IT-Sicherheit und Widerstandsfähigkeit in einer unübersichtlichen Zeit Drei Maßnahmen um IT-Sicherheit und Resilienz zu stärken

Anbieter zum Thema

Kyndryl Deutschland GmbH

sysob IT-Distribution GmbH & Co. KG

FAST LTA GmbH

SEPPmail - Deutschland GmbH

Seit dem Ausbruch des Ukraine-Kriegs sind Staaten und Unternehmen nicht nur wegen militärischer Manöver alarmiert. Auch im digitalen Raum geht die Sorge vor politisch motivierten Cyberangriffen um – und ständig ist von neuen Attacken zu lesen. Die Angriffe auf amerikanische Energieversorgungsfirmen und Industrieanlagen sowie ukrainische Energieunternehmen sind nur zwei der mittlerweile zahlreichen Beispiele. DDoS-Angriffe, Defacing und Malware sind genauso Teil des Krieges wie Panzer und Raketen.

Dass Cyberangriffe im Zusammenhang mit geopolitischen Spannungen zunehmen, ist nichts Neues. Bereits in den 1990er-Jahren haben Sicherheitsbehörden den Cyberraum als neue Dimension der Kriegsführung definiert. In 2010 kam es zu einem der ersten virtuellen Angriffe auf kritische Infrastrukturen, als Stuxnet iranische Anlagen zur Urananreicherung lahmlegte. Seitdem gibt es ein Wettrennen zwischen Hackern und abwehrenden Instanzen wie dem NATO Cyber Defence Centre of Excellence oder dem Zentrum für Cyber-Sicherheit der Bundeswehr.

Cyberangriffe sind das größte Geschäftsrisiko

Das Thema Security betrifft nicht nur Behörden und Unternehmen, die offiziell zur kritischen Infrastruktur Deutschlands (KRITIS) zählen. Firmen jeder Größe und aus allen Branchen sorgen sich um die Sicherheit ihrer geschäftskritischen IT-Systeme: Laut einer PwC-Studie betrachten 59 Prozent der deutschen CEOs Cyberangriffe derzeit als das größte Geschäftsrisiko. IT-Sicherheitsvorfälle gefährden vor allem den Vertrieb von Produkten und Dienstleistungen sowie die Innovationskraft.

Das 2015 in Kraft getretene IT-Sicherheitsgesetz und die KRITIS-Verordnung bilden ein solides Rahmenwerk für Behörden und Unternehmen, die kritische Infrastrukturen betreiben oder besonders große volkswirtschaftliche Bedeutung haben wie Rüstungshersteller, Finanz- und Gesundheitsdienstleister. Doch viele der geforderten IT-Sicherheitsmaßnahmen sind in der Realität wegen fehlendem Personal, mangelndem Know-how und zu niedrigen Budgets längst nicht umgesetzt.

Trotzdem zeichnet sich bereits jetzt ab, dass die gesetzlichen Regularien der neue Standard für Unternehmen jeglicher Größe und Branche werden. Wer langfristig am Markt agieren und sich nicht von Ransomware außer Gefecht setzen lassen oder zum Opfer eines Malware-Angriffs werden will, wird sich immer mehr an den Anforderungen orientieren, die schon heute für KRITIS-Unternehmen und -Behörden gelten.

Drei konkrete Maßnahmen können Unternehmen vom Mittelstand bis zum Konzern bereits jetzt umsetzen, um ihre IT-Sicherheit und Resilienz zu stärken.

Erstens: Die Komplexität reduzieren

In den vergangenen Jahren haben viele Unternehmen zahlreiche Security-Tools und -Technologien eingeführt. Das Problem dabei: Die Lösungen überlappen sich teilweise, sie sind nicht miteinander verbunden – und entsprechend schwer im Blick zu behalten.

Hinzu kommt, dass auch die IT-Infrastrukturen der Firmen komplexer und umfangreicher geworden sind. Die IT-Welt von heute ist hybrid, SaaS- und PaaS-Lösungen sind trotz On-Premise-Produkten für kritische Anwendungen in fast allen Unternehmen gang und gäbe.

