Steven Lafortune
David GrandolfoDer Oktober ist der Monat der Cybersicherheit, eine weltweite Kampagne mit einer einfachen Aufgabe: Menschen dabei helfen, ein paar Gewohnheiten anzunehmen, die sie online wirklich sicherer machen. Die Ratschläge ändern sich selten; aktualisieren Sie die Software, hören Sie auf, Passwörter wiederzuverwenden, denken Sie nach, bevor Sie klicken. Der schwierigere Teil ist, dass viele von uns glauben, das bereits zu tun.
Wir alle tragen einen Cybersicherheitsmythos oder zwei mit uns herum. Im vergangenen Oktober haben wir die Community gefragt, welche Cybersicherheitsmythen Sie am meisten ärgern. Die Sätze, die Menschen hersagen, ohne nachzudenken, haben die Liste gefüllt: ein Unternehmen, das zu klein zum Hacken ist, ein Antivirus als fertige Strategie, ein bekannter Absender als Beweis, dass eine E-Mail sicher ist, ein VPN als vollständige Privatsphäre.
Dieses Jahr haben wir Kolleginnen und Kollegen gefragt, welche Cybersicherheitsmythen sie noch hören oder noch halb glauben. Wir haben die Antworten gesammelt und sieben davon für David Grandolfo, Koordinator für defensive Sicherheit, ausgewählt. Jeder Abschnitt unten behält den Mythos in den Worten, in denen er angekommen ist. Seine Antworten stehen in den hervorgehobenen Blöcken, getrennt von den Fragen.
Ein komplexes Passwort reicht
Passwort-Ratschläge haben Jahre mit derselben Lektion verbracht: länger ist besser, Sonderzeichen sind besser, und ein Passwort, das sich niemand merken könnte, ist ein Passwort, das niemand erraten könnte. Mehrere Kolleginnen und Kollegen haben diese Lektion als Mythos beschrieben, den sie noch hören oder den sie früher geglaubt haben.
Ein Passwort mit 50 Zeichen, aus Buchstaben, Zahlen und Sonderzeichen, macht mich unangreifbar.
Ein sehr komplexes Passwort reicht für sich allein, um mein Konto zu schützen.
Lange Zeit, als ich jünger und naiver war, dachte ich, ein sehr komplexes Passwort sei alles, was meine Konten brauchen.
Eine Passphrase ist sicherer als ein einzelnes Wort, das mit Sonderzeichen vollgepackt ist.
Die ersten drei behandeln Komplexität als die ganze Verteidigung. Eine davon wird als alter Glaube angeboten, von der Art, die offensichtlich wirkt, bis sie es nicht mehr ist. Die vierte streitet über die Form des Passworts, ein Satz statt eines symbolgefüllten Worts, und stellt das Passwort selbst weiter in den Mittelpunkt.
Die Frage an unser Sicherheitsteam: Schützt ein sehr komplexes Passwort oder eine Passphrase ein Konto für sich allein?
Nein. Ein komplexes Passwort oder eine zufällige Passphrase schützt ein Konto nicht für sich allein. Die Fortsetzung ist vorhersehbar. Multi-Faktor-Authentifizierung schützt ein Konto ebenfalls nicht für sich allein, und das gilt weit über einen einfachen SMS-Code hinaus, den ein Angreifer leichter abfangen kann.
Es gibt mehrere Angriffstechniken, und eine davon ist Password-Spraying. Ein komplexes Passwort verringert diese Art von Angriff oder verhindert sogar, dass er Ihr Passwort findet. 2026 fangen Angreifer das Passwort jedoch ab. Deshalb ist Phishing (Sie werden gebeten, ein Formular mit Konto und Passwort auszufüllen) eine der beliebtesten Strategien. Sobald ein Angreifer Sie das Passwort hat eingeben lassen, spielt die Länge keine Rolle mehr. Er hat es, und er kennt Ihr Land. Dann öffnet er ein VPN in Ihrem Land, um die Sicherheitskontrollen von Microsoft zu umgehen, und fügt einfach Ihr Passwort ein.
