Cyberattacke zwingt ein Unternehmen zum Konkurs

Unternehmen, die Opfer einer Cyber-Attacke wurden oder von Ramson befallen wurden, müssen nicht nur mit lang daurdenden Unterbrechungen des Betriebes und hohen Kosten der Abwehr und Behebung der Angriffsfolgen rechnen. Ein Angriff kann auch zum Schließen des Unternehmens führen. Diese für die Existenz eines Unternehmens gravierende Folgen berechtigten sehr wohl sinnvolle Investitionen in die präventiven und aufdeckenden Sicherheitsmaßnahmen. Für kleinere Unternehmen ist das Outsourcing der Security Prävention un Detection an einen professionellen Manage Security Service Anbieter wahrscheinlich die beste Lösung.

https://www.zdnet.com/article/company-shuts-down-because-of-ransomware-leaves-300-without-jobs-just-before-holidays/

Auto der Zukunft wird nach dem Prinzip "More from Less" gebaut

Ein wirklich schönes Konzept des Ressourcen-schonenden Autos hat Mercedes präsentiert bei CES 2020. Mercedes will im Jahr 2039 Autos herstellen, die vollständig Ressourcen-neutral sind. Dieses Ziel liegt noch recht weit in der Zukunft. So gesehen ist es eher eine Vision. Mercedes machte aber diese Vision viel konkreter mit den klar definierten Zwischenzielen, bei denen eine konkrete Reduktion bis auf 40% geplant ist. Das macht diese großartige Vision recht realistisch.

Die Idee dahinten ist, dass das Auto der Zukunft nicht nur bei der Nutzung CO2-neutral ist. Auch bei der Herstellung des Autos sollen so gut wie keine Ressourcen verbraucht werden. Mercedes will die Menge von Wasser und allen anderen Materialen, die für Erzeugung eines Autos notwendig sind, dramatisch reduzieren. Dazu werden neue Herstellungsmethoden aber auch Rohstoffe benötigt. Grundsteine dieser Idee sind drei "R" - Reduce, Recycle, Reuse. Das Unternehmen wird mit neunen Produktionsmethoden die Menge, der für die Herstellung eines Autos benötigten Rohstoffe reduzieren - Reduce. Gleichzeitig sollte das Auto so gebaut werden, dass einzelne Bauteile wieder für neue Autos oder für andere Zwecke benutzt werden können - Reuse. Das was dann übrig bleibt sollte leicht entsorgbar sein. Der aus Schweden stammende CEO von Mercedes erwähnt hier sogar gänzlich neuartige Batterien, die aus organischen Stoffen hergestellt werden. Diese Batterien können dann einfach kompostiert werden - Recycle. 

Es ist eine absolut tolle Idee, die leider durch die Präsentation des futuristischen Avatar-Autos kaum Aufmerksamkeit bekam. Ich halte sie jedoch als wichtiger Beitrag für die Lösung vieler unserer derzeitigen Probleme. Eine Technologie, die ermöglicht, mehr zu produzieren und das mit weniger Ressourcen, wird die Umwelt weniger belasten und womöglich uns auch helfen, die Klima-Katastrophe abzuwenden.  

Über solche Technologien wird derzeit nicht nur bei Mercedes nachgedacht. In vielen Fällen gibt es schon heute sparsame Technologien. Andrew McAfee, Co-Autor des Buches "The Second Machine Age" beschreibt diese Entwicklung in seinem neuen Buch "More from less". Andrew McAfee zeigt den enormen Einfluss, welchen Technologie auf unseren Leben in letzten 200 Jahre gehabt hat. Dank dem technologischen Fortschritt hat die Menschheit viele Krankheiten, Armut und andere Probleme aus der Vergangenheit beseitigt. Technologie hat einen nie dagewesenen Wohlstand für so viele geschaffen. Die Schattenseite dieser Entwicklung war der starke Verbrauch der Naturressourcen und negative Auswirkung auf Umwelt und Klima. Damit ist jetzt Schluss, behauptet Andrew McAfee. In letzten Jahren kann die westliche Wirtschaft mehr produzieren und dabei weniger verbrauchen als früher:

"In recent years we’ve seen a different pattern emerge: the pattern of more from less. In America—a large, rich country that accounts for about 25 percent of the global economy—we’re now generally using less of most resources year after year, even as our economy and population continue to grow. What’s more, we’re also polluting the air and water less, emitting fewer greenhouse gases, and seeing population increases in many animals that had almost vanished. America, in short, is post-peak in its exploitation of the earth. The situation is similar in many other rich countries, and even developing countries such as China are now taking better care of the planet in important ways."

