Unter dem Titel „Unternehmen tragen die Verantwortung: IT-Sicherheit aus verschiedenen Perspektiven“ veranstaltete die Industrie- und Handelskammer (IHK) zu Dortmund einen Infotag. Das Ziel: Unternehmerinnen und Unternehmer für das Thema zu sensibilisieren – und dabei auch Möglichkeiten aufzuzeigen, mit welchen Maßnahmen sie ihre Betriebe wirkungsvoll schützen können.
So vielfältig die Perspektiven auch waren, aus denen das Thema IT-Sicherheit beleuchtet wurde: Zwei Kernbotschaften zogen sich als Grundtenor durch die gesamte Veranstaltung. Zum einen, dass Cyberattacken auf Unternehmen eine Professionalität erlangt haben, die so weit reicht, dass von einem eigenen kriminellen Wirtschaftszweig gesprochen werden muss. Und zum anderen, dass es längst keine Frage des „ob“, sondern vielmehr des „wann“ ist, welche Unternehmen attackiert werden.
Andreas Tracz, Geschäftsführer der K&K Networks GmbH und Vizepräsident der IHK zu Dortmund, machte gleich zu Beginn deutlich, welch immenser Schaden der deutschen Wirtschaft mittlerweile entsteht: „Jährlich sind es mehr als 200 Milliarden Euro, wie der Branchenverband Bitkom mitteilt.“ Daraufhin zählte er einige prominente Unternehmen auf, die jüngst angegriffen wurden: „Thyssenkrupp, Westlotto, Continental, das Fraunhofer-Institut in Halle, der TÜV Nord, die Universität Duisburg-Essen – und eben auch die IHK-Organisation.“
Dominik Stute, Referatsleiter Innovation, Industrie, Internationale Netzwerke bei der IHK zu Dortmund und verantwortlich für die Organisation der Veranstaltung, betonte die Komplexität des Themenfeldes: „Nicht nur die richtigen technische Lösungen spielen eine wichtige Rolle, sondern auch Themen wie Mitarbeiter-Awareness, Versicherungen und sogar Künstliche Intelligenz.“ Ein Abbild der Themen des Tages.
Angreifer gehen mit hohem Aufwand vor
Thorsten Strauß, Geschäftsführer der IHK-GfI Gesellschaft für Informationsverarbeitung mbH – der zentrale IT-Dienstleister für die bundesweit 79 IHKs –, berichtete im Rückblick über den Angriff auf die IHKs im vergangenen Sommer und welche Lehren daraus gezogen wurden. „Wir wissen, dass die Angreifer sehr professionell und mit hohem Aufwand vorgegangen sind.“ Da sei kein einzelner „Hacker im Keller“ am Werk gewesen, sondern eine Gruppe von Angreifern, die sich systematisch und unerkannt ausgebreitet habe, bis „wir sie quasi mit der Hand in der Kasse erwischt und das System zum Schutz vom Netz getrennt haben, um es dann neu aufzubauen“.
Um wirtschaftliche Schäden aufzufangen, bieten einige Versicherungen entsprechende Policen an. Dirk Kalinowski und Steven Böhm von der AXA Versicherung AG erläuterten, welche Voraussetzungen Unternehmen erfüllen müssen, um solch eine Police überhaupt abschließen zu können, denn „das sind sehr komplexe Produkte“, so Kalinowski. Demnach gibt es klare Vorgaben im Hinblick auf Verschlüsselungstechniken, Firewalls, Anti-Viren-Software sowie ein geregeltes Patch-Management zur Aktualisierung von Software, aber auch Notfallpläne im Fall einer erfolgreichen Attacke. Beispiele zeigten, dass die Schäden auch bei mittelständischen Betrieben mehrere Millionen Euro betragen können – und dass Schäden selbst dann entstehen, wenn der Cyberangriff abgewendet werden konnte.