Multi-Faktor-Authentifizierung schützt Sie aus demselben Grund nicht vollständig. Bei derselben Technik gehen stärkere Angreifer weiter. Sie bitten Sie, sich „normal“ auf der Microsoft-Website anzumelden, und fangen dann Ihr Sitzungstoken ab. Dieses Token kann das Konto benennen, oft Ihre E-Mail, und es zeigt, dass die MFA-Abfrage bereits erfolgreich war. Es enthält nicht Ihr Passwort. Wird es wiederverwendet, können sie so lange als Sie handeln, wie die Sitzung gültig bleibt, und nur innerhalb dessen, was dieses Konto öffnen darf. Ein langes, komplexes Passwort hilft. Fügen Sie Multi-Faktor-Authentifizierung hinzu. Noch wichtiger: Achten Sie darauf, wo Sie Ihre Daten eingeben.
Wir werden alle erwischt
Einige Kolleginnen und Kollegen haben eine stillere Art beschrieben, auszusteigen: das Gefühl, dass es sowieso passiert, oder dass sie zu gewöhnlich sind, als dass es sich lohnen würde.
Wir werden alle erwischt, früher oder später.
Wenn jemand mit Können wirklich in mein Konto oder meinen Computer will, kommt er hinein, selbst wenn ich einen Antivirus habe.
Ich habe nichts zu verbergen, also muss ich mir keine großen Sorgen machen über die Daten, die Unternehmen über mich sammeln, was sie damit tun oder mit wem sie sie teilen.
Niemand würde mein Konto hacken wollen. Dort ist nichts Interessantes.
Ich habe nichts, das sich zu stehlen lohnt.
Die ersten beiden behandeln einen Einbruch als eine Frage der Zeit. In diesem Bild kommt ein fähiger Angreifer trotzdem durch, Antivirus eingeschlossen. Die anderen drei behandeln die Person als zu klein oder zu unschuldig, um zu zählen. Die Person, die „Ich habe nichts zu verbergen“ weitergegeben hat, war nicht einverstanden. Wenn Menschen sähen, wie viel Unternehmen sammeln, teilen und verkaufen können, wären sie deutlich weniger beruhigt. Es reicht weiter, als die meisten von uns denken, und selbst die Person, die es geschrieben hat, vermutete, die volle Liste würde sie überraschen.
Die Frage an unser Sicherheitsteam: Ist „wir werden alle irgendwann erwischt“ eine faire Beschreibung oder ein Grund, aufzuhören? Ändert ein Antivirus das Ergebnis, wenn der Angreifer fähig genug ist? Und hält nichts zu verbergen, oder nichts Interessantes, eine Person oder ein Konto wirklich von der Liste fern?
Überhaupt nicht. Es stimmt, dass wir, oder das Unternehmen, mit dem wir für unsere gesicherten Daten arbeiten, oder unser eigenes Unternehmen, irgendwann getroffen werden. Das ist kein Grund, seine Kreditkartennummer zu veröffentlichen oder die Haustür offen zu lassen.
Die meisten Angriffe im Jahr 2025 waren opportunistisch. Wenn es leicht ist, sind das die ersten Ziele: die, auf die ein Angreifer für Informationen und vor allem für Geld zugeht. Genau deshalb sollten Sie aufmerksam sein. Nicht bis zur Krankheit, sondern bis zu einem Maß an Komfort, mit dem Sie leben können, während Sie Ihre persönlichen Daten schützen, damit Sie nicht in Panik geraten, wenn der Tag kommt. Im besten Fall seien Sie bereit. Haben Sie jemanden, den Sie anrufen können und der Sie führen kann, oder Schritte, die schon aufgeschrieben sind für den Tag, an dem alle Ihre Passwörter oder Ihre Bankdaten genommen werden. Seien Sie vorbereitet, statt an diesem Tag in Panik zu geraten.
