Agnidipta Sarkar, Chief Evangelist, ColorTokens – Interviewserie

Agnidipta Sarkar, Chief Evangelist, ColorTokens ist ein Leiter für Cybersicherheit und digitale Resilienz mit mehr als drei Jahrzehnten Erfahrung in den Bereichen Cyberabwehr, Risikomanagement, Business Continuity, Datenschutz und Zero Trust. Bei ColorTokens arbeitet er mit Vorständen, C‑Suite‑Führungskräften und Sicherheitsleitern zusammen, um die Bereitschaft für Sicherheitsverletzungen zu stärken und Cyber‑Security‑Programme mit den Geschäfts‑Prioritäten zu verknüpfen, während er gleichzeitig durch Organisationen wie ISO, die Cloud Security Alliance, NIST und ISA zu internationalen Standards und Brancheninitiativen beiträgt. Vor seiner Tätigkeit bei ColorTokens war Sarkar Group CISO bei Biocon und hatte leitende Positionen im Bereich Informationssicherheit und Risikomanagement bei Unternehmen wie DXC Technology, Hewlett Packard Enterprise und HP.

ColorTokens ist ein Unternehmen für Cybersicherheit, das sich auf Mikrosegmentierung, Zero Trust und die Steigerung der Resilienz von Unternehmen konzentriert, wenn Angreifer traditionelle Perimeter‑Verteidigungen durchbrechen. Die Flaggschiff‑Lösung Xshield Enterprise Microsegmentation Platform ist darauf ausgelegt, Angreifer und Malware daran zu hindern, seitlich innerhalb einer Organisation zu wandern, indem granulare Sicherheitsgrenzen um Workloads und Assets in Rechenzentren, Cloud‑Infrastruktur, Endgeräten, Kubernetes‑Umgebungen, Operational Technology (OT) und Internet‑of‑Things‑Geräten (IoT) geschaffen werden. Die Plattform integriert zudem KI‑unterstützte Workflows zum Entdecken von Umgebungen, Erstellen von Segmentierungsrichtlinien und Beschleunigen der Richtlinien‑Ausrollung, mit dem übergeordneten Ziel, die Angriffsfläche einer Organisation zu reduzieren und den potenziellen Schaden – den „Blast Radius“ – eines erfolgreichen Angriffs zu begrenzen.

Sie haben mehr als drei Jahrzehnte damit verbracht, von praktischen Netzwerk‑ und Sicherheitsrollen bei HCL, Wipro, HP, HPE und DXC zu einer Position als Group Chief Information Security Officer bei Biocon zu wechseln und zu internationalen Sicherheitsstandards beizutragen. Wie haben diese Front‑Line‑Erfahrungen Ihre Überzeugung geformt, dass Organisationen sich darauf vorbereiten müssen, Verstöße einzudämmen, anstatt anzunehmen, sie könnten jede Intrusion verhindern?

In meinen frühen Tagen bei HCL und Wipro fühlte sich Cybersicherheit an wie der Wilde Westen – aufregend, chaotisch und voller Möglichkeiten. Ich sprang hinein, experimentierte, scheiterte, lernte und gelangte zu Erfolgen bei allem, was die Technologie mir entgegenwarf: Firewalls, IDS, MFA, Verschlüsselung, Audits, Governance. Doch die eigentliche Lehre kam, als ich meinen ersten Sicherheitsvorfall beobachtete. Plötzlich brachen all diese Best Practices unter dem Druck zusammen. Das war mein Weckruf.

Bei HP bekam ich aus nächster Nähe einen Blick auf das Chaos – zuerst als stiller Beobachter, dann als operative Führungskraft, die das Chaos hautnah miterlebte. Jeder Vorfall bestätigte dieselbe Erkenntnis: IT steht nie still, und keine Investition kann absolute Sicherheit garantieren. Als ich schließlich die Leitung als Group CISO übernahm, wusste ich, dass meine Aufgabe darin bestand, ein Playbook für den Umgang mit Sicherheitsverletzungen zu erstellen – nicht nur für die Security‑Operations, sondern für die gesamte Organisation. Ein Playbook, das wiederholbar, vorhersehbar ist und das Unternehmen am Laufen hält, wenn der Sturm zuschlägt, und das die Sicherheits‑Operationen im Laufe der Zeit kontinuierlich verbessert.

