Der Kommissar und die Cyberwelt

Peter Vahrenhorst, Kriminalhauptkommissar a. D., verfügt über 25 Jahre Erfahrung im Bereich Kriminalität in Datennetzen. Zwölf Jahre war er im Cybercrime-Kompetenzzentrum beim LKA in NRW im Einsatz, verantwortlich für die Awareness von Wirtschaftsunternehmen in diesem Deliktsfeld. Neben seinen vielen Dozententätigkeiten in Form von Vorträgen und Veranstaltungen ist er nun auch Experte bei der Deutschen Akademie für Informationssicherheit (DAFI).

finanzwelt: Herr Vahrenhorst, Sie gelten als ausgewiesener Experte im Bereich Cybercrime und Informationssicherheit. Wie sind Sie zu Ihrer Aufgabe gekommen? Und wie entstanden die Verknüpfungspunkte zum Fachbereich Wirtschaft?

Peter Vahrenhorst: Ich habe klassisch gelernt bei der Polizei, angefangen beim Bundesgrenzschutz. 1986 nach Nordrhein-Westfalen gewechselt, dort alle Stationen durchlebt, Streifenpolizei, Einsatzhundertschaft usw. Innerhalb der Polizei drei Jahre studiert und dann zur Kripo gewechselt. Angefangen im Bereich Betrug – zu Zeiten eines noch sehr rudimentären Internets. Und wenn man einmal mit dem Thema anfängt, dann wird man es nicht mehr los… 1999 hatte Ebay den deutschen Markt entdeckt. Das hat mich die nächsten Jahre massiv beschäftigt: Onlinebetrug in allen Variationen. Bei der Polizei in NRW hat man festgestellt, man braucht deutlich mehr Expertise. So wurden in vielen Städten eigene Computer-Kommissariate eingerichtet. 2008 kam dann der Polizeipräsident auf mich zu: ‚Sie machen das jetzt seit zehn Jahren. Wir müssen auch im Bereich der Prävention für die Leute etwas tun, bevor sie Opfer werden.‘ Die neue Stelle ‚Internetkriminalität‘, angesiedelt bei der polizeilichen Kriminalprävention, hat eine erfolgreiche Arbeit geleistet und wurde mehrfach ausgezeichnet. Die Verknüpfung zur Wirtschaft kam durch Richard Oetker, dem Chef des Oetker Konzerns. Er bat mich, bei der Gesellschafterversammlung den Geschäftsführern und der Familie über meine Arbeit zu berichten. Darauf aufbauend kam 2011 die Anfrage aus dem Landeskriminalamt in Düsseldorf. Die neue Cybercrime-Dienststelle brauchte Expertise. Da haben wir mit drei Leuten dann angefangen, ein Jahr später waren wir bei 56 Mitarbeitern. Und als ich dann vor drei Jahren gegangen bin, war das eine spezialisierte Abteilung mit 270 Mitarbeitern.

finanzwelt: Worin bestehen denn die Hauptaufgaben eines Cybercrime-Kommissars?

Vahrenhorst: Meine Kernaufgabe war vor allem Prävention. Und da knüpft man schnell Verbindungen zur Wirtschaft und zur Finanzbranche. NRW ist ein wirtschaftsstarker Standort mit 730.000 kleinen und mittelständischen Unternehmen. Das sind die potenziellen Opfer, die stehen im Fokus von Hacking-Angriffen. Unser ganzer Staat funktioniert doch nur, weil die Wirtschaft Steuereinnahmen generiert. Also müssen wir in den Schutz dieser ganzen Infrastruktur der Wirtschaftsunternehmen investieren. Wir haben sehr schnell gemerkt, es bringt nichts, wenn die Polizei im stillen Kämmerlein sitzt und mit keinem kommuniziert. Wir müssen raus in die Branche, Kooperationen mit Branchenverbänden eingehen, mit den Unternehmen sprechen und Barrieren abbauen. Das waren meine Hauptaufgaben.

finanzwelt: Und genau in diesem Bereich sind Sie jetzt noch tätig?

