Ja, aus beruflichen Gründen. Man findet dort relativ leicht Waffen und Drogen. Für andere kriminelle Angebote muss man tiefer graben. Allerdings bin ich persönlich davon überzeugt, dass 95 Prozent der Angebote Fakes sind.

Fakes?

Ja, Sie suchen beispielsweise Drogen, bestellen sie und erhalten … nichts. Bei welcher Stelle wollen Sie sich beschweren? Wen wollen Sie verklagen? Das Darknet war übrigens ursprünglich mal ein Militärnetzwerk, heute tummeln sich da vor allem Kriminelle. Wir entwickeln gerade Lösungen für unseren neuen Mitgesellschafter, um im Darknet gezielt nach potenziell gestohlenen Daten von Unternehmen zu suchen.

Sie haben einen neuen Mitgesellschafter?

Ja, ich freue mich sehr, dass die Firma „ComSec“, der größte deutsche Ermittlungsdienst im Bereich Wirtschaftskriminalität aus Köln, sich in mein Start-up eingekauft hat, um sein Portfolio zu erweitern. Das Unternehmen spürt Wirtschaftsdelikte auf, Hehlerware bei Ebay beispielsweise oder Unregelmäßigkeiten von Mitarbeitern. Im Top-Management kann es da durchaus um hohe Summen gehen. Die Zusammenarbeit ist für beide Seiten befruchtend. Ich habe aber weiter die Mehrheitsanteile an der Cyber Complete GmbH und bin auch geschäftsführender Gesellschafter.

Sie nennen sich selbst Cyber-Security-Architekt - wie wird man das?

Ich habe in Schmallenberg bei der Stadtverwaltung eine Ausbildung zum Fachinformatiker gemacht und dort dann drei Jahre als IT-Administrator gearbeitet. Mit 25 bin ich in die freie Wirtschaft gewechselt und habe mich dann vor sechs Jahren mit der Cyber Complete GmbH selbständig gemacht. Wir sind zurzeit mit mir fünf Mitarbeiter, zwei IT-Administratoren, ein Vertriebler und ein Marketing-Spezialist. Aber wir sind weiter auf Wachstumskurs.

Der Hackerangriff auf die IT-Südwestfalen hat hohe Wellen geschlagen. Wie blicken Sie aus Schmallenberger Sicht darauf?

Der Forensik-Bericht zum Angriff der Hackergruppe AKIRA liegt mittlerweile öffentlich vor. Auf die SIT wurde derweil aus verschiedenen Richtungen eingedroschen. Daran würde ich mich ungern beteiligen. Aus internen Kreisen weiß ich, dass die Mitarbeiter ziemlich überarbeitet waren. Positiv herausheben kann man sicherlich Schmallenberg. Die Stadt hat als Reaktion auf den Angriff bereits ein Security-Operation-Center eingeschaltet, dort wird die IT rund um die Uhr von externen Anbietern überwacht. Fällt etwas auf, schlagen sie Alarm. Die Stadt hat für die allgemeine Sicherung erstmal für zwei Jahre je 100.000 Euro in den Haushalt eingestellt. Das ist schon erwähnenswert, immerhin geht es um viel Geld, aber auch um viele sensible Daten.

Die SIT hat offensichtlich nicht an die Erpresser gezahlt?

Ja, und das ist sicher auch der richtige Weg, denn: Weiß man, ob man sonst seine Daten überhaupt erhält, und wer garantiert mir, dass sie nicht in sechs Monaten die nächste Summe fordern. Aber erklären Sie das mal einem Mittelständler, dessen Lebenswerk gerade auf dem Spiel steht. Es gibt Veröffentlichungen, wer aktuell betroffen ist und noch viel mehr Firmen, die nicht an die Öffentlichkeit gehen. Und dann gibt es auch die, die zahlen und darüber Stillschweigen bewahren.

Welche Maßnahmen sind wichtig? Sie verweisen in Ihren IT-Vorträgen immer auf die Schwachstelle Mensch.

Natürlich muss man Mitarbeiter schulen, welche Anhänge sie nicht öffnen sollten. Aber ich bin aber auch ein großer Freund davon, Notfallpläne ganz klassisch einzulaminieren und auszuhängen. Was soll man beispielsweise tun, wenn sich plötzlich der Mouse-Zeiger von allein bewegt, wenn Daten nicht mehr erreichbar oder verschlüsselt sind? Bevor da in der Stresssituation das große Chaos ausbricht, muss man Notfall-Prozesse erarbeitet und öffentlich zugänglich gemacht haben. Daneben benötigt das Unternehmen ein BackUp-Konzept, um verschwundene oder verschlüsselte Daten zurückzuerlangen. Das ist zwar etwas aufwendig, aber aus meiner Sicht alternativlos.

Gab es bei den betroffenen Kommunen ein bekanntes Fehlverhalten?

Nein. Aber es gibt bisher - anders als bei Unternehmen - auch keine offizielle Compliance-Vorgabe, wie sich Kommunen schützen müssen. Es fehlen länder- oder bundeseinheitliche Regelungen. Damit ist der öffentliche Dienst aktuell, im Bereich der Cyber Security, ein großer Flickenteppich. Das halte ich für brandgefährlich. Immerhin werden dort alle Bürgerdaten gesammelt.

Und was muss man im Privatbereich beachten?

Da ist es gut, wenn man beispielsweise Fotos nicht nur auf dem Rechner, sondern auch extern sichert, beispielsweise für kleines Geld in einem Cloud-System oder auf einer externen Festplatte. Auch ein sogenanntes SAN- oder NAS-System kostet heute nicht mehr die Welt. Fällt hier zum Beispiel eine Festplatte mit einem Defekt aus, kann die neue Platte relativ einfach, ohne Datenverlust, gewechselt werden.