigen Farbtonaufbau. Diese Kamera eignet sich auch für Makroaufnahmen, weil sie eine sehr geringe Naheinstellgrenze bietet.

Die 50-Megapixel-Tele-Kamera ermöglicht Aufnahmen mit nativem Dreifach-Zoom. Sie sollten jedoch nicht zu weit über den Sechsfach-Zoom (maximal Zehnfach-Zoom) hinausgehen, weil die Detailgenauigkeit hier stark abnimmt. Insbesondere der 50-fache und der 100-fache Zoom sind nahezu unbrauchbar.

Ein weiterer Kritikpunkt: Nach einer etwa einstündigen Foto- und Videosession mit 4K-Aufnahmen wurde das Razr Fold in meinem Test unangenehm heiß.

Es gibt zwei mittelmäßige Frontkameras, eine 20-Megapixel-Kamera auf der Vorderseite und eine 32-Megapixel-Kamera auf der Innenseite, die passable Selfies liefern. Nutzen Sie jedoch lieber die Sucherfunktion des externen Displays und machen Sie Ihre Selbstporträts mit der Hauptkamera. Hier erzielen Sie deutlich bessere Ergebnisse.

Akkulaufzeit & Aufladen

• 6.000-mAh-Silizium-Kohlenstoff-Akku
• 80 W kabelgebundenes Laden
• 50 W kabelloses Laden

Mit dem großzügigen 6.000-Milliamperestunden-Akku nimmt Motorola eine weitere Schwäche von Falt-Smartphones ins Visier. Er ist sogar größer als der Stromspeicher im Motorola Signature, ganz zu schweigen vom Samsung Galaxy Z Fold 7 (4.400 Milliamperestunden) und dem Google Pixel 10 Pro Fold (5.050 Milliampersetunden).

Interessanterweise liegt er im PCMark 3.0 Work-Batterietest, der auf dem großen internen Display durchgeführt wurde und eine gemischte Produktivitätslast simuliert, weiterhin deutlich hinter Googles Foldable. Mit knapp elf Stunden übertrifft er jedoch klar Samsungs aktuelles Foldable-Topmodell. Mit einer Akkuladung sollten Sie also problemlos über den Tag kommen.

Wenn der Akku doch einmal leer ist, können Sie ihn mit beeindruckenden 80 Watt per Kabel wieder aufladen. Im Lieferumfang ist leider kein Netzteil enthalten. Mit einem 120-Watt-Ladegerät von Vivo gelang es mir dennoch, die charakteristische TurboPower-Anzeige zu aktivieren.

Das Smartphone erreichte nach 15 Minuten Ladezeit bei leerem Akku 31 Prozent. Nach 30 Minuten waren es bereits 54 Prozent. Eine vollständige Aufladung dauerte etwas mehr als eine Stunde. Kabellos laden kann das Razr Fold mit 50 Watt.

Benutzeroberfläche & Apps

• Android 16
• 7 Jahre Software-Updates
• Zu viel Bloatware
• Verwirrende KI-Funktionen

In den vergangenen Jahren hat sich Motorola zunehmend von seinem einst guten Ruf für eine schlanke Benutzeroberfläche distanziert und stattdessen mehr eigene Anpassungen sowie zusätzliche Drittanbieter-Apps integriert. Dennoch bietet Android 16 auf dem Razr Fold nach wie vor eine relativ übersichtliche Benutzeroberfläche.

Mir gefällt die Moto-App von Motorola, die als praktische Einführung in die Funktionen des Smartphones dient. Dazu gehören auch die Gesten von Motorola, die praktische Abkürzungen bieten, wenn Sie das Smartphone beispielsweise zweimal schütteln. Auf die vorinstallierten Apps von Amazon Music, LinkedIn, Opera, Facebook und Instagram könnte ich aber verzichten.

Motorola gehört zu den Herstellern, die KI-Funktionen eher breit einstreuen, statt einen klar fokussierten Ansatz zu verfolgen. Googles Gemini nimmt einen Ehrenplatz auf dem ersten Startbildschirm ein, unweit von Motorolas eigener Moto-AI-App.

Letztere ist eine ansprechend gestaltete Sammlung grundlegender Tools. Hier finden sich Werkzeuge zur Erstellung von KI-Kunstwerken, zur Transkription von Notizen oder zum Speichern von Screenshot-Erinnerungen.

Diese Funktionen hätten meiner Meinung nach schon ausgereicht. Motorola hat jedoch noch die Drittanbieter-Assistenten “Perplexity” und “Copilot” vorinstalliert. Da verliert man schnell die Übersicht.

Motorola verspricht sieben Jahre Android-Updates und bringt das Razr Fold damit in Hinblick auf Software-Support auf Augenhöhe mit dem Samsung Galaxy Z Fold 7 und dem Google Pixel 10 Pro Fold.

Preis & Verfügbarkeit

Das Motorola Razr Fold ist bei Amazon aktuell ab 1.789 Euro erhältlich. Damit ist es fast 300 Euro teurer als das Google PIxel 10 Pro Fold für 1.444 Euro. Das Samsung Galaxy Z Fold 7 kostet mit der gleichen Speicher-Ausstattung 1.744 Euro.

Fazit

Das Motorola Razr Fold ist ein sehr elegantes, überraschend stimmiges, faltbares Smartphone mit zwei hervorragenden Displays, leistungsstarken Kameras und einer guten Akkulaufzeit. Es ist vielleicht nicht so schlank und leicht wie das Samsung Galaxy Z Fold 7, doch sein durchdachtes Design macht die Alltagsnutzung überraschend unkompliziert.

Schwächen finden sich bei der nicht mehr topaktuellen Prozessor-Ausstattung und beim relativ hohen Preis. Dennoch ist das Razr unter anderem dank seiner tollen Kamera-Ausstattung und der umfassenden Softwareunterstützung ein starker Konkurrent für Google und Samsung.

Technische Daten

• Android 16
• Außen: 6,56 Zoll, FHD, pOLED, 165 Hz, 2,5D-Display
• Innen: 8,09 Zoll, 2K, pOLED, 120 Hz, flaches Display
• Seitlich angebrachter Fingerabdrucksensor
• Qualcomm Snapdragon 8 Gen 5
• 16 GB LPDDR5X-RAM
• 512 GB Speicher
• 50 MP, f/1,6 Hauptkamera
• 50-MP-Ultraweitwinkel-Makro-Kamera mit f/2,0
• 50-MP-Tele-Makro-Kamera mit f/2,4
• Videoaufnahmen mit bis zu 8K bei 30 fps (Rückseite)
• 20-MP- und 32-MP-Frontkameras
• Dolby Atmos-Stereolautsprecher
• eSIM und physische SIM-Karte
• WLAN 802.11 a/b/g/n/ac/6e/7
• Bluetooth 6
• 6.000-mAh-Akku
• 80W kabelgebundenes Laden
• 50 W kabelloses Laden
• 160,05 × 73,6 × 9,89 mm (zusammengeklappt)
• 243 g
• Verfügbare Farben: Lily White, Blackened Blue

(PC-Welt)

Humanoide Roboter verknüpft mit KI stehen derzeit im Fokus einer weiteren Automatisierung. Während Großunternehmen wie Mercedes-Benz mit dem Apollo oder BMW mit Figure und Aeon sowie Siemens mit dem HMND 01 Alpha diese neue Roboter-Spezies in ihren eigenen Werken in Pilotprojekten testen, fehlt KMUs oft diese Möglichkeit.

