Fakten zur Cyber-Resilienz in Unternehmen So schaffen Unternehmen ganzheitlich mehr Resilienz

Unternehmen stehen einer wachsenden Gefahr raffinierter Cyberangriffe gegenüber. Neben externen Bedrohungen wie KI-gestütztem Phishing, Ransomware-as-a-Service und DDoS rückt auch das Insider-Risiko zunehmend in den Fokus. Konsequente Zero-Trust-Strategien, umfassende Awareness-Maßnahmen und strenge gesetzliche Vorgaben essenziell sind, um nachhaltige Sicherheit zu schaffen.

Cyberangriffe bedrohen alle Unternehmen und Branchen – und die Zahlen steigen stetig, wie eine Bitkom-Studie zeigt. Rund 81 Prozent der befragten Unternehmen waren im vergangenen Jahr Opfer von Cyberangriffen – im Vergleich zu 72 Prozent im gleichen Zeitraum 12 Monate vorher. Cyber-Resilienz, so betont es der aktuelle Lagebericht des BIS, ist eine Gemeinschaftsaufgabe und sollte sich nicht auf die Hersteller beschränken. Wie können Unternehmen ganzheitlich für mehr Resilienz sorgen?

Der Faktor Mensch: Awareness kommt zu kurz

„In einer digitalen, vernetzten Welt kommt der IT-Sicherheit eine besondere Bedeutung zu. IT-Sicherheit muss überall Aufgabe der Unternehmensführung sein“, so Bitkom-Präsident Dr. Ralf Wintergerst. Das klingt selbstverständlich, ist es aber immer noch nicht. In vielen Unternehmen bestehen nach wie vor offene Flanken in Sachen Cybersicherheit. Wie eine internationale Manager-Umfrage des Versicherers Hiscox zeigt, sagen zwar 34 Prozent der Befragten, ihr Unternehmen sei nicht ausreichend auf Cyberattacken vorbereitet. Gleichzeitig geben sie durchschnittlich nur 11 Prozent ihres IT-Budgets für Cybersecurity aus.

Ein Fehler liegt darin, den Fokus auf geheimnisvolle Hacker aus fernen Ländern zu richten, die die Unternehmenssicherheit mit ausgefeilten und hoch komplexen Angriffs-Tools bedrohen. Doch viel häufiger erhalten die Kriminellen über einen, oft unfreiwilligen Insider, Zugang zu den internen Ressourcen. Laut Hiscox-Umfrage betrachten 43 Prozent der Befragten Mitarbeitende, Subunternehmer und Geschäftspartner als erhebliches Risiko.

Die Bedeutung von Kennzahlen für die Cybersicherheit

7 unverzichtbare KPIs für Cyber-Resilienz

Social Engineering steht in Sachen Cyberattacken hoch im Kurs. Dieser Weg ist häufig auch erfolgsversprechender und einfacher als nach Netzwerk- oder Softwareschwachstellen zu suchen. Phishing-Mails, die mithilfe von KI immer schwerer als Betrug zu erkennen sind, stellen nach wie vor das größte und gefährlichste Einfalltor dar. Auch Mishing-Bedrohungen (Mobile Targeted Phishing) nehmen immer weiter zu, Mittlerweile zielen 82 Prozent der Phishing-Seiten auf mobile Endgeräte.

Ransomware-Entwickler haben mittlerweile mit Ransomware-as-a-Service (RaaS) ein zukunftsfähiges Geschäftsmodell auf dem Markt und bilden eine eigene Underground Economy. Die Schad-Software und das technische Know-how werden als Dienstleistung angeboten – spezielle Fähigkeiten in der Software-Entwicklung sind auf Seiten der Auftraggeber nicht mehr erforderlich.

Inzwischen ist auch eine Kombination aus Ransomware und DDoS, also der Überlastung der Server-Infrastruktur durch Massenanfragen, verbreitet. Hier wird mittels DDoS eine zusätzliche „Motivation“ gegeben, um die Zahlung eines Lösegelds zu erzwingen – laut Lagebericht der Bundesregierung sind im ersten Halbjahr 2024 DDos-Attacken immens angestiegen. Trotzdem: Lösegeld zahlen ist immer noch keine gute Idee. So erhalten Unternehmen selten ihre verschlüsselten Daten vollständig zurück. Dazu veröffentlichen die Angreifer inzwischen routine-mäßig erbeutet Daten oder nutzen sie für Erpressungen. Alle betroffenen Hosts müssen ohnehin neu installiert werden, um Backdoors auszuschließen. Dennoch wurden, so der Lagebericht, weltweit 1,1 Milliarden US-Dollar Lösegeld durch Ransomware-Angriffe erbeutet.

