In Zeiten zunehmender Cybersicherheitsbedrohungen sind Unternehmen gefordert, ihre Schutzmaßnahmen kontinuierlich zu verbessern. Dr. Matthias Rosche, Managing Director bei Orange Cyberdefense, erklärt, dass nicht nur die klassischen Bedrohungen, sondern auch neue Compliance-Anforderungen und -Regularien wie NIS2 die Unternehmen vor Probleme stellen.

Herr Dr. Rosche, die Messe Detect & Defend von Orange Cyberdefense fand dieses Jahr zum 15. Mal statt. Wo drückt bei Unternehmen sicherheitspolitisch gerade am meisten der Schuh?

Mit unserem diesjährigen Motto »Compliance meets Cybersecurity« haben wir den Nagel für unsere Besucher auf den Kopf getroffen. Sie alle wissen, dass Sicherheit ernst genommen werden muss und gleichzeitig Compliance durch neue Standards immer wichtiger wird. Aktuell ist die NIS2-Richtlinie (Network and Information Systems Directive) für den Finanzsektor besonders relevant.

Vor 25 Jahren sensibilisierte ich Unternehmen für ISO 27001, ehemals B7799. Heute sind andere Compliance-Standards wie SOC2 (Systems Organization Control) wichtiger. Generell sind Zertifizierungen weit mehr als bloßes Marketing. Sie beinhalten umfassende Prüfungen von Maßnahmen, Tools und Prozessen, die durch signifikante Evidenzen über einen längeren Zeitraum belegt werden müssen. Früher, bei ISO 27001, reichte es aus, Prozesse zu beschreiben. Heute müssen wir deren Wirksamkeit nachweisen und dokumentieren können. Der Aufwand ist beträchtlich, aber die Qualität der Sicherheitsmaßnahmen hat sich dadurch erheblich verbessert.

Dr. Matthias Rosche, Managing Director
bei Orange Cyberdefense

»Wer sich auf ISO 27001 verlässt, wird 2025 mit der Existenz zu kämpfen haben.« – das ist ein starkes Zitat von Ihnen. Was veranlasst Sie zu dieser Aussage?

ISO 27001 allein reicht einfach nicht mehr aus. Die Vielzahl neuer Regulierungen mag überwältigend erscheinen, aber sie sind notwendig. Sie zwingen Unternehmen, ihre Sicherheitsmaßnahmen kontinuierlich zu verbessern und bieten einen umfassenderen Rahmen, der den aktuellen Bedrohungen besser gerecht wird.

NIS2 wird im Oktober 2024 verpflichtend. Wie bereiten sich Unternehmen darauf vor?

Ich rechne damit, dass die tatsächliche Umsetzung der neuen Vorschriften erst im ersten Quartal 2025 erfolgen wird, da viele Unternehmen noch nicht ausreichend vorbereitet sind und sich über die hohen Cyberversicherungskosten beklagen. Ein weiteres Problem ist die fehlende auditierende Instanz. Im Finanzsektor prüfen die BaFin und die EZB; in der Industrie fehlt diese strenge Kontrolle, da das BSI nicht die Kapazitäten dafür hat.

Bei einem Sicherheitsvorfall kann mangelnde Sorgfaltspflicht allerdings schnell zu strafrechtlichen Konsequenzen führen. Dies hat eine sensibilisierende Wirkung und mehr Unternehmen werden die Regelungen ernst nehmen, ähnlich wie bei der Einführung der DSGVO. Unternehmen müssen sich darauf einstellen, dass NIS2 zur Norm in der Sicherheitslandschaft wird.

Welche Herausforderungen sehen Sie für Unternehmen im Bereich der Sicherheit und wer trägt die Verantwortung?

Strategische Entscheidungen zu Sicherheit und Budget müssen auf höchster Ebene getroffen werden. Denn hier liegt die Verantwortung für Sicherheit. Neue Technologien wie Firewalls sind oft gut planbar, da diese von Dienstleistern eingeführt werden können. Die größere Hürde liegt in der operativen 24/7-Sicherheitsüberwachung. Viele Unternehmen sehen nicht die Notwendigkeit oder haben kein Budget, einen jederzeit abrufbaren Manager on Duty für Sicherheitsfragen bereitzustellen. Am Wochenende werden nicht geschäftsgefährdende Probleme dann oft ignoriert, was ein enormes Risiko darstellt. IT-Security erfordert strategische Investitionen in Schulungen und Systeme.

Sind Unternehmen mit der Umsetzung von Cybersicherheit überfordert?

Unternehmen müssen erkennen, dass sie Cybersicherheit nicht allein bewältigen können. Der Anteil des IT-Budgets für Cybersicherheit hat sich über die Jahre von 3 bis 4 auf 6 bis 8 Prozent erhöht. Dies zeigt den wachsenden Bedarf. Dabei ist es entscheidend, sowohl Budget als auch Personal für Sicherheitsmaßnahmen bereitzustellen. Unternehmen brauchen eine Kombination aus internem Personal und externen Dienstleistern, um umfassende Sicherheitsmaßnahmen umzusetzen, denn sie können nicht alles outsourcen – schon gar nicht die Verantwortung für Sicherheitsvorfälle. Dies verursacht Kosten, ähnlich wie bei einer Bank, die in Safes und Security investiert, anstatt Geld in Kartons zu lagern.

Eine vielgepriesene Lösung wäre auch die KI. Stimmen Sie dem zu?

KI ist ein zweischneidiges Schwert. Sie bringt Vorteile und Risiken mit sich. Wir bei Orange Cyberdefense nutzen KI, um zeitintensive Tätigkeiten zu vereinfachen und Prozesse zu beschleunigen, wie das automatische Ausfüllen von Ausschreibungen oder die Auswertung von Sicherheitsinformationen.

Auf der anderen Seite erfordert KI erhöhte Wachsamkeit, da sich auch die Angreifer der KI bedienen. Wir analysieren diese Entwicklung sehr aufmerksam und beobachten auch das Darkweb. Stichwort CEO-Fraud: Durch KI erlebt dieser eine Renaissance, da Angreifer in Videocalls Stimme und Aussehen anpassen können, um als vermeintlicher CEO an vertrauliche Informationen oder Geld zu kommen. Vor allem in einer remote arbeitenden Welt wird es schwer, dem Gegenüber zu vertrauen. Wir sehen dabei auch, wie KI in Angriffsszenarien mit Deepfakes eingesetzt wird.

Müssen IT und OT zusammenwachsen, um Sicherheitsprobleme zu lösen?

Absolut! Viele Unternehmen haben noch nicht realisiert, dass IT und OT (Operational Technology) zusammenarbeiten müssen. Sicherheitsvorfälle zeigen, dass kurzzeitige IT-Probleme verkraftbar sind, Produktionsausfälle aber richtig weh tun. Firmen müssen verstehen, dass sie IT und OT gemeinsam denken müssen, um ihre Sicherheitslage zu verbessern und die Produktion in Krisenzeiten stabil zu halten. Allerdings ist OT mit ihren verschiedenen Produktionsstätten und Maschinen oft sehr heterogen im Vergleich zur homogenen IT, was die Integration und Standardisierung erschwert. Es erfordert eine ganzheitliche Sichtweise und die Bereitschaft, in die Integration und Harmonisierung beider Bereiche zu investieren.