Vom Papiertiger zum digitalen Standard: Christoph Puppe im Deep-Dive, wie automatisierte Pipelines den BSI IT-Grundschutz ins KI-Zeitalter bringen sowie die Konvertierung von Compliance in Code gelingt und welche Rolle die Cloud für die Zukunft Deutschlands spielt
Links zur Episode:
00:01.92
Kerstin
Herzlich willkommen zu einer neuen Folge von Above Sea Level.
00:04.74
Kerstin
Heute ist der 21.
00:05.74
Kerstin
April 2026 und ihr hört Episode 3.
00:09.80
Kerstin
Ich bin Kerstin, Herausgeber von Computing Deutschland.
00:12.67
Kerstin
In dieser Episode schauen wir unter die Haube der modernen Informationssicherheit.
00:17.35
Kerstin
Wir alle kennen den IT-Grundschutzkatalog vom BSI.
00:20.65
Kerstin
Mächtig, sicher, aber auch ein Papiertiger mit gewaltigem manuellen Aufwand.
00:25.84
Kerstin
Mein heutiger Gast zeigt uns, wie man diesen Tiger zähmt und digitalisiert.
00:30.12
Kerstin
Er ist der Kopfhinter der automatisierten Konvertierungspipeline von Grundschutz zu Oskar und Entwickler des NTT Audit Automators.
00:37.38
Kerstin
Herzlich willkommen, Christoph Puppe.
00:40.26
Christoph
Ja, einen schönen guten Tag.
00:40.89
Christoph
Hallo Kerstin.
00:42.59
Kerstin
Hallo.
00:43.55
Kerstin
Ja, wir wollen heute über Grundschutz++ sprechen und suchen Antworten auf die Frage, wie machen wir Compliance endlich skalierbar?
00:50.99
Kerstin
Christoph, warum reicht der klassische IT-Grundschutz in einer Zeit, in der Cloud-Natives, KI-Agenten und DevOps den IT-Takt vorgeben, nicht mehr aus?
01:01.24
Christoph
Der klassische Grundschutz hatte jetzt über die letzten Jahre das Problem, dass einfach die Ressourcen fehlten, um ihn wirklich aktuell zu halten.
01:08.02
Christoph
Wir haben bei den Bausteinen, die das BSI veröffentlicht hat, gesehen, dass in den letzten Jahren nicht mehr so viel Neues passierte.
01:14.58
Christoph
Das heißt, Windows-Versionen waren ewig alt, die dort beschrieben waren.
01:18.68
Christoph
Moderne Technologien wie NoSQL-Datenbanken, CICD, DevOps, KI sind als Bausteine nicht mehr aufgetaucht.
01:26.44
Christoph
Das heißt, es war jetzt eh an der Zeit, das Ganze mal
01:30.12
Christoph
zu überarbeiten zumindest, wenn auch vielleicht nicht ganz so viel, wie es jetzt passiert ist.
01:35.05
Christoph
Es hätte auf jeden Fall viele neue Bausteine gebraucht, so ein gutes Dutzend, vielleicht zwei Dutzend.
01:39.73
Christoph
Die Bausteine waren aber schwierig in der Herstellung, weil das BSI hier auch in der Veröffentlichung die letzten Jahre erst PDFs veröffentlicht hat, also früher HTML, die konnte man noch relativ gut auslesen.
01:52.92
Christoph
Dann kamen die PDFs und die PDFs waren sehr schwierig,
01:58.30
Christoph
für die Konsumenten, für die Anwender, diese in irgendeiner Art und Weise zu digitalisieren.
02:04.54
Christoph
Das heißt, da brauchte man dann kommerzielle Tools, wo jemand wahrscheinlich einen Praktikanten herangesetzt hat, um das Ganze per Cut & Paste in eine Datenbank zu verwandeln.
02:12.89
Christoph
Und das ist natürlich ein Stand, der in, ja wie du schon sagtest, 2026 mit dem Zeichen der Automatisierung so natürlich nicht mehr haltbar ist.
02:21.96
Christoph
Von daher hat das BSI dann den doch recht mutigen Schritt gewagt und nicht nur noch ein paar neue Bausteine nachgeschmissen, sondern hat das Ganze gleich auf ein maschinenlesbares Format umgebaut, das Oskal.
02:21.97
Kerstin
Mhm.
02:34.12
Christoph
Wie du gerade in der Einleitung sagtest, das BSI baut den neuen Grundschutz++ in Oskal.
02:41.52
Christoph
Es gab aber, sagen wir mal, Anwendungsfälle im letzten Jahr zum Beispiel, um
02:46.84
Christoph
IT-Grundschutz, Zertifizierungsaudits und Überwachungsaudits zu automatisieren, da wäre es schon sehr praktisch gewesen, wenn der alte Grundschutz, also jetzt alte Grundschutz, der noch gültige Grundschutz, der gilt auch noch zwei Jahre, also bis Ende des übernächsten Jahres,
02:55.97
Kerstin
Hm?
03:02.68
Christoph
wenn es den schon maschinenlesbar gegeben hätte.
03:05.46
Christoph
Und das habe ich dann in wenigen Tagen Vibe-Coding dann auch realisiert.
03:10.42
Christoph
Das heißt, da zieht sich so eine KI-gesteuerte, na, Korrektur, da zieht sich eine KI-Implementierung an,
03:20.60
Christoph
diese PDF-Dateien rein.
03:22.20
Christoph
Das heißt, die KI sagt nicht, was sie tun darf, nicht so agentikmäßig, sondern es sind klassische Datenverarbeitungspipeline, nur dass hier halt die Datenverarbeitung durch die KI passiert.
03:32.29
Christoph
Das heißt, die ganzen PDFs der Grundschutzbausteine werden eingelesen, Inhalte werden ausgelesen, in JSON verwandelt, also das OSCAL-Format
03:32.81
Kerstin
Mhm.
03:42.51
Christoph
und dann halt als eine große OSCAL-Datei abgelegt.
03:46.41
Christoph
Und damit sind sie natürlich eine gute Grundlage für Automatisierungsvorgänge, um zum Beispiel dann in dem BSI Audit Automator
03:57.64
Christoph
dann diese Daten zu nutzen, um alle Anforderungen der SPSI Edition 2023 an ein aktuell gültiges Zertifikat zu knüpfen, also sprich das Audit dann auf Basis dieser maschinenlesbaren Anforderungen dann auch durchzuführen.
04:14.65
Christoph
Da war die Firma High Solutions und hier vor allen Dingen auch der Herr Rüstemeier sehr hilfreich.
04:18.87
Christoph
Die war nämlich bereit, ihr Überwachungsaudit für diesen Zweck als Testkandidat herzugeben.
04:25.11
Christoph
Das hat auch alles ganz gut geklappt.
04:27.50
Christoph
Auch Frank war teilweise überrascht, was das Ding alles findet.
04:32.02
Christoph
Also die Prüftiefe, die man mit so einer KI erreichen kann, ist erheblich.
04:37.24
Christoph
Was man halt braucht, sind die Anforderungen in Maschinen lesbar.
04:41.31
Christoph
Weil was natürlich immer geht, und das war auch so mein erster Ansatz letztes Jahr, na, wir nehmen einfach die ganzen PDFs, schmeißen sie der KI über den Zaun, also den sogenannten Rack ins Retrival Augmented,
04:54.24
Christoph
und lassen die einfach mal so entbetten und dann stellen wir Fragen wie zum Beispiel, erfüllt die Policy die Anforderungen?
05:00.52
Christoph
Die KI liefert tatsächlich
05:02.54
Kerstin
Lass mich raten, das Ergebnis war jetzt nicht so das, was ihr erwartet hattet, oder?
05:08.15
Christoph
Ja, sagen wir mal so, es kommt darauf an, was man erwartet hat.
05:12.12
Christoph
Das ist immer eine Frage der Erwartungshaltung und des Erwartungsmanagements.
05:15.40
Christoph
Also ich hatte gehofft, dass es machbare Ergebnisse sind, aber ja, wie du schon sagtest, die Ergebnisse waren nicht benutzbar.
05:22.04
Christoph
Das heißt, die KI hat ja schon teilweise auch interessante Sachen gesagt, aber...
05:22.24
Kerstin
Mhm.
05:26.37
Christoph
Die Qualität, die ich jetzt brauche, um in einem Zertifizierungslauf tatsächlich ein Audit durchzuführen, das heißt, ich brauche nicht nur interessante Ergebnisse, ich brauche präzise Ergebnisse und die Ergebnisse müssen auch wiederholbar sein.