Hier setzt das Fraunhofer-Institut für Optronik, Systemtechnik und Bildauswertung (IOSB) mit der Idee des Humanoid Robots Experience Lab an. An den Standorten Karlsruhe, Lemgo und Ilmenau sollen Anwender die Möglichkeit erhalten, an konkreten Anwendungsszenarien zu bewerten, wo und unter welchen Bedingungen der Einsatz der Humanoiden tatsächlich ein Mehrwert bietet.

Mehr als nur zweibeinige Maschinen

Dabei geht es Jürgen Beyerer, Institutsleiter des Fraunhofer IOSB, um weit mehr als nur die äußere Form: „Im Kern steht die Frage, wie Künstliche Intelligenz künftig in unserer realen Welt handeln kann: in Umgebungen, die nicht perfekt vorbereitet sind, und im Zusammenspiel mit Menschen, die die Verantwortung behalten sollen.“ Letztlich dreht es sich also um das Gehirn hinter der Maschine – um verlässliche Autonomie und ein tiefes Verständnis der Umwelt.

Use Cases: Von der Fabrik bis zum Feld

Dazu ist das Lab nicht als isolierte Forschungsstätte konzipert, sondern als standortübergreifende Plattform. So haben Karlsruhe, Lemgo und Ilmenau jeweils andere spezialisierte Schwerpunkte:

• Karlsruhe – Die Retter und Beschützer:

Hier liegt der Fokus auf unstrukturierten und gefährlichen Umgebungen. Ob Verteidigung, zivile Sicherheit oder Katastrophenschutz – in Karlsruhe wird erprobt, wie Roboter-Teams bei der Aufklärung oder Inspektion unterstützen können.

• Lemgo – Die Industrie-Pioniere:

In einer produktionsnahen Umgebung wird untersucht, wie humanoide Roboter ihre Mobilität und Greiffähigkeiten in der industriellen Automation ausspielen können. Das Ziel: Der „Human-in-the-Loop“, bei dem Menschen und Maschinen Hand in Hand arbeiten.

• Ilmenau – Die Alltags-Helfer:

Hier stehen die Landwirtschaft, kommunale Dienste und kritische Infrastrukturen im Mittelpunkt. Die Forscher arbeiten an der Vernetzung der Roboter mit Leitstellen und nutzen Simulationen, um den Sprung in die reale Anwendung zu meistern.

Das Besondere am Humanoid Robots Experience Lab ist sein offener Charakter. Es richtet sich explizit an Anwender aus dem Mittelstand, dem Handwerk, von Blaulichtorganisationen und Kommunen. Unternehmen können hier nicht nur die Technologie erleben, sondern gemeinsam mit Experten prüfen, ob ein Einsatzszenario realisierbar ist und wie hoch der Integrationsaufwand wäre.

Einladung zum Mitgestalten

Wer die humanoiden Helfer der Zukunft live erleben möchte, sollte sich den 23. September 2026 im Kalender markieren – dann macht das Opening Event in Lemgo den Auftakt. Interessierte Organisationen können bereits jetzt Kontakt aufnehmen, um ihre eigenen Fragestellungen und Pilotideen einzubringen. Kontakte und weitere Infos sind hier zu finden: www.iosb.fraunhofer.de/hrel.

Vorweg eine Definition: Wenn von “Ways of Working” die Rede ist, sind klar definierte Prinzipien gemeint, die von Einzelpersonen und Teams im Arbeitsalltag beachtet werden, wenn es darum geht, Aufgaben umzusetzen und Ziele zu erreichen. Gleichzeitig stellen sie Verhaltensstandards und -prinzipien dar, die den Rahmen für Zusammenarbeit, Entscheidungsfindung und Führung im Unternehmen bilden.  

Doch wie können “Ways of Working” in der Praxis gestaltet, operationalisiert und erfolgreich verankert werden? Eine Beobachtung, die ich immer wieder mache: Wenn über das Wie im Unternehmenskontext gesprochen wird, geht es oftmals um spezielle Methoden, Prozesse oder Praktiken, die im Arbeitsalltag durch die Belegschaft, Teams oder Einzelpersonen umgesetzt werden (müssen), um eine Aufgabe zu erledigen oder Ziele zu erreichen. Dass dies auf Dauer nicht reicht, sollte auf der Hand liegen: Es nimmt Mitarbeitenden den Freiraum, selbstständig zu agieren und Lösungen zu finden. Darüber hinaus hemmt es ihre Kreativität, Innovationskraft und Lösungskompetenz. Diese Aspekte sollten also nie die Basis für die unternehmensweiten “Ways of Working” sein. Stattdessen sollte es bei der Ausarbeitung des Wie um kulturelle Erwartungen, Werte und die generelle Zusammenarbeit sowie Arbeitsweise von Mitarbeitenden im gesamten Unternehmen gehen. Davon profitieren Unternehmen und Mitarbeitende gleichermaßen. 

Arbeitgeber können Orientierung geben und schaffen so gleichzeitig ein gemeinsames Verständnis sowie Klarheit – ohne die Mitarbeitenden einzuschränken und zu demotivieren. Außerdem können sie die Mitarbeiterbindung und -zugehörigkeit fördern, wenn die in den Ways of Working definierten Prinzipien und Werte aktiv gelebt werden. Mitarbeitenden hingegen geben sie Klarheit hinsichtlich der Erwartungshaltung, schaffen Raum für Eigenständigkeit und ermöglichen berufliche sowie persönliche Weiterentwicklung. 

 

“Ways of Working” definieren und gestalten

Damit dieser Mehrwert nicht abstrakt bleibt, braucht es einen klaren Prozess zur Entwicklung der “Ways of Working”. Ein geeigneter Startpunkt, um diese zu definieren, kann folgender sein: Unternehmen können per Datenanalyse herausfinden, welche individuellen Verhaltensweisen von Top-Führungskräften explizit positive geschäftliche Auswirkungen haben – und daraus entsprechende Wie-Standards ableiten. Konkret sieht das so aus: Auf Basis einer internen Analyse zu Top-Leader-Verhaltensweisen, lässt sich ein neues Ways-of-Working-Modell entwickeln, das auf den folgenden vier Säulen basiert: 

1. We act candidly: Wir kommunizieren offen und transparent. Denn wir wissen, dass Wachstum von Menschen und Unternehmen nur durch offene Kommunikation von Erwartungen und Entscheidungen möglich ist. 
2. We win together: Wir arbeiten abteilungsübergreifend zusammen, um das große Ganze zu sehen, voneinander zu lernen und uns gegenseitig zu unterstützen. Wir sind stets bestrebt, Lösungen anzubieten und Ergebnisse zu erzielen, auch bei persönlichen Meinungsverschiedenheiten. 
3. We take ownership: Wir reden nicht nur darüber, sondern krempeln die Ärmel hoch, um Dinge in die Tat umsetzen – mit Mut und Zuversicht Verantwortung für das Gesamtergebnis zu übernehmen. So gelingt es unserer Überzeugung nach, Ergebnisse zu erzielen und außergewöhnliche Produkte zu schaffen. 
4. We create impact: Wir konzentrieren uns auf die Bedürfnisse unserer Kunden und des Unternehmens, indem wir ständig nach Spitzenleistungen streben und hohe Standards einhalten, evidenzbasierten Entscheidungen den Vorzug geben und eine Wachstumsmentalität verfolgen. Veränderungen betrachten wir als Katalysatoren für sinnvolle Innovationen. 

