Cyber-RoJo

In dieser Folge setzen wir unsere Session zur physischen Sicherheit nach ISO/IEC 27001 fort und gehen tiefer in den Anhang A (7.3–7.7) . Klar, praxisnah und ohne Normen-Geschwurbel. Wir sprechen u. a. über: Sicherheit von Büros, Außenstellen und Containern Videoüberwachung & Wachdienste – inkl. DSGVO-Fallstricke Schutz vor Brand, Hochwasser & Umweltrisiken Verhalten in Sicherheitsbereichen...

In dieser Folge steigen wir in ein oft unterschätztes Thema ein: physische Sicherheit . Denn Informationssicherheit endet nicht bei Firewalls – sie beginnt an der Tür, am Gelände und im Serverraum. Wir sprechen darüber: Warum physische Sicherheit auch für Nicht-ISO-Unternehmen relevant ist Grundstück, Gebäude, Baupläne: Erst denken, dann sichern Serverräume richtig platzieren – Hochwasser, Leitung...

In dieser Folge werfen wir gemeinsam einen Blick nach vorn: Was bringt 2026 für die Cybersecurity – und für diesen Podcast? Wir sprechen offen, praxisnah und mit klarer Haltung über die Themen, die uns (und euch) beschäftigen werden: Starke Authentifizierung : Warum MFA allein nicht mehr reicht und Hardware-Token wie YubiKeys an Bedeutung gewinnen 2FA-Bypass & Phishing 2.0 : Automatisierte Ang...

In dieser Folge sprechen wir praxisnah über ein ungeliebtes, aber extrem wirksames Thema: Change Management . Nicht theoretisch, nicht normlastig – sondern so, wie es im echten Betrieb funktioniert (oder scheitert). Wir beantworten u. a. diese Fragen: Warum „mal eben schnell ändern“ fast immer teuer wird Die Grundregel: Keine Änderung ohne Plan, Risikoanalyse, Freigabe und Dokumentation Wie ein pr...

In dieser Folge steigen wir noch tiefer in das NIS-2-Umsetzungsgesetz ein – und nehmen euch mit auf einen praxisnahen Rundflug durch Registrierungspflichten, Risikoanalysen und die neue Rolle des BSI. Wir sprechen über: Die Registrierung: Welche Daten das BSI wirklich haben will – und warum ihr sie besser vorher sammelt Ex-ante vs. Ex-post: Wie das BSI künftig prüft und warum „Wir warten einfach a...

In dieser Folge tauchen wir in das frisch verabschiedete NIS-2-Umsetzungsgesetz ein – und klären, warum „Wir sind doch ISO 27001 zertifiziert“ keine Eintrittskarte in die Sorgenfreiheit ist. Wir sprechen darüber: Was sich durch das Gesetz wirklich ändert – und warum das Warten ein Ende hat Warum ISO 27001 ≠ NIS-2 ist (auch wenn viele das hoffen) Registrierungspflichten, Meldefristen und das 24-Stu...

In dieser Folge reden wir Klartext über Kompetenzen nach ISO 27001 (Kap. 7.2) – also darüber, warum „Irgendwie wird’s schon gehen“ in einem ISMS ungefähr so hilfreich ist wie ein Fallschirm aus Beton. Wir sprechen darüber: Warum jede sicherheitsrelevante Rolle klare Fähigkeiten braucht – vom Admin bis zum Maschinenführer Wie man Kompetenzlücken erkennt und systematisch schließt Welche Schulungen,...

In dieser Folge reden wir über echte Ausfallsicherheit – nicht das „Wir haben da irgendwo noch ’ne Ersatzkiste rumstehen“-Prinzip. Wir tauchen ein in Anhang A 8.14 der ISO 27001 und klären, wie Redundanz richtig gedacht wird: Von Internetleitungen über Server, Netzwerke, Stromversorgung, Maschinen, Lieferanten bis hin zu Kommunikationssystemen. Wir sprechen darüber: Was Redundanz wirklich bedeutet...

