Diese Website verwendet Cookies, um die Nutzerfreundlichkeit zu verbessern. Sie stimmen dem durch die weitere Nutzung der Website zu. Weitere Infos zu Cookies und deren Deaktivierung finden Sie hier.

For English version click here.

Cyber Resilience: Was ist das?

11.02.2020        IT-Sicherheit
Cyber Resilience: Was ist das?
Shutterstock ID 546180718

Cyber Resilience (deutsch: Resilienz, Widerstandsfähigkeit) ist ein ganzheitlicher Ansatz, um die Sicherheit vor Cyber-Attacken und die Widerstandskraft der IT-Infrastruktur eines Unternehmens zu organisieren. Zu diesem Zweck werden Konzepte erstellt und Maßnahmen definiert, die die Weiterführung und Wiederaufnahme der Geschäftstätigkeiten während bzw. nach einer Cyber-Attacke gewährleisten. Ziel der Cyber Resilience ist es, gut vorbereitet und schnell auf Sicherheitsverletzungen zu reagieren sowie Sicherheitsvorfällen entgegenzuwirken und gleichzeitig die Steuerbarkeit des Geschäftes zu erhalten.

Abgrenzung zur Cyber-Security

Oft wird Cyber-Resilienz mit IT-Sicherheit gleichgesetzt. Die Beziehung sieht aber tatsächlich so aus, dass die Cyber Security nur ein Bestandteil der Cyber Resilience ist. Angenommen eine Cyber-Attacke wäre wie ein Brand, der ein Unternehmen bedroht, dann wäre unter dem Thema IT-Sicherheit folgendes angesiedelt:

  • Rauchmelder
  • Löschdecken
  • Brandschutztüren
  • Deckensprinkler

Diese Vorkehrungen sollen allesamt während eines Brandes Menschenleben schützen und Brandschäden eindämmen. Vor oder nach dem Brand erfüllen sie jedoch keine Aufgabe.

Resilienz hingegen umfasst alle weiteren Maßnahmen, die vor, während und nach einer Bedrohung die Widerstandskraft erhöhen. In diesem Beispiel wären dies unter anderem:

  • Einhaltung der Brandschutznormen
  • Regelmäßige Kontrollen der Brandschutzausstattung
  • Verteilung von Aufgaben, die Mitarbeiter während eines Brandes einnehmen
  • Brandschutzschulungen verantwortlicher Mitarbeiter
  • Anfertigen und Aushängen von Brandschutzordnung und Fluchtplan
  • Alarmübungen
  • Erstellung eines Krisen-Managements
  • Formulierung von Business Continuity-Maßnahmen

Warum wird Cyber-Resilienz immer wichtiger?

„Eine Attacke muss nur ein einziges Mal Erfolg haben, während die Cyber-Resilienz einer Organisation jedes Mal effektiv sein muss,” so fasst die Cyber Resilience-Studie 2018 von Accenture die Situation treffend zusammen. 

Während Brandschutzmaßnahmen materielle Vermögensgegenstände vor der völligen Zerstörung schützen, leistet Cyber-Resilienz viel mehr: Resiliente Unternehmen verhindern, dass Daten manipuliert oder internes Wissen gestohlen werden. Dies ist ein wichtiger Beitrag, um die Integrität und das Image des Unternehmens dauerhaft zu wahren und gleichzeitig für höchste Verfügbarkeit der Dienstleistungen zu sorgen. 

Deutsche Unternehmen sind beliebtes Ziel

„In meinem Unternehmen ist noch nie etwas passiert, wieso soll ich also investieren?” Dieser Gedankengang ist verständlich, aber verkennt die Gefahrenlage. Im internationalen Vergleich waren deutsche Firmen 2019 eine beliebte Zielscheibe für Cyber-Angriffe und erlitten den größten finanziellen Schaden – und das zum zweiten Mal in Folge. Laut Hiscox Cyber Readiness Report beliefen sich die Durchschnittskosten für alle erfassten Vorfälle in Deutschland 2019 auf über 900.000 Euro für mittelgroße Unternehmen, und über 1,3 Millionen Euro für Großunternehmen. Drei Viertel der Unternehmen in Deutschland waren in den vergangenen zwei Jahren schon von Cyber-Attacken in Form von Datendiebstahl, Industriespionage und Sabotage betroffen, umreißt eine Umfrage des Branchenverband Bitkom das Lagebild. Bei 70 Prozent der Unternehmen haben die Attacken Schaden verursacht.

Die Bedrohungslage durch Cyber-Attacken wie etwa durch die Verbreitung von Malware fordert eine ganzheitliche Strategie für die erfolgreiche Abwehr. 

