„Die Cybersicherheit lässt zu wünschen übrig“

Liefer- und Wertschöpfungsketten verlagern sich immer mehr in den digitalen Raum. Dadurch können viele Prozesse automatisiert, optimiert und verschlankt werden. Aber die Vernetzung und Öffnung der Systeme birgt auch Risiken. Wenn die Sicherheit im digitalen Raum vernachlässigt wird, kann das schnell katastrophale Folgen nach sich ziehen. Wir wollten von Marc Wilczek, CEO des IT-Unternehmens Link 11, wissen, wie gefährdet Supply-Chain-Software in Deutschland ist und wie man seine Systeme schützen kann.

Wie hoch ist die Gefahr von Hackerangriffen auf Supply-Chain-Software in Deutschland?

Die Gefahr ist relativ hoch. Anhand einer Studie von Bitcom kann man beispielsweise sehen, dass 68 % der deutschen Unternehmen in den letzten zwei Jahren Opfer eines Hackerangriffs wurden. Innerhalb dieser zwei Jahre ist durch diese Angriffe ein Schaden in Höhe von 43 Mrd. Euro entstanden. Insbesondere der Mittelstand ist dabei in die Schusslinie geraten.
Für welche Märkte ist die Gefahr von Cyberangriffen besonders hoch?

Fortschrittliche Volkswirtschaften wie die USA, die Euro-Zone und Asien, die eine starke Digitalwirtschaft und in Folge dessen hohe Abhängigkeiten haben, sind prädestinierter für Hackerangriffe. Auch Anwender von Industrie 4.0-Technik sind gefährdeter. Im Zuge der Vernetzung wurden viele Systeme verbunden und geöffnet, die frühere Demarkationslinie zwischen IT-Netzen und Betriebstechnik verschwimmt. Angriffe richten nicht mehr nur in der IT Schaden an, sondern theoretisch bei allem, das an ein Netzwerk angeschlossen ist. Je größer die Bandbreiten werden, desto höher ist das Zerstörungspotenzial von Hackerangriffen. Für Lieferketten kann das besonders schwerwiegende Auswirkungen haben. Nicht nur das eigene Unternehmen sollte gesichert sein, sondern auch die Zulieferer. Auf deren Daten- und Systemsicherheit hat man wenig Einfluss. Wenn einer dieser Partner in der Wertschöpfungskette wegen eines Hackerangriffs ausfällt, wirkt sich das schnell auf andere aus.

Wie kann man sich schützen?

Da steht man vor einem weiten Feld an Möglichkeiten. Am Anfang könnte zum Beispiel eine Heat Map erstellt werden, die aufzeigt, wo Gefahren und Risiken für die Systeme liegen können. Das fängt bei physischen Zugriffen an. Wer kann überhaupt an meine Daten und Systeme ran. Natürlich ist auch die Abwehrstärke meines Systems nach außen wichtig. Risiken, ob nun von außen oder von innen, sollten nach ihrer Eintrittswahrscheinlichkeit eingestuft, bewertet und ausgeschaltet werden. Das Rundum-sorglos-Paket gibt es leider nicht. Man muss sich mit den einzelnen Facetten individuell befassen. Je komplexer die Infrastruktur ist, desto mehr Facetten gibt es. Man sollte sein Konzept außerdem immer weiterentwickeln, denn die Gegenseite schläft nicht. Die Schwachstellen neuer Technologien wie IoT (Internet of Things), KI (Künstliche Intelligenz) und Cloud werden gnadenlos ausgenutzt, dessen muss man sich bewusst sein.

Was kann ich tun, wenn mich schon ein Angriff getroffen hat?