Diese definierten “Ways of Working” dienen im Arbeitsalltag als kultureller sowie struktureller Rahmen, der festlegt, wie Mitarbeiter innerhalb des Unternehmens im Team zusammenarbeiten, Aufgaben umsetzen und Ziele erreichen wollen. 

Ways-of-Working-Modell praktisch umsetzen

Aber selbst das beste Modell entfaltet nur dann seine Wirkung, wenn es von der Theorie in die Praxis übersetzt werden kann und im Alltag durch die Mitarbeitenden lebendig wird. Der entscheidende Hebel dafür ist eine bewusste Feedback- und Lernkultur, die durch ein gut durchdachtes Change-Management gestützt wird. Nur so kann das gewünschte Verhalten im Wie sichtbar, verstärkt und langfristig im Unternehmen verankert werden. Erfolgskritisch sind in diesem Zusammenhang drei Faktoren. 

1. Bewusste Kommunikations- und Implementierungsstrategie  

Ein gezielter interner Kommunikations- und Stakeholder-Plan hilft, den Sinn und Nutzen von “Ways of Working” für alle greifbar zu machen – und sie so in der Organisations-DNA fest zu etablieren. Entscheidend ist die Vorgehensweise: “Ways of Working” sollten nicht vorschnell als Poster an die Wände gehängt oder in groß angelegten Kampagnen von null auf hundert verkündet werden, solange sie noch nicht im Alltag erlebbar sind.

Denn Akzeptanz entsteht nur, wenn Mitarbeitende die “Wie”-Prinzipien bereits in der täglichen Arbeit spüren. Deshalb empfiehlt sich eine schrittweise Einführung über bestehende Prozesse und Arbeitsweisen – etwa im Onboarding, in Meetings oder Performance-Gesprächen. Erst wenn diese Grundlagen etabliert sind, sollte die breite Kommunikation folgen. So wirken die Prinzipien authentisch und praxisnah und werden nicht als reine Symbolpolitik wahrgenommen. 

 2. Senior Role Modeling  

Führungskräfte dienen als Vorbilder und Multiplikatoren für eine gelebte und erfolgreiche Verankerung der “Ways of Working”. Ihr Verständnis und ihre Haltung gegenüber dessen bestimmt, wie ernst das “Wie” in der Organisation genommen wird. Es ist daher wichtig, dass Führungskräfte sie im Alltag sichtbar vorleben – in Meetings, Entscheidungsprozessen und im Umgang mit Mitarbeitenden.

Hilfreich ist es, dafür klare Erwartungshaltungen zu formulieren und diese regelmäßig in Führungsrunden zu reflektieren. Sinnvoll sind auch Peer-Feedback-Formate auf Managerebene, in denen Führungskräfte sich gegenseitig Rückmeldung geben, ob und wie sie die Prinzipien tatsächlich verkörpern. So entsteht Verbindlichkeit – und das “Wie” wird nicht als abstraktes Konzept, sondern als gelebte Praxis erfahrbar. 

3. Operationalisierung im Führungsalltag  

Die “Ways of Working” müssen im Arbeitsalltag greif- und messbar sein. Führungskräfte müssen daher lernen, anhand der “Wie”-Kriterien gutes von exzellentem Verhalten zu unterscheiden – und das auch konkret zu benennen und Feedback dazu zu geben. Effektive Lernmethoden dafür sind unter anderem In-Person-Trainings, How-to-Guides oder Apps mit Praxisübungen und Fallstudien. 

“Ways of Working” sind strategischer Erfolgsfaktor – für Startups ebenso wie für den Mittelstand oder internationale Konzerne. Sie bilden die Brücke zwischen Kultur und Geschäftserfolg, geben Orientierung im Arbeitsalltag, schaffen Klarheit über Erwartungen und ermöglichen eine Zusammenarbeit, die nicht vom Zufall abhängt, sondern systematisch gefördert wird. (pg/fm)

Sie wollen weitere interessante Beiträge zu diversen Themen aus der IT-Welt lesen? Unsere kostenlosen Newsletter liefern Ihnen alles, was IT-Profis wissen sollten – direkt in Ihre Inbox!

Wenn es um den Einsatz von KI geht, befinden sich IT-Führungskräfte oft in einer schwierigen Zwickmühle: Sie versuchen, widersprüchliche Vorgaben des Managements mit sich ständig verändernden KI-Modellen, Funktionen und Kosten, Anforderungen an die Datenverwaltung und -sicherheit sowie den Grenzen ihres eigenen Teams in Einklang zu bringen. Gartner-Analyst Nader Henein schreibt das in Teilen auch den Anbietern zu: „Es lassen sich nur sehr wenige echte Vorteile erzielen, wenn man einfach ein KI-Produkt kauft und es den Mitarbeitern zur Verfügung stellt. Die KI-Anbieter haben diesen Irrglauben in den letzten drei Jahren allerdings übermäßig angepriesen und gefördert.“

In der Realität, so der Analyst weiter, seien ein hoher KI-Nutzwert und ein konsistenter ROI fast immer das Ergebnis einer tiefgreifenden und gezielten Integration von KI-Fähigkeiten in bestehende Workflows. Dafür benötige man spezialisierte Teams, weiß Henein: „Diese sind alles andere als günstig und werden von Unternehmen auf vielfältige Art und Weise rekrutiert.“

Zu diesen Support-Optionen für KI-Implementierungen gehören:

• traditionelle IT-Beratungsunternehmen,
• KI-spezifische Beratungsunternehmen,
• unabhängige Auftragnehmer,
• eine „Acquihiring“-Strategie, oder auch
• Open-Source-Lösungen.

Die Option, die in letzter Zeit die größte Aufmerksamkeit gezogen hat, ist allerdings der Einsatz von Forward Deployed Engineers (FDEs). Diese Expertenteams von KI-Anbietern unterstützen die Kunden vor Ort dabei, die Technologie in ihre Umgebung zu integrieren.

Für diesen Artikel haben wir mit Experten nicht nur diskutiert, welche Vor- und Nachteile es hat, auf die FDE-Teams von KI-Anbietern zu setzen. Sondern auch das Pro und Kontra der Alternativoptionen. Eine übersichtliche Tabelle, die sämtliche Ansätze samt ihrer Vor- und Nachteile abbildet, finden Sie am Ende dieses Beitrags.

KI-FDEs – die Vor- und Nachteile

Von KI-Anbietern beschäftigte FDE-Teams verfügen über entscheidende Stärken. Dazu gehören etwa:

• ein besseres Verständnis der zugrundeliegenden Modelle,
• Erfahrung bei der Integration dieser Modelle in verschiedene Arten von Enterprise-Umgebungen, sowie
• Kenntnisse über geplante neue Funktionen, noch bevor diese offiziell angekündigt werden.

