Unternehmen bemühen sich darum, die neuesten digitalen Tools einzuführen, um wettbewerbsfähig zu bleiben. Das ist die offensichtliche Seite der Medaille. Die andere Seite ist dunkler. Ihre Infrastruktur steht unter Belagerung. Nicht von ungeschickten Amateuren, sondern von professionellen, raffinierten Bedrohungsakteuren, die Ihre Daten als hochwertiges Ziel betrachten.
Dabei handelt es sich nicht nur um ein IT-Problem. Es handelt sich um eine Überlebensfrage für Unternehmen.
Wenn Sie sich mit der Frage befassen, wie Sie die Cybersicherheit Ihres Unternehmens stärken können, sind Sie hier genau richtig. Die Technologie, die Sie kaufen, um das Wachstum voranzutreiben, ist dieselbe Technologie, mit der Angreifer einbrechen. Dadurch entsteht ein Paradoxon. Ohne den Sicherheitsmarathon kann man das digitale Rennen nicht gewinnen.
Зміст
Die Kosten der digitalen Belichtung
Lassen Sie uns klarstellen, was passiert. Unternehmen setzen Cloud-Dienste, Fernzugriffstools und KI-gesteuerte Analysen ein, um schneller voranzukommen. Sie wollen Agilität. Sie wollen Skalierbarkeit. Aber jede neue digitale Tür, die Sie öffnen, ist ein potenzielles Fenster für einen Eindringling.
Die Angriffe haben sich weiterentwickelt. Dabei geht es nicht mehr nur darum, Kreditkartennummern zu stehlen. Es geht um lähmende Operationen. Dabei geht es darum, Ransomware als Geisel Ihrer Kerndatenbank zu halten. Dabei geht es um Spionage, die geistiges Eigentum stiehlt, bevor Sie überhaupt ein Produkt versenden.
Cybersicherheit ist keine „nice-to-have“-Abteilung mehr. Es ist die Grundlage für digitales Vertrauen. Wenn Ihre Kunden Ihnen ihre Daten nicht anvertrauen, ist Ihre Marke wertlos. Wenn Ihre Server ausfallen, wird Ihr Umsatz eingestellt.
Warum traditionelle Verteidigungsmaßnahmen versagen
Die Sicherheit der alten Schule beruhte auf Perimetern. Sie haben eine Mauer um Ihr Büronetzwerk errichtet. Du hast die Bösen draußen gehalten. Diese Mauer ist weg.
Durch Fernarbeit, Cloud Computing und IoT-Geräte hat sich der Perimeter aufgelöst. Ihre Mitarbeiter melden sich von Cafés in Berlin, Heimbüros in Ohio und Laptops in Tokio aus an. Ihre Daten liegen auf Servern auf mehreren Kontinenten. Die Angriffsfläche ist riesig.
Also, was funktioniert jetzt?
„Cybersicherheit ist der zentrale Faktor zum Schutz digitaler Infrastruktur und Daten.“
Es beginnt mit einem Wandel in der Denkweise. Sie müssen davon ausgehen, dass der Verstoß bereits stattgefunden hat. Oder passiert. Sie müssen es schnell erkennen. Beherrschen Sie es schneller. Erholen Sie sich, bevor der Schaden tödlich wird.
Das menschliche Element in der Kette
Technologie ist nur die halbe Miete. Die andere Hälfte sind Menschen.
Mitarbeiter sind oft das schwächste Glied. Ein einziger Klick auf eine Phishing-E-Mail kann millionenschwere Firewalls umgehen. Schulung ist wichtig, reicht aber nicht aus. Sie benötigen Systeme, die das Verhalten überwachen, Anomalien kennzeichnen und Reaktionen automatisieren.
Beispielsweise ist die Multi-Faktor-Authentifizierung (MFA) nicht mehr optional. Es blockiert die überwiegende Mehrheit der automatisierten Angriffe. Aber es muss richtig umgesetzt werden. Wenn es zu umständlich ist, finden Benutzer Workarounds. Wenn es zu einfach ist, es zu umgehen, können Angreifer durchschlüpfen.
Aufbau einer widerstandsfähigen Strategie
Welchen Ansatz sollten Sie also wählen?
- Zero Trust Architecture : Niemals vertrauen, immer überprüfen. Jede Zugriffsanfrage wird so behandelt, als käme sie von einem nicht vertrauenswürdigen Netzwerk.
- Kontinuierliche Überwachung : Verwenden Sie KI, um Verkehrsmuster zu analysieren. Erkennen Sie Abweichungen, bevor sie zu einer Katastrophe werden.
