Cyber-Crime – „Risiken kennen und im Voraus handeln!“

Von Christian Gerstung, Braunschweig

Christian Gerstung
Direktor Kundenmanagement

Während E-Checks, TÜV-geprüfte Geräte oder Brandschutzsysteme uns vor realen Bränden bewahren sollen, ist es im digitalen Bereich ebenso entscheidend, sich vor Angriffen zu schützen, die unser Unternehmen schwer beschädigen oder sogar existenziell bedrohen können. Und während im Ernstfall die Feuerwehr über die 112 bereitsteht, braucht es im digitalen Raum entsprechende Prävention – und eine Absicherung für den Schadensfall.

Das Risiko „Cyber-Crime“

Ob die Datenkommunikation gestört ist oder vertrauliche Informationen gestohlen werden – Unternehmen haben stets das Nachsehen und nicht selten steht dabei ihre Existenz auf dem Spiel. Daher sollte für jede Organisation die IT-Sicherheit oberste Priorität haben – völlig unabhängig von ihrer Größe. Alle sind betroffen! Selbständige, Freiberufler, Gewerbetreibende, Unternehmen, Vereine, Verbände, öffentliche Einrichtungen u.v.m. sind im Zeitalter der Digitalisierung auf die eigene Informationstechnologie und die Verfügbarkeit von Daten angewiesen. Die IT-Sicherheit muss in deutschen Unternehmen/ Organisationen stärker berücksichtigt werden und gehört in den Verantwortungsbereich der Geschäftsführung und des Vorstands. Laut des Digitalverbandes Bitkom e.V. investieren 43 % der KMU in Deutschland jährlich weniger als 10.000 Euro in die IT-Sicherheit des eigenen Unternehmens. Die Folge: Neun von zehn Unternehmen (88 % !) waren bereits von Cyber-Angriffen betroffen. Hackerangriffe, Cyber-Erpressungen, Netzwerksicherheitsverletzungen, Datenrechtsverletzungen, Datenmissbrauch oder –verlust und Sabotage führten in der deutschen Wirtschaft laut Bitkom zu mehr als 267 Milliarden Euro Schaden im Jahr 2023. Somit sollte jedem klar sein: „Die IT-Strategie eines Unternehmens – egal welcher Größe – muss ein wesentlicher Bestandteil in der Unternehmensstrategie sein.

Auf der nachfolgenden Basis können und müssen konkrete Sicherheitsmaßnahmen für alle Unternehmen etabliert werden.

Sechs wesentliche Fragen zu der IT-Strategie einer Organisation oder eines Unternehmens:

Ist eine eigene IT-Sicherheitsabteilung vorhanden?

Gemeint ist nicht der Datenschutzbeauftragte, sondern Experten, welche sich laufend und profes­sionell mit der unternehmenseigenen IT-Sicherheitsstrategie beschäftigen.

Wurde die IT-Abhängigkeit und Anfälligkeit evaluiert?

Um die richtigen Entscheidungen zu treffen, ist in der Analyse herauszuarbeiten, wie sich die einzelnen Geschäfts- und IT-Prozesse auf die Geschäftsfähigkeit auswirken. Sind Unterneh­mensprozesse bei einem Ausfall der IT, bei Nichtverfügbarkeit von Daten betroffen?

Ist ein übergreifendes Risikomanagement implementiert?

Ein Risikomanagement ist ein systematischer Ansatz, um den Handlungsbedarf, welcher sich aus Risiken und Chancen ergibt, frühzeitig zu erkennen und wirtschaftlich umzusetzen. Die Früher­kennung dieses Handlungsbedarfs ermöglicht, die Risikohandhabung und Chancennutzung opti­mal zu planen und effizient und effektiv zu realisieren.

Ist ein Krisenplan vorhanden?

Nicht jedes mögliche Krisenszenario ist vorhersehbar. Es sollte für den Ereignisfall ein anwend­barer eingeübter Maßnahmenplan zur Krisenbewältigung vorhanden sein. Eine erfolgreiche Krisenbewältigung ist abhängig von einer raschen Umsetzung von notwendigen Sofortmaßnahmen zur Eindämmung des Krisenausmaßes. 

