Wettlauf gegen Zeit und Technik

Die Unternehmen würden jedoch notwendige Investitionen in Ressourcen und Technologien unterschätzen. Geschäftsführer müssten sich darüber bewusst sein, dass eine Firewall alleine nicht ausreichen wird, dafür braucht es IT-Spezialisten. In der Bankenbranche wiederum sei das Bewusstsein dafür schon sehr hoch, so Hans Overeem, CIO (Chief Information Officer) der ING-Diba. Das hänge damit zusammen, dass der Bankensektor und die Finanzdienstleister am häufigsten und längsten davon betroffen sind. Laut Grant Thornton International Business Report sind fast die Hälfte aller Erpressungen mit Cyberattacken in der Branche der Finanzdienstleister, gefolgt vom Gesundheitswesen und dem Energiesektor. „Das Bewusstsein bei den Banken ist naturgemäß sehr groß. Seit Beginn der Digitalisierung gibt es enorme Entwicklungen im Sicherheitsbereich“, so Overeem. Einen Angriff zu erkennen sei aber oft gar nicht so leicht, wie es auf den ersten Blick scheinen mag. Das Erkennen einer Attacke sei eine wahre Herkulesaufgabe, so Beham: „Im Endeffekt ist das Erkennen und die Vorgehensweise eines Angriffs die Achillesferse. Ganz wenige Unternehmen in Österreich sind wirklich fit, Cyberangriffe zu erkennen - vorrangig wegen der nicht vorhandenen Ressourcen. Ein umfassendes Cyber Security Management möchten sich viele kleine oder mittelgroße österreichische Unternehmen nicht leisten.“ Darum ist es wichtig, die Thematik nicht als reine IT-Aufgabe abzutun, sondern in die Unternehmensabläufe allgemein einfließen zu lassen: „Etwa Maßnahmen wie E-Mail-Adressen mit Zertifikat, stärkere Passwörter oder beim Einloggen in diverse Systeme eine Multi-Faktor-Authentifizierung, wie etwa beim Online-Banking, zu verwenden“, zählt Beham mögliche Optionen auf. Bis ein Angriff erkannt wird, können Monate vergehen – laut Mandiant Report 2017 waren es weltweit durchschnittlich 99 Tage, europaweit 469 Tage – denn eine „one size fits all“-Methode gebe es nicht. Wenn es ein Unternehmen getroffen hat, braucht es eine forensische Analyse: Wer hat wann draufgeklickt? Woher kommt der? Von welcher Adresse stammt das Programm oder das E-Mail? Die ING-Diba etwa verfolgt eine Drei-Phasen-Strategie: „Die erste Phase sind ‚Awareness’-Maßnahmen für die Mitarbeiter, bei denen wir das Sicherheitsbewusstsein stärken und auf aktuelle Trends eingehen. Die zweite Phase ist die Detection, also das Monitoring und die Überwachung der Programme und Systeme, um Angriffe frühzeitig zu erkennen. Die dritte Phase ist die Response, also die Vorgehensweise, wie ich reagiere, wenn etwas passiert. Dafür gibt es Playbooks, die festlegen, welche Aktionen wann und wie gesetzt werden“, so Overeem. 98 Prozent der Angriffe könnten so bereits automatisiert abgefangen werden, durch die Detection gelingt es neuartige, noch nicht bekannte Angriffe zu entdecken. Ab und zu passiere auch mal eine Response, das könne man bei Banken nicht hundertprozentig verhindern, denn „es bleibt immer ein Wettlauf gegen die Zeit und gegen die Technik“, weiß Overeem.

„Ganz wenige Unternehmen in Österreich sind fit dafür Cyberangriffe rechtzeitig zu erkennen. Das ist die Achillesferse.“

Georg BehamGeschäftsführer, Grant Thornton

Wichtig sei es in jedem Fall die Mitarbeiter ausreichend zu schulen. „Wenn die Mitarbeiter nicht wissen, was passieren kann, sind sie hoffnungslos ausgeliefert. Das ist das Problem der meisten Unternehmen. Das Bewusstsein ist vielleicht beim Chef vorhanden, aber nicht bei den Mitarbeitern“, so Markus Roth, Obmann der Unternehmensberater, Buchhalter und IT in der Wirtschaftskammer Oberösterreich (WKOÖ). Dafür müsse man entsprechende Schulungsprogramme bereitstellen und Security-Spezialisten ins Unternehmen holen. Diese bringen einem die ersten und bedeutendsten Maßnahmen bei, damit federe man schon viel ab: „Ein hundertprozentig sicheres Unternehmen gibt es nicht. Es geht darum, die Low-hanging-fruits zu beseitigen. Im Endeffekt muss man nur sicherer sein als der Nachbar. Denn wenn in einem Unternehmen für Hacker nichts zu holen ist, probieren sie es bei der Konkurrenz.“ Ein beliebtes Mittel, um herauszufinden, wie anfällig man als Unternehmen ist, sind Penetration-Tests. Das sind gezielt simulierte Angriffe von außen. „Bei der ING-Diba ist das Standard“, erkärt Overeem. Aber auch regelmäßige Updates und kluge Passwörter würden bereits helfen, wie Roth meint: „Updates haben eine technische und eine menschliche Komponente. Es gehört zum Handwerkszeug einer IT-Abteilung regelmäßige Software-Updates durchzuführen und beispielsweise zu schauen, dass keine Windows-XP-Rechner mehr am Netzwerk hängen, da diese nicht mehr gewartet werden. Man muss aber auch die Menschen updaten.“ Eines der grundlegendsten Sachen sei ein sicheres Passwort zu verwenden: „Hallo123 oder QEWRT sind suboptimal. Auch Schimpfwörter sind Klassiker, die man eher vermeiden sollte. Ebenso sollte man verschiedene Passwörter für verschiedene Sicherheitsstufen verwenden. Bei FinanzOnline oder E-Health muss ich mir andere Passwörter suchen als beim Onlineshopping. Denn die Wahrscheinlichkeit, dass der Online-Shop gehackt wird, ist nicht klein. Vieles davon ist eigentlich eine Sache des Hausverstandes.“

„Ein hundertprozentig sicheres Unternehmen gibt es nicht, aber die Mitarbeiter müssen sich bewusst sein, was bei einem Cyberangriff alles passieren kann.“

Markus RothBezirksstellenobmann UBIT, WKOÖ