Auf der anderen Seite steht allerdings der offensichtliche Nachteil der Anbieterabhängigkeit: Selbst wenn zukünftige Rollouts nicht zu den vertraglich vereinbarten Leistungen gehören, könnten die FDE-Teams eines KI-Anbieters subtilen Einfluss auf die zukünftigen KI-Initiativen ihrer Kunden nehmen. Auch deshalb mahnt Flavio Villanustre, CISO bei LexisNexis Risk Solutions, IT-Führungskräfte zur Vorsicht: „FDEs sind – auch aufgrund finanzieller Anreize ihrer Arbeitgeber – darauf ausgerichtet, die KI-Nutzung des Kunden zu steigern und in Sachen Services ‚Stickiness‘ zu erzeugen. Auch wenn diese Teams einen sinnvollen Mehrwert bieten, ist es Anwendern zu empfehlen, stets auch unvoreingenommene Experten zu konsultieren, die konkurrierende Lösungen verschiedener Anbieter unbefangen bewerten können.“

Das sei laut Villanustre besonders wichtig in einer Zeit, in der die von Investoren subventionierten Geschäftsmodelle rund um KI-Token erste Risse zeigten: „Angesichts des derzeitigen rasanten Innovationstempos könnte es erhebliche Wettbewerbsvorteile schaffen, flexibel genug zu sein, um den Anbieter zu wechseln.“

Auch Sanchit Vir Gogia, Chefanalyst bei Greyhound Research, sieht den Einsatz eines FDE-Teams vom KI-Anbieter als zweischneidiges Schwert: „FDEs sind zwar in die Umgebung des Kunden eingebettet, vertreten aber eben auch die kommerziellen Interessen ihres Arbeitgebers. Den Experten von KI-Anbietern übermäßigen Einfluss auf Implementierungsentscheidungen einzuräumen, könnte nicht nur zu einer erhöhten Abhängigkeit, sondern auch zu hohen Preise führen, gegen die man sich dann unter Umständen nicht wirksam wehren kann.“

Neben der möglicherweise steigenden Anbieterabhängigkeit gibt es weitere Aspekte, die IT-Entscheider berücksichtigen sollten, bevor sie die Teams ihres KI-Anbieters engagieren. Zentral ist etwa die Frage, wie lange die FDE-Teams überhaupt benötigt werden. Schließlich wird es mit einer einzelnen Implementierung kaum getan sein. Die sich daraus ergebenden langfristigen Kosten sind laut John Sangyeob Kim, KI-Engineer bei Solidroad, etwas, das Unternehmen häufig übersehen: „Die Bereitstellung selbst macht vielleicht 20 Prozent der Gesamtkosten aus. Die übrigen 80 Prozent entfallen darauf, den Systembetrieb durch Modell-Upgrades aufrechtzuerhalten, sowie Datenverschiebungen und Randfälle zu händeln, die erst nach Monaten im Produktivbetrieb auftreten.“

Dazu kommen Risiken, die entstehen, wenn das FDE-Team des KI-Anbieters nicht mehr vor Ort ist. Dabei werde beispielsweise in gravierendem Maße unterschätzt, wie umfassend die Einblicke sind, die externe Spezialisten bei der KI-Implementierung gewinnen, meint etwa Justin Greis, CEO der IT-Beratung Acceligence: „Das FDE-Team erhält im Rahmen der Implementierung Insights zu einer Vielzahl operativer Details. Zwar sind die Daten, auf die dabei zugegriffen wird, durch NDAs und Geheimhaltungsklauseln geschützt – die eingesehenen Prozesse und Workflows bleiben jedoch oft außen vor.“

Dieses Problem ist laut Greis aber nicht auf FDE-Teams von KI-Anbietern beschränkt. Wer auch immer bei der Einführung von KI unterstütze, werde deutlich mehr Erkenntnisse gewinnen, als im Statement of Work festgehalten, erklärt der Manager: „Dazu zählen etwa die tatsächlichen, konkreten Arbeitsabläufe, undokumentierte Ausnahmen, Lücken in der Datenqualität, Genehmigungs-Bottlenecks oder Security-Workarounds. Dieses Wissen ist ebenso wertvoll wie sensibel.“

Eine weitere kritische Frage, die laut Greis zu selten gestellt werde: Wie viel sinnvolle Kontrolle wird die IT über das Projekt haben, wenn das FDE-Team seine Unterstützung beendet? „Die Gefahr besteht nicht darin, externe Hilfe in Anspruch zu nehmen – die werden die meisten Unternehmen benötigen. Kritisch wird es vor allem dann, wenn externe Hilfe so eingesetzt wird, dass das Unternehmen nach Beendigung des Auftrags weniger leistungsfähig und abhängiger ist“, konstatiert der CEO.

KI-Experte Kim teilt diese Bedenken und empfiehlt Anwendern insbesondere, zu klären, ob das Projekt auf dem eigenen Observability-Stack oder dem des Anbieters aufbaue: „Wenn der Implementierungspartner den eigenen Observability-Stack nutzt, ist das während des Builds in Ordnung. Aber Sie brauchen einen Plan, um diesen auf eine eigene Lösung zu migrieren, bevor der Anbieter das Projekt beendet. Anderenfalls wird die Visibility mit ihm verschwinden.“

Ein eklatantes Problem entstehe laut Kim hingegen, wenn weder der eigene Observability-Stack, noch der des Anbieters verwendet wird: „Das führt zu einem System ganz ohne Observability-Layer – also ohne Einsichtsmöglichkeit. Wenn in der Produktion etwas ausfällt, haben Sie keine Möglichkeit festzustellen, ob es sich um eine Modellregression, ein Datenproblem oder einen Codefehler handelt.“

Externer KI-Support – die Alternativen

Zwar sind FDE-Teams kein neuartiger Ansatz, dennoch steht nur eine begrenzte Zahl solcher Engineers zur Verfügung. Nicht jedes Unternehmen hat also die Möglichkeit, Spezialisten-Teams von Anbietern einzusetzen. Schwierig wird es mit der FDE-Verfügbarkeit laut Gartner-Analyst Henein insbesondere außerhalb der USA. Das muss jedoch kein Grund sein, auf externen Support in Sachen KI-Implementierung zu verzichten. Schließlich steht Anwendern dazu, wie eingangs dargelegt, eine breite Palette weiterer Optionen zur Verfügung. Diese haben jedoch – ähnlich wie der FDE-Einsatz – nicht nur Vor-, sondern auch Nachteile.

