Cyberattacken: Das riskante Spiel mit der Sicherheit

Sven Freese: Wir müssen differenzieren zwischen zwei verschiedenen Arten von Cyberbedrohungen. Schon lange begleiten uns ungezielte Angriffe, die einfach nur darauf aus sind, bestimmte Lücken in Systemen auszunutzen – unabhängig davon, wen es wirklich trifft. Das kennen wir ja auch im privaten Umfeld. Immer häufiger werden wir jedoch mit gezielten Angriffen konfrontiert. Attacken, bei denen der Angreifer tatsächlich vorab evaluiert, welche Ziele interessant sind – zum Beispiel im Zusammenhang mit Firmenspionage, Preisfindung oder Ideenklau. Wir hören davon deutlich mehr, weil Großunternehmen und Behörden dazu verpflichtet sind, diese Angriffe zu melden. Das heißt aber nicht, dass mittelständische Unternehmen nicht mit Cyberangriffen zu kämpfen haben. Im Gegenteil, die Quote ist hier sogar vermeintlich höher, die Fälle werden nur nicht öffentlich gemacht.

Lisa Unkelhäußer: Das ist tatsächlich nur die Spitze des Eisberges, was wir da in den Nachrichten sehen oder in den Zeitungen lesen. Ich bin auch der Meinung, dass Cyberbedrohungen gerade für mittelständische und kleine Unternehmen eine wirkliche Gefahr darstellen. Mit Hilfe sogenannter Ransomware, also Verschlüsselungstrojanern, dringen Angreifer in Unternehmen ein, verschlüsseln deren Daten und erpressen sie anschließend. Wenn man als Unternehmer plötzlich auf nichts mehr Zugriff hat, um die Firma normal zu führen oder die Produktionen aufrecht zu erhalten, dann ist das nun mal eine existenzielle Bedrohung für das Unternehmen. An die Presse kommen derartige Vorfälle aber selten. Ein Angriff muss aber gar nicht so „spektakulär“ sein. Nicht selten gibt es den Fall, dass sich Hacker in Unternehmensnetzwerke einschleusen und dort Daten abziehen oder einzelne Nutzer ausspionieren, ohne dass das Unternehmen davon etwas mitbekommt.

Lisa Unkelhäußer: Meiner Meinung nach gibt es leider keine Eingrenzung – weder was die Größe noch was die Branche angeht. Wir haben schon alles gesehen: vom kleinen Handwerksbetrieb, wo man sich tatsächlich nach den Beweggründen fragt, bis zum multinationalen Konzern. Der verbreitete Gedanke bei vielen kleineren Unternehmen „ich bin doch gar nicht relevant, das macht doch keinen Sinn, mich zu hacken“ ist ein Trugschluss. Theoretisch steht jedes Unternehmen im Fadenkreuz von Hackern.

Sven Freese: Von den ungezielten Angriffen ist die breite Masse der Unternehmen betroffen. Da viele kleinere Unternehmen nicht über die nötigen Schutzmaßnahmen verfügen, ist die Erfolgsquote selbst mit nur wenigen Angriffsparametern hoch. Mittelgroße Unternehmen müssen mit vermehrten gezielten Angriffen rechnen, weil kriminelle Hacker hier das schnelle große Geld wittern. Das heißt, es wird genau geschaut, wo sich das Ausspionieren besonders lohnt oder wo möglichst leicht möglichst viel Geld erpresst werden kann.

Sven Freese: Die Häufigkeit nimmt in jedem Fall zu. Durch immer neue Abwandlungen wächst die Anzahl der Exploits exponentiell. Das ist aber ein Thema, was man häufig durch Standardmaßnahmen in den Griff bekommen kann. Gezielte Angriffe kann man aber nicht durch einfache Patching-Maßnahmen bewältigen. Das heißt, da habe ich ein deutlich größeres Problem zu lösen.

Lisa Unkelhäußer: Die Anzahl der einzelnen Angriffe steigt, aber auch, was ein einzelner Angriff die Unternehmen kosten kann. Das belegen diverse Studien. Wir haben errechnet, dass bei gezielten Angriffen im Schnitt ein Schaden – zum Beispiel durch Wiederherstellungskosten, PR-Krisen und Schadensersatzthemen – in Höhe von 4,68 Millionen Euro für die betroffenen Unternehmen entsteht. Und auch diese Zahl geht stetig nach oben.

Lisa Unkelhäußer: Wir sehen schon, dass sich mehr und mehr mit Cybersecurity beschäftigt wird. Gerade in den letzten Jahren ist die Awareness auf Vorstands- und Geschäftsführerebene gestiegen und es sind mehr und mehr Verantwortliche benannt worden für das Thema. Dennoch sind wir der Meinung, dass viel zu wenig getan wird. Viele verstricken sich in langatmigen Prozessthemen oder machen unendlich viele Strategieworkshops. Damit verlieren sie aber unglaublich viel Zeit, statt Dinge einfach zeitnah umzusetzen.