Nichts ist wirklich zu 100 % sicher
Andere Kolleginnen und Kollegen sind von der Obergrenze ausgegangen und haben dann benannt, was sie trotzdem in den Weg stellen würden.
Nichts ist wirklich zu 100 % sicher. Das praktische Ziel ist, einem Angreifer so viele Hindernisse wie möglich in den Weg zu legen, damit er das Interesse verliert und weiterzieht.
2026 zählen ein gutes VPN und ein Antivirus auf jedem Gerät noch.
Multi-Faktor-Authentifizierung einzuschalten ist eines der wirksamsten Dinge, die ich tun kann, um meine Konten zu schützen.
Ein starkes Passwort allein reicht nicht. Multi-Faktor-Authentifizierung ist wesentlich, auch wenn sie nicht jeden Angriff stoppen kann.
Die erste Antwort setzt die Grenze: Perfekte Sicherheit steht nicht zur Verfügung, also ist die Aufgabe Reibung. Die anderen nennen die Werkzeuge, auf die Menschen unter dieser Grenze noch zählen. Ein VPN und ein Antivirus, auf jedem Gerät, auch 2026. MFA als einer der nützlichsten Schritte. Und im selben Atemzug eine Warnung, dass MFA wesentlich ist und trotzdem keine Garantie.
Die Frage an unser Sicherheitsteam: Wenn nichts vollständig sicher ist, welche dieser Hindernisse ändern das Ergebnis wirklich? Wo haben ein VPN, ein Antivirus und Multi-Faktor-Authentifizierung noch ihren Platz, und wo wird von ihnen mehr verlangt, als sie leisten können?
Nichts ist unfehlbar. Trotzdem schützt Sie jedes Werkzeug bis zu dem Maß an Komfort und Erwartung, das Sie festlegen. Finden Sie zuerst heraus, wo ein Treffer am meisten wehtun würde. Jemand erfährt Ihren Standort. Ein Virus hält Sie zwei Wochen von der Arbeit ab. Sie verlieren Ihre Bankdaten und werden betrogen. Sobald Sie diese Schwachstelle benannt haben, setzen Sie Sicherheitskontrollen darum.
Das Minimum ist klar: ein komplexes Passwort oder eine lange Passphrase, und niemals dasselbe Passwort zweimal verwenden. MFA auf jedem dieser Konten (hoch leben die kostenlosen Passwortmanager). Ein Antivirus, der Ihre Arbeit nicht ausbremst (ja, den gibt es, wenn er richtig konfiguriert ist). Stecken Sie ein wenig Energie hinein, und Sie können zu Ihrem Kaffee oder Tee zurückkehren und wissen, dass Sie im Verhältnis zu dem Aufwand geschützt sind, den Sie aufbringen wollten, und dass Sie mit dem Punkt, an dem Sie gelandet sind, einverstanden sind.
Social Engineering
Mehrere Kolleginnen und Kollegen haben die Hauptschwäche bei der Person gesehen, nicht beim Produkt.
Der beste Schutz ist Aufmerksamkeit.
Die Hauptschwäche jedes Computersystems ist der Mensch und wie gut er Social Engineering standhält.
Das größte Risiko ist nie die Technologie. Es ist die Gewohnheit. Wir investieren in ausgefeilte Werkzeuge und vergessen, dass etwa 90 % der Einbrüche immer noch mit einem Klick beginnen, der ein wenig zu schnell war.
Social Engineering wird immer der größte Weg hinein sein.
Der Mensch ist das zentrale Glied.
Eine Antwort behandelt Aufmerksamkeit als die eigentliche Kontrolle. Andere nennen Social Engineering die Tür, die offen bleibt, und den Menschen die Schwachstelle, die jedes System noch hat.
