Cyberresilienz beginnt nicht bei der Firewall, sondern bei TOGAF!

Die Handelszeitung beschrieb kürzlich unter dem Titel "Angriffe auf IT und OT, klare Gefährdung, unklare Reaktion", wie unzureichend viele Unternehmen auf Cyberangriffe vorbereitet sind. Genannt werden bekannte Massnahmen wie Firewalls, Netzwerksegmentierung, Asset Management, Monitoring und Sensibilisierung der Mitarbeitenden.

All das ist richtig und notwendig. Aber man zäumt das Pferd damit von hinten auf.

Denn Cyberresilienz ist eine Aufgabe des Risikomanagements und damit eine Führungsaufgabe des Unternehmens.

Sicherheit lässt sich nur schwer sinnvoll aufbauen, wenn unklar ist, welche Prozesse geschäftskritisch sind, wo welche Daten liegen und wie sensibel sie sind, wie Anwendungen miteinander verknüpft sind und welche Abhängigkeiten zur Infrastruktur bestehen.

Ohne dieses Gesamtbild baut man Security-Massnahmen oft dort auf, wo sie technisch naheliegend erscheinen (z. B. Firewalls, Endpoint-Schutz, Verschlüsselung einzelner Systeme), statt dort, wo das eigentliche Risiko sitzt. Das führt zu Lücken bei kritischen Assets und zu Doppelaufwand bei unwichtigen.

Die Wertschöpfung eines Unternehmens ist heute ein vernetztes Gesamtsystem.

Moderne Unternehmen bestehen längst nicht mehr aus klar getrennten IT- und OT-Welten. Geschäftsprozesse verlaufen über Produktionsanlagen, ERP-Systeme, Cloud-Plattformen, Lieferantenportale, Logistiklösungen und Anwendungen, welche durch Fachbereiche selbst beschafft wurden.

Die IT muss diese Systeme integrieren, verfügt jedoch häufig weder über das Mandat noch über die vollständige Übersicht, um eine unternehmensweite Architektur und einen verbindlichen Sicherheitsstandard durchzusetzen. Gleichzeitig wird von ihr erwartet, genau diese Verantwortung wahrzunehmen, obwohl ihr dafür oft die notwendigen Governance-Instrumente, Mittel und das organisatorische Gewicht fehlen.

Damit fehlt oft bereits die Grundlage, auf welcher technische Schutzmassnahmen wirksam zusammenspielen könnten. Eine Firewall schützt nur dort, wo die Systemgrenzen bekannt sind. Netzwerksegmentierung funktioniert nur, wenn Abhängigkeiten verstanden werden. Und Asset Management hilft nur begrenzt, wenn niemand mehr den vollständigen End-to-End-Prozess kennt.

Strukturelle Asymmetrie zwischen Angreifer und Verteidiger.

Während die IT-Security alle möglichen Angriffsflächen des Unternehmens dauerhaft schützen muss, bestimmt der Angreifer Zeit, Ort und Mittel. Für die IT-Security ist es damit faktisch unmöglich, einen gezielten Angriff auf ein Unternehmen zu verhindern. Die dafür notwendigen Einschränkungen auf die Geschäftsprozesse wären geschäftsverhindernd, von den Kosten ganz zu schweigen.

Hinter jedem Angriff steht eine Absicht.

Bei Cyberangriffen geht es in der Regel entweder um Macht in Form politischer, staatlicher oder strategischer Interessen oder um Geld. Angriffe im Kontext von Macht finden meist verdeckt und im Hintergrund statt. Ziel ist es, möglichst lange unentdeckt in einem System zu bleiben, dieses zu kompromittieren und dabei Informationen zu sammeln. Der Aufwand auf Seiten des Angreifers ist dabei hoch. Entsprechend muss auch der erwartete Nutzen hoch sein. Angriffsziele sind deshalb insbesondere staatliche Führungsorgane und kritische Infrastrukturen.

Angriffe im Kontext von Geld sind hingegen häufig früher erkennbar. Ziel des Angreifers ist es, mit möglichst wenig Aufwand einen möglichst hohen Ertrag zu erzielen. Gesammelte Daten und Informationen sind dabei lediglich Mittel zum Zweck. Als Angriffsziele kommen grundsätzlich alle Unternehmen und Organisationen infrage.

Nicht hinter jedem Cyberangriff steht ein staatlich unterstütztes Cyberkommando.

Ein Unternehmen muss deshalb berücksichtigen, dass der Schutz gegen machtgetriebene Angriffe sehr aufwändig und teuer ist und gleichzeitig wesentliche unternehmerische Freiheitsgrade einschränkt. Deshalb kann Cybersecurity nicht darin bestehen, jeden Angriff verhindern zu wollen. Das ist unter den heutigen Bedingungen auch unrealistisch.

