Transformation Quarterly 01_2023

Von Daniela Münster

Jedes Unternehmen, das sich mit konkreten Risiken aus­einander­setzen muss, hat seine besonderen Not­fall­pläne. Das beginnt beim all­gemeinen Brand­schutz und endet bei Groß­katastrophen wie Chemie­unfällen. Allen gemeinsam ist: Erst Übung macht aus ihnen eine wirkungs­volle Prävention. Die „Feuer­alarm-Übung“ des virtuellen Zeit­alters ist die Simulation von Cyber-Angriffen. Was beim Brand­schutz in vielen Unter­nehmen selbst­verständ­lich ist, hat sich bei der Cyber-Sicherheit noch nicht durch­gesetzt. Dabei ist eine pass­genaue Cyber-Sicherheits­strategie elementar.

Hierbei spielen verschiedene Aspekte eine zentrale Rolle: Zum einen sollte die Cyber-Sicher­heit eine hohe Priori­sierung im Unter­nehmen und im Krisen­manage­ment einnehmen. Es braucht klare Zuständig­keiten im Unter­nehmen, die mit ent­sprechenden Ressourcen aus­gestattet sind. Dazu gehört auch, dass der Vorstand die Wichtig­keit des Themas anerkennt und es für alle im Unter­nehmen sicht­bar voran­treibt. Neben der Sensi­bilisierung der Mit­arbeitenden und ent­sprechender IT-Sicherheits­vorkehrungen ist die Vor­bereitung auf den Ernst­fall das A und O: Es gilt, entsprechende Rahmen­werke aufzu­setzen sowie Notfall­pläne vorzu­bereiten und mehrfach zu üben.

Grundlagen der Prävention: Identifikation von Risiko-Szenarien und Cyber-Krisen­handbuch

Durch Gap-Analysen können mögliche Schwach­stellen in der IT analysiert und geschützt oder behoben werden, aber erst mit dem richtigen Plan in der Tasche kann man besonnen mit der Ausnahme­situation Cyber-Angriff umgehen. Dafür ist es wichtig, die möglichen Szenarien zu identi­fizieren und durch­zugehen. Im Folgenden gilt es, ein Krisen­handbuch auszu­arbeiten. Das Handbuch dient als Vorlage für den Ernst­fall und sollte ein „lebendes“ Dokument sein, das immer aus neuesten Erkenntnissen und sich veränderten Situationen gespeist wird. Es erleichtert und beschleunigt die Arbeit.

Zentrale Bestand­teile des Krisen­handbuchs sollten dabei klare Definitionen der Vorgehens­weisen beinhalten. Diese können je nach Szenario deutlich variieren und durch Fest­legung von Wenn-Dann-Situationen zusätz­lich geschärft werden. Außerdem sollten genaue Ablauf­pläne für den Fall eines Angriffs erarbeitet werden. Was ist zuerst zu tun, wer wird wann informiert, welche Pflichten gibt es bei der Meldung? Check­listen helfen zusätzlich bei der Ein­haltung der Abläufe. Daneben sollte die Erreich­barkeit des Krisen­teams definiert sein, inklusive aller Kontakt­möglich­keiten und Vertretungen. Zu guter Letzt ist es enorm hilfreich, so viele Materialien wie möglich als Vorlagen zu hinter­legen, denn das spart im Ernst­fall Zeit und sorgt für eine schnellere und reibungs­losere Kommunikation – intern wie extern.

Übung als Realitäts-Check und Vorbereitung für die Ausnahme­situation

Danach gilt es, die Simulation von Cyber-Angriffen regelmäßig zu üben. Denn erst in der Praxis zeigt sich, ob die vorbe­reiteten Inhalte und Abläufe wirklich pass­genau sind. Neue Erkenntnisse werden nach jeder Übung in das Hand­buch eingepflegt. Es hat sich gezeigt, dass hier idealer­weise drei aufbauende Übungen einge­setzt werden: Zunächst wird das Hand­buch in einem Desktop-Drill durch­gesprochen, das heißt: Alle Mitglieder des Krisen­kommunikations­teams versammeln sich an einem Tisch, prüfen die Inhalte auf Plausi­bilität und sprechen die Ablauf­pläne durch. In einer zweiten Übung wird ein Szenario in Echt­zeit durch­gespielt – immer noch gemein­sam am Tisch. Der Übungs­leiter hat dafür ein genaues Dreh­buch mit neuen Tücken vorliegen. In einem letzten Schritt empfiehlt es sich, eine voll­ständige Simulation durch­zu­führen. Das heißt: Keiner der Übungs­teil­nehmenden ist im Vor­feld darüber informiert, jeder geht dem Tages­geschäft nach und wird – genau wie im Ernst­fall – vom Eintritt des geübten Krisen­falls über­rascht. Das bedeutet auch, dass ein Teil­nehmer ggf. gerade seine Tochter aus der Kita holt, eine andere Teil­nehmerin gerade im Urlaub oder krank ist. Nicht jeder wird arbeits­fähig oder erreich­bar sein. Auch alter­native Kommunikations­wege und -kanäle sollten bedacht werden. Denn bei Cyber-Angriffen kann bei­spiels­weise auch das Mailing-System versagen. Hier zeigt sich nun, wie gut die Abläufe sitzen und ob jeder weiß, was zu tun ist.

Unsere Erfahrung: Meist zeigt sich nach einer solchen Drei­teilung, dass die Teams sich einge­spielt haben und die Inhalte nun den Anforde­rungen der Realität Stand halten. Umso wichtiger ist es, Übungen regel­mäßig zu wieder­holen, um die gelernten Ab­läufe geschmeidig zu halten. Mit diesen praktischen Schritten sind Unter­nehmen für einen kommenden Angriff zumindest vor­bereitet und können schneller und auch besonnener mit der Ausnahme­situation Cyber-Attacke umgehen. Denn die richtige Vorbereitung macht 80 % des Erfolgs aus.

Foto: iStock.com/Irene Puzankova