Warum Cyber-Resilienz für KMU wichtig ist und wie man sie erreicht

Unternehmen leben in einer Welt mit erhöhtem Bedrohungsniveau, entschlossenen bösartigen Akteuren und umfangreichen Angriffsflächen. In diesem Zusammenhang kann es insbesondere für kleinere Unternehmen schwierig sein, ihren Einsatz digitaler Technologien zu optimieren, ohne sich einem übermäßigen Cyberrisiko auszusetzen. Wie lautet also die Antwort? Cyber-Resilienz ist zwar kein Allheilmittel, aber dennoch eine immer beliebter werdende Strategie. Ist sie vorhanden, können Unternehmen den Betrieb auch bei Angriffen wie gewohnt aufrechterhalten und sich dann schnell anpassen und erholen, ohne den Geschäftsbetrieb zu gefährden.

Aber es ist nicht einfach, zu diesem Punkt zu gelangen. Einer neuen Studie von Osterman Research zufolge verfügen 86 % der Unternehmen über einen Plan zur Cyber-Resilienz, aber nur wenige haben Vertrauen in ihn und über die Hälfte hat nicht einmal eine Möglichkeit, seine Effektivität zu bewerten. Insbesondere für KMU könnte die Konsolidierung von Fähigkeiten einen großen Einfluss auf den Erfolg von Initiativen haben.

Warum Resilienz?

Laut dem U.S. National Institute of Standards and Technology (NIST) ist Cyber-Resilienz: „Die Fähigkeit, widrige Bedingungen, Belastungen, Angriffe oder Kompromittierungen von Systemen, die Cyber-Ressourcen nutzen oder durch sie ermöglicht werden, zu antizipieren, standzuhalten, sich von ihnen zu erholen und sich an sie anzupassen.“

Warum rückt Resilienz zunehmend in den Mittelpunkt? Weil keine Organisation zu 100 % vor Verstößen geschützt ist. Eine wichtige Säule der Resilienz ist die Bedrohungsprävention – das Blockieren so vieler eingehender Bedrohungen wie möglich. IT-Führungskräfte müssen jedoch auch realistisch sein. Wenn es doch passiert – und das wird es –, dann sollten Sie auch über die richtigen Prozesse und Technologien zur Erkennung, Reaktion und Wiederherstellung verfügen.

Dies geschieht vor einem zunehmend abschreckenden Hintergrund agiler Cyberkrimineller und ermutigter Nationalstaaten. Serviceangebote, die im Dark Web frei verfügbar sind, haben die Messlatte für Ransomware, Phishing und vieles mehr erheblich gesenkt. Das ist vor allem für kleine und mittelständische Unternehmen eine schlechte Nachricht, denn es vergrößert den potenziellen Pool von Bedrohungsakteuren und macht die Kompromittierung einer größeren Anzahl weniger lukrativer Ziele finanziell rentabel.

Dem Bericht von Osterman Research zufolge sind Ransomware (63 %), Angriffe auf die Lieferkette (51 %), Malware (49 %) und Programmierfehler (48 %) die größten Sorgen für Unternehmen. Sie werden durch die Tatsache verschärft, dass die Angriffsfläche für Unternehmen aufgrund der Investitionen in die Cloud und andere digitale Technologien immer größer wird.

KMU haben in der Cloud wohl die Nase vorn. Das war in den Jahren der Pandemie ein Segen und kommt diesen Unternehmen auch heute noch zugute, da hybrides Arbeiten zur Norm wird. Dadurch sind sie aber auch einem größeren Risiko von Datendiebstahl und Betriebsunterbrechungen ausgesetzt. Externe Mitarbeiter sind eine besonders akute Bedrohung. Es wurde behauptet, dass sie eher zu riskantem Verhalten neigen als ihre Kollegen im Büro, z. B. durch das Anklicken von Phishing-Links oder die Verwendung nicht gepatchter privater Geräte für die Arbeit.

Es stimmt auch, dass große Firmen zwar Schlagzeilen machen, aber kleinere Firmen oft die Leidtragenden sind. Der durchschnittliche Angestellte eines kleinen Unternehmens mit weniger als 100 Mitarbeitern ist um 350 % häufiger Social Engineering-Angriffen ausgesetzt als der Angestellte eines größeren Unternehmens, das zumindest ergaben Studien von Barracuda.

Was fehlt in den aktuellen Programmen?

Daher der Drang nach größerer Cyber-Resilienz. Doch laut Osterman Research ist es darum nicht gut bestellt. Es werden mehrere Herausforderungen in aktuellen Programmen hervorgehoben, darunter:

• Ineffektive Sicherheitsschulungen für Mitarbeiter: Fast die Hälfte der Befragten gibt an, dass ihre Mitarbeiter trotz jahrelanger Schulungen nicht wüssten, was zu tun ist, wenn sie eine Phishing-E-Mail erhalten.
• Ein allgemeiner Mangel an Vertrauen in die Bereitschaft der allgemeinen Belegschaft.
• Mangelhaftes Engagement des Vorstands: Nur 56 % sagen, dass Sicherheit für die Führungsebene Priorität hat.
• Bedarf an verbesserten Tools: Zero Trust, Data Protection und andere Funktionen sind für die Befragten die wichtigsten Anforderungen.

Ein unternehmensweites Projekt

IDC definiert fünf kritische Phasen eines Cyber-Resilienzprogramms:

• Kritische Assets identifizieren, Prozesse zuweisen und Bereitschaft bewerten
• Assets mit wirksamen Sicherheitskontrollen schützen
• Bedrohungen mithilfe von Analysen erkennen
• Schnell auf Angriffe reagieren
• Schnelle Erholung von Angriffen

Dazu braucht es selbstverständlich eine vielschichtige, das gesamte Unternehmen betreffende Vorgehensweise. Das heißt, dass das Engagement der Unternehmensleitung verbessert werden muss, die Mitarbeiter besser geschult werden, Erkennungs- und Reaktionstools vorhanden und die Grundlagen der Cyber-Hygiene wie regelmäßige Patches, Backups, Verschlüsselung und Firewalls aktiv sein müssen – und das alles im Rahmen einer einheitlichen Risikomanagementstrategie.

KMU mit unzureichenden Ressourcen, die nach robusten Sicherheitskontrollen suchen, sollten sich an vertrauenswürdige Partner wenden, die sie in der Schutzphase ihres Resilienzprogramms unterstützen. Hier können Secure Access Service Edge (SASE)-Plattformen eine wichtige Rolle spielen, da sie einige wichtige Funktionen konsolidieren, darunter:

• Zero Trust Network Access zur Risikominimierung bei Logins von externen Mitarbeitern
• Firewall-as-a-Service – Ist für die Cyber-Hygiene grundlegend und hält Bedrohungen in Schach
• Sicheres Web-Gateway – Verhindert riskante Klicks von hybriden Mitarbeitern
• Secure SD-WAN – Für optimierte Bereitstellung, geringere Bandbreitenkosten und sichere Cloud-Nutzung

Die Richtung für viele Unternehmen heißt derzeit Cyber-Resilienz. Doch die muss für die mittelständischen Unternehmen keine Zukunftsmusik bleiben. Mit dem passenden Ansatz und einer einheitlichen, plattformbasierten Lösung können kleinere Unternehmen ihr digitales Wachstum beschleunigen, ohne bei der Sicherheit Abstriche machen zu müssen.