So auch die traditionelle IT-Beratung, wie Ishraq Khan, CEO beim Dev-Tool-Anbieter Kodezi, erklärt: „Klassische Beratungsunternehmen sind in der Regel stärker in den Bereichen Governance, Prozesse, Compliance und organisatorische Koordination. Sie wissen, wie große Unternehmen politisch und strukturell funktionieren. Der Nachteil ist, dass viele langsamer vorankommen und oft keine tiefgreifende Spezialisierung vorweisen können, wenn es um Frontier-KI geht.“

Spezialisierte KI-Beratungsunternehmen wiesen hingegen andere Stärken vor, wie Khan festhält: „KI-native Berater agieren deutlich schneller und sind oft technisch auf dem neuesten Stand. Operativ sind viele dieser Unternehmen aber noch nicht ausgereift. Das schlägt sich dann beispielsweise in beeindruckenden Demos nieder, wobei die langfristige Wartbarkeit, Governance oder Zuverlässigkeit in der Produktion nicht vollständig verstanden wird.“

Acceligence-CEO Greis sieht zudem die Einbindung unabhängiger Auftragnehmer als mögliche Option für externe KI-Unterstützung: „Das kann dem Evaluierungsdesign, Architekturprüfungen, Red-Teaming, Agentendesign zuträglich sein – oder festgefahrene Teams wieder in Gang bringen. Es birgt aber auch das Risiko, sich von einer Schlüsselperson abhängig zu machen – die parallel möglicherweise die Einzige ist, die das System wirklich versteht.“

Für Großunternehmen bietet sich zudem mit dem sogenannten „Acquihiring“ eine weitere Option. Dabei werden (KI-) Unternehmen aufgekauft und dessen Expertise und Mitarbeiter in die eigene Organisation integriert. Unter bestimmten Voraussetzungen könne das ein Gewinn sein, meint Greis: „Nämlich dann, wenn die eingebrachten KI-Fähigkeiten und das Fachwissen für das übernehmende Unternehmen wirklich strategisch wichtig sind. Es besteht dabei jedoch die Gefahr, dass das übernommene Team von der Bürokratie der neuen Muttergesellschaft erstickt wird. Das ist dann in etwa so, als würde man ein Speedboat kaufen, es an einen Flugzeugträger hängen und sich dann wundern, dass es nicht mehr vorankommt.“

Schließlich kann auch eine Open-Source-Strategie Anwenderunternehmen in Sachen KI Flexibilität verschaffen und Abhängigkeiten reduzieren. Das geht allerdings nicht ohne erhöhten operativen Aufwand. Dieser wird ebenfalls häufig unterschätzt, wie Khan darlegt: „Open Source ist nur eine echte Option, wenn die Organisation über die internen Talente und die Disziplin verfügt, um eine ordnungsgemäße Wartung sicherzustellen.“

Externe Unterstützung bei KI-Deployments – die Optionen im Überblick

	Pro	Kontra
FDEs von KI-Anbietern	beste Expertise mit Blick auf das Haupt-KI-Modell	Vendor Lock-In betriebliche Details dringen nach außen
Klassische IT-Beratung	beste Expertise in Sachen Change Management, Legacy-Integration, Rollout, Governance sowie Neugestaltung des Betriebsmodells	möglicherweise zu langsam, zu teuer oder zu generisch
KI-Consulting-Unternehmen	mehr praktische Erfahrung als traditionelle Berater mit Blick auf KI-Deployments Vendor Lock-In weniger ausgeprägt als bei FDEs	unter Umständen mangelndes Verständnis von Enterprise-Anforderungen, etwa in den Bereichen Security, Identity, Auditability, Incident Response, Kostenkontrolle und langfristige Wartbarkeit
Unabhängige Dienstleister	nützlich für Präzisions-Tasks wie Eval Design, Architektur-Reviews, Red Teaming oder Agenten-Design	Risiko der Abhängigkeit von bestimmten Schlüsselpersonen
„Acquihiring“	funktioniert, wenn die eingekauften Fähigkeiten wirklich strategisch wichtig sind	übernommene Teams fallen möglicherweise existierender Bürokratie zum Opfer
Open-Source-Lösungen	reduziert die Abhängigkeit von einzelnen Anbietern attraktiv, wenn es um Datensouveränität, die Kontrolle von Enterprise-Systemen, Kosteneffizienz und regulierte Umgebungen geht	Unternehmen tragen die volle Verantwortung für Security, Patching, Evaluierung, Deployment, Monitoring und Lifecycle Management

(fm)

Dieser Artikel ist im Original bei unserer Schwesterpublikation Computerworld.com erschienen.

Als eine Ransomware-Gruppe im vergangenen Jahr die Leittechnik eines mittelständischen europäischen Chemieproduzenten verschlüsselte, war das zunächst ein lokales Problem: Es kam zum Produktionsstillstand, eine Meldung an die Behörden erfolgte, ein Krisenstab wurde gebildet. Die eigentliche Geschichte entfaltete sich in den Wochen danach jedoch auf globaler Ebene. Pharmaunternehmen in den USA, Automobilzulieferer in Japan und Spezialchemie-Kunden auf drei Kontinenten mussten feststellen, dass das angegriffene Werk in Mitteleuropa das Zentrum ihrer Lieferketten bildete – für die es keinen Ersatz und keinen Plan B gab. Anstelle erfolgskritischer Vorprodukte klaffte nun nur noch eine Lücke.

Dieses Geschehen wirft das Schlaglicht auf einen Aspekt, der in der europäischen Sicherheitsdebatte regelmäßig untergeht: Europa ist nicht einfach nur eine Region mit einem Security-Problem. Es bildet das industrielle Rückgrat der Weltwirtschaft. Dieses läuft in vielen Fällen allerdings auf einer Infrastruktur, die nicht auf Security konzipiert, per Regulierung zur Öffnung gezwungen wurde und zunehmend im Visier staatlicher Akteure steht, die etwas von Hebelwirkung verstehen.

Das Industrial-Security-Paradox

Die Dichte an Legacy-OT ist kaum irgendwo höher als in Europa: Pharmaproduktion, Energieverteilung, Automobilfertigung und Chemieanlagen laufen auf industriellen Steuerungssystemen, SPS, SCADA-Netzen und Prozessautomatisierung. Diese Systeme wurden vor allem auf Zuverlässigkeit und Langlebigkeit ausgelegt, nicht auf Konnektivität. Und eine Steuerungskomponente, die 1998 für den Betrieb von Schaltanlagen installiert wurde, geht eben nicht in Rente, wenn ihr Hersteller übernommen wird und die Dokumentation verschwindet. Sie läuft weiter – auch weil es zu teuer, riskant und disruptiv wäre, sie abzuschalten.

Parallel zwingt die NIS2-Richtlinie, die in Deutschland seit Dezember 2025 über das novellierte BSIG in Kraft getreten ist, genau diese Organisationen, ihr Risikomanagement zu modernisieren und erweiterte Meldepflichten zu erfüllen. In der Praxis bedeutet das fast immer, bislang isolierte Systeme an Unternehmensnetze und zentrale Monitoring-Plattformen anzubinden. Die Absicht dahinter – Industrieunternehmen in einen konsistenten Sicherheitsrahmen zu integrieren – ist sinnvoll. Der ungewollte Effekt dabei ist, dass Unternehmen unter regulatorischem Druck digitalisieren und dabei neue Schnittstellen und Datenflüsse in Umgebungen entstehen, die dafür nie ausgelegt waren. Das ist längst auch professionellen Cyberkriminellen bewusst: Sie haben gelernt, genau diese Übergangsphase für sich auszunutzen.

Entsprechend haben staatlich unterstützte Cyberakteure – etwa Hackergruppen mit Verbindungen nach Russland, China, den Iran oder Nordkorea – ihre Prioritäten entsprechend verschoben. Das zeigt etwa ein Blick auf die Lagebilder der EU-Cybersicherheitsagentur ENISA. Demnach haben die Angriffe auf kritische Infrastrukturen in Europa in den vergangenen zwei Jahren deutlich zugenommen. Die Auswahl der Ziele ist dabei selten finanziell motiviert, sondern eher strategisch. Etwa, um die Energieversorgung zu stören und so geopolitische „Hebel“ zu testen, Produktionskapazitäten in den Bereichen Pharma und Verteidigung schwächen oder sich in industriellen Umgebungen für eine Eskalation vorzupositionieren. Der Krieg in der Ukraine hat diese Bedrohung nicht geschaffen. Er hat sie beschleunigt und sichtbar gemacht.

