Handelsblatt

MenüZurück
Wird geladen.

11.11.2016

06:21 Uhr

Cyber-Attacken

Wie Unternehmen den Notfall bewältigen können

VonLars Weimer

Cyber-Angriffe haben oft verheerende Folgen und können schnell Schäden in Millionenhöhe anrichten. Zwar achten Firmen mittlerweile mehr auf ihre IT-Sicherheit. Dennoch mangelt es an guter Vorsorge gegen Hacker-Attacken.

Einer Studie des Beratungsunternehmens PWC zufolge hat es in den vergangenen Jahren bereits Tausende kleine und mittlere Firmen erwischt. Allein im Jahr 2014 wurde jedes zehnte mittelständische Unternehmen Opfer eines Cyberangriffs. Der Schaden war jeweils beträchtlich: Er lag im Schnitt bei 80.000 Euro. Getty Images

Irrglaube mit fatalen Folgen

Einer Studie des Beratungsunternehmens PWC zufolge hat es in den vergangenen Jahren bereits Tausende kleine und mittlere Firmen erwischt. Allein im Jahr 2014 wurde jedes zehnte mittelständische Unternehmen Opfer eines Cyberangriffs. Der Schaden war jeweils beträchtlich: Er lag im Schnitt bei 80.000 Euro.

DüsseldorfDie Folgen von Cyber-Angriffen können für Unternehmen verheerend sein: Erpressungen mittels einer kriminellen Verschlüsselung von Daten oder der Diebstahl von unternehmensinternen Informationen können einen Schaden in Millionenhöhe verursachen. Zwar achten Unternehmen mittlerweile mehr auf ihre IT-Sicherheit. Dennoch mangelt es immer noch an vorsorgenden Maßnahmen, um eine Cyber-Attacke effizient zu bewältigen, sagt Lars Weimer, Partner bei den Financial Services von EY in Deutschland. Für unser Special „Sicherheit im Netz“ hat der Experte diesen Gastbeitrag geschrieben, in dem er zeigt, mit welchen Tipps Unternehmen einen Cyber-Sicherheitsvorfall zügig bewältigen und wie sie sich optimal auf einen Angriff vorbereiten können.

Obwohl das Risiko eines erfolgreichen Cyber-Angriffs für Unternehmen hoch ist, mangelt es immer noch an vorsorgenden Maßnahmen zur Bewältigung von Cyber-Attacken. Dabei kann ein effizientes Notfallmanagement bei der Minimierung von größeren Schäden unterstützen.

Wie die EY-Studie „Datenklau: neue Herausforderungen für deutsche Unternehmen“ zeigt, kommen Sicherheitsmaßnahmen wie Firewalls oder Passwörter in mehr als 80 Prozent der 450 befragten Unternehmen zum Tragen. Ein systematisches Management für den Ernstfall ist in einigen Firmen hingegen noch nicht ausreichend vorhanden. Lediglich 51 Prozent der Unternehmen in Deutschland haben einer Umfrage des Bitkom zufolge einen Notfallplan, um innerhalb kurzer Zeit auf Cyber-Kriminalität reagieren zu können.

Zehn Tipps für mehr IT-Sicherheit

Geschäftsleitung involvieren

Oft beschneidet das Management aus Renditegründen das Budget. Daher: Informieren und sicherstellen, dass die Firmenlenker die Tragweite des Sicherheitsprojekts erkennen.

Bestandsanalyse durchführen

Geräte und Lösungen sowie ihre Eignung für die Abwehr von Cyberattacken katalogisieren - ebenso Rechteverwaltung, Sicherheitsbewusstsein sowie interne und externe Gefahren.

Einsatzteam aufbauen

Eine zentrale Abteilung stimmt alle sicherheitsrelevanten Punkte aufeinander ab. Silos sind wenig effizient und übersehen Sicherheitslücken. Ratsam: einen Chief Information Security Officers ernennen.

Sicherheitsstrategie entwickeln

Wie viel darf welche Sicherheitsmaßnahme kosten, welche Risiken werden in Kauf genommen? Anschließend Budget- und Personal-Szenarien entwerfen.

Budgets verhandeln

Je früher Führungskräfte in das IT-Sicherheitsprojekt eingebunden sind, desto besser können sie nötige Ausgaben nachvollziehen - und desto konstruktiver gestalten sich Verhandlungen.

Sicherheitsrichtlinien ausarbeiten

Und zwar unternehmensweit: Diese sollten auch alle notwendigen Compliance- und sonstigen gesetzgeberischen Aspekte berücksichtigen.