05:38.69
Christoph
Das heißt, wenn ich das gleiche Audit dreimal hintereinander durchführe auf Basis der gleichen Nachweise des Kunden,
05:45.56
Christoph
dann muss auch dreimal hintereinander das gleiche bei rauskommen.
05:48.08
Christoph
Es kann also nicht sein, dass er mal das eine findet, mal das andere findet.
05:51.32
Christoph
Und das ist mit so einem, sagen wir mal, doch recht hemmsärmeligen Ansatz an KI auch nicht möglich.
05:57.53
Kerstin
Ja.
05:57.59
Kerstin
Oh Gott.
05:57.75
Kerstin
Ja.
05:57.81
Kerstin
Ja.
05:58.40
Christoph
Viele Leute würden heute hingehen und sagen, ja, da bauen wir dann Agenten und der Agent macht dann Unteragenten und eine ganze Kohorte von Agenten und die machen dann das Qualitätsmanagement und hinterher kommt super was bei raus, was wir auch benutzen können.
06:11.66
Christoph
Das funktioniert im Alltag dann doch sehr selten.
06:15.24
Christoph
Und das sind genau diese 80 Prozent der fehlgeschlagenen KI-Projekte, von denen man immer wieder so gerne hört.
06:21.03
Christoph
weil da halt versucht wird, der KI auch die Steuerung des Ablaufes zu überlassen.
06:25.77
Christoph
Und das ist genau das, was ich da nicht gemacht habe.
06:28.23
Christoph
Das heißt, ich habe so, was waren es jetzt, so 8000 Zeilen Python schreiben lassen natürlich.
06:34.51
Christoph
Habt ihr ja keine Zeile selbst geschrieben, logisch.
06:34.65
Kerstin
Ja klar.
06:34.93
Kerstin
Ja.
06:34.99
Kerstin
Ja.
06:37.17
Christoph
Und die 8000 Zeilen, die arbeiten sozusagen den Ablauf eines Audits vom ersten Schritt der Informationssammlung, also sprich der Kunde schickt seine Dokumente, werden irgendwo abgelegt und dann schaut sich der Audit-Automator das Ganze durch, macht sich eine Übersicht von welcher Art von Dokumenten gibt es.
06:56.59
Christoph
Das ist ein Schritt, das macht KI, aber gesteuert durch ein Python-Dokument.
07:01.65
Christoph
das keine Chance hat, irgendwas falsch zu machen, weil jeder Prompt, der in diesem Schritt benutzt wird, ist qualitätsgesichert und die KI hat auch keine Möglichkeit zu entscheiden, dass sie das heute mal anders machen möchte, sondern die Art und Weise der Ablauf ist in Python deterministisch vorgegeben.
07:13.38
Kerstin
Das denke ich, haben die Tests ja auch gezeigt.
07:17.84
Christoph
Das heißt, erst mal die Dokumente sichten, dann die Dokumente reinziehen, dann vorverarbeiten und so weiter.
07:23.94
Christoph
Das passiert alles in einem deterministischen Arbeitslauf.
07:26.38
Christoph
Und das war natürlich eine Menge Arbeit, aber das Ergebnis kann sich durchaus auch sehen lassen.
07:32.80
Kerstin
Du hast jetzt ein paar Mal schon Oskar auch erwähnt.
07:35.42
Kerstin
Magst du mal erklären, was Oskar genau ist und warum ihr euch dafür entschieden habt?
07:42.56
Christoph
Das hat sich sozusagen das eine aus dem anderen ergeben.
07:45.14
Christoph
Das BSI hat sich ja entschieden, den Grundschutz komplett zu modernisieren.
07:49.58
Christoph
Einerseits die Art und Weise, wie wir vernannten es früher Anforderungen, heute heißt es Maßnahmen aufzuführen.
07:56.58
Christoph
Das heißt, wir gehen weg von den langen PDF-Dokumenten, wo für jede Zielobjekt, wie zum Beispiel Datenbank, Server oder sonstiges, also eine Sammlung von Anforderungen drin steht, hin zu einer großen Liste von generischen Anforderungen, die quasi auf alles anzuwenden sind.
08:15.11
Christoph
Und das steht dann in einem sogenannten OSCAL-Katalog.
08:18.23
Christoph
Oskal ist an der Stelle ein Datenformat, das von den Amerikanern erfunden wurde, also sprich vom amerikanischen NIST.
08:18.28
Kerstin
Mhm.
08:25.79
Christoph
Damit haben die so vor fünf, sechs Jahren angefangen und
08:31.27
Christoph
Es ist ein komplettes Ablaufschema.
08:35.75
Christoph
Das heißt, in Oskar gibt es sieben unterschiedliche Datentypen.
08:39.89
Christoph
Einer davon ist der besagte Katalog.
08:42.50
Christoph
Und im Katalog kann man alle seine Controls auf amerikanisch oder jetzt früher bei uns Anforderungen, jetzt bei uns Maßnahmen reinschreiben und hat damit eine Liste von allem, was zu tun ist.
08:49.04
Kerstin
Verstehe.
08:55.53
Kerstin
Jetzt, also ich kenne den Grundschutzkatalog vom BSI ziemlich genau aus einem vorherigen Leben.
09:02.65
Christoph
Mhm.
09:02.79
Kerstin
Jetzt, was war die größte Schwierigkeit dabei, den doch wirklich sehr textlastigen und interpretierbaren Baustein, auch Bausteine des BSI in maschinenlesbaren Code zu gießen?
09:13.10
Kerstin
Ja.
09:14.40
Christoph
Das muss man ein bisschen zweiteilen.
09:16.25
Christoph
Ich habe die alten Editionen des 2023-Bausteine überarbeitet.
09:22.15
Christoph
Ich habe sie einfach nur in JSON verwandelt, also sprich reingezogen und in lesbare, maschinenlesbare Datenstrukturen übersetzt.
09:31.42
Christoph
Inhaltlich an der Stelle jetzt erstmal nichts geändert.
09:34.74
Christoph
Sagen wir mal so, wo ich gerade dabei war, habe ich es auch noch in 14 Sprachen übersetzt, fünf Reifegrade eingebaut, dazu bei jeder Anforderung noch das Feature hinzugefügt, ob diese Anforderung sich auf Verfügbarkeit, Vertraulichkeit oder Integrität bezieht, wie hoch der Schweregrad der Umsetzung ist und noch so ein paar Features einfach, wenn man schon die KI in der Hand hat, dann fällt es halt schwer, noch so ein paar Ideen zu realisieren, die man gerade schon immer haben wollte, wie zum Beispiel Reifegradmodell im Grundschutz.
09:48.73
Kerstin
Die Links gibt es in den Shownotes, ja, sehr, sehr gut.
10:01.56
Christoph
Das gibt es jetzt in besagter Edition 2023 in Oskal zum Download auf dem Gittes meines Arbeitgebers der NTT Deutschland SE.
10:14.87
Christoph
Genau.
10:16.75
Christoph
Das ist der eine Punkt.
10:17.63
Christoph
Das ist sozusagen, das muss man voneinander trennen, das war die Übersetzung der Kataloge oder des Compendiums, um genau zu sein.
10:23.51
Christoph
Die Kataloge war ja noch ein bisschen früher.
10:25.86
Kerstin
Mhm.
10:25.94
Kerstin
Mhm.
10:26.30
Christoph
Was das BSI gemacht hat, es hat einen kompletten radikalen Neuanfang gewagt.
10:31.08
Christoph
Das heißt, die Bausteine, wie wir sie bis heute kannten, oder wie sie, wie gesagt, auch heute noch gültig sind, gibt es gar nicht mehr.
10:38.21
Christoph
Also diesen Aufbau, den man aus dem BSI 200-2 kennt, das ist komplett über den Haufen geworfen.
10:45.45
Christoph
Und jetzt gibt es nur noch einen großen Katalog mit knapp 1000 Maßnahmen drin,
10:51.59
Christoph
Die sind dann aufgeteilt in 21 Praktiken.
10:55.11
Christoph
Das heißt, es gibt die Praktik Konfiguration, es gibt die Praktik Identitätsmanagement, es gibt die Praktik Dokumentation, Entwicklung etc.
11:03.27
Christoph
Natürlich auch die Methodik.
11:04.97
Christoph
Also sprich, wie benutzt man das Ganze, ist auch eine Praktik.