Ein Unternehmen muss festlegen, gegen welche Bedrohungskategorie es sich schützen will.

Für viele Unternehmen steht dabei der wirtschaftlich motivierte Cyberangreifer im Vordergrund. Er interessiert sich nicht für ein bestimmtes Unternehmen. Ihm geht es um Geld, möglichst schnell und mit möglichst wenig Aufwand. Welches Unternehmen betroffen ist, ist für ihn im Grunde austauschbar. Entscheidend ist nur, wo sich mit vertretbarem Aufwand ein profitabler Angriff durchführen lässt.

Mit einem von der Unternehmensführung festgelegten und durchgesetzten risikobasierten Grundschutz schafft ein Unternehmen für geldorientierte Angreifer bereits eine hohe Hürde.

Zum Grundschutz gehören unter anderem klare Verantwortlichkeiten, Authentisierung, Patchmanagement, Netzwerksegmentierung, Backups, Monitoring, Wiederherstellungsfähigkeit, Schnittstellen zu Lösungen, welche ausserhalb des eigenen Perimeters betrieben werden und die Sensibilisierung der Mitarbeitenden. Der Grundschutz erhöht den Aufwand für den Angreifer und reduziert damit sowohl die Wahrscheinlichkeit eines Angriffs als auch dessen Erfolgsaussichten.

Auch ein guter Grundschutz kann einen Angriff jedoch nicht verhindern.

Deshalb brauchen Unternehmen eine zweite Fähigkeit: Einen Angriff möglichst früh zu erkennen und unmittelbar darauf reagieren zu können.

Wie bei einem Feuer oder einer verletzten Person muss auch bei einem Cyberereignis unmittelbar gehandelt werden können.

Für die IT ist ein Cyberereignis ein Notfall.

Wie bei der Feuerwehr oder der Sanität müssen auch in der IT die dafür notwendigen Massnahmen vorbereitet, getestet, freigegeben und geübt sein. Betroffene Systeme müssen isoliert, die Ausbreitung begrenzt, Beweise gesichert, kritische Funktionen geschützt und die Wiederherstellung eingeleitet werden können. Im Ereignisfall bleibt keine Zeit, um grundlegende Zuständigkeiten oder technische Sofortmassnahmen erst zu diskutieren.

Für das Unternehmen ist ein Cyberereignis eine existenzielle Bedrohung.

Fertigungsprozesse können ausfallen, Finanzströme unterbrochen werden, Löhne und Lieferanten nicht mehr bezahlt und Kunden nicht mehr beliefert werden.

Die normalen Führungsprozesse in einem Unternehmen genügen für diese Situation nicht mehr.

Um die Entscheidungs- und Handlungsfähigkeit aufrechtzuerhalten, benötigt ein Unternehmen eine Krisenorganisation und eine Krisenmanagementmethodik.

Die Krisenorganisation erfasst die Situation ganzheitlich, beurteilt und priorisiert diese aus einer unternehmerischen Sicht, erarbeitet Lösungen und lässt diese durch die zuständige Governance-Ebene freigeben.

Cyberresilienz entsteht somit nicht in der IT.

Sie entsteht durch das Zusammenspiel verschiedener organisatorischer und technischer Fähigkeiten im Unternehmen.

Risikomanagement erkennt und bewertet die relevanten Risiken und legt den notwendigen risikobasierten Grundschutz fest.

Der Grundschutz erhöht den Aufwand für den Angreifer und reduziert damit sowohl die Wahrscheinlichkeit eines Angriffs als auch dessen Erfolgsaussichten.

Notfallmanagement erkennt Ereignisse, löst vorbereitete Sofortmassnahmen aus und begrenzt deren unmittelbare Auswirkungen. Dazu gehört auch das Business Continuity Management der Fachbereiche.

Krisenmanagement hält das Unternehmen trotz der Auswirkungen des Angriffs handlungs- und entscheidungsfähig.

Die entscheidende Frage lautet deshalb nicht, welche zusätzliche technische Schutzmassnahme ein Unternehmen noch einführen sollte.

Entscheidend ist, ob ein Unternehmen seine Risiken versteht, einen verbindlichen Grundschutz durchsetzt, Ereignisse früh erkennt, unmittelbar reagiert und trotz eines erfolgreichen Angriffs handlungs- und entscheidungsfähig bleibt.

Solange die Security-Diskussion bei Firewalls, Segmentierung und einzelnen Security-Werkzeugen stattfindet, wird sie auf der falschen Ebene geführt.

Krisenmanagement heisst: Klarheit schaffen. Entscheiden können. Handlungsfähig bleiben.

Desisera befähigt Unternehmen, in Krisen und unter Druck besser zu entscheiden.

Kontakt

Dieser Beitrag wurde zuerst als LinkedIn-Artikel veröffentlicht. Der begleitende LinkedIn-Post mit der Diskussion ist hier abrufbar.