Russland stellt seine Wirtschaft massiv auf Kriegsproduktion um und plant, seine Streitkräfte auf 1,5 Millionen Soldaten aufzustocken. Wenn wir uns die Landkarte ansehen, wird klar: Die Bedrohung an der NATO-Ostflanke, insbesondere am Suwałki-Korridor, ist real. Und hier kommt Deutschland ins Spiel. Wir sind aufgrund unserer Lage die zentrale Drehscheibe für die Verteidigung Europas. Wenn es ernst wird, müssen zehntausende Soldaten und tausende Fahrzeuge durch unser Land nach Osten verlegt werden.

Was bedeutet das konkret für Sie, für die Wirtschaft und für die Gesellschaft?

Es bedeutet, dass wir den Ernstfall gemeinsam denken müssen. Wenn militärische Kolonnen Vorrang auf den Autobahnen A2, A3 oder A9 haben, dann bricht das gewohnte ‚Just-in-time‘-Prinzip der Logistik zusammen. Wir müssen wieder lernen, Vorräte anzulegen, in den Betrieben wie im Privaten. Wir müssen uns darauf einstellen, dass Mobilfunknetze ausfallen, GPS gestört wird und die Energieversorgung unter Druck gerät.

Die Bundeswehr allein kann dieses Land nicht schützen. Wir brauchen eine gesamtgesellschaftliche Resilienz. Es wird von der Wirtschaft erwartet, dass sie ihre Lieferketten absichert und ihre Betriebe gegen Sabotage und Spionage schützt.

Also: Sorgen Sie vor! Kennen Sie Ihre Notfallpläne, prüfen Sie Ihre Vorräte und vertrauen Sie im Krisenfall unseren Blaulichtorganisationen.

Sicherheitspolitik ist heute auch Wirtschaftspolitik. Wir haben keine Zeit mehr für lange Debatten oder Strategiepapiere. Wir müssen ‚kriegstüchtig‘ werden, nicht um einen Krieg zu beginnen, sondern um durch Abschreckung und eigene Stärke den Frieden zu bewahren.

Verteidigung ist eine Gemeinschaftsaufgabe. Packen wir es an.

In der Vergangenheit haben wir auf maximale Effizienz gesetzt, auf ‚Just-in-Time‘-Logistik und globale Märkte. Doch die Weltlage zwingt uns zum Umdenken. Krisen verlaufen heute nicht mehr nur akut und plötzlich, wie ein Brand oder eine Sturzflut, sondern oft schleichend, etwa durch wirtschaftliche Spannungen oder klimatische Veränderungen. Wir müssen deshalb lernen, in Szenarien zu denken. Was passiert in Ihrem Unternehmen 12 Stunden nach einem vollständigen IT-Ausfall? Wer entscheidet dann was?

Ein zentraler Punkt ist: Unternehmen sind eine isolierten Akteure. Sie sind ein integraler Teil der zivilen Verteidigung Deutschlands. Im Ernstfall wird die Wirtschaft zum Partner des Staates, sei es bei der Versorgung der Bevölkerung, der Aufrechterhaltung der Infrastruktur oder der Unterstützung logistischer Truppenbewegungen durch unsere Region. Wir müssen uns fragen: Sind unsere Leistungen im Krisenfall systemrelevant? Und haben wir genug Personal, wenn beispielsweise Fahrer aus Osteuropa plötzlich ausfallen?

Die gute Nachricht ist: Die wenigsten von Ihnen fangen bei null an. Viele haben bereits Strukturen für das Risikomanagement oder die IT-Sicherheit. Aber wir müssen diese Pläne härten und stresstesten. Die IHK Siegen unterstützt Sie hierbei aktiv, beispielsweise durch Checklisten zur Krisenvorsorge, die wir gemeinsam mit dem Bundesamt für Bevölkerungsschutz entwickelt haben.

