Cybersecurity-Management Cybersicherheit ist Sache des Managements!

Anbieter zum Thema

SEC Consult Deutschland

SEPPmail - Deutschland GmbH

Die Digitalisierung durchdringt unseren privaten wie auch beruflichen Alltag, dementsprechend sind wir von steigender Cyberkriminalität in nahezu allen Lebensbereichen betroffen. Die Wirtschaft ist auf vielen Ebenen intensiv digital vernetzt – und dadurch ebenfalls vielfältigen Bedrohungen aus dem Cyberspace ausgesetzt.

Der durch Cyberkriminalität verursachte Schaden nimmt in der jüngsten Vergangenheit enorm zu. So hat der Branchenverband Bitkom e.V. in seinem Bericht „Wirtschaftsschutz 2021“ für den Zeitraum 2020/2021 eine Schadenssumme von 223,5 Mrd. Euro errechnet. Dies ist nahezu eine Verdoppelung gegenüber 2018/2019. Zudem betreffen Cyberangriffe mittlerweile 9 von 10 Unternehmen – umso unverständlicher ist es, dass diese Gefahr immer noch vielfach unterschätzt wird.

Dass dies nach wie vor der Fall ist, wird anhand einer aktuellen Befragung jedoch schnell ersichtlich, denn der Verband hat in einer Studie, an der mehr als 1.000 Führungskräfte in Deutschland teilnahmen, erhoben, dass nur jedes zweite deutsche Unternehmen auf Cyberattacken vorbereitet ist und nur 61 Prozent regelmäßige Mitarbeiterschulungen durchführen. Zwar gaben 13 Prozent der Unternehmen an, in naher Zukunft damit zu beginnen, ganze 25 Prozent vertreten jedoch die Meinung, gänzlich auf diese Maßnahme verzichten zu können. Angesichts steigender Fallzahlen und einer sinkenden Aufklärungsquote laut „Bundeslagebild Cybercrime 2021“ des Bundeskriminalamts ist dies ein gefährliches Spiel mit dem Feuer.

Herausforderungen ans Management

Herausforderungen gibt es viele: DDoS- und Ransomware-Angriffe, die aufgrund ausgefeilter Social-Engineering-Methoden und der Entwicklung von Ransomware-as-a-Service (RaaS) als kriminelles Geschäftsmodell besonders boomen, stellen ein großes Bedrohungspotenzial dar. Die Verzahnung internationaler Lieferketten vergrößert die Zahl potenzieller Einfallstore für Cyberkriminelle, denn ein einzelnes kompromittiertes System kann eine ganze Kaskade an weiteren Infektionen und Ausfällen nach sich ziehen.

Höchst aktuell ist leider auch die Bedrohung durch den russischen Angriffskrieg gegen die Ukraine, der vermehrt auch im Cyberspace geführt wird. Die Aktivitäten der Kriegsparteien wirken sich schnell selbst auf kritische Infrastrukturen und Unternehmen aus, die nicht direkt beteiligt, durch die globale digitale Vernetzung jedoch dennoch verletzlich sind.

Diese volatile Bedrohungslage erfordert eine ganzheitliche und regelmäßig auf ihre Aktualität überprüfte Sicherheitsstrategie. Alle Cyberangriffe mit einer einzelnen Maßnahme zu bekämpfen, ist nicht möglich, denn die Angriffsvektoren sind vielfältig und zudem ständig in Fluss. Deshalb braucht es entsprechende Ressourcen, um Cybersecurity zu dem wichtigen Teil der Unternehmensstrategie machen zu können, der sie sein sollte.

In Sicherheit investieren lohnt sich

Ein häufiger Grund, weshalb Unternehmen ihre Cyberabwehr vernachlässigen, ist der finanzielle Aspekt, denn abhängig von der jeweiligen Branche sollten durchschnittlich etwa zehn Prozent des IT-Budgets für die Sicherheit veranschlagt werden. Dies erscheint vielen Entscheidungsträgern auf den ersten Blick unverhältnismäßig. Sie müssen jedoch bedenken, dass aufgrund der zunehmenden Professionalisierung unter Cyberkriminellen auch bei der Abwehr der Angriffe ein immer spezielleres und aktuelleres Fachwissen benötigt wird – eine Leistung, die die bestehende IT-Abteilung üblicherweise kaum erbringen kann, da sie stark mit den täglichen operativen Abläufen beschäftigt ist und sich das für eine erfolgreiche Abwehr nötige spezielle Know-how kaum aneignen kann.

Werden die Schäden einkalkuliert, die entstehen, wenn durch erfolgreiche Angriffe kritische Informationen im Netz landen, Behörden durch grobe Verletzungen des Datenschutzes auf den Plan gerufen werden oder der Geschäftsbetrieb nur durch Zahlung eines exorbitanten Lösegelds aufrechterhalten werden kann, dann zeigt sich eindeutig, dass sich die Investition in eine gute Sicherheitsstrategie lohnt.