Sven Freese: Die Frage nach der Einschätzung der Wahrnehmung in den Unternehmen hängt meiner Meinung nach sehr von der Technologieaffinität der Entscheider ab. Tatsächlich haben viele Unternehmensführer lange Jahre die IT nicht als einen Entwicklungsschwerpunkt, sondern als Kostenfaktor gesehen. Bei so einer Grundeinstellung ist natürlich das Thema IT-Security auch nur ein zusätzlicher Kostenfaktor. Wir sehen einen Wandel bei den Häusern, die wissen, dass ihre Prozesse IT-basiert sind und dass die IT lebensnotwendig für das Unternehmen ist. Wir sehen keinen Wandel bei den Häusern, die IT lediglich als Kostenfaktor empfinden.

Was uns ein bisschen hilft, sind die zunehmenden Erfahrungswerte, die Unternehmer aus ihrem Umfeld ziehen. Werden die verstärkten und erfolgreichen Angriffe über die Medien öffentlich, verbreiten sie sich bei Unternehmertreffen. Kommt man mit ihnen sogar in den eigenen Lieferketten in Kontakt, dann steigt auch die Awareness für das Thema. Leider werden aber die Kosten für eine gute IT-Security noch immer zu selten in Relationen gesetzt zu den Kosten, die durch erfolgreiche Angriffe drohen. Und in welchen Dimensionen wir da denken müssen, hat Lisa Unkelhäußer ja bereits deutlich gemacht.

Lisa Unkelhäußer: Grundsätzlich muss etwas gegen den Fachkräftemangel getan werden. Es fehlt schon im IT-Bereich allgemein an gut ausgebildetem Personal – im Bereich IT-Security ist das Thema noch drängender. Dabei ist es so wichtig, dass es jemanden in der IT-Abteilung gibt, der genügend Know-how hat, um das Thema Security zu überblicken. Das ist nichts, was ein paar Kollegen zu jeweils 10 bis 15 Prozent mal so nebenher mitmachen können. Außerdem muss das Silo-Denken abgeschafft werden, das IT-Abteilungen als etwas sieht, was mit dem eigentlichen Unternehmen nichts zu tun hat – außer natürlich dafür zu sorgen, dass die Systeme laufen und man anrufen kann, wenn der Computer nicht funktioniert. Dabei müsste die IT – und auch die IT-Security – in Geschäftsprozesse und selbst in Innovationsthemen von Anfang an mit einbezogen werden.

Sven Freese: Ich versuche es mal kurz zu machen: Es braucht einen IT-Grundschutz und die Priorisierung des Security-Themas auf C-Level Ebene. Sicherheit muss bereits in der Planungsphase berücksichtigt werden und ein Kernaspekt bei allen eingesetzten Systemen oder Produkten sein und es muss fortwährende Fortbildungen über neue Angriffsmuster geben. Und zu guter Letzt ist Veränderungsbereitschaft von Nöten.

Sven Freese: Ja. Nicht nur die Unternehmensleitung, sondern auch die IT-Abteilungen selbst müssen erkennen, dass es Themen gibt, die nicht so einfach durch bestehende interne Strukturen und Abläufe abgebildet werden können. Ein Beispiel: IT-Abteilungen tendieren oftmals dazu, Notfallszenarien zu entwickeln, in denen die fünf Arbeitstage durch IT-Mitarbeiter abgesichert sind und nachts oder am Wochenende Technologie den Dienst übernimmt. Das macht im Bereich Security aber wenig Sinn, denn die Arbeitswelt der Angreifer endet nicht am Freitag um 17 Uhr deutscher Zeit.

Lisa Unkelhäußer: Wenn ich hier einhaken darf: Im Bereich Incident Response, also was passiert, wenn etwas passiert ist, haben wir etwas Spannendes beobachtet. Die Kultur des Unternehmens hat einen unglaublichen Einfluss darauf, wie erfolgreich Mitarbeiter und Führungskräfte in Angriffs- und Notfällen reagieren. Je besser die interne Kommunikation ist und je mehr Vertrauen herrscht, desto besser ist auch die Transparenz über die Hierarchien hinweg und desto besser können die Verantwortlichen in diesen Situationen eingreifen und wichtige Entscheidungen fällen. Es gibt nichts Schlimmeres als einen IT-Admin, der die Bedrohung oder den Angriff kommen sieht, sich aber aus Angst vor seinem Chef nicht traut, etwas zu sagen. Den Fall hatten wir tatsächlich schon.