Cybersecurity – sind wir betroffen?

Was geht uns das an?

Weitere häufig gemeldete Betrugsformen  
sind CEO-Betrug sowie Rechnungs-manipulationsbetrug. Auch Ransomware, also der Einsatz bösartiger Schadsoftware zur Verschlüsselung von Unternehmens-daten und zugehörig der Erpressung von Geldern für die (eventuelle) Entschlüsselung, bleibt auf hohem Niveau.
NCSC

Im Vergleich zur Vorhalbjahresperiode haben sich die Meldungen bezüglich Hacking im zweiten Halbjahr 2022 mit 276 Meldungen nahezu verdoppelt.  

Begünstigt wird diese Entwicklung durch die voranschreitende Digitalisierung. Auch und vor allem in kleinen und mittleren Unternehmen in der Schweiz. Dabei gelten 99,7% aller Unternehmen in der Schweiz als KMU. Die meisten Beschäftigten bei KMU finden sich in der Herstellung von Waren, dem Handel, der Instandhaltung und Reparatur von Motorfahrzeugen und dem Gesundheits- und Sozialwesen.  
 
So unterschiedlich KMU auch sind, eines verbindet sie:  
Die oft kleine Anzahl Beschäftigte erlaubt keine riesigen Sicherheitsabteilungen. Cybersicherheit muss jedoch integral und geschäftsorientiert angegangen werden. Das bedeutet in letzter Konsequenz, dass sowohl die Unternehmensführung wie auch die Mitarbeitenden im Rahmen ihres Verantwortungsbereiches Cyberwissen brauchen. 

Die Priorität liegt aber natürlich auf dem Kerngeschäft der Unternehmen, sei dies das Herstellen von Produkten oder das Erbringen von Dienstleistungen. Solange die IT funktioniert, wird ihr wenig Aufmerksamkeit geschenkt, und wenn sich etwas nicht wie gewünscht verhält, kann man häufig noch darum herum organisieren.  

Dennoch können insbesondere Totalausfälle massive Konsequenzen nach sich ziehen:  
Wenn Planungen und Abrechnungen nicht mehr verarbeitet werden können, ist auch hier mit Arbeitsausfällen und Verzögerungen zu rechnen, die sich gegebenenfalls in der Bilanz niederschlagen, zu negativer Aussenwahrnehmung führen oder – im schlimmsten Fall – zum Untergang des Unternehmens.  

Auf der anderen Seite können auch Diebstahl von geistigem Eigentum (Wirtschaftsspionage) oder eine falsch ausgelöste Zahlung bereits grosse finanzielle Schäden anrichten.  

Digitalisierte Abläufe und Arbeitswerkzeuge, müssen also ebenso unterhalten und gepflegt werden, wie alle anderen Bereiche im Unternehmen. Lassen Sie sich daher durch Fachpersonen beraten und unterstützen.  
 
Hier empfiehlt sich insbesondere, die Cybersicherheit als eigenständigen Budgetposten im Unternehmen zu behandeln, damit Ressourcen explizit für entsprechende Massnahmen zur Verfügung stehen.  
Der Betrieb und Sicherheit von IT-Infrastruktur hängen zwar zusammen, sind jedoch verschiedene Handlungsfelder. Die Zuweisung von Ressourcen an Cybersicherheitsmassnahmen muss daher im Rahmen des Risikomanagements auf Geschäftsleitungsebene entschieden werden.  
 
Eine Möglichkeit besteht darin, einen externen Cybersicherheitsdienstleister zu engagieren, der sich spezifisch um Sicherheitsbelange kümmert.  
Um aus der Masse der Anbieter für Cybersecurity den richtigen Anbieter auszuwählen, empfiehlt sich der Rückgriff auf Benchmarks und allgemein anerkannte Zertifizierungen.  
Hinsichtlich Cybersecurity gilt der ISO/IEC 27001 als Branchenstandard. 
 
Dienstleister, die ein aktuelles und dem Service entsprechendes Zertifikat nach 27001 vorweisen können, können als vertrauenswürdig angesehen werden. 

Aber auch wenn intensiv in die Prävention investiert wird, kann nie ganz ausgeschlossen werden, dass sich ein Cybervorfall ereignet. Ein eigenes Informationssicherheitsmanagementsystem (ISMS) hilft in diesen Fällen, das Eintrittsrisiko zu reduzieren, führt zu strukturierten Prozessen und hält klare Verantwortlichkeiten und Abläufe bereit. Diese Abläufe umfassen auch Prozeduren für den Notfall, so dass, auch wenn man von einem Cyberattacke betroffen ist, noch die Handlungsfähigkeit und die Krisenreaktion im Unternehmen sichergestellt ist. 
 
Es besteht weiterhin die Möglichkeit, auch das eigene ISMS entsprechend von unabhängigen, staatlich anerkannten, Stellen zertifizieren zu lassen. 

Die Frage ist also nicht «Cybersecurity – sind wir betroffen», sondern wann betrifft es mein Unternehmen, in welcher Ausprägung ist man dann betroffen und wie gravierend sind die Folgen. 
 
Zertifizierte Dienstleister und ein eigenes standardisiertes ISMS nach ISO/IEC 27001 Standard können diese Risiken deutlich reduzieren.