Neben Fortschritt in der Technologie sind Kapitalismus (produziere immer mehr zu geringeren Kosten), öffentliches Bewusstsein und reaktionsfähige Regierungen die 4 Grundlagen dieser positiven Entwicklung. Wir dürfen dabei nicht vergessen, dass die Fähigkeit mehr zu produzieren und weniger Ressourcen zu verbrauchen hilft, die Herausforderungen der Zukunft zu meistern. Das allein ist aber zu wenig, um grundlegende Herausforderungen wie Klima-Katastrophe zu meistern. 

Künstliche Intelligenz schafft mehr Jobs als sie vernichtet

Noch eine optimistische Stimme über unsere Zukunft. Byron Reese, der das Buch "Infinite Progress" geschrieben hat, behauptet, dass die Künstliche Intelligenz mehr Jobs generieren wird als sie vernichtet. Seine These ­­stützt Byron Reese auf der Analyse der bisherigen Geschichte der Technologie. Neue Technologien haben zwar immer viele alte Jobs obsolet gemacht. Sie haben aber gleichzeitig viele neue Jobs kreiert. Wir können uns gar nicht in voraus vorstellen, welche neue Möglichkeiten neue Technologien schaffen. Erst danach sehen wir, welch enorme positive Wirkung für uns alle diese neuen Technologien hatten und wie viele neue Unternehmen und Jobs dank der neuen Technologie entstanden sind. Die neuesten Entwicklungen, wie z.B. Internet beweisen es:

           

„The obvious changes did occur. But a slew of unexpected changes happened as well. We got thousands of new companies worth trillions of dollars. We bettered the lot of virtually everyone on the planet touched by the technology. Dozens of new careers emerged, from web designer to data scientist to online marketer. The cost of starting a business with worldwide reach plummeted, and the cost of communicating with customers and leads went to nearly zero. Vast storehouses of information were made freely available and used by entrepreneurs around the globe to build new kinds of businesses.“

Byron Reese erwartet also, dass Künstliche Intelligenz eine ähnliche Auswirkung haben wird. Etliche Jobs werden durch Automatisierung nicht mehr benötigt. Gleichzeitig schafft AI ganz neue Möglichkeiten, Geschäfte zu machen. Die menschliche Mitwirkung wird nach wie vor wichtig und eine Fülle an neuen Jobs wird entstehen. 

Ich kann mich durchaus vorstellen, dass die von Byron Reese vorgestellten Szenarien sich auch bewahrheiten. Leider beschäftigt er sich nicht mit dem Tempo der Veränderungen. Menschen sind fähig, sich an neue Situation anzupassen, wenn die Veränderung relativ langsam stattfindet. Wir erwarten aber mit AI eine Beschleunigung der Veränderung. Die entscheidende Frage ist, ob alle ausreichend schnell sich dann umstellen werden können.

https://singularityhub.com/2019/01/01/ai-will-create-millions-more-jobs-than-it-will-destroy-heres-how/

Die beste Dekade in der Geschichte der Menscheit

Es gibt sie noch, die Optimisten. Es gibt noch Wissenschaftler, Journalisten und Technikenthusiasten, die trotz der weit-verbreiteter Meinung, dass alles zunehmend schlechter wird, nicht aufhören wollen zu behaupten, dass die Welt stetig besser wird.

Manche von Ihnen arbeiten sehr stark mit Statistiken und zeigen damit wie alle Aspekte unseres Lebens sich kontinuierlich verbessern. Steven Pinker zeigt in seinem Buch „Aufklärung“ wie die Wissenschaft und Säkularisierung zu der wichtigsten Kraft der positiven Veränderung wurde. 