- Regelmäßige Audits : Testen Sie Ihre Abwehrmaßnahmen. Hacken Sie sie selbst, bevor sie es tun.
Dies ist kein einmaliges Projekt. Es ist ein kontinuierlicher Prozess. Bedrohungen ändern sich. Technologieveränderungen. Ihre Strategie muss
Die Realität der Cyber-Bedrohungen in der deutschen Industrie
Die Landschaft wird nicht sicherer. Es wird schneller. Unternehmen sind nicht mehr nur Kollateralschäden; Sie sind die Hauptziele. Die Ziele variieren – Datendiebstahl, Industriespionage, Sabotage oder schlichte Erpressung –, aber der Preis liegt immer in Milliardenhöhe. Und wenn das Geld verschwindet, ist es meist die IT-Abteilung, die die Verantwortung trägt.
Wer trifft es am härtesten?
Es ist kein einheitliches Spielfeld. Der deutsche Wirtschaftsverband Bitkom weist auf starke Unterschiede hin, je nachdem, wo sich Ihre Fabrikhalle befindet. Seit Jahren sind die Branchen Chemie und Pharma das große Spiel. Rund 74 Prozent der Unternehmen dieser Branchen waren mit bestätigten Angriffen konfrontiert. Sie stehen nicht allein im Fadenkreuz. Die Automobilhersteller liegen bei 68 Prozent. Im Maschinen- und Anlagenbau sind es sogar 67 Prozent. Hersteller von Kommunikations- und Elektrogeräten? 63 Prozent.
Aber hier ist die Nuance, die den meisten Pressemitteilungen entgeht. Dies sind bestätigte Angriffe. In allen untersuchten Branchen gibt es zusätzlich 18 bis 22 Prozent Fälle, bei denen es sich lediglich um Verdachtsfälle handelt. Die Grenze zwischen „vielleicht“ und „auf jeden Fall“ ist fließend.
Das Digitalisierungsparadoxon
Man könnte annehmen, dass die Umstellung auf die vollständige Digitalisierung Sie zu einem größeren Ziel macht. Die Bitkom-Studie legt nahe, dass häufig das Gegenteil der Fall ist. Unternehmen mit geringem Digitalisierungsgrad waren häufiger betroffen (71 Prozent) als ihre stark digitalisierten Pendants (64 Prozent).
Warum? Denn die Bedrohung ist sichtbar. Wenn die Digitalisierung zu einem zentralen Bestandteil der Unternehmensstrategie wird, wird Sicherheit von einem Nebengedanken zu einer Priorität in der Vorstandsetage. Hochdigitalisierte Unternehmen sind gezwungen, Lücken früher zu schließen. Sie sehen das Problem und beheben es. Low-Digital-Firmen? Oft merken sie erst, dass der Schaden angerichtet ist.
Die BSI-Warnung: Machen Sie es sich nicht bequem
Hier gibt es keine guten Nachrichten. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hält die Bedrohungsstufe auf „angespannt“. Dies ist nicht nur ein lokales deutsches Problem; es ist global. Die Dynamik ist das Problem. Angreifer sitzen nicht still. Sie verfeinern ihre Methoden und passen sich schneller an, als die meisten IT-Zyklen eines Unternehmens nachvollziehen können.
Dadurch entsteht ein grundlegendes Missverhältnis. Unternehmen müssen adäquate Antworten auf ein sich bewegendes Ziel entwickeln. Die Werkzeuge wechseln wöchentlich. Die Taktiken entwickeln sich täglich weiter.
Die Qualität der Bedrohung
Die Lautstärke des Rauschens nimmt ab, aber das Signal wird tödlicher. Die schiere Anzahl von Spam-E-Mails nimmt ab. Vielleicht gut für Ihren Posteingang. Aber es lenkt vom eigentlichen Risiko ab.
Geschäftskommunikationskanäle sind nach wie vor äußerst anfällig. Produktivitätszonen werden freigelegt. Warum? Aufgrund des Internets der Dinge (IoT). Wir haben Drucker mit Servern, HVAC-Systeme mit Büronetzwerken und Fließbandroboter mit der Cloud verbunden. Diese tiefe Konnektivität schafft eine weitläufige Angriffsfläche.
Bei den Angriffen handelt es sich nicht mehr nur um Spam. Sie sind präzise. Sie nutzen genau die Verbindungen, die die moderne Industrie effizient machen. Die Gefahr ist nicht verschwunden. Es ist einfach ausgefeilter geworden und mit herkömmlichen Filtern deutlich schwieriger zu erkennen.