11:08.17
Christoph
Das ISMS und seine Prozesse ist auch eine Praktik.
11:11.35
Christoph
Das heißt, wir haben jetzt ganz viele generische Maßnahmen, die da drin enthalten sind.
11:17.09
Christoph
Und dann hat das BSI noch eine andere Datei veröffentlicht, das nennt sich die Zielobjektkategorien.
11:22.29
Christoph
Okay, Sie haben es gerade auf Englisch übersetzt, steht jetzt seit zwei Wochen auf Englisch im Git.
11:27.27
Christoph
Das BSI kann man auch sich nochmal übersetzen, den genauen Namen habe ich jetzt nicht im Kopf, aber die Zielobjektkategorien.csv ist tatsächlich eine CSV-Datei, die da veröffentlicht wird.
11:37.36
Christoph
Da steht dann zum Beispiel drin, dass die Zielobjektkategorie Host-Systeme,
11:43.75
Christoph
mit folgenden anderen Zielobjektkategorien verwandt ist.
11:47.49
Christoph
Das heißt, ich gehe jetzt, wenn ich wissen möchte, also Host-Systeme, sorry, muss man dazu sagen, sind die neuen Server.
11:53.03
Christoph
Das heißt jetzt halt Server, also das heißt nicht mehr Server, das heißt jetzt Host-Systeme.
11:53.07
Kerstin
Mhm.
11:57.35
Christoph
Das heißt, ich gehe in die Zielobjektkategorien-Datei rein,
12:00.49
Christoph
sehe dort, aha, die ist ein Unterzielobjekt von zum Beispiel IT-System, das ist wiederum ein Unterzielobjekt von irgendwas anderem.
12:10.72
Christoph
Das heißt, ich kann in diesem Katalog jetzt nach allem gucken, das mit Host-System getaggt ist und das mit IT-Objekt getaggt ist und das...
12:19.18
Christoph
mit irgendwas anderem getagtes, was halt in dieser Zielobjektkategorie.csv drinsteht.
12:23.28
Christoph
Und daraus kriege ich eine Liste von Maßnahmen aus dem Katalog, die im Prinzip das sind, was früher ein Baustein war.
12:32.62
Christoph
Das heißt, ich gehe jetzt wie klassisch wie früher hin, sage, ah, da habe ich eine Maschine, die heißt XY und die steht in der Ecke, wird mit Strom versorgt und arbeitet den ganzen Tag.
12:42.47
Christoph
Wir könnten es Server nennen.
12:44.42
Christoph
Das heißt jetzt aber nicht mehr Server, das heißt jetzt Host-System.
12:47.60
Christoph
Also nehme ich die Zielobjektkategorie Host-System, wende diese ganze Vererbungslogik an und habe dann die Liste der Maßnahmen, die das BSI dafür vorsieht.
12:58.37
Kerstin
Mhm.
12:58.45
Kerstin
Mhm.
12:59.61
Christoph
Und diese Maßnahmen, und das wird viele, die den alten Grundschutz gewöhnt sind, sich über die Jahre ihn zu lieben und zu hassen und alles dazwischen gelernt haben, sehr verwirren, weil jetzt haben wir halt nicht mehr eine Liste pro Server,
13:14.33
Christoph
sondern wir haben eine Liste pro Host-System, die aber ihre Maßnahmen aus allen möglichen Ecken zusammenzieht.
13:22.15
Christoph
Da sind also Identitätsmanagement dabei, da ist Überwachung dabei, da ist Monitoring dabei, da ist Protokollierung dabei.
13:27.51
Christoph
Also das, was wir von früher kannten, die übergeordneten Bausteine, also Prozessbausteine, die sind jetzt quasi in die Systeme reingewandert.
13:31.77
Kerstin
Finde ich super.
13:34.37
Kerstin
Finde ich echt super.
13:35.17
Kerstin
Also ich kenne das ja noch aus meiner Zeit, als ich selber Sicherheitskonzepte geschrieben habe und ich habe mir jeden dieser Bausteine mühsam zusammensuchen müssen.
13:44.78
Kerstin
Wenn ich irgendwo einen Server hatte, da ist ein Windows draufgelaufen, da ist eine Anwendung draufgelaufen, da ist ein Identitätsmanagement draufgelaufen möglicherweise noch und ich muss mir jeden dieser einzelnen Bausteine zusammensuchen.
13:54.51
Kerstin
Finde ich eine super Sache, dass die Abhängigkeiten und Verwandtenbausteine jetzt gleich so integriert sind.
13:59.77
Kerstin
Ja,
14:01.54
Christoph
Ist es auch.
14:01.98
Christoph
Es sind allerdings auch mehr geworden, das muss man dazu sagen.
14:03.58
Kerstin
Mhm.
14:04.31
Christoph
Also das BSI ist auf den Trichter gekommen, dass es tatsächlich in einer Anlage, nämlich im Auditierungsschema, gibt es einen Absatz, in dem taucht dreimal das Wort Teilanforderung auf.
14:21.18
Christoph
Daraus hat das BSI ein komplettes Konzept gemacht und dann gesagt,
14:26.73
Christoph
Die alten Anforderungen, die bestanden ja aus einzelnen Sätzen, wo wieder ein Modalverben dran sind, also muss, sollen, können.
14:33.48
Kerstin
Okay.
14:34.37
Christoph
Und jeder dieser Sätze ist jetzt eine Teilanforderung und damit...
14:39.50
Christoph
Ich habe tatsächlich Kunden, die haben das so ausgefüllt.
14:41.26
Christoph
Die haben sich die Sätze aus dem Grundschutz rauskopiert und dann haben dann unter jedem einzelnen Satz geschrieben, wie das umgesetzt ist.
14:48.81
Christoph
Also es sind hauptsächlich Bundesbehörden gewesen.
14:51.09
Christoph
Ich habe niemanden anders gesehen, der das gemacht hat.
14:53.45
Christoph
Und ich habe in den 20 Jahren, die ich jetzt Grundschutzauditor bin, sehr, sehr viele Zertifikate beim BSI genehmigen lassen oder vom BSI ausstellen lassen mit meinen Auditberichten ausgeführt.
15:03.54
Christoph
Und von allen diesen Zertifizierungskunden hat kein einziger das so gemacht.
15:08.00
Christoph
Also das mit den Teilanforderungen ist eher so ein Steckenpferd von manchen Menschen.
15:12.74
Christoph
Anyway, das BSI hat dieses Steckenpferd genommen, hat es zum Turnier getragen und die sagen jetzt halt, der alte Grundschutzkatalog hätte über 6000 Anforderungen gehabt, Teilanforderungen, was manche halt so sehen können, aber es ist, sagen wir mal, auch ein bisschen Ansichtssache.
15:23.19
Kerstin
Ich glaube, wir sollten irgendwann mal in Erfurt ein Bier trinken gehen und dann, glaube ich, können wir noch über ganz andere Dinge sprechen.
15:28.05
Christoph
Wie gesagt, das BSI hat nie darauf bestanden, dass die Dinge ausgefüllt werden.
15:31.55
Christoph
Das heißt, wir haben...
15:38.70
Kerstin
Du hast gerade Audits schon selber angesprochen.
15:41.38
Christoph
Das würde ich total gerne tun, weil ich bin ja in dem Grundschutz++-Projekt, also es nennt sich Stand der Technikprojekt, sollte man vielleicht noch ein bisschen zum Projekt, zum Hintergrund dazu sagen, der Gesetzgeber musste ja die NS2-Novelle umsetzen und das war eine gute Gelegenheit, das neue BSI-Gesetz in Version 3 rauszugeben.
15:41.42
Kerstin
Ich könnte mir vorstellen, mit der neuen Herangehensweise, auch mit der neuen Methodik, wird sich auch der Audit-Prozess komplett verändern.
15:49.22
Kerstin
Magst du da vielleicht ein bisschen was dazu sagen?
15:54.08
Kerstin
Aber gerne.
16:11.53
Christoph
weil das BSI wird nach den zwei Umsetzungsverordnungen ja jetzt verpflichtet, einen Stand der Technik zu definieren.
16:18.07
Christoph
Und irgendwie ist das beim BSI alles in einen Topf gewandert, aber natürlich mehrere Abteilungen.
16:23.15
Christoph
Das heißt, es gibt einen Stand der Technikabteilung, es gibt eine Grundschutzabteilung.
16:26.87
Christoph
Die Stand der Technikabteilung macht jetzt den Grundschutz++.
