Cyberresilienz im Fokus: Wie Unternehmen proaktiv handeln

Die Studie 'The Cyber-Resilient CEO' unterstreicht, dass viele CEOs sich nicht proaktiv mit dem Thema Cybersicherheit auseinandersetzen. Wie hat sich das Bewusstsein der Führungskräfte in der Industrie gegenüber Cyberangriffen verändert, und welche neuen Erkenntnisse liefert die Studie dazu?

Thomas Schumacher: Die Studie zeigt, dass CEOs heute die Bedrohung durch Cyberangriffe erkennen, was mein persönliches Bauchgefühl mit konkreten Zahlen bestätigt. Ein wichtiges Ergebnis ist, dass 96 Prozent der Geschäftsführer angeben, dass Cyber-Sicherheit entscheidend für das Unternehmenswachstum und die Stabilität ist, ein positiver Wandel im Vergleich zu vor zwei, drei Jahren.

Die Unternehmensleiter erkennen nun auch Cybersicherheit als Differenzierungsmerkmal für Produkte und Dienstleistungen an. Allerdings offenbart die Studie zwei fundamentale Fehleinschätzungen der CEOs: 44 Prozent sehen Cybersicherheit als episodisch und nicht kontinuierlich an, und 54 Prozent denken, dass die Implementierung teurer ist als die Kosten eines Cyberangriffs. Aktuelle Zahlen aus Deutschland widerlegen diese Annahmen, da Unternehmen laut Bitkom 9,2 Milliarden Euro für IT-Sicherheit ausgeben, während der Schaden durch Cyberangriffe 148 Milliarden Euro beträgt.

Wie könnte man die Fehleinschätzungen korrigieren?

Schumacher: Viele CEOs haben laut der Studie ein eingeschränktes Verständnis von Cybersicherheit und handeln nicht proaktiv. Sie glauben, sie könnten Cybersicherheit einfach delegieren. Es sollte jedoch zu ihren Aufgaben gehören, die Stabilität des Unternehmens sicherzustellen und Schaden abzuwenden. Die Frage stellt sich, ob diese Angelegenheit delegiert werden kann oder ob sie eine eigene Verantwortung der Unternehmensleiter darstellt, wobei letzteres meiner Ansicht nach zutrifft.

Betrachten wir den Fall des Software-Unternehmens SolarWinds, der zu einem der bekanntesten Supply-Chain-Angriffe der letzten Jahre zählt. Hier wurde deutlich, dass Geschäftsführer das gesamte Ecosystem in ihre Sicherheitsbemühungen einbeziehen müssen, da Cybersecurity nicht nur innerhalb des Unternehmens, sondern entlang der gesamten Wertschöpfungskette Priorität haben sollte. Zum Präzedenzfall wurde SolarWinds, da die US-amerikanische Aufsichtsbehörde SEC Strafanzeige gegen das Unternehmen und den CISO erstattet hat. Die Frage bleibt, ob in der Zukunft beispielsweise auch der CEO zur Verantwortung gezogen wird, da dieser stellvertretend für das Unternehmen steht. Zu seinen Aufgabengebieten gehört es sicherzustellen, dass potenzielle Risiken erkannt werden.

Wie können sich Unternehmen auf die zunehmende Verbreitung generativer KI als neue Bedrohung vorbereiten?

Schumacher: Generative KI bietet Unternehmen Effizienzgewinne und die Möglichkeit zur Entwicklung fortschrittlicher Produkte. Im Sicherheitsbereich ergeben sich sowohl Chancen als auch Herausforderungen. Generative KI unterstützt Unternehmen dabei, schwer erkennbare Cyberangriffe schneller zu erkennen. Positiv betrachtet verbessert Generative KI die Effizienz von Sicherheitsprodukten. Gleichzeitig ermöglicht sie jedoch Cyberkriminellen, schneller und personalisierter vorzugehen, wie etwa mit individualisierten Ransomware-Angriffen.

Die Intensität und Professionalität von Angriffen dürften steigen, was das Gesamtrisiko erhöht. Die Herausforderung besteht darin, generative KI sowohl als Schutzmechanismus als auch als potenzielle Bedrohung zu betrachten.

Welche Erkenntnisse können Unternehmen von den cyberresilienten CEOs ziehen, und gibt es Gemeinsamkeiten in dieser Gruppe?

Schumacher: Gemeinsamkeiten bei resilienten CEOs sind nicht auf eine bestimmte Branche beschränkt, sondern scheinen auf einer persönlichen Einstellung zu basieren, möglicherweise durch negative Erfahrungen geprägt. Resiliente Unternehmensleiter, besonders jene, die bereits Cyberangriffe erlebt haben, erkennen die Notwendigkeit, Cybersecurity ernsthaft in alle Unternehmensaspekte zu integrieren.

Nicht nur CEOs, sondern auch CISOs sollten pragmatisch mit Sicherheitsthemen umgehen. Resiliente Geschäftsführer integrieren Sicherheitsmaßnahmen von Anfang an, setzen klare Budgets und Verantwortlichkeiten und messen Mitarbeiter an ihrer Berücksichtigung von Sicherheitsaspekten.

In der Umfrage sind 68 CEOs aus Deutschland vertreten. Wie schneiden sie im Vergleich zu den globalen Ergebnissen ab?

Schumacher: Generell spiegeln die globalen Herausforderungen auch die Situation deutscher Unternehmen wider. Das zeigen auch die Antworten der deutschen CEOs in unserer Studie. Diese decken sich größtenteils mit dem globalen Durchschnitt.

Meiner Einschätzung nach stellt die Struktur der deutschen Unternehmenslandschaft, besonders im Mittelstand, eine Herausforderung dar. Mittelständische Unternehmen laufen möglicherweise in Gefahr, die Relevanz von Cybersecurity aufgrund mangelnder Ressourcen und fehlendem Know-How zu unterschätzen. Doch die Realität zeigt, dass auch mittelständische Unternehmen ins Visier von Cyberangreifern geraten können – oftmals mit gravierenden Konsequenzen.