Manager-Umfrage: Nur knapp die Hälfte ist sich ihrer Verantwortung für Cybersicherheit bewusst
Die Verantwortung für die Cybersicherheit von Unternehmen ist häufig beim IT-Management ansiedelt, selten im Vorstand oder bei der Geschäftsführung. Diesen Eindruck vermittelt zumindest der aktuelle "Cyber Security Report DACH" des Sicherheitsunternehmens Horizon3.ai. Dennis Weyel, International Technical Director mit Zuständigkeit für Europa bei der auf Cybersecurity spezialisierten Firma, wundert sich: "Den meisten Vorständen oder Geschäftsführern scheint gar nicht klar zu sein, dass sie ohne Wenn und Aber persönlich in der Haftung stehen, wenn es durch einen ernsthaften Cyberangriff etwa zu einer Betriebsunterbrechung kommt, personenbezogene Daten entwendet werden oder schlimmstenfalls sogar Insolvenz angemeldet werden muss." Angesichts von täglich mehr als 4.000 Attacken allein auf deutsche Unternehmen, wie aus dem letzten Lagebericht des Bundesamtes für Informationssicherheit (BSI) hervorgeht, stuft Dennis Weyel diese "Blindheit gegenüber der Verantwortung" als "grob fahrlässig" ein. Er empfiehlt der obersten Leitungsebene über alle Branchen hinweg Weisung zu geben, mindestens einmal im Monat oder sogar wöchentlich durch sogenannte Penetrationstests ("Pentest") - im Finanzsektor von der EZB als "Stresstest" bezeichnet - die Cyberresilienz ihrer Firmen überprüfen zu lassen.
Laut "Cyber Security Report DACH" liegt die Verantwortung für die IT-Sicherheit in den Unternehmen beim (in dieser Reihenfolge) Chief Technology Officer (CTO, 24 Prozent der Firmen), Chief Information Officer (CIO, 18 Prozent) bzw. IT-Einkaufsleiter (18 Prozent), Leiter der Abteilung Digitales (15 Prozent), Chief Information Security Officer (CISO, 13 Prozent) oder Manager für Risiko und Compliance (7 Prozent). Ein knappes Zehntel (9 Prozent) hat den Verantwortungsbereich IT-Sicherheit an eine externe Beratungsfirma gegeben. "In Wahrheit liegt die Verantwortung im Fall der Fälle aber bei allen Vorständen oder allen Geschäftsführern", gibt Dennis Weyel zu bedenken.
Über 200 Milliarden Euro Schaden durch Cyberkriminalität
In der Umfrage erklärte beinahe die Hälfte (48 Prozent), dass sie sich der persönlichen Haftung auf Topmanagementebene bewusst seien. Ein Drittel gab sich von dieser Rechtsposition überrascht, 12 Prozent behaupteten, von dieser Haftung "noch nie gehört" zu haben. Den mit Cyberkriminalität verbundenen Schaden schätzte ein gutes Drittel (34 Prozent) auf 100 bis 200 Milliarden Euro allein in Deutschland. 28 Prozent gingen von 200 bis 300 Milliarden Euro Schadenshöhe aus, 22 Prozent von 50 bis 100 Milliarden Euro, und 15 Prozent von weniger als 50 Milliarden Euro. Damit liegt knapp zwei Drittel der Befragten in der Größenordnung richtig: Der IT-Branchenverband geht von etwas über 200 Milliarden Euro Schadenssumme im letzten Jahr aus.*
"Obgleich dem Gros der Führungskräfte das Gefahrenpotenzial und ihre persönliche Haftung bewusst sind, gehen sie vergleichsweise lax damit um", wundert sich Sicherheitsexperte Dennis Weyel. Er spekuliert: "Möglicherweise gehen viele Topmanager davon aus, dass ihre D&O-Versicherung zusammen mit einer Cybercrime-Versicherung schon für alle eventuellen Schäden aufkommen werden. Doch wenngleich beide Versicherungen sinnvoll sind, ist eine Schadensregulierung im Fall der Fälle mitnichten per se gegeben. Eine ausreichende Absicherung vor Hackerangriffen und der Nachweis, dass Cyberattacken tatsächlich ins Leere laufen, stellen in der Regel eine wesentliche Grundlage für derartige Versicherungen dar. Spätestens bei möglichen Compliance-Verstößen etwa gegen die Netzwerk- und Informationssicherheitsrichtlinie NIS2 der Europäischen Union ist die Assekuranzfrage sicherlich alles andere als geklärt."
