Cyber-Recovery ist im Mittelstand dringender denn je

Die EU-Richtlinie NIS2 kommt – und das deutlich schneller, als es manchem Unternehmenslenker vielleicht lieb ist. Bereits im Herbst 2024 tritt die überarbeitete Version der Network-and-Information-Security-Richtlinie (NIS) in Kraft – und mit ihr grundlegende Veränderungen, sowohl hinsichtlich des Geltungsbereichs als auch mit Blick auf den Umfang zu den ergreifenden Maßnahmen für die Cybersicherheit. Auffällig ist in der neuen Fassung, dass neben den KRITIS-Betreibern vor allem vergleichsweise kleine Unternehmen in die Verantwortung genommen werden. So zählen künftig auch Unternehmen aus den Bereichen „Post und Kuriere“, „Abfallwirtschaft“, „Chemie“, „Ernährung“, „Industrie“ (Technik und Ingenieurswesen), „Bildung und Forschung“ oder auch „Digitale Dienste“ (wie etwa Online-Marktplätze) zu den „Important Services“ (wichtigen Sektoren), für die die neue Richtlinie gilt. Die Zahl der betroffenen Unternehmen steigt dadurch deutlich, auch weil die Richtlinie für Unternehmen mit mindestens 50 Mitarbeitern und einem Umsatz von 10 Mio. Euro gelten sollen. Schätzungen gehen davon aus, dass damit rund 10.000 neue Unternehmen in Deutschland betroffen sind. Zudem geht NIS2 über bestehende Regulierungen, wie etwa das deutsche IT-Sicherheitsgesetz 2.0, deutlich hinaus.

Im Kern geht es darum, die IT-Sicherheit in die globale Steuerung der Unternehmen miteinzubeziehen und für verbesserte Resilienz in der Infrastruktur zu sorgen. Risikomanagement wird damit genauso zur Pflicht wie die Einführung von Notfallplänen und einem Meldesystem. Zusätzlich müssen Schutzkonzepte für die Absicherung der Lieferketten entwickelt werden. Dazu zählen etwa Konzepte für die Zugriffskontrolle, Schwachstellen-Management oder auch die systematische Datensicherung.

Cybersecurity muss Chefsache werden – auch aus persönlichem Interesse

Die expliziten Sanktionen bei Verstößen haben es unterdes in sich: Bis zu 10 Mio. Euro oder 2 Prozent des weltweiten Umsatzes werden bei den KRITIS-Betreibern fällig. Bei den „Important Services“ sind es bis zu 7 Mio. Euro oder 1,4 Prozent. Ein Cybervorfall kann damit für den Mittelstand in mehrerlei Hinsicht existenzbedrohend sein. Die Geschäftsleitung sollte deshalb das Thema „Cybersecurity“ dringend zur Chefsache erklären, auch aus eigenem Interesse. Denn Cyberversicherer beispielsweise können im Falle der Regulierung eines erfolgten Cyberangriffs die Geschäftsführer in Regress nehmen. Da Cyberkriminelle nur selten gefasst werden und die Mitarbeiter dank des Arbeitnehmerprivilegs nicht zur Verantwortung gezogen werden können, bleibt als Haftungsschuldner lediglich das Management übrig. Außerdem decken viele Versicherungen Schäden aus Cyberangriffen heute nicht mehr in Gänze ab. Und wenn der Nachweis der pflichtgemäßen Reaktion nicht erbracht werden kann, droht die Haftung mit Privatvermögen.

Die Lücke zwischen Security & Recovery schließen

Somit müssen gerade mittelständische Unternehmen zwei entscheidende Bereiche angehen, und das genau genommen parallel. Zum einen gilt es, die Sicherheitsaspekte zu bedienen und sich mit Konzepten wie Zero Trust, SOC und SIEM oder auch Endpoint-Security zu beschäftigen. Zum anderen muss sichergestellt werden, dass der Geschäftsbetrieb, also die Business Continuity, auch im Fall von Cyberangriffen sichergestellt werden kann. Denn die Frage ist heute nicht mehr, ob ein Unternehmen attackiert wird, sondern wann. Dabei sollten Unternehmen nicht dem Trugschluss aufsitzen, dass es mit einem Backup der Unternehmensdaten getan ist. Denn Backups schützen im Zweifelsfall lediglich vor dem Datenverlust im Zuge technischer Störungen (wie einem Festplattendefekt oder einem Wasserschaden). Die Folgen eines Ransomware-Angriffs kann ein Backup nicht mitigieren, da Backups häufig selbst von der Verschlüsselung betroffen sind.

