Da Sicherheitsvorfälle mittlerweile zum Geschäftsalltag gehören, wie hat sich die Diskussion darüber entwickelt und was verraten die jüngsten Vorfälle über eine gute – und eine schlechte – Reaktion auf Sicherheitsvorfälle?

Noch vor fünf Jahren wäre ein Unternehmen, das einen Sicherheitsvorfall erlitten hätte, einer intensiven Prüfung unterzogen worden, einschließlich monatelanger Untersuchungen darüber, wie und warum der Angriff stattgefunden hatte – insbesondere wenn sensible Daten offengelegt worden wären.

Obwohl diese Art der Überwachung weiterhin stattfindet, ist es mittlerweile allgemein anerkannt, dass Cyberangriffe stattfinden werden, insbesondere gegen namhafte Unternehmen. Dies wurde erst kürzlich allzu deutlich, als Firmen wie Coca-Cola , Ernst & Young , Craneware und Abbott innerhalb weniger Monate Cybervorfälle einräumten.

Abgesehen von den Datenschutzverletzungen selbst zeigen diese Meldungen aus verschiedenen Branchen innerhalb kurzer Zeit einen größeren Trend auf. Da Cyberangriffe immer schwieriger zu verhindern sind, achten Kunden, Aufsichtsbehörden und Partner verstärkt darauf, wie Unternehmen reagieren, sich erholen und kommunizieren, wenn etwas schiefgeht.

Wie hat sich die Diskussion entwickelt und was verraten die jüngsten Sicherheitsvorfälle über eine gute – und eine schlechte – Reaktion auf Sicherheitsvorfälle?

Sich ändernde Erwartungen

Die Erwartungen an Cyberangriffe haben sich verändert. Vor zehn Jahren wurden Organisationen hauptsächlich danach beurteilt, ob sie überhaupt Opfer eines Sicherheitsvorfalls wurden. Heute verstehen die Beteiligten, dass „keine Organisation immun ist“, so Doug Jewitt, Sicherheitsberater bei der Infinity Group.

Er beschreibt, wie sich der Fokus darauf verlagert hat, wie schnell eine Organisation einen Vorfall erkennt, wie transparent sie reagiert und wie effektiv sie sich davon erholt. „Es wird klar erwartet, dass Organisationen jeder Größe über angemessen dimensionierte technische Kontrollmechanismen verfügen.“

Die jüngsten Enthüllungen um Coca-Cola, Ernst & Young, Craneware und Abbott zeigen, dass „zeitnahe und substanzielle Kommunikation“ die Reaktion der Stakeholder abmildern kann, so Tracey Hannan-Jones, Leiterin der Informationssicherheitsberatung bei der UBDS Group. „Schweigen, Verzögerungen oder vage Aussagen nähren Spekulationen und verursachen oft einen Reputationsschaden, der in keinem Verhältnis zum technischen Vorfall steht. Ein Unternehmen, das nicht erklären kann, was passiert ist, welche Maßnahmen es ergreift und was noch ungeklärt ist, signalisiert mangelnde Vorbereitung.“

Der Unterschied zwischen einer guten und einer schlechten Reaktion liegt laut Jeremy Leasher, Sicherheitsarchitekt bei Binalyze, in „Sichtbarkeit und Kontext“. Er hält den jüngsten Angriff auf die Gesundheitsorganisation Stryker für ein deutliches Beispiel dafür, wo etwas schiefgehen kann.

„In der ersten Stellungnahme wurde angedeutet, dass es sich nicht um Ransomware oder Malware handele und dass der Vorfall eingedämmt sei“, so Leasher gegenüber IO.

Technisch gesehen war das korrekt, aber als sich herausstellte, dass der Angriff über ein vertrauenswürdiges Administratortool und nicht über Schadsoftware erfolgte, spielte das keine Rolle mehr, so Leasher. „Strategisch gesehen sah es so aus, als hätte Stryker die Bedrohung nicht verstanden.“

Regulierungsfunktionen

Inzwischen spielen die Regulierungsbehörden eine Schlüsselrolle bei der Gestaltung der Reaktion auf Zwischenfälle, einschließlich der Erwartungen an die Meldung und Offenlegung.

Die britische Datenschutz-Grundverordnung ( DSGVO ) schreibt die Meldung von Datenschutzverletzungen innerhalb von 72 Stunden vor. Die britische Finanzaufsichtsbehörde (FCA ), die EU-Richtlinie 2 /2002/NRIS und die US-amerikanische Börsenaufsichtsbehörde (SEC) sehen darüber hinaus zusätzliche Meldepflichten vor. „Aufsichtsbehörden bewerten zunehmend nicht nur, ob eine Meldung erfolgte, sondern auch deren Geschwindigkeit, Qualität, Genauigkeit und die durchgeführten Folgemaßnahmen“, so Hannan-Jones von der UBDS Group.

Eine der gravierendsten praktischen Folgen ist der Zeitfaktor, so David Dumont, Partner bei Hunton. Er weist darauf hin, dass viele Meldepflichten sehr kurze Fristen haben. „Organisationen müssen daher unter Umständen erhebliche Zeit und Ressourcen für die Prüfung der Meldepflichten und die Erstellung der Formulare für die Aufsichtsbehörden aufwenden, und zwar fast unmittelbar nachdem sie von einem Vorfall Kenntnis erlangt haben – oft noch während sich die Sachlage erst entwickelt.“

Gleichzeitig kommt der Regulierungsbehörde selbst eine immer wichtigere Rolle zu, so Paul Wiggins, Datenexperte bei Freeths. Er weist darauf hin, dass das britische Information Commissioner’s Office (ICO) gemäß dem Data Use and Access Act über stärkere Durchsetzungsbefugnisse verfügt. „Es wird erwartet, dass das ICO als regulatorische Kontrollinstanz fungiert, in der Hoffnung, dass dies zur Beilegung von Streitigkeiten mit geringem Streitwert beiträgt“, erklärt er gegenüber IO.

