Vergessene Technik, offene Entscheidungen: was ein Datendiebstahl ohne Verschlüsselung von der Führung verlangt

Drei Monate, vier Entscheidungen: was geschah und wer entscheiden musste

Sie wissen an dem Tag, an dem sich jemand bei Ihrem Unternehmen meldet und behauptet, Ihre Daten zu besitzen, wer im Haus die Nachricht bewertet, wer mit den Absendern spricht und wer nicht. Sie wissen, was Sie öffentlich bestätigen, bevor Sie den Umfang kennen, und wie Ihr Haus mit einer Forderung in einer Währung umgeht, die Ihre Finanzabteilung nicht führt. Dieser Beitrag eröffnet unsere Serie "Vergessene Technik, offene Entscheidungen" in fünf Kapiteln und rekonstruiert am Fall von Novo Nordisk, was zwischen März und August 2026 entschieden werden musste, von wem und mit welchem Wissensstand.

Was geschah, in der Reihenfolge der Entscheidungen

Nach Darstellung der Gruppe, die sich später zu dem Vorfall bekannte, begann der Zugriff auf Systeme von Novo Nordisk im März 2026 über ruhende Zugangsdaten; in den folgenden zweieinhalb Monaten seien weitere Zugänge gefunden worden. Herstellerforschung von CybelAngel nennt denselben Zeitraum, März bis Juni; die dänische Tagespresse spricht von mehr als zwei Monaten. Am 1. Juni meldeten sich die Täter laut heise beim Unternehmen; rund zwei Tage später, am 3. Juni, wurde laut heise von Novo Nordisk Kontakt zu den Erpressern aufgenommen. Am 11. Juni gab das Unternehmen einen IT-Sicherheitsvorfall bekannt: unbefugter Zugriff auf eine begrenzte Zahl interner Systeme, Untersuchung mit externen Experten, Kontakt mit den zuständigen Behörden, bestimmte Systeme vorsorglich offline, Kerngeschäft läuft; bestimmte nicht öffentliche Daten einschließlich personenbezogener Daten seien nach außen kopiert worden, Betroffene würden informiert. Zwei Tage später bekannte sich Medienberichten zufolge die Gruppe FulcrumSec auf ihrer Seite zu dem Vorfall und bezifferte die Forderung mit 25 Millionen US-Dollar. Medienberichten zufolge meldete Reuters am 16. Juni die Forderung und die Weigerung des Unternehmens zu zahlen. Am 17. Juni wurde laut heise ein Auszug von rund 250 Gigabyte im Darknet bereitgestellt. Am 4. August nannte der Halbjahresbericht an die US-Börsenaufsicht mehrere Sammelklagen in den USA wegen des Vorfalls. Am 12. August folgte Medienberichten zufolge die zweite Stufe: 1,05 Terabyte per Torrent, nach Angaben der Gruppe mit KI-Modellen, Datensätzen und Mikroskopiebildern.

Zwischen dem Beginn des Zugriffs und der ersten Nachricht der Täter lagen nach den vorliegenden Angaben rund zweieinhalb Monate, in denen niemand im Unternehmen wusste, dass es ein Problem hatte. Zwischen der ersten Nachricht und der Bekanntgabe lagen zehn Tage. Zwischen der Bekanntgabe und der ersten Veröffentlichung lagen sechs Tage. Zwischen der Bekanntgabe und dem Halbjahresbericht mit den Klagen lagen acht Wochen.

Die Zahlen, die eine Vorstandsvorlage tragen

Eine Vorstandsvorlage braucht wenige Zahlen, aber jede mit Herkunft und Stufe. Die Forderung: 25 Millionen US-Dollar laut Reuters, wiedergegeben von heise und DR; DR rechnet sie in rund 160 Millionen dänische Kronen um. Das Datenvolumen: 1,3 Terabyte nach Angabe der Gruppe, mehr als ein Terabyte laut DR. Die veröffentlichte Menge der ersten Stufe: rund 250 Gigabyte laut heise, 264 Gigabyte laut HIPAA Journal. Wir mitteln diese Werte nicht, sondern stellen sie nebeneinander.

Amtlich bestätigt hat das Unternehmen den Zugriff, den Abfluss und die Art der betroffenen Studiendaten: pseudonymisierte Angaben von Studienteilnehmern; die Zuordnungsinformationen waren nach Angaben des Unternehmens nicht betroffen. Alle weiteren Zahlen stammen aus der Darstellung der Täter: 4.748 Quellcode-Repositories, 41.144 Wirkstoffe und Bestandteile mit Strukturen, mehr als 30 KI-Modelle mit 70 Datensätzen, Daten von 163.234 Beschäftigten. Medienberichten zufolge sind rund 11.500 Studienteilnehmer betroffen. Keine dieser Zahlen hat das Unternehmen bestätigt; in einer Vorlage stehen sie nur mit dem Vermerk, dass sie behauptet sind.

Vier Entscheidungen, die nicht warten konnten

Die erste Entscheidung war der Kontakt. Laut heise wurde vom Unternehmen zwei Tage nach der ersten Nachricht der Täter Kontakt zu ihnen aufgenommen. Ob er der Klärung oder einer Verhandlung diente, sagt keine Quelle. Für die Führung ist die Frage eine andere: Wer im Haus darf mit Erpressern sprechen oder sprechen lassen, mit welchem Mandat und mit welcher Dokumentation? Wer das erst im Vorfall klärt, verliert die zwei Tage, die hier zwischen Nachricht und Antwort lagen.

Die zweite Entscheidung war die Bekanntgabe. Das Unternehmen bestätigte am 11. Juni nur, was es selbst wusste: eine begrenzte Zahl von Systemen, kopierte Daten, Information der Betroffenen, laufendes Kerngeschäft. Zahlen der Täter wurden nicht übernommen. Nach unserer Einordnung ist das ein brauchbares Muster, und es hat einen Preis: Die Frage nach Umfang und Zeitraum blieb offen, und Presse und Kläger füllten sie mit den Angaben der Täter.

Die dritte Entscheidung war die Zahlung. Das Unternehmen hat nach übereinstimmenden Berichten nicht gezahlt. Aus unserer Sicht war das vertretbar, und der Preis ist sichtbar: zwei Veröffentlichungsstufen im Juni und im August, nach Angaben der Gruppe weitere zurückgehaltene Bestände und Medienberichten zufolge die Ankündigung, den Verkauf des Materials zu prüfen. Das vierte Kapitel kommt darauf zurück.