Resilienz bedeutet, heute das zu tun, was wir rückblickend im Krisenfall unbedingt getan haben wollten. Lassen Sie uns die Zeit nutzen, um unsere Betriebe, unsere Logistik und unsere Produktion auf die Szenarien vorzubereiten, die wir heute noch für unwahrscheinlich halten.

Anhand typischer Beispiele aus kleinen und mittelständischen Unternehmen wurden häufige Stolperfallen beleuchtet – etwa falsch adressierte E-Mails, die Nutzung von Messenger-Diensten im betrieblichen Kontext, unsichere Cloud-Freigaben, Homeoffice-Situationen oder der Umgang mit Auskunftsersuchen von Betroffenen.

Auch Themen wie Website-Datenschutz, Cookies, fehlende Auftragsverarbeitungsverträge oder der Versand von Newslettern wurden praxisnah betrachtet.

Statt sich ausschließlich mit rechtlichen Vorgaben zu beschäftigen, lag der Schwerpunkt auf konkreten, sofort umsetzbaren Lösungen. Die Teilnehmenden erhielten einen „pragmatischen Werkzeugkasten“, mit dem sie Datenschutz im Unternehmen strukturiert und ohne Bürokratie-Overkill umsetzen können. Dazu gehören einfache organisatorische Maßnahmen, technische Quick-Wins sowie klar definierte Prozesse für typische Datenschutzsituationen.

Das Ziel des Vortrags: Datenschutz verständlich, greifbar und im Arbeitsalltag praktikabel zu machen. Denn die Erfahrung zeigt: Viele Datenschutzvorfälle entstehen durch kleine Alltagsfehler – und genau dort lassen sich mit überschaubarem Aufwand große Verbesserungen erreichen.

Im Vortrag „Blackbox KI – Warum KI-Compliance immer beim Datenschutz beginnt“ wird daher aufgezeigt, welche Herausforderungen mit dem Einsatz von KI verbunden sind. Dazu gehören unter anderem fehlerhafte oder frei erfundene Inhalte („Halluzinationen“), mögliche Diskriminierungen durch verzerrte Trainingsdaten, urheberrechtliche Fragestellungen sowie neue Risiken durch autonome KI-Agenten. Diese Entwicklungen führen dazu, dass regulatorische Anforderungen zunehmend an Bedeutung gewinnen.

Mit der seit August 2024 geltenden EU-KI-Verordnung (AI Act) hat die Europäische Union erstmals einen umfassenden Rechtsrahmen für KI geschaffen. Der risikobasierte Ansatz unterscheidet zwischen verschiedenen Kategorien von KI-Systemen – von minimalem Risiko bis hin zu Hochrisiko-Anwendungen – und legt entsprechend unterschiedliche Anforderungen fest. Zudem gibt es KI, die grundsätzlich verboten ist. Unternehmen, die KI entwickeln oder einsetzen, müssen künftig klare Dokumentations-, Transparenz- und Kontrollpflichten erfüllen.

Ein zentraler Punkt des Vortrags ist die enge Verbindung zwischen der KI-Verordnung und der Datenschutz-Grundverordnung (DSGVO). Viele Anforderungen überschneiden sich – etwa bei Dokumentationspflichten, Risikobewertungen, Informationspflichten oder organisatorischen Maßnahmen. Ein gut etabliertes Datenschutzmanagement bildet daher eine wichtige Grundlage für eine rechtssichere KI-Nutzung. Als Beispiel ist hier das Verzeichnis der Verarbeitungstätigkeiten zu nennen, wo bereits nach dem Datenschutz Zwecke der Verarbeitung, Verantwortlichkeiten und Software dokumentiert werden. Dies kann hilfreich sein, wenn neue KI-Systeme eingeführt werden, da dann keine doppelte Erhebung oder Dokumentation stattfinden muss. Auch Informationspflichten können integriert werden, z. B. in bestehende Datenschutzhinweise. Ebenso können Prozesse für die Auftragsverarbeitung nach Art. 28 DSGVO und die Prüfung der technischen und organisatorischen Maßnahmen der Anbieter von KI-Systemen zukünftig dafür genutzt werden, neben Datenschutzrisiken auch KI-Risiken zu berücksichtigen.