Auf dem Papier sahen die Werkzeuge perfekt aus. In der Realität deckte das IT‑Service‑Management Risse auf, die man nie kommen sah. Asset‑Management, Patch‑Management, Konfiguration, Change, Risiko – alles verknüpft mit menschlichen Fehlern. Dort versteckt sich die digitale Schwäche, und wenn die Alarme losgehen, ist es ein Albtraum, das Ganze zu entwirren. Es gibt kein Skript für den War‑Room, wenn ein Verstoß eintritt. Chaos ist die Regel, nicht die Ausnahme. Deshalb habe ich meine Karriere darauf ausgerichtet, Struktur im Auge des Sturms zu schaffen und Führungskräften zu helfen, das Rauschen zu durchdringen und Risiken zu managen, statt von ihnen überrollt zu werden.

Rückblickend bin ich dankbar für jede Lektion – das Beobachten vom Rand, das Anpacken im Zentrum der Angriffe und schließlich das Führen von vorne. Deshalb betrachte ich die Vorbereitung auf Sicherheitsverletzungen als Kunst, nicht nur als Wissenschaft. Man kann den ganzen Tag Angriffsmuster kartieren, aber entscheidend ist, was im War‑Room passiert, wenn Führungskräfte die Front halten müssen. Diese Klarheit entsteht nur, wenn man es selbst erlebt hat.

Deshalb habe ich ein Rahmenwerk für die Vorbereitung auf Sicherheitsverletzungen entwickelt, das es ermöglicht, Angriffe vorauszusehen, zu überstehen und die Fähigkeiten weiterzuentwickeln, um dem nächsten Cyberangriff zu begegnen. Das Rahmenwerk hilft Organisationen, mit dem Sturm zu gehen, statt gegen ihn anzukämpfen. Das Endziel ist, Koun Ryusui zu verwirklichen – zu schweben wie Wolken, zu fließen wie Wasser, sodass beim nächsten beispiellosen Angriff nicht Chaos entsteht, sondern Unternehmen strukturierte Flexibilität und Resilienz einsetzen, ihre Technologie‑Investitionen nutzen und gestärkt sowie zuversichtlicher hervorgehen.

KI hilft Angreifern, Aufklärung, Ausnutzung von Schwachstellen und seitliche Bewegungen zu automatisieren, wodurch Aktivitäten, die früher Wochen dauerten, auf Stunden oder Minuten komprimiert werden können. Welche Teile des herkömmlichen Incident‑Response‑Modells werden unwirksam, wenn Angriffe mit Maschinen‑Geschwindigkeit operieren?

Wenn Angriffe mit Maschinen‑Geschwindigkeit voranschreiten, überleben die Verteidiger, die schneller analysieren und handeln können als der Gegner. Ja, KI gibt Angreifern neue Werkzeuge, aber sie stärkt auch die Verteidiger. Nach meiner Erfahrung gibt es zwei Wege, mit diesen beispiellosen, KI‑gestützten Angriffen umzugehen.

Erstens müssen Sie Ihre digitale Landschaft neu gestalten. Bauen Sie breach‑ready Zonen und Mikrosegmente, die Ihre Kronjuwelen vom Rest trennen. Stellen Sie sich das vor wie ein Labyrinth: manche Pfade sind offen, andere blockiert, sodass unautorisierte Identitäten nicht frei wandern können. So halten Sie KI‑gestützte Angriffe in Schach, indem Sie sie verlangsamen, weil das Labyrinth sich mit den Änderungen in den digitalen Systemen ständig wandelt.

Zweitens benötigen Sie Vorlagen, Playbooks und klare Rollen, die bereits bereitstehen, bevor der Alarm überhaupt ertönt. So weiß jeder Mensch und jede Maschine sofort, was zu tun ist und in welcher Priorität. Der Trick ist, Zeit zu gewinnen und die KI zu verlangsamen, sie mehr Arbeit aufzuerlegen und ihr freie Bewegung zu verweigern. So bleiben Ihre Verteidigungen im Kampf, wenn jede Millisekunde zählt.

Fragen Sie jeden Seemann, der einen U-Boot‑Einbruch überlebt hat: Wenn Wasser hereinströmt, haben Sie keine Zeit, den nächsten Schritt zu erraten. Sie müssen bereits die richtigen Türen verstärkt haben, wissen, was betriebsbereit bleiben muss und wo der Druck ankommt. Wenn der Einbruch passiert, können Sie nur den überfluteten Abschnitt isolieren und den Rest des Schiffs weiterfahren lassen. So schützen Sie Ihr minimal lebensfähiges Geschäft. In der digitalen Welt bedeutet das Ihr minimal lebensfähiges digitales Unternehmen.