Noch stärker in den Statistiken verliebt war Hans Rosling. In seinem Buch „Facfullness“ zeigte er anhand von sehr vielen Statistiken wie sich unseres Leben in letzten hundert Jahren verbessert hat. Alle möglichen Statistiken über Lebensdauer, Armut, Bildung, Bekämpfung der Krankheiten, Gewalt usw. zeigen, dass wir in einer der besten Zeitperioden der Menschengeschichte leben.

Peter Diamandis kennt natürlich den Grund dieser positiven Entwicklung. Es ist die Technologie wie man in seinen Blog-Beiträgen nachlesen kann. Enormer Fortschritt der Technologie ermöglicht die Lösung sehr vielen Herausforderungen, vor denen die Menschheit steht. Ein Nebeneffekt dieser Entwicklung ist die massive Verbilligung der Produktion. 

Matt Ridley, der Verfasser des Buches „The Rational Optimist“, ist der Meinung, dass die zweite Dekade dieses Jahrhunderts die Beste in der Geschichte der Menschheit ist. In seinem Blog schreibt Matt Ridley, dass der Lebensstandard der meisten Menschen sich stark verbessert hat, dass immer weniger Menschen im Armut leben und hungrig sind. Viele der bis vor kurzem gefährlichen Krankheiten wurden ausgerottet. 

Noch interessanter ist der Trend zur Reduktion der Menge der Stoffe, die für die Erzeugung der Produkte benutzt werden. Trotz der Steigerung der Produktion werden erstes Mal in der Geschichte weniger Materialen wie Wasser, Rohstoffe und sogar Energie dafür benötigt. Matt nennt diesen Trend „Do more with less“. 

Die Optimisten sind der Meinung, dass diese viele Fakten eindeutig belegen, dass die Menschheit in der Lage ist, mit Hilfe der Technologie viele Herausforderungen zu meistern und eine bessere Welt für alle zu schaffen. 

Man könnte fragen, warum angesichts dieser Fakten unsere tägliche Wahrnehmung eher negativ ist. Warum sehen wir eher mehr Probleme als weniger und warum sehr viele von uns glauben, dass die Welt in der Vergangenheit eine bessere war? Schuld daran ist erstens unsere Konzentration auf die Gefahren. Menschen sind konditioniert, Gefahren und Bedrohungen stark zu beachten. Die guten Errungenschaften nehmen wir als selbstverständlich nicht explizit wahr. Zweiter Grund dieser schiefen negativen Wahrnehmung sind die Medien. Medien funktionieren leider nach dem Motto „Good news is no news“ und berichten nur über negative Vorkommnisse und alle möglichen Bedrohungen. 

Das führt natürlich zu einer verzerrten, unrealistischen Sicht der Entwicklung. Man muss froh sein, dass es noch etliche Optimisten gibt, die uns eine positivere, fakten-basierende Sicht der Lage präsentieren und uns vor dem Verfall in bodenlose Traurigkeit bewahren.

Zero Trust ist einer der wichtigsten Prinzipien der modernen Sicherheit

Der im Artikel Dr. Datenleck (C‘T Ausgabe 25, 2019 - https://www.heise.de/select/ct/2019/25/1575649819093453) beschriebener Fall der Kompromittierung der hoch sensiblen Daten von ca 30.000 Patienten zeigt deutlich, wie wichtig die ständige Überprüfung der Sicherheitseinstellungen ist. Bei dem konkreten Fall handelt es sich um Daten der Patienten einer Arztpraxis, die für alle aus Internet eine zeit lang offen zugänglich waren. Der Server, auf dem die Daten gespeichert worden sind, sollte nur über Port 443 aus Internet erreichbar sein. Der Server war jedoch über Ports 440 bis 449 erreichbar. Damit war die SMB Schnittstelle des Servers offen aus Internet zugänglich. Nach dem Hinweis der Redaktion hat der zuständige IT-Techniker die Konfiguration des Routers korrigiert. Für die Arztpraxis und den IT-Techniker war somit der Fall erledigt. Die C‘T Redakteure haben nach einigen Tagen wiederholt die Einstellung überprüft und stellten fest, dass auf die Daten auf dem Server wieder jeder aus Internet zugreifen kann. Nach weiterer Recherche fand man heraus, dass das Problem auf einen Fehler in der Firmware des Routers zurückzuführen ist.