16:30.59
Kerstin
Mhm.
16:30.81
Christoph
um die gesetzlichen Anforderungen nach der Bereitstellung eines definierten Stand der Technik zum 01.01.2026 zu erfüllen.
16:40.05
Christoph
Das hat der Gesetzgeber halt so im Dezember dann ja auch irgendwie in Kraft gesetzt.
16:44.31
Christoph
Und das hat das BSI auch gemacht, indem sie Ende September letzten Jahres den ersten Grundschutz++-Katalog in die Welt gesetzt haben, also auf GitHub veröffentlicht, auch so ein nettes und kleines Nebending.
16:56.04
Christoph
Die ganze Welt, naja, nicht die ganze Welt, ganz Deutschland redet über digitale Souveränität, das BSI veröffentlicht auf GitHub und nicht auf dem GitLab des Bundes, das es ja auch gibt.
17:06.82
Kerstin
Mhm.
17:07.97
Christoph
Ich habe da auch mal gefragt, warum nicht?
17:09.83
Christoph
Die Antwort war jetzt nicht so befriedigend.
17:13.41
Christoph
Das heißt, Anfang letzten Jahres hat sich das BSI hingesetzt und hat den schon recht weit gedienten Katalog Grundschutz++ dann in eine, wie man das von früher kennt, Community-Draft-Version in ein geschlossenes GitHub gestellt, mehrere hundert Leute eingeladen.
17:29.17
Christoph
Man konnte sich da bewerben, um eine Teilnahme an einem freiwilligen
17:34.35
Christoph
Ja, Community-Draft-Kommentierungslauf.
17:37.57
Christoph
Das kennt man von früher von den Bausteinen.
17:39.17
Christoph
Die standen halt länger Zeit im Internet, wurden da veröffentlicht.
17:39.21
Kerstin
Mhm.
17:39.29
Kerstin
Mhm.
17:42.35
Christoph
Dann gab es viele Kommentare dazu.
17:44.56
Christoph
Und dann wurden die Kommentare mehr oder weniger eingearbeitet und dann ist der Baustein irgendwann veröffentlicht worden.
17:48.86
Christoph
Das wurde diesmal quasi auch so gemacht, indem halt der ganze Katalog in dieses geschlossene private Git eingestellt wurde.
17:58.05
Christoph
Mehrere hundert Leute eingeladen wurden, sich daran zu beteiligen.
18:01.17
Christoph
Und das war die sogenannte Phase 1 des Stand der Technik Expertenkonsultation.
18:07.44
Christoph
Da habe ich mich natürlich auch gleich vorgedrängelt, ganz klar.
18:10.54
Christoph
Also ich mache jetzt Grundschutz seit 2002, bin seit 2008 Auditor, habe 2017 damals mit meinem Arbeitgeber High Solutions einen größeren Teil des Compendiums mitgeschrieben.
18:21.32
Christoph
Also nicht jetzt ich, da waren wir alle mit beteiligt.
18:25.16
Christoph
Einige Bausteine aus der Zeit sind dementsprechend von mir im Compendium.
18:28.25
Christoph
Ich habe nach 2017 noch eigene Bausteine auch eingereicht.
18:31.75
Christoph
Also sowas wie der Kubernetes und der Container Baustein sind jetzt meine, ja aus meiner Feder mit natürlich nach den entsprechenden Community-Drafts und den entsprechenden Kommentierungen und allem drum und dran.
18:34.05
Kerstin
Okay.
18:42.13
Christoph
Das heißt, ich habe über Jahre eh schon viel an diesem Standard mitgearbeitet und dementsprechend habe ich mir natürlich auch die Chance nicht nehmen lassen,
18:49.20
Christoph
jetzt bei dem Grundschutz Plus Plus ganz von Anfang mit dabei zu sein.
18:53.42
Christoph
Das heißt, von Februar 2025 bis heute jetzt 14 Monate, ich habe es mal versucht zu schätzen, 500, 600 Stunden reingesteckt in das Ganze.
19:02.82
Christoph
Und daraus hat sich halt auch das eine oder das andere gegeben.
19:06.84
Christoph
Das ist jetzt sozusagen eine lange Vorrede, kurzer Sinn.
19:10.18
Christoph
Das BSI sagte mal, das kann man nicht mit KI machen, die alten Bausteine in JSON zu übersetzen, also in OSGAL.
19:18.74
Kerstin
Mhm.
19:18.82
Kerstin
Mhm.
19:19.56
Christoph
Und ja, das war so der Moment, wo ich mir dachte, na klar kann man.
19:24.72
Christoph
Und vier Tage später habe ich dann halt das Ganze gezeigt und geschaut.
19:29.40
Christoph
Guck mal hier, BSI, alle Bausteine plus, ich habe sogar noch 15 neue Bausteine obendrauf geschmissen, also benutzerdefinierte Bausteine für so Sachen wie KI und Datenbanken, die es vorher noch nicht gab und FreeBSD und OpenBSD.
19:43.35
Christoph
OpenBSD hat einen eigenen benutzerdefinierten Baustein bei mir bekommen, schon aus alter Liebe, rostet nicht und so weiter.
19:50.50
Christoph
Ja, und dann habe ich denen das gezeigt und das alte Ding halt einfach mal gezeigt, so nach dem Motto, natürlich geht das mit KI.
19:50.51
Kerstin
Ist ja auch in vielen Sicherheitsprodukten drin, ja.
19:52.89
Kerstin
Ja.
19:56.28
Christoph
Und das war von daher nur ein spannendes Experiment, was eigentlich nur so als Wochenendprojekt zum, guck mal, ich zeige euch mal, das geht tatsächlich, wenn man halt nicht mit einer traurigen Grafikkarte auf seinem Heim-PC arbeitet, sondern wenn man halt große Modelle mit großen Tokenfenstern nimmt und wenn man das Ganze ordentlich skriptet, seinen Kontext im Blick hat,
20:17.76
Christoph
gutes Kontextmanagement macht, gutes Bondmanagement macht, das Ganze mit Python schön in Chunks hochlädt, dann kann man da wirklich sehr, sehr viel reißen.
20:25.82
Christoph
Und das wollte ich eigentlich nur gezeigt haben.
20:27.36
Christoph
Aber dann hatte ich halt dieses JSON, dieses Oscar, und dann hatte ich das nächste Audit vor der Tür.
20:32.90
Christoph
Dann habe ich mir gedacht so, naja, wenn du jetzt einen Grundschutz in der aktuellen Version eh schon als JSON hast, dann kannst du auch mal versuchen, das Audit damit zu machen.
20:39.74
Christoph
Und dadurch hat sich sozusagen das eine aus dem anderen entwickelt.
20:43.53
Kerstin
Mhm.
20:43.61
Kerstin
Mhm.
20:46.44
Christoph
Und der Grundschutz hat sich in der Zeit natürlich auch ganz extremst entwickelt.
20:49.52
Christoph
Ich war auch sehr aktiv in dem Projekt.
20:51.82
Christoph
Also ich habe zum Beispiel den kompletten Katalog, den das BSI damals hatte, dann mit Google Gemini Qualität sichern lassen.
21:00.53
Christoph
Daraus sind 250 Issues geworden.
21:05.22
Christoph
Die 250 Issues habe ich dann nochmal ein bisschen zusammengefasst und nach dem Motto, alle Rechtschreibfehler einer Praktik bitte in ein Issue, aber alle inhaltlichen Probleme wie falsches Modalverb, komische Wortstellung, fehlendes Control, also fehlende Maßnahme oder Maßnahme in der falschen Practice und so weiter, habe ich dann einzeln eingestellt.
21:23.19
Kerstin
Mhm.
21:23.27
Kerstin
Mhm.
21:30.32
Christoph
Das war eine schöne große JSON-Datei, die habe ich dann an einem Sonntagnachmittag
21:35.71
Christoph
mit einer kleinen Kommandozeile mal schnell ins Git importiert und habe da dann auch gleich eine Rückmeldung für bekommen.
21:43.88
Christoph
Das sind aber ganz schön viele Issues auf einmal.
21:47.58
Christoph
Aber das BSI hat sie abgearbeitet zu 100 Prozent.
21:51.16
Christoph
Sie sind 100, 100 Prozent abgearbeitet.
21:53.11
Kerstin
Ja.
21:53.38
Christoph
Es wurde so gut wie keiner abgelehnt.
