IT-Sicherheit in Unternehmen

Ein Schaden von 203 Milliarden Euro entstand der deutschen Wirtschaft 2022 durch den Diebstahl von IT-Ausrüstung und Daten, Spionage und Sabotage. Das ist fast doppelt so viel wie in den Jahren 2018/2019. Dabei ist es eine Illusion, dass nur die „Großen“ zum Ziel von Cyberkriminalität werden. Im Gegenteil: 84 Prozent aller Unternehmen waren in jedem Fall betroffen, 9 weitere nehmen an, dass auch sie Opfer wurden. Für die Zukunft erwarten die meisten eine weitere Zunahme von Angriffen.  

Auch Thomas Kuhn, Sicherheitsbeauftragter/CISO, IT-Sicherheitsprofi und Trainer bei TÜV NORD, beobachtet einen deutlichen Wandel in Art und Qualität der Attacken: „Vor 30 Jahren gab es vor allem Hacker, die sich selbst und anderen lediglich beweisen wollten, dass sie in IT-Systeme eindringen können. Inzwischen ist eine organisierte Kriminalität herangewachsen, die das Ziel hat, Unternehmen zu erpressen und/oder zu schädigen.“ 

Nicht jedes Unternehmen hat die Mittel, ein umfassendes IT-Sicherheitsmanagementsystem zu realisieren. Trotzdem sind auch KMU keineswegs machtlos. Denn schon mit wenig Aufwand und einem guten Plan lassen sich Schutzmaßnahmen realisieren, die im Ernstfall das Schlimmste verhindern. Hier gehen wir darauf ein, welche das sind, was Unternehmen bei der Umsetzung beachten sollten und warum es nicht um absolute Sicherheit geht.  

„Eine der Hauptbedrohungen im Bereich Cyberkriminalität sind derzeit Ransomware-Attacken“, stellt Thomas Kuhn fest. Dabei werden Unternehmen erpresst, indem zum Beispiel Daten verschlüsselt werden oder mit ihrer Veröffentlichung gedroht wird. Manchmal gelingt es Angreifer:innen auch, die zentralen Verzeichnisdienste (Active Directory) zu übernehmen und so maximale Kontrolle über das Unternehmen auszuüben. Daneben häufen sich in den letzten Jahren zum Beispiel Spyware-Attacken oder Malware-Angriffe, die Schwachstellen ausnutzen (Zero Day Exploits). Einen Sonderfall stellt die absichtliche Sabotage oder versehentliche Nichtbeachtung von Vorgaben durch Mitarbeitende dar.  

Der Schaden, der durch Cyberattacken entsteht, kann immens sein. Dabei stehe der unmittelbare finanzielle Schaden, zum Beispiel durch ein Lösegeld, nicht im Vordergrund, betont Thomas Kuhn. Gravierender sei in der Regel der Produktionsausfall bzw. der Stillstand von Geschäftsprozessen. „Bei einer Active-Directory-Übernahme müssen die Unternehmen mit bis zu einem Monat Unterbrechung rechnen.“  

Das bedeute schon für große Unternehmen hohe Verluste. Kleinere Betriebe bekämen unter Umständen existenzielle und längerfristige Liquiditätsprobleme. Hinzu kommen unter Umständen ein gravierender Imageschaden und Strafen beim Diebstahl persönlicher Daten.  

IT-Sicherheit ist Chefsache. Zwar kümmern sich Geschäftsführer:innen in der Regel nicht selbst um die Installation von Sicherheitsmechanismen oder das Monitoring, aber sie müssen die Entscheidung treffen, wie viel ihr Unternehmen in das Thema investiert und wie viel Risiko eingegangen werden darf. Dafür ist eine Risikoanalyse bzw. Risikoabschätzung erforderlich.  

Speziell bei kleinen Unternehmen spielen auch die Ressourcen eine zentrale Rolle. „Ein ständiges Sicherheitsmonitoring kostet Zeit und Geld“, betont Thomas Kuhn. „Denn in diesem Fall brauchen Sie eine oder mehrere Personen, die jeden (auch kleinen) Verdachtsfall überprüfen. Deshalb konzentrieren sich die meisten kleinen Unternehmen eher auf einen reaktiven Schutz und vernachlässigen diesen Mehraufwand.“  

Doch selbst wenn wenig Geld und personelle Ressourcen vorhanden sind, sollten Unternehmen auf einige Maßnahmen keinesfalls verzichten.  

3. Schließlich sollten sich Unternehmen um Back-up und Restore kümmern, damit Daten bei einem Angriff wiederhergestellt werden könnten. Entscheidend sei, dass es sich nicht einfach um ein operatives Back-up handle, mit dem Daten nach versehentlichem Löschen wiederhergestellt werden können, sondern um eines, dass offline und off-site geschützt verfügbar sei. Nur dann bestünden gute Chancen, dass es Cyberkriminelle nicht einfach übernehmen beziehungsweise versuchen, sich vor Ort Zugänge zu verschaffen.  

Als eine Orientierung für KMU, die kein IT-Sicherheitsmanagementsystem einführen können, empfiehlt Thomas Kuhn ein leichtgewichtiges ISMS nach ISO 27001 oder den BSI-Grundschutz, und hier speziell die Anforderungen für eine Basisabsicherung.  

Die schlechte Nachricht: Egal wie viel Mühe sich Unternehmen mit IT-Sicherheit geben, Angreifer:innen mit ausreichenden Ressourcen und dem erforderlichen Know-how überwinden auch ausgefeilte Sicherheitsmaßnahmen.  

Die gute Nachricht: Vor allem für KMU geht es nicht darum, unüberwindbare Mauern gegen Cyberangriffe zu errichten. Thomas Kuhn vergleicht dies gerne mit dem berühmten Schlossknacker, der auf die Frage nach dem Schloss an seiner eigenen Wohnung antwortete: „Ich habe auf jeden Fall ein Schloss, das besser ist als das meines Nachbarn.“ So sei es auch im IT-Sicherheitsmanagement. Ziel sei es hier, eine Hürde zu errichten, die hoch genug ausfällt, um Angreifer:innen abzuschrecken sowie ausreichend zu beschäftigen und damit ein möglichst hohes Maß an Sicherheit zu gewährleisten. Das funktioniert auch mit begrenzten Mitteln.