Dr. Guy Bunker, CTO bei Clearswift
Cybersicherheit ist ein Thema, das die Presse nach wie vor dominiert – zunehmend werden Organisationen Opfer von gezieltem Datenabfluss. Der gut dokumentierte Capital One-Hack und die jüngsten Bußgelder im Zusammenhang mit der EU-DSGVO für British Airways und Marriott waren jedoch der Wendepunkt für große Unternehmen, wenn es darum geht, den Bedarf an robusteren Cyberabwehrmaßnahmen zu erkennen. Kürzlich wurde weiterhin berichtet, dass ein verurteilter Cyberkrimineller nach Angriffen auf über 100 Unternehmen zur Zahlung von umgerechnet über einer Million Euro verurteilt wurde. Zu seinen Opfern zählen die britische Supermarktkette Sainsbury’s, das US-Dienstleistungsunternehmen Uber und der Einzelhändler Argos aus England. Diese Zunahme weitreichenden Datenschutzverletzungen hätte allein schon auf die Notwendigkeit von Investitionen hinweisen sollen, um die Dringlichkeit bei Unternehmen zu verdeutlichen, sich vor den neuen Bedrohungen zu schützen. Der größte Wendepunkt innerhalb der Betriebe waren jedoch nach jüngsten Untersuchungen, die führende Entscheidungsträger befragten, die kostspieligen Sanktionen im Rahmen der DSGVO.
Vor kurzem wurde bekannt, dass 70 % der Finanzunternehmen im vergangenen Jahr einen Vorfall im Bereich der Cybersicherheit erlebt haben, was die ernste Bedrohung unterstreicht, die sowohl Datenschutzverletzungen als auch böswillige Angriffe für den britischen Finanzsektor darstellen. Diese Zahlen dürften für die DACH-Region nicht anders aussehen. Die Ergebnisse zeigen, dass der Sektor dringend bessere Cyber-Verteidigungsverfahren einführen muss.
Eine weitere Studie ergab, dass fast ein Drittel der Unternehmen (32%) die jüngsten DSGVO-Bußgelder gegen British Airways und Marriott International als Hauptgrund für eine stärkere Beteiligung des Vorstands und die Bereitstellung von Investitionen für die IT-Sicherheit bezeichneten. Die Absicht von Betrieben, positive und nachhaltige Veränderungen umzusetzen, um cyberbezogene Vorfälle und Bußgelder in Zukunft zu vermeiden, ist vielversprechend. Entscheidend zu betonen ist jedoch, dass bei der Frage, was Betriebe letztendlich zum Umdenken bewegt, weiterhin gilt: „Finance is King“. Das heißt, nicht nur die Häufigkeit von Vorfällen selbst sorgt für den Sinneswandel, sondern vor allem die Sorge um direkte finanzielle Konsequenzen.
Auf die Frage nach dem Ausgabenniveau angesprochen, gaben fast drei Viertel der befragten Finanzunternehmen an, dass sie einen Anstieg der Investitionen in die Cybersicherheit wünschen (73%), wobei fast jedes fünfte (17%) britische Unternehmen angibt, dass ihre Budgets derzeit „deutlich unter dem angemessenen Niveau“ liegen. Glücklicherweise sank diese Zahl dann drastisch (auf 5%), wenn man Unternehmen mit über 5.000 Beschäftigten betrachtet – ein mögliches Zeichen dafür, dass größere Unternehmen bereits zusätzliche Investitionen getätigt haben, um immer dynamischeren Cyberbedrohungen zu begegnen. Dies unterstützt die These, dass diejenigen, die finanziell mehr zu verlieren haben, sich schneller an mögliche Cyberrisiken anpassen können.
Insgesamt lässt sich also beobachten, dass Unternehmen bei der Abwehr von Cyberangriffen die Notwendigkeit, verstärkt in fortschrittliche Technologien zu investieren, immer mehr wahrnehmen. Schließlich stellt die technische Dimension eine entscheidende Ebene in der Verteidigung eines jeden Unternehmens dar. Die eingesetzte Technologie sollte jedoch immer nur als „Sicherheitsnetz“ zum Schutz vor Bedrohungen betrachtet werden. Letztendlich ist die Schulung der Mitarbeiter der Schlüssel zu einem langfristig nachhaltigen Wandel. Um das Problem an der Wurzel zu packen, ist daher die Aus- und Weiterbildung der Mitarbeiter, etwa die Frage, wie man Routineprozesse ordnungsgemäß durchführt, ohne sensible Daten zu gefährden, von entscheidender Bedeutung.
Unternehmen sind gut beraten, sich darauf zu besinnen, dass ein Teil aller Investitionen im Bereich Cybersicherheit dazu genutzt werden sollte, sicherzustellen, dass der Einzelne über das Bewusstsein verfügt, wie mit sensiblen Daten angemessen umgegangen werden sollte. Dies bezieht sich auf alle Informationen, die das Netzwerk der Firma durchqueren. Dies sollte auch ein dynamisches, fortlaufendes Projekt für alle Unternehmen sein. Da sich die Bedrohungen ständig weiterentwickeln, müssen kontinuierlich Schulungen und Sensibilisierungsmaßnahmen durchgeführt werden. Nur so können Betriebe sicherstellen, dass Mitarbeiter aller Abteilungen die Risiken verstehen und vor allem wissen, was zu tun ist, wenn sie glauben, dass es ein Problem hinsichtlich des Datenschutzes oder der IT-Sicherheit geben könnte. Die Unternehmenskultur rund um die Cybersicherheit muss ganzheitlich und interaktiv sein – der aktive Dialog über das Thema Sicherheit mit den Mitarbeitern ist ein weiterer guter Weg, um zu verstehen, wo die Schwächen liegen, welche Prozesse vernachlässigt werden und daher überarbeitet werden müssen.
Der klare gemeinsame Nenner dabei ist, dass eine verbesserte Cybersicherheit dringend erforderlich ist, damit Finanzunternehmen nicht nur „mithalten“ oder sich ihrer Datensicherheit bewusst sind, sondern auch die vollständige Kontrolle und Sichtbarkeit über alle Systeme haben. Unabhängig davon, ob es sich um einen beispiellosen Vorfall im Bereich Cyberkriminalität handelt oder ob strenge Vorschriften eingehalten und Bußgelder vermieden werden müssen – die Ergebnisse dieser Umfragen deuten unbestreitbar darauf hin, dass die führenden Vertreter des britischen Finanzsektors ihre Strategien zur „Verteidigung in der Tiefe“ überprüfen müssen. Dies kann erreicht werden, indem Betriebe auf einer sicherheitskritischen Denkweise aufbauen und in eine proaktive Cybersicherheitsstrategie zum Schutz von geschäftskritischen Umgebungen investieren.