Cybersecurity: Was Unternehmen tun können

Der Anstieg von Hackerangriffen auf deutsche Unternehmen hat in den letzten Jahren zu einer zunehmenden Bedeutung der Cybersecurity geführt. Eine nachhaltige Cybersecurity-Strategie soll Cyberrisiken verringern. In den Medien gibt es immer wieder Meldungen von Unternehmen, deren Server tagelang lahmgelegt wurden. Teilweise erhalten die Unternehmen ein Erpresserschreiben: Gegen Zahlung einer bestimmten Summe mittels Bitcoins sollen die Unternehmen nach Zahlungseingang wieder den vollen Zugriff auf ihre Daten erhalten. Einige Unternehmen bezahlen nicht und versuchen, die Daten selbst wiederherzustellen. Sie fürchten sich vor weiteren Zahlungen und dadurch einer Abhängigkeit von den Hackern.

Teilweise werden auch fingierte Rechnungen an die Buchhaltung geleitet mit einem Hinweis auf Vertraulichkeit und der erstellten Stimme des angeblichen Geschäftsführers einer ausländischen Niederlassung des Unternehmens. Es gilt, die Mitarbeiter zunehmend für derartige Probleme zu sensibilisieren, um drohende Schäden für das Unternehmen abzuwenden.

Was bedeutet Cybersecurity?

Bei Cybersecurity handelt es sich um Maßnahmen, die Unternehmen zur Minimierung von Cyberrisiken sowie den Schutz der Informationen und Systeme vor Cyberbedrohungen ergreifen können. Das folgende Beispiel erläutert den Zusammenhang zwischen einer Cyberbedrohung und den Auswirkungen für Unternehmen.

Ein Unternehmensserver wird von Trojanern gehackt, die der Virenscanner des Unternehmens nicht erkannt hat. Bei einem Trojaner handelt es sich um eine sog. Malware, die sich oftmals als legitime Software ausgibt. Unbemerkt werden weitere Computer innerhalb des Unternehmens von den Trojanern infiziert und als sog. „Zombies“ ferngesteuert. Die infizierten Computer werden durch die Fernsteuerung für den Versand einer Spam-Attacke missbraucht.

Der Angriff wird erst dann bemerkt, als sich die Spam-Opfer beim Unternehmen melden. Das Unternehmen hat bisher kein Frühwarnsystem genutzt, um derartige Angriffe rechtzeitig zu bemerken und so Arbeitsausfälle sowie einen möglichen Imageschaden zu vermeiden. Nicht nur der Arbeitsausfall und der Imageschaden, sondern auch die Kosten für die IT-Experten und die Anschaffung eines neuen Netzwerkservers verursachen für das betroffene Unternehmen hohe Kosten.

Wer ist für die Cybersecurity im Unternehmen verantwortlich?

Für die Cybersecurity ist nicht allein die Geschäftsführung im Unternehmen verantwortlich, auch wenn sie die Maßnahmen und entsprechende Absicherungen anstoßen muss. Denn die Angriffe werden in den seltensten Fällen direkt die Geschäftsführung des Unternehmens treffen.

Die Aufgabe der Geschäftsführer ist es dennoch, entsprechende Prozesse und Maßnahmen in die Wege zu leiten. Sie müssen dafür sorgen, dass an den entsprechenden Stellen die Mitarbeiter für das Thema sensibilisiert sind und ggf. entsprechende Weiterbildungen erhalten. Dies sollte in Abstimmung mit den Verantwortlichen in der IT erfolgen, da diese über das notwendige technische Wissen verfügen.

Die Mitarbeiter der IT-Abteilung spielen bei den Maßnahmen zur Cybersecurity ebenfalls eine wichtige Rolle. Sie müssen sicherstellen, dass die im Unternehmen eingesetzten Geräte wie Laptops, Tablets und Smartphones mit den aktuellsten Betriebssystem-Updates ausgestattet sind. Außerdem sollten sie dafür sorgen, dass Virenschutzprogramme auf allen Geräten vorhanden sind.

Damit die Mitarbeiter in den anderen Abteilungen die Bedeutung der einzelnen Sicherheitsmaßnahmen verstehen, sollten die IT-Mitarbeiter die drohenden Gefahren und Risiken erläutern. Denn für ihre Kollegen bedeuten die Schutzmaßnahmen zunächst mehr Verwaltungsaufwand. Dieser könnte gerade in Zeiten mit einem hohen Arbeitsvolumen als nicht unbedingt notwendig erachtet werden.

Und auch bei der Vergabe von Passwörtern sind die Nutzer der technischen Geräte gefragt. Anstatt leicht zu hackender Passwörter, sollte auf  starke Passwörter gesetzt werden. Darüber hinaus empfiehlt es sich, den Fernzugriff auf Installationen zu begrenzen. Zur Vermeidung von Infektionen mit Schadsoftware sollte außerdem jedes Gerät darauf geprüft werden.

Die Mitarbeiter in der IT sollten zudem ihre Kollegen für die Aktualisierung der verwendeten Software sensibilisieren. Andernfalls bringen im Falle eines Hackerangriffs die vorgenommenen Sicherheitsmaßnahmen der IT-Mitarbeiter nichts, da die Sicherheitsmaßnahmen nicht auf dem aktuellen Stand sind.

Was Unternehmen tun können

Um bestehende Cyberrisiken zu minimieren, gibt es verschiedene Handlungsoptionen für Unternehmen. Zum einen ist es wichtig, die Mitarbeiter entsprechend für das Thema zu sensibilisieren. So können sie im Zweifel einen drohenden Angriff erkennen und diesen entsprechend melden. Das kann auch einen eventuellen Schaden für das Unternehmen verhindern.

Zudem sollten im Unternehmen Regeln festgelegt sein, was Mitarbeiter vermeiden sollen bzw. wann Handlungsbedarf besteht. So sollten beispielsweise keine USB-Sticks von außen an die Computer im Unternehmen angeschlossen werden.

Der Abschluss einer entsprechenden Versicherung gegen Cyberrisiken ist eine weitere Möglichkeit. Die Versicherungen verlangen in der Regel gewisse Vorkehrungen, um die bestehenden Cyberrisiken zu minimieren. Hier kann bereits die Befassung mit dem Abschluss einer Versicherung das Unternehmen für bestimmte Themen sensibilisieren und so zu erhöhten Sicherheitsvorkehrungen führen.

Da in immer mehr Unternehmen Mitarbeiter teilweise im Homeoffice arbeiten, müssen insbesondere dafür die entsprechenden Sicherheitsmaßnahmen ergriffen werden. Auch wenn dies vorerst mit Mehrausgaben für das Unternehmen verbunden ist, lohnt sich diese Investition in der Regel immer. Die Unternehmen sollten hier nicht erst warten, bis ein Hackerangriff zu größeren Problemen führt. Denn dies ist nicht nur deutlich kostenintensiver, sondern kann sich im schlimmsten Fall auch negativ auf das Image des Unternehmens auswirken.