Gleichzeitig wächst der Markt für Cyber-Kriminelle, die immer intensivere und längere Attacken für kleines Geld in den Tiefen des Internets anbieten. Laut eines Research Papers von IT-Risiko-Berater Flashpoint kostet eine DDoS-Attacke im Jahre 2019 ca. 100 US-Dollar, ein gemietetes IoT-Botnet etwa 25 US-Dollar pro Tag. Die registrierten Cyber-Attacken offenbaren ebenfalls besorgniserregende Trends: Sowohl die Komplexität der Angriffstechniken als auch die Bandbreite der Angriffe nehmen zu. 

Wer hinsichtlich dieser Gefahrenlandschaft auch unter Beschuss geschäftsfähig bleiben will, benötigt also eine Sicherheitsarchitektur, die eng mit den Aufgaben der Geschäftsführung verflochten ist.

Sicherheitslücken schließen, Vorsprung aufholen

Die Accenture Studie 2018 prophezeit, dass Unternehmen innerhalb von zwei bis drei Jahren ein nachhaltiges Maß an Cyber-Resilienz erreichen können. Für eine funktionierende Abwehr gegen Angriffe aus dem Internet muss allerdings der technische Vorsprung der Kriminellen aufgeholt werden. Dies setzt in der Regel eine klare strategische Ausrichtung voraus. Viele Unternehmen gehen deshalb dazu über, den verantwortlichen Chief of Information Security (CISO) in die Geschäftsentwicklung miteinzubeziehen und bei wichtigen Entscheidungen zu konsultieren. Um sich auf den Ernstfall vorzubreiten, ist der Entwurf von Vorfallsreaktionsplänen ein bewährtes Mittel.

Investitionen sind ebenso wichtig wie die zielgerichtete Implementierung von Cyber Resilience in die Unternehmensstruktur. Eine globale Studie von IT-Berater Wipro Technologies zeigt, dass jeder fünfte der befragten CISOs direkt an die Geschäftsleitung berichtet oder „operative Sichtbarkeit” genießt. Auch die verfügbaren Ressourcen steigen: Fast ein Drittel der befragten Unternehmen verfügt über ein Sicherheitsbudget, das mehr als 8 % ihres gesamten IT-Etats ausmacht. Diese Zahl wird in den kommenden Jahren voraussichtlich noch steigen.

Hemmschwellen bei der Umsetzung von Cyber-Resilienz

Die Umsetzung einer erfolgreichen Cyber-Resilienz erfordert eine ganzheitliche Betrachtung – das Big Picture – des eigenen Unternehmens. Allein basierend auf dieser Annahme sind abteilungsübergreifende Analysen, Zusammenarbeit und Verteilung von Verantwortlichkeiten vorausgesetzt. Diese Herausforderung wird noch gesteigert durch die wachsende Komplexität der betriebsinternen Prozesse. Genau aus diesen Gründen ist eine strategische Herangehensweise mithilfe von Fachexperten nötig.

Strategische Rahmenbedingungen der Cyber Resilience

Wie bereits erwähnt sind die strukturelle Einbindung im Unternehmen sowie ein ausreichendes Budget Grundvoraussetzungen für einen erfolgreichen Ansatz. Danach muss das sogenannte Framework für den Aufbau von Cyber Resilience herausgearbeitet werden. Dazu werden die Aufgaben den typischen Phasen eines Angriffs zugeordnet.

  1. Schutzmaßnahmen definieren (Phase vor einer Attacke)
    1. IT-Sicherheitswerkzeuge auf dem Stand der Technik
    2. Personal-Aufbau mit passenden Qualifikationen
    3. Technologische Weiterentwicklung
    4. „Härten” der wichtigsten Assets durch gezielte Sicherheitsmaßnahmen
  2. Anpassungen vornehmen an veränderliche Bedrohungslage (kontinuierlich)
    1. Bewertung, Testen und Implementieren neuer Technologien
    2. Weiterbildung und Trainings des Personals
  3. Stabilität absichern (Phase während einer Attacke)
    1. Entwicklung eines Krisenmanagements
    2. Fahrplan für die Abwicklung der wichtigsten Unternehmensprozesse ohne Zugriff auf das System (Notfall-Setup)
    3. Probelauf eines Worst-Case-Szenarios
  4. Wiederherstellung vorbereiten (Phase nach einer Attacke) 
    1. Priorisierung aller Bereiche, die betroffen werden können
    2. Definition der Bereiche und Assets, die am wertvollsten und kritischsten sind
    3. Datenwiederherstellung über mehrere Systeme gewährleisten

Cyber Resilience Assessment

„Was braucht mein Unternehmen eigentlich?” Diese Frage kann nur ein Experte beantworten. Falls das nötige Know-how nicht im eigenen Unternehmen angesiedelt ist, muss ein strategischer Partner her, der durch eine Analyse den individuellen Bedarf herausarbeitet und konkrete Maßnahmen vorschlägt, um die betriebsinterne Cyber-Resilienz zu verstärken. Ein umfangreiches Assessment ist nur der erste Schritt, die aktuelle Widerstandsfähigkeit zu testen und mögliche Risikobereiche zu lokalisieren.