„Die Zahl der Spam-E-Mails nimmt ab, das Risiko für Bürokommunikation und Produktivitätsbereiche bleibt jedoch aufgrund der umfassenden IoT-Vernetzung hoch.“
Was also tun, wenn die Angreifer von Tag zu Tag schlauer werden? Sie können sie nicht übertreffen. Sie können nicht jeden neuen Exploit auskodieren. Sie können nur hoffen, dass Ihre internen Abwehrkräfte genauso schnell agieren wie die Bedrohungen. Denn im Moment kippt das Gleichgewicht zugunsten der Eindringlinge.
Die Bedrohungslandschaft hat sich verändert. Ransomware ist nicht mehr nur ein geschäftliches Problem. Es handelt sich um eine gezielte Waffe, die gegen jeden eingesetzt wird, von öffentlichen Stellen bis hin zu Privatpersonen. Die Folgen sind schwerwiegend. Komplette Geräteausfälle. Netzwerk bricht zusammen. Ganze Produktionslinien werden stillgelegt.
Auch Botnetze entwickeln sich weiter. Sie dringen zunehmend in mobile Geräte und IoT-Systeme ein. Das BSI (Bundesamt für Sicherheit in der Informationstechnik) bezeichnet cloudbasierte Infrastrukturen als eine stark wachsende Angriffsfläche. Phishing bleibt der Hauptvektor. Eine PwC-Umfrage bestätigt dies und zeigt, dass Phishing etwa 75 % der Angriffe auf Unternehmen ausmacht, oft gebündelt mit anderer Malware.
Aber es gibt eine einfachere Ursache. Individuelles Nutzerverhalten. Dies schafft einfache Einstiegspunkte für Kriminelle.
Interne Sicherheitsmängel und Lizenzrisiken
Einige Unternehmen versuchen, dies mit externen Diensten zu beheben. Diese Firmen führen gezielte Phishing-Kampagnen gegen Mitarbeiter durch. Das Ziel? Um zu testen, ob das Personal die Sicherheitsprotokolle befolgt. Es ist auch eine Übung zum Sensibilisierungstraining.
Es ist nicht ohne Risiko. Diese Taktiken können das Vertrauen zwischen Management und Mitarbeitern schädigen. Schlimmer noch, sie könnten völlig scheitern. Es kommt zu keiner Änderung des Sicherheitsverhaltens.
Experten des Karlsruher Instituts für Technologie (KIT) schlagen einen anderen Weg vor. Investieren Sie in Bildung. Investieren Sie in technische Upgrades.
Warum? Denn schlechte Softwarelizenzen schaffen Lücken. Nicht lizenzierte oder nicht ordnungsgemäß lizenzierte Software führt zu keinem Support. Eingeschränkte Funktionalität. Mögliche Bußgelder. Und unnötige Systemschwachstellen. Dies gilt insbesondere für OEM-Lizenzen. Hierbei handelt es sich um Programme, die zum Zeitpunkt der Herstellung auf Geräten vorinstalliert sind. Durch fehlende oder gefälschte OEM-Lizenzen sind Systeme ungeschützt. Den Tech-Stack zu reparieren ist sicherer, als die menschliche Psychologie mit gefälschten Angriffen zu testen.
Der versteckte Preis inoffizieller Software
Offizielle Partnerschaften mit großen Anbietern wie Microsoft bedeuten mehr, als nur eine Lizenz auf eine Box zu stempeln. Sie sind der wichtigste Schutz vor teuren Sicherheitslücken. Für Unternehmen, die Microsoft-Programme betreiben, bieten Partner wie Thomas Krenn etwas ganz anderes: Individualisierung. Als zertifizierter Kooperationspartner passen wir die Software optimal an spezifische Serverstrukturen an und sind dabei maximal kompatibel. Sie kaufen nicht nur ein Produkt. Sie schaffen eine Grundlage für Effizienz und Sicherheit, die später katastrophale Schäden verhindert. Ohne diese offizielle Unterstützung lassen Sie die Hintertür offen.
Warum Cyber-Angriffe Geld bluten lassen
Der durch einen Verstoß verursachte Schaden ist nicht nur ein IT-Ticket. Es kaskadiert. Der Betrieb wird eingestellt. Der Ruf leidet. Geistiges Eigentum geht aus der Tür. Zukünftige Transaktionen verlieren an Wert. Die Aufsichtsbehörden schlagen Geldstrafen auf den Tisch. Es handelt sich lediglich um die sichtbaren Risse in der Fassade. Der eigentliche Schmerz ist oft struktureller Natur. Es beeinflusst, wie leicht Sie Partnern in Zukunft vertrauen können. Es macht den Abschluss einer Cyber-Versicherung nahezu unmöglich, wenn Ihre Sicherheitslage bereits öffentlich bekannt ist.
