Cybersicherheit neu gedacht Verhalten als strategischer Verteidigungsfaktor

Anbieter zum Thema

Kobaltblau GmbH

Fsas Technologies GmbH

SEPPmail - Deutschland GmbH

Wenn Unternehmen versuchen sich vor internen und externen Cyberbedrohungen zu schützen, konzentrieren sie sich oft einseitig auf technologische Lösungen. Kulturelle, zwischenmenschliche und soziale Aspekte werden dabei oft vernachlässigt. Das kann zu unvorhergesehenen Schwachstellen führen.

Der Lagebericht des BSI macht deutlich, dass sich in Deutschland derzeit eine erhebliche Bedrohungslage im Bereich der Cybersicherheit abzeichnet. Der Vizepräsident des BSI (Bundesamt für Sicherheit in der Informationstechnik), Dr. Gerhard Schabhüser, sagte dazu:

„Die Bedrohungslage im Cyber-Raum ist angespannt, dynamisch und vielfältig und damit so hoch wie nie. In einer digitalisierten Welt hängt das Wohlergehen der Bevölkerung stärker als jemals zuvor davon ab, wie gut wir uns gegen IT-Sicherheitsvorfälle gerüstet haben. Jedes Computersystem, das nicht gehackt werden kann, jede digitale Dienstleistung, die nicht gestört werden kann, ist ein elementarer Beitrag zu einer funktionierenden digital vernetzten Gesellschaft. Mit den richtigen Maßnahmen können wir der Bedrohungslage begegnen. Wir dürfen beim Thema Cyber-Sicherheit keinen Deut nachlassen.“

Cybersicherheitsbemühungen, die darauf abzielen, Unternehmen vor internen und externen Cyberbedrohungen zu schützen und gleichzeitig kritische Informationsbestände zu sichern, konzentrieren sich häufig einseitig auf technologische Lösungen. Kulturelle, zwischenmenschliche und soziale Aspekte werden dabei oft in den Hintergrund gedrängt. Die Vernachlässigung dieser nicht-technischen Aspekte kann zu unvorhergesehenen Schwachstellen führen, die reale Risiken für das Unternehmen darstellen.

Trotz der Bedeutung dieser nicht-technischen Aspekte ist es jedoch unerlässlich, geeignete technische Lösungen nach dem Stand der Technik zu implementieren. Angesichts der aktuellen Entwicklungen und der jüngsten Angriffe sowohl durch Privatpersonen als auch durch staatliche Institutionen (hybride Bedrohungen) wird die Dringlichkeit präventiver Maßnahmen immer deutlicher. Dazu gehört beispielsweise der Einsatz von Sicherheitssystemen wie Intrusion Prevention und Intrusion Detection Systemen (IPS/IDS), Identity Access Management Systemen (IAM), Firewalls sowie modernen und technisch aktuellen Antivirenlösungen und Endpoint Detection and Response Systemen.

Daher ist es notwendig, im Rahmen eines Cybersicherheitsprogramms sowohl die nicht-technischen als auch die technischen Aspekte ganzheitlich zu betrachten und entsprechende Maßnahmen abzuleiten. Dies ist eine multidisziplinäre und komplexe Aufgabe, die auf allen Ebenen des Unternehmens berücksichtigt werden muss. Denn letztlich sind es die Mitarbeiterinnen und Mitarbeiter, die täglich mit den IT-Systemen und Technologien arbeiten und die Richtlinien/Vorgaben einhalten und umsetzen müssen (Sicherheitsdesign).

Dementsprechend müssen die Mitarbeiterinnen und Mitarbeiter kontinuierlich geschult und für das Thema Cybersicherheit sensibilisiert werden. Ein solider Sicherheitsansatz erfordert ein Bewusstsein für Gefahren und Best Practices im Umgang mit Cyber-Bedrohungen.

Es ist jedoch im Kontext der Cybersicherheit unerlässlich, das Change Management als mehr als eine Sammlung von Schulungsmaßnahmen zu betrachten. Die erfolgreiche Bewältigung von Cyberbedrohungen erfordert nicht nur das Wissen darüber, wie man sich präventiv schützt, sondern auch wie man reagiert, wenn eine Cyberattacke tatsächlich auftritt. Doch selbst das Wissen um das richtige Verhalten reicht nicht aus – es muss in der Organisation verankert und von den Mitarbeiterinnen und Mitarbeiter konsequent umgesetzt werden. Dies erfordert eine gezielte Herangehensweise, die über bloße Schulungen hinausgeht.