Die Recovery, also die Wiederherstellung der Geschäftsfähigkeit, umfasst hier deutlich mehr. Um das zu verdeutlichen, lohnt sich ein genauerer Blick auf die Architektur einer Cyber-Recovery-Lösung. Im Gegensatz zu einem Backup ist eine Recovery komplett von der restlichen IT-Infrastruktur abgeschirmt. In einem isolierten „Recovery Vault“ wird eine unveränderbare Kopie der Daten sowie der Infrastruktur abgelegt. Ransomware hat somit keine Chance, die Daten der Recovery zu verschlüsseln. Die Synchronisation zwischen diesem Vault und dem Datacenter erfolgt lediglich bei der Überführung von Daten bzw. bei der Erstellung der Kopien. Man spricht hier von einer „Air Gap“ zwischen der regulären IT und der Recovery. Kommt es zu einem Cyberangriff, etwa einer Ransomware-Attacke durch Hacker, kann der Prozess für die Daten-Recovery mithilfe des Recovery Vaults angestoßen werden. Dazu werden im ersten Schritt die Infrastruktur sowie die Datenkopien im Vault Software-basiert analysiert und auf Schadsoftware sowie Anomalien geprüft. Unbeeinträchtigte Daten können dann umgehend für den Produktivbetrieb wiederhergestellt werden, wobei der Einsatz von KI-Software bei der Vermeidung von False-Positives und False-Negatives unterstützt. Dadurch dauert der Recovery-Prozess bei Einsatz einer entsprechenden Cyber-Recovery-Lösung im Schnitt bestenfalls nur Stunden anstatt mehrerer Wochen.

As-a-Service-Lösungen machen Cyber-Recovery einfach konsumierbar

Während große Konzerne über dedizierte IT-Teams zur Implementierung und Verwaltung von Recovery-Systemen in redundanten Rechenzentren verfügen und mit eigenen Spezialisten die Integrität von Daten und Sicherheitssystem gewährleisten, ist der Mittelstand aufgrund schlanker Budgets und fehlender Expertise deutlich verwundbarer. Doch dank der Cloud ist auch für solche Unternehmen eine Offsite-Recovery möglich. Selbst für den Fall einer physischen Beeinträchtigung der lokalen Server bzw. des Netzwerks können so Dateien und Ordner wiederhergestellt und eine Produktionsumgebung über die Virtualisierung von Rechnern ermöglicht werden. Zudem erhalten Sicherheitsverantwortliche und die Geschäftsführung wichtige Informationen, die sie bei der Berichts- und Informationspflicht unterstützen, verständlich aufbereitet. So wird auch die Kommunikation im Schadensfall verbessert. Mit Cyber-Recovery als konsumierbarer As-a-Service-Lösung erhalten Mittelständler eine Art Ausfallrechenzentrum, das im Falle einer Cyberattacke bereitsteht und den Geschäftsbetrieb sichert.

Die Zeit drängt

Mit dem Inkrafttreten der neuen Richtlinie im Herbst nächsten Jahres bleibt Unternehmen nicht viel Zeit. Um eine ähnliche Situation wie bei der DSGVO zu vermeiden, sollten sich gerade mittelständische Firmen frühzeitig informieren. Da die Etablierung eines Management-Systems für IT-Sicherheit gut und gerne ein ganzes Jahr in Anspruch nehmen kann und Fachkräfte ohnehin schon knapp sind, sollten Unternehmen sich schon jetzt nach einem geeigneten Partner umsehen. End-to-End-Dienstleister wie Atos sind dabei dank Partnerschaften mit führenden Anbietern wie Dell in der Lage, gemeinsamen mit dem Management sowie Sicherheitsverantwortlichen das Projekt „Cyber-Recovery“ durchgehend zu begleiten – von der initialen Bewertung von Business- und Compliance-Anforderungen sowie der Analyse des Betriebsmodells, über das Design der Sicherheitsarchitektur und die Implementierung von Hard- und Software bis hin zum Betrieb. Gerade letzteres bedarf sowohl dediziertes Know-how als auch entsprechende personelle Kapazitäten, nicht nur mit Blick auf die Wartung und Verwaltung der Systeme, sondern auch hinsichtlich der kontinuierlichen Überprüfung und Neubewertung der Recovery-Systeme. Noch muss die NIS2-Richtlinie final verabschiedet und in nationales Recht überführt werden. Doch ein entsprechendes neues IT-Sicherheitsgesetz kommt – und wer erst dann nach Lösungen und Tools sucht, steht auf verlorenem Posten.

Bildquelle: Getty Images / iStock / Getty Images Plus