Der finanzielle Schaden für deutsche Industrieunternehmen zwischen 2016 und 2018 war atemberaubend. Bitkom bezifferte die Zahl auf rund 43,4 Milliarden Euro. Das ist kein Tippfehler. Es sind die Kosten für Geschäfte ohne angemessene digitale Hygiene.
Den Gesetzentwurf aufschlüsseln
Reputationsschäden sind der teuerste Posten. Medienberichte und erschüttertes Kundenvertrauen kosteten Unternehmen in diesem Dreijahreszeitraum 8,8 Milliarden Euro. Es schadet den Beziehungen zu Lieferanten genauso wie zu Kunden.
Knapp dahinter folgten Patentverletzungen mit 8,5 Milliarden Euro. Dabei handelt es sich nicht nur um Gesetzesentwürfe. Sie stellen verlorene Wettbewerbsvorteile dar.
Systemausfälle, Diebstahl und Sabotage von Informations- und Produktionssystemen verursachten Schäden in Höhe von 6,7 Milliarden Euro. Wenn Ihre Produktionslinien stillstehen, verlieren Sie nicht nur Zeit. Sie verlieren an Schwung.
Durch Untersuchungen und Sanierungsmaßnahmen kamen weitere 5,7 Milliarden Euro hinzu. Sie bezahlen Berater dafür, herauszufinden, was schief gelaufen ist, und Ingenieure, die das Problem beheben. In der Zwischenzeit sinken die Umsätze, weil Sie gegenüber der Konkurrenz einen Vorsprung verloren haben (4 Milliarden Euro) oder weil gefälschte Versionen Ihres Produkts den Markt überschwemmt haben (3,7 Milliarden Euro). Rechtsstreitigkeiten zu diesen Themen kosten weitere 3,7 Milliarden.
„Ransomware und manuelles Hacken verursachen im Vergleich zu anderen Angriffsvektoren den größten finanziellen Schaden.“
Die Analyse von PwC in derselben Studie hat es noch weiter aufgeschlüsselt. Sie untersuchten, wie sich verschiedene Angriffsarten auf das Endergebnis auswirken. Die Schlussfolgerung war krass. Ransomware und manuelles Hacken verursachen die höchsten Kosten. Sie sind gezielt. Sie sind teuer. Sie sind mit der richtigen Lizenzierung und Partnerunterstützung vermeidbar.
Die Realität digitaler Spionage
Diese Studien machen eines deutlich. Unternehmen müssen sich auf vielfältige Methoden und weitreichende Konsequenzen einstellen. Die Bedrohungslandschaft ist nicht statisch. Es entwickelt sich. Ein einheitlicher Sicherheitspatch reicht nicht aus. Sie benötigen Lösungen, die sich in Ihre bestehende Infrastruktur integrieren lassen, ohne diese zu beschädigen. Offizielle Partnerschaften bilden diese Brücke. Sie stellen sicher, dass Ihre Software nicht einfach nur installiert wird. Es ist optimiert.
Die Kosten der Untätigkeit sind nicht länger hypothetisch. Es wird in Milliarden gemessen. Und für viele Unternehmen tickt die Uhr bereits.
Unternehmen wissen, dass die Cyberkriminalität immer schlimmer wird. Die Kosten sind hoch. Die Risiken sind real. Sicherheit steht also ganz oben auf der Tagesordnung. Der Schutz von Infrastruktur und Daten ist nicht verhandelbar. Doch wenn es darum geht, die Gefahr tatsächlich einzuschätzen, sind die meisten Unternehmen gefährlich optimistisch.
Die Illusion von Sicherheit in der Risikowahrnehmung
Es besteht eine Kluft zwischen Bewusstsein und tatsächlicher Risikobewertung. Deutsche CEOs und Mitarbeiter sind sich einig: Sie wissen, dass Risiken bestehen. Aber fragen Sie sie, wie wahrscheinlich ein Angriff ist? Plötzlich fühlen sie sich sicher.
Schauen Sie sich die Zahlen einer PwC-Umfrage an. Nur 31,5 % der Unternehmen rechnen mit ungezielten Angriffen, die Schaden anrichten. Die Mehrheit hält es für unwahrscheinlich. 49,9 % schätzen das Risiko als gering ein. Weitere 19,1 % sagen, es sei sehr niedrig.
