Cyber-Risiken richtig managen IT-Resilienz erfordert mehr als nur Technik

Anbieter zum Thema

Greenbone AG

Fsas Technologies GmbH

FTAPI Software GmbH

Die Zahl der Cyber-Angriffe steigt. Um sich zu schützen, müssen Unternehmen einen Zustand der Resilienz anstreben, der nachhaltigen Widerstandsfähigkeit. Dieses Konzept geht noch einen Schritt weiter als IT-Security. Es erfordert neben geeigneter Technologie auch vorausschauende Prozesse und eine positive Fehlerkultur. Worauf sollte man dabei achten?

Resilienz bedeutet zum einen, die Angriffsfläche zu reduzieren, um das Risiko für einen erfolgreichen Cyber-Angriff zu minimieren. Da es hundertprozentige Sicherheit jedoch nie geben kann, müssen Unternehmen gleichzeitig auch Maßnahmen ergreifen, um im Falle eines Cybervorfalls betriebsfähig zu bleiben. Denn Hacker wenden immer fortgeschrittenere Angriffsmethoden an und die Bedrohungslage steigt.

So waren laut einer Studie des Spezialversicherers Hiscox 61 Prozent der deutschen Unternehmen im Jahr 2018 Opfer mindestens eines Cyberangriffs – 13 Prozent mehr als im Vorjahreszeitraum. Nicht nur große Unternehmen, auch kleinere und mittelständische Betriebe rücken zunehmend ins Visier der Hacker. Nachhaltige Widerstandsfähigkeit gegen Cyber-Angriffe zu erreichen wird damit zur Priorität für Organisationen aller Größen und Branchen. Dabei gilt es, drei Dimensionen zu berücksichtigen, die miteinander interagieren: Menschen und Kultur, Prozesse und Organisation sowie Technologie und Infrastruktur.

Risiken durch eine positive Fehlerkultur reduzieren

Der erste Schritt auf dem Weg zur Resilienz besteht darin zu akzeptieren, dass Fehler passieren – sowohl auf menschlicher als auch auf technischer Seite. Entscheidend ist, dass man richtig mit ihnen umgeht. Tatsächlich ist der Mensch nach wie vor die größte Schwachstelle in Unternehmen, so eine IDC-Studie. Indem Mitarbeiter auf Phishing-Angriffe und Social Engineering hereinfallen oder Schadsoftware herunterladen, öffnen sie Cyber-Kriminellen die Tür. Mit Strafen für Fehlverhalten zu drohen wäre jedoch der falsche Ansatz. Denn das führt nur dazu, dass Mitarbeiter sich nicht trauen, Fehler einzugestehen. Vielmehr sollten Unternehmen eine Kultur etablieren, in der man offen über Fehler redet und aus ihnen lernt. Außerdem ist es wichtig, Sicherheitsbewusstsein und Know-how aufzubauen. Dafür spielen Schulungen zur Sensibilisierung für Cyber-Risiken eine entscheidende Rolle. Fast 30 Prozent der Unternehmen vernachlässigen dies jedoch noch, so der aktuelle BSI-Lagebericht zur IT-Sicherheit in Deutschland.

Im Ernstfall richtig reagieren

Ist es einem Cyber-Kriminellen gelungen, Mitarbeiter auszutricksen oder ins Netzwerk einzudringen, müssen Unternehmen schnell Maßnahmen ergreifen, um Schaden zu begrenzen. Dafür müssen Prozesse etabliert und Verantwortlichkeiten geklärt sein. Wer macht was und wer berichtet an wen? Wo fließen die Informationen zusammen? Jetzt geht es darum, den Vorfall zu analysieren, eine weitere Ausbreitung zu verhindern und schnell wieder betriebsfähig zu sein. Bei Verstößen gegen die Datenschutz-Grundverordnung (DSGVO) müssen zudem Meldepflichten beachtet werden. Auch Maßnahmen zur Krisenkommunikation sind wichtig, um Reputationsverlust zu begrenzen. Mehr als drei Viertel der Unternehmen (77 Prozent) haben jedoch noch keinen konsistent angewendeten Incident Response Plan, der Notfall-Prozesse klar regelt, so eine aktuelle Studie des Ponemon Instituts.

