Building a Real-Time ASCII Art Filter with GPU-Accelerated Performance

Use Metal to create custom Core Image kernels

There's never been a better time to develop for Apple platforms.

これはGoogle Summer of Code 2026にて、Graphiteのコントリビューターとして取り組んだうちの一部、メッシュグラデーションの実装実験より得た知見をまとめた記事です。インタラクティブデモを用意しているので、以下のリンクからどうぞ。 https://yayo1.com/demo/mesh-gradient-in-svg-1.1/ ! Safariでは想定した通りに動かない可能性があるので、ChromeもしくはFirefoxから見てください。実装の最中にfeDisplacementMapにCoreImage移植が原因と思われるリグレッションが発生し、新しいSafar...

There's never been a better time to develop for Apple platforms.

iOS implementation of image_crop_compress. Provides native image processing using CoreImage, UIKit, and ImageIO frameworks. Changelog excerpt: ### Fixed - Updated GitHub issues link in README to point to the correct user repository.

<div id="remove_no_follow"> <div class="grid grid--cols-10@md grid--cols-8@lg article-column"> <div class="col-12 col-10@md col-6@lg col-start-3@lg"> <div class="article-column__content"> <section class="wp-block-bigbite-multi-title"><div class="container"></div></section> <div class="extendedBlock-wrapper block-coreImage undefined"><figure class="wp-block-image size-large"><img alt="Hacker und KI" class="wp-image-4128563" height="576" src="https://b2b-contenthub.com/wp-content/uploads/2026/02/shutterstock_2622481035.png?w=1024" width="1024" /><figcaption class="wp-element-caption">Kriminelle Hacker haben ihre Angriffe auf AWS-Umgebungen mit KI beschleunigt.</figcaption></figure><p class="imageCredit"> khunkornStudio – shutterstock.com</p></div> <p>Forscher des Sicherheitsanbieters Sysdig haben einen Angriff aufgedeckt, bei dem kriminelle Angreifer eine AWS-Umgebung in weniger als acht Minuten vollständig kompromittieren konnten. Laut den Threat-Spezialisten nutzten die Bedrohungsakteure dabei eine Cloud-Fehlkonfiguration mit der Hilfe von Large Language Models (LLMs) aus, um den gesamten Angriffs-Lebenszyklus zu komprimieren – von Stunden auf wenige Minuten.</p> <p>„Sich gegen Angriffe dieser Art zu verteidigen, erfordert KI-fokussierte Technologien, die in der Lage sind Schlussfolgerungen zu ziehen und es ermöglichen, auf automatisierte Attacken mit der nötigen Geschwindigkeit zu reagieren“, meint <a href="https://www.acalvio.com/authors/ram-varadarajan/" rel="noreferrer noopener" target="_blank">Ram Varadarajan</a>, CEO beim Plattformanbieter Acalvio.</p> <h2 class="wp-block-heading" id="vom-public-bucket-zur-privilege-escalation">Vom Public Bucket zur Privilege Escalation</h2> <p>Initial konnten sich die Cyberkriminellen laut den Sicherheitsforschern Zugriff verschaffen, indem sie gültige AWS-Anmeldedaten nutzten, die zuvor in öffentlichen <a href="https://www.csoonline.com/article/4095199/aws-s3-buckets-im-visier-von-ransomware-banden.html" target="_blank">S3Buckets</a> offengelegt wurden. Diese enthielten auch KI-bezogene Daten, etwa Berechtigungen für die Interaktion mit Lambda und eingeschränkten Zugriff auf Amazon Bedrock.</p> <p>„Dieser Benutzer wurde wahrscheinlich mit der Intention erstellt, Bedrock-Tasks mit Lambda-Funktionen in der gesamten Umgebung zu automatisieren“, erklären die Sysdig-Forscher.</p> <p>Mit Lesezugriff auf die gesamte Umgebung hatten die Angreifer dann auch leichtes Spiel damit, sich einen Überblick über alle verfügbaren AWS-Dienste zu verschaffen und ihre Berechtigungen zu erweitern, indem sie eine existierende Lambda-Funktion modifizierten.  </p> <p>Wie die Analyse der Sicherheitsforscher zeigt, weist der Lambda-Code Anzeichen auf, die darauf hindeuten, dass er per LLM generiert wurde , darunter ein umfassendes Exception Handling iterative Targeting-Logik und nicht-englische Kommentare.</p> <h2 class="wp-block-heading" id="laterale-bewegung-llmjacking-und-gpu-missbrauch">Laterale Bewegung, LLMjacking und GPU-Missbrauch</h2> <p>Nachdem sich die Angreifer administrativen Zugriff verschafft hatten, bewegten sie sich lateral über 19 verschiedene AWS-Principals und erstellten neue Benutzerkonten, um ihre Aktivitäten auf verschiedene Identitäten zu verteilen. Dieser Ansatz ermöglichte den Angreifern Persistenz und erschwerte parallel die Detection, wie die Forscher in ihrem Bericht festhalten.