„In der Security geht es vor allem um Resilienz“ – Source: www.csoonline.com

Klöckner & Co SE

Ransomware-Attacken zählen nach wie vor zu den größten Cyberbedrohungen in der Industrie. Wie schützen Sie Ihr Unternehmen vor solchen Angriffen? Und worauf kommt es dabei besonders an?

Wandhöfer: Ja, das ist richtig. Auch bei Klöckner sehen wir Ransomware als eines der größten Risiken. Um das Thema ganzheitlich anzugehen, werden bei uns Informationssicherheit und Business Continuity Management (BCM) zusammen gedacht. Bei einer Ransomware-Attacke geht es vor allem um Resilienz und nicht nur um Schutz. Deshalb haben wir eine Cyber Security & Resilienz-Strategie entwickelt.

Sie rechnen also damit, von einer Ransomware-Attacke getroffen zu werden und bereiten sich gezielt darauf vor?

Wandhöfer: Ja genau. Wir alle wissen, dass sich so ein Angriff fast nicht verhindern lässt. Infolgedessen müssen sich Unternehmen so resilient wie möglich aufstellen, um den Schaden möglichst gering zu halten und die Geschäftsfortführung zu gewährleisten. Entscheidend ist, dass man akzeptiert, jederzeit getroffen werden zu können, ohne dann überrascht zu sein.

Dazu haben wir uns mit den folgenden Fragen auseinandergesetzt: Was ist der größtmögliche Schaden? Wo wären wir betroffen? Anschließend haben wir ein Programm aufgesetzt, in dem alle notwendigen Themen bei der Prävention, Angriffsbewältigung, im Krisenmodus und bei der Wiederherstellung mit einbezogen wurden.

Wir erhöhen dabei unseren Reifegrad zwar auf allen Ebenen, aber man kann sich nicht von heute auf morgen in allen Bereichen perfekt aufstellen. Das ist auch nicht notwendig. Es geht um Risikoabschätzung und Priorisierung. Deshalb ist es wichtig, dass man seine Schwachstellen kennt und seine kritischen Geschäfts-Prozesse und Systeme definiert. Das ist auch ein Teil unseres Programms. Wir haben dazu eine Struktur mit Security & Resilienz-Prozessen sowie Rollen und Verantwortungen aufgebaut, damit jeder weiß, was zu tun ist.

Wichtig ist überdies, dass das Programm natürlich nicht funktioniert, wenn es nur von einer Person erstellt wird. Hier sollten alle Stakeholder beteiligt werden, ihr Commitment abgeben und Unterstützung leisten. Alle Ideen der Beteiligten sollten in die Planung mit einfließen.

„Es kommt auf die richtige Kommunikation an“

Viele CISOs klagen, dass das Budget für die Cybersicherheit zu gering ist. Wie sorgen Sie dafür, dass die Ausgaben sinnvoll eingesetzt werden?

Wandhöfer:  Es ist tatsächlich ein Trend, dass das Budget stärker hinterfragt wird. Das ist auch richtig aus meiner Sicht. Man sollte Ausgaben für die Security nicht einfach blind leisten, sondern erst nach dem Purpose fragen. Im Prinzip geht es um die Fragen, was ich am Ende als Unternehmen kriege und wie die Ausgaben die gesamte Risikosituation für meinen Geschäftsbetrieb und die Unternehmensstrategie optimieren. Diesen Ansatz finde ich sehr wichtig, aber viele CISOs kommen erst einmal mit Forderungen. Bei uns wird jedoch zunächst einmal geprüft, ob die Ausgaben überhaupt erforderlich sind und welche priorisierten Handlungsfelder sie bedienen.

Der Purpose für Investitionen  hängt jedoch von der Branche ab. Im Vergleich zum Finanzsektor funktioniert es in der Industrie etwas anders. Banken müssen schon allein aus regulatorischen Gründen vieles stringenter umsetzen und arbeiten eher Governance-getrieben. Die Industrie ist davon nicht so sehr betroffen. Dort wird eher ein Tool beschafft und dann die Governance nachgezogen. Egal welche Branche – es kommt vor allem auf die richtige Kommunikation an, damit Einigkeit über den Zweck von Ausgaben besteht.

Worauf sollte man bei der Kommunikation achten? Welche Maßnahmen können helfen?