Wie ist der Umgang mit Gesetzgebung und Rechtsprechung (DSGVO) geregelt?

Ein wichtiges Beispiel für rechtliche Vorgaben, die für die IT-Compliance einzuhalten sind, ist der Datenschutz. Die IT muss so gestaltet und genutzt werden, dass der Schutz personenbezogener Daten gewährleistet ist. Was dies konkret bedeutet, regelt auf EU-Ebene seit Mai 2018 die Da­tenschutz-Grundverordnung (DSGVO). 

Besteht ein Ad-hoc-Zugriff auf spezialisierten Dienstleister im Schadenfall?

Moderne, vernetzte Technologien und Wertschöpfungsprozesse führen dazu, dass fast jedes Un­ternehmen überall auf der Welt Opfer oder Werkzeug eines Cyberangriffs werden kann. Viele Unternehmen sind für einen solchen Fall organisatorisch schlecht oder nicht vorbereitet. Der Aufbau dieser Strukturen – so sinnvoll er auch im Einzelfall sein mag – überfordert viele Unternehmen sowohl technisch als auch finanziell. Die meisten Unternehmen sind auch nicht auf die Zusammenarbeit zwischen dem strategisch ausgerichteten Krisenmanagement und der ope­rativen Notfallbewältigung im Rahmen des Business Continuity Managements eingerichtet. Auf diese Weise entstehen einerseits hohe Reibungsverluste im Krisenmanagement (das nicht aus­reichend schnell mit notwendigen und verständlichen Informationen versorgt wird) und andererseits im Notfallmanagement (das unklare oder unrealistische Vorgaben aus dem Krisen­management erhält). In diesem Fall ist es sinnvoll, entsprechend spezialisierte IT-Dienstleister beratend und auch zur Unterstützung im Notfall heranzuziehen. Dabei gilt es, sich gegen Vorfäl­le aller Art abzusichern – besonders wenn man deren Lösung nicht selbst in der Hand hat.

Im Voraus zu handeln, macht fast alles Weitere planbar und das Unternehmen ist im Krisenfall bestenfalls weiterhin handlungsfähig. Das Resultat einer durchdachten IT-Strategie und der damit verbunden Maßnahmen bringt letztendlich alle Geschäftsprozesse voran – auch wenn nichts passiert.

„Man kann nur schützen, was man kennt. Man kann nur versichern, was geschützt ist.“

Eine Absicherung durch eine „Cyber-Police“ sollte ein wesentlicher Baustein des Versicherungsmanagement eines Unternehmens sein, denn ein Cyber-Schadenfall kann die Existenz eines Unternehmens bedrohen!

Eine Versicherungspolice bietet folgende Lösungsansätze: Prävention durch Sensibilisierung, Weiterbildung der Mitarbeiter, Krisenpläne, Soforthilfe im Notfall durch eine 24/7-Krisenhotline mit direktem Zugriff auf Experten, wie z.B. IT-Forensiker, Krisenmanagement, Datenschutz- und Datenrechtsanwälte, PR-Berater, Kostenübernahme bei Betriebsunterbrechungen, Kostenübernahme für die Wiederherstellung von Systemen & Daten, Zahlung von Lösegeldern und natürlich auch eine Cyber-Haftpflicht.

Für unser Unternehmen – DHS-Versicherungsmakler – steht die Beratung im Mittelpunkt. Wir ermitteln für unsere Kunden mögliche Gefährdungspotenziale und Unternehmensrisiken. Durch unsere Unabhängigkeit mit dem bestmöglichen Marktzugriff und einer ständigen Überwachung der Risiken unserer Kunden, bleiben diese stets optimal abgesichert. Unsere komplexen und individuell abgestimmten Versicherungskonzepte beinhalten grundsätzlich hervorragende Preis- und Leistungsinhalte. Wir beraten Sie gern.