Sie sind hier: Home » Markt » Hinweise & Tipps

Cyber-Sicherheit muss strategisches Thema werden


IT- und OT-Sicherheit: Was (nicht nur) KRITIS-Anbieter in der EU beachten sollten
Die ganzheitliche und konsolidierte Betrachtung des Sicherheitsaspekts wird – zusammen mit Risikomanagement – immer notwendiger




Von Lothar Hänsler, Operating Officer bei Radar Cyber Security

Betreiber kritischer Infrastrukturen sind immer stärker im Visier von Cyber-Kriminellen. Mittlerweile geht es den Angreifern nicht allein darum, Geld zu machen. Immer häufiger üben sie Druck auf ihre Opfer aus und drohen, gestohlene Daten zu veröffentlichen oder ohne Wissen der Betroffenen im Darknet anzubieten. In immer mehr Fällen beabsichtigen sie auch, Netzwerksysteme – auch die nationalstaatlichen – empfindlich zu stören. Ein bedrohlicher Trend, der 2023 weiter Fahrt aufnehmen wird.

Wer sich einmal die Mühe macht und genauer in den aktuellen Investment-Report der Agentur der Europäischen Union für Cyber-Sicherheit ENISA schaut, erfährt Erschreckendes über die Nachlässigkeiten europäischer Betreiber kritischer und digitaler Dienste – allen Cyber-Gefahren zum Trotz: Die durchschnittlichen Budgets für IT-Sicherheit haben sich 2022 im Vergleich zum Jahr davor mit 6,7 Prozent noch einmal um ein Prozent verringert. Der Gesamtschaden für Unternehmen und Organisationen, der auf Cybercrime zurückzuführen ist, wird für das Jahr 2022 laut Statista auf eine verheerende Summe von 203 Milliarden Euro allein in Deutschland geschätzt. Finanzsektor und Gesundheitswesen sind nach wie vor die Bereiche mit den höchsten Kosten für Zwischenfälle.

Und es geht noch schlimmer: Lediglich ein Viertel (27 Prozent) der befragten öffentlichen Arbeitsverwaltungen im Gesundheitssektor verfügt über ein spezielles Programm zur Abwehr von Ransomware. Zudem haben vier von zehn (40 Prozent) der befragten Behörden kein Awareness-Programm zur Sensibilisierung ihrer Mitarbeitenden parat. Und nach wie vor ist die sich ständig verändernde Bedrohungslage um Ransomware und E-Mail eine der größten Gefahren für Unternehmen und Behörden.

Technologie, Awareness und Prozesse
Nicht nur als Folge des russischen Angriffskriegs auf die Ukraine sollten viele KRITIS-Betreiber 2023 die gegenwärtige Bedrohungslage ernst nehmen. Cyber-Angriffe sind mittlerweile ein Mittel der politischen Auseinandersetzung. Die behördlichen IT-Systeme werden aller Voraussicht nach künftig vermehrt DDoS-Attacken verzeichnen. Organisationen, Unternehmen und Behörden sollten daher ihr Hauptaugenmerk auf die E-Mail-Security lenken und auf ein dreiteiliges Maßnahmenpaket setzen, bestehend aus Technologie, Personal und Prozessen.

IT-Infrastrukturen müssen konsequent resistenter werden. Zero-Trust-Netzwerke, die Absicherung von Remote-Zugängen sowie der Einsatz von Endpoint Detection and Response (EDR) werden künftig unverzichtbar sein. Da das industrielle Internet der Dinge (kurz IIoT) immer mehr im Fokus von Hackern liegt, ist es außerdem ratsam, IT- und OT-Security sicher zu verbinden. Äußerst wichtig ist es auch, sich auf die Aufklärung und Sensibilisierung der Mitarbeitenden zu konzentrieren. Das hilft aber effektiv nur weiter, wenn es sich um eine kontinuierliche Bewusstseinskampagne handelt.

Die ganzheitliche und konsolidierte Betrachtung des Sicherheitsaspekts wird – zusammen mit Risikomanagement – immer notwendiger. Noch betreibt knapp über ein Drittel der europäischen KRITIS-Unternehmen und Anbieter digitaler Services kein Security Operation Center (SOC). Im Energiesektor ist es weniger als jeder Dritte der europäischen KRITIS-Betreiber, der seine OT-Prozesse von einem SOC überwachen lässt.

