Die drei Säulen der Krisenresilienz

Interview:

Üben, dokumentieren, kommunizieren – Die drei Säulen der Krisenresilienz

Autor: UNIVERSUM Fachredaktion

Das Thema:

Vorbereitung auf eine Cyberkrise endet nicht mit Technik. Sie beginnt mit klaren Notfallplänen, verlässlicher Kommunikation, regelmäßigen Übungen und einer offenen Fehlerkultur. Die Experten der MTNI GmbH aus Karlsruhe beschreiben in diesem Interview, wie Unternehmen sich resilient aufstellen.

UNIVERSUM Fachredaktion:

Was empfehlen Sie zur Vorbereitung auf eine Cyberkrise?

Leonard Frank:

Ganz wichtig ist bei der Vorbereitung auf eine Cyberkrise ganz klare Konzepte zu erstellen für Notfall- und Krisenmanagement, auch hinsichtlich Meldeketten und Verantwortlichkeiten. Wichtig ist aber auch, sich zu überlegen, wie ich denn im Cyberkrisenfall ohne meine IT-Systeme noch funktionieren könnte.

In vielen Krankenhäusern beispielsweise gibt es immer noch ein Papierprozess für den Fall, dass alles ausfällt. Weil es einfach keine Option ist zu sagen: „Unsere IT-Systeme sind alle kaputt, wir können jetzt nicht operieren, wir können keine Menschen behandeln.“ Deswegen gibt es diese Notfall-Prozesse und wenn man wichtige Geschäftsbereiche hat, die absolut kritisch für das eigene Weiterbestehen als Unternehmen sind, dann lohnt es sich auch, dort solche Notfallprozesse zu entwickeln und auch gelegentlich zu proben. Einfach um auf dem Ernstfall vorbereitet zu sein. Denn wenn ich überleben kann, dann habe ich auch gleich mehr Zeit, beispielsweise um auf eine Lösegeldforderung nicht direkt eingehen zu müssen, sondern erst mal schauen zu können, ob ich die Situation vielleicht ohne eine Zahlung lösen kann.

Alexander Sperber:

Eine lückenlose Dokumentation ist ein weiterer wichtiger Bestandteil der Vorbereitung. Um in hektischen Situationen einen klaren Kopf zu bewahren und keine wichtigen Schritte zu übersehen, sind Checklisten und Notfallhandbücher unverzichtbar. Dazu gehören unter anderem Pläne zur Geschäftsfortführung, Wiederanlaufpläne, Sofortmaßnahmen sowie detaillierte Kommunikationspläne und Meldeketten.

All diese Dokumente müssen jedoch zwingend auf die individuellen Bedürfnisse des jeweiligen Unternehmens zugeschnitten sein. Es ist nutzlos, Standardvorlagen zu übernehmen, die in der Krise für das eigene Unternehmen nicht funktionieren. Daher müssen für jedes Unternehmen die spezifischen Anforderungen ermittelt und die Prozesse entsprechend angepasst werden. Dann sitzt im Ernstfall auch jeder Handgriff.

Neben der lückenlosen Dokumentation ist es außerdem entscheidend, die eigenen Ressourcen genau zu kennen. Es muss bekannt sein, wer die wichtigsten Dienstleister sind und wer im Ernstfall kontaktiert werden muss. Gerade wenn man im Besitzer einer sogenannten Cyberversicherung ist, ist es entscheidend, die Meldekette zu kennen, da diese so schnell wie möglich informiert werden muss. Versicherer stellen in der Regel in der Folge auch eigene Experten zur Verfügung, um den Schaden zu minimieren.

Daher ist es unerlässlich, vorab eine klare Priorisierung festzulegen. Jeder im Team sollte wissen, welche Schritte in welcher genauen Reihenfolge zu gehen sind und wer für welche Aufgaben verantwortlich ist. Eine solche klare Struktur sorgt im Krisenfall dafür, dass keine wertvolle Zeit verloren geht und die Hilfe effektiv koordiniert werden kann.

