Drei Hürden schützen vor Cyberangriffen. Alle drei fallen gerade.
Drei Hürden entscheiden, ob aus einem Risiko eine reale Bedrohung wird: Ein Angriff setzt eine vorhandene Verletzlichkeit voraus, einen Angreifer, der sie erkennen und ausnutzen kann, und dessen Absicht, dies auch zu tun.
Nur eine davon kann ein Unternehmen beeinflussen und alle drei erodieren derzeit.
Warum alle drei gleichzeitig fallen
Verletzlichkeit: Unsere Welt ist heute global vernetzt. Damit wachsen auch die digitalen Angriffsflächen entlang der Geschäftsprozesse, weit über den Perimeter hinaus, den ein Unternehmen direkt kontrollieren kann. Lieferanten, Plattformen und Dienstleister sind nicht nur Partner in der Wertschöpfung, sondern gleich wie die eigene IT-Umgebung potenzielle Einfallstore für Cyberbedrohungen. Gleichzeitig hilft künstliche Intelligenz Angreifern, Schwachstellen in Systemen zu finden.
Fähigkeit: Komplexe Cyberangriffe erforderten lange tiefes technisches Wissen, Erfahrung und Zeit und waren damit bisher wenigen spezialisierten Gruppen vorbehalten. Künstliche Intelligenz verändert das grundlegend. Sie stellt Angreifern das Wissen bereit, um Angriffe vorzubereiten, formuliert täuschend echte Phishing-Nachrichten in jeder Sprache und erstellt Schadcode auf Anfrage. Teilweise übernimmt sie sogar die automatisierte Ausführung. Hinzu kommen kriminelle Marktplätze, auf denen fertige Angriffswerkzeuge als Dienstleistung gemietet werden können. Was früher Expertenwissen war, wird zur frei verfügbaren Ware.
Absicht: Sie scheint die letzte verbleibende Hürde zu sein. Doch auch sie ist in der heutigen, sich permanent wandelnden Welt kein stabiler Schutzfaktor mehr. Die Motive potenzieller Angreifer sind vielfältig: finanzieller Gewinn, politische Ziele, persönliche Konflikte oder staatlich unterstützte Sabotage. Schädigende Handlungen können geplant, aus einem Affekt heraus oder ohne direkten persönlichen Nutzen entstehen. Hinzu kommt, dass Angreifer heute selten mit Folgen rechnen müssen. Angriffe erfolgen grenzüberschreitend und verschleiert, die Strafverfolgung stösst rasch an ihre Grenzen, und manche Staaten schützen Angreifer sogar. Wo kaum Konsequenzen drohen, fällt auch der Entschluss zum Angriff leichter.
Eigene IT-Systeme zu schützen genügt nicht mehr
Herkömmliche Sicherheitsmassnahmen zielen darauf ab, die eigene IT-Umgebung abzuschotten, bekannte Angriffsmuster abzuwehren und Mitarbeitende zu sensibilisieren. Damit bauen sie, oft nur implizit, auf den drei Hürden auf: Sie gehen davon aus, dass Angriffsflächen bekannt, Angriffsfähigkeiten limitiert und Absichten selten sind.
Diese Annahmen tragen heute nicht mehr. Zudem liegen wesentliche Teile der Geschäftsprozesse längst ausserhalb des eigenen Perimeters. Mehr vom Gleichen schafft deshalb weder ausreichende Sicherheit noch genügend Resilienz in Unternehmen. Gefragt ist jedoch nicht ein weiteres Werkzeug, sondern ein Perspektivenwechsel: weg von losgelösten Einzelmassnahmen aus IT-Sicht, hin zu einer ganzheitlichen Sicht, welche die Geschäftsprozesse des Unternehmens betrachtet.
Was bedeutet das konkret?
Governance
Sicherheit muss Teil der Enterprise-Architektur sein: Diese bringt die Unternehmensstrategie, Geschäftsprozesse, IT, Daten und eine unternehmerische Risikobetrachtung zusammen, macht kritische Abhängigkeiten sichtbar und überwindet Silodenken zwischen Business, IT und Security.
Die IT darf nicht am funktionierenden Arbeitsplatz gemessen werden, sondern daran, ob sie die Geschäftsanforderungen aus der Enterprise-Architektur in der IT abbilden und sicher aufrechterhalten kann.
IT und OT sind zusammengewachsen. Deshalb müssen IT/OT-Strategie, Architektur, Datenmanagement und Sicherheit aufeinander abgestimmt sein.
Risikomanagement
Risiken szenariobasiert identifizieren, zuordnen und mit Massnahmen reduzieren.
Systeme und Daten nach ihrem individuellen Schutzbedarf zonieren und deren Zugriffe auf das Notwendige beschränken.
Voneinander unabhängig gesicherte und regelmässig getestete Backups.
Handlungs- und Entscheidungsfähigkeit im Ereignisfall
Aufbau von IT-Notfallmanagement-Fähigkeiten mit vorab von der Geschäftsleitung freigegebenen und getesteten Erstmassnahmen, die bei einem Ereignis ohne zusätzliche Freigabeschleifen unmittelbar eingeleitet werden können.
Ein von den Geschäftsprozessverantwortlichen sichergestelltes Business Continuity Management, welches transparent macht, welche Leistungen in jedem Fall weiterlaufen müssen, welche Rückfalloptionen bestehen und in welcher Reihenfolge Systeme wiederhergestellt werden.
Aufbau und regelmässiges Training der Krisenbewältigungskompetenz, um auch unter Druck und bei unklarer Informationslage handlungs- und entscheidungsfähig zu bleiben.
Keine dieser Massnahmen ist neu. Neu ist höchstens, dass sich Unternehmen nicht mehr leisten können, sie zu ignorieren.
Und trotzdem bleiben sie vielerorts liegen ...
Weil es Grundlagen sind und als solche niemandem gehören. Die IT wird am funktionierenden Arbeitsplatz gemessen. Für die Fachbereiche ist Sicherheit Sache der IT. Für die Geschäftsleitung ist sie ein technisches Thema. Die Massnahmen liegen zwischen den Zuständigkeiten, genau dort, wo Angreifer ansetzen. Viele Unternehmen treiben den digitalen Wandel voran, ohne die Grundlagen dafür gelegt zu haben. Sie nutzen neue Chancen und blenden gleichzeitig die damit einhergehenden Risiken aus.
Cyberresilienz ist deshalb keine IT-Aufgabe. Sie ist eine Führungsaufgabe. Und eine zwingende Voraussetzung für den digitalen Wandel.
Wie sich Governance, Risikomanagement und Handlungsfähigkeit im Ereignisfall verankern lassen, zeigen «Risiken managen» und «Krisen bewältigen».
Krisenmanagement heisst: Klarheit schaffen. Entscheiden können. Handlungsfähig bleiben.
DESISERA befähigt Unternehmen, in Krisen und unter Druck besser zu entscheiden.
Dieser Beitrag wurde zuerst als LinkedIn-Artikel veröffentlicht. Der Artikel mit der Diskussion ist hier abrufbar.