Basissicherheit ist nicht mehr genug. Tendenzen in der Cybersicherheit

Cyber Security wird auch im kommenden Jahr ein dringendes Thema für grosse, mittlere und kleine Unternehmen sein. Auch wer schon gut vorbereitet ist, kann sich nicht auf seinen Lorbeeren ausruhen, denn die Landschaft hat sich geändert, und das verlangt entsprechende Reaktionen von Unternehmen. Folgende Tendenzen zeichnen sich ab:

Komplexität der Cyber-Verteidigung: Die Zeit, in der wir mit Malware Protection Center und Firewalls eine gute Cybersicherheit erreichen konnten, ist vorbei. Nur schon die Basissicherheit erfordert Schutz vor Datenverlust, Monitoring von allfälligen «Advanced Threats», die Vorbereitung von Reaktionen, einen geregelten sicheren Umgang mit Daten, die in die Hände von Dritten gegeben werden, sowie Sicherheits- und Aufmerksamkeitstraining für die eigenen Mitarbeitenden. Damit ist es jedoch nicht getan. Für eine erhöhte Sicherheit braucht es in Zukunft jede Menge zusätzlicher Massnahmen. In der Fachsprache heissen die dann Cyber Risk Management, Skillset und Ressource Management, Cyber Attack Prevention Patch Management, Advanced Malware Detection DDoS Mitigation, Security Analytics und External Threat Management. Für KMUs, die nicht im Informatikbereich arbeiten, sind nur schon die Begriffe Fremdwörter, auch im übertragenen Sinn. Kurz: Cyber Security ist zu komplex geworden, um den nötigen Schutz selbst zu installieren.

Outsourcing von Detect und Response: Das Outsourcing von Detect und Response ist sicherlich eine gute Idee für viele Betriebe. Jedoch sollte dies nicht überstürzt unmittelbar nach einem grösseren Vorfall erfolgen. Die Einführung muss, in Ruhe vorbereitet werden, die Prozesse getestet und geübt und mindestens einmal sollte eine Übung mit Management und PR stattfinden.

Geschäftsmodell «Cyber Crime» hat viel Spielraum für Forschung: Der Verband Bitcom schätzt den Verlust der gesamtdeutschen Industrie durch Cybervorfälle in Deutschland für die Periode 2020/2021 auf 225 Milliarden Euro. Wenn wir das auf die Schweiz skalieren und die grössere Wirtschaftsleistung mitberücksichtigen, bedeutet dies ca. 25 Milliarden CHF Verlust für die Schweiz. Das entspricht etwa dem fünffachen Militärbudget der Schweiz. Die Profiteure sind die Hacker – oft durchstrukturierte Unternehmen in der Grösse eines mittleren KMUs. Wenn wir annehmen, dass diese rund 20% der Einnahmen in weitere Angriffsforschung reinvestieren, so resultiert eine krasse Summe, die den Hackern einen enormen Vorsprung verschafft.

Neue Dimension Vorfälle und “Nicht-Versicherbarkeit”: Versicherer machen sich zurecht Gedanken über die Risikogrundlagen der Cybervorfälle. heise.de publizierte am 28.12.2022 dazu einen Bericht mit dem Titel «Versicherer zu Cyberangriffen: Schäden im Cyberspace nicht mehr versicherbar». Vorfälle wie die Colonial Pipeline oder russische Cyberangriffe in der Ukraine, die dann als Nebeneffekt auch Windmühlen im Norden Deutschlands lahmlegen, zeigen sehr gut, dass Cyberschäden nicht schlüssig kalkulierbar sind. Versicherer haben nun zwei Möglichkeiten: Entweder die maximal ausbezahlte Summe deckeln, sodass ein einzelnes Ereignis nicht zu teuer wird. Oder: Hände weg – es lässt sich kein Geld mit diesem Versicherungstyp verdienen …

Entflechtung der Lieferkette und des Hochtechnologie-Managements: Die aktuelle politische Lage führt zu blockweisen Alliierten, wie etwa die NATO-Staaten gemeinsam mit einigen westlichen Demokratien, China, Indien und einigen weiteren Parteien. Das Konzept «Global Village» neigt sich dem Ende zu und wird ersetzt durch eine Zusammenarbeit Gleichgesinnter. Während ein Laptop bisher sicherheitsbeeinflussende kritische Komponenten von 30 Staaten enthielt, wird es wohl in naher Zukunft einen NATO-Laptop geben, der möglichst keine direkten Zugriffsmöglichkeiten für Updates ausserhalb der NATO erlaubt. Der Umbau der Produktion und der Lieferketten hat längst begonnen.

Auch wir, im friedliebenden Europa, haben schmerzlich erfahren, dass Krieg auch im 21. Jahrhundert noch eine Option ist, und dass der Cyberkrieg dauernd und ohne Unterbruch andauert. Positionieren wir uns richtig, dann bleiben uns hoffentlich sehr schmerzhafte Erfahrungen erspart.