</p> <p>Anschließend verlagerten die Hacker ihren Fokus auf Amazon Bedrock, ermittelten die verfügbaren Modelle und deaktivierten die Protokollierung von Modellaufrufen. Laut den Forschern wurden dann mehrere Foundation-Modelle aufgerufen , entsprechend dem Muster von „<a href="https://www.csoonline.com/article/3560005/hacker-zielen-auf-llm-zugange.html" target="_blank">LLMjacking</a>“. Zudem verwies der Code in Teilen auch auf nicht existierende Repositories und Ressourcen, was Sysdig auf LLM-Halluzinationen zurückführt.</p> <p>Im Anschluss missbrauchten die Angreifer schließlich auch noch Ressourcen. Demnach versuchten die Angreifer, High-End-GPU-Instanzen für Machine-Learning-Workloads zu starten. Während das bei den meisten Instanzen aufgrund von Kapazitätsbeschränkungen fehlschlug, konnten die Cyberkriminellen allerdings eine besonders kostspielige GPU-Instanz starten – inklusive Skripten, um CUDA zu installieren, Trainings-Frameworks bereitzustellen und ein öffentliches JupyterLab-Interface zu exponieren.</p> <p>Experten zufolge ist das Beunruhigendste an diesem Angriff nicht, dass  KI eine neue Angriffstechnik ermöglicht hat.</p> <p> „Wenn man diesen Angriff auf das Wesentliche reduziert, ist das bahnbrechende nicht die Technik“, betont etwa <a href="https://www.keepersecurity.com/blog/it/author/shane/" rel="noreferrer noopener" target="_blank">Shane Barney</a>, CISO bei Keeper Security. „Entscheidend ist die geringe Widerstandsfähigkeit der Umgebung, sobald der Angreifer legitimen Zugriff erhalten hat.“ Der Sicherheitsentscheider warnt davor, dass KI Reconnaissance,  Privilege Testing und laterale Bewegungen durch das Netzwerk in einer besonders schnellen Sequenz komprimiert. Hierdurch werde die Pufferzeit, auf die sich die Verteidiger bislang traditionell verlassen hätten, eliminiert.</p> <p>Um das Risiko solcher Attacken zu verringern, empfehlen die Sysdig-Forscher, das Least-Privilege-Prinzip konsequent auf sämtliche IAM-Benutzer- und Lambda-Execution-Rollen anzuwenden. Darüber hinaus sollten sensible S3-Buckets niemals öffentlich zugänglich sein, warnt Sysdig.</p> <p>Die Research-Experten legen Unternehmen außerdem ans Herz</p> <ul class="wp-block-list"> <li>die Lambda-Versionierung zu nutzen,</li> <li>die Protokollierung der Modellaufrufe in Bedrock zu aktivieren, und</li> <li>verdächtige, großangelegte Enumeration-Aktivitäten kritisch zu überprüfen.</li> </ul> <p> (jm/fm)</p> </div></div></div></div>

<div id="remove_no_follow"> <div class="grid grid--cols-10@md grid--cols-8@lg article-column"> <div class="col-12 col-10@md col-6@lg col-start-3@lg"> <div class="article-column__content"> <section class="wp-block-bigbite-multi-title"><div class="container"></div></section> <div class="extendedBlock-wrapper block-coreImage undefined"><figure class="wp-block-image size-large"><img alt="Buhlmann Group" class="wp-image-4127964" height="576" src="https://b2b-contenthub.com/wp-content/uploads/2026/02/Titelbild-1-e1550132373583-1.jpg?quality=50&amp;strip=all&amp;w=1024" width="1024" /><figcaption class="wp-element-caption">Die Buhlmann Group wurde von einer Ransomware-Bande angegriffen. Der Hauptsitz in Deutschland ist jedoch verschont geblieben.</figcaption></figure><p class="imageCredit">Buhlmann Group</p></div> <p>Akira zählt zu den gefährlichsten Ransomware-Gruppen und ist bekannt für zahlreiche Angriffe <a href="https://www.csoonline.com/article/3577944/diese-unternehmen-hats-schon-erwischt.html" target="_blank">auf deutsche Unternehmen</a>. Nun hat es offenbar den Bremer Stahlhändler Buhlmann getroffen. In einem <a href="https://x.com/FalconFeedsio/status/2008961215486439711" rel="noreferrer noopener" target="_blank">Darknet-Post</a> verkündet die Hackergruppe, sensible Informationen von der Buhlmann Group gestohlen zu haben.</p> <p>Die Angreifer drohen dem Unternehmen damit, 55 Gigabyte Daten zu veröffentlichen. Die Buhlmann Gruppe hat sich bisher noch nicht offiziell dazu geäußert. Gegenüber dem Regionalmagazin <a href="https://www.butenunbinnen.de/nachrichten/bremer-unternehmen-von-hackergruppe-erpresst-100.html" rel="noreferrer noopener" target="_blank">buten un binnen</a> bestätigte eine Sprecherin, dass eine US-Tochterfirma von einem Cyberangriff betroffen sei. Das angegriffene IT-System werde jedoch nur in den USA genutzt.