Neben profundem technischem Wissen rund um Cybersecurity ist für den Schutz eines Unternehmens auch eine Vorstellung darüber notwendig, wie die Angreifer organisiert sind und mit welchen Strategien sie arbeiten. Ein weiterer, für das Überleben vieler Unternehmen wichtiger Aspekt ist das 24-Stunden-Monitoring des gesamten IT-Netzwerks und aller angeschlossenen Komponenten, Server, Fahrzeuge, Maschinen mit einem Security Operations Center (SOC). Es ist nicht so, dass die Angreifer niemals schlafen. Allerdings haben sie einen zeitlichen Vorteil, da sie aus Regionen der Erde angreifen, in denen es Tag ist, während in Europa die Verantwortlichen noch – oder schon wieder – in den Betten liegen. Für Unternehmen, die sich selber schützen wollen, bedeutet dies ein Dreischichtensystem bei der Überwachung der Endpunkte und bei ihren Cyber-Patrouillen durch die Netzwerke. Für mittelständische Unternehmen ist all dies kaum zu realisieren. Sie sind offensichtlich auf Hilfe von Dienstleistern angewiesen.
Immer neue Bedrohungen
Eine sich ständig verändernde Bedrohungslage und immer neue Risiken erfordern eine genaue Analyse von IT-Systemen, von der hier eingesetzten Security-Software und auch dem Wissen der Mitarbeitenden. Doch Consultants berichten, dass noch immer viele Projekte rund um Cybersicherheit und Risikomanagement aus einem Bauchgefühl heraus begonnen werden. In vielen Geschäftsführungen und Vorständen sehen die Verantwortlichen vor allem die Kosten für die bereits angeschafften Sicherheitssysteme. Mit Blick auf die laufenden Kosten kommen Investitionen für viele nur sehr zögerlich infrage. Gleichzeitig gibt es aber Sorgen und Diskussionen, ob die Organisation mit den vorhandenen Systemen gut aufgestellt ist – etwa jedes Mal dann, wenn ein Mitbewerber oder Nachbar digital aufgebrochen, virtuell geschädigt oder ganz real zerstört wurde.
Neue Geschäftspartner verlangen häufig Sicherheitsaudits und System-Updates.
Lange Entscheidungswege, hohe Kosten
Die Überlegungen, Diskussionen, Abwägungen dauern mitunter sehr lang – auch deshalb, weil ein mangelhaftes Audit ein schlechtes Licht auf den zuständigen Personenkreis werfen könnte. Unabhängig davon wird das Management als Folge des Audits eventuell sehr viel Geld in die Hand nehmen müssen, um nach der Risikoanalyse die Systeme auf den geforderten Stand zu bringen. Aber genau diese Unsicherheit spielt den Angreifern in die Hände. Sie sind professionell und 365 Tage im Jahr damit beschäftigt, digitale Netze aufzubrechen, um auf virtuelle Raubzüge zu gehen. Sie haben Zeit. Sie verstecken ihre Schadsysteme in veralteten Komponenten. Von außen kommunizieren sie mit ihrer Software. Sie verstecken die eigenen Daten im Datenstrom des Unternehmens. Sie beobachten. Geduldig warten sie auf den Moment, in dem sie zuschlagen. Sie fallen nur dann auf, wenn spezialisierte digitale Agenten und KI-Systeme nach ihnen suchen. Wenn die Monitoringsysteme und die Security Operation Center die Anomalien in den Netzwerken aufdecken. Dies wird die alte, vor Jahren installierte Software nicht schaffen. Heute sind Spezialanbieter gefragt. Doch nach deren Analyse und Beratung kann eine komplette Neuaufstellung der Systeme notwendig werden.
Risikomanagement IT: Risiken quantifizieren
Hierfür muss das Management gemeinsam mit den Anbietern die tatsächlichen Kosten einer Cyberattacke auf die Organisation quantifizieren – und dies als Grundlage einer Kosten-Nutzen-Analyse und als Voraussetzung für die Festlegung eines sinnvollen und ausreichenden Budgets nutzen. Dabei dürfen auch die Kosten für die Incident Response – also für das Aufräumen, für die Schadensanalyse und für das Neuaufstellen der gehackten und vielleicht zerstörten Systeme – nicht vergessen werden. Bei einem zerstörerischen Angriff auf eine große Organisation muss das Management eventuell mit einem sechsstelligen Betrag rechnen.