Die Betriebskontinuität sichern

Um bei einem Cyber-Vorfall trotzdem betriebsfähig zu bleiben, müssen Unternehmen sich darüber im Klaren sein, wie IT-Assets und Geschäftsprozesse miteinander verknüpft sind. Welche Systeme sind besonders kritisch und dürfen auf keinen Fall ausfallen? Auf welche kann man vielleicht auch übergangsweise verzichten und einen Workaround entwickeln, ohne dass die tägliche Arbeit zu stark beeinträchtigt wird? Um diese Fragen zu beantworten, ist es im ersten Schritt wichtig, Geschäftsprozesse genau zu analysieren. Die kritischsten Assets sollte man dann voll durchkonfiguriert redundant vorhalten. Ein solches Hot-Standby-Konzept für alle Systeme umzusetzen, wäre viel zu teuer. Vielmehr müssen Unternehmen Risiken identifizieren, sie bewerten und abwägen, bis zu welchem Maß sie sie in Kauf nehmen möchten. Das ist keine IT-Angelegenheit, sondern Aufgabe des Managements. Denn nur die Geschäftsführung kann entscheiden, welche Risiken für das Unternehmen vertretbar sind und welche nicht.

Schwachstellen erkennen und managen

Um Risiken zu minimieren und zu managen, brauchen Unternehmen geeignete IT-Sicherheitstechnologie und Infrastruktur. Sie bildet neben Menschen und Kultur sowie Prozessen und Organisation die dritte Dimension im Resilienz-Konzept. Eine wichtige Rolle übernimmt dabei eine Vulnerability-Management-Lösung (VM). Sie scannt alle im Unternehmensnetzwerk angeschlossenen Systeme auf Schwachstellen und bewertet sie hinsichtlich ihres möglichen Schadens und ihrer Eintrittswahrscheinlichkeit. So können Unternehmen priorisieren, welche Funde sie am dringlichsten behandeln müssen. Anschließend werden Maßnahmen angestoßen, um die Schwachstellen zu schließen. Vulnerability Scanning sollte regelmäßig zeitgesteuert und automatisiert ablaufen, sodass kontinuierlich transparent wird, wie sicher die IT-Infrastruktur aktuell ist und wo Verbesserungsbedarf besteht. Dabei sollte die VM-Lösung in einer durchgängigen Security-Architektur mit anderen Sicherheitssystemen wie Firewalls und Intrusion Detection (IDS)- oder Prevention zusammenarbeiten.

Fazit

Auch mit der besten Sicherheitstechnologie lassen sich Risiken nie komplett ausmerzen, sondern nur managen. Um Resilienz zu erreichen, müssen sich Unternehmen über Risiken im Klaren werden, sie bewerten und angemessene Maßnahmen ergreifen, um sie zu reduzieren. Gleichzeitig müssen sie akzeptieren, dass Fehler passieren – sowohl auf menschlicher als auch auf technischer Seite. Deshalb bedeutet Resilienz auch, eine Kultur und Prozesse zu entwickeln, um mit Fehlern umzugehen. Nur wenn Unternehmen alle drei Dimensionen Menschen und Kultur, Prozesse und Organisation sowie Technologie und Infrastruktur berücksichtigen, kann es gelingen, nachhaltige Widerstandsfähigkeit gegen Cyber-Angriffe zu erreichen.

Über den Autor: Dirk Schrader ist Cyber Resilience Strategist und Chief Marketing Officer (CMO) bei Greenbone Networks. Schrader verfügt über mehr als 20 Jahre Erfahrung im Bereich IT Security. Seit 2004 ist Schrader Certified Informations Systems Security Professional (CISSP), seit 2016 Certified Information Security Manager (CISM).

(ID:46808693)