Die vierte Entscheidung fiel nicht im Unternehmen, sondern vor Gerichten in den Vereinigten Staaten. Laut Halbjahresbericht ist das Unternehmen Beklagte in mehreren Sammelklagen, die sich auf Fahrlässigkeit stützen; die Kläger behaupten kompromittierte persönliche und geschützte Gesundheitsdaten. Acht Wochen nach der Bekanntgabe war der Vorfall ein Posten im Finanzbericht.

Was der Fall über Führung sagt

Unsere Einordnung: Der Fall zeigt keinen Ausfall, keine verschlüsselten Systeme und keinen Stillstand. Das Kerngeschäft lief nach Angaben des Unternehmens weiter. Gerade deshalb ist er für die Führung lehrreich: Die Entscheidungen fielen nicht unter dem Druck stehender Produktion, sondern unter dem Druck einer Forderung und einer Öffentlichkeit, die mehr über den eigenen Datenbestand zu wissen schien als das Unternehmen selbst sagte. Der Kontakt hat Folgen für Recht und Verhandlung, die Bekanntgabe für Vertrauen und Klagen, die Zahlung für Finanzen, Sanktionen und Reputation. Keine dieser Entscheidungen lässt sich delegieren, und keine hat im Ernstfall Zeit.

Für Vorstand und Geschäftsführung ergeben sich daraus drei Fragen, die vor dem Ernstfall beantwortet sein sollten. Wer bewertet eine Nachricht von Erpressern, und wer darf antworten? Was bestätigt das Haus öffentlich, bevor der Umfang feststeht, und wer gibt es frei? Wer entscheidet über eine Forderung, und ist der Weg zu einer Zahlung überhaupt vorbereitet, falls die Führung ihn gehen wollte? Ein Haus, das diese drei Antworten aufgeschrieben hat, verhandelt im Ernstfall nicht mit sich selbst.

Zeit als Führungsgröße

Vier Zeitspannen aus dem Fall lassen sich auf jedes Unternehmen übertragen. Rund zweieinhalb Monate dauerte nach Herstellerforschung und Darstellung der Gruppe der unbemerkte Zugriff: Das ist die Zeit, in der eine Organisation nicht weiß, dass sie ein Problem hat. Zwei Tage lagen laut heise zwischen der ersten Nachricht der Täter und dem Kontakt des Unternehmens: Das ist die Zeit, in der jemand entscheiden muss, ob und wie geantwortet wird. Zehn Tage lagen zwischen der ersten Nachricht und der Bekanntgabe: Das ist die Zeit, in der die Führung entscheidet, wann und wie sie spricht. Acht Wochen lagen zwischen Bekanntgabe und Halbjahresbericht: Das ist die Zeit, in der aus einem Sicherheitsvorfall ein Posten für den Aufsichtsrat wird. Wer diese vier Spannen für das eigene Haus schätzt, hat den Kern einer Übung ohne Technik: Was tun wir an Tag eins, an Tag drei, an Tag zehn, in Woche acht, und wer tut es?

Ausblick und Prognose

Mit der zweiten Veröffentlichung ist der Fall nicht beendet. Nach unserer Einordnung ist es wahrscheinlich (75 bis 85 Prozent), dass in den nächsten sechs Monaten weitere Teile des zurückgehaltenen Bestands veröffentlicht oder zum Verkauf angeboten werden und dass Beschäftigten- und Prüferdaten aus dem Datensatz für gezielte Ansprache von Studienzentren und Beschäftigten genutzt werden. Die Konfidenz ist mittel, weil Umfang und Inhalt des Restbestands nur aus Angaben der Täter stammen und das Unternehmen keine Zahlen bestätigt.

Wo ein solches Zielbild noch fehlt, beginnt unsere Arbeit mit einem vertraulichen Gespräch über die Entscheidungen, die vor dem Ernstfall feststehen müssen.

Der Fund bestimmt das Opfer: wer dahinter steht und warum das die Führung angeht

Wissen Sie, ob Ihr Unternehmen für einen Erpresser ein Ziel wäre oder nur ein Treffer? Bei einem Ziel entscheidet, was Ihr Haus wertvoll macht; bei einem Treffer entscheidet, was von Ihrem Haus im Internet erreichbar ist, ohne dass jemand es weiß. Dieses zweite Kapitel unserer Serie "Vergessene Technik, offene Entscheidungen" beschreibt, wer nach den vorliegenden Quellen hinter dem Fall von Novo Nordisk steht, wie diese Gruppe ihre Opfer findet und was daraus für Vorstand und Geschäftsführung folgt.

Wer die Gruppe ist

Zu dem Vorfall bekannte sich Medienberichten zufolge am 13. Juni eine Gruppe mit dem Namen FulcrumSec, die nach Sysdig auch unter dem Namen The Threat Thespians auftritt. Nach Sysdig ist die Gruppe seit mindestens September 2025 aktiv; der erste dokumentierte Fall betraf einen Elektronikdistributor, der Zugang lief über einen falsch konfigurierten Cloud-Speicher. Sysdig zählt rund 25 Opfer aus elf Ländern, die meisten mit Sitz in den USA; Moxfive nennt 21 Opfer und zwei angekündigte, die dänische Tagespresse mehr als 20 seit 2025. Eine Vorgängergruppe benennt keine der abgerufenen Quellen; Sysdig beschreibt keine Verbindung zu älteren Gruppen über Code, Infrastruktur oder Personen. Keine Behörde hat eine Warnung oder Advisory zu dieser Gruppe veröffentlicht.

Zur Herkunft gibt es keine Indizien. Weder Sysdig noch Lab539 nennen Sprach-, Zeitzonen- oder Herkunftshinweise; die Gruppe kommuniziert mit Forschern und auf ihrer Seite auf Englisch, was für sich keine Zuordnung erlaubt. Ob eine staatliche Stelle dahintersteht, bleibt ohne Aussage einer zuordnenden Behörde unklar. Unsere Einordnung: Die Indizien sprechen dagegen, denn Herstellerforschung und die Gruppe selbst beschreiben eine finanziell motivierte Erpressung. Nach eigener Angabe gegenüber Lab539 ist die Gruppe vor allem finanziell motiviert, hat aber auch Freude am Analysieren der erbeuteten Daten und wählt Opfer nach technischer Gelegenheit, nicht nach Branche oder Land. Für die Führung heißt das: Der Fall ist ein Fall organisierter Kriminalität mit einem Geschäftsmodell, nicht ein Fall staatlicher Spionage.