Parallel zu den firmeneigenen Sicherheitsvorkehrungen darf auch die Sensibilisierung der Mitarbeitenden nicht fehlen, denn sie sind die erste Verteidigungslinie. Obwohl sinnvolles und maßgeschneidertes Security Awareness-Training eine hohe Wirksamkeit hat, geben sich die Unternehmen häufig immer noch mit minimalem Training zufrieden, um die Compliance-Anforderung zu erfüllen. Security-Awareness ist keine Einmal-Aktion und lässt sich nicht in der gleichen Art und Weise über Unternehmen und Zielgruppen auskippen. Eine gut geplante und auf die Bedürfnisse des eigenen Unternehmens angepasste Kampagne erfordert Aufwand im Vorfeld und einen Kampagnen-Owner, der das Thema ernst nimmt. Aber mit gezielten Aktionen können die Mitarbeitenden das richtige Bauchgefühl entwickeln, um eine ungewöhnliche Mail oder einen merkwürdigen Anruf richtig einzuordnen.

Gastkommentar

NIS2 unwichtig? Cyber-Resilienz ist es nicht!

Grundlegende technische Maßnahmen umsetzen

Beinahe 25 Jahres sind seit der ersten Vorstellung des Konzepts vergangen, das heute als „Zero Trust“ bekannt ist. Traditionelle Sicherheitsansätze schützten den Perimeter, aber innerhalb der „Burgmauer“ wurden alle Ressourcen weitgehend ungeschützt bereitgestellt. Zero Trust vertraut innerhalb und außerhalb des eigenen Netzwerkes niemandem: Jedes Netz wird als potenziell feindlich eingestuft. Zugriffe sind nur nach Authentifizierung möglich, Zugriffsrechte werden auf das geringstmögliche Level beschränkt. Identitäten sind der Schlüssel zu erfolgreichem Zero Trust und werden stärker als alle anderen Ressourcen geschützt. Die Umsetzung der Zugangskontrollen kann über Maßnahmen wie die Multi-Faktor-Authentifizierung, passwortlose Authentifizierung, die Abschaltung von Legacy-Authentifizierungen oder einer EDR-Lösung (Endpoint Detection and Response) sichergestellt werden. Neben den Identitäten sind auch die Endgeräte, Applikationen, das Netzwerk, die Infrastruktur und die Daten Teil des Sicherheitskonzepts.

Entwicklungen wie Hybrides Arbeiten, BYOD und die stetige Migration in die Cloud verlangen nach neuen Sicherheitskonzepten. Die Trennung zwischen innerhalb und außerhalb des Netzwerks ist durch die zahlreichen Zugangswege, in deren Mittelpunkt oft ein Browser steht, aufgehoben worden. „Identity is the new Perimeter“, das dürfte mittlerweile jedem klar geworden sein. Und so verwundert es nicht, dass privilegierte Accounts besonders argwöhnisch überwacht und mit zeitbeschränkten Rechten ausgestattet werden. Für ein zeitgemäßes Identity- und Access Management braucht es eine strenge Authentifizierung und Autorisierung der User, wenn diese remote auf Ressourcen zugreifen. Mit Microsoft-Tools wie Conditional Access und Identity Protection können Zugriffe auf unterstütze und freigegebene Endgeräte beschränkt sowie kompromittierte Accounts blockiert werden.

Gesetzliche Vorgaben schaffen Prioritäten

Cyberangriffe kommen die Unternehmen teuer zu stehen – und das auf mehreren Ebenen. Nicht nur die finanziellen Einbußen der Angriffe selbst existenzbedrohend sein können, insbesondere da die Zahlen mittlerweile atemberaubende Höhen erreicht haben. So wurde die bisherige Rekordschadenssumme von 223,5 Milliarden Euro in diesem Jahr nochmals übertroffen.

