Droht die Cyber-Katastrophe?
Am Rande des Weltwirtschaftsforums in Davos wurde unter anderem auch über Cybersecurity und die Möglichkeiten eines Cyberkriegs diskutiert. Viele Führungskräfte erwarten innerhalb der nächsten zwei Jahre eine Cyberkatastrophe.
In Zusammenarbeit mit Accenture wurden für den „Global Cybersecurity Outlook 2023“-Report Cybersecurity-Führungskräfte, Unternehmensleiter und Vorstandsmitglieder gebeten in die Glaskugel zu schauen. Dabei kam unter anderem heraus, dass fast die Hälfte (45 %) der Wirtschaftsentscheider und ebenso viele Führungskräfte aus der Cybersicherheit (46 %) sehr wahrscheinlich von einem katastrophalen Cyberevent in den nächsten zwei Jahren ausgeht. 41 beziehungsweise 47 Prozent halten es immerhin noch für wahrscheinlich. Eine weitere Erkenntnis der Umfrage war, dass sie sich der Cyberrisiken im Zusammenhang mit geopolitischer Instabilität fast gleichermaßen bewusst sind. Die meisten Befragten gaben an, dass die aktuelle geopolitische Instabilität sogar Einfluss auf ihre Cybersicherheitsstrategie genommen hat.
Laut den Erkenntnissen der Umfrage haben alle drei befragten Gruppen ein nahezu gleiches Verständnis für Cyberrisiken im Zusammenhang mit geopolitischer Instabilität. Die greifbaren Auswirkungen und die allgegenwärtige Berichterstattung machen es allen drei Gruppen leichter, solche Risiken in vollem Umfang zu erfassen. Unternehmensentscheider sind inzwischen darin geübt ihre Organisationen an neue politische Gegebenheiten anzupassen. Dementsprechend ist das geopolitische Risiko ein Einstiegspunkt für die Gespräche zwischen den Beteiligten. Denn es geht bei Cyberrisiken darum, wie sich Cyberbedrohungen verändern und wie sich Cyberevents auf die Business-Continuity-Planung auswirken können.
Strategisches Mittel der Kriegsführung
Die Möglichkeit, dass ein landesweiter oder sogar weltweiter Ausfall des Internets katastrophale Auswirkungen auf einzelne Wirtschaftsräume oder die Weltwirtschaft haben kann, wird seit dem Wannacry-Vorfall 2017 von Experten heiß diskutiert. Ähnlich gelagert ist der Fall, dass diese Art von Angriff sogar im Rahmen eines Cyberkriegs als strategisches Mittel der Kriegsführung genutzt wird. Zahlreiche Angriffe auf KRITIS, Behörden oder aber Unternehmen der Killnet-Aktivisten im letzten Jahr zeigen, dass auch Unternehmen Schaden nehmen können, die damit überhaupt nicht rechnen. Bestes Beispiel ist der Windkraftanlagenhersteller Enercon, der in Deutschland 5800 Windräder betreibt. Als am 24. Februar der russische Angriff auf die Ukraine begann, konnte die Firma seine Windräder nicht mehr aus der Ferne steuern. Das Problem waren die Modems des auch in der Ukraine genutzten Satelliten Ka-Sat 9a. Wie Sicherheitsforscher von SentinelOne herausfanden, waren die Modems von der Wiper-Malware „AcidRain“ befallen, was dazu führte, dass sie ausgetauscht werden mussten. Experten nehmen an, falls sich der Verdacht bezüglich russischer Bedrohungsakteure bestätigt, dass es sich hierbei um einen Akt des Cyberkriegs gehandelt hat, der indirekt auch Enercon traf.
Allein im Zeitraum September bis November konnte auf der Asset-Intelligence-and-Security-Plattform von Armis eine Zunahme der Aktivitäten von Bedrohungsakteuren von 15 Prozent festgestellt werden. Aus diesen Daten und weiteren Informationen lässt sich schließen, dass die Gefahr für Unternehmen ebenso steigt, Opfer eines Cyberangriffs zu werden, der im Zuge von Cyberwarfare ausgelöst wurde.
Unvorbereitete Unternehmen
Die Ergebnisse des „The State of Cyberwarfare and Trends Report 2022-2023“ zeigen außerdem einen Anstieg von Cyberattacken bei Unternehmen in Deutschland, Österreich und der Schweiz. 58 Prozent von ihnen erlebten bereits mindestens einen solchen Angriff. Von den insgesamt 651 Befragten aus der sogenannten DACH-Region bestätigte ein Viertel, dass die Anzahl der Bedrohungen in ihrem Unternehmen drastisch zugenommen hat. Gegenmaßnahmen werden zwar ergriffen, doch nicht mal die Hälfte (44 %) gab an, dass ihr Unternehmen über geeignete Programme und Verfahren verfügt, um auf die Gefahren der Cyberkriegsführung angemessen zu reagieren. Lediglich 33 Prozent der IT- und Sicherheitsexperten verfügt laut eigener Angabe über einen Cybersecurity-Plan, um eine angemessene und verhältnismäßige Reaktion zu gewährleisten.
Bei zu vielen Unternehmen liegt das Problem bei der mangelnden Erkennung von Cyberrisiken. Es fehlt an Übersicht und Kategorisierung von IT-Assets, um Sicherheitsvorfälle zeitnah aufdecken zu können. Mehr noch verfügen weniger als die Hälfte (47 %) der Unternehmen in DACH über spezielle Software für die Erkennung von fortschrittlichen Netzwerkangriffen. Bei weniger als der Hälfte (44 %) finden sich die notwendigen IT-Sicherheitsfachleute, um diese Angriffe zu erkennen. Fehlende Einsicht in Netzwerkvorgänge und welche Komponenten und Geräte sich überhaupt im eigenen Netzwerk befinden, sind wichtige Faktoren bei der Gefahrenabwehr auch im Bereich Cyberwarfare. Den Befragten zufolge investieren lediglich 27 Prozent der Unternehmen in Asset-Management.
Fazit
Unternehmen in Deutschland, aber auch anderen Regionen, sind nicht auf ein Cyberevent katastrophalen Ausmaßes vorbereitet und tun sich gleichermaßen schwer sich an die veränderte Cybersicherheitslage anzupassen. Auch wenn andere Studien zeigen, dass sich wichtige Entscheider sehr wohl mit dem Thema Cyberkrieg beschäftigen, sind Unternehmen anscheinend nicht auf deren Folgen vorbereitet. Die Erkenntnis bleibt, dass noch einiges zu tun ist, so dass sowohl Kollateralschäden im Zuge größerer Kampagnen gegen einzelne Staaten als auch großangelegte Cyberevents eben nicht die katastrophalen Auswirkungen haben.