Genau das ist das Wesen der Vorbereitung auf Sicherheitsverletzungen. Sollte ein Angriff durchdringen, isolieren Sie den betroffenen Bereich, aktivieren Ihr BCP und halten das unbetroffene Kerngeschäft am Laufen. Kein Shutdown, keine Krise. Nur ein Notfall‑Incident.

Sie plädieren dafür, die Vorbereitung auf Sicherheitsverletzungen in geschäftlichen und finanziellen Begriffen zu diskutieren, statt sie ausschließlich als technisches Problem zu sehen. Welche Kennzahlen sollten Vorstände nutzen, um zu bestimmen, ob das Unternehmen einen schweren Cyberangriff durchstehen kann?

Verstöße treffen nicht nur Ihre Systeme; sie treffen alles und jeden, der von ihnen abhängt. Denken Sie an den Patienten, dem der Zugang zum Krankenhaus verweigert wird, den Reisenden, der am Flughafen gestrandet ist, oder den Autohändler, der monatelang in Schulden sitzt. Das ist die wirkliche Kosten eines Cyberangriffs. Es ist nicht wenn, sondern wann. Deshalb müssen Vorstände die Vorbereitung auf Verstöße als geschäftliche und finanzielle Notwendigkeit betrachten.

Es gibt zwei Kennzahlen, die jeder Vorstand verfolgen sollte.

Erstens sollten Sie das Ausmaß des materiellen Schadens festlegen, das der Vorstand im Rahmen digitaler und KI‑Ambitionen zu akzeptieren bereit ist. Das setzt die Messlatte dafür, wie viel Ihres digitalen Unternehmens während eines Verstoßes betriebsbereit bleiben muss. Ich nenne das Maximum Acceptable Material Impact (MAMI) und Minimum Viable Digital Enterprise (MVDE).

Viele verwechseln MVDE mit Business Continuity, aber das ist nicht dasselbe. Wenn Sie sagen, weniger als 10 % Schaden seien akzeptabel, dann muss 90 % Ihres Geschäfts selbst während eines Verstoßes weiterlaufen. Die meisten Business‑Continuity‑Pläne bringen Sie höchstens auf 30 % zurück, sodass 60 % Ihres digitalen Geschäfts exponiert bleiben. Dieses Paradoxon hält Führungskräfte nachts wach.

Setzen Sie Ihr MVDE auf 70 %, dann können Sie den Stakeholdern versichern, dass Sie in Verteidigungen investieren, die das Geschäft am Laufen halten, selbst wenn das Schlimmste eintritt, ein Labyrinth bauen, das für menschliche oder KI‑Angreifer schwer zu durchdringen ist, und die Fähigkeit besitzen, Angriffe mit Maschinen‑Geschwindigkeit zu isolieren. Hier kommt Mikrosegmentierung als grundlegender Baustein ins Spiel. Sie können nun die meisten Ihrer Cyber‑Security‑Investitionen wie EDR, Firewalls, SASE, Identity (menschlich und nicht‑menschlich), Access, Authorization und OT‑Security in einer nahtlos verbundenen Signalebene zusammenführen, die Ihr SOC während aktiver Verstöße betreiben kann, um Cyberangriffe zu enthalten und das MVDE zu isolieren.

Verfolgen Sie MAMI und MVDE jedes Quartal für jede neue digitale und KI‑Initiative, und Ihre Investoren und Stakeholder werden nur nach Nachweisen dafür fragen, wie gut die Resilienz gemanagt wird.

“Blast radius” wird zunehmend als Maß für Cyber‑Resilienz verwendet. Wie kann ein Unternehmen seinen potenziellen Blast Radius vor einem Angriff berechnen und was wäre ein akzeptables Maß an Exposition?

Blast radius matters. Significantly.

Aber das ist nicht die einzige Kennzahl, die zählt. Ich empfehle stets, zunächst Ihren aktuellen Blast Radius zu bewerten, um ein Zero‑Trust‑, breach‑ready Unternehmen aufzubauen. Alles, was Sie benötigen, ist eine Breach Readiness Impact Assessment (BRIA), eine nicht‑intrusive, API‑gesteuerte Schnell‑Analyse, die Ihre bestehende EDR nutzt. Für OT und Mainframes benötigen Sie möglicherweise Agenten oder Appliances.

Nicht jeder Blast Radius ist schlecht. Manchmal ist er für die Anwendungs‑Performance entscheidend. Der Teufel steckt im Detail. Nehmen Sie einen Cache‑Dienst, der Lookups für Produktinformationen und Benutzersitzungen beschleunigt. Er benötigt System‑zu‑System‑Konnektivität, um eine E‑Commerce‑Plattform mit mehreren Mikroservices zu betreiben. Derselbe Blast Radius wird jedoch zu einer Schwachstelle, wenn unautorisierte Nutzer oder Systeme darauf zugreifen können.

