„Es wird niemand alleine gelassen“

ITD: Herr van Züren, wie gestaltet sich die derzeitige Bedrohungslage für IT-Systeme und -Netzwerke von Großunternehmen bzw. Konzernen?
Arno van Züren: Hacks oder auch Angriffe durch gezieltes Social Engineering häufen sich in den letzten Jahren – und es ist absehbar, dass die Zahl solcher Vorfälle auch noch weiter steigen wird. Grund ist die wachsende Bedeutung von Daten, die nicht nur immer mehr werden, sondern mittlerweile auch einen kritischen Unternehmenswert darstellen. Angreifer wissen das und betreiben deshalb einen immer größeren Aufwand, um an die wertvolle „Ware“ zu kommen. Sei es, um sie später im Darknet zu verkaufen oder um das gehackte Unternehmen damit zu erpressen.

ITD: Welchen Einfluss üben Faktoren wie die Corona-Pandemie, der Klimawandel etc. auf die Bedrohungslage aus?
van Züren: Die Pandemie hat Hackern leider tatsächlich einen kurzzeitigen Vorteil verschafft: Unzählige Unternehmen weltweit mussten quasi von heute auf morgen von analogem auf digitalen Datentransfer umrüsten, ohne, dass ihnen dabei Zeit für ein gründliches Onboarding der Lösungen blieb. Das hat erstens dazu geführt, dass insgesamt mehr Daten im Umlauf sind (was die Menge der möglichen Angriffsziele erhöht), und zweitens dazu, dass diese Daten meistens nur provisorisch gesichert waren. Weil Unternehmen eben nicht die Zeit, das Know-how oder die Kapazitäten hatten, sich angemessen um den Security-Aspekt zu kümmern. Außerdem mussten ebenso schnell neue virtuelle Räume für die Zusammenarbeit geschaffen werden, die ebenfalls eine erweiterte Angriffsfläche bieten – besonders im Zusammenhang mit Social Engineering. Denn diese Räume haben den virtuellen Zugang zu Mitarbeitern in vielen Unternehmen auf ein ganz neues Level gehoben. Darüber hinaus trägt ein internationales Chaos, wie durch die Pandemie ausgelöst, immer zu einer allgemeinen Verunsicherung bei und macht ahnungslose Mitarbeiter so viel leichter empfänglich für Social Engineering oder Phishing-Attacken. Deshalb ist es wichtig, dass Unternehmen das Abklingen der Pandemie nutzen, um sich nach sicheren, langfristigen IT-Lösungen umzusehen und diese mit professioneller Unterstützung zu implementieren.

ITD: Inwieweit gehören IT-Security-Katastrophenpläne bereits zum Standard in Großunternehmen?
van Züren: Auch wenn man es kaum glauben mag: Viele Großunternehmen besitzen heute noch keinen IT-Security-Notfallplan. Und das ist eher die Regel als die Ausnahme. Für ein Feuer, einen Einbruch oder den plötzlichen Ausfall eines Geschäftsführers gibt es in fast jedem Unternehmen seit Jahren feste Regeln, tritt aber plötzlich ein Hackerangriff zu Tage, gibt es oft kein festgelegtes Vorgehen. Das verzögert die Reaktion auf Angriffe und führt natürlich auch schnell zu Kurzschlussreaktionen, die alles am Ende noch viel schlimmer machen können. Dass hier Nachholbedarf herrscht, zeigt auch eine aktuelle Studie, die Tresorit zusammen mit Opinion Matters durchgeführt hat: 70 Prozent der Unternehmen in Deutschland besitzen noch keine umfassenden Richtlinien für das Teilen sensibler Daten mit Externen. Wenn eine so immense Sicherheitslücke schon für die tägliche Basisarbeit besteht, kann man sich vorstellen, wie es um die Planung von scheinbar komplizierten, abstrakten Notfällen steht.

ITD: Wie sollten Unternehmen handeln, wenn ihr Netzwerk z.B. durch Hacker angegriffen wurde oder unwetterbedingt Schaden genommen hat?
van Züren: Im Falle eines Hackerangriffs ist der erste Schritt immer die interne Eskalation an das Computer Emergency Response Team (CERT) des Unternehmens. Zumindest die meisten großen Unternehmen verfügen bereits über ein solches Reaktionsteam. Insgesamt ist es aber von entscheidender Bedeutung, vorbereitet zu sein und auf keinen Fall einfach spontan zu reagieren. Es gilt, sich streng an einen vorher festgelegten Katastrophenplan zu halten. In der Regel ist die Eskalation an das CERT immer der erste Punkt auf der Agenda eines solchen Plans. Das Expertenteam kümmert sich dann darum, dass sofort alle nötigen weiteren Schritte eingeleitet werden. Im Fall einer Cyberattacke zählt jede Minute, so dass Zeit nicht damit vergeudet werden sollte, zuerst noch Zuständigkeiten zu klären. Bei unwetterbedingten Schäden sollten Unternehmen so schnell wie möglich Schadensbegrenzung betreiben und Daten, wenn möglich, in eine sichere Umgebung, z.B. in die Cloud eines Security-Dienstleisters, transferieren.

