„Ist unsere IT eigentlich sicher?“ In vielen Unternehmen folgt auf diese Frage vermutlich erstmal eine beruhigende Antwort. Schließlich läuft die Firewall problemlos, Backups gibt es regelmäßig und auch das Virenschutzprogramm schnurrt wie ein zufriedenes Kätzchen. Größere Sicherheitsvorfälle gab es bislang auch keine. Das klingt erst einmal plausibel. Nur: All das sagt erstmal relativ wenig darüber aus, wie widerstandsfähig die eigene IT im Ernstfall tatsächlich ist.
Das ist leider kein Einzelfall: In einer neuen PwC-Untersuchung zur Cyberresilienz im deutschen Mittelstand wird nämlich deutlich: sichtbar macht. Viele Unternehmen schätzen den eigenen Cyber-Reifegrad deutlich höher ein, als es objektive Reifegradanalysen nahelegen. In mehreren Bereichen liegt die Selbsteinschätzung laut PwC ein bis zwei Reifegradstufen über den Ergebnissen tatsächlicher Assessments. Besonders groß ist die Lücke dort, wo Sicherheit organisatorisch verankert werden muss: bei Governance, verbindlichen Richtlinien und systematischem Risikomanagement.
Sichtbare Sicherheitsmaßnahmen erzeugen schnell ein gutes Gefühl. Aussagekräftig wird Cybersecurity erst dann, wenn der Reifegrad messbar geprüft wird.
“Viel machen” und “richtig machen” sind zwei Paar Schuhe
Cybersecurity ist ein komplexes Unterfangen und erfordert ein Konglomerat an vielen sichtbaren Einzelmaßnahmen. Das ist natürlich schon in sich eine Herausforderung, führt jedoch zu einem ganz anderen Problem: die schiere Masse an Vorkehrungen erweckt schnell den (falschen) Eindruck von Sicherheit, schließlich “macht man ja viel”.
Doch zwischen „vorhanden“ und „wirksam“ liegt in der Praxis oft ein großer Unterschied.
Ein gutes Beispiel liefert erneut die PwC-Studie: Rund zwei Drittel der befragten Unternehmen verfügen demnach über einen Notfall- oder Incident-Response-Plan. Das ist erstmal gut. Jedoch liegt gleichzeitig bei 46 Prozent der praktische Test dieses Plans länger als ein Jahr zurück.
Ein Plan auf dem Papier und ein erfolgreich abgeschlossenes Backup sind wichtige Grundlagen. Ob sie das Unternehmen im Ernstfall schützen, zeigt sich erst bei einem realistischen Test.
Auf dem Papier ist der Prozess also geregelt. Ob die Beteiligten im Ernstfall wissen, was zu tun ist, ob Kommunikationswege funktionieren oder ob Systeme innerhalb der vorgesehenen Zeit wiederhergestellt werden können, bleibt jedoch offen.
Ähnlich verhält es sich bei Backups: ist ein solches abgeschlossen, erzeugt das zunächst ein nettes, grünes Häkchen im System. Aber für den Geschäftsbetrieb ist gar nicht die Existenz der Sicherung entscheidend, sondern die Frage, ob sich ein kritisches System im Ernstfall damit vollständig und schnell genug wiederherstellen lässt.
Erfahrung kann ein trügerischer Maßstab sein
Wenn ich mich nicht auf die Anzahl meiner Maßnahmen verlassen kann, dann doch wenigstens auf meine Erfahrung? Schließlich ist seit Jahren nichts passiert?
Nun… leider ist auch die Erfahrung kein verlässlicher Maßstab.
Viele mittelständische Unternehmen betreiben ihre IT seit Jahren ohne schwerwiegenden Zwischenfall. Daraus entsteht leicht eine nachvollziehbare Schlussfolgerung: Unser Ansatz scheint zu funktionieren. Nur lässt sich aus der Vergangenheit kaum ableiten, wie gut die eigene Organisation auf den nächsten Vorfall vorbereitet ist.