Dieser Fall ist typisch. Sehr oft werden präventive Sicherheitsmaßnahmen etabliert und im besten Fall gleich nach dem Aufsetzen nur einmal getestet. Man nimmt an, dass diese Maßnahmen dann immer richtig wirken. Das ist leider sehr oft nicht der Fall. Das zeigt der gerade beschriebene Vorfall sehr deutlich.

Was kann in solchen Fällen helfen? Was muss man tun, um das Risiko des Datenverlustes zu minimieren?

Man muss bei der Einrichtung der präventiven Maßnahmen immer das „Zero Trust“ Prinzip anwenden. Man muss also davon ausgehen, dass unter gewissen Umständen unsere Prävention versagt und nicht mehr richtig funktioniert. Man muss neben den präventiven Maßnahmen sofort auch entsprechende Überwachung einrichten. Ziel dieser Überwachung ist die ständige Überprüfung der Wirksamkeit der eingesetzten präventiven Kontrollen. In dem geschilderten Fall muss man zumindest ständig Portscans machen und alarmieren, falls unnötige offene Ports gefunden werden.

Ähnliche Situation betrifft auch zum Beispiel das Patching von Sicherheitsschwachstellen. Sehr viele Unternehmen patchen ihre IT-Systeme nur teilweise. Es werden Patches nur für bestimmte Software-Produkte (sehr oft nur Produkte von Microsoft, weil diese in SCCM voll integriert sind) eingespielt. Noch immer wird viel zu selten überprüft, ob alle diese Patches tatsächlich auf allen IT-Systemen des Unternehmens richtig installiert sind. Auch hier muss man das Prinzip „Zero Trust“ anwenden und mit einem Vulnerabilty Scanner alle IT-Systeme auf fehlende Sicherheitspatches überprüfen. Die Erkennung der Sicherheitsschwachstellen sollte erstens ständig „continuous“ erfolgen und mit einem Risiko Assessment verknüpft sein. Continuous Vulnerability Assessment ist ein Teil von CARTA (Continuous Adaptive Risk and Trust Assessment), einen modernen, von Gartner vorgestellten Konzept. Es ist eine der wichtigsten Sicherheitsmaßnahmen, welche CISO in nächster Zeit im Unternehmen umsetzen muss:

“If you can do only two things in 2019, implement an intelligent, CARTA-inspired approach to vulnerability management project and MFA for admins.” –Brian Reed, Gartner Analyst

Der geschilderte Verlust der Daten von 30.000 Patienten, zeigt deutlich wie wichtig die Befolgung des „Zero Trust“ Prinzip ist und mit welchen Konsequenzen Unternehmen zu rechnen haben - hohe Strafen für die Verletzung von DSGVO.

Hacking Humans - Yuval Harari spricht über Gefahren, die neue Technologien mit sich bringen

Yuval Harari, der berühmte Geschichtsprofessor, spricht in diesem Talk ( https://www.wired.com/…/yuval-harari-tristan-harris-humans-… ) über die Gefahr, die neue Technologien für die Menschen darstellen. Yuval Harari sieht die Gefahr massiver, für sie Menschen unsichtbarer Manipulationen, die dank der künstlichen Intelligenz (KI) bald möglich sein wird. Harari meint, dass wir uns dem Punkt nähern, in dem die KI-Technologie uns besser verstehen wird als wir uns selbst. Das wird privaten Unternehmen aber auch Regierungen ermöglichen, gewünschte unbemerkbare Veränderung unseres Verhalten zu bewirken.

Es ist nichts neues in der Tatsache, dass unterschiedliche Organisationen, Interessengruppen oder einfach andere Menschen uns versuchen, zu beeinflussen. Jeden Tag sind wir einer Unmenge der Informationen ausgesetzt, die unseres Kaufverhalten, politische Meinung und vieles mehr lenken möchte.