</p> <h2 class="wp-block-heading" id="standort-in-deutschland-nicht-betroffen">Standort in Deutschland nicht betroffen</h2> <p>“Ein Zugriff auf IT-Systeme und Daten anderer Gesellschaften, insbesondere solcher in Deutschland und der EU ist nicht erfolgt und auch nicht möglich”, so die Unternehmenssprecherin. Daher seien auch keine Daten außerhalb vom Standort in den USA gefährdet.</p> <p>Nach eigenen Angaben beschäftigt die Buhlmann Group rund 2.000 Mitarbeitende in 23 Ländern. Das Unternehmen erzielte im Jahr 2024 einen Jahresumsatz von 428 Millionen Euro.</p> <p>Lesetipps:<br /><a href="https://www.csoonline.com/article/3560200/hackerangriff-auf-backereikette-schafer.html" target="_blank">Akira greift Bäckereikette Schäfer an</a></p> <p><a href="https://www.csoonline.com/article/4106435/ransomware-bande-attackiert-ideal-versicherung.html" target="_blank">Akira attackiert Ideal Versicherung</a></p> </div></div></div></div>

<div id="remove_no_follow"> <div class="grid grid--cols-10@md grid--cols-8@lg article-column"> <div class="col-12 col-10@md col-6@lg col-start-3@lg"> <div class="article-column__content"> <section class="wp-block-bigbite-multi-title"><div class="container"></div></section> <div class="extendedBlock-wrapper block-coreImage undefined"><figure class="wp-block-image size-full is-resized"> width="2488" height="1399" sizes="auto, (max-width: 2488px) 100vw, 2488px"><figcaption class="wp-element-caption">Russische Hacker haben kurz vor den Olympischen Winterspielen einige Standorte in Italien angegriffen. Die Angriffe wurden abgewehrt.</figcaption></figure><p class="imageCredit">FamVeld – shutterstock.com</p></div> <p>Wenige Tage vor Beginn der Olympischen Winterspiele in Mailand und Cortina d’Ampezzo hat Italien mehrere russische Hackerattacken abgewehrt. Die Cyberangriffe hätten unter anderem einige Standorte der Winterspiele, darunter Hotels in Cortina, zum Ziel gehabt, sagte Außenminister Antonio Tajani. Auch Einrichtungen seines Ministeriums seien betroffen gewesen.</p> <p>Tajani betonte während eines Besuchs in Washington, die Angriffe seien russischen Ursprungs gewesen. Er bedankte sich bei den Sicherheitsbehörden, die diese vereiteln konnten. “Die Cybersicherheit wird zu einem zentralen Faktor, daher bin ich sehr zufrieden. Selbstverständlich haben wir alle anderen zuständigen Behörden informiert”, sagte der Minister weiter.</p> <p>Wie italienische Medien berichteten, haben sich die lokalen Behörden auf die Risiken durch Cyberattacken während der Winterspiele frühzeitig vorbereitet. Ein Team aus Fachleuten arbeitet demnach gemeinsam mit Experten der Organisatoren der Spiele daran, Angriffe auf das Großevent abzuwehren. Die Winterspiele beginnen am Freitag und dauern bis zum 22. Februar. (dpa/jm)</p> </div></div></div></div>

<div id="remove_no_follow"> <div class="grid grid--cols-10@md grid--cols-8@lg article-column"> <div class="col-12 col-10@md col-6@lg col-start-3@lg"> <div class="article-column__content"> <section class="wp-block-bigbite-multi-title"><div class="container"></div></section> <div class="extendedBlock-wrapper block-coreImage undefined"><figure class="wp-block-image size-large is-resized"> srcset="https://b2b-contenthub.com/wp-content/uploads/2026/02/467510068_122131307660493869_19679345767413254_n.jpg?quality=50&amp;strip=all 2048w, https://b2b-contenthub.com/wp-content/uploads/2026/02/467510068_122131307660493869_19679345767413254_n.jpg?resize=300%2C168&amp;quality=50&amp;strip=all 300w, https://b2b-contenthub.com/wp-content/uploads/2026/02/467510068_122131307660493869_19679345767413254_n.jpg?resize=768%2C432&amp;quality=50&amp;strip=all 768w, https://b2b-contenthub.com/wp-content/uploads/2026/02/467510068_122131307660493869_19679345767413254_n.jpg?resize=1024%2C576&amp;quality=50&amp;strip=all 1024w, https://b2b-contenthub.com/wp-content/uploads/2026/02/467510068_122131307660493869_19679345767413254_n.jpg?resize=1536%2C864&amp;quality=50&amp;strip=all 1536w, https://b2b-contenthub.com/wp-content/uploads/2026/02/467510068_122131307660493869_19679345767413254_n.jpg?resize=1240%2C697&amp;quality=50&amp;strip=all 