n dieser Folge sprechen wir über ein Thema, das jeden betrifft – Remote-Arbeit . Egal ob Homeoffice, Zug, Hotel oder Café: Sobald du außerhalb des Firmengeländes arbeitest, greift Anhang A 6.7 der ISO/IEC 27001. Wir sprechen über: Technische Schutzmaßnahmen wie VPN, MFA, Verschlüsselung & Endpoint Protection Organisatorische Regeln: Richtlinien, Reiserichtlinien & Clean Desk Policy Menschl...

n dieser Folge sprechen wir über den Anhang A 8.12 der ISO/IEC 27001 – die Verhinderung von Datenlecks . Wir zeigen, wie technische, organisatorische und menschliche Maßnahmen zusammenspielen müssen, um vertrauliche Informationen wirklich zu schützen. Themen unter anderem: Warum Datenlecks meist nicht durch Hacker, sondern durch Menschen entstehen DLP-Systeme, Datenklassifizierung & Cloud Acce...

In Teil 3 der DORA-Serie geht’s um die harten Compliance-Pflichten für Finanzunternehmen: Incident-Management & Meldepflichten : Prozesse dokumentieren, Ursachenanalyse, Lessons Learned und Reports innerhalb von 24h / 72h / 1 Monat Klassifizierung von Vorfällen : Frühwarnindikatoren, klare Zuständigkeiten und Eskalation bis ins Management Informationsaustausch : Bedrohungsdaten teilen, um Resi...

In Teil 2 zu DORA geht’s um die operativen Pflichten : Systeme härten & Assets klassifizieren – keine Lücken mehr im Inventar Detection & Response – SIEM/SOC wird Pflicht Penetrationstests & TLPT – realistisches Angreifer-Testing alle 3 Jahre Backups & Recovery – inkl. Restore-Tests Meldewege – 24h Initial, 72h Interim, 1 Monat Final Kurz gesagt: DORA zwingt zur Praxis – von klaren...

In dieser Folge steigen wir tief in die DORA-Verordnung (Digital Operational Resilience Act) ein – das neue EU-Regelwerk für den Finanz- und Versicherungssektor, gültig ab 17. Januar 2025 . Wir sprechen darüber: Was DORA von ISO 27001 und NIS 2 unterscheidet – und warum sie strenger und verbindlicher ist Den Geltungsbereich : Von Banken über Versicherungen bis hin zu Cloud- und IKT-Dienstleistern...

In Teil 2 vertiefen wir das Thema dokumentierte Betriebsabläufe nach ISO 27001 Anhang A 5.37 . Wir sprechen darüber, wie man Prozesse nicht nur dokumentiert, sondern auch lebt , wie Verantwortlichkeiten klar geregelt werden und warum regelmäßige Reviews unverzichtbar sind. Außerdem teilen wir Praxisbeispiele, wie gute Dokumentation im Alltag funktioniert – und wie man verhindert, dass Abläufe in d...

Ohne klare Betriebsabläufe herrscht Chaos – und das ist Gift für Informationssicherheit. In dieser Folge starten wir mit Teil 1 zum Thema dokumentierte Betriebsabläufe nach ISO 27001 Anhang A 5.37 . Wir zeigen, warum Prozesse nicht nur auf dem Papier existieren dürfen, wie man Dokumentation praxisnah gestaltet und welche Fehler Unternehmen typischerweise machen. Außerdem sprechen wir darüber, wie...

Weiter geht’s mit euren Fragen! Auch in Teil 2 nehmen wir uns Zeit für die Themen, die euch im Alltag mit ISO 27001, Audits und Cybersecurity beschäftigen. Wir sprechen über typische Stolperfallen , geben klare Handlungsempfehlungen und teilen unsere Erfahrungen – direkt aus der Praxis. Ob komplexe Prozesse, schwierige Auditoren oder die Frage, wie man Awareness wirklich zum Laufen bringt: Wir lie...

In dieser Folge seid ihr dran: Wir beantworten eure Fragen aus der Community – direkt, ehrlich und ohne Filter. Ob ISO 27001-Interpretationen , knifflige Auditsituationen oder alltägliche Security-Dilemmas – wir gehen auf das ein, was euch wirklich beschäftigt. Mit Praxisbeispielen, klaren Tipps und auch mal einem Augenzwinkern teilen wir unsere Erfahrungen und geben euch Antworten, die ihr sofort...

