Investitionen in die Cyberabwehr ermöglichen Mit Zero Based Budgeting (ZBx) Cyberkosten senken

Die Zahl der Cyberangriffe auf Unternehmen steigt und effektive Schutzmechanismen gegen Hackerangriffe werden immer wichtiger. Unternehmen sind sich dieser Bedrohungslage bewusst und investieren in ihre Cybersicherheit. Oft stellen sich jedoch nicht die gewünschten Effekte ein. Durch die Anwendung von ZBx-Prinzipien wird es möglich, mehr aus den Cyberinvestitionen herauszuholen und Kostenpotenziale freizusetzen, die gezielt in moderne, effektive Sicherheitsmaßnahmen fließen können.

Das Risiko, Opfer eines erfolgreichen Hackerangriffes zu werden, steigt – nicht zuletzt durch den pandemiebedingten Trend zur Remote-Arbeit und der verstärkten Nutzung digitaler Arbeitstools. Trotz höherer Investitionen in Sicherheitstechnologien sind nach der State of Cyber Resilience-Studie lediglich sieben Prozent aller deutschen Unternehmen resilient gegenüber Cyberangriffen. Obwohl es viele Unternehmen geschafft haben, Cyberbedrohungen wirkungsvoll abzuwenden und bei der Aufdeckung und Bekämpfung von Hackerangriffen schneller zu werden, bleibt das konsequente Arbeiten an der Cyberabwehrstrategie eine kontinuierliche und kostenintensive Herausforderung. Mit Einmalinvestitionen lassen sich die sich stetig verändernden Risiken nicht abfangen. Unternehmen sehen sich mit einer Vielzahl von Cyberkriminellen mit unterschiedlichen Interessen, Skills und Geldmitteln konfrontiert und deren Angriffe werden stets zielgerichteter und professioneller.

Kosteneinsparungen von bis zu 30 Prozent sind möglich

Doch die Security-Teams müssen trotz dieser prekären Situation in der Lage sein, mit Angreifern Schritt zu halten – auch technologisch. Allerdings sind Sicherheitsinvestitionen kostspielig und die zur Verfügung stehenden Budgets nicht grenzenlos. Rund elf Prozent des IT-Budgets investieren Unternehmen durchschnittlich in ihre Cybersecurity. Mehr noch: Rund 60 Prozent der deutschen Unternehmen haben in den letzten zwei Jahren ihre Security-Ausgaben erhöht, 23 Prozent sogar um mehr als ein Viertel. Oft versickern diese Investitionen jedoch in Silos, das heißt IT-Verantwortliche geben ihre Budgets für einzelne Projekte aus, ohne eine verzahnte Gesamtstrategie innerhalb des Unternehmens zu verfolgen. Das Ergebnis sind oft unnötige Überabsicherung bzw. teilweise ungenutzte Security-Tools oder ein undurchsichtiger Dschungel an Vertragswerken, die falsch genutzt, nicht mehr zeitgemäß bzw. obsolet sind – auch was die Tarifierung anbelangt. Zero Based Budgeting (ZBx) ist mittlerweile in der Cyber-Abwehr angekommen und hier zum schlagkräftigen Instrument geworden, unnötige Security-Ausgaben zu identifizieren. Kosteneinsparungen von bis zu 30 Prozent sind so keine Seltenheit.

Security-Tools, die vor fünf Jahren State-of-the-Art waren, reichen heute nicht mehr aus.

Die Cyberbedrohungen haben sich über Jahre stetig weiterentwickelt. Darauf reagierten die Unternehmen mit immer neuen technologischen Abwehrmaßnahmen. Im Zuge dieses Prozesses sind viele Tools überflüssig geworden oder in ihrer Wirkung doppelt vorhanden. Die Kosten bleiben jedoch. Mit der Anwendung von ZBx-Prinzipien lassen sich solche Unzulänglichkeiten aufdecken und mehr Qualität und Leistungsfähigkeit in die Cyberabwehr bringen – bei gleichzeitiger Reduzierung der anfallenden Kosten.

Die wichtigsten Fragen in diesem Zusammenhang sind: Was ist bereits vorhanden und was brauche ich tatsächlich? Der Ansatz wird also umgekehrt: Von „Was habe ich und wie kann ich Lücken schließen?“ zu „Was brauche ich grundsätzlich?“. Um diese Fragen zu beantworten, muss zunächst einmal eine Bestandsaufnahme sämtlicher Cybermaßnahmen und Abwehrtools gemacht und die Kostenbasis auf den Prüfstand gestellt werden. Dabei sollten die Organisationen wirklich ins Detail gehen und jede einzelne Position kritisch hinterfragen. Gleichzeitig gilt es zu überlegen, welche Unternehmens-Assets in welchem Maße geschützt werden sollen und welche Werkzeuge tatsächlich sinnvoll sind, um Cyberangriffen wirksam zu begegnen und die Widerstandsfähigkeit des Unternehmens zu steigern. Nicht immer ist es zum Beispiel notwendig, eine Premium-Software einzusetzen, um ein hohes Schutzniveau aufrechtzuerhalten. Manchmal sind hier auch kostengünstigere Open-Source-Lösungen ausreichend.

Ein weiterer wichtiger Punkt ist, mögliche Effizienzen in der Organisation freizusetzen. In manchen Fällen lohnt es sich, externe Leistungen einzukaufen anstatt sie Inhouse zu entwickeln.

Alles in Frage stellen und die ZBx-Einsparungen neu investieren

Die durch die Anwendung von ZBx-Prinzipien erzielten Einsparungen sollten direkt in die Absicherung schützenswerter Unternehmensassets sowie in die Schulung der Mitarbeitenden investiert werden. Wie Unternehmen ihre Security-Investitionen am besten anlegen, zeigt ein Blick auf die Vorreiterunternehmen in Sachen Security. Wie aus der Studie State of Cyber Resilience hervorgeht, investieren diese

• in die Skalierung ihrer Technologie-Investitionen,

• in die Weiterbildung und Tool-Einweisung ihrer Mitarbeitenden sowie

• in die Zusammenarbeit mit ihren Geschäftspartnern, um ein gemeinsames Verständnis für die Bedrohungslage zu entwickeln und zur gemeinsamen Abwehr von Angriffen.

Investitionen in Cybersecurity bedeuten also nicht immer automatisch auch eine bessere Leistung und damit einen größeren Schutz, wenn diese nicht im Hinblick auf die Gesamtstrategie getätigt werden. Damit die Cybersecurity langfristig einen Wertbeitrag für die Leistungsfähigkeit von Unternehmen leisten kann, sollten sämtliche Investitionen zunächst zurück auf null gesetzt und neu bewertet werden. Werden die dadurch entstehenden Einsparungen konsequent in Geschwindigkeit, also die Erhöhung der operativen Cybersicherheit durch Technologie, in Skalierung, Schulungen und Zusammenarbeit investiert, lassen sich sowohl die Security-Investitionen als auch die Effektivität der Maßnahmen steigern. ZBx ist daher mehr als ein reines Budgetplanungstool, es hilft vielmehr tatsächlich Kosten einzusparen und gleichzeitig die Cyberabwehrmaßnahmen auf ein schlagkräftigeres Niveau zu heben. Und das ist auch nötig, denn die Angriffsszenarien werden immer ausgefeilter und das Budget für Abwehrmaßnahmen ist endlich.

Über den Autor: Thomas Schumacher ist Leiter IT Security von Accenture Deutschland, Österreich, Schweiz und Russland.

(ID:47469763)