Bei gezielten Angriffen wird es noch schlimmer. 93 % der Unternehmen sehen in den nächsten 12 Monaten eine geringe oder sehr geringe Bedrohung.
Das ist Wahnvorstellung. Die Daten zeigen etwas anderes. Trotz branchenspezifischer Unterschiede ist die Bedrohungslandschaft schwerwiegend. Den meisten Firmen fehlt ein echter Reifenachweis im Bereich Verteidigung.
Übermäßiges Vertrauen in die Fähigkeiten zur Reaktion auf Vorfälle
Nur ein kleiner Bruchteil der Unternehmen glaubt, wirklich bereit zu sein. Befragt man die eigenen Erkennungs-, Präventions- und Reaktionsfähigkeiten als „sehr gut“, liegt der Durchschnitt bei lediglich 13 %.
Sie halten sich für Experten. Das sind sie nicht.
In der Kluft zwischen Selbstwahrnehmung und Realität liegt die Verletzlichkeit. Firmen verlassen sich auf alte Standards. Firewalls. Antivirus. Geschlossene Netzwerke. Diese helfen bei der Prävention. Aber sie scheitern bei der Entdeckung.
Die Erkennung ist das schwache Glied
Experten sehen, was Unternehmen ignorieren. Prävention ist Standard. Die Erkennung ist nicht möglich.
Es ist entscheidend, einen Angriff zu erkennen. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) zeigt, dass Angriffe von überall kommen. Die Lautstärke nimmt nicht ab. Es steigt.
Vernetzte Umgebungen erweitern die Angriffsfläche. Cloud-Dienste fügen weitere Einstiegspunkte hinzu. Je mehr Sie verbinden, desto schwieriger ist es zu sehen, was passiert.
„Die Wahrscheinlichkeit eines erfolgreichen Angriffs steigt, da die Angriffsfläche mit jeder neuen Verbindung größer wird.“
Warum übersehen Unternehmen das? Weil sie sich darauf konzentrieren, bekannte Bedrohungen zu blockieren. Sie vergessen, dass Angreifer ihre Taktik ändern. Sie nutzen die Lücken zwischen den Tools aus.
Ein Unternehmen verfügt möglicherweise über eine Firewall. Es könnte Port-Scans blockieren. Aber erkennt es seitliche Bewegungen innerhalb des Netzwerks? Erkennt es Datenexfiltration im verschlüsselten Datenverkehr?
Die meisten nicht. Sie gehen davon aus, dass ihr Umkreis sicher ist. Das ist es nicht. Der Umfang ist verschwunden. Die Wolke ist der neue Perimeter. Und die meisten Firmen blicken immer noch zum Tor, nicht zum Himmel.
Dadurch entsteht ein falsches Sicherheitsgefühl. Eine gefährliche Sache.
Im nächsten Teil der Geschichte geht es nicht um bessere Software. Es geht darum, wer am Schreibtisch sitzt.
Früherkennung löst nicht nur Warnungen aus. Es begrenzt den Schaden direkt. Fangen Sie eine Bedrohung ab, bevor sie sich ausbreitet, und die Auswirkungen werden geringer. Aber es gibt eine weichere Kennzahl im Spiel. Kundenvertrauen. Vertrauen der Geschäftspartner. Es handelt sich um fragile Vermögenswerte. Sie erodieren schnell, wenn es zu Verstößen kommt. Sie sind jetzt von zentraler Bedeutung für das Sicherheitskalkül.
Die Haushaltsverlagerung hin zur Verteidigung
Unternehmen werden sich dessen bewusst. Die Kosten professioneller Cyberangriffe steigen. Das gilt auch für das Bedürfnis nach Vertrauen. Infolgedessen steigen die weltweiten Investitionen in den digitalen Schutz.
Die Umfrage von PwC zeigt das Ausmaß der Veränderung. Über zwei Drittel der Unternehmen wenden mittlerweile mindestens 5 Prozent ihres IT-Budgets für Sicherheitsmaßnahmen auf. Das ist kein Rundungsfehler. Es ist ein strategischer Dreh- und Angelpunkt. Ein Drittel dieser Unternehmen plant Ausgaben von 10 Prozent oder mehr.
Warum der plötzliche Anstieg der Ausgaben?
Es ist eine Reaktion auf qualitative Anforderungen. IT-Sicherheit erfordert heute spezielle Fähigkeiten. Es erfordert Tiefe. Die meisten Firmen geben zu, dass sie unzureichend vorbereitet waren. Die Kluft zwischen den aktuellen Fähigkeiten und den erforderlichen Standards war zu groß.