Es kann auch sehr hilfreich sein, eine zentrale verantwortliche Person zu benennen, die die Führung übernimmt. Idealerweise sollte diese Person Erfahrung in der Bewältigung solcher Situationen haben. Denn nichts ist in einer Krise schädlicher als fehlende Führung und eine damit oft einhergehende Hektik. Ein definierter und entsprechend erfahrener bzw. geschulter Ansprechpartner sorgt für Orientierung und Handlungsfähigkeit.

UNIVERSUM Fachredaktion:

Wie wichtig ist Kommunikation in der Krise?

Leonard Frank:

Das Thema Kommunikation wird immer wieder unterschätzt. In einer Krise gibt es unglaublich viele Akteure, mit denen ich kommunizieren muss. Ich muss natürlich mit meinem Incident Response Team kommunizieren, mit meinem Vorstand, aber auch meinen sonstigen Mitarbeitenden. Denn wenn beispielsweise die Produktionsanlagen stehen, dann müssen die Mitarbeiter wissen, ob sie morgen in die Arbeit kommen müssen oder wie es jetzt für sie weitergeht. Ich muss mit meinen Kunden reden, denen ich beispielsweise Lieferungen nicht fristgerecht liefern kann. Ich muss mit Lieferanten reden, von denen ich keine Waren entgegennehmen kann. Ich muss vielleicht auch mit Behörden reden und vielleicht muss ich auch mit der Öffentlichkeit reden. Das sind alles Punkte, die sehr komplex sind und sehr viel Fingerspitzengefühl erfordern. Deswegen gibt es in diesem E-Learning* ja auch dedizierte weitere Aspekte zum Thema Krisenkommunikation. Das ist ein Thema, das man nicht auf die leichte Schulter nehmen und da im Zweifelsfall auch wirklich Profis dazu holen sollte.

*Anmerkung der Redaktion: Gemeint ist die UV. Lernwelt Krisen managen

UNIVERSUM Fachredaktion:

Was sind zusätzliche organisatorische Maßnahmen?

Alexander Sperber:

Insbesondere bei Sicherheitsthemen, die für das Unternehmen von zentraler Bedeutung sind, sollte nicht gezögert werden, externe Expertise hinzuzuziehen, wenn man sich angesichts der Komplexität überfordert fühlt. Dies gilt insbesondere für die Identifizierung von Sicherheitslücken und Schwachstellen in der eigenen IT-Infrastruktur. Mithilfe einer professionellen Analyse können Risiken im besten Fall erkannt werden, bevor diese ausgenutzt werden können. Dies verringert in der Folge die Wahrscheinlichkeit eines erfolgreichen Angriffs.

Ebenso wichtig ist die konzeptionelle Unterstützung bei der Implementierung von Gegenmaßnahmen und Best Practices. Es ist entscheidend, Systeme so zu konfigurieren, dass sie optimal gegen Angriffe geschützt sind.
Klar ist aber: Perfektion in der IT-Sicherheit ist ein unerreichbarer Idealzustand, da hierfür das vollständige Abschalten aller Systeme erforderlich wäre. Dennoch muss das Ziel sein, sämtliche Schutzmaßnahmen und Best Practices so zu implementieren, dass die Widerstandsfähigkeit des Unternehmens maximal gestärkt wird.

Wenngleich es in einigen Unternehmen unbeliebt ist – regelmäßige Audits sind essenziell. Wir empfehlen unseren Kunden auch, dabei auch den Dienstleister zu wechseln. Da jeder Dienstleister unterschiedliche Schwerpunkte und Blickwinkel hat, stellt ein Wechsel sicher, dass man nicht nur die Expertise eines einzelnen Anbieters nutzt. So können auch blinde Flecken aufgedeckt und die Sicherheit aus verschiedenen Perspektiven bewertet werden.

