Das Datenaufkommen in Unternehmen steigt rapide. Das betrifft betriebliche Prozesse, die immer umfassender digital erfasst, verarbeitet und archiviert werden. Und das gilt ebenso für die wachsende Fülle an Informationen über den Kunden: Kontaktdaten, Transaktionshistorien und Interaktionen bis hin zu Browser-Search-Daten und Konsumgewohnheiten. Mit dem digitalen Footprint in internen und externen Datenbanken wächst zugleich auch die Angriffsfläche für Kriminelle – eine gigantische Herausforderung für die Cyber Security.

Die digitale Revolution hat auch die Produktion längst erfasst, die verarbeitende Industrie ist heute komplex vernetzt. Dadurch steigt  die Anzahl potenzieller Einfallstore für Hacker, die den Betrieb empfindlich stören können. Diese Anfälligkeit wird umso bedrohlicher, weil der Angriff von überall auf der Welt erfolgen kann. Gegenmaßnahmen und Strafverfolgung werden dadurch erheblich erschwert.

Schon heute werden die Konturen einer Zukunft sichtbar, in der sich das Internet von der unmittelbaren Computernutzung löst und an Alltagsprodukte der Benutzer andockt – vom Wearable bis zum Fahrzeug. Wer in diese über das Internet der Dinge vernetzte Infrastruktur eindringt, erhält potenziell Zugang zu allen weiteren, oftmals sensiblen persönlichen Daten. Das hat schwerwiegende Folgen für den Nutzer, ebenso aber auch für jene Unternehmen, mit deren Servern die Devices vernetzt sind.

Die digitalen Bezahlmöglichkeiten des Kunden, ob im Bereich Gastronomie oder Retail, per NFC-Chip oder online, geraten zunehmend ins Visier von Kriminellen. Durch die Auslagerung an Drittanbietern öffnen sich schwer zu überschauende neue Angriffsflächen. Auch Franchise-Systeme werfen die Frage nach konsistenten Sicherheitsstandards auf. Deshalb empfiehlt sich zur Überwachung von Zahlungssicherheit die Einrichtung eines eigenen Stabs für Cyber Security.

Patente, Strategien und andere Geschäftsgeheimnisse kommen auch im Consumer-Bereich große Bedeutung zu. Hier greifen Maßnahmen auf der IT-Ebene wie Inventur bzw. Klassifikation und Bewertung der Daten, Implementierung von Schutzmaßnahmen wie Digitale Rechteverwaltung (Digital Rights Management) und Activity Monitoring auf Ebene der Datenbank sowie Verschlüsselung und Datenhygiene.

Viele Konsumenten misstrauen dem Umgang von Firmen mit ihren digitalen Daten. Tatsächlich hinkt der Standard des Datenschutzes den Innovationen beim Datensammeln und -auswerten oftmals hinterher. Eine verbindliche Selbstverpflichtung sowie Transparenz im Umgang mit Kundendaten sind daher von zentraler Bedeutung. Beides muss sich auch auf Drittanbieter und Partnerunternehmen erstrecken, deren Umgang mit erhobenen Daten es zu kontrollieren gilt. Denn nur wenn der Kunde weiß, wie und warum seine persönlichen Informationen verwendet werden, wird er zu einer engen Kundenbindung bereit sein. Wer aus Cyber Security einen Markenbestandteil macht, erhöht seine Konkurrenzfähigkeit.

Nicht nur im Consumer Business ist der Faktor Mensch für die Datensicherheit eminent wichtig. Bei allen komplexen technischen Maßnahmen ist oft der Anwender, der Mensch selbst, das schwächste Glied in der Abwehrkette. Gefahren drohen einerseits durch böswillige interne Player – ein Thema für den Internal Audit. Andererseits aber besteht auch die Gefahr des menschlichen Irrtums bis hin zur Anfälligkeit gegenüber externer Manipulation von Mitarbeitern, wie das Beispiel „CEO-Fraud“ verdeutlicht. Schutz bieten hier Schulungen und die ständige Schärfung des Bewusstseins der Mitarbeiter, etwa durch interne Aktionen und Kampagnen

Das Board und der CEO selbst müssen bei der digitalen Transformation generell hinterfragen, ob der Mehrwert der Konnektivität die damit einhergehenden Sicherheitsprobleme überhaupt aufwiegt. Meist kann dies bejaht werden. Allerdings haben Erhebungen unserer Deloitte-Experten ergeben, dass die sich daraus ergebenden Verantwortlichkeiten und Zuständigkeiten organisatorisch oft über viele Bereiche zerstreut sind oder in bestimmte Abteilungen delegiert werden. Abhilfe schaffen können Management-Frameworks, in denen die Eskalationsstufen für eine Involvierung der Unternehmensführung im Ernstfall klar definiert sind. Zusätzlich können Simulationen wie Wargaming und Rollenspiele helfen. Denn ein Grundsatz der neuen Datensicherheit lautet, dass Cybercrime-Events nur eine Frage der Zeit sind: Es geht weniger darum, ob relevante Events stattfinden, sondern wann – und wie souverän das Unternehmen dann reagiert.

Mithilfe passiver Schutzmaßnahmen wehrt das Unternehmen Sicherheitsrisiken präventiv ab („secure“). Dazu gehören die Einführung grundlegender Sicherheitsfähigkeiten, deren Pflege, Erhaltung und Verbesserung: IT-Maßnahmen schützen die Infrastruktur (IT Systems Architektur, Cloud-Computing, Internet of Things, Produkte, Network, Firewall u.a.). Passende Protokolle sorgen für Datenschutz (Datenklassifikation, Digital Rights Management, Compliance, Datenaufbewahrung/-vernichtung, Zertifikate-Management). Spezifische Systeme managen verwundbare Strukturen (Software Alerts, Patch-Anwendungen, Virenschutz u.a.). Geeignete Instanzen verwalten Identitäten und Access (Authentifizierung, Identitäts-Architektur, Zugangskontrolle u.a.). Anwendungen werden aktiv gesichert (Applikationstests, Secure-SDLC-Integration, SAP-Sicherheitscheck, Datenbanksicherheit).

Im nächsten Schritt schafft das Unternehmen Fähigkeiten zur Aufdeckung und Antizipation von Angriffen und Anomalien („vigilant“). Das Konzept der Advanced Threat Readiness stellt die Abwehrbereitschaft sicher (Security Information & Event Management Center). Ein Security-Operations-Center sorgt für 24/7-Überwachung, Attack Detection und Marken-Monitoring. Mit Threat Intelligence werden Malware-Risiken und Attacken in real-time analysiert, auch aus dem Internet und auf Mobilgeräten. Dazu erweitert das Unternehmen seine Fähigkeiten in Cyber Risk Analytics. 

Bei diesen Maßnahmen kommt es darauf an, dass das Unternehmen auf kritische Events vorbereitet ist und die Fähigkeit entwickelt, den Schaden einzudämmen, zu reparieren und den normalen Betrieb dabei so schnell wie möglich wieder aufzunehmen („resilient“). Cyber Incident Response umfasst u.a. die Kommunikation des Schadens, dessen Handhabung und eine Strategie für das Krisenmanagement. Dazu kommen Simulationen, Forensik und juristische Unterstützung bei Klagen.