IT-Sicherheitsbudgets sind höher, wenn Top-Tier-Management in Entscheidungen involviert ist

Illustration: Absmeier, Firmbee

  • 72 Prozent der Führungskräfte in Cybersicherheitsbudgets involviert – und geben dabei mehr aus
  • Kostenfreies Tool nutzen, um Anhaltspunkt für notwendiges Budget zu erhalten

 

Bei jeweils mehr als der Hälfte der mittelständischen (65 Prozent) und großer (68 Prozent) Unternehmen ist das Top-Tier-Management in die Entscheidungen zum Thema Cybersicherheit involviert [1]. Diese Einbindung korreliert auch in der Größe der Budgets für IT-Sicherheit: je größer das Budget, desto häufiger sind Führungskräfte in IT-Sicherheitsbudgets involviert.

 

IT-Sicherheit ist ein abteilungsübergreifendes Thema, das nur mit Zusammenarbeit zwischen IT-Sicherheitsexperten und Führungskräften gelingen kann, wie der aktuelle Kaspersky-Report »IT security economics in 2019: how businesses are losing money and saving costs amid cyberattacks« zeigt. Darüber hinaus besteht eine eindeutige Verbindung zwischen der Beteiligung des Top-Managements und der Höhe der Budgets für Cybersicherheit.

 

In Unternehmen mit einem Budget von mehr als fünf Millionen US-Dollar sind drei Viertel (72 Prozent) der Führungskräfte mit dem finanziellen Aspekt der IT-Sicherheit befasst. In Unternehmen mit kleineren Budgets mit bis zu 25.000 US-Dollar für Großunternehmen und bis zu 2.500 US-Dollar für mittelständische Unternehmen sind es nur rund 50 Prozent.

 

Wenn es um eine bestimmte Budgetgröße in Unternehmen geht, in denen Führungskräfte auf C-Ebene an der Entscheidungsfindung im Bereich Cybersicherheit beteiligt sind, nähert sich diese an das auf globaler Ebene durchschnittlich aufgewandte Budget für Cybersicherheit an. In diesen Unternehmen belaufen sich die Ausgaben für Cybersicherheit auf 264.000 US-Dollar für mittelständische und 18 Millionen US-Dollar für große Unternehmen. Dies entspricht fast den durchschnittlichen Ausgaben aller befragten Unternehmen: Für KMUs beliefen sich die Ausgaben auf 267.000 US-Dollar gegenüber 256.000 US-Dollar im Jahr 2018; für Großunternehmen sind es 18,9 Millionen US-Dollar im Vergleich zu 8,9 Millionen US-Dollar im Jahr 2018.

 

»Die Zusammenarbeit zwischen IT-Sicherheitsteams und dem Vorstand ist für alle Unternehmen von Vorteil«, so Alexander Moiseev, Chief Business Officer bei Kaspersky. »Wenn dies in einem Unternehmen noch nicht der Fall sein sollte, ist jetzt der richtige Zeitpunkt dafür.

IT-Sicherheitsteams sollten sich an die Führungsebene richten, dort die Risiken erläutern und erklären, was sie zur Reduzierung dieser brauchen, wie viel Geld sie benötigen und wie sie ihr Budget ausgeben wollen. Das hilft den Führungskräften dabei, die Bedeutung von Cybersicherheit für das Unternehmen zu verstehen und den Risiken entsprechend Investitionen zu tätigen.«

 

Empfehlungen für Budgetverhandlungen

 

Um IT-Sicherheitsmanagern dabei zu helfen, ihren Budgetierungsprozess zu optimieren und ihn besser an die Führungskräfte des Unternehmens anzupassen, empfiehlt Kaspersky:

 