Systeme und Updates installieren

Nicht nur moderne Systeme und Lösungen, die es mit fortschrittlichen Attacken aufnehmen, sind essenziell - aktuelle Updates sind es ebenfalls.

Schulungen vorsehen

Auf Basis eines mittelfristigen Schulungsplans festlegen: Wer wird wie oft zu welchen Themen aus- beziehungsweise fortgebildet?

Der Geschäftsleitung berichten

Dann bleibt sie dem Sicherheitsprojekt gewogen. Eine grafische Aufbereitung der Sicherheitslogs sensibilisiert nachhaltig.

Kontrollschleife einbeziehen

Regelmäßig die Effizienz neuer Maßnahmen und Strukturen durchleuchten. Dabei neue Gefahren, Lösungen am Markt sowie Organisationsveränderungen berücksichtigen.

Quelle

Schluss mit dem Silodenken: Geht es nach den Experten von Dell, sollten Mittelständler ihre Sicherheitsstrategie im Rahmen eines abteilungsübergreifenden Projekts auf einheitliche Füße stellen - und zwar mit folgenden zehn Schritten (erschienen im Magazin creditreform 06/2016):

Doch vor allem in Branchen, in denen die Informationsverarbeitung eine große Rolle spielt wie etwa im Bankgeschäft, kann ein fehlendes oder mangelhaftes Notfallmanagement von Cyber-Attacken verheerende Folgen haben: Attacken auf Zahlungsnetzwerke oder der Zugriff auf interne Server können zu einem Schaden in Millionenhöhe führen. Daher ist bei Finanzdienstleistern ein angemessenes Notfallkonzept mittlerweile sogar schon durch regulatorische Anforderungen wie etwa durch die Mindestanforderungen für das Risikomanagement (MaRisk) oder den Mindestanforderung an die Sicherheit von Internetzahlungen (MaSi) gefordert. Und natürlich darüber hinaus über das aktuelle IT-Sicherheitsgesetz.

Partner für Cyber-Security bei den Financial Services von EY in Deutschland. (Quelle: EY)

Lars Weimer

Partner für Cyber-Security bei den Financial Services von EY in Deutschland.

(Quelle: EY)

Ein vorab festgelegtes Notfallkonzept für den Umgang mit dynamischen Cyber-Risiken hilft, die häufig schwerwiegenden Folgen zu vermindern. Dies schützt das Unternehmen nicht nur selbst, sondern auch seine Stakeholder und wirkt sich somit nachhaltig auf die Reputation und den wirtschaftlichen Erfolg aus. Insofern ist ein systematisches Notfallmanagement auch als Teil der strategischen Unternehmensplanung zu verstehen.

Um Sicherheitsbedrohungen im Ernstfall effektiv zu managen, sollten Unternehmen zunächst alle Informationen zu Geschäftsprozessen zusammentragen, die für die IT und Cyber-Sicherheit relevant sind. Auf dieser Basis gilt es, die Vorgehensweise im Fall erfolgreicher Cyber-Angriffe oder auch anderer Schadensereignisse wie einem Brand im Rechenzentrum oder einem Stromausfall vorab festzulegen. Hierzu sind die Reihenfolge der Maßnahmen und der Zuständigkeitsbereich von Ansprechpartnern genau zu definieren und verständlich zu dokumentieren.

Sobald ein Mitarbeiter einen potentiellen Cyber-Angriff erkennt, muss er ihn der zuständigen Kontaktstelle im Unternehmen melden und eine zentrale Analyse und Bewertung vorgenommen werden. In einigen Branchen sind sogar bestimmte Institutionen darüber zu benachrichtigen. So muss eine Bank beispielsweise auch die Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) über Cyber-Angriffe informieren.

Für bekannte und weiteverbreitete Cyber-Angriffe sind Sofortmaßnahmen und Ablaufpläne zu entwickeln und vorzuhalten. Hat ein Angreifer beispielsweise einen Verschlüsselungs- und Erpressungstrojaner in das Unternehmen eingeschleust oder das Unternehmen durch massive Verfügbarkeitseinschränkungen der externen IT-Infrastruktur gestört (sogenannte Denial-of-Service-Attacken), unterstützen diese Pläne bei der zeitnahen Behebung oder Eindämmung des Schadens, so dass dieser über den Zeitverlauf sich nicht vergrößert. Zeitgleich kann sichergestellt werden, dass wichtige Geschäftsprozesse nicht oder nur kurz unterbrochen werden.

Direkt vom Startbildschirm zu Handelsblatt.com

Auf tippen, dann auf „Zum Home-Bildschirm“ hinzufügen.

Auf tippen, dann „Zum Startbildschirm“ hinzufügen.

×