Was Unternehmen beim Umgang mit Cyberattacken beachten sollten

Vorbereitet sein!

Cyberattacken gelten als Bedrohung Nummer 1 für Unternehmen. Umso wichtiger ist es, auf mögliche Vorfälle vorbereitet zu sein. Dadurch kann im Ernstfall der Umgang mit der Krise leichter fallen. Welche Punkte es dabei zu beachten gilt, beleuchten Johannes Fischer und Joshija Kelzenberg von Crunchtime Communications.

Bild: ©VideoFlow/stock.adobe.com

Laut dem Allianz Risk Barometer 2023 (Seite 1) sehen Unternehmen Cyber-Vorfälle das zweite Jahr in Folge als größtes Geschäftsrisiko. In der Tat vergeht kaum ein Tag, an dem nicht eine neue erfolgreiche Cyber-Attacke öffentlich wird. So soll im Sommer 2022 beim Autozulieferer Continental die Ransomware-Gruppe ‘Lockbit 3.0’ 40 Terabyte an Daten erbeutet haben. Das ist nur eines von zahlreichen Beispielen. Rund jedes zweite Unternehmen war 2022 von einem Cyber-Angriff betroffen. Das BKA geht von einer noch höheren Dunkelziffer aus. Industrieunternehmen sind einem besonders großen Risiko ausgesetzt. Nicht nur, weil die weiter fortschreitende Digitalisierung von Lieferketten und Produktionsanlagen zusätzliche Angriffsflächen bietet und das finanzielle Schadensrisiko bei industriellen Produkten besonders groß ist. Auch die aktuellen geopolitischen Krisen, die ein starker Treiber von Cyber-Attacken sind, machen die Industrie besonders anfällig. Im Fokus der Angreifer stehen zunehmend kritische Infrastrukturen und öffentlichkeitswirksame Ziele – somit auch die Industrie. Die allermeisten Unternehmen sind sich des großen Risikos bewusst und die Investitionen in Cyber-Sicherheit nehmen Jahr für Jahr signifikant zu. Dennoch ist das Risiko bislang nicht ausreichend beherrschbar, wie das Beispiel Continental und die insgesamt hohen Fallzahlen zeigen. Und laut Cyber Readiness Report 2022 sahen weniger als zwei Prozent der Cyber-Sicherheitsverantwortlichen ihr Unternehmen ausreichend für einen möglichen Cyber-Angriff gewappnet. Krisenprävention und -vorbereitung ist bei Cyber-Krisen absolut erfolgskritisch und sollte auf der Prioritätenliste eines jeden Unternehmens ganz oben stehen.

Vorbereitet sein

Jenseits der technologischen Anforderungen und Möglichkeiten, erweisen sich aus kommunikativer und organisatorischer Perspektive die nachfolgenden sieben Faktoren als besonders relevant und wirksam. Einerseits um das Eintrittsrisiko und Schadenspotenzial zu minimieren. Andererseits um für den Ernstfall eine schnelle und zielgerichtete Reaktion sicherzustellen.