Das Geschäftsmodell: stehlen und drängen

Die Gruppe verschlüsselt nach Sysdig nichts und stört keinen Betrieb; Sysdig nennt das Modell steal and squeeze. Daten werden kopiert, dann folgt die Forderung, bei Ablehnung die Veröffentlichung in Stufen oder, wie Moxfive berichtet, der Verkauf an einen einzelnen Käufer samt Zugangsdaten und Löschzusage. Eine andere Herstellerquelle, Resecurity, ordnet die Gruppe als Erpressung mit anschließender Verschlüsselung ein; für diesen Fall nennt keine Quelle eine Verschlüsselung, und das Unternehmen meldete einen laufenden Betrieb. Wir stellen beide Einordnungen nebeneinander und lösen den Widerspruch nicht auf.

Der Fall folgt dem Modell in jeder Stufe. Medienberichten zufolge wurde eine Forderung von 25 Millionen US-Dollar gestellt; nach übereinstimmenden Berichten wurde nicht gezahlt; laut heise wurde am 17. Juni ein Auszug von rund 250 Gigabyte bereitgestellt, am 12. August Medienberichten zufolge ein zweites Paket von 1,05 Terabyte, und die Gruppe hält nach eigenen Angaben weitere Bestände zurück. Moxfive beschreibt außerdem, dass die Gruppe öffentliche Aussagen ihrer Opfer beobachtet, ihnen widerspricht und in anderen Fällen Führungskräfte namentlich angesprochen hat. Unsere Einordnung: Für die Führung ist das die wichtigste Eigenschaft des Modells. Jede Pressemitteilung wird Teil der Verhandlung, und die Gegenseite liest mit.

Ziel oder Treffer: wie die Gruppe ihre Opfer findet

Lab539 beschreibt nach Austausch mit der Gruppe deren Vorgehen: In der Spitze durchsuchen rund 250 Server Unternehmens-JavaScript im Internet nach Zugangsdaten, weitere Flotten suchen nach bekannten Lücken; erst danach wird geprüft, welcher Organisation ein Fund gehört. Der Fund bestimmt das Opfer, nicht umgekehrt. Nach eigener Angabe gegenüber Lab539 meidet die Gruppe Endgeräte bewusst, weil die wertvollen Daten eines Unternehmens in der Cloud lägen, und sie beklagt, Unternehmen seien bei der Erkennung in der Cloud schwach. Bei Novo Nordisk war der Fund nach Herstellerforschung von CybelAngel ein Token im ausgelieferten Code einer vergessenen Entwicklungsseite; das dritte Kapitel beschreibt diesen Weg als Führungsfrage.

Das Muster läuft weiter. Am 2. September wurde Medienberichten zufolge von derselben Gruppe der Datensatz eines britischen Flughafenbetreibers mit 8,7 Millionen Reisenden veröffentlicht; der Zugang lief nach Darstellung der Gruppe wieder über Schlüssel im Frontend-Code. Unsere Einordnung: Die Gruppe arbeitet parallel an mehreren Opfern, und das Tempo hängt an der Scan-Flotte, nicht an einem Kalender. Ein politischer oder saisonaler Termin ist nicht erkennbar; die zweite Veröffentlichung lag acht Tage nach dem Halbjahresbericht vom 4. August, ein Zusammenhang ist nicht belegt.

Was opportunistisch für einen Vorstand heißt

Unsere Einordnung: Das Wort opportunistisch klingt beruhigend, weil es sagt, dass niemand Ihr Haus ausgesucht hat. Für die Führung bedeutet es das Gegenteil. Ein ausgesuchtes Ziel kann seine wertvollen Informationen benennen und sie besonders schützen. Ein Treffer entsteht dort, wo eine automatisierte Suche etwas findet, das im Haus niemand mehr auf dem Schirm hatte: eine Entwicklungsseite, ein Testsystem, ein Schlüssel im Quelltext. Gegen ein ausgesuchtes Ziel hilft die Frage, was uns wertvoll macht. Gegen einen Treffer hilft nur die Frage, was von uns im Internet steht und wer das weiß. Die zweite Frage ist die unbequemere, weil sie nicht an die Sicherheitsabteilung delegiert werden kann: Die Antwort liegt in jedem Bereich, der je eine Webseite, eine Anwendung oder ein Projekt in Auftrag gegeben hat.

Der Fall zeigt außerdem, dass Zugang und Verwertung auseinanderfallen. Der Zugang war opportunistisch: ein Scan-Treffer. Die Verwertung ist es nicht: Nach Darstellung der Gruppe wurden Quellcode, Wirkstoffstrukturen, KI-Modelle, Beschäftigten- und Prüferdaten gesammelt und in Stufen veröffentlicht, und der Verkauf an einen einzelnen Käufer wird als Alternative genannt. Unsere Einordnung: Wirkstoffstrukturen, Rezepturen und trainierte Modelle sind ein Wirtschaftsgut, dessen Wert nicht mit der Veröffentlichung endet, sondern beim Wettbewerb beginnt. Wer kauft, ist nicht bekannt; das Modell setzt einen Markt voraus, den keine Quelle beschreibt.

Was das für Vorstand und Geschäftsführung heißt

Aus dem Akteurprofil ergeben sich Fragen an die eigene Organisation. Hat die Führung die Leute, die ein Akteurprofil lesen und in Entscheidungen übersetzen können, oder liegt dieses Wissen nur bei einem Dienstleister? Gibt es im Haus jemanden, der am Tag einer Forderung sagen kann, ob die Gruppe veröffentlicht, verkauft oder verschlüsselt, und was das für die nächsten Wochen bedeutet? Ist geregelt, wer öffentliche Aussagen freigibt, in dem Wissen, dass die Gegenseite mitliest? Und hat das Haus eine Antwort auf die Frage, was von ihm im Internet erreichbar ist, die nicht mit dem Satz beginnt, das müsse die IT wissen?

Eine Führung, die über einen Täter spricht, muss außerdem wissen, wo das Wissen endet. Zur Herkunft gibt es keine Indizien, zur staatlichen Stützung keine Aussage einer Behörde. Ob eine zweite Gruppe, die für den 5. bis 7. Juni einen eigenen Zugriff behauptete und 50 Millionen US-Dollar forderte, tatsächlich Zugriff hatte, ist nicht geklärt. Für die Kommunikation folgt daraus eine Regel: Nichts über den Täter sagen, was die Quellen nicht tragen. Wer von Staaten spricht, ohne dass eine Behörde das tut, macht aus einem kriminellen Fall eine politische Aussage, die er im Zweifel zurücknehmen muss.