Diese beiden Entwicklungen haben viele IT-Systeme nicht nur vielschichtig, sondern teils auch unübersichtlich gemacht. In einer PwC-Befragung zum Thema Cybersecurity gaben 82 Prozent der deutschen Führungskräfte an, die Komplexität in ihrem Unternehmen als zu hoch zu empfinden. Eine konkrete Maßnahme dagegen ist die Anzahl an unterschiedlichen Security Tools zu reduzieren – und idealerweise für jeden Anwendungsfall nur eine Lösung im Einsatz zu haben.

Hierfür müssen vor allem CSOs in den gesamten Entscheidungsprozess der IT eingebunden werden. Der Fokus auf Security-Lösungen reicht nicht, um eine umfassende Sicherheitsstrategie zu entwickeln und umzusetzen.

Zweitens: Wertschöpfung in den Mittelpunkt stellen

Viele Security-Abteilungen haben sich mittlerweile verselbstständigt – und dabei ihr eigentliches Ziel aus den Augen verloren: den Schutz der Informationssysteme, die die Wertschöpfung innerhalb des Unternehmens ermöglichen. Es ist daher unerlässlich, dass sich die IT-Security auf ihre primäre Aufgabe besinnt. Gerade in produzierenden Unternehmen ist dieser Fokus immens wichtig, um weiterhin geschäftsfähig zu sein.

Die Business Impact Analyse ist ein hilfreiches Tool, mit dem Firmen herausfinden können, welche ihre wirklich kritischen Applikationen sind. Ziel dabei ist, die sogenannte Minimal Viable Company zu erstellen. Welche Geschäftsprozesse müssen unter allen Umständen am Laufen gehalten werden, damit das Unternehmen auch im Falle eines Cyberangriffs weiterhin am Markt agieren und bestehen kann?

Das Hauptaugenmerk auf die Minimal Viable Company zu legen und gezielt Abwehrmaßnahmen für kritische Prozesse zu implementieren hilft, schnell eine wirkungsvolle Cybersecurity aufzubauen.

Drittens: Die Mitarbeitenden schulen

85 Prozent aller Sicherheitsvorfälle in Unternehmen gehen auf einen menschlichen Fehler zurück. Häufig sind hierbei Phishing-Mails das Problem – beziehungsweise der Klick auf darin enthaltene Links oder Anhänge, die die Malware ins System lassen. Dies zeigt, dass das Bewusstsein der Mitarbeitenden für ihr Verhalten im IT-System erhöht werden muss.

Es gilt, den Menschen als Einfallstor für Sicherheitsrisiken nicht zu unterschätzen – und ihm mit entsprechenden Schulungen sichere Verhaltensweisen in den unternehmenseigenen IT-Infrastrukturen beizubringen. Dazu zählen beispielsweise das Erkennen von betrügerischen E-Mails sowie der Schutz vor Spam und Passwortdiebstahl.

Die Security-Awareness-Maßnahmen helfen Unternehmen, ihre Mitarbeitenden zu mehr Vorsicht zu motivieren und so die Cybersicherheit insgesamt zu stärken.

Über den Autor: Dominik Bredel unterstützt als Associate Partner für das Beratungsgeschäft im Bereich Security und Resiliency bei Kyndryl Unternehmen und Behörden dabei, ihre kritischen IT-Infrastrukturen zu schützen und die Widerstandsfähigkeit ihrer IT-Systeme zu erhöhen. Kyndryl ist 2021 durch die Abspaltung der IBM-Infrastruktursparte entstanden und der weltweit größte Anbieter von IT-Infrastrukturdienstleistungen. Die 90.000 Mitarbeitenden von Kyndryl betreuen über 4.000 Kunden in mehr als 60 Ländern auf der ganzen Welt, darunter 75 Prozent der Fortune-100-Unternehmen.

(ID:48482524)