Weil die Selbstregulierung des Marktes offensichtlich nicht funktioniert, steuert die EU inzwischen mit mehreren Initiativen gegen. Allen voran ist NIS2 ein wichtiger Baustein, um grundlegende Cyber-Security-Maßnahmen in die Unternehmen zu bringen. Dazu gehören ein Risiko-Management, die Kontrolle der Lieferkette und technische Basismaßnahmen wie Multi-Faktor-Authentifizierung. Der EU geht es darum, in allen Mitgliedsländern ein einheitliches Sicherheitsniveau zu erzielen, ganz besonders beim Mittelstand, der IT-Sicherheit bisher als Nice-to-have ansieht und schon von kleinen Attacken an den Rand des Ruins – und manchmal darüber hinaus – getrieben wird.

Es liegt im Eigennutz jeder Firma, die Cyber-Sicherheit ernsthaft zu betreiben. Allein der Vertrauens- sowie Imageverlust, den geschädigte Unternehmen erleiden, ist ein massiver Faktor. Laut der Hiscox-Studie gaben 43 Prozent der Befragten an, sie hätten nach publik gewordenen Cyber-Attacken Kunden verloren, 47 Prozent berichten es sei schwieriger geworden, neue Kunden zu gewinnen. Der Reputationsverlust stellt ein enormes Risiko für Unternehmen dar.

Cyber-Sicherheit: ein Paradigmenwechsel

Willkommen in der Ära der Cyber-Resilienz

Die Lösung: Strukturierte Sicherheit und Resilienz

Cyberangriffe werden sich niemals ganz vermeiden lassen und irgendwann trifft es jeden. Entscheidend ist dann, wie gut Unternehmen auf den Ernstfall vorbereitet sind. Sie sollten sich rechtzeitig um das Thema Resilienz kümmern, was Backup-Pläne und Disaster Recovery umfasst – aber darüber hinaus geht. Es geht darum, die Kernprozesse und ihre Abhängigkeiten zu identifizieren, die unbedingt weiterlaufen müssen. Die meisten Unternehmen merken erst, wie brisant dieses Thema ist, wenn der Angriff bereits läuft. Dann muss man Bereiche opfern, die eine geringere Priorität haben – wer erst jetzt versucht diese Abteilungen zu identifizieren, kommt zu spät. Resilienz sollte integraler Bestandteil des Business-Prozesses sein und in der Verantwortung der Führungsebene liegen. Eine durchdachte Cybersecurity-Strategie mit Backup-Plänen, vernünftigen technischen Maßnahmen und regelmäßigen Awareness-Schulungen schützt vor gut 99 Prozent aller Angriffsarten. Eigentlich ist ein Informations­sicherheits­management­system (ISMS) die Basis einer solchen Strategie. Doch wenn das Unternehmen aus Kosten- oder Ressourcengründen kein vollständiges ISMS auf Basis von ISO 27001 oder BSI IT Grundschutz einführen kann, hilft schon eine Art ISMS light.

Bestimmte Tools erarbeiten dabei zunächst einen „Nordstern“, die grundlegende Ausrichtung der IT-Sicherheitsstrategie für die Organisation. Danach wird der Ist-Zustand, also der Reifegrad des Unternehmens bestimmt, und sowohl technische Gegebenheiten als auch Prozesse und Verantwortlichkeiten beleuchtet. Dazu gehören die Identitäten, die Daten, die Endpunkte, die Applikationen, das Netzwerk sowie die übergeordnete Infrastruktur. Ein IT-Security Strategiepapier und eine Roadmap beschreiben den Fahrplan für die nächsten Monate und bestimmen, wann welche konkreten Maßnahmen durchgeführt werden.

Wenn Business-kritische Prozesse und Assets Teil der Cyber-Resilience-Maßnahmen sind, verfügen Unternehmen über ein sicheres Fundament – auch gegen neuartige Bedrohungen. Fehlen aktuell die eigenen Experten, um all diese Maßnahmen umzusetzen, sollten sich Unternehmen Unterstützung an Bord holen. Erfahrene Consultants bewerten die Risikolage des Unternehmens und analysieren die gesamte IT-Landschaft hinsichtlich ihrer Widerstandskraft gegenüber Angriffen.

Über den Autor: Elmar Török ist Senior Architect Cybersecurity und Compliance bei der All for One Group.

(ID:50339920)