Ausblick und Prognose

Aus dem Akteurprofil folgt die Prognose. Nach unserer Einordnung ist es wahrscheinlich (75 bis 85 Prozent), dass in den nächsten sechs Monaten weitere Teile des zurückgehaltenen Bestands veröffentlicht oder zum Verkauf angeboten werden und dass Beschäftigten- und Prüferdaten für gezielte Ansprache genutzt werden; die Konfidenz ist mittel, weil Umfang und Inhalt des Restbestands nur aus Angaben der Täter stammen. Dass innerhalb von sechs Monaten weitere europäische Konzerne über denselben Zugangsweg getroffen werden, halten wir für höchstwahrscheinlich (85 bis 95 Prozent), Konfidenz hoch: Die Scan-Flotte läuft, und der Flughafenfall zeigt dasselbe Muster.

Wer diese Fragen für mehrere Bereiche zugleich beantworten muss, braucht eine Stelle, die Aufklärung, Prüfung und Nachweis zusammenhält; das ist die Arbeit, die wir über unsere Einheiten hinweg steuern.

Vergessene Technik als Führungsfrage: wer weiß, was es gibt, und wer darf es abschalten

Wer in Ihrem Haus kann heute sagen, welche Webseiten, Entwicklungsumgebungen und Code-Ablagen unter dem Namen Ihres Unternehmens im Internet erreichbar sind, und wer darf eine davon abschalten, ohne vorher drei Bereiche zu fragen? In vielen Unternehmen gibt es auf die erste Frage eine Liste, die nicht vollständig ist, und auf die zweite keine Antwort. Dieses dritte Kapitel unserer Serie "Vergessene Technik, offene Entscheidungen" zeichnet am Fall von Novo Nordisk nach, wie der Zugang nach Herstellerforschung gelegt wurde, warum keine Warnung davor lag und welche drei Führungsfragen daraus folgen.

Wie der Zugang gelegt wurde

Nach Herstellerforschung von CybelAngel war der Einstieg keine Täuschung von Beschäftigten und keine ausgenutzte Schwachstelle, sondern Zugangsdaten im ausgelieferten Code zweier Entwicklungs-Subdomains: ein Zugangsschlüssel in einem Code-Paket einer öffentlich erreichbaren Entwicklungsseite und ein persönlicher Zugangsschlüssel für die Code-Plattform im Code einer zweiten Testseite. Beide Seiten waren nach dieser Darstellung vergessen und öffentlich. Die Gruppe selbst beschreibt die ersten Zugänge etwas anders, als Zugang zu einer Container-Ablage und einen persönlichen Zugangsschlüssel; wir stellen beide Versionen nebeneinander. Von dort öffnete der Schlüssel nach CybelAngel private Code-Ablagen mit dutzenden fest hinterlegten Zugängen zu Produktivsystemen; nach Angaben der Gruppe gegenüber Lab539 gab ein einziges Token Zugriff auf mehr als tausend private Ablagen, viele mit weiteren Zugangsdaten, Datenbankzugängen und Passwörtern von Dienstkonten. Über diese Zugänge lief die Bewegung nach CybelAngel über zweieinhalb Monate durch die Entwicklungs-, Cloud-, KI- und Identitätsplattformen des Unternehmens; eine Entwicklungs-Schnittstelle einer klinischen Anwendung akzeptierte Anmeldenachweise ohne Signaturprüfung. Nach Sysdig kam die Gruppe ohne eigene Schadsoftware aus: legitime Cloud-Schnittstellen und Entwicklerwerkzeuge, die Sammlung von Quellcode, Modellen und Studiendaten über Wochen in kleinen Mengen.

Für die Führung ist an dieser Kette eine Sache entscheidend: Kein Beschäftigter hat etwas angeklickt, keine Schwachstelle wurde ausgenutzt, kein Angreifer musste eine Lücke finden. Der Zugang lag im Quelltext einer Seite, die niemand mehr brauchte, und jede weitere Stufe war ein Zugang, den jemand einmal zur Bequemlichkeit fest hinterlegt hatte. Das ist kein Befund über eine Sicherheitsabteilung. Es ist ein Befund darüber, wie ein Unternehmen mit dem umgeht, was es einmal gebaut und dann nicht mehr angesehen hat.

Warum keine Warnung davor lag

Die dänische Behörde für gesellschaftliche Sicherheit hatte im November 2025 das Modell beschrieben: Cyberkriminalität sehr hoch, Versuche des Datendiebstahls zur Erpressung oder zum Verkauf sehr wahrscheinlich, ausdrücklich auch ohne Verschlüsselung. Sie beschrieb das Modell, nicht den Zugangsweg. Die einzige Behördenwarnung, die Herstellerforschung mit der Gruppe verbindet, ist die Aufnahme einer Web-Schwachstelle in den Katalog der CISA im Dezember 2025; nach Sysdig nutzte die Gruppe diese Lücke bei einem anderen Opfer, im Fall Novo Nordisk spielte sie keine Rolle. Für Zugangsdaten im ausgelieferten Code gab es keine Behördenwarnung, und es gibt bis heute keine Advisory zu dieser Gruppe. Wer auf eine Warnung wartete, um zu handeln, wartete auf etwas, das nicht kam.

Dazu kommt eine Eigenschaft der Werkzeuge, die eine Führung kennen sollte, weil sie eine Kaufentscheidung ist. Nach der Produktdokumentation der Code-Plattform GitHub läuft die automatische Suche nach Zugangsdaten im Code für öffentliche Ablagen kostenlos; für private Ablagen braucht sie eine zusätzliche Lizenz im Team- oder Unternehmensplan. Ein Schlüssel in einer privaten Ablage oder im ausgelieferten Code einer vergessenen Seite bleibt deshalb unentdeckt, wenn niemand diese Lizenz beschafft und niemand den ausgelieferten Code prüft. Unsere Einordnung: Das ist ein Budgetposten, kein technisches Rätsel, und er wird in der Regel nicht in der Geschäftsführung entschieden, sondern dort, wo er gerade in kein Budget passt.

Hinweise, die nicht zu Handlungen wurden

Nach Darstellung von CybelAngel meldete die Code-Plattform auffällige Aktivität nach rund zwei Wochen und der Cloud-Anbieter nach rund drei Wochen; zwei weitere Plattformen bemerkten den Zugriff nie. Der Zugriff dauerte nach diesen Angaben insgesamt zweieinhalb Monate. Warum die Hinweise nicht zu einer Reaktion führten, sagt keine Quelle, und wir bewerten das nicht. Als Frage an das eigene Haus ist es die wichtigste dieses Kapitels: Wer bekommt bei uns die automatischen Hinweise der Plattformen, die wir nutzen, wer entscheidet, ob sie ernst sind, und wer darf daraufhin einen Zugang sperren, auch wenn dann ein Projekt steht?

