Cyberresilienz

Es war ein Schock für Ärzte und Pflegepersonal, Patienten und Angehörige: Am Abend des ersten Märzsonntags ging im Hospital Clinic de Barcelona, einem der größten Krankenhäuser der katalanischen Hauptstadt, nichts mehr. Die Mitarbeitenden hatten keinen Zugriff auf die Patientenakten, die Kommunikation zwischen den Abteilungen war gestört. Die Einrichtung war Opfer eines Ransomware-Angriffs geworden und musste aufgrund der lahmgelegten Krankenhaus-IT 150 nicht dringende Operationen sowie 3.000 geplante Untersuchungen absagen. Nach Angaben der regionalen Cybersecurity-Behörde sei der Angriff von einer Cybergang namens „Ransom House“ von außerhalb des Landes erfolgt. Eine Lösegeldforderung sei nicht eingegangen – es werde aber auch kein Lösegeld gezahlt, hieß es in einer Pressekonferenz.

Das Barceloner Krankenhaus ist nicht die erste – und ganz bestimmt auch nicht die letzte Gesundheitseinrichtung, die Opfer einer Cyberattacke geworden ist. Immer wieder stehen Einrichtungen kritischer Infrastrukturen wie Krankenhäuser, aber auch Energie- oder Wasserversorger, Unternehmen der Informationstechnik und Telekommunikation, des Finanz- und Versicherungswesens, Transport und Verkehr im Fokus von Cyberkriminellen. Und auch privatwirtschaftliche Unternehmen kann es treffen. Neun von zehn Unternehmen sind nach Angaben des Digitalverbands Bitkom im Jahr 2021 Opfer eines Cyberangriffs geworden. Insgesamt seien dabei Schäden in Höhe von 203 Milliarden Euro entstanden – mehr als doppelt so viel wie noch drei Jahre zuvor.

Back-up statt Lösegeld

Es sind vor allem Ransomware-Angriffe – wie auch der auf die Klinik in Barcelona –, die Unternehmen fürchten. Tatsächlich schätzen 92 Prozent der Unternehmen sie als sehr oder eher bedrohlich ein. Dabei werden mithilfe von Verschlüsselungstrojanern Daten oder ganze Systeme für die Anwendenden unbrauchbar gemacht. Nach Zahlung eines Lösegelds soll die Verschlüsselung wieder aufgehoben beziehungsweise von einer etwaigen Veröffentlichung der mitunter sensiblen Daten abgesehen werden. Oft fügen Cyberkriminelle ihrer Lösegeldforderung einen Countdown bei. Ein Lösegeld sollten Unternehmen jedoch auf gar keinen Fall zahlen, rät das Bundesamt für Sicherheit und Informationstechnik (BSI). Eine solche Zahlung ist kein Garant dafür, dass Unternehmen die Hoheit über ihre Daten und Systeme zurückerhalten. Zudem werden Cyberkriminelle zu weiteren Angriffen motiviert.

„Einfallstor von Ransomware sind E-Mails mit verseuchten Anhängen oder kompromittierte Webseiten“, erklärt Robert Formanek, Experte für Cybersicherheit beim BSI. Schutz davor böten vor allem aktive und aktuelle Virenscanner, ein aktiver Firewall-Schutz sowie das Installieren von Sicherheits-Updates. „Und ganz wichtig ist es, regelmäßige Datensicherungen anzulegen – möglichst auf unterschiedlichen Datenträgern und zu unterschiedlichen Zeitpunkten.“ Bei Verdacht auf Ransomware sollten die Systeme umgehend vom Netz getrennt und die Protokolle gesichert werden. So kann festgestellt werden, welche Daten auf den Systemen betroffen sind, rät der Experte. Mithilfe der Back-ups und eines Notfallplans lassen sich Datenbestände im Falle eines Angriffs auch ohne Lösegeldzahlung rekonstruieren. Statt erst im Ernstfall zu reagieren, müssen Unternehmen bereits im Vorfeld konkrete Maßnahmen entwickeln, mit denen sie sich auf mögliche Bedrohungen vorbereiten. 

