Cyberdefender

Ein Cyberdefender ist ein Mensch, dessen Beruf es ist, Computer und Netzwerke einer Firma gegen Angriffe zu schützen. Angriffe bedeuten hier: Fremde versuchen, in Systeme einzudringen, Daten zu stehlen oder den Betrieb lahmzulegen. Der Cyberdefender steht auf der verteidigenden Seite. Er baut Schutzmaßnahmen auf, beobachtet, was im Netzwerk passiert, und greift ein, wenn etwas verdächtig aussieht. Der englische Begriff hat sich durchgesetzt, weil sich die Branche selbst so bezeichnet. Man findet ihn oft im Gegensatzpaar zum Angreifer, der im Englischen „Attacker“ heißt.

Warum Verteidiger immer im Nachteil sind

Zwischen Angriff und Verteidigung herrscht ein unfaires Kräfteverhältnis. Ein Angreifer muss nur eine einzige Schwachstelle finden. Der Verteidiger muss alle gleichzeitig schließen. In der Branche nennt man das das Asymmetrieproblem. Es erklärt, warum große Firmen mit riesigen Sicherheitsabteilungen trotzdem gehackt werden.

Dazu kommt die schiere Menge an Systemen. Ein mittelgroßes Unternehmen betreibt schnell mehrere tausend Geräte, Server und Programme. Jedes davon kann Fehler enthalten. Software-Hersteller veröffentlichen laufend Korrekturen, sogenannte Patches. Diese Korrekturen einzuspielen ist unspektakuläre Arbeit, aber sie verhindert einen Großteil aller Angriffe.

Wirtschaftlich ist das Thema längst kein Randproblem mehr. Ein erfolgreicher Angriff kann eine Produktion für Wochen stoppen. Nach großen Vorfällen fallen regelmäßig Aktienkurse, und Versicherungen zahlen inzwischen Millionenbeträge für Cyberschäden. Deshalb sind Cyberdefender gesuchte Fachkräfte, und in Deutschland bleiben viele Stellen lange unbesetzt.

Der Arbeitsalltag zwischen Alarm und Aufräumen

Ein großer Teil der Arbeit besteht aus Beobachten. Alle Geräte schreiben mit, was sie tun, in sogenannten Logs, also Protokolldateien. Spezielle Software sammelt diese Protokolle zentral und schlägt Alarm bei ungewöhnlichen Mustern. Ein Beispiel: Ein Mitarbeiterkonto lädt nachts um drei Uhr zehntausend Dateien herunter. Das ist noch kein Beweis für einen Angriff, aber ein Grund für einen genauen Blick.

Verdächtige Meldungen landen bei Menschen, die entscheiden müssen. Man kann sich das wie eine Notrufzentrale vorstellen. Die meisten Anrufe sind harmlos, aber jeder muss geprüft werden. Fehlalarme sind das Hauptproblem des Berufs. Wer täglich hunderte falsche Warnungen sieht, übersieht irgendwann die echte.

Wird ein Angriff bestätigt, beginnt die Reaktion. Betroffene Rechner werden vom Netz getrennt, Passwörter zurückgesetzt, Sicherungskopien eingespielt. Danach folgt die Ursachensuche: Wie kam der Angreifer herein? Häufig war es eine gefälschte E-Mail, die einen Mitarbeiter zur Eingabe seines Passworts verleitet hat. Dieses Vorgehen heißt Phishing und ist bis heute der häufigste Einstiegsweg.

KI auf beiden Seiten der Front

In den Nachrichten taucht der Begriff meist im Zusammenhang mit künstlicher Intelligenz auf. Sicherheitsfirmen werben damit, dass ihre Systeme Angriffe automatisch erkennen. Tatsächlich sind Modelle gut darin, in riesigen Datenmengen Auffälligkeiten zu finden. Sie ersetzen den Cyberdefender aber nicht, sondern sortieren die Alarme vor. Die Entscheidung, ob ein Server abgeschaltet wird, trifft weiterhin ein Mensch.

Gleichzeitig hilft dieselbe Technik den Angreifern. Sprachmodelle schreiben fehlerfreie Phishing-Mails in jeder Sprache. Die Faustregel, Betrugsmails an schlechtem Deutsch zu erkennen, funktioniert dadurch nicht mehr zuverlässig. Fachleute sprechen von einem Wettrüsten, bei dem beide Seiten dieselben Werkzeuge nutzen.

Begegnen wird man dem Begriff außerdem in Stellenanzeigen und bei Behörden. In Deutschland ist das Bundesamt für Sicherheit in der Informationstechnik zuständig, kurz BSI. Große Unternehmen betreiben eigene Abteilungen, die rund um die Uhr besetzt sind. Eine verwandte Rolle ist der Penetrationstester, der im Auftrag der Firma selbst angreift, um Lücken zu finden. Er gehört zur anderen Seite der Übung, arbeitet aber für dasselbe Ziel.