Sie können den Blast Radius nicht isoliert betrachten. Kombinieren Sie ihn mit anderen Sicherheitsmustern wie Verhaltens‑Anomalien, missbräuchlicher Nutzung von Zugängen, Privileg‑Aufstockung, Autorisierungs‑Überschreitungen und Authentifizierungs‑Fehlern, um Ihre Verletzungs‑Exposition wirklich zu verstehen. Und denken Sie daran: Was in einer Branche akzeptabel ist, kann in einer anderen ein Deal‑Breaker sein.

Wie unterscheidet sich die Vorbereitung auf Verstöße von traditioneller Incident‑Response, Disaster‑Recovery, Business‑Continuity und Zero‑Trust‑Programmen, und wo sollte die Verantwortung für die Koordination dieser Disziplinen liegen?

Dies sind keine separaten Themen; sie sind verflochtene Disziplinen, die um ein einziges geschäftliches Ergebnis koordiniert werden müssen.

Ich definiere die Vorbereitung auf Verstöße als eine Disziplin der Unternehmens‑Resilienz: kontinuierliche Vorbereitung, Architektur, Übung und Governance der Organisation, um Angriffe vorauszusehen, den Blast Radius zu begrenzen, das Minimum Viable Digital Enterprise innerhalb des vorab definierten Maximum Acceptable Material Impact zu erhalten und Fähigkeiten wiederherzustellen, während der Angriff eingedämmt wird. Die Vorbereitung auf Verstöße ist die Bewaffnung der Zero‑Trust‑Architektur und legt fest, was vor, während und nach einem Cyberangriff geschehen muss. Sie verschiebt die Frage von „Wie halten wir Angreifer fern?“ zu „Wie stellen wir sicher, dass ein Vorfall nicht mehr Schaden anrichtet, als wir bereit sind zu tolerieren, und wie viel des Geschäfts kann weiterlaufen, während wir reagieren?“ Die Vorbereitung auf Verstöße geht es um Überlebensfähigkeit, während der Vorfall noch stattfindet.

Der konzeptionelle Sprung ist erheblich. Unterschiedliche Unternehmens‑Praktiken wie Backup‑ und Recovery, Incident‑Response, Disaster‑Recovery und Business‑Continuity spielen alle wichtige Rollen, um breach‑ready zu sein, weil sie die Störung managen. Sie beginnen, wenn Systeme angegriffen werden. Alle drei Programme – Incident‑Response, Disaster‑Recovery und Business‑Continuity – konzentrieren sich auf die Frage: „Wie schnell können wir das Wiederherstellen, was gestört wurde?“. Die Vorbereitung auf Verstöße fokussiert sich auf die Frage: „Wie viel davon kann von Anfang an verfügbar bleiben?“.

Die Vorbereitung auf Verstöße bricht Silos auf, um sicherzustellen, dass die geschäftlichen Konsequenzen einer Kompromittierung gemanagt werden, und Stakeholder erhalten die Sicherheit, dass der Großteil des Unternehmens „unbetroffen“ bleibt und ein BC/DR für den betroffenen Teil ausgelöst wird. Verantwortung und Eigentum für die Vorbereitung auf Verstöße liegen bei der Geschäftsführung. Der CEO/Vorstand trägt das Risiko‑Appetit und das akzeptable Geschäftsergebnis. Der COO oder ein gleichwertiger Executive für Unternehmens‑Resilienz sollte die Vorbereitung auf Verstöße organisationsweit koordinieren, wobei der CISO die Cyber‑Security‑Dimension besitzt.

Für Unternehmen, die den Zustand Kuon Ryushi erreichen wollen, ist die vollständige organisatorische Beteiligung, die Technologie und KI nutzt, um die Auswirkungen eines Cyberangriffs zu managen, entscheidend.

ColorTokens setzt KI ein, um Sicherheitsteams bei der Analyse von Umgebungen und der schnellen Erstellung von Mikrosegmentierungs‑Richtlinien zu unterstützen. Wo sollten Unternehmen KI vertrauen, um defensive Entscheidungen zu automatisieren, und welche Containment‑Maßnahmen sollten weiterhin menschliche Genehmigung erfordern?

Absolut. Wir tun genau das.

