Cyberattacken gelten als Bedrohung Nummer 1 für Unternehmen. Umso wichtiger ist es, auf mögliche Vorfälle vorbereitet zu sein. Dadurch kann im Ernstfall der Umgang mit der Krise leichter fallen. Welche Punkte es dabei zu beachten gilt, beleuchten Johannes Fischer und Joshija Kelzenberg von Crunchtime Communications.
Laut dem Allianz Risk Barometer 2023 sehen Unternehmen Cyber-Vorfälle das zweite Jahr in Folge als größtes Geschäftsrisiko. In der Tat vergeht kaum ein Tag, an dem nicht eine neue erfolgreiche Cyber-Attacke öffentlich wird. So soll im Sommer 2022 beim Autozulieferer Continental die Ransomware-Gruppe ‚Lockbit 3.0‘ 40 Terabyte an Daten erbeutet haben. Das ist nur eines von zahlreichen Beispielen. Rund jedes zweite Unternehmen war 2022 von einem Cyber-Angriff betroffen. Das BKA geht von einer noch höheren Dunkelziffer aus. Industrieunternehmen sind einem besonders großen Risiko ausgesetzt. Nicht nur, weil die weiter fortschreitende Digitalisierung von Lieferketten und Produktionsanlagen zusätzliche Angriffsflächen bietet und das finanzielle Schadensrisiko bei industriellen Produkten besonders groß ist. Auch die aktuellen geopolitischen Krisen, die ein starker Treiber von Cyber-Attacken sind, machen die Industrie besonders anfällig. Im Fokus der Angreifer stehen zunehmend kritische Infrastrukturen und öffentlichkeitswirksame Ziele – somit auch die Industrie. Die allermeisten Unternehmen sind sich des großen Risikos bewusst und die Investitionen in Cyber-Sicherheit nehmen Jahr für Jahr signifikant zu. Dennoch ist das Risiko bislang nicht ausreichend beherrschbar, wie das Beispiel Continental und die insgesamt hohen Fallzahlen zeigen. Und laut Cyber Readiness Report 2022 sahen weniger als zwei Prozent der Cyber-Sicherheitsverantwortlichen ihr Unternehmen ausreichend für einen möglichen Cyber-Angriff gewappnet. Krisenprävention und -vorbereitung ist bei Cyber-Krisen absolut erfolgskritisch und sollte auf der Prioritätenliste eines jeden Unternehmens ganz oben stehen.
Vorbereitet sein
Jenseits der technologischen Anforderungen und Möglichkeiten, erweisen sich aus kommunikativer und organisatorischer Perspektive die nachfolgenden sieben Faktoren als besonders relevant und wirksam. Einerseits um das Eintrittsrisiko und Schadenspotenzial zu minimieren. Andererseits um für den Ernstfall eine schnelle und zielgerichtete Reaktion sicherzustellen.
- Direkte Anbindung an die Geschäftsleitung: Die Verantwortung für Cyber-Krisenmanagement muss bei der Unternehmensleitung angesiedelt sein und benötigt dort unmittelbare Aufmerksamkeit. Zum einen, weil Cyber-Krisen ein signifikantes Risiko für Geschäft und Reputation darstellen und vergleichsweise schnell ein existenzgefährdendes Ausmaß annehmen können. Zum anderen, weil nur so die für die Sensibilisierung der gesamten Organisation erforderliche Ernsthaftigkeit und Verbindlichkeit gegeben ist. Die Implementierung eines Chief Information Security Officer (kurz CISO) kann das ermöglichen. Hierbei handelt es sich in der Regel um ein Mitglied des Vorstands, das die Gesamtverantwortung für die IT-Sicherheit im Unternehmen innehat. Dies bietet sich insbesondere in Großunternehmen an, um Vorstände zu entlasten und die Kompetenzen im Bereich IT-Sicherheit zu bündeln. Gerade Unternehmen, die Teil der kritischen Infrastruktur sind und regelmäßig behördlich nachweisen müssen, dass ihre Cyber-Sicherheit auf einem aktuellen Stand ist, sind gut beraten hierfür einen CISO zu implementieren.
- Interdisziplinärer Ansatz aus IT, Recht, HR und Kommunikation: Oft wird Cybersicherheit aus technologischer Sicht betrachtet und als funktionale Verantwortlichkeit der IT im Unternehmen verankert. Sowohl vor einer möglichen Krise als auch im Akutfall kommt jedoch auch den Bereichen Recht, Kommunikation und HR eine erfolgskritische Bedeutung zu. Nur durch einen ganzheitlichen Ansatz und das nahtlose Zusammenwirken aller Disziplinen kann eine bestmögliche Krisenprävention und -vorbereitung gelingen. IT und Recht schaffen beispielsweise die Voraussetzungen, um in der Kommunikation gegenüber Versicherern und weiteren Stakeholdern nachweisen zu können, dass alle erforderlichen und möglichen Vorkehrungen getroffen sind. Abhängig von der internen Expertise, kann auch ein Netzwerk aus externen Spezialisten helfen.
