Argumentationsstrategien für CISOs und IT-Sicherheitsexperten Vermitteln Sie den Wert von IT-Sicherheit!

Anbieter zum Thema

SoSafe GmbH

Arvato Systems

SEPPmail - Deutschland GmbH

Egal in welcher Position oder Abteilung: Budgets und zeitliche Ressourcen sind heiß umkämpft. Nicht den leichtesten Stand haben in diesem Zusammenhang präventive Maßnahmen wie Security-Awareness oder Mitarbeiter-Trainings. Um das Thema dennoch als Business Case in der Führungsebene zu platzieren, können CISOs und IT-Sicherheits-Verantwortliche auf Anleihen des Change-Management zurückgreifen.

Cyberangriffe gehören mittlerweile zu den größten Betriebsrisiken. Zehntausende deutsche Unternehmen waren etwa von den Hackerangriffen auf Microsoft betroffen, ebenso wurden Abgeordnete des Bundestages erst kürzlich von Cyberkriminellen attackiert. Mit Blick auf den aktuellen Stand der IT-Sicherheit in Organisationen ist es allerdings nicht überraschend, dass Cyberkriminelle immer wieder Einfallstore finden. Im besonderen Fokus steht der Faktor Mensch, denn hier starten 90 Prozent aller Cyberangriffe.

Sicherheitsverantwortliche wissen längst um diese prekäre Situation und sehen gerade in der aktuellen Lage Nachholbedarf. Das zeigen zum Beispiel unsere Analysen im SoSafe Human Risk Review 2021. Der Großteil der im Rahmen dessen befragten IT-Sicherheitsexperten (57,1 Prozent) möchten ihre Bestrebungen im Bereich der Mitarbeitersensibilisierung zukünftig steigern.

Dem Präventionsparadoxon trotzen...

Andererseits hat das Thema IT-Sicherheit generell keinen leichten Stand innerhalb der Gesamt-IT-Budgetierung. So verteilen Firmen weltweit nur circa sechs Prozent ihrer IT-Ausgaben auf Maßnahmen zur Steigerung der IT-Sicherheit, wie das Research-Unternehmen Gartner berichtet.

Ein Grund dafür: IT-Sicherheit verhindert Probleme und schafft vermeintlich wenig Mehrwert. Und haben Maßnahmen einen Effekt, tritt das unerwünschte Ereignis nicht oder mit verringerter Häufigkeit ein. Eine Problematik, die wir in der Pandemie auch unter dem Namen „Präventionsparadox“ sehr gut kennengelernt haben. Dennoch helfen Maßnahmen der IT-Sicherheit doch gerade in den aktuell herausfordernden Zeiten, Risiken zu minimieren. Sie verringern die Wahrscheinlichkeit für kostspielige Angriffe und sichern damit Wertschöpfung – und nicht zuletzt Arbeitsplätze.

... und Mehrwerte klar vermitteln

Um diese Mehrwerte auch klar allen Stakeholdergruppen zu vermitteln, kann es hilfreich sein, auf Prinzipien aus dem Change Management zu schauen und so die Notwendigkeit für Investments verdeutlichen.

Die folgenden drei Schritte schaffen dabei eine gute Basis für eine klare Argumentation:

1. Risiken quantifizieren – oder: Einen „Sense of urgency“ etablieren

Aus dem Change Management wissen wir: um Menschen für eine Sache zu gewinnen oder zu einer Änderung zu bewegen, ist es wichtig, ihre Sprache zu sprechen und persönliche Relevanz zu erzeugen. Change-Experten sprechen vom „Sense of Urgency“. Übertragen auf die Welt der Budgets und Business Cases bedeutet dies, die Größe des Problems quantitativ aufzuzeigen. Und die quantitativen Dimensionen sind enorm: So verursachten Cyberangriffe bereits 2019 allein in Deutschland einen Schaden von mehr als 100 Milliarden Euro, wie eine Studie des Bitkom-Verbandes zeigt.

Doch gerade sehr hohe Zahlen können ihren Effekt verlieren, wenn sie zu groß sind und damit sehr abstrakt bleiben. Dass Cybercrime äußerst kostspielig ist, ist letztlich auch durch die Berichterstattung in der Presse vielen Menschen bekannt. Daher ist es wichtig, hier Zahlen heranzuziehen, die eine möglichst hohe Relevanz für das eigene Unternehmen haben. Welche Cyberangriffe auf branchenverwandte Firmen oder Wettbewerber gab es zuletzt? Welche Folgen hatten diese? Wettbewerber, die bereits Cyberangriffen ausgesetzt waren, sind oftmals schnell zu finden. Vielleicht war sogar die eigene Organisation schon betroffen, denn: Laut zuvor zitierter Bitkom-Studie sind bereits 2018 und 2019 75 Prozent aller Organisationen Opfer von Cyberangriffen geworden. Mit einem Fokus auf Vergleichbarkeit stellen IT-Verantwortliche die Bedrohungslage und die damit einhergehende Dringlichkeit der Sicherheitsmaßnahmen besonders greifbar heraus.