  • Bewertung der Cybersicherheitsrisiken bei der Budgetplanung berücksichtigen. Dabei sollten die Kosten des Unternehmens in Bezug auf die Wahrscheinlichkeit des Auftretens einer Bedrohung im Verhältnis stehen. Hierbei können öffentlich zugängliche Listen, mit den häufigsten Cybersicherheitsvorfällen und deren finanziellem Schaden helfen [2].
  • Entscheidungen über den Kauf von Cybersicherheitstools oder -dienstleistungen sollten nicht von einer einzigen Person getroffen werden. Vor einer Entscheidung sollte eine Expertenanalyse durchgeführt werden, aus der die optimale Option hervorgeht.
  • Einbindung des Management-Levels in Cybersicherheitsfragen, Wichtig ist, darauf zu achten, dass man dieselbe »Sprache« spricht. Es sollte nicht erklärt werden, wie Cybersicherheit funktioniert, sondern die Geschäftsrisiken und eventuellen Verluste aufgezeigt werden, wenn keine Investitionen in Cybersicherheit getätigt werden.
  • Das kostenfreie Tool von Kaspersky [3] kann dabei helfen, einen Budgetvergleichspunkt zu finden. Hierfür einfach die Region, Größe und Branche des Unternehmens eingeben, um durchschnittliche Budgets für ähnliche Unternehmen zu ermitteln. Dies kann in einem frühen Stadium der Budgetplanung hilfreich sein, um die Landschaft der eigenen Branche zu verstehen.

 

Der vollständige Kaspersky-Bericht ist verfügbar unter https://www.kaspersky.com/blog/security-economics-2019
[1] https://www.kaspersky.com/blog/security-economics-2019
[2] https://www.kaspersky.com/blog/security-economics-2019/
[3] https://calculator.kaspersky.com/ / Dieser Rechner für IT-Sicherheit wurde aktualisiert und enthält Daten für das Jahr 2019 sowie rückwirkende Durchschnittsausgaben für die vergangenen Jahre, um festzustellen, wie sich die Budgets geändert haben.

 


 

Führungskräfte und die IT-Sicherheit – ein brisantes Verhältnis

Neue Zahlen belegen, dass viele Manager Sicherheitsregeln ignorieren.

Illustration: Geralt Absmeier

Zwei Fragen: Wer hat die meisten Informationen in einem Unternehmen, die weitesten Rechte zum Datenzugriff und wird deshalb bevorzugt gehackt? Klar, das Topmanagement. Wer sollte sich daher konsequent schützen und schützen lassen? Eben. Doch Sicherheit kann unbequem sein und neue Untersuchungen zeigen einen gefährlichen Trend: Viele leitende Angestellte weichen Cybersicherheitsrichtlinien auf oder ignorieren sie einfach.

Die weltweite Studie »Hacked Off!« von Oktober 2019 untersucht detailliert den Druck, unter dem IT-Sicherheitsprofis stehen und wie sich dieser auf die Wirksamkeit von Sicherheitsmaßnahmen auswirkt. Auch geht sie der Frage nach, was die Befragten als die besten Strategien zur Gewährleistung der IT-Sicherheit von Unternehmen ansehen. Die von Bitdefender in Auftrag gegebene Studie berücksichtigt die Einschätzungen und Meinungen von mehr als 6.000 IT-Sicherheitsexperten in acht Ländern, 515 davon in Deutschland.

Eines der Ergebnisse ist, dass es nicht nur die externe Bedrohungslandschaft ist, mit der die Security-Experten zu kämpfen haben. Mehr als ein Viertel der deutschen Befragten (28 Prozent) gibt an, dass es am Verständnis für Cybersicherheit bei den Beschäftigten mangelt. Noch weit mehr sehen ein Problem an der Spitze ihrer Organisationen: 44 Prozent der deutschen IT-Security-Experten (international sogar 57 Prozent) geben an, dass das Topmanagement IT-Sicherheitsregeln entweder aufweicht oder vollständig missachtet (siehe Grafik). Unter anderem deshalb machen sich 51 Prozent der deutschen Befragten Sorgen um die Einsatzbereitschaft ihrer Organisation im Falle eines großangelegten globalen Cyberangriffs.