Diese Erkenntnis treibt einen zweigleisigen Ansatz voran.
- Personelle Veränderungen. Unternehmen restrukturieren Teams. Sie brauchen Agilität. Eine statische Sicherheitslage kann eine dynamische Bedrohungslandschaft nicht bewältigen.
- Integration von Drittanbietern. Unternehmen kaufen Fachwissen ein. Spezialisierte Partner übernehmen die Bedrohungsanalyse. Es füllt Kapazitätslücken. Es bringt eine Außenperspektive mit sich.
Technologie: der übersehene Hebel
Bei vielen Strategien gibt es einen blinden Fleck.
Der technologische Wandel wird oft unterschätzt. Die meisten Unternehmen weisen ihm eine untergeordnete Rolle zu. Sie konzentrieren sich auf Personalbeschaffung und Outsourcing. Sie vernachlässigen die Werkzeuge selbst.
Zwei Ausnahmen stechen hervor.
Automatisierung.
Künstliche Intelligenz.
Diese werden als dringend gekennzeichnet. Sie sind die dringlichsten Maßnahmen. Warum? Denn manuelles Monitoring lässt sich nicht skalieren. KI und Automatisierung sorgen für die nötige Geschwindigkeit, um automatisierten Angriffen entgegenzuwirken. Sie reduzieren menschliches Versagen. Sie verarbeiten Daten in einem Volumen, das kein Team erreichen kann.
Das Endergebnis
Der Trend ist klar.
Unternehmen betrachten Sicherheit nicht länger als zweitrangige IT-Sache. Es handelt sich um eine Kerngeschäftsfunktion. Strategische Verbesserungen werden umgesetzt. Die alten Modelle versagen. Die neuen sind teuer. Aber sie sind notwendig.
Die Frage ist nicht, ob man zahlen soll. Es geht darum, ob die Investition dem Risiko entspricht. Die meisten Unternehmen sagen endlich Ja. Der Rest bleibt im Ungewissen.
Wem gehört das Risiko?
Bei der digitalen Transformation geht es nicht nur um kundenorientierte Technologie. Der Druck ist auch innerlich. IT-Infrastrukturen geraten durcheinander. Die Datenmengen explodieren. Und Sicherheitsanforderungen, die über gelegentliche Reparaturen hinausgehen.
Die eigentliche Frage betrifft selten die Leistungsfähigkeit. Es geht um Eigentum. Wer setzt diese Maßnahmen eigentlich durch? Wer prüft sie? Wer entscheidet, was als nächstes kommt?
Hier kommt es auf die Unternehmensgröße an. Größere Firmen verfügen über das Budget für engagiertes Sicherheitspersonal. Kleinere? Nicht so sehr. Die Studie der Bundesdruckerei verdeutlicht diese Kluft. In großen Unternehmen ist IT-Sicherheit ein Berufsbild. In kleineren Geschäften ist es oft ein nachträglicher Einfall oder eine gemeinsame Last.
Im Mittelpunkt steht meist der Chief Information Officer (CIO). Manchmal ist es ein engagierter Leiter der IT-Sicherheit. Auch Informationssicherheitsbeauftragte spielen eine Schlüsselrolle. Unternehmen, die sich überhaupt nicht auf IT-Sicherheitsthemen konzentrieren, werden zu einer statistischen Ausnahme. Kaum ein Bruchteil.
Die Entscheidungsfindung liegt in der C-Suite. Die Führung versteht, was auf dem Spiel steht. Sie erledigen die Arbeit jedoch nicht. Die Umsetzung obliegt den IT-Abteilungen. Oder externe Anbieter. Oder diese speziellen Sicherheitsbeamten.
Geschwindigkeit hängt von der Hierarchie ab. Mehr Entscheidungsträger bedeuten langsamere Prozesse. Die Bürokratie schleppt sich. Flache Strukturen in kleineren Unternehmen entwickeln sich schneller. Weniger Bürokratie. Schnelleres Handeln.
Die drei Säulen: Technologie, Organisation, Menschen
Sicherheit ist keine Sache. Es sind drei. Technologie. Organisation. Personal. Alle drei müssen zusammenarbeiten, um ein widerstandsfähiges Umfeld zu schaffen.
Unternehmen bewerten ihre Bedürfnisse in diesen Bereichen unterschiedlich.
- Technologie: 42 % sehen große Lücken. Systeme brauchen Upgrades. Legacy-Code ist eine Belastung.
