Manager oft bei Cyberrisiken überfordert

-
31. Mai 2017
-
Redaktion RISIKO MANAGER

Unternehmen müssen dafür Sorge tragen, dass Cyber-Sicherheit fester Bestandteil auf der Agenda des Vorstands ist – einschließlich der Überprüfung der externen Cyber-Bedrohungslage in Zusammenarbeit mit IT.

Darüber hinaus profitieren Firmen von regelmäßigen Krisenmanagement-Übungen für alle relevanten Parteien wie die Vorstandsetage, IT, die Rechts- sowie Kommunikationsabteilungen und sämtliche andere Mitglieder des Krisenmanagement-Teams. Diese Übungen stellen sicher, dass alle Beteiligten ihre Rollen und Verantwortlichkeiten kennen und die potenziellen Folgen von Cyber-Attacken vor Augen haben. Gleichwohl fühlen sich viele Führungskräfte angesichts der Bedrohungen aus dem Cyberspace überfordert. Eine von Control Risks weltweit durchgeführte Umfrage unter Führungskräften und IT-Entscheidern ergab, dass fast die Hälfte der Befragten davon überzeugt ist, die Führungsetage ihres Unternehmens würde Cyber-Risiken nicht ernst genug nehmen. Und dies, obwohl 77 % der Befragten die Mitglieder der Führungsebene als Hauptverantwortliche für Cyber Security Management in ihrem Unternehmen ansehen – und nicht die traditionell zuständige IT-Abteilung.

Gut 31 % der Befragten gaben zudem an, sehr oder sogar extrem besorgt zu sein, ihr Unternehmen könne im Laufe des nächsten Jahres Opfer einer Cyber-Attacke werden. Bei einem Drittel (34 %) der Unternehmen sei jedoch kein Krisenmanagement-Plan für den Fall eines Cyber-Angriffs vorhanden. Angesichts des bis dato schwersten Malware-Angriffs vom 12. Mai 2017, der WannaCry Ransomware-Attacke, bei der in weniger als 12 Stunden 150 Länder betroffen waren, ist dieser Mangel an Vorbereitung erstaunlich.

Unternehmen tun sich zudem mit einem risikobasierten Ansatz schwer: Obwohl immer mehr Unternehmen mittlerweile erkannt haben, dass die Erfüllung von regulatorischen Minimalanforderungen nicht ausreicht und stärker daran arbeiten möchten, die Risiken einer Cyber-Attacke tatsächlich zu reduzieren, sehen fast die Hälfte (45 %) die Identifikation, Analyse und Reduzierung dieser Risiken als ihre größte Herausforderung an.

Auch Verstöße durch Drittparteien bereiten zunehmend Sorge: Etwas über ein Drittel (35 %) der Befragten gab an, ihr Unternehmen hatte in der Vergangenheit bereits mit Sicherheitslücken aufgrund von Drittparteien zu kämpfen. Zwar ergriffen 9 von 10 Befragten (93 %) Schritte, um die Cyber-Sicherheitsmaßnahmen ihrer Drittparteien zu überprüfen. Diese beschränkten sich bei 53 % jedoch lediglich auf rein vertragliche Klauseln.

"Cyber-Sicherheit wird häufig noch immer als rein technische Herausforderung und weniger als ein übergreifendes Geschäftsrisiko angesehen“, sagt Harald Nikutta, Senior Partner bei Control Risks Deutschland. Wie die Umfrage gezeigt habe, könne diese eingeschränkte Sichtweise vielen Unternehmen auf Dauer erhebliche Sorgen bereiten. „Wir empfehlen, einen möglichst umfassenden Blick mit Bezug zu konkreten Bedrohungen auf das jeweilige Unternehmen zu werfen. Dabei ist die Art und Weise, wie Cyber-Risiken identifiziert, eingeschätzt und im Unternehmen kommuniziert werden, von zentraler Bedeutung“, so Nikutta. Es sei wichtig, dass Unternehmen die potenziellen Folgen von Cyber-Risiken in ihrem speziellen Fall verstehen. Erst dann können diese in einer Risikomanagement-Strategie Berücksichtigung finden und mit wirksamen Maßnahmen unterlegt werden."