21:55.30
Christoph
Was man natürlich dazu sagen muss, auch bei solchen Tätigkeiten ist natürlich das sogenannte, ich weiß nicht, wie spricht man das eigentlich aus, HITL-Tätigkeit.
22:02.51
Christoph
Human in the Loop immer ganz wichtig.
22:04.97
Christoph
Das heißt, ich habe natürlich keine einzige Issue eingereicht, die ich nicht wirklich gelesen hatte.
22:09.06
Christoph
Das heißt, ich habe mir den ganzen Krams durchgeguckt.
22:09.42
Kerstin
Das wäre jetzt auch mal die nächste Frage gewesen.
22:11.30
Kerstin
Also gerade bei diesen ganzen Maschinenautomatisierungsprozessen, KI im Hintergrund, man hört ja immer, dass Menschen trotzdem nicht überflüssig werden und gerade bei solchen sicherheitsrelevanten Sachen auch mal rüber gucken sollen.
22:25.19
Kerstin
Welche Rolle spielt der Mensch in diesem ganzen Auditprozess noch und in der ganzen Automatisierung?
22:33.39
Christoph
Na, ich würde mal sagen, das ist wie bei den Webern.
22:36.07
Christoph
Der Mensch an sich als Gattungsbezeichnung wird nicht überflüssig, aber die meisten Exemplare schon.
22:42.35
Christoph
Also das ist etwas hart formuliert.
22:43.98
Kerstin
Okay, wir machen noch eine Episode zu dem Thema dann.
22:47.08
Kerstin
Mhm.
22:47.42
Kerstin
Mhm.
22:48.26
Christoph
Ja, also ich habe das vorhin gerade mit meinem Chef diskutiert, auch überlegt haben, wie geht es bei uns eigentlich weiter.
22:54.66
Christoph
Beratung ist ja auch ein Thema, das ganz stark von KI auch beeinflusst wird.
22:59.63
Christoph
Accenture hat vor einem halben Jahr fünf Prozent seiner Belegschaft rausgeschmissen, weil die einen internen Test nicht bestanden hatten.
23:07.17
Christoph
Das heißt, da gab es irgendwie so einen Fragebogen, wie sehr sind sie bereit, sich zu KI fortbilden zu lassen?
23:12.03
Christoph
Und dann wohl vielleicht noch ein paar Wissensfragen zum Thema, wie gut könnten sie denn KI nutzen, wenn sie denn wollen würden?
23:18.71
Christoph
keine Ahnung, was die da genau getestet haben, das ist jetzt reine persönliche Vermutung.
23:22.77
Christoph
Und nachdem dieser Fragebogen dann abgearbeitet war, haben sie 11.000 Leute gekündigt auf Basis dieses Fragebogens.
23:27.73
Kerstin
Ja.
23:30.03
Christoph
Und das sehen wir natürlich überall.
23:31.39
Christoph
Das sehen wir bei Facebook, bei Google, überall finden die Massenentlassungen statt.
23:36.25
Christoph
Und da ist natürlich die Frage, wie das insgesamt weitergeht.
23:38.83
Christoph
Ich habe mich zu dem Thema mal ein bisschen fortgebildet und habe mir von KI eine Recherche, ein Deep Research von Gemini machen lassen,
23:47.84
Christoph
Zum Thema, wie erging es eigentlich den Webern, die diese Aufstände gemacht haben.
23:52.26
Christoph
Und das ist hochinteressant, weil ein Drittel der Weber hat einen neuen Job in der neuen Industrie gefunden oder irgendeinen anderen Jobs in der gleichen Region.
23:59.06
Kerstin
Ja.
23:59.12
Kerstin
Ja.
23:59.18
Kerstin
Ja.
24:01.16
Christoph
Das war damals ja auch noch sehr regional konzentriert.
24:05.85
Christoph
Dieses Drittel ist also da geblieben, wo sie waren und haben entweder jetzt am Webstuhl gearbeitet, da muss ja auch jemand die Spindeln nachlegen, jemand muss irgendwie mal nachölen.
24:14.78
Christoph
Also da gibt es auch Arbeit, das wären jetzt sozusagen bei uns die KI-Nutzer, die weiterarbeiten.
24:21.38
Christoph
Ein Drittel ist einfach weggezogen, weil es da keine Jobs mehr gab, wo die vielen Leute per Hand gewebt haben und eine ganze Region davon gelebt hat.
24:30.12
Christoph
Das war tatsächlich in der Lausitz einfach so eine ganze Region, die nur vom Weben gelebt hat.
24:33.96
Kerstin
Stimmt.
24:34.10
Kerstin
Mhm.
24:34.22
Christoph
Und die haben halt im damals beginnenden Industriezeitalter im Ruhrgebiet oder in den großen Städten dann irgendwo im Kohleflöz oder woanders gearbeitet, wo die Industrialisierung jetzt halt neue Jobs geschaffen hat.
24:45.81
Christoph
Das ist ja auch passiert.
24:47.63
Christoph
Und ein Drittel konnte sich für keins von beiden entscheiden und ist verhungert.
24:52.33
Christoph
Also das waren vielleicht nicht ganz ein Drittel, aber es gab tatsächlich eine Reduktion des Humankapitals durch Nahrungsmittelmangel.
25:01.01
Christoph
Und das ist etwas, was einem zu denken geben sollte, wenn man sich in der heutigen IT-Welt bewegt.
25:07.25
Christoph
Zu welchem Drittel möchte man gehören?
25:08.99
Christoph
Das ist für mich einer der Anlässe, warum ich seit zwei Jahren tatsächlich mich extremst in KI einarbeite.
25:09.13
Kerstin
Mhm.
25:09.21
Kerstin
Mhm.
25:09.29
Kerstin
Mhm.
25:14.89
Christoph
Ich habe 96, wollte ich eigentlich Cognitive Science studieren, konnte dann das leider nicht machen.
25:19.49
Christoph
Das war extremst ärgerlich, weil da gab es diesen Studiengang in Europa noch gar nicht.
25:24.01
Christoph
Da gab es den nur in den USA.
25:26.06
Christoph
und habe mir damals auch einen neuronale Netzsimulator installiert aus Stuttgart und viel Spaß damit zum Thema gehabt.
25:32.86
Christoph
Aber dann das ganze Thema eigentlich nur noch 20 Jahre passiv beobachtet, weil alles, was zum Thema KI rauskam, war einfach völlig unbenutzbar.
25:39.57
Christoph
So ein bisschen Maschinen-Learning hier bei irgendwelchen Teile- und Schraubensortieranlagen oder so.
25:39.67
Kerstin
Ja, das... Ja.
25:45.95
Christoph
Dann gab es mal so Versuche von IBM, irgendwie das in der Medizintechnik einzuführen.
25:51.09
Christoph
Ziemlich erfolglos, das hat alles nicht so richtig funktioniert, immer so am Rande beobachtet.
25:55.70
Christoph
Aber jetzt natürlich nach Attention is all you need von Google und natürlich auch dem Deep Seek Paper letztes Jahr, da hat sich einfach radikal, nee vorletztes Jahr, hat sich radikal was geändert und deswegen bin ich seit zweieinhalb Jahren eigentlich nur noch dabei, alles zu automatisieren, was ich tue.
26:14.15
Kerstin
Aber das ist in der Natur immer so, Evolution, wer sich nicht anpasst, wird irgendwann, also ich denke, das ist eh ein großes gesamtgesellschaftliches Problem, auf das wir zulaufen mit zunehmender Automatisierung, auch Physical AI, also Robotic.
26:28.75
Kerstin
Und die Gesellschaft so in der Form, wie wir sie jetzt haben, das habe ich auch schon irgendwie drüber geschrieben vor ein paar Jahren,
26:34.72
Kerstin
Wochen, wird das auffangen müssen in irgendeiner Form, aber das wird nicht mehr mit den Modellen, ähnlich wie auch der Grundschutz komplett neu anfangen musste, wird auch die Gesellschaft sich neu aufstellen müssen, um genau diese Herausforderungen anzugehen.
26:48.38
Kerstin
Auf der anderen Seite natürlich, KI ist immer noch Mathematik und irgendjemand braucht es, der die Algorithmen schreibt, der sie anpasst, der sie weiterentwickelt, der die Server unten drunter baut.
26:55.43
Christoph
Das machen die mittlerweile auch selber.
26:56.69
Kerstin
Genau.
26:57.73
Kerstin
Ja.
26:58.07
Christoph
Das machen die mittlerweile schon ziemlich gut.