Das Fazit: KI-Compliance beginnt nicht bei der Technologie, sondern bei klaren Prozessen, Verantwortlichkeiten und einem funktionierenden Datenschutzmanagement. Unternehmen, die ihre bestehenden Datenschutzstrukturen nutzen und erweitern, können die neuen Anforderungen der KI-Verordnung deutlich effizienter umsetzen. Voraussetzung ist jedoch ein lebendes Datenschutzmanagementsystem (DSMS).

Der Vortrag zeigt neue Angriffsszenarien DURCH und AUF LLMs (Large Language Models wie ChatGPT oder Copilot). Die bekannten Enkeltrick-Szenarien werden durch KI um „Vishing“- Bestandteile erweitert. Dabei manipulieren Angreifer nicht nur die Stimme, sondern auch das Videobild, um dem Opfer eine vertraute Person vorzuspielen. Im Darknet sind fertige KI-Agents verfügbar: Ein Klick genügt, um tausende Personen per Videotelefonie anzurufen, autonome Gespräche zu führen und Bankverbindungen zu überwachen.

Auch eigene LLMs, die in Unternehmen eingesetzt werden, wie z. B. als Chatbot auf der Homepage oder als Telefonassistent, können „Opfer“ von Manipulation und sog. Prompt Injections werden. Diese Angriffe beschreiben die Manipulation von Eingabeanweisungen, um das Modell zu unvorhersehbarem Verhalten zu bringen oder Zugriff auf nicht autorisierte Informationen zu gewähren.

Nach einem solchen Vorfall stellt sich oft die Frage, wer für die Behandlung dieser Risiken im Unternehmen verantwortlich ist. Oft sind viele unterschiedliche Rollen im Unternehmen beteiligt, diese kommunizieren jedoch nicht gemeinsam oder zielgerichtet. So entstehen Regelungslücken oder sog. „blind spots“ in der Security. Ein wirksames Instrument ist ein zentraler Meldekanal für alle Vorfälle rund um Informationssicherheit, Datenschutz, Hinweisgeberschutz und sonstige Risiken. Die derzeit (regulatorisch geforderten) getrennten Meldekanäle sollten zusammengeführt und ganzheitlich etwa durch ein Security-Team ausgewertet und behandelt werden.

Unternehmen sollten die neuen Bedrohungen durch KI ganzheitlich betrachten und in ihrer Governance die Weichen auf zentrale Rollen für die koordinierte Bearbeitung stellen. Je nach Unternehmensgröße ist es sinnvoll, einen dedizierten KI-Officer zu etablieren. Diese Rolle koordiniert und steuert nicht nur Risiken, sondern schafft auch den sicheren Raum für die Umsetzung unterschiedlicher Business-Anforderungen.

Einen schnellen Überblick über die Herausforderungen der AI-Security bietet ein AI Readiness Check. Dieser beleuchtet die zentralen Regelungsfelder rund um Governance & Verantwortung, Transparenz & Erklärbarkeit, Datenmanagement & Datenschutz sowie Schulung & Awareness.

Ein Grund dafür ist, dass viele Sicherheitsprüfungen lediglich eine Momentaufnahme sind. Gleichzeitig verändert sich die IT-Landschaft in Unternehmen ständig: Neue Mitarbeitende kommen hinzu, Zugriffsrechte werden angepasst, Systeme werden erweitert oder neue Anwendungen eingeführt. Dadurch entstehen laufend neue potenzielle Angriffsflächen, die mit klassischen Prüfmethoden oft erst spät erkannt werden.

Hinzu kommt, dass moderne Cyberangriffe selten mit einem großen Ereignis beginnen. Häufig starten sie durch eine Phishing-Mail. Von dort aus bewegen sich Angreifer Schritt für Schritt im Netzwerk und versuchen höhere Berechtigungen zu erlangen und Zugriff auf kritische Systeme zu bekommen. Entscheidend ist dabei oft nicht eine einzelne Schwachstelle, sondern eine Kombination mehrerer kleiner Sicherheitslücken, die zusammen einen Angriffspfad bilden können.