- Organisation: 39 % spüren die Krise. Prozesse sind veraltet. Die Richtlinien sind hauchdünn.
- Personal: Weitaus weniger besorgniserregend. Aber das ist irreführend.
Der Cyber Security Report 2019 von Deloitte erklärt die Diskrepanz. Unternehmen lagern Sicherheitsdienste aus. Sie kaufen Fachwissen ein, anstatt es selbst aufzubauen. Sie bieten Schulungen für bestehendes Personal an. Warum? Weil es schwierig ist, qualifizierte Talente im Bereich Cybersicherheit einzustellen. Das Angebot entspricht nicht der Nachfrage.
Durch diese Abhängigkeit von externen Anbietern entsteht eine versteckte Abhängigkeit. Internes Wissen bleibt dünn. Fähigkeiten werden nicht vertieft. Das Unternehmen bleibt anfällig, wenn Anbieter ausfallen oder sich trennen.
Training hilft, aber es ist ein Verband. Es ersetzt nicht tiefes, spezialisiertes Fachwissen. Unternehmen schließen die Lücke, anstatt die Mauer wieder aufzubauen.
Schafft diese kurzfristige Lösung ein langfristiges Risiko? Vielleicht. Wer hat die Schlüssel, wenn der Verkäufer geht?
Die organisatorische Lücke in der IT-Sicherheit
Die meisten Unternehmen betrachten die Beratung durch Dritte nur als ein weiteres Kästchen, das es anzukreuzen gilt. Es ist gängige Praxis. Aber schauen Sie sich das Fundament genauer an. Zugangskontrollen. Regeln für den Umgang mit sensiblen Daten. Diese bilden in vielen Unternehmen das Grundgerüst der IT-Sicherheit. Dennoch ist das Skelett brüchig.
Nehmen Sie an Zertifizierungen teil. ISO 27001? Regelmäßige Audits? Nur ein Bruchteil der Unternehmen versucht es überhaupt. Der Bericht der Bundesdruckerei geht von weniger als der Hälfte aus. Die meisten Unternehmen bleiben im oberflächlichen Bereich. Sie bleiben beim Wesentlichen. Sie vermeiden den organisatorischen Aufwand. Warum? Vielleicht Kosten. Vielleicht Komplexität. Aber es ist auch unnötig. Eine bessere Sicherheit ist möglich. Es erfordert nur Anstrengung.
Was machen Unternehmen eigentlich?
Die Bitkom-Studie erzählt das Gleiche. Zugriffsrechte sind jetzt von entscheidender Bedeutung. Vertrauliche Informationen klassifizieren? Auch das ist Standard. Aber wenn man über das Wesentliche hinausgeht, sinkt die Unterstützung ins Bodenlose. Weniger als die Hälfte der Unternehmen verfügt über ein Informationssicherheits-Managementsystem (ISMS) oder ist in Arbeit. Geplant oder nicht, es hinkt hinterher.
Hier kommt es auf die Größe an. Besonders gefährdet sind kleine Unternehmen mit weniger als 500 Mitarbeitern. Ihnen fehlt oft ein konkreter Notfallmanagementplan. Kein Leitfaden für den Fall eines Cyberangriffs. Große Industrieunternehmen sind führend. Zwei Drittel von ihnen verfügen über einen schriftlichen Maßnahmenkatalog für genau dieses Szenario. Sie haben den Plan. Der Rest ist Vermutung.
Der Technologie-Stack: Grundlagen vs. Tiefe
Die Technologielandschaft spiegelt die organisatorische Schwäche wider. Einige Punkte sind mittlerweile nicht mehr verhandelbare Standards in der IT-Sicherheit:
- Passwortschutz für alle Geräte
- Firewalls
- Antivirenscanner
- Regelmäßige Backups
- Verschlüsselte Netzwerkverbindungen
Danach? Die Bemühungen lassen nach.
Zugriff protokollieren? Nur 67 Prozent der Befragten tun dies. Sichere Sprachkommunikation? 59 Prozent. Die Datenverschlüsselung auf Laufwerken sinkt auf 47 Prozent. E-Mail-Verschlüsselung? Lediglich 36 Prozent. Es ist praktisch eine Ausnahme. Absicherung gegen interne Datenlecks? 28 Prozent. Penetrationstests? 24 Prozent.
KI? Es wird kaum registriert. Cybersicherheitsteams nutzen es noch nicht. Nicht einmal die großen Unternehmen.