Aus diesem Grund raten wir Unternehmen immer wieder dazu, ihren Dienstleister für Audits regelmäßig zu wechseln. Viele mit uns arbeitende Unternehmen haben bereits einen Rhythmus etabliert, in dem sie alle zwei bis vier Jahre den Anbieter wechseln. Das hat sich in der Praxis bewährt.

Zwar bedeutet ein Wechsel einen gewissen organisatorischen und finanziellen Aufwand für das Onboarding neuer Partner, er ist aber unerlässlich, um neue Perspektiven zu gewinnen. Ein regelmäßiger Wechsel schadet der Sicherheit nicht, sondern hilft aktiv dabei, eine gute Übersicht zu behalten.

Neben digitalen Schutzmaßnahmen ist auch die physische Sicherheit kritischer Bereiche immer wieder von Bedeutung. Ein Beispiel hierfür ist eine Bank: Selbst wenn der Haupteingang durch zahlreiche Sicherheitskontrollen und entsprechendes Personal gesichert ist, können alle Vorkehrungen durch eine einzige Schwachstelle, wie einen ungesicherten Hintereingang für Mitarbeitende, unterlaufen werden. Häufiger finden wir derartige Eingänge in Raucherbereichen vor, in denen sich natürlich auch ein Angreifer platzieren und abwarten kann. So erhalten Angreifer vergleichsweise einfach Zugang zu sensiblen Bereichen, in denen sich streng vertrauliche Informationen oder sensible Systeme befinden. Dem Angreifer reicht damit ein einzelner unaufmerksamer Moment.

Neben der physischen Sicherheit kritischer Bereiche ist auch die sichere Entsorgung von Datenträgern von großer Bedeutung. Zwar bieten viele Hersteller an, defekte oder potenziell defekte Datenträger beim Austausch zu behalten, manche Unternehmen lagern sie dann aber einfach in einem Schrank oder entsorgen diese ungesichert.

Um das Risiko von Datenlecks zu minimieren, sollten Datenträger daher professionell vernichtet werden. Hierfür gibt es spezialisierte und zertifizierte Anbieter, die natürlich trotzdem sorgsam ausgewählt werden sollten.

UNIVERSUM Fachredaktion:

Warum ist Dokumentation so wichtig?

Leonard Frank:

Cyberkrisen sind massive Stresssituationen, sind Situationen, bei denen Leute deutlich über Grenzen gehen. Ganz wichtig ist deshalb, eine saubere Dokumentation sicherzustellen. Denn es ist so: in dieser Stresssituation schüttet unser Gehirn unglaublich viel Stresshormone wie Adrenalin aus. Und danach, wenn der Spiegel dieser Stresshormone wieder sinkt, kann es tatsächlich passieren, dass ich mich an ganz viele Details einfach nicht mehr erinnere. Das kommt immer wieder bei Krisen vor. Wenn ich in dem Moment vielleicht noch denke, ich weiß exakt, welches System ich runtergefahren habe und was ich an welchem System geändert habe – und man nimmt viele Änderungen vor während der Bewältigung von so einer Krise – dann weiß ich das zwei Wochen danach sehr wahrscheinlich einfach nicht mehr. Da kann man sich mich teilweise an manche Sachen einfach gar nicht mehr erinnern. Und genau deswegen ist es unglaublich wichtig, sauber zu dokumentieren. Diese Amnesie nach dem Vorfall ist leider ein reales Problem und kann für hohe Mehraufwände sorgen.

Zusammenfassend:

Krisenfest ist, wer vorbereitet ist. Wer klare Prozesse schafft, dokumentiert und übt, geht gestärkt durch den Ernstfall – und kommt sicherer wieder heraus.

Das gesamte Interview finden Sie in unserer Lernwelt „Krisen managen“.

Wie gut funktioniert das Krisenmanagement in Ihrem Unternehmen?

Machen Sie den kostenfreien Krisencheck und erhalten Sie direkt eine erste Einschätzung!

Zum Krisencheck