Das Change Management im Bereich der Cybersicherheit zielt darauf ab, die notwendigen Rahmenbedingungen zu schaffen, um definierte Verhaltensweisen zu etablieren und zu fördern. Dabei spielen drei zentrale Faktoren eine entscheidende Rolle: Motivation, Machbarkeit und Trigger.

1. Motivation: Mitarbeitende müssen verstehen, warum die Einhaltung der definierten Sicherheitsmaßnahmen von großer Bedeutung ist. Es geht nicht nur um den Schutz des Unternehmens, sondern auch um den Schutz persönlicher Daten und der gesamten digitalen Gesellschaft. Die Führungsebene hat hier eine Schlüsselrolle, indem sie die Bedeutung von Cybersicherheit betont und eine Kultur des Sicherheitsbewusstseins fördert.

2. Machbarkeit: Mitarbeiterinnen und Mitarbeiter müssen in der Lage sein, die angestrebten Handlungen auch umzusetzen. Dies erfordert nicht nur technische Fähigkeiten, sondern auch das Verständnis dafür, wie Cyberbedrohungen auftreten können und wie man angemessen darauf reagiert. Schulungen sollten praxisorientiert sein und den Mitarbeitenden die Fähigkeiten vermitteln, die sie benötigen. Gleichermaßen gilt es, organisatorische Rahmenbedingungen zu schaffen, die das gewünschte Verhalten begünstigen.

3. Trigger: Um sicherzustellen, dass die definierten Verhaltensweisen in der Praxis umgesetzt werden, müssen geeignete Auslöser gesetzt werden. Dies können beispielsweise regelmäßige Überprüfung von Sicherheitsmaßnahmen, gezielte Kampagnen, Sensibilisierungen und Simulationen von Cyberangriffen sein. Diese Trigger dienen dazu, das Sicherheitsverhalten fest in den Arbeitsalltag zu integrieren.

Ein umfassendes Change Management im Bereich der Cybersicherheit erfordert somit ein Zusammenspiel dieser drei Elemente. Es geht nicht nur darum, die Mitarbeiterinnen und Mitarbeiter zu informieren, sondern auch darum, die richtige Einstellung, Fähigkeiten und Gewohnheiten zu fördern. Die Identifizierung von Risiken, die richtige Reaktion auf Schwachstellen und Bedrohungen sowie die Integration von Cybersicherheit in die Unternehmenskultur sind unerlässlich, um eine umfassende und effektive Sicherheitsstrategie zu etablieren.

Fünf Call-to-Action-Kernbotschaften:

• 1. Cyber-Security und Change Management sind eine Führungsaufgabe: Das Top-Management muss das Thema aktiv unterstützen und als strategische Priorität verankern.

• 2. Implementierung und kontinuierliche Überprüfung des ISMS: Ein Informationssicherheitsmanagementsystem (ISMS) ist unverzichtbar. Es muss nicht nur eingeführt, sondern auch regelmäßig überprüft und angepasst werden.

• 3. Ganzheitlicher Ansatz: Cybersicherheit erfordert eine ganzheitliche Betrachtung, die technische, kulturelle und organisatorische Aspekte einschließt.

• 4. Mitarbeiterverhalten als strategischer Verteidigungsfaktor: Mitarbeiterinnen und Mitarbeiter müssen über aktuelle Schwachstellen und Bedrohungen aufgeklärt werden und ein Sicherheitsbewusstsein entwickeln, um verhaltensabhängige Einfallstore zu minimieren. Dafür gilt, ein klares Zielverhalten zu definieren und dafür günstige Rahmenbedingungen zu schaffen.

• 5. Adaptiver Ansatz für sichere Zukunft: Da die Bedrohungslage sich ständig wandelt, müssen Organisationen flexibel und anpassungsfähig sein, um proaktiv auf neue Cyberbedrohungen zu reagieren.

Über die Autoren

Tareq Ahmadi ist Senior Manager, Security & Privacy bei Kobaltblau. Er ist ein ausgewiesener Experte im Bereich Cybersecurity und unterstützt verschiedenste Unternehmen in allen Fragen rund um die Themen Informationssicherheit, IT-Sicherheit, IT-Revision/IT-Prüfung und IT-Compliance.

Patrick Bartl ist Director Change Management bei Kobaltblau. Er unterstützt als Experte für datengestütztes Change Management verschiedenste Unternehmen dabei, Veränderungen durch zielgerichtete Maßnahmen erfolgreich zu machen.

(ID:49777316)