Aber seien wir klar: „KI zur Unterstützung von Sicherheitsteams einsetzen“ ist nur die Spitze des Eisbergs. Bei ColorTokens glauben wir daran, KI verantwortungsbewusst zu nutzen, um Unternehmen wirklich breach‑ready zu machen. Es gibt eine viel größere Geschichte als nur „KI macht Mikrosegmentierung einfacher.“

Aktuelle Vorfälle mit Anthropic, OpenAI, AISI und sogar dem Fitness‑Buchungs‑Fall in Australien sind Fehlentwicklungen der Architektur, nicht der Governance. Wenn autonome KI aus ihrer Sandbox entkommt, ist sie nicht immer böswillig oder unzuverlässig. Es geht darum, wie die Architektur gebaut wurde. Menschen müssen den Betriebs‑Umfang klar definieren, und KI muss innerhalb dieses Rahmens bleiben. Dort kommt Governance ins Spiel.

Beispielsweise könnten Sie KI erlauben, jeden Endpunkt, der mit einer Sicherheit von über einem bestimmten Schwellenwert als kompromittiert markiert ist, zu isolieren – ausgenommen ein OT‑Sicherheitssystem, Domänen‑Controller, Zahlungssystem oder Produktions‑Steuer‑Asset. Das ist begrenzte Autonomie. Aber das ist leichter gesagt als getan, weil die Architektur kontextspezifisch und klar von Fachexperten definiert sein muss.

Meiner Meinung nach und nach Erfahrung sollten Unternehmen KI einsetzen, um Entdeckung, Korrelation, Abhängigkeits‑Mapping, Angriffspfad‑Analyse, Blast‑Radius‑Analyse, Richtlinien‑Empfehlungen, Richtlinien‑Synthese, Richtlinien‑Simulation, risikominimierende Richtlinien‑Optimierung, vorab‑autorisiertes Containment und kontinuierliche Verifikation durchzuführen und die Bestimmung von geschäftskritischer Bedeutung, akzeptabler Störung, Sicherheits‑Grenzen, Kronjuwelen‑Definitionen, Sicherheits‑Constraints (in OT), maximal akzeptierbarem Impact, Autonomie‑Schwellenwerten, Ausnahme‑Genehmigungen, groß‑skaliger Produktions‑Isolation und irreversible Aktionen den Menschen zu überlassen.

Fazit – KI sollte genug Freiheit erhalten, um ihre Aufgabe zu erfüllen, aber unter expliziten Bedingungen, die von der Infrastruktur außerhalb ihres Kontrollbereichs durchgesetzt werden. KI sollte Aktionen vorschlagen, muss auf menschliche Genehmigung warten und dann Änderungen mit Maschinen‑Geschwindigkeit durchsetzen. Das Ziel ist nicht, KI autonom zu machen. Es geht darum, defensive Autonomie zu begrenzen.

Bei ColorTokens nutzen wir KI, um die Kontrollschleife des Verteidigers schnell genug zu machen, um mit Angreifern Schritt zu halten. Zentralisierte Richtlinien‑Entscheidungen, mehrere Durchsetzungs‑Mechanismen, reichhaltige Telemetrie, agentenlose Absicherung für Systeme, die keine Agenten ausführen können, Cloud‑ und Container‑Unterstützung sowie KI‑unterstützte Entdeckung und Richtlinien‑Synthese – all das ist Teil der KI‑unterstützten Vorbereitung auf Verstöße.

Mikrosegmentierung gibt es seit Jahren, aber Unternehmen assoziieren sie häufig mit komplexen Deployments und starren Richtlinien. Was hat sich technologisch geändert, das sie praktischer über Cloud‑Infrastruktur, Kubernetes‑Umgebungen, Endgeräte, Legacy‑Systeme und Operational Technology macht?

Mehrere Dinge.

Was als schicke Methode begann, Netzwerke zu verbinden und zu steuern, um dedizierte Konnektivität und Bandbreite sicherzustellen, hat sich zu einer grundlegenden Cyber‑Security‑Fähigkeit entwickelt. Heute kann Mikrosegmentierung große Unternehmen in breach‑ready Organisationen verwandeln – schnell und selbstbewusst. Technologische Verschiebungen haben uns von den alten Kopfschmerzen befreit: Abhängigkeits‑Mapping, Neugestaltung von Netzwerkgrenzen, VLAN‑ und Firewall‑Konfiguration, manuelles Schreiben von Regeln und die Sorge, den Geschäfts‑Traffic zu brechen. Segmentierung war früher langsam, teuer und auf das Rechenzentrum beschränkt. Nicht mehr.