• •  Direkte Anbindung an die Geschäftsleitung: Die Verantwortung für Cyber-Krisenmanagement muss bei der Unternehmensleitung angesiedelt sein und benötigt dort unmittelbare Aufmerksamkeit. Zum einen, weil Cyber-Krisen ein signifikantes Risiko für Geschäft und Reputation darstellen und vergleichsweise schnell ein existenzgefährdendes Ausmaß annehmen können. Zum anderen, weil nur so die für die Sensibilisierung der gesamten Organisation erforderliche Ernsthaftigkeit und Verbindlichkeit gegeben ist. Die Implementierung eines Chief Information Security Officer (kurz CISO) kann das ermöglichen. Hierbei handelt es sich in der Regel um ein Mitglied des Vorstands, das die Gesamtverantwortung für die IT-Sicherheit im Unternehmen innehat. Dies bietet sich insbesondere in Großunternehmen an, um Vorstände zu entlasten und die Kompetenzen im Bereich IT-Sicherheit zu bündeln. Gerade Unternehmen, die Teil der kritischen Infrastruktur sind und regelmäßig behördlich nachweisen müssen, dass ihre Cyber-Sicherheit auf einem aktuellen Stand ist, sind gut beraten hierfür einen CISO zu implementieren.
• •  Interdisziplinärer Ansatz aus IT, Recht, HR und Kommunikation: Oft wird Cybersicherheit aus technologischer Sicht betrachtet und als funktionale Verantwortlichkeit der IT im Unternehmen verankert. Sowohl vor einer möglichen Krise als auch im Akutfall kommt jedoch auch den Bereichen Recht, Kommunikation und HR eine erfolgskritische Bedeutung zu. Nur durch einen ganzheitlichen Ansatz und das nahtlose Zusammenwirken aller Disziplinen kann eine bestmögliche Krisenprävention und -vorbereitung gelingen. IT und Recht schaffen beispielsweise die Voraussetzungen, um in der Kommunikation gegenüber Versicherern und weiteren Stakeholdern nachweisen zu können, dass alle erforderlichen und möglichen Vorkehrungen getroffen sind. Abhängig von der internen Expertise, kann auch ein Netzwerk aus externen Spezialisten helfen.
• •  Mensch im Mittelpunkt: 9 von 10 Cyber-Attacken werden durch menschliches Fehlverhalten ermöglicht. Deshalb muss ein besonderes Augenmerkt auf die Sensibilisierung der Belegschaft gelegt werden. Alle Mitarbeitenden im Unternehmen müssen sich der Risiken und Fehlerquellen sowie ihrer persönlichen Verantwortung bewusst sein. Dies erfordert regelmäßige Aufklärungsarbeit, die vertiefende Auseinandersetzung in Interaktionsformaten sowie Penetrationstests.
• •  Destigmatisierung und Fehlerkultur: Viele Unternehmen gehen zurückhaltend und verschlossen mit einem Cyber-Vorfall um, oft aus Sorge vor negativen Konsequenzen. Das gleiche gilt für Mitarbeitende, die befürchten einen Fehler zu begehen bzw. begangen zu haben. Diese Zurückhaltung kann fatal sein. Deswegen gilt es einen möglichst offenen und konstruktiven Umgang mit Cyber-Risiken zu etablieren. So werden mögliche Krisenherde früher erkannt und der drohende Schaden reduziert.
• •  Definierte Strukturen und Abläufe: Bei einem Cyberangriff zählt jede Sekunde. Mitarbeitende, Kunden, Kapitalmarkt, Behörden und weitere Stakeholder verlangen kurzfristig Informationen und Antworten auf zahlreiche Fragen. Dabei müssen Unternehmen mit einer unklaren und dynamischen Sachlage umgehen. Ohne einen Krisenstab mit klar definierter Rollenverteilung sowie festgelegten Informations-, Redaktions- und Freigabeprozessen ist dies nahezu unmöglich. Hierbei gilt es nicht nur, einen Krisenstab für den Ernstfall zu haben, sondern diesen auch richtig besetzen zu können. Mitglieder sollten entscheidungsbefugte Vertreter der betroffenen und an der Behebung beteiligten Abteilungen sein (u.a. IT, Kommunikation, HR, Recht & Management). Für die Leitung und Aufgabenverteilung im Krisenstab bietet sich je nach Unternehmensgröße der CISO an oder ein direkt an den Vorstand berichtender Krisen- oder Risikomanager. Die Aufgaben und Abläufe im Krisenstab sollten vorgefertigten Notfallplänen folgen. Darin sollten sich etwa Melde- und Informationsketten, Ansprechpartner, Hierarchien, Maßnahmen-Priorisierungen sowie Vorlagen für verschiedene Szenarien, Reaktionen und die Dokumentation des Vorfalls finden.
• •  Simulieren und Trainieren: Im Krisenstab und darüber hinaus sollte der Ernstfall simuliert und trainiert werden. Unternehmen können eine Cyberattacke inszenieren und die eigene Infrastruktur testen. Dies kann sowohl unangekündigt unter realen Bedingungen neben dem Tagesgeschäft erfolgen als auch angekündigt in einem geschützten Rahmen. Dies dient zum einen als Training, als auch zur Prüfung der Wirksamkeit der Krisenvorbereitung.
• •  Kontinuierlicher Prozess: Krisenprävention und -vorbereitung sind eine Daueraufgabe. Mit zunehmender Digitalisierung im Unternehmen ergeben sich neue Angriffsflächen. Gleichzeitig entwickeln sich die technologischen Möglichkeiten und Strategien der Angreifer weiter. Deswegen gilt es die eigene Krisenprävention und -vorbereitung laufend zu überprüfen und weiterzuentwickeln. Es gilt zudem, auch abgewehrte und erfolgreiche Cyberattacken zu analysieren, um daraus zu lernen.