 

Das Topmanagement diskutiert IT-Security, aber praktiziert sie nicht

Ein derart mangelhaftes Zeugnis für die Einhaltung von Sicherheitsrichtlinien überrascht. Bleibt ein anhaltender Sicherheitsverstoß im Unternehmen unbemerkt, wären die Konsequenzen laut der deutschen Befragten massiv: Sie befürchten Betriebsunterbrechung (48 Prozent), Umsatzverlust (39 Prozent) und Reputationsverlust (37 Prozent). Mit zahllosen Schlagzeilen über millionenfachen Datenklau, große Ransomware- und Sabotagesoftware-Kampagnen und digital betriebene Wirtschaftsspionage schien Cybersecurity in den letzten Jahren mit Verspätung in das Blickfeld des Topmanagements gerutscht zu sein.

Gesetzliche Richtlinien wie die europäische Datenschutzgrundverordnung mit der Androhung von Strafen im Wert von bis zu vier Prozent des weltweiten Jahresumsatzes einer Firma taten ein Übriges, um der IT-Sicherheit einen nie gekannten Stellenwert in Unternehmen zu geben. Eine hohe IT-Sicherheit gilt heute als Chefsache, die im Vorstand großer Unternehmen aufgehängt, in den Aufsichtsräten diskutiert und bei Geschäftsführern und Vorstandsvorsitzenden verantwortet wird.

Doch nun stellt sich heraus, dass sich dies mitnichten durchgängig im alltäglichen Verhalten und den wirtschaftlichen Entscheidungen der Führungskräfte niederschlägt. Zahlreiche Führungskräfte, leitende Angestellte und Topmanager gehen nicht etwa mit bestem Beispiel voran, sondern höhlen im Gegenteil die IT-Sicherheit ihrer Unternehmen von innen her aus und enthalten IT-Sicherheitsverantwortlichen die Werkzeuge vor, die aus fachlicher Sicht notwendig sind, um für umfassenden Schutz zu sorgen: Gerade einmal vier von hundert deutschen Befragten der »Hacked Off« Studie vermuten, dass sie mit ihren derzeitigen Security-Werkzeugen alle Advanced Attacks effizient erkennen und isolieren können.

 

Die Vorbilder versagen

IT-Sicherheitsrichtlinien mögen manche Vorgänge komplizierter machen und manche Neuerungen verlangsamen: Die Mitarbeiter müssen zum Beispiel bei E-Mails wachsam bleiben, neue Software und Online-Services prüfen und absichern lassen, mit eingeschränkten Zugriffsrechten auskommen oder dürfen nicht jedes mobile Endgerät benutzen. Schlecht abgestimmte Security-Systeme bremsen teilweise die Hardwareressourcen aus. Die Einführung IoT-basierter Prozesse erfordern teilweise neue Sicherheitstechnologien und in manche organisatorischen Abläufe müssen zusätzliche Schleifen eingebaut werden. Das ist unbequem. Doch die Folgen mangelnder Cybersicherheit sind weitaus gravierender, sie bedrohen Unternehmen in ihrer Existenz. Deshalb sind Führungskräfte gut beraten, sich ebenso penibel an die Richtlinien der Verantwortlichen zu halten wie sie von jedem ihrer Mitarbeiter erwarten, ihre eigenen Anordnungen umzusetzen.

Gerade die Führungskräfte sollten ihrer Vorbildfunktion gerecht werden und gemeinsame Lösungen mit den Sicherheitsverantwortlichen suchen. Wenn eine Cybersecurity-Richtlinie das Geschäft einengt, sollten sie den Dienstweg gehen, um mit der IT-Abteilung bessere Wege zu finden und die Richtlinie zu aktualisieren.