Erstens ist Identität heute der Haupt­kanal für Cyberangriffe. Deshalb ist erweiterte Identitäts‑Governance das erste Prinzip von Zero Trust. In modernen Cloud‑Umgebungen sind IP‑Adressen für Sicherheit bedeutungslos. Moderne Mikrosegmentierung nutzt Identität, Zugriff, Workload, Anwendung, Service und Kontext, nicht nur den Netzwerk‑Standort. Die Sicherheitsgrenze folgt Identität, Zugriff und Anwendung, nicht allein der zugrunde liegenden Infrastruktur.

Zweitens geht agentenlose Mikrosegmentierung jetzt über Appliances hinaus. Sie erweitert den Schutz auf Legacy‑Systeme, IoT‑Geräte und OT, die keine Agenten ausführen können. Moderne Mikrosegmentierung integriert sich in EDR, erweitert die Abdeckung und verkürzt die Deploy‑Zeit von Monaten auf Stunden, weil EDR bereits die Telemetrie liefert, die Mikrosegmentierung benötigt.

Schließlich entfernt KI den letzten großen Engpass: kontextspezifische, breach‑ready Richtlinien‑Entwicklung. KI kann mehrere Datenpunkte für Kontext analysieren, Abhängigkeiten und Angriffspfade kartieren, Zonen‑ und Mikrosegmentierungs‑Richtlinien empfehlen und deren Auswirkungen simulieren, bevor sie durchgesetzt werden. Moderne Mikrosegmentierung setzt Richtlinien direkt an Endpunkten und Workloads mittels nativer OS‑Kontrollen um. Sie müssen das Netzwerk nicht neu designen; Mikrosegmentierung ist jetzt nahtlos, und die Richtlinie folgt dem Workload, wohin er auch geht.

Das Ziel ist nicht nur, jede seitliche Bewegungs­versuch zu blockieren, sondern genug Signale mit Maschinen‑Geschwindigkeit zu analysieren, um sicherzustellen, dass, wenn ein Angreifer eindringt, das kompromittierte Workload nicht zur Autobahn für alles andere wird. Moderne Mikrosegmentierung geht also nicht mehr nur um die Aufteilung von Netzwerken, sondern um die Kontrolle und Überwachung des Blast Radius.

Welche Evidenz sollten Führungskräfte verlangen, wenn sie den finanziellen Nutzen von Mikrosegmentierung bewerten, insbesondere in Bezug auf Ausfallzeiten durch Ransomware, Cyber‑Versicherungsprämien, regulatorische Exposition und die Kosten, kritische Dienste während eines Angriffs betriebsbereit zu halten?

Die finanzielle Bestimmung des Verstoß‑Impacts und die Korrelation einer Mikrosegmentierungs‑Investition, die unveränderte Operationen während eines Verstoßes sicherstellt, erfordern, dass Führungskräfte zunächst erkennen, dass Cyberangriffe erfolgreich sein werden, unabhängig von den Investitionen in Cyber‑Security. In den Jahren 2025 und 2026 wurden Unternehmen, die Cyberangriffen erlagen und unvorhergesehene Ausfallzeiten erlitten, darunter stark finanzierte Organisationen wie JLR, Nike und Stryker, getroffen. Daher ist es nicht die Frage, ob sie angegriffen werden, sondern wann.

Sobald Sie diese Realität akzeptieren, wird die Investition in grundlegende Vorbereitung auf Verstöße dringend und eine Frage des Überlebens. Um klug zu investieren, lassen Sie uns die beiden Kennzahlen auf Vorstandsebene genauer betrachten.

Die erste ist ein Maß für Überlebensfähigkeit: das Maximum Acceptable Material Impact (MAMI), das das Top‑Management und der Aufsichtsrat für digitale Transformations‑ oder KI‑Ambitionen zu akzeptieren bereit sind. Es kann als Umsatzzahl beginnen, muss sich aber über finanzielle Tragfähigkeit, Kundenvertrauen, Reputation oder Markenwert über die Iterationen hinweg ausdehnen.

Die zweite ist ein Indikator für Wettbewerbsvorteil: das Minimum Viable Digital Enterprise (MVDE), das selbst bei den beispiellosesten Cyberangriffen betriebsbereit bleiben muss. Alle Business‑Cases für neue Initiativen müssen beide Faktoren berücksichtigen. Das MVDE kann bei 70 % beginnen und basierend auf dem Erfolg des zugrunde liegenden Identitäts‑ und Mikrosegmentierungs‑Programms weiter steigen.

Hier ist, was Führungskräfte bei der Bewertung von Mikrosegmentierung beachten sollten: Evidenz, dass sie Ransomware‑Ausfallzeiten adressieren, Cyber‑Versicherungsprämien senken, regulatorische Exposition reduzieren und kritische Dienste während eines Angriffs am Laufen halten kann.