1240w, https://b2b-contenthub.com/wp-content/uploads/2026/02/467510068_122131307660493869_19679345767413254_n.jpg?resize=150%2C84&amp;quality=50&amp;strip=all 150w, https://b2b-contenthub.com/wp-content/uploads/2026/02/467510068_122131307660493869_19679345767413254_n.jpg?resize=854%2C480&amp;quality=50&amp;strip=all 854w, https://b2b-contenthub.com/wp-content/uploads/2026/02/467510068_122131307660493869_19679345767413254_n.jpg?resize=640%2C360&amp;quality=50&amp;strip=all 640w, https://b2b-contenthub.com/wp-content/uploads/2026/02/467510068_122131307660493869_19679345767413254_n.jpg?resize=444%2C250&amp;quality=50&amp;strip=all 444w" width="1024" height="576" sizes="auto, (max-width: 1024px) 100vw, 1024px"><figcaption class="wp-element-caption">Romina ist bekannt für seine Mineralwasser-Marken Eiszeitquell und Silberbrunnen. Eine Cyberattacke sorgt aktuell für einen Stillstand der Produktionsanlagen.</figcaption></figure><p class="imageCredit">Romina Mineralbrunnen GmbH</p></div> <p>Der Getränke-Abfüller Romina mit Sitz in Reutlingen-Rommelsbach wurde kürzlich von einer Cyberattacke getroffen. Wie das Unternehmen auf seiner <a href="https://www.romina.de/mineralbrunnen/" rel="noreferrer noopener" target="_blank">Website</a> erklärt, sei man deshalb weder telefonisch noch per E-Mail erreichbar. Laut einem Bericht des <a href="https://www.gea.de/neckar-alb/wirtschaft-in-der-region_artikel,-cyberattacke-auf-romina-in-reutlingen-rommelsbach-_arid,7121320.html" rel="noreferrer noopener" target="_blank">Reutlinger General-Anzeiger</a> steht auch die Produktion aktuell still.</p> <p>Weitere Details zu dem Vorfall gibt es bisher nicht. Daher ist unklar, wie der Angriff genau abgelaufen ist. Ebenfalls ist nicht bekannt, ob Daten gestohlen wurden. Der Regionalzeitung <a href="https://www.swp.de/lokales/reutlingen/mineralwasser-aus-reutlingen-keine-e-mails-kein-festnetz-cyberattacke-auf-romina-78622235.html" rel="noreferrer noopener" target="_blank">Südwest Presse</a> zufolge ermittelt die Polizei Reutlingen bereits in dem Fall.</p> <p>Romina Mineralbrunnen beschäftigt nach eigenen Angaben 130 Mitarbeiterinnen und Mitarbeiter. 2024 hatte das Unternehmen 180,7 Millionen Füllungen verzeichnet und einen Umsatz von mehr als 40 Millionen Euro erwirtschaftet.</p> </div></div></div></div>

<div id="remove_no_follow"> <div class="grid grid--cols-10@md grid--cols-8@lg article-column"> <div class="col-12 col-10@md col-6@lg col-start-3@lg"> <div class="article-column__content"> <section class="wp-block-bigbite-multi-title"><div class="container"></div></section> <div class="extendedBlock-wrapper block-coreImage undefined"><figure class="wp-block-image size-large"><img alt="Joanna Lang-Recht, Chef-Forensikerin bei der intersoft consulting services AG" class="wp-image-4125689" height="576" src="https://b2b-contenthub.com/wp-content/uploads/2026/02/joanna-lang-recht_1280x720.jpg?quality=50&amp;strip=all&amp;w=1024" width="1024" /><figcaption class="wp-element-caption">Ruhe bewahren und keine übereilten Sachen machen, empfiehlt Podcast-Gast Joanna Lang-Recht.<br /></figcaption></figure><p class="imageCredit">intersoft consulting services AG</p></div> <p>Montagmorgen, 8:00 Uhr. Die Mitarbeitenden können sich nicht einloggen. Die Produktionsbänder stehen still, und auf den Bildschirmen prangen digitale Erpresserschreiben. Der Albtraum eines jeden CIOs ist wahr geworden: Ein Ransomware-Angriff hat den Betrieb lahmgelegt. Jetzt endet der Regelbetrieb, und der Ausnahmezustand beginnt.</p> <p>Für <a href="https://de.linkedin.com/in/joanna-lang-recht-1903161b7" rel="noreferrer noopener" target="_blank">Joanna Lang-Recht</a>, Director IT Forensics und Prokuristin bei der intersoft consulting services AG in Hamburg, ist dies der Alltag. Sie leitet eine hochspezialisierte Eingreiftruppe, die den Tathergang rekonstruiert und den Schaden eindämmt, während die anderen tief im Chaos versinken.</p> <p>„Man kann sich das tatsächlich ähnlich vorstellen wie in der kriminalistischen Forensik“, erklärt Lang-Recht. Doch die Realität habe dann doch wenig mit grellen Taschenlampen in dunklen Räumen zu tun, auch wenn die Parallelen in der Vorgehensweise zu erkennen seien. „Wir sammeln keine Schmauchspuren oder Fußabdrücke, wie konzentrieren uns auf Spuren im digitalen Raum“, so die Forensikerin.