 

Gute Argumente artikulieren

IT-Verantwortliche wiederum tun gut daran, nicht nur selbstgerecht auf die zu zeigen, die die Gesamtverantwortung für das Unternehmen tragen, sondern auch ihre eigene Verantwortung als Aufklärer sehr ernst zu nehmen. Die neuen Daten zeigen, dass sie eine vorbildliche Einstellung von Führungskräften nicht länger voraussetzen und genauso wenig die Aushöhlung von Richtlinien stillschweigend hinnehmen können. Die guten Argumente sind auf ihrer Seite – wenn sie denn nur zur Sprache kommen. Wer seinen Job als Security-Experte ernst nimmt, belässt es nicht bei technischer Fachkenntnis, sondern versucht, Führungskräfte im Gespräch zu möglichen Risiken zu überzeugen: Es geht bei IT-Sicherheit um nicht weniger als Umsatz, Produktivität und den guten Ruf eines Unternehmens. Die Bedeutung dieser Faktoren versteht jeder Manager. IT-Sicherheitsrichtlinien, die wir nur für die anderen ausarbeiten, schützen ein Unternehmen nicht.

Laut der Bitdefender-Studie »Hacked Off« beklagen international 57 Prozent der Security-Experten, dass das Top-Management Regeln missachtet – in Deutschland sind es 44 Prozent.

 

[1] Die Bericht der Studie »Hacked Off!« mit den internationalen Ergebnissen ist kostenlos erhältlich unter https://www.bitdefender.com/files/News/CaseStudies/study/285/Bitedefender-Hacked-Off-Report.pdf.

 

1972 Artikel zu „Sicherheit Führung“

85 Prozent der Führungskräfte sehen menschliche Schwächen als größte Gefahr für die Cybersicherheit

Proofpoint hat in Zusammenarbeit mit der Economist Intelligence Unit eine Umfrage unter mehr als 300 CIOs und CISOs in Nordamerika, Europa und dem asiatisch-pazifischen Raum veröffentlicht [1]. Dabei sind fünf von sechs der Manager der Meinung, dass menschliche Schwächen ein deutlich größeres Risiko hinsichtlich Cyberattacken bergen als Lücken in der technischen Infrastruktur oder Probleme in…

Mangelhafter Sicherheitsansatz – nur ein Viertel der Führungskräfte sind von ihrer Cybersicherheit überzeugt

Deutsche Unternehmen bekämpfen Sicherheitsbedrohungen im digitalen Zeitalter mit alten Tools. Schlechte Zeiten für die Sicherheit: Laut einer neuen Studie, die von VMware beauftragt und von Forbes Insights durchgeführt wurde, sind nur 25 % der Führungskräfte in Europa von ihrer aktuellen Cybersicherheit überzeugt [1]. Drei Viertel (76 %) der Führungskräfte und IT-Sicherheitsexperten aus der Region glauben,…

2018: Führungskräfte nur unter Zwang bereit, sich mit Cybersicherheit zu befassen

Ein Drittel der Befragten im kommenden Jahr ohne Plan zur Verbesserung der Sicherheit.   Laut einer neuen Studie  wächst die Kluft zwischen Softwareherstellung und Softwaresicherheit weiter. Weil Unternehmen immer neue Innovationen umsetzen müssen, rückt die Notwendigkeit, die eingeführten Prozesse und Technologien adäquat abzusichern, in den Hintergrund. Der »Securing the Digital Economy«-Report [1] von Veracode zeigt, dass sich…

Leitfaden zur Cybersicherheit für Führungskräfte und Vorstände in Deutschland, Österreich und der Schweiz

Praxisnahe Ratschläge, Einblicke und Best Practices von Experten und Beratern aus dem Bereich Cybersicherheit zu Risiken, Führungsstrategien, Personalanforderungen, Rechtsfragen und Reputationsmanagement.   Palo Alto Networks, Anbieter von IT-Sicherheit, gibt die Veröffentlichung seines Ratgebers »Wegweiser in die digitale Zukunft: Praxisrelevantes Wissen zur Cyber-Sicherheit für Führungskräfte« bekannt. Der Leitfaden richtet sich an Vorstände, Aufsichtsräte und Führungskräfte bei…

Alter Wein in neuen Schläuchen? Die Einführung von vermeintlich künstlicher Intelligenz zur Cybersicherheit