1. Ermöglicht die Mikrosegmentierungs‑Plattform eine einheitliche Lösung über Rechenzentren, Nutzer, OT‑Systeme und Cloud hinweg?
2. Welcher Prozentsatz unseres Unternehmens ist bereits in Zonen und Mikrosegmente strukturiert, basierend auf dem materiellen Einfluss auf das Geschäft im Vergleich zur vorherigen Bewertung?
3. Wie schnell kann die Mikrosegmentierungs‑Lösung mit Zonen, Mikrosegmenten und kontrollierten Leitungen operativ sein, um das MVDE betriebsbereit zu halten?
4. Kann die Mikrosegmentierungs‑Lösung in EDR integrieren und diesen als Agent nutzen, um den Agenten‑Footprint zu reduzieren?
5. Verwendet die Mikrosegmentierungs‑Plattform konversationelle Künstliche Intelligenz, um kontextspezifische Regeln und Richtlinien zu bestimmen?
6. Haben wir die Möglichkeit, das Verhalten gültiger Nutzer in Anwendungen zu überwachen und abweichende Nutzer anhand ihrer Identität zu beschränken?
7. Kann die mittlere Zeit zur Erkennung und Reaktion durch Quarantäne schädlichen Verhaltens mit neuer digitaler und KI‑Adoption im Unternehmen skalieren?
8. Kann die Mikrosegmentierungs‑Plattform Cyber‑Verteidigungs‑Szenarien simulieren und modellieren, um die Verstoß‑Exposition der Operationen schrittweise zu reduzieren?

Während diese Punkte die meisten Anwendungsfälle abdecken, erfordert die Compliance individuelle Statements of Applicability für jede Regulierung, die erklären können, welcher Teil der Regulierung direkt durch die ColorTokens‑Plattform erfüllt wird, welcher Prozess die Technologie umgibt und welche zusätzlichen Technologien und Prozesse nötig sind.

Viele Unternehmen führen Penetrationstests und Incident‑Response‑Übungen durch, doch diese zeigen oft nicht, wie weit ein Angreifer nach dem Erlangen von Zugriffen wandern könnte. Wie sollten Unternehmen Containment und Überlebensfähigkeit unter realistischen, KI‑beschleunigten Angriffsbedingungen testen?

Wenn Organisationen das Wesen von Koun Ryusui beim Aufbau von breach‑ready annehmen, müssen sie Mikrosegmentierung in bestehende Cyber‑Security‑Operationen integrieren und im Laufe der Zeit weiterentwickeln. Dazu muss Mikrosegmentierung Signale mit anderen Tools im Security Operations Center, wie SIEM, EDR, Next‑Gen‑Firewalls usw., integrieren. Das stellt sicher, dass KI‑gestützte Mikrosegmentierung Containment orchestrieren kann, wenn es nötig ist, basierend auf Angriffs‑Indikatoren und Verhaltens‑Anomalien.

Was Sie dann benötigen, sind nicht einzelne Tests, sondern Übungen, die Ihre breach‑readiness weiterentwickeln.

Es gibt drei Dinge, die Sie üben sollten, wenn Ihre Mikrosegmentierung und Überlebensfähigkeit realistisch sind. Erstens der aktuelle Stand der breach‑readiness. Dieser kann vor dem Start Ihrer ColorTokens‑Implementierung, nach Durchsetzung Ihrer Richtlinien und bei jeder Änderung durchgeführt werden, um festzustellen, ob Ihre Änderung das Design Ihres MAZES verändert hat, das material‑impact‑basierte breach‑ready Zonen, Mikrosegmente und kontrollierte Leitungen enthält.

Zweitens die Geschwindigkeit, mit der Sie Cyberangriffe isolieren können, wenn ein tatsächlicher Verstoß eintritt. Die wichtigsten Parameter für den Test sind Erkennungs‑Genauigkeit und die Geschwindigkeit der MVDE‑Isolation und -Quarantäne mittels KI. Das kann durch Penetrationstests, Red‑Team‑Übungen und Breach‑Attack‑Simulation‑Assessments geschehen. Diese Tests sollten ohne Benachrichtigung des Security Operations Center durchgeführt werden, um deren Reaktion auf wechselnde Verstoß‑Parameter zu prüfen.