</p> <p>Wenn Cyberkriminelle zuschlagen, hinterlassen sie trotz aller Verschleierungstaktiken digitale Fragmente. Das können Logfiles sein, veränderte Zeitstempel oder Fragmente im Arbeitsspeicher. All das sind Puzzleteile, aus denen Lang-Recht und ihr Team das Bild des Angriffs zusammensetzen. Ihr Motto: Rekonstruieren statt Spekulieren. Doch bevor die detektivische Arbeit beginnen kann, müssen Unternehmen erst einmal aus der Schockstarre herausfinden.</p> <h2 class="wp-block-heading" id="zwischen-panik-und-paralyse">Zwischen Panik und Paralyse</h2> <p><a href="https://www.csoonline.com/article/3840232/11-ruinose-ransomware-bedrohungen.html" target="_blank">Ransomware</a>-Angriffe folgen meist einem perfiden Timing. Beispielsweise wissen die Täter genau, wann IT-Abteilungen besonders verwundbar sind. „Häufig finden solche Angriffe über das Wochenende oder an Feiertagen statt“, berichtet die Expertin aus Hamburg in dem Podcast TechTalk Smart Leadership von COMPUTERWOCHE und CIO-Magazin. Die „Encryption-Phase“, in der die Daten des Opfers verschlüsselt werden, laufe dann von Freitag- bis Sonntagabend durch. Wenn die Belegschaft am Montag ins Büro kommt, sei das Unheil bereits geschehen.</p> <p>Die erste Reaktion in den betroffenen Unternehmen beschreibt Lang-Recht als einen Zustand absoluter Panik. „Wir reden hier von einem wirklichen Ausnahmezustand“, betont sie. Keine E-Mails, kein Zugriff auf Kundendaten, keine Produktion. In diesem ersten „Stadium der Akzeptanz“, wie Lang-Recht es nennt, würden oft die größten Fehler gemacht, die eine spätere Aufklärung massiv erschweren könnten.</p> <p>Der menschliche Impuls sei verständlich: Man möchte retten, was zu retten ist. Doch die Forensikerin warnt eindringlich vor Aktionismus. „Wir sehen häufig, dass IT-Teams gleich versuchen, zu bereinigen oder Backups einzuspielen, bevor sie überhaupt wissen, was passiert ist.“</p> <h2 class="wp-block-heading" id="warum-der-stecker-nicht-gezogen-werden-darf">Warum der Stecker nicht gezogen werden darf</h2> <p>Lang-Recht empfiehlt, die Systeme vom Internet zu trennen, aber nicht auszuschalten. Das Herunterfahren eines Servers könne einen „forensischen Suizid“ bedeuten. „Das vernichtet wertvolle Hinweise“, erklärt sie. Viele Angreifer hinterlassen demnach Spuren im RAM-Speicher. Wird der Strom gekappt, sind diese Informationen unwiederbringlich verloren. Die Daten sind aber essenziell, um zu verstehen, wie die Hacker sich im Netzwerk bewegt haben (Lateral Movement) und ob sie noch aktiv sind.</p> <p>Die korrekte Vorgehensweise, so die Expertin, sei die Isolierung. „Die Verbindungen zu Dienstleistern, Kunden und Lieferanten sollten gekappt werden, um die Supply Chain nicht zu gefährden.“ Erst wenn die Infrastruktur in sich gesichert sei, beginne die eigentliche Arbeit der Forensik. Und diese erfordere oft das Auffahren schwerer Geschütze.</p> <p>Die Dimension von Cyberangriffe sprenge nämlich nicht selten die verfügbaren Speicherkapazitäten vor Ort. Um forensische Images – exakte 1:1-Kopien der Datenträger – zu erstellen, müssen laut Lang-Recht riesige Datenmengen gesichert und analysiert werden. Sind aber hunderte Server und tausende Clients zu untersuchen, werden die Verantwortlichen an physikalische Grenzen stoßen.</p> <h2 class="wp-block-heading" id="wer-steckt-hinter-den-angriffen">Wer steckt hinter den Angriffen?</h2> <p>Das Bild vom einsamen Hacker im Hoodie, der zwischen Pizzaschachteln im Keller hockt, ist laut Joanna Lang-Recht unrealistisch. „Wir haben es mit hochprofessionellen Tätergruppen zu tun“, stellt sie klar. Die Cyberkriminalität hat sich industrialisiert. Das Geschäftsmodell „Ransomware-as-a-Service“ (RaaS) dominiert den Markt.</p> <p>Die Gruppierungen seien wie mittelständische Betriebe aufgestellt. Sie verfügten oft sogar über Personalabteilungen, die Entwickler anwerben, und über Marketingabteilungen, die den Brand der Hackergruppe pflegten. Nicht selten hätten sie sogar einen mehrsprachigen Kundensupport installiert.</p> <p>„Wenn man in die Verhandlung geht, hat man es tatsächlich teilweise mit einem First-Level- und einem Second-Level-Support zu tun“, sagt Lang-Recht. Es gebe Preislisten, Rabattaktionen und Ticket-Systeme.