„Das größte Risiko stellen die Mitarbeiter dar“

ITM: Herr Peter, wie hoch schätzen Sie die Cyberbedrohungslage in Deutschland anno 2023 ein?
Peter: Cyberattacken sind mittlerweile ein Elementarrisiko für Unternehmen und haben ähnliche Auswirkungen wie der Ausfall anderer kritischer Infrastrukturen wie beispielsweise des Stromnetzes. Umso verwunderlicher ist es, wie wenig Bedeutung dem Thema immer noch beigemessen wird. Trotz der sich immer weiter zuspitzenden Bedrohungslage, der zahlreichen Möglichkeiten für Cyberkriminelle und effizienten Taktiken sowie Techniken nehmen Unternehmen hierzulande die IT-Sicherheit immer noch nicht ernst genug. Zur aktuellen Lage: Allein bei unseren Kunden konnten wir in den letzten beiden Jahren einen Anstieg der Cyberattacken um gut 200 Prozent feststellen – die wir allesamt erfolgreich abgewehrt haben. Zu diesem hohen Anstieg tragen in letzter Zeit auch ausgefeiltere Angriffsstrategien und neue Möglichkeiten einen erheblichen Teil bei – und erhöhen gleichzeitig die Erfolgschancen der Angreifer. Ein Beispiel: die dunkle Seite der Künstlichen Intelligenz. Im Darknet geben Hacker einen schnell formulierten Prompt ein und erhalten einen Code, mit dem sie jedes gewünschte Unternehmen erfolgreich attackieren – vor allem, wenn Schutzmaßnahmen fehlen. Darüber hinaus geschehen die Attacken immer häufiger massenweise – es werden also nicht einzelne Unternehmen angegriffen, sondern gleich mehrere.

ITM: Welche Folgen kann ein geglückter Hackerangriff auf das IT-System eines Unternehmens oder einer Behörde im Ernstfall haben?
Peter: Überschwemmungen, Erdbeben, Feuer – dass sie Elementarschäden für Unternehmen nach sich ziehen, bestreitet niemand. Mit Hackeroffensiven verhält es sich ähnlich – teils sogar noch schlimmer. Denn ein erfolgreicher Cyberangriff versetzt Unternehmen zurück in die Steinzeit. Nichts funktioniert mehr. Ein Totalausfall der IT zieht einen Stillstand des Betriebs nach sich. Kommunikationswege sind abgebrochen und Datenverbreitungen ausgeschlossen. Das produzierende Gewerbe kann Bestellungen nicht mehr annehmen und Auslieferungen nicht mehr durchführen. Deshalb lohnt es sich, das Thema Cybersecurity ins Business Continuity Management einzubeziehen. Die möglichen Folgen einer geglückten Attacke sind ebenso vielfältig wie gefährlich. Viele Unternehmen verbinden Cyberoffensiven mit finanziellen Verlusten. Der Bundeslagebericht Cybercrime 2022 spricht von rund 203 Milliarden Euro errechneter Cybercrime-Schäden. Das ist aber nur ein Aspekt. Auch die Sicherheit der Organisation ist durch Veröffentlichung vertraulicher Informationen, den Diebstahl von geistigem Eigentum oder Beeinträchtigung von Betriebsabläufen stark bedroht – Rufschädigung inklusive. Ein möglicher Verlust der IT-Systeme ist dabei noch das geringste Problem, denn die Infrastruktur ist ersetzbar. Blaupausen, Mischverhältnisse oder Konstruktionspläne sind aber ein für alle Mal weg.

ITM: Was sollten Unternehmen tun, sobald sie einen Angriff (oder Angriffsversuch) auf ihre IT bemerken?
Peter: Cyberkriminelle halten sich ungefähr zwischen 30 und 90 Tagen unbemerkt im Unternehmensnetzwerk auf. Genügend Zeit, um Daten zu verschlüsseln, zu manipulieren oder Geschäftsgeheimnisse abzugreifen. Erkennen Verantwortliche den Angriff nach diesem Zeitraum, können Unternehmen nur noch Schadensbegrenzung betreiben. Deshalb sind Organisationen gut beraten, regelmäßig Systeme, Applikationen, Gebäudeeinheiten oder simple Kommunikations-Tools zu analysieren und im Falle von entdeckten Sicherheitslücken zu handeln. Der Schlüssel zum Erfolg: Business Impact Analysen. Sie rücken geschäftskritische Prozesse und passende Schutzmaßnahmen in den Blick. Ist der Ernstfall eingetreten, kommen auf Unternehmen weit größere Herausforderungen als finanzielle Verluste zu. Das Vertrauen zu Kunden wieder aufzubauen, ist mitunter ein langwieriger Prozess ohne garantierte Erfolgschancen. Hilfreich ist in diesen Fällen eine offene Kommunikation. Es ist keine Schande einzugestehen, dass man Hilfe von IT-Experten braucht. Ganz im Gegenteil, das wirkt oftmals authentischer und bringt Zuversicht zurück. Denn dass Hackerangriffe oder der Verlust von Kundendaten ans Licht kommen, ist immer der Fall.