27:00.01
Christoph
Also die selbstoptimierende KI ist schon Realität.
27:03.93
Christoph
Ist natürlich ein ganz anderes Thema, die gesellschaftlichen Aspekte, aber vielleicht nur ganz kurz dazu.
27:07.61
Kerstin
Mhm.
27:07.69
Kerstin
Mhm.
27:07.77
Kerstin
Mhm.
27:08.73
Christoph
Wir haben in den letzten 200 Jahren mit Industrialisierung und allem, was danach kam, schon extreme Umbrüche gehabt.
27:15.37
Christoph
Wenn man sich mal vorstellt, zum Beispiel 1910 war...
27:19.39
Christoph
in New York das Problem, dass die Straßen so voll mit Pferdescheiße waren, dass die Leute Häuser gebaut haben, wo man so fünf Stufen hochlaufen muss.
27:28.08
Christoph
Diese New York Brownstones, die haben deswegen fünf Stufen, weil die Straße einfach knietief in Pferdedung
27:36.68
Christoph
versunken ist und das wurde als großes Problem betrachtet.
27:39.94
Christoph
15 Jahre später gab es keine Pferde mehr.
27:42.08
Kerstin
Natürlich.
27:42.12
Christoph
Das heißt, das war ein riesiger Umbruch, der da passiert ist.
27:42.28
Kerstin
Mhm.
27:45.20
Christoph
Also die Pferde, okay, die sind alle in die Wurst gegangen, für die war das jetzt nicht so toll, aber die Leute, die sich vorher um die Pferde gekümmert haben, die Schmiede und so weiter, die haben auch Arbeit gefunden und auch so Sachen wie die Weberaufstände sind natürlich, sagen wir mal, schmerzhafte Elemente dieser Revolution gewesen.
28:00.30
Christoph
Aber ich denke, wir haben in den letzten 200 Jahren wirklich viel dazugelernt,
28:04.18
Christoph
wie wir solche Umbrüche tatsächlich managen.
28:07.65
Christoph
Und wenn man sich anguckt, wie sich das Ruhrgebiet geändert hat in den letzten 100 Jahren, wie sich die gesamte Industrie geändert hat.
28:13.34
Christoph
Vor 150 Jahren haben noch 95 Prozent der Europäer in der Landwirtschaft gearbeitet, heute drei oder vier Prozent.
28:13.49
Kerstin
Absolut.
28:13.65
Kerstin
Ja.
28:19.30
Christoph
Wir hatten eine Industrialisierungsquote in Deutschland mal von 50, 60 Prozent oder so.
28:25.72
Christoph
Wir sind immer noch über 20 Prozent und liegen damit über Ländern wie UK oder USA, die unter 15 Prozent sind.
28:33.75
Christoph
Das heißt, wir sind in der Lage, auch große Veränderungen abzureiten, wie eine Welle beim Wellenreiten.
28:41.93
Christoph
Und was wir gesehen haben, ist, das Leben der Menschen wurde von Jahr zu Jahr besser.
28:45.99
Christoph
Das heißt immer dieses ganze, nächstes Jahr werden wir alle sterben und wir brauchen jetzt unbedingt Bürgergeld.
28:46.24
Kerstin
Ja.
28:52.41
Christoph
Das war nicht notwendig.
28:54.17
Christoph
Also die Revolutionen haben viel bewirkt.
28:56.67
Christoph
Sie haben das Leben der Menschen verbessert.
28:58.49
Christoph
Sie haben dafür gesorgt, dass wir einen Lebensstandard heute haben, der in keinster Weise vergleichbar ist mit irgendjemand anderem, mit irgendeiner Zeit, die vor uns war.
29:07.17
Christoph
Ich habe gestern ein schönes LinkedIn-Posting gesehen,
29:11.00
Christoph
Und da hat jemand mal aufgemalt, diese Mannertafeln, ich weiß nicht, wer die kennt, das sind so kleine Keks-Schokotafeln aus Österreich, so eine Mannerriegel.
29:16.18
Kerstin
Ja.
29:16.24
Kerstin
Mhm.
29:16.32
Kerstin
Mhm.
29:20.92
Christoph
Und der hat einfach Stapel hingelegt, wie viel von diesen Tafeln sich ein normaler Arbeitnehmer pro Stunde leisten konnte.
29:28.95
Christoph
Also für eine Stunde Arbeitszeit investieren, wie viele Tafeln waren das?
29:32.05
Christoph
Das waren vor 150 Jahren oder so die Größenordnung, waren das irgendwie drei Tafeln.
29:38.15
Christoph
Und heute steht da so ein Berg.
29:40.19
Christoph
Da stehen tatsächlich so ein 1,50 Meter hoher Turm aus Mannertafeln, die sich ein normaler Arbeitnehmer heute pro Stunde mit dem Geld, das er in dieser einen Stunde selbst verdient, leisten kann.
29:53.23
Christoph
Und ich denke mal, KI wird an der Stelle das auch nicht verändern.
29:56.92
Christoph
Aber das nur so als etwas lang geratenen kleinen Einwurf.
30:00.40
Christoph
Also ich bin da durchaus optimistisch, dass wir einfach, wir werden mehr schaffen, wir werden bessere Sachen machen und wir werden das mit der Sicherheit durch die KI tatsächlich auch in den Griff kriegen, um mal wieder den Schwenk zum Thema zurückzumachen.
30:00.74
Kerstin
Natürlich.
30:00.96
Kerstin
Natürlich.
30:01.16
Kerstin
Ja.
30:01.22
Kerstin
Ja.
30:11.54
Christoph
Weil wir können mit KI Dinge automatisieren, für die uns heute schlicht und ergreifend die Menschen fehlen.
30:17.52
Christoph
Also keine Firma, die ich kenne, ist wirklich in der Lage, auf jede Bedrohung zeitnah und adäquat zu reagieren oder jeden Patch einzuspielen oder jede Software auf Verbundbarkeiten zu kontrollieren oder jede Auffälligkeit auf der Firewall nachzuverfolgen.
30:34.38
Christoph
Das geht einfach nicht, weil wir dafür nicht das Humankapital haben.
30:37.20
Christoph
Wir haben einfach nicht die Leute dafür.
30:37.24
Kerstin
Das ist ja schon das Problem, was wir die ganzen Jahre mit uns herschleppen.
30:43.91
Kerstin
Und da sehe ich auch, da wird KI eine ganze Menge tun können, um die Sicherheit tatsächlich auch zu erhöhen.
30:49.78
Kerstin
Natürlich werden auch die Angriffe raffinierter und mehr werden.
30:53.46
Kerstin
Aber ich denke, das wird ausgewogen sein.
30:53.56
Christoph
Ja.
30:53.62
Christoph
Ja.
30:56.84
Kerstin
Da bin ich ganz bei dir.
30:59.46
Kerstin
Meine andere Geschichte, was würdest du oder was rätst du CISO-Teams, die aktuell noch im Papierchaos versinken, aber den Schritt Richtung Automatisierung gehen wollen?
31:08.39
Kerstin
Was wäre für die so die ersten vernünftigen Schritte mal so in Richtung Grundschutz++?
31:15.71
Christoph
Ja, die sollten sich im Grundschutz Plus erstmal informieren, was das eigentlich ist, sich vielleicht mal in Oskar einlesen, sich mal überlegen, wie man die eigenen Prozesse auch auf Basis von maschinenlesbaren Datenformaten automatisieren kann.
31:28.87
Christoph
Aber dafür muss man die maschinenlesbaren Datenformate natürlich auch erstmal kennen.
31:32.67
Christoph
An der Stelle vielleicht ein kleiner Hinweis, in den nächsten Tagen erscheint mein Buch.
31:36.63
Kerstin
Yes.
31:39.52
Christoph
Wer sich also mit dem Thema intensiv auseinandersetzen möchte, auch durchaus kritisch gegen, sagen wir mal, dem aktuellen Stand des Grundschutz++ gegenüber, der kann sich diese 280 Seiten als Taschenbuch dann bestellen und zu Hause an den Nachttisch legen.
31:56.48
Christoph
E-Book-Version kommt vielleicht ein bisschen später, muss ich mal gucken, aktuell nur als Taschenbuch.
32:01.63
Christoph
Allerdings Taschenbuch im A4-Format, 280 Seiten, das wird ein ziemlicher Wälzer.
32:07.90
Christoph
Aber dafür steht auch eine Menge drin.