</p> <p>Diese Professionalisierung mache die Angriffe effizient und besonders gefährlich, biete aber auch Ansatzpunkte für Verhandlungen. Für die Angreifer gehe es um ein Geschäft und nicht etwa um eine persönliche Vendetta. Das einzige Ziel ist der Profit. Doch genau hier entsteht oft ein moralisches Dilemma für die betroffenen Unternehmen: Zahlen oder nicht zahlen?</p> <h2 class="wp-block-heading" id="das-dilemma-der-losegeldzahlung">Das Dilemma der Lösegeldzahlung</h2> <p>Während Behörden wie das BSI empfehlen, grundsätzlich nicht zu zahlen, ist die Realität in den Vorstandsetagen eine andere: Wenn die Existenz des Unternehmens auf dem Spiel steht, wird die Moral zur Nebensache. „Es ist am Ende eine rein wirtschaftliche Entscheidung“, sagt sie nüchtern.</p> <p>Geschäftsführern rät sie dringend davon ab, selbst in den Chat mit den Erpressern zu gehen. Hier seien Emotionen absolut fehl am Platz. Besser sei es, auf spezialisierte Unterhändler zu setzen. Ziel müsse sein, zunächst Zeit zu gewinnen, die Forderung zu drücken und herauszufinden, ob die Täter überhaupt in der Lage sind, die Daten wiederherzustellen.</p> <p>Besonders ärgerlich aus Sicht des angegriffenen Unternehmens ist die sogenannte Double Extortion. Dabei verschlüsseln die Täter nicht nur die Daten, sondern sie drohen auch mit deren Veröffentlichung. Wenn sich also das Opfer weigert zu zahlen, erhöhen die Kriminellen den Druck und kündigen die Veröffentlichung sensibler Kundendaten oder Konstruktionspläne an.</p> <h2 class="wp-block-heading" id="die-hausaufgaben-fur-den-c-level">Die Hausaufgaben für den C-Level</h2> <p>„Die Haupteinfallstore sind schwache Passwörter, die per <a href="https://www.csoonline.com/article/3492186/kontosperre-windows-11-stoppt-brute-force-angriffe.html" target="_blank">Brute-Force</a> geknackt werden, ungesicherte Fernwartungszugänge (VPN/RDP) und klassisches Phishing“, resümiert Lang-Recht. Versäumnisse in der „IT-Hygiene“ öffneten den Tätern Tür und Tor. Dazu zählen insbesondere veraltete Systeme, unzureichendes Patch-Management und eine fehlende Netzwerksegmentierung.</p> <p>Wenn ein Angreifer einmal im Netz ist, sollte er sich nicht ungehindert bewegen können. In vielen Unternehmen seien die Netzwerke aber „flach“, so die Forensikerin, wer drin sei, komme überall hin. „Wenn ein Angreifer in einen Teilbereich eindringt, darf er nicht die gesamte Infrastruktur verschlüsseln können“, fordert Lang-Recht. Die Segmentierung des Netzwerks sei die wirksamste Maßnahme, um den Schaden zu begrenzen.</p> <h2 class="wp-block-heading" id="der-faktor-mensch-und-organisation">Der Faktor Mensch und Organisation</h2> <p>Technik ist aber nur die eine Seite der Medaille. Die Expertin betont, wie wichtig es sei, auf den Notfall vorbereitet zu sein. Ein Unternehmen muss wissen, an wen es sich im Notfall wendet. Verträge, die garantieren, dass bei einem Angriff ein Expertenteam bereitstehen, sind für sie unverzichtbar.</p> <p>Zudem müssten Verantwortlichkeiten klar geregelt sein. In der Krise sei keine Zeit für Kompetenzgerangel. Wer entscheidet, ob der Internet-Zugang gekappt wird? Wer kommuniziert mit Kunden, Lieferanten und gegebenenfalls der Presse? Wer informiert den Datenschutzbeauftragten? „Es gibt in der Regel immer eine Person, die kommunikativ die Führung übernimmt“, beobachtet Lang-Recht. Diese Rolle müsse nicht nur definiert, sondern auch trainiert sein – durch Krisenstabsübungen und Notfallsimulationen.</p> <h2 class="wp-block-heading" id="ein-wettrusten-mit-ki">Ein Wettrüsten mit KI</h2> <p>Der Blick in die Glaskugel zeigt keine Entspannung. Das Katz-und-Maus-Spiel zwischen Angreifern und Verteidigern geht nicht nur weiter, es wird durch den Einsatz von künstlicher Intelligenz auf ein höheres Niveau gehoben. <a href="https://www.csoonline.com/article/3845122/ki-gestutzte-angriffe-machen-deutschen-betrieben-zu-schaffen.html" target="_blank">Angreifer nutzen KI</a>, um bessere Phishing-Mails zu schreiben und um Schwachstellen schneller zu finden. Verteidiger nutzen sie, um Anomalien im Netzwerkverkehr in Echtzeit zu erkennen.