Interview mit Marc Ruef

swissVR Monitor: Sie sind ein ausgewiesener Cyber-Experte. Wie hat sich in Ihren Augen die Cyber-Resilienz von Unternehmen in den letzten Jahren entwickelt?

Marc Ruef: Die Cyber-Resilienz hat sich grundsätzlich verbessert. Viele Unternehmen verstehen Cybersecurity mittlerweile als wichtigen Bestandteil des Geschäftsrisikos. Mitglieder der Geschäftsleitung beschäftigen sich heute viel mehr mit Risiken und regulatorischen Vorgaben auf digitaler Ebene. Zeitgleich hat jedoch auch eine Professionalisierung der Cyberkriminalität stattgefunden. Ransomware-Gruppen agieren heute wie industrielle Dienstleister mit spezifischen Rollen, Arbeitsteilungen und Geschäftsmodellen. Der Wettlauf besteht also nach wie vor.

swissVR Monitor: Gemäss unserer Befragung unter Verwaltungsratsmitgliedern ist mehr als ein Drittel der Unternehmen bis dato einem schadhaften Cyber-Angriff zum Opfer gefallen. Wo sehen Sie Stand heute die grössten Angriffspunkte beziehungsweise Verbesserungspotenziale in Unternehmen?

Marc Ruef: Nach wie vor gelten gestohlene Zugangsdaten als das grösste Risiko. Erfolgreiche Angriffe über Phishing, Infostealer und kompromittierte Konten können verheerende Folgen haben. Relativ neu ist das sich festigende Verständnis für die Risiken durch Drittanbieter und Lieferketten. Die zunehmende Vielschichtigkeit moderner Systeme führt Risiken mit sich, die auf den ersten Blick nicht wahrgenommen und deshalb gerne vernachlässigt werden.

swissVR Monitor: Vor drei Jahren lag in der gleichen Befragung der Anteil der Unternehmen, die einem Cyber-Angriff zum Opfer gefallen waren, noch bei circa einem Viertel. Wie erklären Sie sich diesen Anstieg vor dem Hintergrund der erhöhten Aufmerksamkeit für Cyber-Angriffe in Unternehmen?

Marc Ruef: Diese Zunahme steht nicht im Widerspruch zum verbesserten Verständnis von Cyberrisiken. Grundsätzlich hat aber die Komplexität und damit die Angriffsfläche der Systeme zugenommen. Sie zu schützen, ist also nicht einfacher geworden. Zudem hat sich Cybercrime zu einem Geschäftsmodell entwickelt, das konsequent verfolgt und verfeinert wird. Gegenwärtig sehen wir die ersten, aber sehr konsequenten Effekte von KI im Cybersecurity-Bereich. Sowohl Verteidiger als auch Angreifer profitieren von den neuen Möglichkeiten.

swissVR Monitor: Welche Massnahmen sind Ihrer Meinung nach am effektivsten, um Mitarbeitende gegen Cyber-Angriffe vorzubereiten?

Marc Ruef: Die erfolgreiche Umsetzung von Cybersecurity beginnt nicht mit der Anschaffung von teurer Technik. Stattdessen diktiert die Sicherheitskultur des Unternehmens die Möglichkeiten und Details in diesem Belang. Das Schulen des Personals ist dabei ein wichtiges Element, um die Angreifbarkeit gering zu halten. Und verschiedene technische Massnahmen, die sich über die Jahrzehnte bewährt haben, können eingesetzt und stetig optimiert werden. Dazu gehören klassische Mechanismen wie Firewalling, Netzwerk-segmentierung, Antivirenlösungen und das Einspielen von Updates.

swissVR Monitor: Gemäss unserer aktuellen Befragung ist in mehr als der Hälfte der Unternehmen nicht gesichert, dass die IT-Kernprozesse im Fall eines Cyber-Angriffs wiederhergestellt werden können, ohne inakzeptable Kosten oder Schäden zu verursachen. Wie sollten Pläne für ein solches Szenario konkret aussehen und getestet werden?

Marc Ruef: Besonnenheit und Disziplin sind zentrale Voraussetzungen für ein sicheres Unternehmen. Man sollte sich unbedingt die Ruhe und Zeit nehmen, sich für den Krisenfall vorzubereiten. Die Kernprozesse müssen identifiziert, die diese gefährdenden Risiken ausgemacht und Massnahmen zur Eindämmung der Auswirkungen bzw. zur Wiederherstellung ausgearbeitet werden. Es ist verheerend, sich nicht frühzeitig damit auseinanderzusetzen, denn wenn der Krisenfall eintritt, dann kämpft man je nachdem ums nackte Überleben und hat keine Zeit, besonnen die richtigen Entscheidungen zu treffen, geschweige denn überhaupt etwas zu planen.