32:07.90
Kerstin
Ich wollte gerade sagen, das eine Compendium schaffen wir ab und du kommst mit dem nächsten um die Ecke.
32:11.94
Kerstin
Super Idee.
32:12.69
Kerstin
Ja, das stimmt.
32:13.87
Christoph
Ja, sagen wir mal, von der Menge her ist es aber noch lange nicht so viel wie der alte Grundschutz, weil da waren wir bei 1500 Seiten DIN A4.
32:22.63
Christoph
Also da bin ich mit den 280 Seiten DIN A4 noch relativ knapp da dran, aber da steht noch auch vieles drin, wie Grundschutz funktioniert, wie Oskar funktioniert, wie das alles ineinander baut und wie zukünftig, fragt es vorhin, bevor wir da etwas abgeglitten sind, nach wie sollen eigentlich die Audits zukünftig sein,
32:37.66
Kerstin
Mhm.
32:37.75
Kerstin
Mhm.
32:37.83
Kerstin
Mhm.
32:41.96
Christoph
Die Audits sollen automatisierter sein, die Audits sollen schneller sein, sie sollen präziser sein und sie sollen auf Basis von maschinenlesbaren Datenformaten, wie gesagt Grundschutz++ in Oskal, aber auch maschinenlesbaren sonstigen Eingabedaten, wie zum Beispiel Konfigurationsdateien,
32:59.76
Christoph
habe ich heute nicht mehr, sondern ich habe halt eine API beim Hyperscaler, wo ich ablesen kann, wie was konfiguriert ist.
33:05.66
Christoph
Ich muss nicht mehr Ansible-Skripte schreiben, um irgendwie auszulesen, welcher Rechner wie konfiguriert ist, die alle ihre eigenen Formate haben und damit halt zu einer extremen Zerstüpplung führen, sondern ich habe einfach eine API,
33:19.24
Christoph
Ja, okay, nicht jeder hat diese API, aber alle, die sie noch nicht haben, sei denen das empfohlen, weil die Hyperscaler halt gerade in Zeiten von Quantencomputing, von KI-Angriffen einfach ein sicherer Fels in der Brandung sind.
33:31.97
Christoph
Das muss man mal ganz klar sagen.
33:33.53
Christoph
Also wer denkt, dass man in Zeiten von Anthropic Mythos sich noch zu Hause mit seinen selbstgebauten Linux-Kisten gegen sowas verteidigen kann?
33:43.38
Christoph
Sorry, aber der Zug ist abgefahren, das ist auch ganz klar.
33:48.61
Christoph
weil dafür müsste man ein Security Setup fahren, wie es sich einfach nur industrielle IT, also sprich die Hyperscaler leisten können.
33:56.62
Christoph
Also wenn man sich überlegt, dass bei Microsoft arbeiten irgendwie 5000 Leute nur im Sicherheitsbetrieb von Azure mit entsprechender KI und so weiter.
34:01.96
Kerstin
Das war schon immer, also gerade im Mittelstand auch, die gar nicht, ja, das Personal und auch nicht das Know-how haben, ständig auf dem Stand der Technik zu bleiben.
34:04.00
Christoph
Das ist einfach eine ganz andere Ausnummer.
34:05.68
Christoph
Ja, ja, genau.
34:14.38
Kerstin
Das habe ich noch nie verstanden, warum man sich das Zeug immer noch selber in den Keller stellen wollte.
34:18.47
Kerstin
Aber das ist... Ja.
34:18.77
Christoph
Weil es bestimmte Organisationen in Deutschland gibt, die sagen, alles Neue ist böse, böse, böse.
34:24.31
Christoph
Ich sage jetzt nicht irgendwelche Computerclubs, die recht bekannt sind oder irgendwelche Lobbyvereine, die auch recht bekannt sind.
34:31.45
Christoph
Aber ja, es gibt in Deutschland eine sehr, also seit Erfolgszählung, sehr aktive Bewegung.
34:37.72
Christoph
die alles versucht zu verhindern, was irgendwie mit Daten oder modernen Technologien zu tun hat.
34:43.30
Christoph
Da sei zum Beispiel daran erinnert, dass es 1987 ein Gutachten der Grünen in ihrer ersten Legislaturperiode, die sie im Bundestag sitzen durften, gab, wo ein berühmter Computerclub nachgewiesen hat, dass das ISDN-Projekt der Telekom für die Bundestagsabgeordneten
35:02.29
Christoph
des Teufels und ganz Böse ist, was dazu geführt hat, dass das Ganze nicht so eingeführt wurde, wie es hätte eingeführt werden können.
35:11.13
Christoph
Und da fangen einfach Traditionen von Technikleugnung an, von Fortschrittsleugnung an, die wir bis heute sehen, weil das bestimmt natürlich den Diskurs, dass da wird... Aber nicht mehr lang, wir haben halt keine Füße mehr, also von daher ist das auch wurscht.
35:22.36
Kerstin
Ja, was uns heute aber auch zunehmend auf die Füße fällt.
35:25.14
Kerstin
Jetzt nochmal zurück auf diesen Outdoor.
35:29.31
Kerstin
Nein, wir kriegen wieder Füße.
35:30.41
Kerstin
Metaverse ist doch tot, Mensch.
35:32.19
Kerstin
Wir kriegen doch jetzt Füße.
35:34.49
Kerstin
Nochmal auf das Audit zurückzukommen.
35:37.03
Kerstin
Jetzt, wenn das so automatisiert ist und auch mit dem NTT-Tool, was du entwickelt hast, mit dem Automator, da wäre es doch eigentlich sogar möglich, ein kontinuierliches Audit zu fahren.
35:45.88
Kerstin
Also ich müsste gar nicht mehr so alle zwei Jahre dieses, ich friere jetzt mal alles ein und dann auditiert der da rum und in drei Jahren, wo die Technik sich dann
35:54.42
Kerstin
noch mal zehn Jahre weiterentwickelt hat, fange ich an aufzuräumen und nachzubessern.
35:59.20
Kerstin
Eigentlich müsste das doch jetzt möglich sein, kontinuierliche Audits zu fahren, das viel transparenter zu machen und ja, auch viel schneller reagieren zu können.
36:08.29
Christoph
Ganz klar.
36:08.71
Christoph
Also der Trend geht weg vom alle einmal im Jahr das große Audit und dann kriegt man den Bericht und aus dem Bericht entsteht dann eine Excel-Tabelle.
36:16.42
Christoph
Die Excel-Tabelle wird dann in irgendwelchen Ticketsystemen, in Tickets abgearbeitet und wenn man Glück hat, hat man einen guten Teil der Tickets abgearbeitet, bis das nächste Mal der Auditor vorbeikommt.
36:25.19
Christoph
Die Zeiten sind
36:27.45
Christoph
können vorbei sein, wenn man die heutigen Technologien oder die heutigen Ideen und Prozesse konsequent anwendet.
36:32.83
Christoph
Das heißt, das Continuous Auditing als Compliance as Code, das heißt, so wie der Grundschutz jetzt halt in JSON bereit liegt, gibt es natürlich auch noch viel ganz andere Standards, wo Compliance dann auch automatisiert überwacht wird.
36:38.88
Kerstin
Mhm.
36:38.96
Kerstin
Mhm.
36:47.23
Christoph
So was
36:48.27
Christoph
wie die CIS-Benchmarks, die sind zwar als PDF kostenlos verfügbar, aber wenn man sich das kommerzielle Angebot holt, kriegt man halt auch eine automatisierte Überwachung, machen natürlich auch viele andere Compliance-Scanner, da wollen wir jetzt nicht nur die CIS nennen, sondern das macht natürlich auch WITS und Tendable natürlich und auch wie sie alle heißen,
37:08.51
Kerstin
Es gibt viele.
37:12.77
Christoph
Ganz viele.
37:13.51
Christoph
Und die verdienen sich auch da ein gutes Geld und die machen auch einen guten Job.
37:16.89
Christoph
Aber das sind natürlich alles separate Datenformate, die man dann irgendwie wieder zusammenführen müssen.
37:21.89
Christoph
Und das ist tatsächlich die Aufgabe des IT-Sicherheitsbeauftragten und seines Stabes, sofern man jemanden hat, sofern man groß genug ist.
37:31.15
Christoph
Oder man muss halt entsprechende Tools kaufen, die das schon im Hintergrund alles tun.
37:35.07
Christoph
diese Tools miteinander zu integrieren.