ITD: Wann ist beispielsweise eine Attacke durch Cyberkriminelle oder anderweitige Schädigung anzeigepflichtig?
van Züren: Eine Attacke ist anzeigepflichtig, sobald personenbezogene Daten im Sinne der DSGVO betroffen sind oder betroffen sein könnten.

ITD: Welche rechtlichen Verpflichtungen gibt es, wenn DSGVO-bezogene Daten betroffen sind?
van Züren: Laut der Europäischen Kommission müssen Unternehmen die zuständigen Behörden innerhalb von drei Tagen nach Bekanntwerden eines IT-Sicherheitsvorfalls informieren, wenn eine Verletzung des Schutzes personenbezogener Daten vorliegt oder wenn die Daten, für die ein Unternehmen verantwortlich ist, von einem sicherheitsrelevanten Ereignis betroffen sind, das zu einer Verletzung der Vertraulichkeit, Verfügbarkeit oder Integrität führt. Außerdem sollten unbedingt auch die betroffenen Personen über die Verletzung informiert werden, insbesondere, wenn diese ein hohes Risiko für sie darstellt. Für eine Rechtsberatung zu dem Thema sollte immer ein Anwalt konsultiert werden.

ITD: Was ist wichtig zur Beweissicherung?
van Züren: Digitale Beweise müssen sehr schnell und dabei extrem gründlich gesichert werden – die Beweissicherung gehört zu einer der wichtigsten Aufgaben im Falle einer Attacke und sollte immer von einem professionellen IT-Forensikteam durchgeführt werden. Das Problem: Wird ein Vorfall bekannt, können die ersten Schutzmaßnahmen des Unternehmens Beweise bereits leicht zerstören, ohne dass es jemand bemerkt. Erschwerend kommt hinzu, dass die Standards für die Zulässigkeit von Beweisen vor Gericht extrem hoch sind. Alles, was gesichert wird, muss deshalb mit absoluter Sorgfalt behandelt werden.

ITD: Welche Konsequenzen drohen bei Nachlässigkeiten?
van Züren: Es gibt eine Menge möglicher Szenarien, wenn ein Unternehmen eine Cyberattacke nicht beweisen kann. Die wahrscheinlich weitreichendste ist, dass das Unternehmen selbst für den Verlust oder Missbrauch personenbezogener Daten verantwortlich gemacht werden kann. Damit würden alle mit einer DSGVO-Verletzung einhergehenden Strafen und Restriktionen zu Lasten des angegriffenen Unternehmens fallen. Das bedeutet in der Regel nicht nur hohe finanzielle Einbußen, sondern auch den Verlust von Vertrauen durch Kunden und Partner. Beides kann Organisationen in kurzer Zeit immensen Schaden zufügen – und das, obwohl sie im Grunde gar keine direkte Schuld daran tragen. Um solche existenziellen Risiken zu vermeiden, haben ein IT-Notfallplan bzw. ein durchdachtes IT-Security-Eskalationsmanagement oberste Priorität. Und das für jedes Unternehmen, das in irgendeiner Form mit Daten zu tun hat.

ITD: Mit welchen Herausforderungen ist die Erstellung eines sauberen IT-Security-Katastrophenplans verbunden?
van Züren: Inhaltlich muss ein IT-Security-Katastrophenplan heute für kein Unternehmen mehr eine große Herausforderung sein. Es gibt eine Vielzahl von renommierten Anbietern, die tagtäglich nichts anderes tun, als solche Pläne zu erstellen und maßgeschneidert an Unternehmen anzupassen. Hier wird wirklich niemand alleine gelassen – egal, ob mittelständisches Unternehmen oder Big Enterprise. Der Knackpunkt sind in den meisten Fällen die einzelnen Mitarbeiter, die nicht Teil eines IT-Teams sind. Ein IT-Security-Katastrophenplan hat nur dann einen Wert, wenn alle Mitarbeiter ihre Bedeutung verstanden haben und wissen, was im Ernstfall ihre Aufgabe ist. Leider sind Angestellte aber auch selbst ein beliebtes Opfer von Hackern – durch gezieltes Social Engineering oder Phishing. Deshalb empfehlen wir, neben der Erstellung eines festen Ablaufs im Notfall auch immer regelmäßige Schulungen der eigenen Beschäftigten. Mit ihnen steht und fällt die Wirksamkeit eines guten IT-Security-Katastrophenplans.

ITD: Welche Punkte sollte solch ein Plan anno 2021 unbedingt aufgreifen?
van Züren: Ein IT-Security-Katastrophenplan sollte grundsätzlich immer schnell ausgeführt werden – jede Minute, die das CERT schneller reagieren kann, ist eine Minute weniger, in denen Hacker dem Unternehmen schaden können. Die wichtigsten Punkte, die in keinem IT-Security-Katastrophenplan fehlen dürfen, sind: Schadensbegrenzung, Aufrechthaltung der Kernprozesse des Unternehmens, schnelle und saubere Beweissicherung, zeitnahes Melden bei Verletzungen der DSGVO. Der mit Abstand wichtigste Punkt findet aber immer bereits lange vor der Katastrophe statt: Vorbereitung und Mitarbeiterschulung sind die entscheidenden Faktoren für das Gelingen jedes Katastrophenplans.

Bildquelle: Tresorit