Seit den beschlossenen Lockdown-Maßnahmen im vergangenen November sind Unternehmen aufgefordert, ihre Mitarbeiter, wann immer möglich, im Home Office arbeiten zu lassen. Eine Situation, die in den kommenden Wochen sicher weiter anhalten wird und die Unternehmen unter anderem vor große Herausforderungen stellt, da Arbeitsstrukturen in kurzer Zeit digitalisiert werden müssen. Digitale Tools und Plattformen bildeten dabei die Grundlage, standortunabhängig und ohne persönlichen Kontakt arbeiten zu können. Lösungen wie Videokonferenzen, Webinare, Collaboration-Plattformen und weitere digitale Angebote wurden als Ersatz für die aufgrund des Corona-Virus nicht mehr mögliche Präsenz der Mitarbeiter eingesetzt, um eine reibungslose Durchführung der Arbeitsprozesse zu gewährleisten. Neben dem verstärkten Einsatz von digitalen Kommunikationsmitteln wurden mittels Robotic Process Automation zudem ganze Prozesse automatisiert und digitalisiert.
Ein Blick auf IT Sicherheit
Was geschieht, wenn Mitarbeiter aus dem Homeoffice ins Büro zurückkehren? Für Unternehmen erhöht sich grade hier die Gefahr von Cyberangriffen deutlich, wie das Bundesamt für Sicherheit in der Informationstechnik warnt. Dies betrifft insbesondere die durch die Pandemie bedingte, schnelle Digitalisierung von Arbeitsstrukturen, wobei eine hohe Auslastung der entsprechenden IT-Infrastrukturen und Plattformen entsteht. Doch auch die Rückkehr aus dem Home Office kann die IT-Security gefährden.
Fälle wie der Ransomware-Angriff auf das deutsche Healthcare-Unternehmen Fresenius stehen im Mittelpunkt der steigenden Zahl von Cyber-Attacken. Beim deutschen Medizintechnik-Konzern schränkte eine Schadsoftware vorübergehend die gesamte Nutzung der IT- und Kommunikationseinrichtungen des Unternehmens ein. Auch das japanische Unternehmen Honda musste wegen eines Schadsoftware-Befalls Teile seiner Produktion stoppen. Nach einem Hackerangriff waren als Konsequenz Verkauf, Entwicklung und Produktionssysteme stark betroffen.
Verantwortung für Risiken im Cyber-Bereich rückt in den Vordergrund
Durch eine verstärkte Nutzung der IT-Infrastruktur in der Corona-Pandemie hat die Komplexität der Netzwerke in vielen Unternehmen zwar zugenommen, die Sicherheit ist aber nicht in dem gleichen Maße gewachsen. Die Nutzung eigener mobiler Endgeräte von Mitarbeitern bietet viele Vorteile – aber leider noch mehr Gefahren. Insbesondere mit dem Umzug ins Home Office wurden Terminalserver oder Sharepoints frei im Internet verfügbar gemacht, um geschäftliche Kontinuität zu gewährleisten. Damit verbundene Gefahren oder Sicherheitsmängel werden für die Realisierung der Remote-Funktionalität in Kauf genommen. Technik und Arbeitsmaterialien können aus Zeitmangel meist nicht adäquat vorbereitet werden.
Cyberkriminelle haben grade hier mehr Ansatzpunkte als je zuvor, da alles, was mit dem Netzwerk verbunden ist, ein potenzielles Ziel darstellt. Vor allem Mittelständler sind dabei ein attraktives Ziel – viele investieren erhebliche Summen in Forschung und Entwicklung und halten daher zahlreiche Patente oder andere vertrauliche Informationen – das macht sie vor allem interessant für Datenspionage oder Ransomware-Attacken.