37:37.63
Christoph
Das heißt, wenn ich jetzt einen Audit mache, dann will ich eigentlich die Übersicht haben, von welche Compliance Scanner sind eigentlich alle im Einsatz?
37:46.97
Christoph
Wie sind die Daten konsolidiert?
37:49.46
Christoph
In welchen gemeinsamen Topf spielen die ein?
37:51.96
Christoph
Wie wird kontrolliert, dass entsprechende gesetzte Sicherheitsniveau auch eingehalten wird?
37:56.38
Christoph
Wer hat das Sicherheitsniveau gesetzt?
37:57.76
Christoph
Das ist immer noch eine organisatorische Frage.
37:59.70
Christoph
Da kann man immer noch mit Menschen reden, kann sie darüber befragen.
38:01.53
Kerstin
Vielen Dank.
38:02.88
Christoph
Wie sie ihr Sicherheitsniveau einschätzen, wie viel Bereitschaft für Investitionen sie haben, wie viel Risiko sie wirklich auch bereit sind einzugehen.
38:11.00
Christoph
Weil das ist so auch so ein, denke ich mal, so ein gewisser, ja sagen wir mal, eine deutsche Tradition.
38:16.24
Christoph
Wir reden eigentlich nur noch über Risiken, wir reden nicht über Chancen.
38:20.55
Christoph
Das heißt, jede neue Technologie hat auch sehr, sehr viele Chancen und wenn ich jetzt eine neue Technologie nur nach Risiken betrachte, dann werde ich immer darauf kommen, dass diese Technologie auf keinen Fall eingesetzt werden darf, weil es alles böse, böse, böse, böse und Datenschutz natürlich.
38:34.42
Kerstin
Vielleicht sollten wir
38:37.15
Christoph
Wenn ich aber auch über Chancen nachdenke und ein ausgewogenes Risikomanagement habe, indem ich Chancen gegen Risiken abwäge, dann habe ich hier natürlich die Möglichkeit, auch neue Dinge so einzusetzen, dass sie auch gut sind für den eigenen Betrieb, für die Mitarbeiter, die Fröhlichkeit der Kunden und alles, was man so als persönliches Ziel in seiner Organisation so hat.
38:58.18
Christoph
Und das ist ein ganz wichtiger Punkt, der da auch immer übersehen wird.
39:02.40
Christoph
Das ist auch etwas, worauf ich als Auditor achte, dass die Leute halt nicht nur sagen, ja, wir haben hier hunderte von Risiken und deswegen machen wir das alles nicht, sondern auch so, ja, du hast dich jetzt zum Beispiel dagegen entschieden, Cloud zu benutzen, weil du hast gelesen, da sind Risiken.
39:15.74
Christoph
Aber hast du dir auch mal angeguckt, welche Chancen du hast, wenn du diese Technologie jetzt einsetzt?
39:22.23
Christoph
Welche Möglichkeiten hast du, deine Prozesse besser zu gestalten?
39:25.49
Christoph
Wie kannst du deine Mitarbeiter entlasten?
39:29.05
Christoph
Wir haben alle ein Personalproblem.
39:30.45
Christoph
Das heißt, wenn ich eine IT-Abteilung mit 15 Sollstellen habe, von denen nur acht besetzt sind und zwei wegen Burnout im Krankenhaus, dann muss ich mir halt überlegen, wie kann ich die Arbeit reduzieren?
39:38.53
Kerstin
Verstehe.
39:41.51
Christoph
Und das mache ich zum Beispiel, indem ich einen Teil der Arbeit halt auslagere, weil halt sich halt der Cloud-Provider um die Server kümmert und um das Patchen von irgendwelchen Platform-as-a-Service-Systems und nicht mehr die Mitarbeiter.
39:54.99
Christoph
Damit ist schon einmal eine Menge geschafft.
39:56.53
Christoph
Das war schon mal ein gutes Ding.
39:57.79
Christoph
Ich habe ja knapp 20 Jahre Pentests gemacht und bei ganz vielen Auditberichten habe ich mir gedacht, so Leute, das Beste, was ihr für eure IT machen könnt, ist, lasst es.
40:09.53
Christoph
Also sucht euch jemanden, der es besser kann und lasst denen das machen.
40:12.35
Kerstin
Ja.
40:12.46
Kerstin
Auch deren Kerngeschäft.
40:12.94
Kerstin
Ja.
40:13.59
Christoph
Und das ist jetzt das, was die Cloud-Anbieter für gerade den Mittelstand halt sind, weil die großen Firmen, die Leute sagen immer, ja, aber guck mal, hier, was weiß ich, Netflix, die haben auch ihren eigenen Cloud gebaut.
40:24.16
Christoph
Ja, natürlich hat Netflix seine eigene Cloud gebaut.
40:26.52
Christoph
Die haben da Milliarden investiert.
40:28.26
Christoph
Aber das kann ich doch mittelständischen Schraubenhersteller aus Baden-Württemberg, dem kann ich doch nicht erzählen, baue mal dein eigenes Kubernetes-Cluster, mach Security-Tooling drauf, mach Monitoring drauf.
40:38.80
Christoph
Machen noch einen X-Sore und eine automatisierte Vorfallserkennung drauf.
40:43.30
Christoph
Das kann ich doch den Leuten nicht erzählen.
40:44.86
Christoph
Da arbeiten 150 Leute, machen Schrauben.
40:47.44
Kerstin
Ja.
40:47.48
Christoph
Zwei Leute davon kümmern sich darum, dass die FIBO funktioniert.
40:47.50
Kerstin
Ja.
40:47.56
Kerstin
Ja.
40:51.48
Christoph
Und denen kann man doch nicht erzählen, dass sie jetzt irgendwie mit einem eigenen Kubernetes-Cluster besser laufen, wenn sie alles, was sie brauchen, auch irgendwo mieten können und sich dann auf ihr Kernbusiness konzentrieren können.
41:01.86
Christoph
Und auch selbst die Leute, die Anwendungen schreiben, die wirklich davon leben, dass sie Software...
41:06.54
Christoph
Vermieten zum Beispiel so SARS-Dienste oder dass jemand halt einen SARS-Dienst bereitstellt.
41:13.13
Christoph
Auch die profitieren immens davon, wenn sie sich einfach auf ihre Applikation konzentrieren können.
41:18.77
Christoph
Also ich kenne ganz viele Mittelständler.
41:19.07
Kerstin
Aber da fängt es ja meistens schon an, dass viele ihr Kerngeschäft oder ihre Kernprozesse überhaupt nicht kennen.
41:20.63
Christoph
Ja, genau, wir sind schon drüber.
41:25.76
Kerstin
Das wäre aber, glaube ich, nochmal ein ganz, ganz neues Thema.
41:28.34
Kerstin
Christoph, wir laufen ein bisschen aus der Zeit raus.
41:30.84
Kerstin
Es hat unglaublich viel Spaß gemacht und ich freue mich wahnsinnig auf eine Fortsetzung.
41:35.22
Kerstin
Ich würde das wirklich, wirklich, wirklich gerne fortsetzen und bestimmt noch mindestens zwei oder drei Episoden mit dir machen.
41:42.82
Kerstin
Hast du für heute Famous Last Words?
41:44.88
Kerstin
Was ist so deine Botschaft an die Welt aktuell?
41:48.84
Christoph
Chancen sehen, an die Zukunft glauben, nicht den Kopf in den Sand stecken und ganz viel KI benutzen, dabei auf die großen Frontier-Modelle setzen und sich nicht von Agenten verwirren lassen, die selber krude Ideen über die Welt haben, sondern seine KI präzise steuern und dafür halt auch ein bisschen Code entwickeln.
42:11.49
Christoph
Das wäre sozusagen mein Schlusswort.
42:13.42
Kerstin
Perfekt, perfekte letzte Worte.
42:16.46
Kerstin
Vielen lieben Dank, lieber Christoph.
42:17.92
Kerstin
Also es hat wirklich unglaublich viel Spaß gemacht, würde das wirklich gern fortsetzen.
42:23.11
Christoph
Ich auch gerne.
42:23.25
Kerstin
Ja, mir bleibt nur zu sagen, ihr habt gehört Episode 3 von Above Sea Level, einem Podcast von Computing Deutschland.
42:23.45
Christoph
Bis dann.
42:23.63
Christoph
Ciao.
42:29.69
Kerstin
Folgt uns auf LinkedIn, YouTube oder WhatsApp für mehr spannende Tech-Updates und ja, Links gibt es wie immer in den Shownotes.