Vahrenhorst: Ich habe mich 2023 mit 62 Jahren entschieden, ein bisschen kürzer zu treten, aber so richtig klappte das dann doch nicht… So bin ich bei der Deutsche Akademie für Informationssicherheit (DAFI) eingestiegen, die 2024 in Hamburg gegründet wurde. Hier konnte ich als Dozent und als Keynote Speaker bei Veranstaltungen mein Wissen weitergeben. Gleichzeitig bin ich auch beratend tätig bei anderen Institutionen – beim Rechenzentrum Finanzverwaltung NRW, IT Sicherheit im Finanzsektor oder in der Kommission Digitale Zukunft.

finanzwelt: Wie kann die DAFI deutsche Unternehmen im Bereich Compliance und Risikomanagement unterstützen?

Vahrenhorst: Der Fokus der Akademie liegt im Bereich der Informationssicherheit. Aktuell wirken wir dem Fachkräftemangel bei diesem Thema entgegen, indem wir Informationssicherheits-Beauftragte ausbilden und qualifizieren. Ein weiteres Standbein – gerade in der Start-up-Phase – sind die Gespräche mit den Unternehmen, um den tatsächlichen Bedarf zu analysieren. Gerade bei kleinen und mittelständischen Firmen, die die IT-Sicherheit noch gar nicht im Fokus haben. Hier bieten wir nicht nur Awareness-Schulungen, sondern auch einen Intensivworkshop zum Thema ‚Agentic AI meets Cybersecurity‘. Und zwar nicht nur für die Führungskräfte, sondern eben auch für alle relevanten Mitarbeiter.

finanzwelt: In welcher Verantwortung sehen Sie eine Geschäftsführung? Ist Cybersecurity Chefsache?

Vahrenhorst: Der Geschäftsführer ist immer in der Verantwortung. Es gibt ein Urteil des Oberverwaltungsgerichts in Nürnberg aus dem Jahr 2022. Da ist ein angestellter Geschäftsführer einer GmbH in die Privathaftung genommen worden, weil er kein Business-Continue-Management in dem Unternehmen etabliert hatte – wissend, dass Schwachstellen in der Software existierten. Dadurch ist ein Schaden von 800.000 Euro entstanden. Obwohl dieser Fall in der Branche ein wenig untergegangen ist, hat er in Fachkreisen für Aufregung gesorgt. Wenn die Rechtsprechung die Haftung so weit auslegt, kann sich eigentlich keiner mehr aus der Verantwortung stehlen.

finanzwelt: Was raten Sie also einem Geschäftsführer?

Vahrenhorst: Die wichtigste Aufgabe einer Geschäftsführung ist: gut managen. Dazu gehören eben auch zu einem sehr großen Teil die IT-Risiken. Es geht darum, nicht einfach nur blind auf die IT-Mannschaft zu vertrauen, sondern die Geschäftsführung muss Verantwortung übernehmen, die Risiken kennen. Genau hier kann die Deutsche Akademie für Informationssicherheit entscheidende Impulse geben. Anspruch ist es, Informationssicherheit nicht nur als technische Notwendigkeit zu begreifen, sondern als zentralen Erfolgsfaktor in einer Welt, die immer stärker von Digitalisierung und Vernetzung geprägt ist. (sg)

INFO

Die DAFI wurde 2024 in Hamburg gegründet und versteht sich als strategischer Partner für Entscheider in Wirtschaft, Verwaltung und Forschung. Mit einem Team aus renommierten Experten, Dozenten und Beratern entwickelt die DAFI maßgeschneiderte Weiterbildungsprogramme, exklusive Executive-Formate und individuelle Awareness-Kampagnen. Ob in der umfassenden Weiterbildung zum Informationssicherheitsbeauftragten, in Compliance-Schulungen zu NIS2 und DORA oder C-Level-Roundtables: Die DAFI schafft Räume für Wissenstransfer, vertrauensvollen Austausch und strategische Weitsicht. Die Akademie hat sich zum Ziel gesetzt, Unternehmen und Institutionen dabei zu unterstützen, ihre Widerstandsfähigkeit zu stärken, die Chancen der Digitalisierung sicher zu nutzen und Informationssicherheit als festen Bestandteil nachhaltiger Wertschöpfung zu verankern.