Auch der Gesetzgeber erkennt Handlungsbedarf aufgrund neuer Gefahrenpotenziale. So sieht der Entwurf des Verbandssanktionengesetzes vor, Compliance Maßnahmen zu fördern sowie Anreize für unternehmensinterne Untersuchungen im Bereich IT-Sicherheit zu bieten. Das Gesetz beabsichtigt ein Verfahren gegen den Verband unter anderem dann einzuleiten, wenn unterhalb der Leitungsebene Straftaten begangen werden und diese durch angemessene Vorkehrungen hätten verhindert werden können – wie zum Beispiel bei (unbewusst) fahrlässigem Umgang mit Kundendaten seitens der Mitarbeiter. Es ist daher wichtiger denn je, auch die interne Sicherheit des Unternehmens zu stärken und somit Sanktionen vorzubeugen.
Was es zu beachten gilt
Gerade der angemessene Schutz sensibler Daten ist nötig, um Verlusten von Geschäftsgeheimnissen vorzubeugen. Dabei haben sich im Zuge der Corona-Krise eine Reihe neuer Fragestellungen ergeben, die es bezüglich organisatorischer und IT-technischer Maßnahmen zu beachten gilt: Sind durch die veränderten Arbeitsweisen beispielsweise zusätzliche Sicherheitslücken entstanden? Können Geräte, die in unternehmensfremden Netzwerken eingesetzt wurden, problemlos re-integriert werden? Können auch Daten, die auf unternehmensfremden System bearbeitet wurden, unbekannte Risiken darstellen?
Die Covid-19-Pandemie hat mit aller Deutlichkeit gezeigt, dass man Krisen nicht voraussagen kann. Daher ist es enorm wichtig, aus den gesammelten Erfahrungen zu lernen und Prozesse zu entwickeln, die sowohl zum Ausstieg aus der derzeitigen Krise verhelfen, als auch vor der nächsten schützen können. Eine gestärkte Sensibilität für Cyber-Risiken und entsprechende Maßnahmen sollten hier der erste Schritt sein.
IT-Sicherheitsmaßnahmen
Oftmals stellen nicht nur IT-technische Aspekte Sicherheitslücken dar. Auch menschliches Versagen oder Unwissenheit bieten Angreifern aus dem Cyberraum genügend Spielraum. Sie versuchen gezielt, beispielsweise durch klassische Phishing Mails, ihre Opfer dazu zu veranlassen, gefälschte Links zu öffnen, um eine Schadsoftware zu verbreiten, durch die wichtige Daten abhandenkommen können. Eine weitere Angriffsform ist das so genannte Social Engineering. Hierbei werden Mitarbeiter von Unternehmen über Social Media Kanäle ausspioniert und es wird auch auf diesem Wege versucht, sensible Daten abzugreifen. Für solche Fälle können Red Teaming Übungen – von Sicherheitsexperten simulierte Social Engineering Angriffsszenarien – dazu beitragen, ein geschärftes Bewusstsein für die Gefahren zu schaffen. Auch in so genannten Cyber Awareness Schulungen können Mitarbeiter diesbezüglich gut sensibilisiert werden.
Fazit
Fest steht: Die COVID-19-Krise hat zu einem starken Umdenken in den Unternehmen bezüglich Digitalisierung und IT-Sicherheit geführt. Es hat sich gezeigt, dass viele Betriebe unzureichend auf die verstärkte Nutzung der IT-Infrastruktur vorbereitet waren. Neben Risikomanagementmaßnahmen sollte auch die Cybersicherheit in den Fokus rücken und wichtiger Bestandteil unternehmenseigener IT-Strategien sein. Eine Weiterentwicklung nötiger Sicherheitsmaßnahmen ist gerade jetzt unverzichtbar, um auf zahlreiche Gefahren vorbereitet zu sein. Gleichwohl besteht auch weiterhin Handlungsbedarf: Denn selbst wenn einzelne Unternehmen sich für die Implementierung von Cybersicherheitsmaßnahmen entscheiden, können weniger gut geschützte Glieder der Wirtschaftskette Sicherheitslücken darstellen, die diese Bemühungen nichtig machen. Die Einführung einer Cybersicherheitsstrategie und angemessener Compliance-Maßnahmen sollte in jedem Unternehmen ganz oben auf der Agenda stehen.