Compliance ist keine Verteidigung

Dabei ist es nicht so, dass Europas Industrie Security grundsätzlich ignorieren würde: Viele Unternehmen sind nach ISO 27001 zertifiziert, betreiben funktionierende Security Operations Center (SOC) und verfügen über dokumentierte Incident-Response-Pläne. Das Problem ist vielmehr struktureller Natur: Diese Frameworks wurden für IT-Umgebungen aufgebaut und können nicht so einfach auf die OT-Welt übertragen werden.

In meiner Beratungspraxis in den Bereichen Energie, Pharma und Fertigung begegnet mir dieselbe Lücke in stets neuer Verkleidung. Das läuft in etwa so ab: Ein Unternehmen investiert etwa in KI-gestützte Anomalieerkennung eines namhaften Anbieters. Die Dashboards sehen überzeugend aus, das SOC bekommt Alarmmeldungen. Aber auf die Frage, wer für die Reaktionsmaßnahmen verantwortlich ist, folgt lediglich Schweigen. Zwar sieht das Security-Team den Alert und die OT-Ingenieure können erklären, was der Controller tut. Leider hat aber niemand definiert, wer die Entscheidung treffen kann, ihn vom Netz zu nehmen – oder wie diese Entscheidung zustande kommt in einer samstäglichen Nacht, während die Produktion weiterläuft.

Die Bereitschaftslücke ist nicht primär technisch. Sie ist ein Governance-Problem: OT-Risiken, also Produktionsausfälle, Safety-Vorfälle oder regulatorische Folgen von Prozessstörungen, schaffen es systematisch nicht in die Unternehmens-Risikoregister. Jedenfalls nicht in einer Form, die Aufsichtsgremien bewerten und in Entscheidungen übersetzen können. Sie leben vielmehr in den Köpfen der Ingenieure und erreichen das Management erst nach einem Vorfall. NIS2 verändert also die rechtliche Exposition, aber nicht die organisatorische Realität. Seit Dezember 2025 haftet die Geschäftsleitung gemäß § 38 BSIG persönlich für Versäumnisse im Cyber-Risikomanagement – ohne Übergangsfrist. Ohne Ownership bezüglich Entscheidungen wird das zum Problem.

Die Third-Party-Zwickmühle

Wer glaubt, das sei eine Angelegenheit zwischen Unternehmen und Aufsichtsbehörde, unterschätzt die zweite Front, die die eigenen Kunden bilden. Europas Fertigung ist tief in amerikanische und asiatische Lieferketten eingebettet. Der Angriff auf die Colonial Pipeline hat etwa im Jahr 2021 gezeigt, wie ein einzelner Infrastrukturvorfall für Engpässe in der gesamten Region sorgen kann. Ein europäisches Äquivalent – eine koordinierte Störung der industriellen Produktion über mehrere Sektoren – hätte längere Zeitachsen, tiefere Lieferketteneffekte und deutlich weniger politische Sichtbarkeit.

Einige internationale Konzerne haben das verstanden und bauen ihre Third-Party-Risk-Programme im Sinne echter operativer Transparenz um. Für deutsche und europäische Zulieferer heißt das konkret: Die Fragen, die bislang nur Auditoren stellten, stellen demnächst auch die Einkaufsabteilungen und Vertragsjuristen der Kunden. In Lieferanten-Audits, die ich begleite, tauchen sie bereits auf – noch höflich formuliert, aber zunehmend mit Vertragsfolgen. Einige Beispiele:

• Haben Sie ein OT-spezifisches Sicherheitsprogramm — oder ein IT-Programm, das auf OT-Umgebungen kopiert wurde?
• Regeln Ihre Verträge Meldefristen und Haftungsteilung bei Cybervorfällen?
• Wissen Sie, an welchen Stellen Sie selbst der Single Point of Failure Ihrer Kunden sind — und wurde das je getestet?

Wer diese Fragen beantworten kann, hat aus einer Compliance-Pflicht ein Vertriebsargument gemacht. Wer nicht, verliert Aufträge an den, der es kann.

Darauf kommt es in der nächsten Dekade an

Die Kombination aus Legacy-Infrastruktur, regulierungsgetriebener Digitalisierung und staatlich gefördertem Targeting hat zur Folge, dass europäische Industriesysteme in den kommenden zehn Jahren wiederholt und ernsthaft getestet werden. Das läuft zum Teil bereits – ganz ohne Schlagzeilen zu produzieren. Erfolgreich „durchkommen“ werden dabei nicht zwingend die Organisationen mit den größten Sicherheitsbudgets. Sondern vor allem diejenigen, die ihre Governance-Hausaufgaben gemacht haben. Diese Firmen haben:

• geklärt, wem das OT-Risiko „gehört“,  
• Entscheidungswege geschaffen, die über die Grenzen zwischen IT und OT hinweg funktionieren, und  
• die eigene industrielle Exposition für die Führungsebene in einer Art und Weise lesbar gemacht, dass daraus Entscheidungen entstehen statt nur Compliance-Dokumentation.

Der Rest wird seine Sicherheitslücken so identifizieren, wie das in den meisten Fällen abläuft, wenn es um Industrial Security geht. Nämlich nicht durch einen Penetrationstest oder einen Audit, sondern durch einen Incident, der vollständig vorhersehbar war — und den irgendwo längst jemand gemeldet hatte. (fm)

Dieser Beitrag wurde im Rahmen des deutschsprachigen Experten-Netzwerks von Foundry veröffentlicht. Lust mitzumachen? Jetzt bewerben!

Die Optik pixelig, der Ablauf ruckelig, die Abstürze häufig – und an 3D hat wirklich noch niemand gedacht. Trotz aller Einschränkungen hielten sie uns nächtelang wach, die ersten DOS-Spiele. Wenn man endlich die config.sys und autoexec.bat richtig eingestellt, seine Soundblaster-Konfiguration hinbekommen und genügend Speicher – jedes Kilobyte (!) war wertvoll – freigeschaufelt hatte, konnte es losgehen.

Auf den Rechenboliden, mit denen wir heute arbeiten, laufen die DOS-Klassiker nicht mehr. Das liegt nicht nur daran, dass mit der Floppy-Disk ein elementar wichtiges Speichermedium mit sage und schreibe 1,44 Megabyte fehlt. Doch es gibt Mittel und Wege, die Nostalgiker zu neuem Leben zu erwecken. Das gemeinnützige Projekt Internet Archive in San Francisco hat es sich zur Aufgabe gemacht, die Perlen aus der Software-Steinzeit zu hüten und zu bewahren.