2. Risiken greifbar machen – oder: „Uns kann es ja nicht treffen“

Kosten, die nur zu einer gewissen Wahrscheinlichkeit in der Zukunft aufkommen, erscheinen uns als weniger wichtig. Und wenn wir zur Vermeidung auch noch Aufwand betreiben müssen, schieben wir das Problem lieber „auf die lange Bank“. Natürlich wissen wir, dass wir Sport treiben sollten, um die Wahrscheinlichkeit einer künftigen Krankheit zu reduzieren, aber der negative Effekt ist ja gefühlt auch noch sehr weit weg.

Für den Bereich der IT-Sicherheit heißt das: Probleme diagnostizieren und die konkrete Bedrohungslage beziffern. Im Fall von Mitarbeitersensibilisierungen führen zahlreiche Firmen beispielsweise Angriffssimulationen wie simulierte Phishing-Angriffe durch. Denn die resultierenden KPIs, wie Klick- oder Melderaten, sind sehr greifbare Werte für die Bedrohung des Unternehmens. Zudem erschließen sie sich auch nicht-technischen Stakeholdern. Wenn circa 40 Prozent der Mitarbeitenden auf eine echte Phishing-Mail klicken würden, ist auch Geschäftsführern klar, dass die Zeit zum Handeln gekommen ist.

3. Risiken minimieren – oder: „Return on Security Invest ableiten“

Hat man das spezifische Risiko für das eigene Unternehmen quantifiziert, ist der nächstlogische Schritt die Reduktion. Für menschenbasierte Angriffe bedeutet dies: kontinuierliche Schulungen und Sensibilisierungsmaßnahmen. In der Vergangenheit wurde in diesem Bereich häufig in Richtung „Compliance“ oder Pflichtmaßnahmen argumentiert. Auch heute ist die Erfüllung gesetzlicher Pflichten ein wichtiges Argument bei der Umsetzung von Security Awareness. So schreibt die Datenschutzgrundverordnung (DSGVO) eine laufende Schulung von Mitarbeitenden vor. Die ISO-27001 geht sogar noch einen Schritt weiter und verlangt „Social Engineering Simulationen“.

Noch tragfähiger für die Budgetgewinnung als regulatorische Pflichten ist es aber, mit konkreten Mehrwerten im Sinne eines „Return on Invests“ zu argumentieren. Aufbauend auf den genannten KPIs aus Angriffssimulationen lässt sich eine Reduktion der Phishing-Klickrate unmittelbar in eine Absenkung des monetären Risikos übersetzen. Zur Veranschaulichung nutzen wir ein Rechenbeispiel mit folgenden Annahmen.

ROI anhand eines einfachen Rechenbeispiels

• Der hypothetische Schaden durch einen erfolgreichen Cyber-Angriff könnte gut sechs Millionen Euro betragen (wie eine Studie des Bitkom-Verbandes für ein mittelgroßes Unternehmen schätzt).

• Rund neun von zehn erfolgreichen Angriffen starten über den Faktor Mensch – beispielsweise per Phishing-Mail.

• 75 Prozent aller Unternehmen wurden in den vergangenen zwei Jahren nachweislich mindestens einmal angegriffen. Vermutlich liegt die tatsächliche Zahl wesentlich höher; zudem berichtet das Sicherheitsunternehmen Crowdstrike, dass 68 Prozent aller von einer Attacke getroffenen Unternehmen, in den folgenden zwölf Monaten erneut angegriffen werden.

In diesem Fall könnte man durch die bloße Absenkung der Phishing-Klickrate von 40 Prozent um zehn Prozentpunkte eine Kostenersparnis von gut 200.000 Euro Kostenrisiko pro Jahr erreichen – wobei es sich dabei noch um eine konservative Rechnung handelt. So sehen wir mögliche Reduktionen von über zwei Dritteln bei der Klickrate durch den Einsatz von Awareness-Maßnahmen.

Und selbst wenn dies ein Spiel mit statistischen Wahrscheinlichkeiten ist, steht der konkret zu beziffernde Mehrwert wesentlich kleineren Kosten gegenüber – was Budgetdiskussionen dann ein gutes Stück entspannter werden lässt.

Über den Autor: Dr. Niklas Hellemann ist Diplom-Psychologe, langjähriger Unternehmensberater und Geschäftsführer der Firma SoSafe Cyber Security Awareness.

(ID:47472014)