Belegschaft regelmäßig sensibilisieren
Guido Wirtz, Datenschutzbeauftragter im Unternehmen K&K Networks aus Unna, empfahl eindringlich, Mitarbeiterinnen und Mitarbeiter zu schulen – und dies am besten regelmäßig. „Setzen Sie nicht voraus, dass Ihre Belegschaft von sich aus weiß, wie sie sich im Netz sicher verhält.“ Insbesondere Phishing-E-Mails würden immer raffinierter, um dazu zu verleiten, schädliche Anhänge zu öffnen. Auch warnte er davor, die eigenen Sicherheitssysteme zu überschätzen. Insbesondere kleinere mittelständische Unternehmen ohne eine eigene IT-Abteilung seien gut beraten, sich einen professionellen Dienstleister zur Unterstützung zu suchen.
In diesem Zusammenhang erläuterte Pierre Leszczyk, Enterprise Account Executive beim Unternehmen Arctic Wolf Networks, die Funktion eines Security Operation Centers (SOC). Diese IT-Sicherheitszentren überwachen mittels künstlicher Intelligenz ein IT-System das ganze Jahr über rund um die Uhr und schlagen Alarm, sobald sie eine Auffälligkeit bemerken. „Bei Arctic Wolf wird dann umgehend ein Concierge-Team informiert, das sich die Sache ansieht, reagiert, und auch im Nachgang Empfehlungen gibt, um das System noch sicherer zu machen.“ Diese ganzheitliche Überwachung rund um die Uhr sei unumgänglich geworden aufgrund der mittlerweile hohen Professionalität der Angreifer.
IT-Dienstleister für Systemüberwachung
Dies betonte auch Kay-Uwe Wirtz, Regional Account Director DACH bei Barracuda MSC. „Große Konzerne verfügen mitunter bereits seit einiger Zeit über solche Überwachungssysteme. Kleine mittelständische Unternehmen benötigen sie ebenfalls, weil sich die Spielregeln geändert haben.“ Seine Warnung: „Die Suche nach Sicherheitslücken läuft heute sehr gut organisiert und automatisiert. Daher ist davon auszugehen, dass jedes Unternehmen früher oder später angegriffen wird.“ Entsprechende IT-Spezialisten für das eigene Haus seien zudem gefragt und gut bezahlt, professionelle IT-Dienstleister mit Abo-Modellen daher grundsätzlich ratsam. „Zumal Angreifer meist auch nicht sofort zuschlagen, sondern sich unerkannt einschleichen und ausbreiten wollen.“
Welche Risiken das Thema IT-Sicherheit auch im Rahmen einer Jahresabschlussprüfung mit sich bringen kann, erläuterte Matthias Kotowski, Geschäftsführer der AD REM GmbH. Schäden durch Erpressung, verbunden mit Ausfall von Systemen oder Störung von Betriebsabläufen, seien zwischen 2019 und 2021 um 358 Prozent gestiegen. „Unternehmen stecken bisweilen viel Geld in ihr Marketing und den Vertrieb, vernachlässigen dabei aber die IT-Sicherheit.
Gereon Neuhaus von K&K Networks Security Hub wies abschließend darauf hin, dass die Cyberkriminalität ein regelrechter Wirtschaftszweig geworden sei. „Es gibt Unternehmen, die nach Sicherheitslücken suchen, die Angriffe dann aber nicht selbst ausführen, sondern die Infos verkaufen.“ Seine Prognose: „Die fortschreitende Digitalisierung wird mehr und neue Einfallstore in IT-Systeme mit sich bringen.“
IHK-Vizepräsident Andreas Tracz und Dominik Stute waren mit der Resonanz der Veranstaltung sehr zufrieden. „Das sehr positive Feedback der Teilnehmer zeigt deutlich, dass wir die richtigen Themen besetzt haben“, betonte Tracz.
Bildunterschrift: IT-Sicherheitstag in der IHK zu Dortmund (v. l.): Dominik Stute (IHK), Kay-Uwe Wirtz (Barracuda MSP), Dirk Kalinowski und Steven Böhm (beide AXA), Matthias Kotowski (Ad Rem), Gereon Neuhaus (K&K), IHK-Vizepräsident Andreas Tracz, Guido Wirtz (K&K)