In Nicht-Krisenzeiten vorbereiten

Wie auch Menschen, befassen sich Organisationen ungern mit unangenehmen und negativen Themen, wenn sie nicht akut sind. So besteht in Nicht-Krisenzeiten oft kein Handlungsdruck und es fehlt an Motivation, Priorität und Investitionsbereitschaft. Und gerade für Industrieunternehmen ist die Implementierung von Sicherheitsmaßnahmen oft mit Produktionsstopps verbunden. Wenn eine Krise aber akut wird und der Handlungsdruck steigt, steigt notgedrungen auch die Handlungsbereitschaft. Auch das zeigt der Fall Continental: Der Automobilzulieferer hat als Reaktion auf den Angriff die Datensicherheit intern zum Thema Nummer 1 gemacht. Mehr als 300 Mitarbeitende sind mit der Aufarbeitung des Falls vertraut. KPMG wurde als externe Beratung hinzugezogen und die eigene Organisationsstruktur wurde angepasst, um in Krisensituationen besser aufgestellt zu sein. Dies sind Maßnahmen, die insbesondere in der Kürze der Zeit und unter Hochdruck sehr viel Ressourcen und Energie beanspruchen. Die Erkenntnis, dass man die Maßnahmen besser im Vorfeld ergriffen hätte, um den Angriff abzuwehren oder abzumildern, mag nach ‘hinterher ist man immer schlauer’ klingen, greift aber angesichts der hohen Eintrittswahrscheinlichkeit und des Schadenspotenzials von Cyber-Attacken zu kurz. Denn die Frage ist nicht, ob ein Unternehmen davon betroffen ist, sondern wann. Krisenprävention und -vorbereitung sollten daher in jedem Unternehmen weit oben auf der Agenda stehen und laufend weiterentwickelt und verbessert werden.

Das könnte Sie auch interessieren

Technik

Datenschutz und Sicherheit: Wie umgehen mit Big Data und KI?

Wie können Big-Data- und KI-Anwendungen gewinnbringend genutzt werden, ohne Datenschutz und IT-Sicherheit zu verletzen? Mit dieser Frage beschäftigt sich eine juristische Studie des Nationalen Forschungszentrums für angewandte Cybersicherheit Athene.‣ weiterlesen

Technik

Eine Kollegin namens KI

Künstliche Intelligenz könnte in Zukunft dabei helfen, die Arbeit in Industriebetrieben sicherer, einfacher und produktiver zu machen. Das ist die Vision des europäischen Forschungsprojekts Perks, an dem auch die Wirtschaftsuniversität Wien (WU) beteiligt ist.‣ weiterlesen