Die Gruppe selbst sagt laut Lab539, sie werde nur selten gestoppt, bevor genug Daten abgeflossen seien; Unternehmen seien bei der Erkennung in der Cloud schwach, und der Speicher eines Cloud-Anbieters bleibe oft unbeobachtet, selbst wo ein anderer überwacht werde. Das ist die Aussage einer interessierten Partei, und wir kennzeichnen sie so. Sysdig beschreibt bei anderen Opfern derselben Gruppe ein wiederkehrendes Muster: nicht gewechselte Schlüssel, fest hinterlegte Zugangsdaten, Zugangsdaten, die seit 2021 aktiv waren, Signaturgeheimnisse, die nie gewechselt wurden, öffentlich erreichbare Datenbanken und Speicher. Jede dieser Stufen ist nach unserer Einordnung ein bekannter Prüfpunkt: Inventar der Subdomains, Suche nach Zugangsdaten im Code, Rotation, kurzlebige Zugänge, Überwachung der Cloud-Protokolle. Unsere Einordnung: Solche Prüfpunkte scheitern in Unternehmen selten am Wissen, sondern an den Übergängen zwischen denen, die wissen, denen, die zahlen, und denen, die abschalten dürfen.

Drei Führungsfragen

Unsere Einordnung: Aus dem Zugangsweg folgen drei Fragen, die keine Fachtiefe verlangen und trotzdem in vielen Häusern unbeantwortet sind.

Erstens: Wer weiß, was es gibt? Eine Entwicklungsseite entsteht in einem Projekt, ein Testsystem in einer Fachabteilung, eine Code-Ablage in einem Team. Wenn das Projekt endet, bleibt die Seite. Die Frage, wer im Haus die vollständige Liste führt, ist keine Frage an die IT allein, sondern an jeden Bereich, der je etwas hat bauen lassen. Wer diese Liste nicht hat, kann nicht wissen, was eine Scan-Flotte findet.

Zweitens: Wer darf es abschalten? Eine vergessene Seite abzuschalten kostet nichts, außer dem Risiko, dass jemand sie doch noch brauchte. Einen Zugang zu sperren, der in dutzenden Ablagen fest hinterlegt ist, kostet Tage, in denen Anwendungen stehen. Beides braucht ein Mandat, das vorher erteilt wurde, denn im Moment eines Plattformhinweises ist keine Zeit, um zu klären, ob die Sicherheitsabteilung, die Fachabteilung oder die Geschäftsführung entscheidet.

Drittens: Wer stärkt der Sicherheitsabteilung den Rücken? Jede der genannten Maßnahmen kostet Bequemlichkeit: Schlüssel, die regelmäßig gewechselt werden müssen, Ablagen, die eine Lizenz brauchen, Projekte, die ihre Testumgebung am Ende aufräumen müssen. Erfahrungsgemäß scheitern solche Maßnahmen nicht an der Technik, sondern am Widerstand der Bereiche, deren Alltag sie verändern. Diesen Widerstand kann die Sicherheitsabteilung nicht auflösen. Den Rückhalt gibt nur die Führung, und sie gibt ihn nur, wenn sie die Frage vorher gestellt hat.

Fragen an die eigene Organisation

Wann wurde zuletzt vollständig erhoben, welche Adressen unter dem Namen des Unternehmens im Internet erreichbar sind, und wer verantwortet jede davon? Wird der ausgelieferte Code der eigenen Webseiten auf Zugangsdaten geprüft, und ist die Suche in den privaten Code-Ablagen lizenziert? Wer erhält die automatischen Hinweise der Plattformen, und in welcher Frist muss darauf entschieden sein? Wie viele Führungskräfte-Trainings hatte die IT-Leitung in fünf Jahren, verglichen mit Vertrieb und Marketing? Und wer im Haus hat den Rückhalt, ein Projekt anzuhalten, weil es seine Testumgebung nicht aufgeräumt hat?

Ausblick und Prognose

Der Zugangsweg ist zugleich die Prognose. Nach unserer Einordnung ist es höchstwahrscheinlich (85 bis 95 Prozent), dass innerhalb von sechs Monaten weitere europäische Konzerne über denselben Weg getroffen werden, Zugangsdaten im ausgelieferten Code oder in Code-Ablagen; die Konfidenz ist hoch, weil die Scan-Flotte nach Lab539 weiterläuft und der Flughafenfall im September dasselbe Muster zeigt. Für das Unternehmen selbst gilt weiter: Es ist wahrscheinlich (75 bis 85 Prozent), dass weitere Teile des zurückgehaltenen Bestands veröffentlicht oder verkauft werden, Konfidenz mittel.

Wer wissen will, an welchen Übergängen das eigene Haus offen ist, beginnt bei uns mit einem vertraulichen Gespräch über das Zielbild, nicht mit einer Prüfliste.

Zahlen, Pflichten, Zahlungsfrage: die Vorstandsvorlage vor dem Ernstfall

Sie haben eine Vorlage in der Schublade, die drei Dinge enthält: die Zahlen, die im Ernstfall gebraucht werden, jede mit Herkunft und Stufe; die Pflichten mit ihren Fristen in jedem Land, in dem Ihr Haus Daten verantwortet; und eine vorher getroffene Haltung zur Zahlungsfrage samt dem Weg, sie umzusetzen oder abzulehnen. Diese Vorlage wird nicht im Vorfall geschrieben, sondern vorher, und im Vorfall nur ausgefüllt. Dieses vierte Kapitel unserer Serie "Vergessene Technik, offene Entscheidungen" baut sie am Fall von Novo Nordisk auf, mit dem Hinweis, dass es sich um eine Einschätzung handelt und nicht um Rechts- oder Steuerberatung.