Wandhöfer: Bevor ich das Gespräch führe, mache ich mir Gedanken darüber, wie ich mein Anliegen verständlich und nachvollziehbar darlegen kann. Das heißt, ich muss Adressatengerecht kommunizieren. Wenn ich beispielsweise vom Board finanzielle Freigaben benötige, muss ich die aktuelle Situation beschreiben und aufzeigen, was sich dadurch mit Bezug auf die übergeordnete Zielstellung, verbessert.

Zudem sollte ich im Vorfeld mit den unterschiedlichen Abteilungen gesprochen haben, die die Investition dann tragen müssen. Zum Beispiel die IT, der wichtigste Partner eines CISO. Es reicht aber nicht aus, wenn ich dabei nur mit dem CIO spreche. Deshalb wende ich mich auch an alle Experten, die für spezielle Themen wie Backup und Desaster Recovery zuständig sind, um ein ganzheitliches Meinungsbild zu erhalten.

„CISOs müssen in verschiedenen Sprachen sprechen“

Darüber hinaus ist Kommunikation besonders wichtig, um Mitarbeiter zu erreichen. Sie sind Teil der Lösungsfindung und des Schutzes. Mitarbeiter sind aber auch entscheidend, wenn es zu einem Vorfall kommt. Nur mit ihrer Hilfe können Unternehmen die schwierige Situation bewältigen.

Dazu muss ich erst einmal erklären, was wir brauchen und wie wir uns vorbereiten. An dieser Stelle reicht ein typisches Awareness-Training nicht aus. Deshalb müssen wir eine Kultur etablieren, in der jede Person weiß, was Resilienz bedeutet, wie sie das Unternehmen stärkt, und was sie selbst dazu beitragen kann.

Dabei sehe ich Kommunikation als wichtigstes Mittel an, da ich in verschiedenen Sprachen sprechen muss. Diese sollten speziell auf die entsprechende Abteilung zugeschnitten sein. Ich muss zum Beispiel mit der Personalabteilung anders sprechen als mit der IT. Wenn wir erreichen, dass alle Mitarbeitenden verstehen, worum es geht, dann erreichen wir auch unsere Ziele in der Security.

Wo sehen Sie noch Handlungsbedarf in Sachen Sicherheit im Hinblick auf die Zukunft?

Wandhöfer: Wenn man sich die Situation heute ansieht, sind die Unternehmen generell noch nicht gut genug aufgestellt, sei es in der Prävention, Detektion oder im Krisenmanagement. All das ist noch nicht auf dem Level, wo es heutzutage eigentlich sein müsste. Deshalb gibt es auch so viel Regulatorik.

Hinzu kommt, dass wir durch die KI-Nutzung von Kriminellen mehr und qualifiziertere Angriffe erleben werden. Deepfakes gibt es zwar heute schon, aber das wird künftig Alltag werden. Meiner Meinung nach besteht jedoch die Herausforderung nicht alleine darin, wie man auf Deepfakes oder Social Engineering reagiert, auch wenn das immer noch der Angriffsweg Nummer eins ist.

Stattdessen geht es um die Frage, wie ich mein Informationssicherheits-Management-System so aufstelle, dass es permanent in der Lage ist, besser zu werden. Dabei brauche ich ständig neue Mittel und Ressourcen. Es ist nicht so, dass ich heute ein Programm umsetze und dann endgültig fertig bin. Vielmehr geht der Prozess immer weiter. In dieser Hinsicht müssen Unternehmen noch wesentlich mehr tun.

Deutschland hat bei der Digitalisierung noch einmal den Startknopf gedrückt. Das führt dazu, dass das aktuelle Setup morgen schon gar nicht mehr ausreicht. Deshalb muss man sich auf Themen wie die Quantentechnologie vorbereiten.

Auch wissen wir heute noch nicht, welche Angriffstechniken es künftig geben wird und worauf wir uns einstellen müssen. Genau diese Anpassungsfähigkeit ist auch eine Eigenschaft von Resilienz. Wenn ich in einem Unternehmen krisenerprobt bin, fällt es mir wesentlich leichter, mich auf derartige Ereignisse einzustellen. Diese Anpassungsfähigkeit ist die Strategie, die sich Unternehmen erarbeiten und umsetzen müssen.

Sie Interessieren sich für die CISO-Perspektive? Dann lesen Sie auch:

Merck-CISO: „Eine Krisensituation erfordert klare Entscheidungen“