Die Frage an unser Sicherheitsteam: Ist Social Engineering immer noch der Hauptweg hinein, selbst wenn die Werkzeuge schon da sind?
Phishing ist der beliebteste Weg, Zugang zu bekommen, und Phishing ist selbst eine Form von Social Engineering. Er funktioniert leider am besten. Es gibt aber mehrere Angriffsebenen. Bei einem ausgefeilten Angriff oder bei einem fortgeschrittenen Schritt in einem bestimmten Szenario bringen andere Social-Engineering-Techniken, jenseits der Phishing-Nachricht, die meisten erfolgreichen Ergebnisse.
Schon im Dark Web zu verkaufen
Diesmal vier Antworten, alle über persönliche Informationen, sobald sie nicht mehr nur Ihnen gehören: schon zu verkaufen, für KI erreichbar, nach dem Löschen noch online oder von Anfang an nie geteilt.
Unsere persönlichen Informationen sind schon im Dark Web zu verkaufen.
KI wird niemals ohne meine Einwilligung auf meine persönlichen Informationen zugreifen können.
Sobald etwas online steht, existiert es für immer, auch wenn es danach gelöscht wird. Privatsphäre verschwindet online.
So wenig persönliche Informationen wie möglich ins Internet zu stellen ist ein guter Anfang, um ein Leben privat zu halten. Dazu gehören E-Mail, in der Cloud gespeicherte Dokumente und Nachrichtenverläufe.
Die erste behandelt den Verkauf als Tatsache. Ihre Information ist schon draußen. Die zweite sagt, Einwilligung halte KI davon fern. Die dritte sagt, das Löschen eines Beitrags hole ihn nicht zurück, also sei Privatsphäre online schon weg. Die vierte sucht von Anfang an einen kleineren Fußabdruck: weniger E-Mail, weniger Dateien in der Cloud, weniger Chats, die online bleiben.
Die Frage an unser Sicherheitsteam: Sind persönliche Informationen für eine gewöhnliche Person schon zu verkaufen, und was heißt „schon zu verkaufen“ wirklich? Kann KI diese Daten ohne Einwilligung erreichen? Entfernt Löschen etwas online?
Viele Informationen sind auf Angreiferseiten verfügbar, aber nicht jeder kann sie erreichen. Es gibt das Deep Web und das Dark Web. Das Deep Web ist viel leichter zugänglich. Wenn Ihre Informationen im Deep Web landen, kommen die Schwierigkeiten schneller und treffen härter. Bei ausgefeilten Angriffen landet die Information im Dark Web und bleibt die meiste Zeit verborgen, weil sie beim Weiterverkauf Geld wert ist. Sie wird benutzt, ja. Mit gutem Schutz, etwa einem Schutz für Ihre Kreditakte, können Sie reagieren oder diese betrügerischen Transaktionen sogar blockieren. Guter Schutz ist nie etwas, das man auslässt: Er erspart Ihnen eine Menge Ärger.
Wenn die Einstellung aus ist, hört die App auf
Eine Kollegin oder ein Kollege hat das Vertrauen in ein Kontrollkästchen gesetzt, das direkt da war: Die Einstellung wurde ausgeschaltet, und die App muss aus dieser Sicht gehorchen.
Wenn ich eine Einstellung auf OFF stelle, gibt es keine Möglichkeit, dass die App es weiter tut. Oder?
Eine auf Aus gestellte Einstellung sollte etwas bedeuten. Der Mythos ist, den Schalter als die ganze Geschichte zu behandeln.
Die Frage an unser Sicherheitsteam: Was kann die App noch tun, wenn diese Einstellung ausgeschaltet ist?
