Transformation Quarterly 01_2023

Von Volker Heck

Seit 20 Jahren nehmen Cyber-Attacken welt­weit zu. Allein im letzten Jahr stiegen die auf Löse­geld­forderungen gerichteten Ransomware-Attacken um 13 %. Betroffen sind alle Sektoren, sei es in der Wirt­schaft, dem öffentlichen Dienst oder im gesell­schaft­lichen Leben. Gleich­wohl zeigt eine aktuelle reprä­sen­tative Umfrage von Civey im Auftrag von H/Advisors Deekeling Arndt, dass gerade in den Unter­nehmen bei weitem nicht genug getan wird, potenzielle Schäden zu verhindern.  

Cyber-Angriffe sind ein fester Bestand­teil der „Zeiten­wende“ geworden und Teil einer wachsenden hybriden Kriegs­führung. Nach der Entscheidung der Bundes­regierung in 2022, schwere Kampf­panzer in die Ukraine zu liefern, nahmen noch am selben Tag die Cyber-Angriffe auf öffent­liche Einrich­tungen, Flug­häfen und Unter­nehmen in Deutsch­land massiv zu. NRW-Innen­minister Reul sieht hierbei laut FAZ einen deutlichen Bezug zum russischen Geheim­dienst.

Auch durch die Zunahme von Homeo­ffice steigt die Verletz­lich­keit von Unter­nehmen massiv an. Cyber Security ist also ein Thema, das Unter­nehmen in voller Breite angeht und nicht nur eines für IT-Spezia­list:innen. Ein wirk­samer Cyber-Schutz muss integraler Bestand­teil der DNA eines Unter­nehmens sein und ist damit auch Gegen­stand unternehmens­interner Trans­formations­prozesse im Rahmen der voran­schreitenden Digita­lisierung.  

Soweit die Theorie. In der Praxis, und das unter­mauert eine im März 2023 im Auftrag von DAA durch­geführte repräsen­tative Civey-Befragung bei je 1.000 Geschäfts­führer:innen und Ange­stellten, zeigt sich das exakte Gegen­teil. Hier sehen 46,4 % der Mitarbeitenden die IT-Sicher­heits­beauftragten in der Verantwortung, die Geschäfts­führung sieht sich selbst zu 29 % in der Pflicht. Insgesamt sagen jedoch auch 37,4 % der befragten Mit­arbeiter: innen und sogar 58,3 % der Geschäfts­führung, dass das Thema Cyber-Sicherheit bei ihnen im Unter­nehmen von niemandem voran­getrieben wird oder sie es zumindest nicht wissen. Gerade auf Geschäfts­führungs­ebene sind diese Zahlen besorgnis­erregend.  

Angesichts der Tatsache, dass laut aktuellen Umfragen 79 % der von Fach­verbänden befragten Vor­stände sagen, dass das Thema Cyber-Risiken in den letzten Jahren auf Führungs­ebene massiv an Bedeutung gewonnen hat, sind diese Ergebnisse, gelinde gesagt, sehr über­raschend. Die Ergebnisse der Civey-Umfrage lassen zudem den ein­deutigen Schluss zu, dass Leitungs­ebene und Mit­arbeitende bei einem so wichtigen Thema wie der Cyber Security nicht am selben Strang ziehen.

Was ist zu tun? Erstens müssen Unternehmen viel mehr als bislang in die Prävention investieren. 80 % dieser Arbeit kann im Vorfeld erfolgen. „If you fail to plan, you are planning to fail“: Getreu diesem Grund­satz von Benjamin Franklin muss eine ausreichende Aus­einander­setzung mit den möglichen Schadens­ereig­nissen und -wirkungen recht­zeitig statt­finden. Hierzu gehört, für alle im Unternehmen klare Verant­wortlich­keiten und Regel­prozesse aufzu­setzen.  

Der zweite Teil betrifft massiv die Unternehmens­kultur. Die Civey-Ergebnisse zeigen in einem erschreckenden Maße eine Unkenntnis darüber, wer sich in einem Unter­nehmen für das wichtige Thema Cyber Security verant­wort­lich fühlt bzw. die Verant­wortung tatsächlich inne­hat. Cyber Security ist aber kein Nischen­thema, das ein IT-Verant­wort­licher betreut. Es ist ein immanenter Teil des Kern­geschäfts. Grund­lage ist ein gemein­sames Sicher­heits­verständnis, das bottom-up aufgebaut und von der Geschäfts­leitung auch gelebt werden muss. Unter­nehmen müssen für eine Sicher­heits­kultur werben und ihre Mit­arbeiter:innen hierbei mit­nehmen. Unter­schiedliche Sicht­weisen sind in Einklang zu bringen. Dazu gehören Schulungen, aber auch der regel­mäßige Aus­tausch und die gemein­same Analyse von Schwach­stellen. 

Foto: iStock.com/gorodenkoff