ITM: Wer ist in puncto „Cybersicherheit“ in Deutschland zurzeit mehr gefährdet – Konzerne oder Mittelständler?
Peter: Versetzt man sich in die Lage von Cyberkriminellen, steht am Anfang eine Abwägung zwischen möglichem Gewinn und den Erfolgschancen. Zielen Angreifer auf Konzerne ab, versprechen sie sich mitunter größere Gewinne. Die Aussicht, ins Unternehmen vorzudringen, ist aber meist weniger realistisch. Der Grund: Konzerne haben mehr Ressourcen, die sie in die IT-Sicherheit stecken. Fachkräftemangel und fehlende Kapazitäten bei Mittelständlern lassen Sicherheitslücken zu, die Kriminellen leichtes Spiel verschaffen. Die Frage nach dem leichteren Opfer fällt somit zuungunsten des Mittelstands aus.

ITM: Wo liegen häufig die Schwachstellen, die Unternehmen für Cyberattacken besonders verwundbar machen?
Peter: Das größte Risiko für Unternehmen stellen tatsächlich die Mitarbeiter dar. Ein unbedachter Klick auf einen Mail-Anhang oder Gutgläubigkeit bei einem Telefonanruf und schon sind die Einfallstore für Cyberkriminelle geöffnet. Social Engineering ist extrem erfolgversprechend – und ohne die nötige Expertise oft schwer zu erkennen. Die gewünschte Vernetzung etwa bei der Nutzung von Cloud-Umgebungen oder dem Austausch von Daten – firmenintern wie -extern – öffnet jedoch automatisch auch die Türen für mögliche Angriffe. Daher ist ein ganzheitliches Sicherheitskonzept bei jeder Digitalisierungsmaßnahme umso wichtiger.

ITM: Wo haben Sie im Bereich „Kritische Infrastruktur“ (KRITIS) die größten Sorgen hinsichtlich der möglichen Folgen durch schwere Angriffe?
Peter: Angriffe auf die Kritische Infrastruktur sind so gefährlich, weil sie nicht nur ein Unternehmen und somit einen abgegrenzten Bereich betreffen. Sie können unser gesellschaftliches Leben erheblich beeinträchtigen. Der Ausfall eines Elektrizitätswerks legt gleich ganze Stadtteile oder Regionen lahm. Aktuell ist vor dem Hintergrund des Angriffs auf die Ukraine die Sorge um Attacken auf derartige Infrastrukturen natürlich besonders hoch.

ITM: Welche Maßnahmen sind am sinnvollsten, um für einen effektiven Schutz vor Cyberbedrohungen zu sorgen?
Peter: Cybersecurity muss zum Dauerthema in Unternehmen werden. Dafür ist ein Umdenken gefragt, weg von einzelnen IT-Sicherheitsprojekten hin zu Cyber-Security-Kontinuität. Das C-Level muss hier als Vordenker auftreten. Die Cybersecurity im Blick hält die Geschäftsführung durch einen Chief Information Security Officer, der Datenschutz, Datensicherheit, Compliance und IT-Sicherheit gleichermaßen berücksichtigt. In vielen Unternehmen finden CISOs aber noch kein Gehör. Eine Gegenüberstellung verdeutlicht das: Weist ein CFO auf unrentable Geschäftsbereiche hin, beginnt die Suche nach Verbesserungspotenzial umgehend. Deckt ein CISO eine Sicherheitslücke auf, dann wird die Behebung nicht selten aufgeschoben, oftmals auch aus Kostengründen. Cybersecurity ist einfach noch ein undankbares Thema. Mit einem veränderten Mindset ebnen Unternehmen den Weg in die sichere Zukunft. Erst dann lassen sich Mitarbeiterschulungen und technische Schutzmaßnahmen wie EDR-Lösungen gegen Ransomware erfolgreich umsetzen. Und, was noch wichtiger ist, als wiederkehrende Themen behandeln.

ITM: Was wünschen Sie sich von der Politik, um das Schutzniveau des Wirtschaftsstandorts Deutschland vor Cyberkriminalität noch weiter zu verbessern?
Peter: Föderale Vielfalt – das ist aktuell die Devise in Deutschland. Jedes Bundesland verfolgt mehr oder weniger seine eigene Cybersicherheitsstrategie. Die Bedrohungen sind aber überall dieselben. Deshalb würde ich mir wünschen, dass die Politik Cybersecurity gemeinsam auf Bundesebene angeht. Mit einheitlichen Anforderungen die IT-Sicherheit zur verpflichtenden Chefsache zu machen, würde eine sicherere Unternehmenszukunft bedeuten und den Wirtschaftsstandort Deutschland stärken. Die gesetzlichen Bestimmungen zum Aufbau von geeigneten Cyber-Schutzmaßnahmen in Unternehmen müssen unbedingt ausgebaut werden. Es ist schon verwunderlich: Beim Brandschutz etwa gibt es sehr genaue Vorschriften. Eine Cyberattacke kann jedoch ebenso folgenschwer und auf lange Sicht sogar noch gefährlicher für das Fortbestehen eines Unternehmens sein. Dass konkretere gesetzliche Anforderungen kommen, ist daher meines Erachtens längst überfällig.

Bildquelle: Q.beyond