Regulatorischer Druck und das IT-Sicherheitsgesetz
Deutsche Unternehmen könnten noch viel mehr tun. PwC, Bitkom und die Bundesdruckerei sind sich einig. Die Bedrohungslandschaft ist dynamisch. Die Investitionen steigen, was gut ist. Aber es reicht nicht aus.
Geben Sie das IT-Sicherheitsgesetz ein. Diese Gesetzgebung könnte bewährte Verfahren in gesetzliche Vorschriften umwandeln. Der im Mai 2020 veröffentlichte zweite Entwurf richtet sich an Betreiber kritischer Infrastrukturen. Es trifft auch Webdienstanbieter und Telekommunikationsunternehmen.
Die Strafen sind hoch. Die Strafen können bis zu 20 Millionen Euro betragen. Dies entspricht dem DSGVO-Framework. Auch der Anwendungsbereich wird größer. Der Entwurf umfasst Akteure der Verteidigungsindustrie. Es umfasst Unternehmen, die als lebenswichtig für die Volkswirtschaft gelten. Nichteinhaltung ist nicht mehr nur ein Risiko. Es ist eine finanzielle Bedrohung.
Standardisierung trifft auf ICS und IoT
Die Kluft zwischen veralteter Infrastruktur und modernen digitalen Bedrohungen schließt sich, aber nicht sanft. Neue Maßnahmen zum Schutz kritischer Infrastrukturen entwickeln sich von vagen Empfehlungen hin zu expliziten, einheitlichen Standards. Bei diesem Wandel geht es nicht nur um Firewalls. Es umfasst explizit Industrial Control Systems (ICS) und Internet-of-Things (IoT) -Geräte. Warum ist das wichtig? Denn oft sind dies die schwachen Glieder der Kette. Durch die Durchsetzung strengerer Regeln wollen die Regulierungsbehörden die Schwachstellen schließen, die Hacker ausnutzen, wenn herkömmliche Abwehrmaßnahmen versagen.
Der Aufstieg der obligatorischen SIEM-Implementierung
Unternehmen können den Bedarf an robusten Security Incident & Event Management Systems (SIEM) nicht länger ignorieren. Diese Systeme werden verpflichtend. Sie dienen als Grundlage für ein Informationssicherheitsmanagementsystem (ISMS). Früher betrachteten viele Unternehmen die Sicherheit als zweitrangige Angelegenheit oder als ein Kontrollkästchen zur Einhaltung von Vorschriften. Die Anforderung an SIEM bedeutet nun, dass Unternehmen weitaus proaktiver sein müssen. Sie können nicht auf einen Verstoß warten, um mit der Protokollierung zu beginnen. Sie benötigen Echtzeit-Erkennungsfunktionen, die in Ihren operativen Kern integriert sind. Dies ist nicht mehr optional. Es ist die Basis für den Betrieb.
Compliance fördert den Fokus auf Cybersicherheit
Für viele Unternehmen war die IT-Sicherheit einst zweitrangig. Gesetzliche Anforderungen verändern diese Dynamik nachhaltig. Der Druck ist nicht mehr nur innerlich. Es ist gesetzlich vorgeschrieben. Unternehmen müssen jetzt Initiativen zur Cybersicherheit Vorrang einräumen, nicht nur, weil es sinnvoll ist, sondern weil das Gesetz es vorschreibt. Die Zeiten der Vernachlässigung von Sicherheitsprotokollen sind praktisch vorbei. Regulatorische Rahmenbedingungen erzwingen eine strengere Betrachtung der Verwaltung digitaler Vermögenswerte. Wenn Sie sich nicht anpassen, sind Sie nicht nur riskant. Sie sind nicht konform.
Warum dieser Wandel einschlägt
Für den durchschnittlichen Benutzer mag dies wie abstrakter bürokratischer Lärm erscheinen. Das ist es nicht. Wenn die ICS – und IoT -Standards verschärft werden, wird die physische Welt sicherer. Stromnetze, Wasserversorgung und Produktionslinien arbeiten mit weniger toten Winkeln. Doch die Kosten dieses Übergangs sind für Unternehmen hoch. Sie müssen in neue Software investieren, qualifiziertes Personal einstellen und veraltete Prozesse überarbeiten. Die Frage ist nicht, ob sie sich daran halten werden. Es geht darum, ob sie es schaffen können, ohne ihren aktuellen Betrieb zu unterbrechen. Vielen wird die Integration schwerfallen. Einige werden bei der Prüfung völlig durchfallen. Der Markt ist dabei, das Vorbereitete vom Rest zu trennen. Und der Rest muss mit Konsequenzen rechnen, die über Geldstrafen hinausgehen.