Ein Unternehmen kann über Jahre mit veralteten Berechtigungen arbeiten, ohne dass daraus sofort ein Schaden entsteht. Sicherheitsupdates können zu spät installiert werden, ohne dass es direkt zu einem Zwischenfall kommt. Und unzureichend getestetes Backup fällt erst dann auf, wenn tatsächlich Daten zurückgespielt werden müssen.
Deshalb an dieser Stelle eine schlechte Nachricht: Ruhe im Betrieb sagt leider erst einmal wenig über den tatsächlichen Reifegrad aus.
Jahrelange Betriebsruhe kann trügerisch sein. Risiken wie veraltete Berechtigungen, langsames Patching oder ungetestete Backups bleiben oft lange unsichtbar und werden erst im Ernstfall greifbar.
Es müssen also regelmäßige Tests her, um die eigene Situation realistisch einschätzen zu können. Aber gerade für kleinere und mittlere Unternehmen bleiben Testing und Patchmanagement oft hartnäckige Herausforderungen. Die europäische Cybersicherheitsagentur ENISA zeigt in ihrem aktuellen Bericht zu Cybersecurity-Investitionen ein ähnliches Bild. Fast ein Drittel der untersuchten Organisationen hat innerhalb der vergangenen zwölf Monate überhaupt kein Cybersecurity Assessment durchgeführt. Gleichzeitig benötigen 28 Prozent mehr als drei Monate, um kritische Schwachstellen zu patchen.
Die bessere Frage lautet: Woran können wir Sicherheit belegen?
Wir stellen also fest: nur auf die Anzahl der IT-Sicherheitsmaßnahmen und die Anzahl der Incidents der letzten Jahre zu schauen, sagt überhaupt nichts über den Reifegrad der eigenen Cybersecurity aus. Was jedoch funktioniert, ist auf konkret überprüfbare Fragen zu setzen:
- Wann wurde zuletzt versucht, ein geschäftskritisches System vollständig aus dem Backup wiederherzustellen?
- Wie schnell würde heute auffallen, wenn sich ein privilegierter Account ungewöhnlich verhält?
- Wie lange dauert es im Schnitt, bis kritische Sicherheitsupdates auf allen relevanten Systemen installiert sind?
- Welche externen Dienstleister besitzen administrative Zugänge und wann wurden diese zuletzt überprüft?
- Wann wurde der eigene Incident-Response-Prozess unter realistischen Bedingungen getestet?
Damit zwingen sich Unternehmen dazu, den Sicherheitszustand anhand konkreter Abläufe zu beurteilen, statt nur mit einer Checkliste Einzelmaßnahmen abzuhaken.
Denn: Eine Firewall kann technisch einwandfrei funktionieren und trotzdem falsch konfiguriert sein. Ein Monitoring-System kann rund um die Uhr Daten sammeln und trotzdem wenig helfen, wenn niemand die Warnmeldungen konsequent bewertet. Und auch der schön säuberlich dokumentierte Notfallplan kann am Ende scheitern, wenn keiner Bescheid weiß, sobald es ernst wird.
Cybersecurity wird greifbarer, wenn sich zentrale Aussagen mit konkreten Tests, Zeitpunkten und Messwerten belegen lassen. Fünf einfache Fragen helfen dabei, das eigene Sicherheitsgefühl zu überprüfen.
Die eigene Unternehmensgrenze reicht längst nicht mehr aus
Leider reicht es auch längst nicht mehr aus, innerhalb der eigenen IT-Landschaft für Klarheit zu sorgen. Denn die Sicherheit von Unternehmen hängt zunehmend von Dritten ab.
47 Prozent der von PwC befragten Mittelständler berichten, dass innerhalb der vergangenen zwölf Monate Geschäftspartner ihrer Lieferkette von Cyberangriffen betroffen waren.
