Cyberattacken – nicht alle Manager wissen von ihrer Verantwortung – Source: www.csoonline.com

alphaspirit – shutterstock.com

In vielen Unternehmen ist sich das Management nicht bewusst, dass es in der Verantwortung für Cybersicherheit steht. Das Thema IT-Security wird gerne in der IT-Abteilung und beim CIO abgeladen, selten sehen sich Vorstand oder die Geschäftsführung in der Pflicht. Das ist ein zentrales Ergebnis des aktuellen „Cyber Security Report DACH“ des Sicherheitsanbieters Horizon3.ai.

Laut der Umfrage unter rund 300 Unternehmen in Deutschland, Österreich und der Schweiz liegt die Verantwortung für Cybersecurity in den Betrieben beim Chief Technology Officer (CTO, 24 Prozent der Firmen), Chief Information Officer (CIO, 18 Prozent) beziehungsweise IT-Einkaufsleiter (18 Prozent), Leiter der Abteilung Digitales (15 Prozent), Chief Information Security Officer (CISO, 13 Prozent) oder Manager für Risiko und Compliance (sieben Prozent). Knapp jedes zehnte Unternehmen (neun Prozent) hat den Verantwortungsbereich IT-Sicherheit an eine externe Beratungsfirma ausgelagert.

Standpunkt zur Haftungsdiskussion: CISO statt Sündenbock

Die eigentliche Verantwortung liegt indes beim Vorstand oder der Geschäftsführung, gibt Dennis Weyel, International Technical Director für Europa bei Horizon3.ai, zu bedenken. „Den meisten Vorständen oder Geschäftsführern scheint gar nicht klar zu sein, dass sie ohne Wenn und Aber persönlich in der Haftung stehen, wenn es durch einen ernsthaften Cyberangriff etwa zu einer Betriebsunterbrechung kommt, personenbezogene Daten entwendet werden oder schlimmstenfalls sogar Insolvenz angemeldet werden muss“, wundert sich der Manager.

Viele Manager handeln grob fahrlässig

Der Studie zufolge erklärte gerade einmal die Hälfte (48 Prozent) der Befragten, dass sie sich der persönlichen Haftung auf Topmanagementebene bewusst seien. Ein Drittel gab sich von dieser Rechtsposition überrascht, 12 Prozent behaupteten, von dieser Haftung „noch nie gehört“ zu haben. Angesichts dieser Umfrageergebnisse und der wachsenden Zahl von Cyberattacken spricht Weyel von einer regelrechten „Blindheit gegenüber der Verantwortung“ und stuft dies als „grob fahrlässig“ ein.

Anklage gegen SolarWinds-CISO: Das sagen CISOs und Experten aus Deutschland

Viele Topmanager gingen wohl davon aus, dass ihre D&O-Versicherung zusammen mit einer Cybercrime-Versicherung für alle eventuellen Schäden aufkommen werde, mutmaßt Weyel und warnt. „Doch wenngleich beide Versicherungen sinnvoll sind, ist eine Schadensregulierung im Fall der Fälle mitnichten per se gegeben.” Vielmehr müssten die Verantwortlichen nachweisen, dass sie alles für die Cybersicherheit getan hätten. “Eine ausreichende Absicherung vor Hackerangriffen und der Nachweis, dass Cyberattacken tatsächlich ins Leere laufen, stellen in der Regel eine wesentliche Grundlage für derartige Versicherungen dar.”