Ein gutes Krisenmanagement ist wichtig. Es muss klar sein, wie auf den Angriff reagiert wird. Welche Abteilung macht was und was wird kommuniziert, intern wie extern. Dieser Plan sollte auch geübt werden, denn wenn der Tag kommt, muss er so reibungslos wie möglich ablaufen. Zeit für Experimente gibt es dann keine mehr. Trotz Krise muss man routiniert und ruhig bleiben. Vorbereitung ist das Wichtigste, auch aus juristischer Sicht. Freigabeprozesse für Informationen und Befugnisse müssen geklärt sein. Wenn ich mir vor dem Angriff keine Gedanken gemacht habe, ist es gut möglich, dass ich mit weitaus höheren Kosten und Zeitverlusten rechnen muss. Wenn man die Prävention verpasst hat, kann man nur versuchen Schadensbegrenzung vorzunehmen.

Sind deutsche Unternehmen mit Blick auf Cyber Sicherheit auf einem guten Stand?

Die Cyber Sicherheit lässt noch zu wünschen übrig. Das manifestiert sich auch in der erlebten Realität. Nach dem Allianz Risk Barometer 2020 sind Cyberangriffe das zweitgrößte Geschäftsrisiko für deutsche Unternehmen. Das FBI warnt aktuell auch vor Angriffen auf Supply-Chain-Software. In den letzten fünf Jahren hat sich die Zahl dieser Angriffe verzehnfacht. Laut dem Department of Homeland Security der Vereinigten Staaten halten IT-Netze und die IT-Infrastruktur bald nicht mehr Stand, wenn diese Entwicklung weiter so voranschreitet. Link11 hat beispielsweise im Jahr 2019 mehrere zehntausend Angriffe abgewehrt. Der längste Angriff dauerte dabei über 100 Stunden und hätte – ohne sofortiges Einschreiten – zu einem schwerwiegenden Blackout über fünf Tage geführt. Wären wir bei der Sicherheit auf einem guten Stand, wäre das Gefahrenpotenzial nicht so hoch. Nachholbedarf gibt es natürlich auf technischer Seite, aber auch bei der Unternehmenskultur. Die für digitale Sicherheit verantwortlichen Mitarbeiter finden leider bei der Unternehmensführung oft wenig Gehör. Diese Personen müssen bei Entscheidungen, die sich auch auf die IT auswirken, mit an den Tisch geholt werden.

Liegt das daran, dass die Unternehmen nicht wissen, wie hoch das Gefahrenpotenzial ist?

Das Thema wird oft unterschätzt oder als bloßer Kostenpunkt abgetan und man verlässt sich zu sehr auf Erfahrungswerte. Der Gedankengang „es hat uns ja noch nicht erwischt, also kann es so schlimm nicht sein“ ist aber ein Trugschluss. Denn nicht nur die Wirtschaft entwickelt sich digital weiter, die kriminelle Welt, aus der diese Angriffe kommen, macht das genauso. Auch dort wird viel investiert. Noch nicht getroffen worden zu sein, ist leider kein Indikator für Sicherheit. Solche Angriffe kündigen sich nicht an, sondern sind wie bei einem Blitzeinschlag plötzlich da.

Was muss sich in Zukunft ändern?

Der Staat muss sich stärker engagieren, denn das Internet darf nicht als rechtsfreier Raum gelten. Aber Unternehmen sind genauso in der Verantwortung sich zu schützen. Das Sicherheitsbewusstsein, das in der physischen Welt selbstverständlich erscheint, muss auch in der digitalen Welt Einzug halten. In der analogen Welt hatte man dafür aber viel länger Zeit. In der digitalen Welt gab es in kurzer Zeit große Entwicklungssprünge. Es wird noch viel Erklärungs- und Überzeugungsarbeit brauchen, um das richtige Bewusstsein für die Thematik zu schaffen. Denn der Trend soll nicht dämonisiert werden, er bringt ja auch viele Vorteile. Andererseits muss man sich das Zerstörungspotenzial von Hackerangriffen immer wieder bewusst machen und dementsprechend Handeln.

Autor: Gary Huck

(c)2020
Vogel Communications Group