Nach der Jubiläumsrunde ist vor der Reflexion: Roland und Johannes ziehen in dieser Freetalk-Folge die wichtigsten Learnings aus Episode 100. Von CISO-Selbsthilfegruppen-Vibes über Audit-Schlagfertigkeit bis hin zu der Frage, wann eine Abweichung sogar Gold wert ist – hier gibt’s ehrliche Einblicke und praxisnahe Strategien. Ob Prozesse, Dokumentation, Auditoren-Typen oder Pentests als Teil des Au...

Zur 100. Folge von Cyber-Rojo – Lerne, Schütze gibt’s geballte Security-Erfahrung aus drei Blickwinkeln: ISB , IT-Leiter und Pentester . Lukas berichtet von Audit-Alltag und der legendären Kuchenregel , Martin teilt seine Learnings aus der ISO-Implementierung, und Michi zeigt, wie leicht Systeme durch Password-Spraying und SQL Injection kompromittiert werden. Was alle eint: Sicherheit braucht Ress...

In Teil 2 unseres Gesprächs mit Vertriebsguru Marvin zeigen wir, wie Vertriebstechniken helfen können , Cybersecurity erfolgreicher zu kommunizieren. Wir sprechen über Storytelling statt Fachchinesisch , emotionale Trigger in der Sicherheitskommunikation und warum selbst das beste ISMS wirkungslos bleibt, wenn es niemand versteht – oder will. Jetzt reinhören und lernen, wie man Security „verkauft“...

Was denkt der Vertrieb wirklich über Cybersecurity? In Teil 1 unserer Gesprächsreihe mit Vertriebsprofi Marvin gehen wir der Sache auf den Grund: Wie verkauft man Sicherheit, wenn sie oft als notwendiges Übel wahrgenommen wird? Warum scheitern viele IT-Security-Projekte am Vertrieb – und umgekehrt? Und wie lassen sich Kunden begeistern, anstatt sie mit Paragraphen zu langweilen? Jetzt reinhören un...

Wer die Schlüssel zur IT hat, trägt auch die Verantwortung. In dieser Folge beleuchten wir, warum privilegierte Rechte zu den größten Sicherheitsrisiken in Unternehmen gehören – und gleichzeitig unverzichtbar sind. Wir erklären, wie man mit Least Privilege , PAM-Systemen und klaren Prozessen das Risiko minimiert, Insider-Bedrohungen verhindert und Auditoren überzeugt. Jetzt reinhören und erfahren,...

Was hat der Klimawandel mit Cybersicherheit zu tun? Mehr als vielen bewusst ist! In dieser Folge sprechen wir über physische Risiken für IT-Infrastrukturen durch Extremwetter, über neue Schwachstellen in der Energieversorgung und warum Klimaanpassung ohne Cyber-Resilienz nicht funktioniert. Außerdem diskutieren wir, wie Unternehmen Klima- und Sicherheitsstrategien verzahnen müssen, um zukunftsfähi...

Spontane IT-Aktionen à la „Kannst du mal eben…?“ gehören zu den größten Sicherheitsrisiken im Unternehmensalltag – und das oft unbemerkt. In dieser Folge zeigen wir, warum fehlendes Change Management zur tickenden Zeitbombe wird, wieso Versicherungen bei spontanen Eingriffen oft nicht zahlen und wie Unternehmen mit klaren Prozessen und gelebter Sicherheitskultur echte Resilienz aufbauen. Plus: War...

Was steckt wirklich hinter Anhang 6.1 der ISO/IEC 27001 ? In dieser Folge klären wir, wie Sicherheitsüberprüfungen vor, während und nach der Beschäftigung aussehen sollten , wo die Fallstricke liegen und wie Unternehmen damit Compliance, Sicherheit und Vertrauen schaffen. Jetzt reinhören und wissen, worauf es wirklich ankommt! 🎧✅ #ISO27001 #Informationssicherheit #SecurityChecks #Sicherheitsüber...