Hier finden Sie heute die Klassiker von damals:

• Internet Archive

• DOS Games Archive

• Abandonware DOS

• DOS Gamer

Wer die Spiele seiner Jugendzeiten zocken möchte, kann das in einem Browser-basierten Emulator tun. Tauchen Sie ein in die Welt von Larry, Loom und Lemmings. Hier ein kleiner Überblick über die Favoriten von damals:

Lemmings

Grüne Haare, blaues Kleidchen und alle ein bisschen doof – vielleicht hatte ich die Lemminge deshalb so gern. Wenn die putzigen Kerlchen ins Spielfeld purzelten, blindlings losliefen und man blitzschnell überlegen musste, wie man möglichst viele von ihnen heile zum Ausgang bugsiert, schlug der Puls jedes Mal höher. Jeder Lemming, den ich in eine Zeitbombe verwandeln musste, damit er mit seinem Dahinscheiden ein Loch in Decke oder Wand sprengte, um seinen Freunden den Weg zu bahnen, tat mir leid.

The Incredible Machine (TIM)

Da gehört das Zahnrad hin – oder doch das Förderband? Es war immer ein Triumphgefühl, wenn es endlich gelang, alle verfügbaren Teile so zu einer Maschine zusammenzusetzen, dass sie das tat, was sie tun sollte. Das Arsenal war unerschöpflich – Kanonen, Luftballons, Abflussrohre bis hin zum Küchenmixer und der Miezekatze – genauso wie der Spaß, den wir mit dem Game hatten.

Epic Pinball

Unter den zahllosen Flippern der DOS-Ära war Epic Pinball mein Favorit. Schon die ersten Tische “Android“, “Pot of Gold”, “Excalibur” oder “Deep Sea” brachten jede Menge Flipper-Spaß. Doch “Enigma” mit seinen knallig farbigen und flirrenden Hintergründen, fast ohne Tischkonturen, trieb mich regelmäßig in den Wahnsinn, wenn mich das Fingerspitzengefühl verließ, ich meine letzte Kugel zu heftig zurück ins Spiel drosch und diese wieder einmal auf der Flipper-Mine landete. Game over hieß es dann, doch für echte Zocker traf das noch lange nicht zu.

X-Wing

“Es war einmal vor langer Zeit in einer weit, weit entfernten Galaxis”: Wer in der 70er und 80er Jahren Star Wars verfallen war, für den war das 1994 herausgekommene X-Wing natürlich ein Muss. Im X-Flügler der Rebellenallianz selbst die TIE-Jäger des Imperiums ins Visier zu nehmen – das war ein Riesen-Abenteuer. Dabei war die Aufgabe durchaus komplex. Es gab unterschiedlichste Missionen, Spielpunkte mussten gesammelt werden, um Orden und Beförderungen zu ergattern. Letztere hat man besser in einer manuell angelegten Sicherungskopie gespeichert – denn sonst musste man wieder von vorne anfangen, wenn einen die Macht im Stich gelassen und der Imperiums-Pilot gut gezielt hatte. Der quäkende Computersound der Star-Wars-Musikmotive ist heute auf jeden Fall ein Lacher.

Prince of Persia

60 Minuten, dann stirbt die Prinzessin, die der böse, machtgierige Wesir Jaffar in seine Gewalt gebracht hat. Das waren die längsten 60 Minuten meines früheren Zocker-Lebens. Prince of Persia war im Grunde das erste Echtzeitspiel. Zwischendrin anzuhalten, den Spielstand abzuspeichern oder einfach mal die Hände auszuschütteln – das war nicht. Wer sich darauf einließ, musste eine Stunde Fallen überwinden und im Schwertkampf Jaffars Palastwachen ausschalten. Schließlich ging es um eine Prinzessin. War sie endlich gerettet, wurde man selbst zum Prince of Persia.

Die Siedler

1994 kamen “Die Siedler” für DOS heraus. Ein Spiel mit Suchtcharakter. Stundenlang konnte man tüfteln. Wo soll die nächste Siedlung hin? Was brauche ich an Rohstoffen? Reichen die Soldaten aus, um die eigene Burg zu verteidigen? Es war jedes Mal zum Haare raufen, wenn die Strategie bis ins letzte Detail ausgefeilt schien und dann doch die Träger ausgingen und Steine nicht mehr abtransportiert werden konnten.

Donkey Kong

Kein Zweifel, der rosa Gorilla war Kult. Donkey Kong gilt als Mutter aller Jump’n-Run-Games. Früher war dieses Spiel genau das richtige, um zwischendrin kurz abzuschalten. Auch wenn Donkey Kong höhnisch grinste und den Spieler mit Stahlträgern bewarf, irgendwie fand er doch den Weg über die Leitern, um Pauline aus den Fängen des Ungetüms zu befreien.

Security-Profis und -Entscheider mit Hang zur Filmkunst müssen auch nach Feierabend nicht auf ihr Leib-und-Magen-Thema verzichten – einer Fülle cineastischer Ergüsse sei Dank.

Das Film-Pflichtprogramm für Security-Profis

Wir haben die unserer Meinung nach besten (Achtung: Nerd-Brille erforderlich) Hacker-Filme nachfolgend für Sie zusammengestellt – in chronologischer Reihenfolge und inklusive Trailer der jeweiligen Originalfassung. Vielleicht entdecken Sie ja die ein oder andere Perle in unserer Zusammenstellung, die Sie noch nicht kennen – oder einfach viel zu lange nicht mehr gesehen haben.

War Games (1983)

Plot: Ein jugendlicher Hacker (Matthew Broderick) entdeckt durch Zufall eine Backdoor in einem Militärcomputer. Als er dort ein vermeintliches Spiel startet, droht eine nukleare Katastrophe.

Genre: Action/Drama/Sci-Fi

Bewertungen:

• IMDb 7,1/10

• Rotten Tomatoes 94 %

• Metacritic 77/100

Sneakers (1992)

Plot: Ein (physischer) Penetration Tester (Robert Redford) und sein Team (unter anderem Sidney Poitier, Ben Kingsley und Dan Aykroyd) erhalten von der NSA einen Spezialauftrag und geraten zwischen die Fronten.

Genre: Comedy/Krimi/Drama

Bewertungen:

• IMDb 7,1/10

• Rotten Tomatoes 80 %

• Metacritic 65/100

Hackers (1995)

Plot: Zwei berüchtigte Hacker (Angelina Jolie und Johnny Lee Miller) legen sich mit der Regierung an, entdecken dann jedoch die wahre Gefahr: bösartigere Hacker.

Genre: Krimi/Drama/Romantik

Bewertungen:

• IMDb 6,2/10

• Rotten Tomatoes 33 %

• Metacritic 46/100

The Net (1995)

Plot: Nachdem einer Softwareentwicklerin (Sandra Bullock) eine ominöse Diskette zugespielt wird, ist nichts wie es vorher war: Ihre Identität wird gestohlen, Menschen in ihrem Umfeld sterben unter mysteriösen Umständen.

Genre: Action/Thriller/Krimi

Bewertungen:

• IMDb 6,0/10

• Rotten Tomatoes 43 %

• Metacritic 51/100

23 (1998)

Plot: Der 19-jährige Hacker Karl Koch (August Diehl) ist davon überzeugt, im vom Kalten Krieg geprägten Deutschland der 1980er Jahre einer weltweiten Verschwörung auf der Spur zu sein. Als er vom russischen Geheimdienst rekrutiert wird, gerät sein Leben aus den Fugen.