Die Zahlen

Für die Vorlage zählen vier Größen: Forderung, Umfang, Betroffene und Folgen. Die Forderung: 25 Millionen US-Dollar laut Reuters, wiedergegeben von heise und DR, umgerechnet rund 160 Millionen dänische Kronen; Reuters selbst war nicht abrufbar, die Zahl liegt also nur über Zweitquellen vor. Der Umfang: 1,3 Terabyte nach Angabe der Gruppe, mehr als ein Terabyte laut DR; veröffentlicht wurden laut heise rund 250 Gigabyte in der ersten Stufe, laut HIPAA Journal 264 Gigabyte, und Medienberichten zufolge 1,05 Terabyte in der zweiten. Die Betroffenen: amtlich bestätigt sind pseudonymisierte Daten von Studienteilnehmern, Medienberichten zufolge rund 11.500 Personen; nach Darstellung der Gruppe dazu Daten von 163.234 Beschäftigten und zurückgehaltene Bestände zu 46.843 dänischen Heilberuflern, 506.007 klinischen Prüfern und 2.852 namentlich genannten Studienmitarbeitern. Keine dieser Täterzahlen hat das Unternehmen bestätigt. Die Folgen: laut Halbjahresbericht mehrere Sammelklagen in den USA; ob der Vorfall zu Rückstellungen geführt hat, sagt der Bericht nicht.

Was in der Vorlage fehlt, weil keine Quelle es nennt, ist der Preis der Monate danach: Forensik, Wechsel jedes Zugangs, der über die Code-Ablagen erreichbar war, Information der Betroffenen in vielen Ländern, Verteidigung in den Klagen, laufende Kommunikation gegenüber einer Gruppe, die nachlegt. Eine Vorlage, die diese Position offen lässt, ist ehrlich; eine, die sie nicht enthält, ist unvollständig.

Die Pflichten

Für ein Unternehmen mit Sitz in Dänemark gilt nach der Datenschutzaufsicht: Der Verantwortliche meldet eine Verletzung des Schutzes personenbezogener Daten ohne unangemessene Verzögerung und möglichst binnen 72 Stunden über das Portal Virk, das die Meldung an die Aufsicht weiterleitet. Das Unternehmen erklärt, in Kontakt mit den zuständigen Behörden zu stehen; Zeitpunkt und Inhalt der Meldung sind nicht bestätigt. Das Bundesamt für Sicherheit in der Informationstechnik nennt in seinem Leitfaden zur ersten Hilfe die Meldepflichten gegenüber Regulatoren, dazu vertragliche Informationspflichten gegenüber Vertragspartnern, und empfiehlt grundsätzlich eine Strafanzeige. Wer eine Cyber-Versicherung hat, soll sie nach demselben Leitfaden frühzeitig informieren, weil sie Vorgaben macht, unter denen sie Kosten übernimmt; ob das Unternehmen versichert ist, sagt keine Quelle.

Unsere Einordnung: Für einen Konzern mit Studienzentren in vielen Ländern vervielfacht sich die Zahl der Aufsichten, und pseudonymisierte Studiendaten sind personenbezogen, sobald jemand die Zuordnung hat. Laut Halbjahresbericht stützen sich die Sammelklagen auf Fahrlässigkeit, und die Kläger behaupten kompromittierte persönliche und geschützte Gesundheitsdaten; das Unternehmen erklärt, dass die Zuordnungsinformationen nicht betroffen waren und Patienten nichts unternehmen müssen. Der Unterschied zwischen pseudonymisiert und anonymisiert wird damit vor Gericht verhandelt, nicht in der Pressemitteilung. In der Vorlage steht deshalb, welche Datenarten das Haus in welchem Land verantwortet und wer die Meldung an jede Aufsicht innerhalb der Frist auslösen darf.

Die Zahlungsfrage

Das Unternehmen hat nach übereinstimmenden Berichten nicht gezahlt; die Gruppe kündigte daraufhin Medienberichten zufolge an, den Verkauf des Materials zu prüfen. Das Bundesamt empfiehlt grundsätzlich, auf keine Form von Erpressung einzugehen und kein Lösegeld zu zahlen; wer eine Zahlung dennoch erwägt, soll die Cyber-Versicherung früh informieren, etwaige Zahlungen mit Ermittlungsbehörden und Rechtsabteilung abstimmen und hat auch nach einer Zahlung keine Garantie. Die Vorlage hält diese Haltung fest, und sie hält fest, was sie in diesem Fall kostete: zwei Veröffentlichungsstufen, zurückgehaltene Bestände und Klagen.

Wer die Zahlung trotzdem als Option offenhalten will, muss drei Fragen vorher beantworten. Erstens die Sanktionsfrage: Nach der Warnung des amerikanischen Finanzministeriums drohen zivilrechtliche Strafen bei Sanktionsverstößen nach strict liability, also auch ohne Kenntnis eines Sanktionsbezugs; eine selbst initiierte, vollständige Meldung an Strafverfolgung oder CISA gilt als erheblicher mildernder Faktor. Das betrifft jedes Unternehmen mit US-Bezug, auch bei Zahlung über Dienstleister. Unsere Einordnung: Für diese Gruppe gab es am Stichtag keinen Treffer in der Sanktionsliste des Finanzministeriums; die Liste der Europäischen Union konnten wir nicht prüfen. Eine Zahlung wäre damit nicht per se sanktionswidrig gewesen, die Prüfpflicht bleibt bei jedem neuen Namen bestehen. Zweitens die Steuerfrage, für deutsche Unternehmen: Unsere Einordnung ist, dass das Einkommensteuergesetz Zuwendungen vom Betriebsausgabenabzug ausschließt, deren Gewährung eine rechtswidrige Handlung nach Straf- oder Bußgeldrecht darstellt; ob eine Lösegeldzahlung darunter fällt, ist im Einzelfall zu prüfen, und die dänische Behandlung haben wir nicht recherchiert. Drittens die Beschaffungsfrage: Keine Quelle beschreibt, wie das Unternehmen 25 Millionen US-Dollar in Kryptowährung hätte beschaffen sollen. Unsere Einordnung: Eine Finanzabteilung ohne vorher benannten Dienstleister, Freigabeweg und Dokumentation kann eine solche Summe innerhalb einer Frist nicht rechtssicher aufbringen.

Unsere Einordnung: Die Zahlungsfrage ist keine Frage, die im Vorfall entschieden werden kann, weil jede der drei Antworten Tage braucht, die im Vorfall nicht vorhanden sind. Sie wird vorher entschieden, in beide Richtungen. Wer nicht zahlen will, legt fest, wie die Veröffentlichung getragen wird. Wer die Option offenhalten will, legt den Weg an, bevor er ihn braucht.