Cisco hat seine Pläne zum »intent-based networking« vorgestellt, das auf der Cisco Digital Network Architecture basiert. Die Ankündigung umfasst neben dem DNA-Center, Software-Defined Access sowie Network Data Platform and Assurance auch die zukünftige Analyse verschlüsselter Daten (Encrypted Traffic Analytics; ETA). Dabei kommt nach Angaben von Cisco auch maschinelles Lernen zur Analyse der Verkehrsmuster von Metadaten…

Führungskräfte sehen ihr Unternehmen als künftiges Opfer einer Sicherheitsverletzung

Die aktuelle Risk:Value-Studie [1] hat ergeben, dass zwei Drittel aller befragten Entscheidungsträger eine Verletzung der Datensicherheit in ihrem Unternehmen erwarten. Die Kosten für die Behebung der Schäden beziffern sie im Schnitt auf über 800.000 Euro. Die Untersuchung basiert auf einer globalen Umfrage unter 1.000 Führungskräften in Deutschland, Frankreich, Großbritannien, Norwegen, Schweden, der Schweiz und den…

Digitale Identitäten schützen: BSI entwickelt Sicherheitskatalog für eIDs

  Anlässlich des Digitalgipfels der Bundesregierung in Dortmund hat das Bundesamt für Sicherheit in der Informationstechnik (BSI) das Security Framework für digitale Identitäten vorgestellt. Damit kann Deutschland zum Vorreiter bei der Entwicklung sicherer digitaler Identitäten werden, die sowohl hoheitlich als auch privatwirtschaftlich einsetzbar sind.   »Ohne digitale Identitäten funktioniert kein Online-Banking, kein Online-Shopping, keine Online-Services…

Räuber und Gendarm: Red-Team-Blue-Team-Simulation für die Cybersicherheit

Die Vorteile interner Angriffs- und Verteidigungssimulationen mit Red-Team/Blue-Team-Testing. Immer mehr Unternehmen bereiten ihre IT-Sicherheitsteams mit Simulationen auf anspruchsvolle Gegner vor, um Lücken in bestehenden Sicherheitsstrategien zu finden. Ein Ansatz ist die Durchführung von sogenannten Red-Team/Blue-Team-Tests. Diese Übungen haben ihren Namen von ihren militärischen Vorfahren. Die Idee ist einfach: Eine Gruppe von Sicherheitsprofis – ein rotes…

Die Bedeutung von Governance, Risiko und Compliance für die Cybersicherheit

Geht es um die Cybersicherheit, steht der Themenkomplex »Governance, Risk and Compliance (GRC)« oft nicht im Fokus. Er wird nicht selten als bürokratische Hürde angesehen, die der Gefahrenabwehr im Weg steht. Die Bedeutung von GRC sollte jedoch nicht unterschätzt werden. Schließlich hilft ein gezieltes Programm Unternehmen dabei, ihre Sicherheits- und Compliance-Ziele zu erreichen. Gut umgesetzt…

Den Mythen der IT-Sicherheit auf der Spur

Rund um das Thema IT-Sicherheit kursieren immer noch zahlreiche falsche Vorstellungen.   Die hohe Bedeutung von IT-Sicherheit stellt kaum jemand mehr in Frage. Doch wer ist dafür verantwortlich und wie ist sie realisierbar? Hier gibt es nach wie vor viele Irrtümer. Bromium räumt mit fünf gängigen auf. Cyber-Security ist in erster Linie ein Thema für…

Führungskompetenzen: Entwicklung von Führungskräften für eine digitale Wirtschaft

  Unternehmen sehen sich heute mit einer Geschäftsumgebung konfrontiert, die durch schnelle Marktveränderungen, die Verbreitung digitaler Technologien und die sich wandelnden Erwartungen von Kunden und Mitarbeitern beeinflusst wird. Diese Entwicklungen wirken sich besonders stark auf die Anforderungen an Führungskräfte aus, die Innovationen in ihren Organisationen vorantreiben und die Belegschaft führen sollen. Wenn die Führungskräfte nicht über…