Geschwindigkeit, Transparenz und Genauigkeit

Obwohl Unternehmen weiterhin von Cyberangriffen betroffen sind, sind viele Experten der Ansicht, dass die Geschäftstätigkeit im Umgang mit solchen Vorfällen stetig verbessert wird. Dray Agha, Senior Manager im Security Operations Center EMEA bei Huntress, erklärt dies vor allem damit, dass die Stigmatisierung von Sicherheitslücken zunehmend abnimmt. „Unternehmen erkennen, dass Vorfälle eine Frage des Wann und nicht des Ob sind. Dadurch können sie ihre Energie von der Problembehebung hin zur Minimierung von Ausfallzeiten verlagern.“

Es ist nun wichtig, dass Organisationen bei einem Vorfall ein Gleichgewicht zwischen Geschwindigkeit, Transparenz und Genauigkeit finden.

Eine angemessene Reaktion auf einen Sicherheitsvorfall erfordert mehrere wichtige Schritte. Laut Wiggins von Freeths ist es unerlässlich, über die richtigen Richtlinien und ein kompetentes Team zu verfügen, das „im Ernstfall sofort handeln kann“.

Er betont die Wichtigkeit eines Teams mit externen Beratern – wie Anwälten, PR-Agenturen und Cyberversicherern –, das seiner Ansicht nach „grundlegend“ für die Strategieentwicklung und die Reaktion auf einen Vorfall ist. „Darüber hinaus ist die Bereitschaft wichtig, betroffene Personen zu beruhigen und zu unterstützen sowie mit Partnern in der Lieferkette zusammenzuarbeiten, die die Folgen des Vorfalls zu spüren bekommen.“

Laut Leasher von Binalyze haben Organisationen, die am besten auf einen Sicherheitsverstoß reagieren, die Planung im Voraus vorgenommen.

Im Kern, so seine Ansicht, sollten sie die drei grundlegenden Fragen schnell beantworten können: „Hat der Angreifer noch Zugriff? Wie ist er eingedrungen? Was hat er gestohlen?“

Kommunikation und Transparenz sind unerlässlich und können laut Jewitt von der Infinity Group „den entscheidenden Unterschied ausmachen, ob ein Cybervorfall zu einer geschäftlichen Herausforderung oder einer Reputationskrise wird“. „Kunden, Partner und Aufsichtsbehörden verstehen, dass Untersuchungen Zeit brauchen, erwarten aber Ehrlichkeit, zeitnahe Informationen und klare Erläuterungen darüber, was bekannt ist, was noch untersucht wird und welche Maßnahmen ergriffen werden.“

„Der Schlüssel liegt darin, zu kommunizieren, was man weiß, einzugestehen, was man nicht weiß, und regelmäßige Updates zu gewährleisten“, sagt Jewitt. „Auf perfekte Informationen zu warten, kann wichtige Entscheidungen verzögern, aber voreilige Schlüsse können das Vertrauen zerstören.“

Starke Regierungsführung

Eine solide Unternehmensführung ist die Grundlage für eine effektive Reaktion auf Krisensituationen. Dies bedeutet, klare Verantwortlichkeiten, etablierte Prozesse und fundierte Entscheidungsfindung sicherzustellen, bevor eine Krise eintritt.

Eine starke Unternehmensführung gewährleistet, dass in Krisensituationen schnell und sicher Entscheidungen getroffen werden können, so Jewitt. „Klare Zuständigkeiten, etablierte Eskalationswege und klar definierte Verantwortlichkeiten beseitigen Unsicherheit, wenn es auf jede Minute ankommt. Organisationen, die bereits vor einem Vorfall in eine gute Unternehmensführung investieren, sind in der Regel besser gerüstet, um regulatorische Anforderungen, die Kommunikation mit Stakeholdern und die Wiederherstellungsmaßnahmen im Ernstfall zu bewältigen.“

Eine herausragende Reaktion auf Sicherheitsvorfälle lässt sich nicht improvisieren, so Hannan-Jones von UBDS Digital. „Die Erkennung ist wichtig, aber eine schnelle Eindämmung erfordert klare Zuständigkeiten und eine gut abgestimmte Koordination. Technische, juristische, Kommunikations- und Führungsteams müssen von Anfang an zusammenarbeiten. Cybervorfälle, die Daten, geistiges Eigentum oder den Geschäftsbetrieb betreffen, sind geschäftliche Ereignisse und nicht bloß IT-Probleme. Eine klare Verantwortlichkeit auf Vorstandsebene ist unerlässlich.“

ISO 27001 kann die Einsatzbereitschaft stärken, wenn sie als operativer Rahmen genutzt wird, doch eine Zertifizierung allein reicht nicht aus, so Hannan-Jones. „Unerprobte Pläne, unklare Verantwortlichkeiten und rein IT-basierte Übungen erzeugen ein trügerisches Gefühl der Sicherheit.“

Sie sagt, wirksame Resilienz beruhe auf vier geübten Fähigkeiten: „Erkennen, Eindämmen, Reagieren und Erholen.“

Erweitern Sie Ihr Wissen

Blog: Warum Cyberresilienz für viele britische Unternehmen noch in weiter Ferne liegt

Podcast: Vom Konferenzraum zur Kaffeepause – Aufbau einer Compliance-Kultur

Blog: Wie können sich Sicherheitsteams auf eine Zukunft nach dem Mythos vorbereiten?