Cyber Security ist ein Geschäftsführungsthema

ITD: Herr Nern, wie gestaltet sich der aktuelle Markt im Bereich „IT-Sicherheit“?
Christian Nern: Wir lesen derzeit fast täglich von Cyberangriffen – mitunter mit verheerendem Ausgang. So gibt der Digitalverband Bitkom an, dass Cyberattacken bei 86 Prozent der Unternehmen in Deutschland zu Schäden geführt haben. Seit 2019 ist die Anzahl der Schäden durch Erpressung, Systemausfall oder Störung des Betriebsablaufs um 358 Prozent gestiegen. Jedes zehnte Unternehmen ist dadurch nach eigenen Angaben sogar in seiner Existenz bedroht. Auch der diesjährige Bericht zur Lage der IT-Sicherheit in Deutschland des Bundesamts für Sicherheit in der Informationstechnik (BSI) untermauert diese Entwicklung: So wurden 144 Millionen neue Schadprogrammvarianten entdeckt, das ist eine Steigerung um 22 Prozent im Vergleich zum Vorjahr. Immer häufiger gerät dabei der Finanzsektor ins Visier der Cyberkriminellen. Während des ersten Lockdowns im Frühjahr 2020 stieg z.B. die Zahl der Attacken auf ­Finanzinstitute um 238 Prozent gegenüber dem Vorjahr an. Im August 2020 kam es wiederholt zu Erpressungsversuchen im Finanzsektor via DDoS-Angriffen.

Die Zahlen machen deutlich, wie wichtig in Echtzeit automatisierte IT-Security-Architekturen und -Systeme für Banken sind. Dennoch wird das Thema mitunter noch sträflich vernachlässigt. Zwar wissen die Institute um die Bedrohung, trotzdem beschränken sich die meisten darauf, lediglich die regulatorischen Mindestanforderungen zu erfüllen. Der Grund: Sie sehen IT-Security in erster Linie als Kostenfaktor. Dieser Ansatz birgt allerdings ein großes Risiko, denn kommt es tatsächlich zu einem Sicherheitsvorfall, müssen Banken mit hohen finanziellen sowie mit Reputationsschäden rechnen.

ITD: Warum ist Cyber Security in Banken und Versicherungen oft noch kein Geschäftsführungsthema? Welche Risiken ergeben sich dadurch?
Nern: Für Geschäftsführungen ist Cyber ­Security bislang weder ein Unternehmensziel noch eine Option, sich von Wettbewerbern zu differenzieren. Das Thema wird stattdessen auf regulatorische Vorgaben reduziert oder als reines IT-Problem betrachtet. Cyber Security stellt damit vor allem einen Kostenblock dar, der vom Chief Information Security Officer (CISO) zusammen mit dem IT-Bereich umgesetzt wird. Allerdings muss die Unternehmensführung regelmäßig anhand von Cyberangriffsszenarien die aktuelle Bedrohungslage beurteilen sowie ihren Risikoappetit definieren, um daraus gesamtheitliche und effektive Maßnahmen sowie Lösungen abzuleiten. Das Schlüsselwort lautet: Cyber Resilience. Nur wenn die Unternehmen wissen, welche Gefahren drohen können, haben sie die Möglichkeit, darauf angepasste, automatisierte Notfallpläne aus den Security-Systemen zu entwickeln.

Dies ist ein Artikel aus unserer Print-Ausgabe 12/2021. Bestellen Sie ein kostenfreies Probe-Abo.

Ändert eine Geschäftsführung ihre Einstellung dazu nicht, ergeben sich verschiedene Risiken. Erstens verzichtet sie damit auf Security by Design – also darauf, dass Sicherheitsanforderungen an ihre IT- und Cloud-Lösungen bereits während der Konzeptionsphase bzw. des Entwicklungsprozesses integriert werden. So kann es zu ­Sicherheitslücken kommen, die Hacker ausnutzen. Zweitens fehlen dann eine gesamtheitliche IT-Sicherheitsarchitektur und der Blick auf die eigene Bedrohungslage. Drittens werden Sicherheitsmaßnahmen nicht miteinander verzahnt, da sie nur für einzelne Fachbereiche benötigt werden. Auch hier drohen Sicherheitslücken. Sofern das Unternehmen den Angriff überhaupt zeitnah erkennt, kann es oftmals nur noch Schadensbegrenzung betreiben.

ITD: Warum genügt es nicht, im Falle eines Sicherheitsvorfalls nur ein paar Veränderungen vorzunehmen?
Nern: Drehen Unternehmen nur an einzelnen Stellschrauben oder hangeln sich von der Schließung einer Sicherheitslücke zur nächsten, ist die Gefahr groß, dass neue Lecks entstehen oder alte nicht vollständig geschlossen werden. Stattdessen sollten Finanzinstitute Cybersicherheit ganzheitlich betrachten und Lösungen stets über die komplette IT-Infrastruktur ausrollen. Nur wer einen holistischen Sicherheitsansatz verfolgt, kann genau beurteilen, wo Angriffspunkte entstehen könnten, und die Bedrohungslage exakt einschätzen.

ITD: Wie sollte eine ganzheitliche Sicherheitsarchitektur gestaltet sein?
Nern: Unternehmen sollten vorab klären, welchen Cybergefahren sie ausgesetzt sein könnten, und die Geschäftsführung muss den „Risikoappetit“ definieren. Dies ist die Grundlage für das angestrebte, vollständige Security-Ziel- und Architekturmodell. Automatisierungen und Verzahnungen der einzelnen Security-Systeme – also das Identity and Access Management (IAM), das Security Operations Center (SOC), sämtliche Cloud-Dienste etc. – sollten obligatorisch sein und mit KI-basierten Tools zur Mustererkennung angereichert werden, damit Anomalien schnell zutage treten. Bei der Umsetzung hilft ein schematisches Modell, das die Vorgaben- sowie die Umsetzungsseite inklusive integrierter Security-Systeme abbildet. Ein Beispiel dafür ist das KPMG Compliance & Cyber Security Framework. Es basiert auf gängigen Standards – wie NIST, ISO 27001 und ISF Standard of Good Practice – und bietet Methoden zur Entwicklung von Strategien bis hin zur Implementierung von IT Compliance und Cyber Security.

Bildquelle: KPMG