Bedrohungen aus dem Cyberspace überfordern Vorstände

Laut einer aktuellen Studie zum Thema Cyber-Sicherheit der globalen Risikomanagementberatung Control Risks fühlen sich viele Führungskräfte angesichts der Bedrohungen aus dem Cyberspace überfordert. Die von Control Risks weltweit durchgeführte Umfrage unter Führungskräften und IT-Entscheidern ergab, dass fast die Hälfte der Befragten davon überzeugt ist, die Führungsetage ihres Unternehmens würde Cyber-Risiken nicht ernst genug nehmen.

77 Prozent der von Control Risks Befragten sehen die Mitglieder der Führungsebene als Hauptverantwortliche für Cyber Security Management in ihrem Unternehmen an − und nicht die traditionell zuständige IT-Abteilung. Gut 31 Prozent der Befragten gaben zudem an, sehr oder sogar extrem besorgt zu sein, ihr Unternehmen könne im Laufe des nächsten Jahres Opfer einer Cyber-Attacke werden. Bei einem Drittel (34 Prozent) der Unternehmen sei jedoch kein Krisenmanagement-Plan für den Fall eines Cyber-Angriffs vorhanden.

Angesichts des bis dato schwersten Malware-Angriffs vom 12. Mai 2017, der WannaCry Ransomware-Attacke, bei der in weniger als zwölf Stunden 150 Länder betroffen waren, ist dieser Mangel an Vorbereitung erstaunlich.

Schlüsselerkenntnisse der Studie:

Unternehmen tun sich mit einem risikobasierten Ansatz schwer: Obwohl immer mehr Unternehmen mittlerweile erkannt haben, dass die Erfüllung von regulatorischen Minimalanforderungen nicht ausreicht und stärker daran arbeiten möchten, die Risiken einer Cyber-Attacke tatsächlich zu reduzieren, sehen fast die Hälfte (45 Prozent) die Identifikation, Analyse und Reduzierung dieser Risiken als ihre größte Herausforderung an.
Verstöße durch Drittparteien bereiten zunehmend Sorge: Etwas über ein Drittel (35 Prozent) der Befragten gab an, ihr Unternehmen hatte in der Vergangenheit bereits mit Sicherheitslücken aufgrund von Drittparteien zu kämpfen. Zwar ergriffen neun von zehn Befragten (93 Prozent) Schritte, um die Cyber-Sicherheitsmaßnahmen ihrer Drittparteien zu überprüfen. Diese beschränkten sich bei 53 Prozent jedoch lediglich auf rein vertragliche Klauseln.
Cyber-Angriffe haben schwere Langzeitauswirkungen: Vier von zehn Befragten gaben an, ein Cyber-Angriff habe bereits zum Missbrauch sensibler oder vertraulicher Informationen (43 Prozent), beziehungsweise zum Verlust von Kundendaten (41 Prozent) geführt.

„Cyber-Sicherheit wird häufig noch immer als rein technische Herausforderung und weniger als ein übergreifendes Geschäftsrisiko angesehen“, erklärt Harald Nikutta, Senior Partner bei Control Risks Deutschland. „Wie unsere Umfrage zeigt, kann diese eingeschränkte Sichtweise vielen Unternehmen auf Dauer erhebliche Sorgen bereiten. Wir empfehlen, einen möglichst umfassenden Blick mit Bezug zu konkreten Bedrohungen auf das jeweilige Unternehmen zu werfen. Dabei ist die Art und Weise, wie Cyber-Risiken identifiziert, eingeschätzt und im Unternehmen kommuniziert werden, von zentraler Bedeutung. Es ist wichtig, dass Unternehmen die potenziellen Folgen von Cyber-Risiken in ihrem speziellen Fall verstehen. Erst dann können diese in einer Risikomanagementstrategie Berücksichtigung finden und mit wirksamen Maßnahmen unterlegt werden.“

Unternehmen müssen dafür Sorge tragen, dass Cyber-Sicherheit fester Bestandteil auf der Agenda des Vorstands ist – einschließlich der Überprüfung der externen Cyber-Bedrohungslage in Zusammenarbeit mit der IT. Darüber hinaus profitieren Firmen von regelmäßigen Krisenmanagement-Übungen für alle relevanten Parteien wie die Vorstandsetage, IT, die Rechts- sowie Kommunikationsabteilungen und sämtliche andere Mitglieder des Krisenmanagement-Teams. Diese Übungen stellen sicher, dass alle Beteiligten ihre Rollen und Verantwortlichkeiten kennen und die potenziellen Folgen von Cyber-Attacken vor Augen haben.