Wir glauben etwas naiv, dass wir alle diese Informationen analysieren können und in Ruhe unsere Entscheidung treffen. Wir glauben, dass wir ganz unabhängig in der Meinungsbildung sind. Das stimmt es aber nicht. Wir wurden schon in der Kindheit durch unsere Eltern, Familie und nahe Bekannten massiv geprägt (nur so kann man erklären, warum die Mehrheit von uns die Religion der Eltern und einige anderen Überzeugungen übernimmt) und im Laufe der Zeit geht diese Beeinflussung weiter durch die viele speziell vorbereitete, meistens recht emotionale Botschaften, die an uns gerichtet sind.

Was bis jetzt aber noch nicht gab, ist die gezielte individuelle Manipulation durch Information, die für jede und jeden extra angepasst ist. Diese absolut individuelle, auf die Person angepasste Manipulation wird mit Hilfe von KI und Big Data demnächst möglich sein. KI wird alle möglichen Informationen über uns sammeln und auswerten. KI wird genau wissen wie wir auf bestimmte Reize reagieren, was wir mögen und was nicht. KI wird es viel besser wissen als wir selbst. Somit wird die Manipulation möglich sein, die unter unserer Wahrnehmung liegen wird. AI wird uns so beeinflussen, dass wir diese Manipulation gar nicht merken.

Das ist eine große Gefahr, mit der wir uns jetzt intensiv auseinandersetzen müssen. Man muss natürlich auch die positive Seite dieser Technologie erwähnen. Im Interesse von uns kann KI uns helfen, bessere Entscheidungen zu treffen. Wie immer bei der Technologie kann nicht sagen, ob sie gut oder schlecht ist. Alles hängt davon ab, wie und wofür sie verwendet wird.

Der Einfluss der KI auf uns, Menschen, wird so gewaltig sein, dass wir sinnvolle Regeln für die Anwendung von AI sehr rash erstellen müssen. Man kann die Ausrichtung und Nutzung von KI in keinem Fall den privaten Unternehmen alleine überlassen. Auch der Einsatz der KI durch staatliche Organisationen sollte einer gesellschaftlichen Kontrolle unterstellt werden. Das wichtigste Ziel bei Einsatz und Weiterentwicklung von KI sollte das Wohl der Menschen sein. KI darf nur dann für partikuläre Ziele der privaten Unternehmen oder stattlichen Organisationen genutzt werden, wenn dieser Einsatz nicht im Widerspruch mit dem obersten Ziel - Wohl der Menschen - steht. Amy Webb schreibt in Ihrem Buch "Die großen Neun" darüber so:

"Wir brauchen „eine klar formulierte Erklärung, dass die Menschheit im Mittelpunkt der KI-Entwicklung stehen und sich alle künftigen Bestrebungen auf die Verbesserung Ihrer Lebensumstände richten sollen“ 

Cybersecurity im Digitalen Wandel – Die wichtigsten Bedrohungen, Trends und entscheidende Maßnahmen

Ein Interview, durchgeführt am 9 Februar 2017 

Inwieweit verändert sich durch den digitalen Wandel die Bedeutung von IT-Security?

Die zukünftige Rolle von IT-Security – und hier würde ich lieber über Information Security sprechen, weil eben die Sicherheit der Information entscheidend sein wird – hängt sehr stark von Veränderungen ab, die der digitale Wandel mit sich bringt und weiterbringen wird. Was wird sich grundsätzlich ändern? Ich denke es sind vor allem vier Aspekte: 1. Daten werden zum Hauptrohstoff der digitalen Wirtschaft, 2. alle Geschäftsprozesse werden weitgehend vollständig automatisch ablaufen, 3. zentrale Plattformen werden viele Geschäftsprozesse auf Basis von Big Data und künstlicher Intelligenz managen, 4. dezentrale Kommunikation basierend auf Blockchain-Technologie und IoT schafft autonome Peer2Peer Systeme, die viele Daten erfassen und austauschen werden, um autonome Entscheidungen zu treffen. Digitale Wirtschaft wird also massiv data-centric sein. Sogar in der Produktion der materiellen Güter wird das Wissen wie man produziert am wertvollsten sein. Unternehmen, die Daten und intelligente Analyse-Technologie zur Verfügung haben, werden zu den Gewinnern des digitalen Zeitalters zählen. Vielleicht – wobei das eher noch eine Vision ist – erleben wir eine Zeit, in der in den Bilanzen der Unternehmen statt dem “klassischen”, auf materiellen Werten basierenden Anlagevermögen die Position Datenvermögen auftauchen wird.