Wenn die Funktion der Anwendung auf Aus steht, kann die Anwendung die Aktion nicht ausführen, die Sie abgeschaltet haben. Wir haben aber oft gesehen, dass in Werkzeugen (vor allem SaaS) Opt-out-Funktionen zu Opt-in-Funktionen werden. Lesen Sie die Versionshinweise oder prüfen Sie regelmäßig, damit Sie bestätigen können, dass die Sicherheitskontrollen, die Sie eingerichtet haben, noch eingerichtet sind. Die meisten Unternehmen achten auf Sicherheit und bringen Sie nicht in Gefahr, ohne es Ihnen klar und genau zu sagen.
Vertraue niemandem
Eine Kollegin oder ein Kollege hat mit einer Regel geantwortet, nicht mit einem Mythos: Trauen Sie nichts, was man Ihnen sagt, prüfen Sie es, behalten Sie eine Sicherung und betreiben Sie den Dienst selbst.
Vertraue niemandem, prüfe immer, sichere alles, hoste selbst.
Es ist eine ganze Art, online zu sein: an der Nachricht zweifeln, sie woanders prüfen, eine Kopie behalten und den Dienst in den eigenen Händen behalten. Eine strenge Regel kann man noch über den Punkt hinaus befolgen, an dem sie hilft.
Die Frage an unser Sicherheitsteam: Wo gilt „vertraue niemandem, prüfe immer, sichere alles, hoste selbst“ für eine Person, und wo schafft es ein neues Problem?
Sorgfalt schlägt Glauben, offensichtlich. Eine Prüfung von ein paar Minuten kann einem Unternehmen mehrere Tausend Dollar sparen. Eine richtig gemachte Sicherung bedeutet eine Sicherung der Sicherung, außerhalb des Unternehmens aufbewahrt, ohne Weg von dort zurück zu dieser Kopie. Das braucht man für eine wirklich sichere Kopie. Lokales Hosting ist nur sicherer, wenn Sie stärkere Schutzkontrollen auf Ihrer eigenen Plattform haben. Ein lokaler Server, den Sie ohne ein hochwertiges WAF davor ins Internet öffnen, ist kein großer Schutz. Er ist sicher nicht stärker als ein Unternehmen, das ein SaaS-Produkt verkauft und mehrere Schutzschichten über die Anwendung legt, Schichten, die Ihre Daten schützen sollen. Trotzdem ist ein lokaler Server mit nur lokalem Zugriff viel besser geschützt als alles, was dem Internet ausgesetzt ist. Dieser Teil ist sicher.
Wenn es eine Sache zu behalten gibt
Über die sieben Antworten hinweg ist das Muster dasselbe. Keine einzelne Kontrolle erledigt die Arbeit, und keine davon ist nutzlos. Ein langes Passwort, Multi-Faktor-Authentifizierung, ein Antivirus, eine Sicherung und eine ausgeschaltete Einstellung halten jeweils bis zu einem Punkt. Was wiederkehrt, ist Aufmerksamkeit: wo Sie ein Passwort eingeben, ob eine Kontrolle noch an ist, und wen Sie anrufen, wenn etwas schiefläuft, wie David Grandolfo es in seinen Worten sagt:
Cybersicherheit ruht nicht auf einem einzelnen Werkzeug und nicht auf einem Versprechen von perfektem Schutz. Sie ruht auf einfachen Gewohnheiten, die beständig angewendet werden. Verwenden Sie lange, eindeutige Passwörter in einem Passwortmanager, schalten Sie Multi-Faktor-Authentifizierung ein, halten Sie Ihre Geräte aktuell und bleiben Sie aufmerksam, bevor Sie klicken, sich anmelden oder eine Information teilen. Antivirus, ein VPN, Sicherungen und Datenschutzeinstellungen fügen nützliche Schichten hinzu, ersetzen aber weder Ihr Urteil noch ein Minimum an Vorbereitung, falls ein Vorfall eintritt. Angriffe gehen oft auf die leichten Gelegenheiten. Den Angriff schwerer machen, prüfen, was ungewöhnlich aussieht, und wissen, an wen man sich wendet, wenn sich etwas falsch anfühlt: Das bleibt die beste Verteidigung.