</p> <p>Lang-Recht bleibt trotz der bedrohlichen Lage Optimistin. Hundertprozentige Sicherheit gibt es nicht, aber man könne es den Angreifern schwer machen. Sie empfiehlt: Investieren Sie in saubere Backups (offline!), Netzwerksegmentierung und Mitarbeiterschulung, und haben Sie einen Plan für den Tag X. (mb)</p> <figure class="wp-block-embed is-type-rich is-provider-spotify wp-block-embed-spotify wp-embed-aspect-21-9 wp-has-aspect-ratio"><div class="wp-block-embed__wrapper youtube-video"> width="100%" height="152" frameborder="0" allowfullscreen allow="autoplay; clipboard-write; encrypted-media; fullscreen; picture-in-picture" loading="lazy" src="https://open.spotify.com/embed/episode/76glj1FbyI6DYwhk4Z8Nw8?utm_source=oembed"> </div></figure> </div></div></div></div>

<div id="remove_no_follow"> <div class="grid grid--cols-10@md grid--cols-8@lg article-column"> <div class="col-12 col-10@md col-6@lg col-start-3@lg"> <div class="article-column__content"> <section class="wp-block-bigbite-multi-title"><div class="container"></div></section> <div class="extendedBlock-wrapper block-coreImage undefined"><figure class="wp-block-image size-large"><img alt="Industriefachkraft" class="wp-image-4126413" height="576" src="https://b2b-contenthub.com/wp-content/uploads/2026/02/shutterstock_2530667899.png?w=1024" width="1024" /><figcaption class="wp-element-caption">Wenn OT-Fachkräfte in den Ruhestand gehen, droht ein massiver Wissensverlust. Das kann erhebliche Folgen für die Cybersicherheit haben.</figcaption></figure><p class="imageCredit"> vectorfusionart – shutterstock.com</p></div> <p>Zwar stellen Cyberkriminelle und staatlich unterstützte Angreifer gerade für den Industriesektor eine enorme und steigende Gefahr dar. Dennoch besteht die größte Bedrohung derzeit im mangelnden Wissenstransfer, was <a href="https://www.csoonline.com/article/3492407/ot-security-so-schutzen-sie-ihre-industrieanlagen.html" target="_blank">OT-Sicherheit </a>und -Organisation (Operational Technology) angeht. Das Hauptproblem sind vertrauenswürdige Mitarbeiter, die in Rente gehen.</p> <p>Diese Personen sind in der Regel engagiert, sachkundig und unersetzlich. Sie wissen, auf welchem unbeschrifteten Server das System zur Erfassung historischer Daten läuft, das die Aufsichtsbehörden verlangen. Sie erinnern sich daran, warum ein bestimmtes VLAN mit scheinbar zufälligen IP-Adressen konfiguriert wurde. Sie wissen, welche Netzwerkrouten nur unter Produktionsstillstand geändert werden können. Ihr institutionelles Wissen umfasst somit Tausende von IP-Adressen, undokumentierte Netzwerkrouten und versteckte VLANs, die in der offiziellen Dokumentation fehlen.</p> <p>Ihre Nachfolger hingegen bringen Erwartungen an moderne, gut dokumentierte Netzwerkarchitekturen mit. Stattdessen erben sie ein komplexes Geflecht aus Altsystemen, proprietären Protokollen und undokumentierten Konfigurationen, die das Ergebnis jahrzehntelanger schrittweiser Änderungen und Notfallkorrekturen sind. Die Diskrepanz zwischen Erwartungen und Realität führt zu einer Wissenslücke, die sowohl die Betriebskontinuität als auch die Cybersicherheit gefährdet.</p> <p>Hierbei handelt es sich jedoch um eine Art „Single Point of Failure“, den die meisten Unternehmen erst erkennen, wenn es bereits zu spät ist. </p> <p>Der Weggang erfahrener OT-Fachkräfte birgt drei kritische Risiken, die weit über einfache Personalprobleme hinausgehen und bei herkömmlichen Risikobewertungen meist unterschätzt werden:</p> <h2 class="wp-block-heading" id="1-systemausfalle-wahrend-der-modernisierung">1. Systemausfälle während der Modernisierung</h2> <p>Das unmittelbare und schwerwiegendste Risiko besteht in unbeabsichtigten Folgen während System-Upgrades oder Modernisierungsmaßnahmen. Ältere OT-Netzwerke enthalten das, was Branchenexperten als „archäologische Schichten“ bezeichnen: Jahrzehntelange inkrementelle Modifikationen, Notfallkorrekturen und undokumentierte Konfigurationen, die versteckte Abhängigkeiten schaffen.