„Bei uns ist bisher nichts passiert.“
Dieser Satz fällt häufig, wenn Unternehmen ihre Cybersecurity einschätzen. Er klingt zunächst beruhigend. Als Beurteilung der tatsächlichen Sicherheitslage reicht er allerdings nicht aus.
Denn ein erfolgreicher Cyberangriff beginnt nicht zwingend mit verschlüsselten Servern, einem sichtbaren Systemausfall oder einer Lösegeldforderung. Angreifer versuchen im Gegenteil häufig, möglichst lange unentdeckt zu bleiben. Ungeschlossene Schwachstellen, kompromittierte Zugangsdaten oder falsch konfigurierte Systeme können einen Zugang ermöglichen, ohne dass der Geschäftsbetrieb zunächst beeinträchtigt wird.
Eine von Statista im Auftrag von G DATA durchgeführte Befragung unter Arbeitnehmerinnen und Arbeitnehmern in Deutschland zeigt: Rund 31 Prozent hatten innerhalb eines Jahres einen oder mehrere IT-Sicherheitsvorfälle oder Angriffe im eigenen Unternehmen mitbekommen. Gleichzeitig weist das zugrunde liegende Whitepaper darauf hin, dass viele Vorfälle zunächst unentdeckt bleiben können.
Die entscheidende Frage lautet deshalb nicht:
„Ist bei uns schon etwas passiert?“
Sondern:
„Wissen wir, welche Cyberrisiken unser Unternehmen aktuell tatsächlich bedrohen?“
Sicherheitsprodukte beantworten diese Frage nicht
Die meisten Unternehmen haben bereits technische Schutzmaßnahmen implementiert. Virenschutz, Firewall, Multi-Faktor-Authentifizierung, Backups oder Passwortmanager gehören mittlerweile vielerorts zur Standardausstattung.
Das ist notwendig. Es sagt aber noch wenig darüber aus, ob Cyberrisiken als Ganzes beherrscht werden.
Auch die im Whitepaper ausgewertete Befragung zeigt diese Diskrepanz. 67,8 Prozent der befragten IT- und Security-Verantwortlichen nannten eine Virenschutzlösung als eingesetzte Maßnahme. Notfallpläne und Übungen lagen bei 55,6 Prozent, Security-Awareness-Trainings bei 55,3 Prozent und regelmäßige Penetrationstests bei 43,1 Prozent. Managed Security Services wurden von 42,6 Prozent genannt, eine Rahmenvereinbarung oder ein Austausch mit einem Incident-Response-Team von lediglich 22,8 Prozent.
Ein Unternehmen kann damit über zahlreiche einzelne Sicherheitsmaßnahmen verfügen und trotzdem wesentliche Fragen offenlassen.
Wer kennt beispielsweise die aktuell kritischsten Risiken? Welche Systeme sind für den Geschäftsbetrieb tatsächlich unverzichtbar? Welche Abhängigkeiten bestehen zwischen IT, Cloud-Diensten, externen Dienstleistern oder Produktionssystemen? Und wer entscheidet, welche Risiken akzeptiert werden können und welche behandelt werden müssen?
Das sind keine reinen Technikfragen.
Cybersecurity beginnt mit Transparenz
Eine sinnvolle Sicherheitsstrategie setzt voraus, dass ein Unternehmen seine eigene Ausgangslage kennt.
Dazu gehört zunächst ein möglichst vollständiges Bild der vorhandenen Systeme, Daten, Abhängigkeiten und Geschäftsprozesse. Im nächsten Schritt müssen relevante Bedrohungen und Schwachstellen bewertet werden. Erst daraus lässt sich ableiten, welche Maßnahmen tatsächlich Priorität haben.
Ohne diese Grundlage besteht die Gefahr, dass Unternehmen viel Geld in einzelne Lösungen investieren, ohne zu wissen, ob damit ihre wesentlichen Risiken behandelt werden.
Cybersecurity sollte deshalb nicht mit der Frage beginnen, welches zusätzliche Produkt angeschafft werden soll.
Sie beginnt mit der Frage:
Wo stehen wir heute?
Der Cybersecurity-Realitätscheck
Geschäftsführung und IT sollten zumindest folgende Fragen klar beantworten können:
- Welche Systeme und Daten sind für unseren Geschäftsbetrieb besonders kritisch?
- Welche wesentlichen Cyberrisiken bestehen derzeit für diese Systeme und Prozesse?
- Wer ist für die Bewertung und Behandlung dieser Risiken verantwortlich?
- Welche Schwachstellen oder Fehlkonfigurationen bestehen aktuell?
- Wie wird überprüft, ob definierte Sicherheitsmaßnahmen tatsächlich umgesetzt wurden und funktionieren?
- Wie schnell würden wir einen Sicherheitsvorfall erkennen?
- Wer entscheidet im Ernstfall über technische, organisatorische und geschäftliche Maßnahmen?
- Wann wurde unsere Sicherheitslage zuletzt strukturiert und unabhängig überprüft?
Nicht jede offene Frage bedeutet automatisch, dass ein Unternehmen unsicher ist.
Mehrere unklare Antworten sind allerdings ein Hinweis darauf, dass die tatsächliche Sicherheitslage möglicherweise nicht ausreichend transparent ist.
