CEOs im Cyber-Dilemma Warum Sicherheit Chefsache sein muss

Anbieter zum Thema

Accenture

Fsas Technologies GmbH

FTAPI Software GmbH

Gemäß einer aktuellen Studie von Accenture erkennen CEOs zwar die Bedeutung der Cybersicherheit für den Erfolg ihrer Unternehmen, jedoch übernimmt nur eine kleine Gruppe von ihnen die Verantwortung in Bezug auf Cyber-Resilienz. Die Unternehmen dieser „cyber-resilienten CEOs“ bewältigen Cyber-Bedrohungen effektiver als ihre Konkurrenten und sind in diesem Bereich führend.

Im Jahr 2019 wurde das Softwarunternehmen SolarWinds Opfer eines Cyberangriffs, der gewaltige Konsequenzen haben sollte: Angreifer nutzten Schwachstellen in der SolarWinds-Software Orion, um Zugriff auf über 18.000 Organisationen zu erlangen, welche die Netzwerkmanagement-Software einsetzten.

Die Auswirkungen dieses sogenannten Supply-Chain-Angriffs waren tiefgreifend, da unter anderem mehrere US-Regierungsbehörden (u.a. US-Finanz-, Heimatschutz- und Außenministerium) unter den Opfern waren. Die US-Börsenaufsicht Securities and Exchange Commission (SEC) erhob am 30. Oktober 2023 Anklage, aber nicht gegen die Angreifer, sondern SolarWinds selbst. Ihr Vorwurf: SolarWinds und dessen Chief Information Security Officer (CISO) Timothy Brown hätten den Aktionären ein falsches Bild des Sicherheitsniveaus des Unternehmens gezeichnet. Während intern auf Mängel in der Software hingewiesen worden sei, gab SolarWinds auf seiner Website an, führende Cybersicherheitsstandards zu befolgen.

Die Anklage, erstmalig in ihrer Art, zeigt, wie ernst Aufsichtsbehörden mittlerweile die Bedrohung durch Cyberrisiken nehmen. Zeitgleich ist sie auch ein Weckruf an Vorstände und CEOs: Die Verantwortung für Cybersicherheit ist kein Randthema, sondern muss ein kritischer Aspekt der Unternehmensführung sein.

CEOs ziehen aus der Bedrohungslage nicht die richtigen Schlüsse

Obwohl seit Jahren in Expertenkreisen Konsens darüber herrscht, dass Cybersicherheit Chefsache sein sollte, scheint diese Einsicht bei vielen Vorstandsvorsitzenden noch nicht angekommen zu sein. Das zeigt ebenfalls die aktuelle Accenture Studie „Cyber-Resilient CEO“ , für die 1.000 CEOs von globalen Großunternehmen über den Grad der Cyber-Resilienz und den Ansatz für Cybersicherheit in ihren Unternehmen befragt wurden. Zwar gaben 96 Prozent der Unternehmenslenker Cybersicherheit als entscheidend für das Wachstum und die Stabilität des Unternehmens an. Doch trotz der hohen Relevanz integriert lediglich ein Bruchteil der Befragten Cybersicherheit von Anfang an in ihre Unternehmensstrategie, Services und Produkte.

Zudem halten 44 Prozent der CEOs bei Cybersicherheit eher ein episodisches Eingreifen anstatt kontinuierliche Aufmerksamkeit vonnöten. Besonders besorgniserregend ist die Aussage von mehr als der Hälfte der CEOs, die die Kosten für die Implementierung von Cybersicherheit höher einschätzen als die Kosten, die aus einem Cyberangriff resultieren. Dabei widerlegen Zahlen und Fakten diesen Irrglauben sehr deutlich: So erlitten deutsche Unternehmen laut Bitkom im Jahr 2023 einen Schaden von 148 Mrd. Euro durch Cyberattacken, während sie gleichzeitig „nur“ 9,2 Mrd. Euro für IT-Sicherheit ausgaben.

Cyberrisiken sind kein reines IT-Problem

Wie lässt sich der Widerspruch zwischen der angegebenen Relevanz von Cyberrisiken für den Unternehmenserfolg auf der einen Seite und den widersprüchlichen Handlungsmaßnahmen, welche die meisten CEOs daraus ziehen, erklären? Eine mögliche Ursache liegt darin, dass die überwiegende Mehrheit (91 Prozent) der Befragten in der Accenture Studie Cybersicherheit als eine überwiegend technische Funktion ansieht, die in die Zuständigkeit des CIO oder des CISOs fällt. CEOs delegieren die Verantwortung somit, anstatt sie selbst zu übernehmen.