Vorbereitung begrenzt Schäden

Cyber-Resilienz lautet das Stichwort. Dabei geht es nicht allein darum, die eigene Unternehmens-IT so aufzustellen, dass Angriffe möglichst vermieden oder abgewehrt werden. Mindestens genauso wichtig ist, Vorsorge für den Fall der Fälle zu treffen und die IT so zu konfigurieren, dass Unternehmen trotz eines Angriffs ihre normale Geschäftstätigkeit fortführen können und den Schaden gering halten. Jede Down-time wird künftig inakzeptabel. Ein erfolgreicher Cyberangriff darf nicht die Funktionsfähigkeit des gesamten Unternehmens bedrohen. Dank einer nachhaltigen Cyber-Resilienz arbeiten Unternehmen trotz eines Cyberangriffs relativ schnell effektiv weiter.

Planen, prüfen, absichern

Damit das funktioniert, braucht es eine ganzheitliche Strategie und die grundlegende Fähigkeit, Angriffe zu erkennen und zu identifizieren, darauf zu reagieren und sich schnell von Vorfällen zu erholen. Maßnahmen, Konzepte und Tools der Cybersecurity wie Firewalls, VPN und Anti-Malware gelten als wesentlicher Teil – Cyber-Resilienz geht jedoch darüber hinaus und schließt neben der Technologie Personen, Prozesse, Tools und Wissen in die Strategie ein. Ausgebildetes Sicherheitspersonal überprüft die Unternehmens-IT regelmäßig auf Schwachstellen, erarbeitet Pläne und Prozesse für den Ernstfall, setzt konkrete Maßnahmen im Unternehmen um und observiert regelmäßig die Lage, um Bedrohungen und Angriffe sofort zu identifizieren. Zudem sensibilisiert es die Mitarbeitenden für Cybergefahren wie bedrohliche E-Mails. Ein Klick auf den Link in einer gefälschten E-Mail kann Angreifenden schon Tür und Tor zum Gesamtsystem öffnen.

Sicherheit darf jedoch nicht als statischer Zustand verstanden werden, sondern vielmehr als ständiger Prozess. So müssen Unternehmen Strukturen verankern, die die Sicherheitsmaßnahmen stetig überwachen, kontrollieren, Lücken erkennen und diese schließen. Außerdem braucht es klare Strategien und Abläufe für den Ernstfall, kommt es bei einem Sicherheitsvorfall doch auf Schnelligkeit an: So gilt es, den Angriff erstens umgehend zu bemerken und zu identifizieren, zweitens zeitnah zu reagieren und die Systeme zu schützen und sich drittens anschließend schnell davon zu erholen, damit die Geschäftsabläufe so wenig wie möglich beeinträchtigt werden. Es braucht also eine klare Incident-Strategie. Und nicht zuletzt müssen die personellen und organisatorischen Maßnahmen durch die entsprechende Technologie unterstützt und umgesetzt werden. Das reicht von Software für Anti-Malware oder Nutzermanagement über Sicherheitslösungen für die Cloud bis hin zur Kryptografie.

Budgets steigen

Wie ernst Unternehmen die IT-Sicherheit nehmen, zeigt auch der „CIO Tech Poll“, mit dem das Medium „CIO“ die IT-Budgets analysiert hat. In einer internationalen Umfrage wurde dabei unter 300 IT- und Business-Entscheidern ermittelt, wohin der Trend bei Investitionen geht. Eines der Ergebnisse: Auch in Erwartung einer Rezession haben nur zwölf Prozent ihre IT-Budgets gekürzt. Etwas mehr als die Hälfte (51 Prozent) erhöhen sogar die Ausgaben. Die höchsten Zuwachsraten wurden im Bereich Cybersecurity verzeichnet. Zudem erklärten 20 Prozent der befragten Manager, dass ihr wichtigstes Projekt mit Cybersecurity zu tun hat – beispielsweise haben Themen wie Realtime-Security-Monitoring oder Forensik eine hohe Relevanz. Die Zahlen sind ein Zeichen dafür, dass die Unternehmen ihrer Verantwortung gerecht werden.