Die Verantwortung für die IT-Sicherheit verlagert sich – von Systemen zu Menschen
Angesichts steigender Cyberbedrohungen und regulatorischer Anforderungen soll sich der Fokus der IT-Sicherheit von rein technischen Maßnahmen hin zu einem ganzheitlichen Ansatz verschieben. Dabei gewinnen Governance, Risikomanagement und die Rolle der Mitarbeitenden zunehmend an Bedeutung.
Die aktuelle Bitkom-Wirtschaftsschutz-Studie beziffert den jährlichen Schaden durch Cyberangriffe für die deutsche Wirtschaft auf über 260 Milliarden Euro. 87 Prozent der Unternehmen waren in den vergangenen zwölf Monaten betroffen. Die Analyse der Vorfälle zeigt, dass Angreifer – unterstützt durch KI und Social Engineering – zunehmend die Belegschaft als Schwachstelle ins Visier nehmen. Millioneninvestitionen in IT-Infrastruktur reichen als alleiniger Schutz nicht mehr aus.
Anbieter zum Thema
Mitarbeitende als neue Angriffsfläche
Wenn es um IT-Sicherheit geht, liegt der Fokus allzu oft noch auf dem technischen Aspekt. Aber das ist nicht alles. Der Kontext, in dem Technologie eingesetzt wird, hat sich verändert:
- Vernetzung,
- Automatisierung,
- KI-Systeme
Sie alle definieren die Spielregeln neu. In Verbindung mit der Vernetzung von Partnern und Kunden verschwimmen die Grenzen, über die die Daten eines Unternehmens fließen.
Daher muss Informationssicherheit über die traditionelle Sicherung von Daten, Systemen und Netzwerkperimetern hinaus betrachtet werden. Die unbequeme Wahrheit ist, dass der Schutz von Systemen nicht mehr ausreicht. Wie ein Unternehmen mit Risiken umgeht – wie diese wahrgenommen, bewertet und gemanagt werden – sind Schlüsselelemente ihrer Sicherheitsstrategie.
Traditionell konzentrierte sich die Informationssicherheit auf den Schutz der Daten und Technologie-Assets eines Unternehmens durch Perimeter-Abwehrmaßnahmen. Die Informationssicherheit legte den Schwerpunkt vor allem auf Vertraulichkeit, Integrität und Verfügbarkeit, um sicherzustellen, dass sensible Daten geschützt waren und nur autorisierten Benutzern bei Bedarf zugänglich waren. Sie wurde oft als technische, Compliance-orientierte Disziplin angesehen, die darauf abzielte, Risiken durch kontrollierten Zugriff und die Durchsetzung von Richtlinien zu reduzieren.
Cybersecurity wird zur Managementaufgabe
Neue Vorschriften wie NIS2, DORA und das EU-KI-Gesetz erweitern den Umfang der Cybersicherheit erheblich, indem sie die Bedeutung der strategischen, Governance-orientierten Unternehmensverantwortung, die in der gesamten Organisation integriert ist, hervorheben.
Unter NIS2 beispielsweise wird Cybersicherheit zu einer Verpflichtung auf Vorstandsebene, wobei die oberste Führungsebene persönlich für die Einhaltung verantwortlich ist und bei Verstößen gegen die Governance mit Strafen belegt wird, wodurch Sicherheitsverantwortliche eine zentrale Rolle im Risikomanagement übernehmen. Es schreibt ein proaktives Risikomanagement und strenge Fristen für die Meldung von Vorfällen vor. Eine strengere Aufsicht, regelmäßige Audits, verbindliche Anweisungen und hohe Geldstrafen verstärken diesen Wandel und machen Cybersicherheit zu einem regulierten, messbaren Bestandteil der organisatorischen Widerstandsfähigkeit und nicht mehr zu einer technischen Backoffice-Funktion.
Dies ist nicht nur eine Veränderung der Perspektive, sondern ein grundlegender Wandel: Technologie bietet Möglichkeiten, aber Menschen und Prozesse sorgen für ihre Wirksamkeit.
Social Engineering und künstliche Intelligenz beschleunigen diesen Wandel, da sie die Natur von Cyberrisiken verändern: Die Grenzen zwischen technischen Fehlern und gezielter Manipulation verändern die Art und Weise, wie Risiken identifiziert und neutralisiert werden können. Wenn die Integrität eines Systems nicht nur das Ergebnis eines effektiven Cyberangriffs ist, sondern auch durch unzureichende Schulungen, verzerrte Modellparameter oder unzuverlässige Entscheidungslogik beeinflusst wird, verliert der klassische Sicherheitsansatz seine Wirksamkeit. Ein manipuliertes KI-Modell greift die Infrastruktur nicht an, sondern zerstört ihr Vertrauen.
Resilienz und Sicherheitskultur im Fokus
Anstatt sich darauf zu konzentrieren, ob eine Sicherheitsverletzung hätte verhindert werden können, muss der Fokus darauf liegen, sie schnell zu erkennen, betroffene Systeme zu isolieren und alle Ressourcen zu mobilisieren, um kritische Abläufe aufrechtzuerhalten und gleichzeitig den Schaden zu begrenzen. Resilienz bedeutet, zu akzeptieren, dass menschliche und technische Fehler unvermeidlich sind und dass eine schnelle, koordinierte Reaktion genauso wichtig ist wie Prävention.
Einige Fragen, die für jedes Unternehmen ein guter Ausgangspunkt für die Bewertung seiner Sicherheitslage sind:
- Wie gut verstehen wir unser Risikoökosystem?
- Wie offen diskutieren wir unsere potenziellen Sicherheitslücken?
- Wer hat das letzte Wort bei kritischen Sicherheitsentscheidungen?
Sicherheit entsteht nicht durch Kontrolle, sondern durch Vertrauen – in Prozesse, in Kollegen, in die eigene Fähigkeit, Bedrohungen zu erkennen und darauf zu reagieren. Organisationen mit hohem Reifegrad fördern das Bewusstsein statt der Angst und schaffen Räume, in denen das Melden von Vorfällen kein Versagen, sondern eine Verantwortung ist.
Sicherheit liegt in der Fähigkeit, effektiv auf eine sich ständig verändernde Bedrohungslage und unerwartete Notfälle zu reagieren. Organisationen, die sich weiterhin auf die Perfektionierung ihrer Schutzmechanismen konzentrieren, übersehen den Kern des Problems.