Die Automatisierung, die nicht nur die Menschen bei der Arbeit unterstützt, sondern sogar fast vollständig ersetzt, sehen wir schon jetzt in der Finanzbranche bei Daily Trading und anderen Finanzprozessen. Interessant ist, dass auch sehr viele Angriffe gegen unsere Unternehmen automatisch durchgeführt werden.

Daraus ergeben sich klare Anforderungen an Information Security von morgen: Schutz der wichtigen Daten des Unternehmens und Sicherstellung der einwandfreien Funktionsweise der automatisierten Geschäftsprozesse. Wenn ein Unternehmen es nicht schafft seine digitalen Werte vor Dieben und der Konkurrenz zu schützen, wird es bald Bankrott gehen.

Was müssen Unternehmen im Bereich IT-Security tun, um im digitalen Business erfolgreich zu sein?

Unternehmen müssen zunächst eine einfache, schnell anpassbare Strategie entwickeln. Eine solche Strategie berücksichtigt den Wert der Daten für das Unternehmen und die größten Gefahren und leitet daraus die erforderlichen und praktischen Sicherheitsmaßnahmen ab. Die Cybersecurity muss weitgehend automatisch erfolgen. Das ist die einzige Chance, automatische Angriffe rechtzeitig zu erkennen und abzuwehren. Unternehmen müssen auch überprüfen, ob sie über eine ausreichende Zahl an kompetenten Ressourcen verfügen und ob es nicht sinnvoller ist, diese Aufgabe an ein Managed Security Service zu übergeben.

Das ist besonders wichtig angesichts der rasanten Zunahme der Bedrohungen und der zunehmenden Stärke der Angriffe – z. B. ist die DDOS Angriffsstärke im Jahr 2016 von 300 Gbit per second auf 1,2 Terabit per second gestiegen, also um das Vierfache!

Was sind die wichtigsten Risiken, mit denen Unternehmen im Bereich Cybersecurity umgehen müssen?

Es gibt sehr viele Gefahren für jedes Unternehmen im Bereich Cybersecurity. Das Internet ermöglicht Angriffe gegen unsere Unternehmen von jedem Ort der Welt. Alle Internet-Nutzer der Welt können zumindest potentiell versuchen, Daten zu stehlen oder unsere Unternehmen zu infiltrieren. Je mehr Geschäft online stattfindet, umso mehr lockt es potentielle Angreifer. Die Angreifer wollen schnell Geld machen, sei es durch die Erpressung oder durch Verkauf oder Nutzung der gestohlenen Daten. Zur Zeit ist es auch ein relativ leicht “verdientes Geld”. Die Hauptrisiken sind derzeit aus meiner Sicht vor allem 1. Unterbrechung der wichtigen Geschäftsprozesse (DDOS mit Erpressung), 2. Malware-Infektion (Infiltration des Unternehmens mit diversen Absichten oder Ramsonware), 3. Online-Fraud, Betrug (CEO Fraud, Rechnungen mit gefälschten Bankkontodaten, …), 4. Datendiebstahl. Die Erpressungsversuche mit Ramsonware und DDOS sind aktuell sehr populär. Solche Angriffe kosten den Angreifer fast nichts, auf jeden Fall viel weniger als der Schaden, den sie anrichten. Angreifer nutzen hier die vorhandenen Botnetze und die Schwäche der Cybersecurity in vielen Unternehmen aber auch Anonymität, die z.B. Bitcoin-Zahlung garantiert.