Die Kommunikation

Das Unternehmen bestätigte nur, was es selbst wusste: begrenzte Zahl von Systemen, Daten kopiert, Betroffene werden informiert, Kerngeschäft läuft; die Update-Seite nennt die Datenarten und erklärt die Pseudonymisierung. Zahlen der Täter wurden nicht übernommen. Laut Bericht erklärte das Unternehmen, die Mitteilung diene nur der Information, Patienten müssten nichts unternehmen, Patientennamen seien nicht darunter. Unsere Einordnung: Das ist als Muster brauchbar, und es lässt die Frage nach Umfang und Zeitraum offen, die Presse und Kläger dann mit den Angaben der Täter füllen. Dazu kommt, was Moxfive über die Gruppe berichtet: Sie beobachtet öffentliche Aussagen der Opfer, widerspricht ihnen und hat in anderen Fällen Führungskräfte namentlich angesprochen. In der Vorlage steht deshalb, wer Texte freigibt, was das Haus bestätigt und was es ausdrücklich nicht kommentiert, bevor die erste Nachricht der Gegenseite eintrifft.

Wie die Vorlage lebendig bleibt

Eine Vorlage, die einmal geschrieben und dann abgelegt wird, ist im Ernstfall eine Absicht. Nach unserer Einordnung braucht sie einen Eigentümer in der Geschäftsführung, einen festen Termin zur Überprüfung und drei Anlässe, zu denen sie außerplanmäßig geöffnet wird: eine neue Bedrohungseinschätzung einer Behörde, die das Haus betrifft, wie die dänische vom November 2025; eine Veränderung der Organisation, etwa eine neue Plattform, eine Übernahme oder ein neues Kernsystem; und ein Vorfall bei einem vergleichbaren Unternehmen. Bei jeder Öffnung werden die Mandate gegen die aktuellen Namen geprüft, der Zahlungsweg gegen die aktuellen Dienstleister und die Liste der Aufsichten gegen die Länder, in denen seit dem letzten Mal Studien begonnen haben.

Ausblick und Prognose

Die Vorlage endet mit einer Einschätzung, was nach der Veröffentlichung kommt. Nach unserer Einordnung ist es wahrscheinlich (75 bis 85 Prozent), dass in den nächsten sechs Monaten weitere Teile des zurückgehaltenen Bestands veröffentlicht oder zum Verkauf angeboten werden und dass Beschäftigten- und Prüferdaten für gezielte Ansprache genutzt werden; die Konfidenz ist mittel, weil Umfang und Inhalt des Restbestands nur aus Angaben der Täter stammen. Für die Vorlage heißt das: Der Posten Information und Schutz der Betroffenen läuft über Monate, nicht über Tage.

Wo eine solche Vorlage noch nicht existiert, beginnt unsere Arbeit mit einem vertraulichen Gespräch darüber, welche Entscheidungen Ihr Haus vor dem Ernstfall festlegen will.

Woran Sie messen, ob es Sie betrifft: Ausblick, Prognose und Fragen an die Geschäftsführung

Woran erkennen Sie, ob der Fall, den Sie in dieser Serie verfolgt haben, für Ihr eigenes Haus ein Thema ist, bevor eine Scan-Flotte es für Sie entscheidet? Eine Führung braucht dafür keine Fachtiefe, sondern wenige Messpunkte, die sie selbst abfragen kann. Dieses fünfte und letzte Kapitel unserer Serie "Vergessene Technik, offene Entscheidungen" fasst die Prognose zum Fall von Novo Nordisk zusammen, nennt die Gegenargumente, übersetzt die Frühindikatoren in Beobachtungspunkte und endet mit den Fragen, mit denen eine Geschäftsführung den eigenen Stand bestimmt.

Die Prognose, mit Begründung

Wir schreiben Prognosen mit einer Stufe, einer Spanne und einer Konfidenz. Für die nächsten sechs Monate gilt nach unserer Einordnung: Es ist wahrscheinlich (75 bis 85 Prozent), dass weitere Teile des zurückgehaltenen Bestands veröffentlicht oder zum Verkauf angeboten werden und dass Beschäftigten- und Prüferdaten aus dem Datensatz für gezielte Ansprache von Studienzentren und Beschäftigten genutzt werden. Die Konfidenz ist mittel. Die zweite Einschätzung betrifft nicht das Unternehmen, sondern seine Nachbarn: Es ist höchstwahrscheinlich (85 bis 95 Prozent), dass innerhalb von sechs Monaten weitere europäische Konzerne über denselben Zugangsweg getroffen werden, Zugangsdaten im ausgelieferten Frontend-Code oder in Code-Ablagen. Die Konfidenz ist hoch.

Die Begründung: Die Gruppe hat zweimal nachgelegt, im Juni und im August, hält nach eigenen Angaben große Bestände zurück und bleibt aktiv; Medienberichten zufolge folgte im September ein britischer Flughafenbetreiber, weitere Fälle wurden angekündigt. Nach Lab539 läuft die Scan-Flotte weiter, und der Flughafenfall zeigt nach Darstellung der Gruppe denselben Zugangsweg. Die Konfidenz der ersten Einschätzung ist mittel, weil Umfang und Inhalt des Restbestands nur aus Angaben der Täter stammen und das Unternehmen keine Zahlen bestätigt. Die Konfidenz der zweiten ist hoch, weil sie nicht von der Absicht der Gruppe gegenüber einem Opfer abhängt, sondern von einem Verfahren, das beobachtet wurde.

Gegenargumente, offen behandelt

Eine Prognose, die ihre Gegenargumente nicht nennt, ist eine Behauptung. Das erste Gegenargument lautet: Das Unternehmen hat nicht gezahlt, das Kerngeschäft lief weiter, also ist der Schaden begrenzt. Unsere Antwort: Acht Wochen nach der Bekanntgabe standen Sammelklagen im Halbjahresbericht, die Gruppe hat zweimal nachgelegt und hält nach eigenen Angaben weitere Bestände zurück. Der Schaden bei reinem Datendiebstahl entsteht nicht am Tag der Entdeckung, sondern über Monate bei Klägern, Wettbewerbern und Betroffenen. Das zweite Gegenargument lautet: Gegen zweieinhalb Monate unbemerkten Zugriff kann sich niemand schützen. Unsere Antwort: Der Einstieg war nach Herstellerforschung ein Schlüssel im ausgelieferten Code einer vergessenen Entwicklungsseite, die Bewegung danach lief über weitere fest hinterlegte Zugangsdaten; jede dieser Stufen ist ein bekannter Prüfpunkt. Das dritte Gegenargument lautet: Die Zahlen sind Täterpropaganda, amtlich bestätigt sind nur pseudonymisierte Studiendaten. Unsere Antwort: Richtig, und deshalb tragen alle Zahlen zu Repositories, Wirkstoffen, Modellen und Beschäftigten in dieser Serie die Stufe behauptet. Aber die Veröffentlichung von 1,05 Terabyte am 12. August ist ein beobachtbares Ereignis, und die Herstellerforschung hat den Zugangsweg unabhängig von den Tätern rekonstruiert.