„Prepare – Alert – Respond“: das Mantra der Cybersicherheit

Für einen erfolgreichen Schutz in dieser sich stets verändernden und weiterentwickelnden Bedrohungslage muss die Abwehrstrategie professionell und breit aufgesetzt werden. Denn nur dann kann im Fall eines Angriffs rasch und gezielt reagiert werden. Die Maxime „Prepare – Alert – Respond“ beschreibt einen Zyklus von Maßnahmen, die – einmal nachhaltig implementiert – später nur noch kontinuierlich adaptiert werden müssen. Diese Aufgaben alleine mit internen Ressourcen zu meistern, ist den meisten Unternehmen jedoch nicht möglich.

Da sich das eigene System laufend verändert, muss es regelmäßig überprüft werden. Ein gutes Mittel, kritische Schwachstellen rasch zu identifizieren, sind zum Beispiel von externen Experten durchgeführte Penetration-Tests, bei denen das System in einem geschützten Rahmen testweise angegriffen wird. Dieser Blick von außen unterstützt dabei, blinde Flecken frühzeitig zu erkennen. Auch bei der Vorbereitung für den Ernstfall ist der Know-how- und Erfahrungsvorsprung von externen Spezialisten wertvoll. Denn die Anforderungen sind komplex: Alle Mitarbeiter sollten die Sicherheitsrichtlinien genau kennen, ein Incident-Response-Team mit klaren Aufgaben, Rollen und Verantwortlichkeiten sollte bereitstehen, die Kommunikationswege müssen sowohl intern als auch nach außen hin geklärt sein und auch Notfallübungen bzw. Krisenplanspiele sollten regelmäßig abgehalten werden, um die Abläufe zu festigen.

Solange Angreifer nicht entdeckt wurden, können sie sich ungehindert im Netzwerk ausbreiten und weiter Schaden anrichten, daher muss die Attacke schnell erkannt werden. Dafür braucht es sinnvolle Definitionen für verdächtige Aktionen und das Fachwissen, um Alarmsignale richtig zu deuten. Wenn die Norm für ungewöhnliches Verhalten zu breit ausgelegt wird, werden Fehlmeldungen zum Ressourcenfresser, ist die Definition jedoch zu eng gefasst, können verdächtige oder auch riskante Aktivitäten übersehen werden. Es lohnt sich also auch hier, in Expertenwissen zu investieren.

Nach Identifizierung des Vorfalls hat die Eindämmung des Angriffs höchste Priorität. Bedrohungen werden an der weiteren Ausbreitung gehindert und der attackierte Bereich isoliert. Denn würden alle betroffenen Dateien gelöscht, könnten wichtige Hinweise auf den Ursprung des Vorfalls verloren gehen, was die forensische Aufarbeitung der Attacke erschwert. Nach der Desinfektion müssen die IT-Systeme dennoch weiterhin auf abnormales Verhalten hin überwacht werden, bevor sie freigegeben und die Hardware wieder in die Geschäftsumgebung eingliedert werden kann.

Nicht zu vergessen – insbesondere im Hinblick auf die Frage der persönlichen Haftung – ist auch die gesetzliche Meldepflicht: Je nach Unternehmensgegenstand und kompromittiertem Bereich können dies die DSGVO, die KRITIS-Verordnung oder auch das IT-Sicherheitsgesetz erfordern.

Cybersecurity-Management im Fokus

Zusammenfassend lässt sich sagen: Kein Verantwortlicher kann damit rechnen, dass ausgerechnet sein Unternehmen von Attacken verschont bleibt – unabhängig von Größe und Branche. Sowohl für die vorbeugende Stärkung der Systemsicherheit als auch für die Bewältigung des Ernstfalles zahlt es sich aus, auf professionelle Teams zurückgreifen zu können, die für Schadensbegrenzung sorgen, einen erneuten Angriff verhindern und die schnelle Wiederaufnahme des Normalbetriebs garantieren.

Über den Autor: Markus Robin ist studierter Informatiker und startete seine Karriere als Research-Ingenieur in der Software-Entwicklung im Hochtechnologie-Forschungszentrum der Alcatel-Elin in Wien. Im Anschluss wechselte er zur Ernst & Young Unternehmensberatung (später Capgemini). Als Vice President war Robin verantwortlich für die Themenbereiche IT-Security, IT-Strategie, Projektsanierung und Systemintegration für die Finanzdienstleistungsbranche in Österreich und den umliegenden Reformstaaten. 2005 wechselte er zu SEC Consult als General Manager.

(ID:49305937)