Genre: Biografie/Thriller/Drama

Bewertungen:

• IMDb 7,2/10

• Rotten Tomatoes —

• Metacritic —

The Matrix (1999)

Plot: Der junge Hacker Neo (Keanu Reeves) erhält über seinen Computer mysteriöse Botschaften. Wenig später kämpft er mit den verbündeten Hackern Trinity (Carrie-Anne Moss) und Morpheus (Larence Fishburne) um das Überleben der Menschheit.

Genre: Action/Sci-Fi

Bewertungen:

• IMDb 8,7/10

• Rotten Tomatoes 83 %

• Metacritic 73/100

Takedown (2000)

Plot: Der Hacker Kevin Mitnick (Skeet Ulrich) verschätzt sich bei einem Angriffsversuch und gerät ins Visier des FBI.

Genre: Biografie/Drama

Bewertungen:

• IMDb 6,2/10

• Rotten Tomatoes —

• Metacritic —

Pulse (2001)

Plot: Eine Gruppe junger Leute entdeckt Hinweise darauf, dass Geistwesen versuchen, über das Internet in die reale Welt zu gelangen. Im Jahr 2006 entstand ein gleichnamiges US-amerikanisches Remake des japanischen Originals.

Genre: Horror/Sci-Fi

Bewertungen:

• IMDb 6,5/10

• Rotten Tomatoes 76%

• Metacritic 68/100

Swordfish (2001)

Plot: Ein Hacker (Hugh Jackman) wird von einem Gangster (John Travolta) engagiert, um einen Computerwurm für einen Bankraub zu erschaffen. Bald merkt er jedoch, dass die Dinge anders sind, als sie scheinen.

Genre: Action/Thriller

Bewertungen:

• IMDb 6,5/10

• Rotten Tomatoes 26%

• Metacritic 32/100

Firewall (2006)

Plot: Ein IT-Chef (Harrison Ford) gerät ins Visier von Erpressern, die seine Familie bedrohen. Ein Kampf auf Leben und Tod entbrennt – der mit viel technologischem Knowhow geführt wird.

Genre: Action/Thriller

Bewertungen:

• IMDb 5,8/10

• Rotten Tomatoes 19%

• Metacritic 45/100

Live Free or Die Hard (2007)

Plot: Cybercrime-Terroristen bringen die Ostküste der USA unter ihre Kontrolle. Zeit für Cop-Ikone John McClane (Bruce Willis) wieder einmal den Tag zu retten. Dazu braucht er die Unterstützung eines technisch talentierten aber ansonsten eher tollpatschigen Hackers (Justin Long).

Genre: Action/Thriller

Bewertungen:

• IMDb 7,1/10

• Rotten Tomatoes 82%

• Metacritic 69/100

Untraceable (2008)

Plot: Eine FBI-Agentin (Diane Lane) stößt durch Zufall auf eine verstörende Webseite. Die Jagd auf den Webmaster wird zu einer mörderischen Jagd.

Genre: Krimi/Thriller

Bewertungen:

• IMDb 6,2/10

• Rotten Tomatoes 16%

• Metacritic 32/100

The Girl with the Dragon Tattoo (2009)

Plot: In Deutschland besser bekannt unter dem Titel “Verblendung”, erzählt der erste Teil von Stig Larssons Millenium-Trilogie die Geschichte der jungen Hackerin Lisbeth Salander (Noomi Rapace), die einen Kriminalkommissar (Mikael Nyqvist) bei der Aufklärung einer Mordserie unterstützt. Im Jahr 2011 entstand ein Remake des schwedischen Originals mit Beteiligung von James-Bond-Darsteller Daniel Craig.

Genre: Krimi/Drama

Bewertungen:

• IMDb 7,8/10

• Rotten Tomatoes 85%

• Metacritic 76/100

Skyfall (2012)

Plot: Geheimagent James Bond (Daniel Craig) nimmt es mit einem Cyberterroristen (Javier Bardem) auf. Dabei wird seine Loyalität zu M (Judi Dench) auf eine harte Probe gestellt.

Genre: Action/Thriller

Bewertungen:

• IMDb 7,8/10

• Rotten Tomatoes 92%

• Metacritic 81/100

The Fifth Estate (2013)

Plot: Daniel Domscheit-Berg (Daniel Brühl) und Julian Assange (Benedict Cumberbatch) tun sich zusammen, um die Whistleblower-Onlineplattform WikiLeaks aus der Taufe zu heben. Das bleibt nicht ohne Folgen.

Genre: Biografie/Drama

Bewertungen:

• IMDb 6,2/10

• Rotten Tomatoes 35%

• Metacritic 49/100

Blackhat (2015)

Plot: Als ein Hacker (Chris Hemsworth) von einem Freund um Unterstützung bei der Untersuchung einer Malware gebeten wird, kommen sie einem weltumspannenden Cybercrime-Netzwerk auf die Spur.

Genre: Action/Thriller

Bewertungen:

• IMDb 5,5/10

• Rotten Tomatoes 33%

• Metacritic 52/100

Snowden (2016)

Plot: Der ehemalige CIA- und NSA-Mitarbeiter Edward Snowden (Joseph Gordon-Levitt) entschließt sich, über die Cyber-Methoden und -Praktiken der Geheimdienste auszupacken. Das macht ihn in den USA zum Staatsfeind Nummer Eins.

Genre: Biografie/Drama

Bewertungen:

• IMDb 7,3/10

• Rotten Tomatoes 61%

• Metacritic 58/100

Ocean’s Eight (2018)

Plot: Eine erfahrene Kriminelle (Sandra Bullock) plant ihren nächsten großen Coup. Dabei erhält sie unter anderem Unterstützung durch eine Hackerin (Rihanna).

Genre: Action/Comedy

Bewertungen:

• IMDb 6,3/10

• Rotten Tomatoes 69%

• Metacritic 61/100

Silk Road (2021)

Plot: Uni-Absolvent Ross Ulbricht (Nick Robinson) baut einen illegalen Marktplatz im Darknet auf, der es zu ungeahnter Popularität bringt. Das ruft jedoch auch die Behörden auf den Plan.

Genre: Biografie/Drama/Thriller

Bewertungen:

• IMDb 6,0/10

• Rotten Tomatoes 51%

• Metacritic 41/100

Kimi (2022)

Plot: Tech-Spezialistin Angela Childs (Zoë Kravitz) entdeckt Aufnahmen, die auf ein Verbrechen hindeuten. Als sie versucht die Behörden einzuschalten, muss sie selbst um ihr Leben fürchten.

Genre: Drama/Thriller

Bewertungen:

• IMDb 6,3/10
• Rotten Tomatoes 92%
• Metacritic 79/100

The Creator (2023)

Plot: In einer postapokalyptischen Welt tobt ein vernichtender Krieg zwischen Menschheit und künstlicher Intelligenz. Joshua (John David Washington) will den “Creator”, der die feindliche KI erschaffen hat, zur Strecke bringen.

Genre: Science Fiction/Thriller

Bewertungen:

• IMDb 6,7/10
• Rotten Tomatoes 68%
• Metacritic 63/100

Unlocked (2023)

Plot: Ein Stalker mit ausgeprägten Cybercrime-Fähigkeiten (Yim Si-wan) findet das Smartphone der Büroangestellten Na-mi (Chun Woo-hee), was deren gesamtes Leben auf den Kopf stellt.

Genre: Thriller

Bewertungen:

• IMDb 6,4/10
• Rotten Tomatoes 50%
• Metacritic —