Auch ENISA zählt Supply-Chain- und Third-Party-Kompromittierungen zu den relevanten Zukunftsrisiken für Unternehmen.
Und das betrifft längst mehr als die klassischen Zulieferer. Auch Cloud-Anbieter, Softwarehersteller, externe Administratoren und IT-Dienstleister sind Teil der eigenen digitalen Wertschöpfung. Wenn es in deren Systemen oder Zugängen zu Vorfällen kommt, kann das unmittelbaren Einfluss auf die eigene Sicherheitslage haben.
Damit wird die Frage nach Cyberresilienz breiter: Welche externen Zugänge existieren? Welche Systeme sind voneinander abhängig? Was passiert, wenn ein zentraler Dienstleister ausfällt? Welche Daten liegen außerhalb unserer Infrastruktur?
Je komplexer diese Beziehungen werden, desto weniger reicht ein allgemeines Sicherheitsgefühl aus. Unternehmen brauchen Transparenz über Abhängigkeiten und müssen wissen, wie sie bei Störungen reagieren.
Mehr Budget hilft nur, wenn Wirkung messbar wird
Eine positive Entwicklung ist jedoch, dass das Thema Cybersecurity in einer Form auf der Agenda gelandet zu sein scheint, dass die Investitionsbereitschaft steigt. Laut PwC wollen 77 Prozent der deutschen Unternehmen ihre Cybersecurity-Budgets erhöhen.
Aber hilft das auch?
Klar: Mehr Geld kann viel bewirken. Aber – und hier kommen wir zum eingangs erwähnten Punkt, dass viele Maßnahmen allein noch kein Sicherheitskonzept ausmachen – entscheidend bleibt, wofür es eingesetzt wird und ob die Maßnahmen regelmäßig überprüft werden.
Das heißt ganz einfach: Security muss gar nicht maximal komplex werden. Es reicht, wenn sie überprüfbar ist.
Dafür braucht es einen aktuellen Überblick über die eigene IT-Landschaft und belastbare Prozesse für den laufenden Betrieb. Ebenso wichtig ist die regelmäßige Prüfung, ob Schutzmaßnahmen im Ernstfall das leisten, was von ihnen erwartet wird. Und genau dafür ist dann mehr Budget durchaus sinnvoll und hilfreich.
Doch was ist, wenn intern Zeit oder spezialisierte Fachkräfte fehlen (wir berichteten). Dann kann es sinnvoll sein, Monitoring, Patchmanagement, Backup-Tests oder andere operative Sicherheitsaufgaben gemeinsam mit einem erfahrenen IT-Partner dauerhaft zu organisieren.
Aber auch da bleibt die gleiche Frage entscheidend: Welche Aussagen über die eigene Sicherheit lassen sich tatsächlich belegen?
Ein gutes Gefühl ist kein Sicherheitsnachweis
Wir sehen also: Viele mittelständische Unternehmen beschäftigen sich intensiv mit Cybersecurity und überschätzen gleichzeitig den eigenen Reifegrad. Das ist kein Widerspruch. Es zeigt, wie schwer Sicherheit aus dem laufenden Betrieb heraus zu beurteilen ist. Deshalb lohnt es sich, die Ausgangsfrage zu verändern.
Statt nur zu fragen: „Ist unsere IT sicher?“, sollten Unternehmen sich fragen: „Woran können wir belegen, dass sie sicher ist?“
Das ist erstmal unbequem, weil diese Frage durchaus schwerer zu beantworten ist. Aber sie macht Ihr Unternehmen sicherer. Und wenn Sie Hilfe benötigen: Wir sind für Sie da.
Über den Autor
Frank Böttcher ist COO und Geschäftsführer von BW.Tech. Als Betreiber eines deutschen Hochverfügbarkeits-Rechenzentrum steht für ihn sichere Datenhaltung an der Tagesordnung.