Automatisierte Angriffssimulationen setzen genau an diesem Punkt an. Sie prüfen nicht nur, ob Schwachstellen vorhanden sind, sondern simulieren realistische Angriffsszenarien und zeigen auf, ob und wie diese tatsächlich ausgenutzt werden könnten. Dadurch werden mögliche Angriffspfade sichtbar und Unternehmen erhalten ein deutlich klareres Bild ihrer tatsächlichen Sicherheitslage.

Ein großer Vorteil automatisierter Pentests liegt in ihrer Regelmäßigkeit. Durch kontinuierliche Prüfungen können neue Schwachstellen frühzeitig erkannt werden – auch dann, wenn sich die IT-Struktur im Laufe der Zeit verändert. Unternehmen erhalten so eine bessere Entscheidungsgrundlage, um Risiken zu priorisieren und gezielt Maßnahmen umzusetzen.

Wenn Technik dominiert – und das Gesamtbild fehlt

Ein zentrales Problem sieht Weber darin, dass viele Unternehmen und IT-Dienstleister reflexartig beginnen, den Angriff rein technisch zu lösen. „Die IT versucht häufig sofort, die Ursache zu finden und das Problem zu beheben. Das ist nachvollziehbar – greift aber zu kurz“, erklärt Weber. „In einer solchen Lage geht es nicht nur um Technik, sondern um das gesamte Unternehmen.“ Fehlt dieser ganzheitliche Blick, entstehen schnell unkoordinierte Maßnahmen, die die Situation im Zweifel sogar verschärfen.

Struktur statt Chaos: Der Krisenstab als Schlüssel

Ein funktionierender Krisenstab ist daher entscheidend. Weber zeigte auf, wie wichtig klar definierte Rollen, Entscheidungswege und Kommunikationsstrukturen sind – noch bevor es zum Ernstfall kommt. Unternehmen, die hier vorbereitet sind, gewinnen wertvolle Zeit – und genau diese Zeit entscheidet im Ernstfall.

Die ersten Maßnahmen entscheiden

Anhand konkreter Praxisbeispiele erläuterte Weber, welche Maßnahmen unmittelbar nach der Entdeckung eines Angriffs ergriffen werden sollten. Dabei geht es nicht nur um technische Aspekte, sondern vor allem um Organisation und Kommunikation:

+ schnelle interne Abstimmung

+ strukturierte Lagebewertung

+ klare Priorisierung von Maßnahmen

+ Vermeidung unkoordinierter Einzelaktionen

Täterkommunikation und neue Realität im Cybercrime

Besonders eindrücklich waren die Einblicke in die Arbeitsweise moderner Tätergruppen. Weber zeigte anhand realer Beispiele aus dem Darknet, wie professionell organisiert Cyberkriminelle heute agieren. „Diese Gruppen sind keine losen Zusammenschlüsse mehr – sie arbeiten wie Unternehmen, mit klaren Rollen, Prozessen und Strukturen.“ Anhand öffentlich zugänglicher Blogs und Plattformen der Tätergruppen erhielten die Teilnehmer seltene Einblicke in deren Vorgehensweisen, Denkweisen und Geschäftsmodelle.

Kommunikation nach innen und außen

Neben der technischen und organisatorischen Reaktion ist die Kommunikation ein entscheidender Erfolgsfaktor. Mitarbeiter müssen frühzeitig informiert und handlungsfähig gemacht werden. Gleichzeitig ist eine strukturierte Kommunikation mit Kunden, Lieferanten und Partnern essenziell, um Vertrauen zu sichern und Folgeschäden zu minimieren.

