IT-Experten: „Die Bedrohung ist vielfältig“

Schützen sich Logistikunternehmen weniger gut als andere Branchen?

Klettner: Man kann sagen, dass die Geschäfte hier lange eher „traditionell“ geführt wurden. In dem Sinne gab es in der IT sicherlich schon länger eine Agenda für Security, aber erst in den vergangenen Jahren ist es Teil der Unternehmensstrategie geworden. Große Unternehmen haben inzwischen eine eigene Strategie für die Cybersecurity, aber bei den Mittelständlern kommen diese Themen häufig verzögert an.

Werden die Risiken durch Cyberangriffe immer noch unterschätzt?

Klettner: Viele Unternehmen ahnen oder wissen sogar, dass es Schwachstellen in ihren Systemen gibt. Dennoch denken sie entweder: Was kann ich schon dagegen tun? Oder: Mich wird es schon nicht treffen. Aber Resignieren und Hoffen sollte nicht als Unternehmensstrategie dienen.

Kempf: Ja, es ist wirklich erschreckend, wie häufig Schwachstellen den Unternehmen durchaus bekannt sind, aber dennoch nicht beseitigt werden. Erkenntnisse aus Security Audits bleiben oft versteckt in Schubladen liegen. Denn es fehlt an einer gesunden Fehlerkultur, in der ausschließlich relevant ist, Transparenz zu schaffen und Fehler ans Licht zu bringen. Stattdessen fällt der Blick zu sehr auf das, eventuell sogar versehentliche, Fehlverhalten von Mitarbeitenden.

Apropos Mitarbeiter: Inwieweit ist das Risiko von Angriffen durch die Pandemie und den zum Teil zu Beginn sehr kurzfristig eingeräumten und wenig abgesicherten Homeoffice-Lösungen gestiegen?

Klettner: Wie alle traf die Corona-Pandemie auch unsere Branche wie ein Schlag. Nicht selten war die Devise: Wer einen Laptop hat, muss ab sofort zuhause arbeiten. Und das passierte weltweit. Natürlich bietet dies ein perfektes Szenario für Kriminelle: Die Menschen arbeiteten auf einmal in ungeschützten Netzen und tauschten ihre Daten aus. Sie waren teilweise wenig geschult zu den grundlegendsten Sicherheitsmaßnahmen. Oft gab es zunächst keinen VPN-Zugang. Zudem kommt im Homeoffice ja auch manchmal eine Ablenkung durch Familie, die Türklingel oder Haustiere. Da klickt man vielleicht noch leichter auf einen gefährlichen Anhang als sonst.

Drohen Angriffe für deutsche Logistikunternehmen eigentlich eher aus dem Aus- oder dem Inland?

Klettner: Das Bedrohungsszenario ist vielfältig. In unserer Branche sind es meiner Erfahrung nach eher multinationale Attacken. Ein Motiv kann zum Beispiel sein, die Transportkette für seine illegal transportierten Waren zu verfolgen oder andere Dinge zu planen und vorzubereiten.

Kempf: Das ist ein gutes Beispiel. Denn hier geht es nicht darum, Prozesse zu behindern oder Unternehmen zu erpressen. Solche Täter sind kleineren Unternehmen in der Transportkette finanziell um ein Vielfaches überlegen. Über den unerkannten Angriff können sie oft über Monate ungehindert Daten abzweigen. Viele dieser Angriffe werden erst in der Rückschau festgestellt. Unternehmen meinen immer, sie seien nicht gehackt worden, weil sie es nicht wissen. Das stimmt selten. 

Und wie weit ist es dann überhaupt möglich, sich zu schützen?

Kempf: Die optimale Reaktion auf eine Cyberattacke hängt ganz stark vom jeweiligen Angriffsversuch ab. Was alle Reaktionen eint, ist, dass es ein sauber aufgesetztes Risikomanagement im Unternehmen braucht mit definierten Prozessen, wie man vorgeht, um Risikoszenarien zu durchlaufen. Wir beraten Unternehmen oft im SAP-Bereich und stellen fest, dass viele Verantwortliche eine vollumfängliche Absicherung ihrer Systeme scheuen. Denn man braucht ein Projektbudget und darüber hinaus dauerhaft personelle Ressourcen. Aber verglichen mit dem Schaden, den kriminelle Hacker verursachen können, ist dieser Aufwand schnell kein Argument mehr.

Das klingt nach großen Investitionen. Wie sollten kleinere und mittelständische Unternehmen vorgehen?

Klettner: Es gibt grundsätzlich drei Arten von Maßnahmen, die Unternehmen für sich sinnvoll orchestrieren sollten: Da sind zunächst präventive Maßnahmen, die teilweise recht einfach sein können, wie Schulung von Mitarbeitenden, das Abschotten von Netzwerken oder eine 2-Faktor-Authentifizierung beim Login. Dazu kommen Maßnahmen, die in Echtzeit erfolgen, wie die Analyse des Netzwerk-Traffics. Und zuletzt gibt es kurative Maßnahmen. Hier werden Konzepte und Anweisungen entwickelt, die bei und nach einem Angriff greifen. 

Kempf: Jede Maßnahme ist besser als keine. Auch kleine Unternehmen können einfache und kostensparende Maßnahmen ergreifen. Zu Beginn stehen meist präventive Maßnahmen und solche, die in Echtzeit erfolgen, im Vordergrund. Beispielsweise können kleine Unternehmen ihre Office-Pakete so konfigurieren, dass per Mail nur noch PDF-Anhänge empfangen werden. Oder sie sensibilisieren die Mitarbeitenden hinsichtlich der Gefahren von Pishing Mails. Für die Echtzeit-Prävention kann eine Managed Service-Lösung geeignet sein. Hierbei müssen intern keine Ressourcen aufgebaut werden und viele der Services lassen sich pro Arbeitsplatz buchen. Gerade im SAP-Umfeld, wo es viele Patches und ständige Weiterentwicklungen gibt, kann ein Managed Service sofortige Sicherheit bieten. Der Vorteil einer solchen Lösung ist, dass die IT-Dienstleister auf IT-Security fokussiert sind und einen Erfahrungsschatz mitbringen, der selbst so kaum aufzubauen ist.

Welche konkreten Tipps haben Sie für Unternehmen? Was wird gern übersehen oder falsch gemacht?

Kempf: Eine unserer wichtigsten Empfehlungen ist immer wieder: Reagieren Sie bei Auffälligkeiten sofort, bewerten Sie Sicherheitslücken aufgrund ihrer Kritikalität und schieben Sie die Bereinigung nicht auf die lange Bank. Denn Zeit ist der entscheidende Faktor, sollte es wirklich einmal zu einem relevanten Angriff kommen.

Klettner: Ich erlebe immer wieder, dass es einen überzeugten Sponsor aus dem Senior Management braucht, um das Thema im Unternehmen nach vorne zu bringen und wirklich zu leben. Nur, wenn es eben nicht nur das Thema des IT-Leiters ist, sondern alle überzeugt sind, dass IT Security nicht nur kostet, sondern die gemeinsame Arbeit sichert, ziehen alle erfolgreich an einem Strang. Wir werden nämlich auch in Zukunft sehen, dass das Thema noch komplexer wird, wenn jetzt zunehmend auch die OT, also die Operational Technology mit der IT „online“ geht. Hierzu braucht es Unterstützung im gesamten Unternehmen. (ben)