Cyber-Sicherheit muss strategisches Thema werden
Zwar kann ein Chief Information Security Officer (CISO) mit dem richtigen Einsatz der Produkte, Prozesse und Mitarbeiter viel Schaden abwenden. Ein gelungener Ransomware-Angriff, verbunden mit der Verschlüsselung kritischer Informationen, hat jedoch eine gesamtgeschäftliche Auswirkung. Die Entscheidung, ob im Ernstfall Lösegeld gezahlt werden soll, ist eine wirtschaftliche Entscheidung. Sie obliegt nicht allein dem CISO. Die Vorbereitung auf etwaige Cyber-Angriffe, unterstützt durch Trainings wie zum Beispiel Table-Top-Übungen, ist ein Schlüsselelement der Geschäftskontinuität. Zudem werden Geschäftsführungen durch den Zeit- und Entscheidungsdruck anfälliger für die Erpressung. Auch hier gilt es gegenzusteuern. Eine starke Cyber-Resilienz ist daher längst nicht mehr alleinige Aufgabe der IT-Abteilung – sondern muss ein strategisches Thema sein, mit dem sich das Management seine Handlungsfähigkeit sichert.

Um sich zu schützen, reicht eine Maßnahme allein nicht aus. Doch mit einem mehrschichtigen Sicherheitsansatz aus kontinuierlichen Mitarbeitertrainings, robusten Prozessen zur Sicherung der Geschäftskontinuität, europäischer Erkennungstechnologie und professioneller Unterstützung durch Security-Personal lassen sich die Risiken minimieren. Vorbereitete, resiliente Organisationen können verdächtige Vorgänge richtig einordnen und entsprechend darauf reagieren, bevor der große Schaden eintritt – auch im neuen Jahr 2023.

Über den Autor
Lothar Hänsler ist seit 2019 Operations Officer und leitet das Cyber Defense Center des Sicherheitstechnologie-Spezialisten und Managed-Security-Service-Providers Radar Cyber Security.
(Radar Cyber Security: ra)

eingetragen: 03.03.23
Newsletterlauf: 24.05.23

Radar Cyber Security: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.


Kostenloser Compliance-Newsletter
Ihr Compliance-Magazin.de-Newsletter hier >>>>>>


Meldungen: Markt / Hinweise & Tipps

  • Stresstest der Europäischen Zentralbank

    Am 2. Januar 2024 hat der Stresstest der Europäischen Zentralbank für große Institute im Euroraum begonnen. Insgesamt sind mehr als 100 Banken betroffen, ein tiefer gehender Test steht im Nachgang für über 20 dieser Banken an. Mit der "Trockenübung" eines Cyberangriffs möchte die EZB Melde- und Wiederherstellungsprozesse der Banken prüfen. Welche größeren Schwachstellen wird die EZB dabei identifizieren?

  • Compliance, Regulierung und betriebliche Risiken

    Betriebsleiter jonglieren täglich mit unterschiedlichen Risiken. Es ist ihre Aufgabe, bestehende Risiken zu bewerten und abzuschwächen sowie Strategien zur Vermeidung künftiger Risiken zu entwickeln. Dabei steht viel auf dem Spiel: Risikofolgen reichen von Produktivitätsverlusten - während die Mitarbeiter mit der Behebung von Fehlern beschäftigt sind - bis hin zu Geldverschwendung, wenn Fristen und Fortschritte nicht eingehalten werden.

  • An der Quelle der Informationen beginnen

    Im Kontext steigender Cyberbedrohungen gewinnt die strikte Einhaltung bzw. Umsetzung entsprechender Compliance-Vorschriften stetig an Bedeutung. Als Bereitsteller kritischer Infrastruktur gilt insbesondere für Finanzunternehmen, IT-Ausfälle und sicherheitsrelevante Vorfälle zu verhindern, um für die Aufrechterhaltung des Betriebs zu sorgen.

  • DORA-Compliance komplex

    Bereits im Januar 2023 ist der Digital Operational Resilience Act (DORA), eine Verordnung der europäischen Union, in Kraft getreten. Umzusetzen ist das EU-Gesetz bis zum 17.01.2025. Obwohl es sich vorrangig an den Finanzsektor richtet, können auch andere Unternehmen, wie beispielsweise IT-Dienstleister davon betroffen sein.

  • Umsetzung der ESG-Verordnung

    Im Sommer 2021 wurde von der EU das "Europäische Klimagesetz" verabschiedet. Es soll helfen, den Klimaschutz spürbar voranzutreiben. Eine der beschlossenen Maßnahmen ist das sogenannte ESG-Reporting, das viele Unternehmen erst einmal vor Herausforderungen stellt.

Wir verwenden Cookies um unsere Website zu optimieren und Ihnen das bestmögliche Online-Erlebnis zu bieten. Mit dem Klick auf "Alle akzeptieren" erklären Sie sich damit einverstanden. Erweiterte Einstellungen