Ich möchte hier auch auf das Problem des Identitätsdiebstahls hinweisen. Die Zahl der gestohlenen Identitäten ist erschreckend hoch und beträgt für das Jahr 2016 mehr als eine Milliarde. Jede dieser gestohlenen Identitäten kann (und wird in vielen Fällen bereits) für Angriffe gegen die Unternehmen genutzt werden.

Inwieweit verändert sich der rechtliche Rahmen?

Der Gesetzgeber ist in letzter Zeit sehr aktiv und sorgt mit diversen gesetzlichen Initiativen für mehr Sicherheit. Es ist eine klare Tendenz erkennbar, Schutz der Daten und Schutz gegen Cyber Kriminalität mit rechtlichen Maßnahmen zu verbessern. Hier kann man in erster Linie zwei Gesetze der EU erwähnen: Datenschutzgrundverordnung (EU-DSGV) und Network & Information Security (NIS). EU-DSGV betrifft alle Unternehmen, die personenbezogene Daten verarbeiten, also praktisch alle. Bis 25. Mai 2018 haben Unternehmen Zeit, sich auf das neue Gesetz vorzubereiten. EU-DSGV zwingt alle Unternehmen – unter Androhung extrem hohen Strafen – den Schutz der Daten natürlichen Personen zu garantieren.

Für NIS wird derzeit die österreichische Fassung unter dem Namen Cybersecurity Gesetz vorbereitet. Das Ziel ist hier, den Schutz kritischer Infrastruktur (also Infrastruktur, die für normales Funktionieren der Gesellschaft extrem wichtig ist) zu erhöhen. Provider der kritischen Infrastruktur, aber auch Unternehmen aus einigen anderen Branchen, die für Online-Wirtschaft wichtig sind, werden verpflichtet, ihre Netze gut zu schützen und im Falle eines Vorfalls die Behörde darüber zu informieren.

Man muss hier auch die vielen regulativen Sicherheitsvorgaben in diversen Branchen erwähnen, wie Telekommunikation, Energie oder Banken. Heutzutage sind Unternehmen zunehmend mit gesetzlichen oder regulativen Sicherheits-Vorgaben und Auflagen konfrontiert.

Die CISOs haben den Ruf, Innovationen zu verhindern, Arbeitsabläufe zu erschweren und sind generell eher lästig – Muss das so sein?

Nein, es muss nicht so sein.

Auf einer Seite besteht das Problem darin, dass viele Unternehmen noch nicht erkannt haben, wie wichtig die Daten und deren Verfügbarkeit für den Erfolg des Unternehmens sind. Der CISO sieht schon viele Gefahren kommend, die die anderen im Unternehmen derzeit ignorieren oder bagatellisieren. Trotz der vielen Angriffe, die fast täglich stattfinden, wollen sehr viele Unternehmen die Gefahr noch nicht wahrnehmen. Erst wenn Unternehmen merken, wie viel Geld dabei verloren gehen kann, beginnt das Umdenken. Anderseits erschweren sehr oft Sicherheitsmaßnahmen die Flexibilität der Arbeit. CISOs haben in der Vergangenheit auch zu oft versucht, alle möglichen Sicherheitsmaßnahmen zu etablieren, auch Maßnahmen, die schon etwas veraltet oder nachweislich wenig erfolgreich waren.

Wie kann man es also ändern? Die gute Cybersecurity-Strategie muss von dem ganzen Unternehmen und hier vor allem von den Geschäftsführern und Vorständen getragen werden. Jedes Unternehmen muss sich die Frage stellen, wie viel Sicherheit benötigt wird. Und ob es bereit ist, gewisse aus Sicherheit resultierende Einschränkungen im Kauf zu nehmen. Man darf dabei nicht vergessen, dass es keine 100%-ige Sicherheit gibt und Kosten mit dem Grad der Sicherheit steigen. Jedes Unternehmen sollte also aus der Business-Perspektive entscheiden, wie viel Sicherheit absolut notwendig und akzeptabel ist. Das verbleibende Risiko muss man dann akzeptieren. Wenn so eine Cybersecurity-Strategie von CISO mit dem Business gemeinsam ausgearbeitet wird, wird die Akzeptanz der sich daraus ergebenden Maßnahmen kein großes Thema sein.