Setzt man voraus, dass die Hauptaufgaben eines CEOs darin bestehen, den Unternehmenserfolg zu sichern, regulatorische Konfirmität herzustellen, sowie Risiken vom Unternehmen fernzuhalten, ist in Anbetracht der aktuellen Situation, in der man beinahe täglich von erfolgreichen Angriffen in Deutschland und der Welt erfährt, diese Haltung nur schwer nachvollziehbar. Gerade CEOs sollten eine Antworten darauf haben, wie ihre Unternehmen dieser Gefahr erfolgreich entgegen treten wollen.

Viele Unternehmen werden daher auch erst aktiv, wenn sie bereits angegriffen wurden oder wenn sie durch eine Prüfung von Aufsichtsbehörden zum Handeln gezwungen werden. Diese reaktive Haltung spiegelt sich auch in der Beobachtung der Bankenprüfer der Europäischen Zentralbank (EZB) wider. In ihrem „Aufsichtsnewsletter“ vom November 2023 betonten die Aufseher, dass Banken sich stärker proaktiv gegen Cyber-Risiken schützen müssen, da die während EZB-Prüfungen gefundenen Mängel schwerwiegender und verbreiteter waren als angenommen.

Handeln für eine widerstandsfähige Zukunft: Die Agenda für CEO-Verantwortlichkeit

Dass Proaktivität durch die Führungsetage beim Thema Cybersicherheit häufig mit einer besseren Leistung des gesamten Unternehmens einhergeht, zeigt die Accenture Studie ebenso. So wurde eine kleine Gruppe von „cyber-resilient CEOs“ (5 Prozent) identifiziert, die proaktiv handelt und Cybersicherheit in allen Aspekten ihres Unternehmens bewertet. Unternehmen, die von solchen Führungskräften geführt werden, erkennen, begrenzen und beheben Cyber-Bedrohungen schneller als andere Unternehmen. Das führt nicht nur dazu, dass die durchschnittlichen Kosten eines Sicherheitsvorfalls geringer sind. Im Durchschnitt ist auch das Umsatzwachstum dieser Unternehmen um 16 Prozent höher und sie weisen eine um 19 Prozent gesündere Bilanz auf als der Rest.

Diese "cyber-resilienten" CEOs unterscheiden sich dabei in vier Punkten:

• 1. Sie verankern die Cyber-Resilienz von Anfang an in der Unternehmensstrategie

• 2. Sie übernehmen gemeinsam Verantwortung in der Führungsetage und pflegen einen sehr engen Austausch mit dem CISO

• 3. Sie stellen das notwendige Budget bereit, um den digitalen Kern des Unternehmens zu sichern

• 4. Sie weiten die Cyber-Resilienz über ihre Unternehmensgrenzen hinweg auf Drittdienstleister aus

Cybersicherheit muss Chefsache werden

Trotz der aktuellen Bedrohungslage sowie der Forderung Cybersicherheit in der Vorstandsetage anzusiedeln, ergreifen viele CEOs immer noch nicht die erforderlichen Maßnahmen, um ihre Unternehmen ausreichend zu schützen. Cybersicherheit ist zudem nicht nur für die Stabilität und das Wachstum eines Unternehmens wichtig, sondern wird auch immer mehr zu einem Compliance-Thema für Vorstände, wie die Anklage gegen SolarWinds verdeutlicht.

Diese Verantwortung an CIO oder CISO zu delegieren, ist nicht mehr zeitgemäß und kann weitreichende Auswirkungen für das Unternehmen, aber auch für die eigene Person haben. Unternehmenslenker sollten Cybersicherheit als integralen Bestandteil der Unternehmensführung betrachten und proaktiv handeln, indem sie Strategien entwickeln, Ressourcen bereitstellen und eine Kultur der Cyber-Resilienz im gesamten Unternehmen fördern. Nur so können sie ihre Unternehmen widerstandsfähig gestalten, um den wachsenden und komplexen Herausforderungen der Cyberbedrohungen erfolgreich zu begegnen.

Über den Autor: Thomas Schumacher ist Security Lead DACH bei Accenture.

(ID:49853499)