Das vierte Gegenargument betrifft uns selbst. Diese Serie stützt sich auf offene Quellen. Reuters und ein Pharma-Fachmedium waren nicht abrufbar, die Forderung von 25 Millionen liegt deshalb nur über Zweitquellen vor. Keine Behörde hat sich zu der Gruppe geäußert, die dänische Aufsicht nicht zu diesem Fall. Wir haben keine veröffentlichten Pakete analysiert und keine Leak-Seite abgerufen. Wo die Quellenlage dünn ist, haben wir es gesagt.

Frühindikatoren, in die Sprache der Führung übersetzt

Aus dem Fall ergeben sich sieben Beobachtungspunkte, an denen sich zeigt, ob die Prognose eintritt; wir ordnen jedem eine Bedeutung für die Führung zu.

Erstens weitere Veröffentlichungsstufen oder ein Verkaufsangebot für den zurückgehaltenen Bestand, beobachtet über Fachpresse und Nachschlagewerke, nie über die Leak-Seite selbst: Die Verwertung läuft, und die Information der Betroffenen ist nicht abgeschlossen. Zweitens Meldungen von Studienzentren oder Aufsichten über gezielte Nachrichten mit Namen, Rollen und Studienkennungen aus dem Datensatz: Der Datensatz wird gegen Menschen eingesetzt, und jedes Unternehmen mit Studien- oder Lieferbeziehung sollte seine Beschäftigten vorbereiten. Drittens neue Opfer der Gruppe in Europa mit demselben Zugangsweg: Die Scan-Flotte läuft, und die eigene Branche kann als Nächstes betroffen sein. Viertens eine erste Behördenwarnung oder Advisory zu der Gruppe mit Kennung: Die Empfehlungen bekommen eine amtliche Grundlage, und jemand im Haus muss sie lesen. Fünftens eine Entscheidung der dänischen Datenschutzaufsicht oder eines US-Gerichts in den Sammelklagen: Der Preis des Falls bekommt eine Zahl, und die Frage nach pseudonymisiert oder personenbezogen bekommt eine Antwort. Sechstens das Auftauchen von Wirkstoffstrukturen, Rezepturen oder Modellen aus dem Datensatz bei Dritten, in Publikationen, Patenten oder Nachahmerprodukten: Der Wert der Forschungsdaten wandert zum Wettbewerb, und das ist der Schaden, den keine Pressemitteilung beziffert. Siebtens eine Sanktionslistung der Gruppe oder ihrer Zahlungswege: Die Zahlungsfrage aus dem vierten Kapitel ändert für alle künftigen Fälle ihre rechtliche Lage.

Keiner dieser Punkte verlangt technisches Wissen. Jeder verlangt, dass jemand im Haus zuständig ist, ihn zu beobachten und der Führung zu melden, wenn er eintritt. Das ist ein Übergang wie die im dritten Kapitel beschriebenen, und er ist genauso leicht zu übersehen.

Wann die Prognose neu bewertet wird

Eine Prognose mit Horizont von sechs Monaten braucht Termine, an denen sie überprüft wird. Nach unserer Einordnung sind das drei: nach der nächsten Veröffentlichungsstufe oder dem ersten Verkaufsangebot, weil sich dann zeigt, ob die erste Einschätzung von wahrscheinlich zu eingetreten wechselt; nach der ersten Behördenwarnung zu der Gruppe, weil sich dann zeigt, ob der Zugangsweg amtlich beschrieben wird und die Empfehlungen sich ändern; und nach dem ersten belegten Fall eines weiteren europäischen Konzerns über denselben Weg, weil sich dann die zweite Einschätzung bestätigt oder verschiebt.

Fragen, mit denen Sie Ihren Stand bestimmen

Aus fünf Kapiteln ergeben sich sechs Fragen, die eine Geschäftsführung ohne fremde Hilfe beantworten kann. Ist festgelegt, wer im Haus eine Nachricht von Erpressern bewertet, wer antwortet und wer über eine Forderung entscheidet, und steht das schriftlich? Weiß jemand im Haus, welche Adressen, Entwicklungsumgebungen und Code-Ablagen unter unserem Namen im Internet erreichbar sind, und wer darf sie abschalten? Wer erhält die automatischen Hinweise unserer Plattformen, und in welcher Frist wird darüber entschieden? Kennt die Führung die Meldefristen in jedem Land, in dem das Haus personenbezogene Daten verantwortet, und wer löst die Meldung aus? Existiert die Vorlage aus dem vierten Kapitel, mit Zahlen, Pflichten, Zahlungsweg und Freigaben? Und hat die Führung die Leute, die das verantworten und können, und hat sie diese Leute so entwickelt wie ihre Führungskräfte in Vertrieb und Marketing?

Unsere Einordnung: Wer vier dieser sechs Fragen mit Ja beantwortet, hat die Monate danach vorbereitet. Wer weniger als zwei mit Ja beantwortet, hat ein Thema, unabhängig davon, ob diese Gruppe ihn je findet. Die Reihenfolge, in der unsere Gruppe arbeitet, gilt auch hier: aufdecken, was ist; aufklären, was es bedeutet; schützen, was zählt; nachweisen, was getan wurde; absichern, was bleibt; befähigen, wer es tragen muss.

Was diese Serie war und was sie nicht war

Fünf Kapitel haben einen Fall aus der Sicht der Führung gelesen: die Entscheidungen der ersten Monate, die Gruppe und ihr Modell, die vergessene Technik als Führungsfrage, die Vorstandsvorlage, die Prognose. Nicht enthalten sind die technische Kette, die Prüfliste für die Erkennung und die Regelwerke in der Tiefe; das sind die Beiträge unserer Einheiten Networks, Defense, Governance und Intelligence zu demselben Fall, am Ende verlinkt. Die Serie hat das Unternehmen nicht bewertet, und sie hat keinen Beschäftigten benannt. Sie hat gefragt, was jede Führung aus dem Fall für das eigene Haus ableiten kann.

Wer diese Messpunkte für das eigene Haus festlegen will, beginnt bei uns mit einem vertraulichen Gespräch über das Zielbild und die Reihenfolge, in der es erreicht wird.