</p> <p><strong>Die größten Risiken:</strong></p> <ul class="wp-block-list"> <li><strong>Nicht dokumentierte Altsysteme</strong>: Die meisten Produktionsstätten verfügen über mindestens ein Windows-NT- oder Windows-XP-System, auf dem unverzichtbare historische Daten gespeichert sind oder zentrale Prozesse gesteuert werden. Diese Systeme sind oft nicht hinreichend dokumentiert. Ihre Entfernung im Zuge von Modernisierungsmaßnahmen kann zum Verlust der Produktionsdaten von Jahrzehnten führen, die für die Einhaltung gesetzlicher Vorgaben erforderlich sind.</li> <li><strong>Versteckte Netzwerkabhängigkeiten</strong>: IP-Routing-Tabellen, VLAN-Konfigurationen und Firewall-Regeln enthalten oft scheinbar willkürliche Einstellungen, die jedoch tatsächlich Netzwerkkonflikte verhindern oder die Kommunikation kritischer Systeme aufrechterhalten. Eine Änderung dieser Konfigurationen ohne institutionelles Wissen kann zu einem Dominoeffekt über mehrere Produktionslinien hinweg führen.</li> <li><strong>Anforderungen an proprietäre Protokolle</strong>: Viele ältere Industriesysteme kommunizieren über proprietäre oder modifizierte Standardprotokolle. Die spezifischen Konfigurationsparameter, die diese Kommunikation ermöglichen, sind selten dokumentiert und existieren nur im institutionellen Wissen ausscheidender Mitarbeiter.</li> </ul> <p>Lesetipp: <a href="https://www.csoonline.com/article/3841471/cisos-mussen-ot-risiken-starker-adressieren.html" target="_blank">CISOs müssen OT-Risiken stärker adressieren</a></p> <h2 class="wp-block-heading" id="2-verlangerte-time-to-value-fur-neue-gerate-und-prozesse">2. Verlängerte Time-to-Value für neue Geräte und Prozesse</h2> <p>Der Verlust von spezifischem Know-how verlängert die Implementierungszeiten für neue Geräte, Prozessverbesserungen und Systemintegrationen erheblich. Dieser Effekt verstärkt sich mit der Zeit und führt zu Wettbewerbsnachteilen und verpassten Optimierungsmöglichkeiten.</p> <p><strong>Herausforderungen bei der Implementierung:</strong></p> <ul class="wp-block-list"> <li><strong>Komplexe Netzwerkintegration</strong>: Die Installation neuer Geräte, die früher nur wenige Tage dauerte, nimmt nun Wochen oder Monate in Anspruch. Der Grund: Die neuen Mitarbeitenden müssen die bestehenden Netzwerkkonfigurationen zunächst zurückentwickeln, um die Kompatibilität sicherzustellen.</li> <li><strong>Ineffiziente Fehlerbehebung</strong>: Wenn Integrationsprobleme auftreten, müssen unerfahrene Mitarbeitende häufig Trial-and-Error-Ansätze anwenden, anstatt auf historische Kenntnisse ähnlicher Probleme und deren Lösungen zurückgreifen zu können.</li> <li><strong>Abhängigkeit von Anbietern</strong>: Unternehmen sind zunehmend auf externe Systemintegratoren und Gerätehersteller angewiesen, um ihre eigenen Netzwerke zu verwalten. Das erhöht die Projektkosten und -laufzeiten erheblich.</li> </ul> <h2 class="wp-block-heading" id="3-unbeabsichtigte-cybersicherheitslucken">3. Unbeabsichtigte Cybersicherheitslücken</h2> <p>Ein verstecktes Risiko liegt in gut gemeinten Verbesserungen der Cybersicherheit, die tatsächlich die Angriffsfläche vergrößern. Das neue Personal, das in modernen IT-Sicherheitspraktiken geschult ist, implementiert häufig Lösungen, die für OT-Umgebungen ungeeignet sind oder unbeabsichtigt zuvor isolierte Systeme offenlegen.</p> <p><strong>Häufige Muster für die Schaffung von Schwachstellen:</strong></p> <ul class="wp-block-list"> <li><strong>Fehlerhafte Netzwerksegmentierung</strong>: Versuche, eine moderne Trennung in Netzwerksegmente zu implementieren, verbinden versehentlich zuvor isolierte Netzwerkteile miteinander. So entstehen neue Angriffspfade, die in der alten Konfiguration nicht existierten.</li> <li><strong>Fehlkonfigurationen von Firewalls</strong>: Durch mangelnde Kenntnisse von Legacy-Protokollen können moderne Firewall-Implementierungen legitime industrielle Kommunikationen blockieren und gleichzeitig unbefugte Zugriffe nicht verhindern.</li> </ul> <p>Diese drei Hauptrisiken verstärken sich gegenseitig, wenn sie gleichzeitig auftreten. Dies ist immer häufiger der Fall, da Unternehmen versuchen, veraltete Infrastrukturen zu modernisieren und gleichzeitig den Wandel in der Belegschaft zu bewältigen. (jm)</p> <p>Lesetipp: <a href="https://www.csoonline.com/article/4102407/ki-schafft-neue-sicherheitsrisiken-fur-ot-netzwerke.html" target="_blank">KI schafft neue Sicherheitsrisiken für OT-Netzwerke</a></p> </div></div></div></div>