Florian Schütz
Direktor des Bundesamts für Cybersicherheit BACS
In der heutigen digitalen Welt ist Cybersicherheit nicht nur ein technisches Thema, sondern eine strategische Notwendigkeit für jedes Unternehmen. Entscheidungsträger stehen vor der Herausforderung, sicherzustellen, dass ihre Organisationen gegen die ständig wachsenden Bedrohungen aus dem Cyberspace gewappnet sind.
Cyberangriffe sind vielfältig und die Vorgehensweise der Cyberkriminellen entwickelt sich ständig weiter. Von Phishing über Ransomware bis hin zu gezielten Angriffen auf kritische Infrastrukturen – die Bedrohungen sind real und allgegenwärtig. Dies bestätigt auch der Meldungseingang beim Bundesamt für Cybersicherheit (BACS), welches die Meldungen zu Cybervorfällen von der Bevölkerung und Unternehmen seit 2020 entgegennimmt und statistisch erfasst:
Abbildung 1: Meldungseingang im Bundesamt für Cybersicherheit 2020–2024 (Stand: 15.10.2024)
Die finanziellen Folgen eines Cyberangriffs können verheerende Ausmasse annehmen: Die Produktion steht für mehrere Tage still, Onlineshops können keine Umsätze mehr generieren. Daten wie Baupläne, Rezepturen usw. werden gestohlen und später beispielsweise im Darknet veröffentlicht, die Konkurrenz gelangt so an Betriebsgeheimnisse. Zusätzlich können Reputationsschäden entstehen, und die Kundinnen und Kunden verlieren unter Umständen das Vertrauen in das Unternehmen.
Betreffend Cybersicherheit stellen sich bei Organisationen zwei zentrale Fragen: «Ist mein Unternehmen ausreichend gegen Cyberangriffe geschützt?» und «Ist unsere IT-Abteilung auf dem neuesten Stand?»
Um die erste Frage zu beantworten, müssen verschiedene Aspekte berücksichtigt werden:
Zunächst sollte eine umfassende Risikoanalyse durchgeführt werden. Diese umfasst die Identifizierung und Bewertung potenzieller Bedrohungen sowie die Analyse von Schwachstellen in den Systemen. Dabei werden auch Restrisiken ermittelt, die von der Geschäftsleitung bewusst in Kauf genommen werden müssen.
Ein weiterer wichtiger Punkt sind klare und durchsetzbare Sicherheitsrichtlinien im Unternehmen. Diese betreffen nicht nur Passwortlängen oder die Zwei-Faktoren-Authentifizierung, sondern auch Vorschriften zur Klassifizierung von Informationen, wie etwa «intern», «vertraulich» oder «geheim», sowie Regeln zum Umgang mit diesen Informationen. Es ist essenziell, diese Richtlinien regelmässig zu überprüfen und an neue Bedrohungen anzupassen.
Darüber hinaus sollte die Schulung und Sensibilisierung der Mitarbeitenden im Vordergrund stehen. Viele Cyberangriffe zielen zunächst auf die Mitarbeitenden ab, indem sie beispielsweise durch manipulierte E-Mails dazu gebracht werden, schädliche Anhänge zu öffnen. Um dem entgegenzuwirken, sind regelmässige Sensibilisierungsmassnahmen notwendig, damit die Mitarbeitenden aller Ebenen über die aktuellen Gefahren informiert und vorbereitet sind.
Auch technische Massnahmen spielen eine zentrale Rolle. Der Einsatz moderner Technologien und Tools zur Abwehr von Cyberangriffen wie z. B. Firewalls und Antivirenprogramme ist unerlässlich. Diese sollten stets auf dem neuesten Stand gehalten werden, ebenso wie alle auf den Geräten installierten Anwendungen und die eingesetzte Hardware. Regelmässige Datensicherungen sind ebenfalls ein wesentlicher Bestandteil der technischen Vorkehrungen, um im Notfall auf verlorene Daten zugreifen zu können.
Organisatorische Massnahmen ergänzen die technischen Vorkehrungen. Dazu gehört das Business Continuity Management (BCM), das sicherstellt, dass die Mitarbeitenden auch dann weiterarbeiten können, wenn die IT zeitweise ausfällt, sei es durch Stromausfälle oder technische Störungen. Das Krisenkommunikationskonzept legt fest, wer im Falle eines Cyberangriffs informiert werden soll, etwa die IT-Abteilung, die Geschäftsleitung, Mitarbeitende oder Kunden, und regelt zudem, wer die Kommunikation übernimmt. Zudem sollten alternative Kommunikationskanäle etabliert werden, falls herkömmliche Kanäle wie E-Mail oder Voice over IP ausfallen.
Ein Incident-Response-Plan schliesslich beschreibt, wie im Fall eines Cyberangriffs vorzugehen ist, um den Schaden zu minimieren und die Ausfallzeit der betroffenen Systeme zu reduzieren.
Bei der zweiten Frage, welche die zentrale Rolle der IT-Abteilung bei der Sicherstellung der Cybersicherheit betrifft, sind folgende Punkte zu berücksichtigen:
Zum einen ist die regelmässige Weiterbildung der IT-Mitarbeitenden von Bedeutung, da sich die Bedrohungslage ständig ändert. Es ist entscheidend, dass das Team auf dem neuesten Stand der Technik und der Best Practices bleibt. Zudem sollte die IT-Abteilung über ausreichende Ressourcen und Budget verfügen, da Cybersicherheit Investitionen in Technologie, Schulungen und Personal erfordert.
Eine effektive Cybersicherheitsstrategie setzt ausserdem eine gute Zusammenarbeit und Kommunikation innerhalb der IT-Abteilung sowie mit anderen Abteilungen voraus. Schliesslich sind proaktive Massnahmen wie regelmässige Sicherheitsüberprüfungen, Penetrationstests und die kontinuierliche Überwachung von Netzwerken und Systemen entscheidend, um Bedrohungen frühzeitig zu erkennen und abzuwehren.
Das Bundesamt für Cybersicherheit (BACS) ist das Kompetenzzentrum des Bundes für Cybersicherheit und damit erste Anlaufstelle für die Wirtschaft, Verwaltung, Bildungseinrichtungen und die Bevölkerung bei Cyberfragen. Es unterstützt die Privatwirtschaft in verschiedenen Bereichen, insbesondere im Hinblick auf Cybersicherheit.
Das BACS entwickelt und veröffentlicht Sicherheitsrichtlinien und -standards, die Unternehmen bei der Implementierung robuster Sicherheitsmassnahmen unterstützen. Diese Richtlinien basieren auf den neuesten Forschungsergebnissen und internationalen Best Practices. Auf seiner Website (www.ncsc.admin.ch) hat das BACS zahlreiche kostenlose Factsheets und Checklisten veröffentlicht, die Ihnen helfen, Ihre Systeme noch resilienter gegen Cyberangriffe zu machen.
Das BACS fördert den Informationsaustausch und die Zusammenarbeit zwischen Unternehmen und anderen staatlichen Stellen. Durch den Aufbau von Netzwerken und Partnerschaften können Unternehmen von den Erfahrungen und dem Wissen anderer profitieren.
Text Florian Schütz, Direktor des Bundesamts für Cybersicherheit BACS
Schreibe einen Kommentar