Cyber-Resilienz stärken Vor Cyberangriffen ist kein Unternehmen gefeit

Anbieter zum Thema

Fsas Technologies GmbH

SEPPmail - Deutschland GmbH

FTAPI Software GmbH

Ob von langer Hand geplant oder dem Zufall geschuldet –jedes Unternehmen kann innerhalb von Sekundenbruchteilen zum Opfer einer Cyberattacke werden. Sich davor erfolgreich zu schützen wird durch das stetige Plus an digitalen Technologien, Tools und Services zu einer immer anspruchsvolleren Aufgabe. Kein Wunder, dass sich daher viele Mythen rund um die Anforderungen und Lösungen ranken. Grund genug ihnen einmal auf die Spur zu gehen.

In den letzten Jahren hat die allgemeine Großwetterlage im Bereich der Cybersicherheit zu gewissen Gewöhnungseffekten geführt. Ob hohe Risiken oder aggressives Angriffsverhalten – die Ergebnisse aktueller Studien wie etwa der Lagebericht des BSI verursachen bei Verantwortlichen nur noch selten einen erhöhten Puls oder ein Umdenken. Das ändert sich jedoch schnell, wenn der Blick von der Makroebene auf die Charakteristika einzelner Cyberangriffe gerichtet wird. Denn hier offenbart sich in den letzten Jahren eine beunruhigende Entwicklung. Die Motive, aus denen Cyberkriminelle Unternehmen angreifen, werden immer vielgestaltiger und erschweren internen Sicherheitsteams damit die Abwehr. Reichen sie doch von Erpressungsversuchen ehemaliger Mitarbeiter, über das finanzielle Geschäftsmodell international agierender Banden bis zu gezielten Angriffe gegen den Wirtschaftsstandort Deutschland.

In einem Jahrzehnt, das von vielen internationalen Krisen geprägt ist, verstärken auch die globalen, wirtschaftlichen Rahmenbedingungen die Risiken im Bereich der Cybersicherheit. Und sie haben weitreichende ökonomische Folgen. Schnell können große Machtdifferenzen zwischen Marktteilnehmern entstehen, etwa wenn mittelständische Unternehmen in Deutschland sich gegen politisch initiierte Industriespionage und Cyberkriminalität aus Russland oder China zur Wehr setzen müssen. Das zeigen auch die Daten des bitkom-Report 2024, der den Schaden dieser Kriminalität mit einer neuen Rekordsumme von rund 267 Milliarden Euro beziffert. Während umsatzstarke Großunternehmen meist mit großen Schadenssummen und einem blauen Auge davonkommen, stellt ein Cyberangriff für ein mittelständische Unternehmen schnell den Super-GAU und damit eine existenzielle Bedrohung dar. Das bestätigten auch zwei Drittel der befragten Unternehmen gegenüber dem bitkom.

Deutsche Firmen im Visier chinesischer Hacker

267 Milliarden Euro Schaden pro Jahr für die deutsche Wirtschaft

Cybersicherheit als dynamische Aufgabe

Es verwundert daher nicht, dass mit der Angst vor Cyberkriminalität schnelles Geld verdient wird. Die Praxis zeigt jedoch deutlich, dass weder eine One-fits-all-Lösung noch das Versprechen von hundertprozentiger Sicherheit ein seriöses Angebot darstellen können. Die steigende Komplexität in der IT-Infrastruktur und die große Menge an Hardware, die oft verstreut an Endpunkten im Einsatz ist, lassen sich nicht mit einem einzigen Tool abdecken. Vielmehr erfordern sie ein mehrschichtiges und aufeinander abgestimmtes Portfolio, bei dem die eingesetzten Anwendungen Hand in Hand zusammenarbeiten. Ein Ziel, das nur dann Realität wird, wenn Security-Teams die Lösungen kontinuierlich adaptieren und verbessern, um die IT potenziell auf alle Angriffsszenarien vorzubereiten. Und das ist eine Herkules-Aufgabe, denn die Frage, wo Angriffe stattfinden und wie umfangreiche sie das Unternehmen treffen könnten, lässt sich nur spekulativ beantworten.