Besser anfangen als warten

Ein besonders praxisnaher Impuls zum Abschluss: Unternehmen sollten nicht darauf warten, ein perfektes Krisenmanagement aufgebaut zu haben. „Es ist nicht entscheidend, dass ein Konzept zu 100 Prozent fertig und zertifizierungsreif ist“, betont Weber. „50, 60 oder 80 Prozent reichen völlig aus, um im Ernstfall nicht kopflos zu agieren.“ Die Botschaft ist klar: Wer vorbereitet ist – auch wenn nicht perfekt – verschafft sich im Ernstfall einen entscheidenden Vorteil.

Genau hier setzt KI-Prozessautomation an. Sie hilft dabei, Dokumente, E-Mails, Formulare oder Bestellungen automatisch zu erfassen, relevante Informationen zu erkennen, Daten zu validieren und anschließend in bestehende Systeme wie ERP- oder CRM-Lösungen zu übertragen.

Im Vortrag wurde das am Beispiel der Auftragserfassung deutlich: Statt Bestellungen manuell zu lesen, Positionen herauszusuchen und Daten abzutippen, kann ein KI gestützter Workflow Dokumente analysieren, Kunden- und Artikelstammdaten prüfen, Inhalte extrahieren und für den weiteren Prozess vorbereiten. Menschen bleiben dabei weiterhin eingebunden, müssen aber nicht mehr jeden einzelnen Schritt selbst ausführen.

Wichtig ist dabei der strukturierte Einstieg. Automatisierung beginnt nicht mit einem großen Komplettprojekt, sondern mit der Frage, wo im Unternehmen wiederkehrende Aufgaben, Medienbrüche, hohe Volumen oder klare Pain Points entstehen. Daraus werden konkrete Automatisierungspotenziale gesammelt, bewertet und priorisiert. Anschließend folgt die Umsetzung Schritt für Schritt: vom Konzept über einen ersten Proof of Concept bis zur Anbindung an bestehende Systeme und den laufenden Betrieb.

Der Vortrag machte deutlich: KI-Prozessautomation ersetzt nicht einfach Mitarbeitende, sondern entlastet sie von zeitraubenden Routinetätigkeiten. Dadurch entsteht mehr Zeit für Prüfung, Entscheidung, Kundenkontakt und wertschöpfende Aufgaben. Für Industrieunternehmen wird KI damit zu einem praktischen Werkzeug, um Verwaltungsprozesse effizienter, stabiler und skalierbarer aufzustellen.

Genau hier setzt das KI-Vertriebssystem an. Es unterstützt Industrieunternehmen dabei, relevante Märkte zu analysieren, Zielkunden zu identifizieren, passende Ansprechpartner zu finden und diese mit einer individuellen Botschaft anzusprechen. Dabei geht es nicht um Masse, sondern um Relevanz: Wer passt wirklich zum Angebot? Welche Branche hat Bedarf? Welche Rolle ist im Buying Center entscheidend? Und mit welcher Botschaft entsteht überhaupt ein sinnvoller Einstieg?

Im Kern verbindet das System KI-gestützte Marktanalyse, Kontaktbeschaffung, Datenanreicherung und personalisierte Ansprache zu einem klaren Prozess. Dadurch wird aus vielen einzelnen manuellen Vertriebsaufgaben ein strukturierter Ablauf, der Vertriebsteams entlastet und ihnen mehr Zeit für das gibt, worauf es wirklich ankommt: qualifizierte Gespräche mit passenden Unternehmen.

Der Vortrag machte deutlich, dass KI den persönlichen Vertrieb nicht ersetzt. Sie sorgt vielmehr dafür, dass Vertrieb besser vorbereitet wird. Industrieunternehmen können dadurch schneller erkennen, welche Zielgruppen relevant sind, welche Potenziale bisher ungenutzt bleiben und wie neue Kontakte systematisch aufgebaut werden können.

Das KI-Vertriebssystem ist damit ein praxisnaher Ansatz, um industrielle Vertriebsprozesse moderner, datenbasierter und skalierbarer zu gestalten.