Praktische Anwendung von Cyber Resilience

Cyber-Resilienz in der Unternehmenskultur verankern

Die Widerstandsfähigkeit gegen Angriffe von außen steht und fällt mit der gelebten Sicherheitskultur im Unternehmen. Denn der beste Sicherheitsplan ist nur so stark wie seine nächste (vermeidbare) Schwachstelle. Das Öffnen eines merkwürdigen E-Mail-Anhangs oder die Verwendung eines infizierten USB-Sticks – gerne getarnt als nettes Werbegeschenk – kann schon der Anfang einer Katastrophe sein. 

Jeder Mitarbeiter muss für das Thema IT-Sicherheit sensibilisiert werden – und zwar kontinuierlich. Das bedeutet konkret, dass eine Rundmail pro Monat nicht ausreicht, sondern je nach Unternehmensgröße und Risikopotenzial Mitarbeiterschulungen inklusive konkreter Guidelines erforderlich werden, denen sich alle verschreiben. Ein Bewusstsein für Sicherheitsthemen und die konkreten Gefahren können Unternehmen nur schaffen, indem wiederholte Maßnahmen alle Mitarbeiter erreichen.

Inside Jobs unattraktiv machen

Weiterhin sind Insider-Attacken eine bekannte Gefahrenzone, denn Mitarbeiter kennen Sicherheitslücken am besten und haben in der Regel eine persönliche Motivation. Die Accenture Studie von 2018 zeigt, dass sie auf Platz zwei der größten Cyber-Sicherheitsrisiken sind hinter den externen Attacken. Betrachtet man das Ausmaß von einzelnen Angriffen, belegen die Insider ebenfalls den zweiten Platz. 

Auch diese Risikoquelle kann durch eine Sicherheitskultur z.B. in Form eines konsequenten Berechtigungsmanagements verringert werden, denn sie steigert die Hemmschwelle für einen Angriff: Für widerstandsfähige Unternehmen ist eine Attacke durch böswillige oder unvorsichtige Insider weniger bedrohlich und damit sinken die erwarteten Erfolgsaussichten eines Cyber-Angriffs. Trotzdem bleibt das Risiko hoch, einer Straftat überführt zu werden. Diese abschreckende Wirkung ist also ein absolut positiver Nebeneffekt. 

Vorbereitung durch Simulation

Ähnlich wie bei einem Probefeueralarm sollte der Ernstfall durchgespielt werden. Theorie und Praxis unterscheiden sich deutlich. Die Fehlerquote steigt nochmal an, wenn jede Sekunde zählt. Die Wipro Studie zeigt, dass 31 % der befragten Unternehmen aus 27 Ländern an Angriffssimulationen teilnehmen. Jedes vierte Unternehmen führt außerdem Security Assessments in jedem Entwicklungszyklus durch.

Fortschritt im Bereich Cyber-Resilienz skalieren

Cyber-Resilienz bedeutet permanente Anpassungen der Sicherheitskonzepte und der Steuerungslösungen. Ein statischer Ansatz, bei dem Prozesse und Schutzlösungen einmalig definiert werden, reicht angesichts der hochdynamischen Sicherheitsrisiken nicht mehr aus. Parallel zu regelmäßigen Riskoanalysen gilt es auch die eigenen Schutzlösungen zu hinterfragen. Wer clever in neue Technologien investiert, kann den Grad der Widerstandskraft überproportional steigern. Nach Ergebnissen des State of Cyber Resilience Reports 2019 von Accenture konnten diejenigen Unternehmen, die ihre Investitionen am besten skalierten, ihre Cyber Resilience viermal so stark verbessern wie andere. 

Cyber Resilience: Brände gar nicht erst entstehen lassen

Wer die passenden IT-Sicherheitslösungen wählt, macht den Brandstiftern im Internet das Leben schwer. Mit einem umfassenden Schutz im Bereich der Cyber-Resilienz wird Ihr Unternehmen schlichtweg unattraktiv für Kriminelle. Falls es doch einmal brennt, sichern die festgelegten Maßnahmen die Weiterführung der Geschäfte ab. So ersticken Sie jeden Brand im Keim.



Quellen: 

Neueste Blogbeiträge

Bleiben Sie informiert über aktuelle DDoS-Reports, Warnmeldungen und Neuigkeiten zu IT-Sicherheit, Cybercrime und DDoS-Schutz.

Informiert bleiben!

Link11 Blog abonnieren mit News zum Unternehmen, IT-Security, Cybercrime

Link11GmbH​

Folgen Sie Link11 auf Twitter