Topstory

Die ‘Do-it-yourself’Automatisierung

Das kanadische Technologieunternehmen Vention hat ausgewertet, wie Hersteller den 'Do-it-yourself'-Ansatz (DIY) nutzen, um ihre Produktion zu automatisieren. Die Studie basiert auf anonymisierten Daten von weltweit mehr als 4.000 B2B-Nutzern der Manufacturing Automation Platform (MAP) von Vention.‣ weiterlesen

Technik

Deutschland ist beliebter Standort für Forschung und Entwicklung

Laut International-Innovation-Barometer des Beratungsunternehmens Ayming ist Deutschland ein beliebter Standort für Investitionen für Forschung und Entwicklung. Die Untersuchung zeigt zudem, dass Expertise wichtiger ist als Geld.‣ weiterlesen

Technik

Von virtuellen Steuerungen profitieren

Industriesteuerungen werden durch die Nutzung moderner Technologien zunehmend abstrahiert - und damit kompakter, flexibler und einfacher zu warten. Diese Entwicklung führt schließlich zur virtuellen SPS. Doch wie sieht dies in der Praxis aus, wie lässt sie sich verwenden und kann sie auch noch sicher sein?‣ weiterlesen

Technik

Mission KI soll Tempo bei ’AI Made in Germany’ machen

Im Rahmen der Initiative ’Mission KI’ der Bundesregierung entstehen zwei KI-Zentren, eines davon in enger Kooperation mit dem Deutschen Forschungszentrum für Künstliche Intelligenz (DFKI) in Kaiserslautern. Gründer, Startups und Unternehmen sollen dort Zugang zur Spitzenforschung erhalten und ihre Anwendungen in Testumgebungen verbessern können.‣ weiterlesen

Technik

Technologieprogramm Edge Datenwirtschaft

In sämtlichen Bereichen der Produktion fallen Daten an und auch KMU können daraus einen Nutzen ziehen. Beispiele aus Forschungsprojekten des Technologieprogramms Edge Datenwirtschaft zeigen, wie die Zukunft der sicheren und effizienten Datennutzung und -verarbeitung für Unternehmen aus der Produktion aussehen kann.‣ weiterlesen

Technik

IT-Sicherheit: Der Drucker als Gefahrenquelle?

In einer aktuellen Studie mahnt der Elektronikkonzern Sharp die Wichtigkeit von IT-Sicherheitsmaßnahmen für Multifunktionsdrucker (MFPs) an. Demnach war bereits jedes fünfte deutsche KMU von einer über MFPs ausgehenden IT-Sicherheitsverletzung betroffen. Dennoch hat mehr als ein Drittel keine druckerspezifischen Sicherheitsvorkehrungen getroffen.‣ weiterlesen

Technik

ESG-Transformation erfolgreich gestalten

Nachhaltigkeit ja, nur wie? Eine Lünendonk-Studie zeigt, dass viele Industrieunternehmen zwar eine Strategie haben, die Umsetzung dieser allerdings vielerorts noch stockt. Die Erwartungen an die Unternehmen werden jedoch nicht kleiner.‣ weiterlesen

Technik

Künstliche Intelligenz am Fließband

Die vierte industrielle Revolution macht aus Produktionsanlagen ein intelligentes Netz aus Maschinen und Prozessen – theoretisch. Auf dem Weg dorthin scheitern Unternehmen häufig, wenn künstliche Intelligenz und ML-Methoden im Spiel sind. Eine sorgsam geplanten Transformationsstrategie hilft das zu vermeiden.‣ weiterlesen

Technik

Industriebefragung: Belastungen durch Lieferkettenprobleme

Lieferkettenstörungen sind eine Belastung für Industrieunternehmen, die bis hin zum Produktionsstillstand führen können. Dies war im vergangenen Jahr an 32 Tagen der Fall. Um sich diesem Problem entgegenzustellen, will die Mehrheit der Unternehmen auf die Diversifizierung der Lieferketten setzen.‣ weiterlesen