Stefan Bergsmann, Geschäftsführer von Horváth & Partners Österreich
©Klaus RangerJedes zweite Unternehmen war schon einmal Opfer eines Cyberangriffs. Stefan Bergsmann, Österreich-Geschäftsführer der Managementberatung Horváth, über die wachsende Bedrohung und wie sich Manager und Unternehmen wappnen können.
Skrupellose Erpresser, ausgefuchste Hacker und hinterlistige Datendiebe haben das Internet in den vergangenen Jahren zu einem wahren Eldorado der illegalen Geldbeschaffung gemacht. Jedes zweite Unternehmen war schon einmal Opfer eines Cyberangriffs, oft mit beträchtlichen Auswirkungen, auch wenn das viele nicht zugeben.
Und die Cyberkriminellen erweitern ihre Toolbox ständig. Von anlassbezogenen und automatisierten Spear-Phishing-Mails über Fake-Anrufe mit Handlungsaufforderung bis zu kontinuierlichen Erpressungsversuchen und Lieferkettenangriffen. Da stellt sich die Frage: Wie können Top-Manager sich und ihre Unternehmen wappnen?
Dilemma digitale Transformation
Wie kritisch diese Frage ist zeigt eine neue Befragung der Managementberatung Horváth unter 280 Topmanagern. Sie liefert zutage, wie hoch die Sensibilität bzw. Angst vor Angriffen aus dem Cyberspace mittlerweile ist. Im Ranking der wichtigsten Herausforderungen für Unternehmen steht Cyber Security mit 90 Prozent Zustimmung gleich nach dem Gebot zur digitalen Transformation (95%) an zweiter Stelle, noch vor dem Nachhaltigkeitsthema (83%). Industrieunternehmen mit Patent- und Produkt-Know-how geben der Prävention und Bekämpfung von Cyber-Kriminalität sogar oberste Priorität.
Das Dilemma: Die steigenden Cyberrisiken sind die negative Folge der digitalen Transformation, die wiederum Voraussetzung für den nachhaltigen Erfolg eines Unternehmens ist. Dieser Effekt schlägt inzwischen voll durch und kann gerade für Industrieunternehmen zur Existenzbedrohung werden. Mit zunehmender Vernetzung und intelligenter datengetriebener Unternehmenssteuerung steigt nämlich auch das Risiko von Cyberattacken, die Produktion und Logistik für mehrere Tage stilllegen und damit enormen Schaden anrichten können.
Wie Sicherheitslücken zu schließen sind
Vor allem in der Betriebstechnik (Operational Technology) bestehen oft gravierende Sicherheitslücken, da die Hard- und Software zur Steuerung und Überwachung von Produktionsanlagen – im Gegensatz zum Finanzwesen – in vielen Fällen veraltet ist. Hinzu kommt die fortschreitende Digitalisierung der Prozesse: Die ursprünglich in sich geschlossenen Systeme werden zunehmend extern vernetzt – so entstehen Schwachstellen, die Cyberkriminelle gezielt ausnutzen.
Zur Verbesserung der Security sollten Unternehmen einige Grundregeln beachten: Zunächst einmal: Schützen kann man nur, was man kennt. Daher ist eine detaillierte Analyse der bestehenden Applikationslandschaft inkl. der OT-Systeme unverzichtbar. Unabhängig davon ist eine Segmentierung empfehlenswert, um die Kommunikation zwischen den einzelnen Bereichen und Systemen abzusichern bzw. einzuschränken. Wichtig ist auch, die OT-Security nicht losgelöst von der IT-Security zu betrachten. Nur ganzheitliche Sicherheitskonzepte sind die Gewähr, dass Produktionsumgebungen tatsächlich vor Cyberangriffen geschützt werden.
Hohe Investitionen nicht zwingend erforderlich
Die gute Nachricht: Anders als viele Topmanager befürchten, sind hohe Investitionen in neues Inventar nicht zwingend erforderlich. Es gibt inzwischen gute OT-Security-Lösungen auf dem Markt, die ohne großen Aufwand in bestehende Infrastrukturen integriert werden können – z.B. auf OT-Umgebungen ausgerichtete Firewalls, die sämtliche Datenzuflüsse kontrollieren. Das muss im Einzelfall gut analysiert und mit Penetrationstests untermauert werden, die potenzielle Sicherheitslücken aufdecken, bevor kriminelle Hacker sie finden.
Entscheidend ist zudem, sich auf solche Angriffsmaschen vorzubereiten und die Cyber-Awareness unter der Belegschaft zu erhöhen. Wenn technische Schutzmechanismen versagen, muss gerade die Sicherheitskultur in der Organisation aufgerüstet werden.
Topmanager gefordert
Das US-Marktforschungsinstitut Gartner hat kürzlich die wichtigsten Cybersecurity-Trends für die nächsten Jahre veröffentlicht. „Zero Trust“ als Ausgangspunkt für alle sicherheitsrelevanten Fragen ist dabei als stärkste Antwort auf die zukünftigen Bedrohungen aus dem Netz zu sehen. Ein weiterer Trend: In den kommenden fünf Jahren werden 50 Prozent der Führungskräfte auf C-Level risikobezogene Leistungsanforderungen in ihren Arbeitsverträgen vorfinden.
Das zeigen mittlerweile alle Studien: Die meisten Vorstände sehen Cybersicherheit inzwischen als Geschäftsrisiko und nicht mehr nur als technisches Problem. Infolgedessen ist auch zu erwarten, dass sich die formale Verantwortlichkeit für die Behandlung und Abwehr von Cyber-Angriffen von den IT-Sicherheitsverantwortlichen auf die Führungsetage verlagern wird.
Fazit: Cyberattacken gehören weltweit zu den größten Unternehmensrisiken, doch insbesondere die Gefährdung von Industrieanlagen wird häufig unterschätzt. Um die existenzbedrohenden Angriffe auf Cloud-Dienste, Ransomware-Attacken, sowie Business Email Compromise abzuwehren, empfiehlt sich eine detaillierte Analyse der möglichen Schwachstellen innerhalb der eigenen IT- und OT-Systeme, die Einrichtung geeigneter Firewalls sowie Tests, die den Ernstfall simulier
Die Serie "Management Commentary" ist eine Kooperation von trend.at und der Managementberatung Horváth. Die bisher erschienen Beiträge finden Sie zusammengefasst im Thema "Management Commentary".