NIS2 umfasst die gesamte Lieferkette
Rund 30.000 Unternehmen in Deutschland sind von den NIS2-Bestimmungen betroffen. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat eigens eine Website eingerichtet, auf der Firmen prüfen können, ob sie darunter fallen.** Cyber-Sicherheitsexperte Dennis Weyel gibt zu bedenken: "Daher umfasst NIS2 die gesamte Lieferkette. Fällt nur ein einziges Unternehmen in einer solchen Kette unter die NIS2-Regelungen, dann gelten diese im Grunde für alle Firmen innerhalb der Kette." Er gibt ein Beispiel: "Wenn eine Firma ein Krankenhaus auf der Kundenliste stehen hat, dann ist sie betroffen, weil die Klinik als Kritische Infrastruktur eingestuft wird."
Das deutsche Gesetz zur Umsetzung der Revision der Netzwerk- und Informationssicherheitsrichtlinie ("NIS-2UmsuCG") unterscheidet zwischen "besonders wichtigen Einrichtungen" und "wichtigen Einrichtungen". Zur ersten Kategorie gehören die Betreiber versorgungskritischer Anlagen ab einer bestimmten Versorgungsgröße wie beispielsweise große Telekommunikationsnetzbetreiber und Teile der Bundesverwaltung. Unter die zweite Kategorie fallen Firmen ab einer gewissen Mindestgröße aus den Sektoren Energie, Transport und Verkehr, Finanzwesen, Gesundheit, Wasser, digitale Infrastruktur und Weltraum sowie zusätzlich Unternehmen der Abfallwirtschaft, der Chemieindustrie, der Lebensmittelwirtschaft, bestimmte Produkthersteller wie für Medizinprodukte oder IT-Geräte, Maschinen- und Fahrzeugbauer sowie Forschungseinrichtungen. "Wer meint, dass nur die jeweils betriebskritischen IT-Systeme betroffen sind, irrt gewaltig", erläutert Dennis Weyel. Er verweist darauf, dass in der Gesetzesbegründung ausdrücklich festgelegt ist, dass darunter "sämtliche Aktivitäten der Einrichtung, für die IT-Systeme eingesetzt werden" fallen, also beispielsweise auch der übliche Bürobetrieb oder die Buchhaltung.
* https://ots.de/GNafnM
** https://ots.de/nO8vZF
Über Horizon3.ai und NodeZero: Horizon3.ai bietet unter der Bezeichnung NodeZero eine Cloud-basierte Plattform an, mit der Unternehmen und Behörden einen Selbstangriff auf ihre IT-Infrastruktur durchführen können, um ihre Cyberresilienz zu überprüfen (sog. Penetration Tests oder Pentests). Die Kosten sind aufgrund des Cloud-Konzepts niedrig, so dass regelmäßiges Pentesting auch für mittelständische Firmen erschwinglich ist. Horizon3.ai analysiert die Cybercrime-Szene permanent, um neu aufkommende Schwachstellen über die Cloud sofort berücksichtigen zu können. NodeZero deckt die Sicherheitslücken nicht nur auf, sondern gibt zugleich konkrete Hinweise zur Behebung. Mit der Plattform hilft Horizon3.ai Unternehmen und Behörden, den steigenden regulatorischen Anforderungen an Cyberresilienz nachzukommen, die nahelegen, mindestens einmal wöchentlich inhouse einen Selbstangriff durchzuführen. Kostenlose Testversion: www.horizon3.ai.
Warenzeichenhinweis: NodeZero ist ein Trademark von Horizon3.ai
Pressekontakt:
Weitere Informationen: Horizon3.AI Europe GmbH, Prielmayerstrasse 3, 80335 München, Web: www.horizon3.ai
PR-Agentur: euromarcom public relations GmbH, Web: www.euromarcom.de,
E-Mail: team@euromarcom.de
Original-Content von: Horizon3.AI Europe GmbH, übermittelt durch news aktuell
Originalmeldung: https://www.presseportal.de/pm/163532/5964564
© 2025 news aktuell