Zu dieser Unsicherheit trägt auch die wachsende IoT-Landschaft ihren Teil bei. Wie Analysen zeigen, ergeben sich durch vernetzte IoT-Geräte – von der Produktionsanlage, über den Staubsaugerroboter bis zur Smartwatch – eine Vielzahl kritischer Knotenpunkte. Sie sind oft unzureichend geschützt und ermöglichen Kriminellen dadurch einen schnellen und nahezu barrierefreien Eintritt in die IT-Infrastruktur. Zirkuliert das Wissen um diese Lücken im Netz, entscheidet oft nur der Zufall, ob Cyberkriminelle das Unternehmen attackieren oder nicht. Letztendlich ist es wie bei einem Telefonbetrug, der potenziell jeden treffen kann. Wie die Sache am Ende ausgeht, hängt dann von der Vorbereitung auf den Ernstfall ab.

Die Lage der IT-Sicherheit 2024

BSI sieht Bedrohungslage als „besorgniserregend“

Aus der Passivität in die Aktivität

Auch wenn die Parameter eines Cyberangriffs nicht prognostizierbar sind, so ist die aktive Vorbereitung auf potenzielle Szenarien die effektivste Gegenmaßnahme. Sich auf Behörden zu verlassen, hilft nicht weiter, denn der digitale Raum bietet Kriminellen in der Anonymität des Netzes einen Schutz, den Ermittler nur sehr schwer durchdringen können. Und weil es kaum ein Risiko gibt, erwischt zu werden, rechnet sich Cyberkriminalität als Businessmodell äußerst schnell.

Der erste Schritt für mehr Resilienz liegt daher in der internen Analyse der unternehmensspezifischen Risiken. Dieser Aufgabe stellen sich immer mehr Unternehmen, wie etwa die Cybersecurity Breaches Survey 2023 zeigt: in drei von zehn Unternehmen wurden Risikobewertungen für die Cybersicherheit durchgeführt. Bei den mittleren Unternehmen lag der Anteil bei 51 Prozent und bei Großunternehmen bei 63 Prozent.

Diese Risikobewertungen sind die Basis, um gemeinsam mit externen Experten die bestehende Sicherheitsarchitektur zu überprüfen und gegebenenfalls zu optimieren. Technologieoffenheit ist hierbei ein wichtiges Schlagwort, um im Wettrüsten mit Cyberkriminellen mithalten zu können. Im Software-Stack sollte deshalb beispielsweise auch Platz für KI-automatisierte Technologien sein, die Cyberkriminelle ebenfalls bei ihren Angriffen einsetzen.

In zehn Schritten zur NIS-2-Konformität, Teil 1

NIS 2 – Anschnallpflicht für Unternehmen

NIS2-Richtlinie als Roadbook nutzen

Die Definition einer neuen Strategie und eines Roadbook der Cybersicherheit sorgt bei den wenigsten Verantwortlichen für Euphorie. Sie werden ebenso wie administrative Vorschriften (zum Beispiel DORA oder NIS2) als bürokratisch und einschränkend empfunden. Dabei hat gerade NIS2 durch seine konkreten Forderungen auch zu einer neuen Klarheit beigetragen, die internen Entscheidern im Vergleich zu den lockeren Vorgaben des IT-Grundschutzes als Orientierung dient. Und selbst wenn das eigene Unternehmen derzeit nicht unter den kritischen Adressatenkreis fällt, so sind die definierten Standards eine gute Basis für jede Organisation, die ihre Resilienz stärken möchte.

Es erweist sich für Verantwortliche oft als eine mühsame Aufgabe, die Knotenpunkte und Ebenen der Unternehmens-IT in einem Gesamtkonzept abbilden zu müssen. Doch der Lohn dieser Mühe liegt in einem Lösungsportfolio, das viele händische Schritte durch eine gelungene Automatisierung ersetzt. Nur so wird auch ein Alert-Management zur Realität, das in Echtzeit Angriffe erkennen, analysieren und vereiteln kann. Je weniger sich Sicherheitsteams mit Falschmeldungen herumschlagen müssen, umso effektiver können sie im Fall der Fälle auf eine ernsthafte Attacke reagieren. Und genau darauf kommt es dann an.

Über den Autor: Gerald Eid ist Regional Managing Director DACH bei Getronics.

(ID:50370834)