- Mensch im Mittelpunkt: 9 von 10 Cyber-Attacken werden durch menschliches Fehlverhalten ermöglicht. Deshalb muss ein besonderes Augenmerkt auf die Sensibilisierung der Belegschaft gelegt werden. Alle Mitarbeitenden im Unternehmen müssen sich der Risiken und Fehlerquellen sowie ihrer persönlichen Verantwortung bewusst sein. Dies erfordert regelmäßige Aufklärungsarbeit, die vertiefende Auseinandersetzung in Interaktionsformaten sowie Penetrationstests.
- Destigmatisierung und Fehlerkultur: Viele Unternehmen gehen zurückhaltend und verschlossen mit einem Cyber-Vorfall um, oft aus Sorge vor negativen Konsequenzen. Das gleiche gilt für Mitarbeitende, die befürchten einen Fehler zu begehen bzw. begangen zu haben. Diese Zurückhaltung kann fatal sein. Deswegen gilt es einen möglichst offenen und konstruktiven Umgang mit Cyber-Risiken zu etablieren. So werden mögliche Krisenherde früher erkannt und der drohende Schaden reduziert.
- Definierte Strukturen und Abläufe: Bei einem Cyberangriff zählt jede Sekunde. Mitarbeitende, Kunden, Kapitalmarkt, Behörden und weitere Stakeholder verlangen kurzfristig Informationen und Antworten auf zahlreiche Fragen. Dabei müssen Unternehmen mit einer unklaren und dynamischen Sachlage umgehen. Ohne einen Krisenstab mit klar definierter Rollenverteilung sowie festgelegten Informations-, Redaktions- und Freigabeprozessen ist dies nahezu unmöglich. Hierbei gilt es nicht nur, einen Krisenstab für den Ernstfall zu haben, sondern diesen auch richtig besetzen zu können. Mitglieder sollten entscheidungsbefugte Vertreter der betroffenen und an der Behebung beteiligten Abteilungen sein (u.a. IT, Kommunikation, HR, Recht & Management). Für die Leitung und Aufgabenverteilung im Krisenstab bietet sich je nach Unternehmensgröße der CISO an oder ein direkt an den Vorstand berichtender Krisen- oder Risikomanager. Die Aufgaben und Abläufe im Krisenstab sollten vorgefertigten Notfallplänen folgen. Darin sollten sich etwa Melde- und Informationsketten, Ansprechpartner, Hierarchien, Maßnahmen-Priorisierungen sowie Vorlagen für verschiedene Szenarien, Reaktionen und die Dokumentation des Vorfalls finden.
- Simulieren und Trainieren: Im Krisenstab und darüber hinaus sollte der Ernstfall simuliert und trainiert werden. Unternehmen können eine Cyberattacke inszenieren und die eigene Infrastruktur testen. Dies kann sowohl unangekündigt unter realen Bedingungen neben dem Tagesgeschäft erfolgen als auch angekündigt in einem geschützten Rahmen. Dies dient zum einen als Training, als auch zur Prüfung der Wirksamkeit der Krisenvorbereitung.
- Kontinuierlicher Prozess: Krisenprävention und -vorbereitung sind eine Daueraufgabe. Mit zunehmender Digitalisierung im Unternehmen ergeben sich neue Angriffsflächen. Gleichzeitig entwickeln sich die technologischen Möglichkeiten und Strategien der Angreifer weiter. Deswegen gilt es die eigene Krisenprävention und -vorbereitung laufend zu überprüfen und weiterzuentwickeln. Es gilt zudem, auch abgewehrte und erfolgreiche Cyberattacken zu analysieren, um daraus zu lernen.
In Nicht-Krisenzeiten vorbereiten
Wie auch Menschen, befassen sich Organisationen ungern mit unangenehmen und negativen Themen, wenn sie nicht akut sind. So besteht in Nicht-Krisenzeiten oft kein Handlungsdruck und es fehlt an Motivation, Priorität und Investitionsbereitschaft. Und gerade für Industrieunternehmen ist die Implementierung von Sicherheitsmaßnahmen oft mit Produktionsstopps verbunden. Wenn eine Krise aber akut wird und der Handlungsdruck steigt, steigt notgedrungen auch die Handlungsbereitschaft. Auch das zeigt der Fall Continental: Der Automobilzulieferer hat als Reaktion auf den Angriff die Datensicherheit intern zum Thema Nummer 1 gemacht. Mehr als 300 Mitarbeitende sind mit der Aufarbeitung des Falls vertraut. KPMG wurde als externe Beratung hinzugezogen und die eigene Organisationsstruktur wurde angepasst, um in Krisensituationen besser aufgestellt zu sein. Dies sind Maßnahmen, die insbesondere in der Kürze der Zeit und unter Hochdruck sehr viel Ressourcen und Energie beanspruchen. Die Erkenntnis, dass man die Maßnahmen besser im Vorfeld ergriffen hätte, um den Angriff abzuwehren oder abzumildern, mag nach ‚hinterher ist man immer schlauer‘ klingen, greift aber angesichts der hohen Eintrittswahrscheinlichkeit und des Schadenspotenzials von Cyber-Attacken zu kurz. Denn die Frage ist nicht, ob ein Unternehmen davon betroffen ist, sondern wann. Krisenprävention und -vorbereitung sollten daher in jedem Unternehmen weit oben auf der Agenda stehen und laufend weiterentwickelt und verbessert werden.