Drittens, wie Ihre Organisation in einem tatsächlichen Verstoß‑Szenario reagieren würde. Vor der Übung stellen Sie sicher, dass Ihre „be breach ready“-Playbooks allen relevanten internen Stakeholdern, technischen Support‑Drittparteien und Wartungs‑Anbietern, insbesondere Asset‑Ownern und OT‑System‑Integratoren, kommuniziert wurden. Dann führen Sie simulierte Übungen durch, bevor Sie ein Red‑Team‑Assessment durchführen, um ein realistisches Erlebnis zu bieten.

Wenn Unternehmen zunehmend autonome KI‑Agenten mit Zugriff auf Anwendungen, Daten, Anmeldeinformationen und Infrastruktur einsetzen, wie muss sich die Vorbereitung auf Verstöße weiterentwickeln, um nicht nur kompromittierte menschliche Konten und Geräte, sondern auch kompromittierte oder fehlverhaltende KI‑Agenten zu enthalten?

Die Vorbereitung auf Verstöße muss von der Eindämmung kompromittierter menschlicher Konten und Geräte zu einer Behandlung autonomer KI‑Agenten übergehen, die als eigenständige, hoch‑geschwindige Klasse nicht‑menschlicher Identitäten (NHI) agieren können und mit legitimen Anmeldeinformationen in Maschinen‑Geschwindigkeit handeln. Die Herausforderung klingt auf dem Papier groß, weil NHI‑Identitäten nach aktuellen Schätzungen mindestens 250‑mal häufiger als menschliche Identitäten sein werden.

Agenten brechen traditionelle Kontrollen, die sich auf Nutzer, Endgeräte und statische Service‑Konten konzentrieren. Sie besitzen Live‑Zugriff auf Anwendungen, Daten, Anmeldeinformationen und Infrastruktur; sie denken und verketten Aktionen kontinuierlich; und sie können über Prompt‑Injection, Tool‑Poisoning, Speicher‑Manipulation, Lieferketten‑Probleme oder einfache Fehl‑Ausrichtung kompromittiert werden. Wenn sie Fehl‑Verhalten zeigen oder entführt werden, expandiert der Blast Radius schneller, als menschliche Reaktionsgeschwindigkeit mithalten kann. Die Reaktion auf Verstöße kann nicht auf vollständige Gewissheit oder mehrstufige Eskalation warten, weshalb Härtung und automatisierte, vorab‑genehmigte Grund‑Reaktionen obligatorisch werden.

Wenn mehr autonome KI‑Agenten eingesetzt werden, muss die Vorbereitung auf Verstöße Identität als primäre Kontroll‑Ebene für Agenten nutzen, Zero Trust zu „Agent Trust“ erweitern, Guardrails, Speicherschutz und Governance‑Hygiene steuern, zu vorab‑genehmigter Friktion und automatisierter Eindämmung übergehen und Mikrosegmentierung sowie architektonische Isolation für Containment integrieren, zusammen mit Runtime‑Sichtbarkeit, Verhaltens‑Baseline und Sequenz‑Erkennung.

Die Vorbereitung auf Verstöße muss von „Können wir nach einer Verschlüsselung wiederherstellen?“ zu „Können wir einen autonomen Akteur, der mit gültigen Anmeldeinformationen operiert, eindämmen, bevor er sich ausbreitet?“ wechseln. Kennzahlen für die Vorbereitung sollten Time‑to‑Understand (welcher Agent, welche Aktionen, welche Daten/Systeme berührt, und ob die Aktivität fortbesteht) und Time‑to‑Friction speziell für Agenten umfassen. Die ColorTokens‑Plattform kann Abhängigkeiten schnell entdecken, Richtlinien generieren und verfeinern sowie Containment durchsetzen, besonders wenn KI zur Richtlinien‑Automatisierung ergänzt wird, und wird zentral, um das Tempo zu halten. In diesem Modell priorisieren wir Isolation, Containment und Least‑Privilege über perfekte Prävention.

Die Mikrosegmentierungs‑Plattform von ColorTokens erweitert Identität, kontinuierliche Verifikation, Mikrosegmentierung, Verhaltens‑Monitoring und vorab‑genehmigtes Containment auf die agentische Ebene, wodurch der Blast Radius handhabbar bleibt und die betriebliche Kontinuität erhalten bleibt. Die erforderliche defensive Signatur ist dieselbe, die von ransomware mit Maschinen‑Geschwindigkeit verlangt wird: extreme Geschwindigkeit des Verständnisses und Friktion, verankert in einer assume‑breach‑Architektur statt in der Hoffnung, dass Agenten stets ausgerichtet bleiben.

Vielen Dank für das großartige Interview, Leser, die mehr erfahren möchten, sollten ColorTokens besuchen.