Ein Angriff wartet nicht auf den richtigen Zeitpunkt
Ein weiterer Punkt wird häufig unterschätzt: Cybersecurity muss auch dann funktionieren, wenn die zuständige Person gerade nicht verfügbar ist.
Die im Whitepaper dargestellte Befragung unter deutschen IT- und Security-Verantwortlichen zeigt deutliche Unterschiede bei der Reaktionsgeschwindigkeit. 28,2 Prozent gaben an, innerhalb von Minuten auf einen Sicherheitsvorfall reagieren zu können. 47,5 Prozent benötigen mehrere Stunden, 17,3 Prozent bis zu einem Tag. Weitere Unternehmen brauchen noch länger.
Damit entsteht eine sehr konkrete Managementfrage:
Was passiert in Ihrem Unternehmen, wenn ein sicherheitsrelevanter Vorfall um 02:17 Uhr beginnt?
Wer erkennt ihn? Wer bewertet ihn? Wer darf Systeme isolieren? Wer entscheidet über die Unterbrechung eines Geschäftsprozesses? Wer informiert Geschäftsführung, Kunden oder externe Stellen, falls dies erforderlich wird?
Ein Notfallplan, dessen Abläufe und Verantwortlichkeiten nicht geklärt sind, hilft im Ernstfall nur eingeschränkt.
Wenn im Tagesgeschäft die Zeit fehlt
Viele IT-Abteilungen stehen gleichzeitig vor einem strukturellen Problem: Sie sollen den laufenden Betrieb sicherstellen, Benutzer betreuen, neue Systeme einführen, Projekte umsetzen und zusätzlich eine immer komplexere Sicherheitslage beherrschen.
Das Whitepaper beschreibt konkrete Folgen eines solchen Ressourcenmangels. Befragte nennen unter anderem Versäumnisse bei Prozessen und Verfahren, eine unzureichende Auswertung sicherheitsrelevanter Informationen, fehlende Ressourcen für Mitarbeiterschulungen und verzögertes Patchen kritischer Systeme.
Damit entsteht ein Risiko, das nichts mit mangelnder Kompetenz der internen IT zu tun haben muss. Selbst ein gutes Team kann nur jene Aufgaben zuverlässig erledigen, für die ausreichend Zeit, Zuständigkeit und Fachressourcen vorhanden sind.
Genau deshalb sollte Cybersecurity organisatorisch betrachtet werden: Wer übernimmt welche Aufgabe? Welche Kompetenz muss intern vorhanden sein? Welche Leistungen können sinnvoll extern ergänzt werden?
Cybersecurity ist auch eine Managementaufgabe
Technische Fachleute können Schwachstellen bewerten, Systeme absichern und Sicherheitsmaßnahmen implementieren.
Die Entscheidung, welches Risiko für das Unternehmen akzeptabel ist, welche Geschäftsprozesse besonders geschützt werden müssen und welche Ressourcen dafür bereitgestellt werden, liegt jedoch auf Managementebene.
Das zugrunde liegende Whitepaper beschreibt Cybersecurity entsprechend als Aufgabe, die Kenntnisse über Risiken, Angriffsflächen, Abhängigkeiten und mögliche Auswirkungen eines erfolgreichen Angriffs voraussetzt.
Für die Geschäftsführung bedeutet das nicht, technische Detailentscheidungen selbst treffen zu müssen.
Sie benötigt vielmehr eine belastbare Grundlage, um die richtigen Entscheidungen treffen zu können.
Der erste Schritt ist Klarheit
Authenta unterstützt Unternehmen dabei, ihre aktuelle Sicherheitslage strukturiert zu erfassen, Risiken nachvollziehbar zu bewerten und daraus konkrete Prioritäten abzuleiten.
Dazu gehören je nach Ausgangslage unter anderem Risiko- und GAP-Analysen, CISO-as-a-Service, Unterstützung bei NISG2026 und ISO 27001 sowie technische Bewertungen im Bereich IT- und OT-Security.
Das Ziel ist nicht, möglichst viele Sicherheitsmaßnahmen einzuführen.
Das Ziel ist zu wissen, welche Risiken bestehen, welche davon relevant sind und was konkret dagegen zu tun ist.
Wissen Sie, wo Ihr Unternehmen heute steht?
Eine belastbare Sicherheitsstrategie beginnt mit Klarheit über die eigene Ausgangslage. Welche Systeme sind kritisch? Welche Risiken bestehen tatsächlich? Welche Maßnahmen haben Priorität? Und sind Verantwortlichkeiten und Reaktionswege im Ernstfall eindeutig geregelt?
Authenta unterstützt Unternehmen mit einem strukturierten GAP- und Risiko-Audit dabei, die bestehende Sicherheitslage zu bewerten, relevante Schwachstellen und organisatorische Lücken sichtbar zu machen und daraus einen priorisierten Maßnahmenplan abzuleiten. Der bestehende Authenta-Leistungskatalog beschreibt dafür bereits eine Standortbestimmung mit Risiko-Workshop und 90-Tage-Roadmap.
Sie möchten wissen, wo Ihr Unternehmen aktuell steht?
Vereinbaren Sie ein unverbindliches Erstgespräch mit Authenta.