Cybersecurity – Warum wir Sicherheit neu denken müssen

Digitale Sicherheit ist längst keine reine IT-Angelegenheit mehr. Sie betrifft Unternehmen, Behörden, Vereine und letztlich jeden von uns.

Wenn ich auf die vergangenen Jahre in der IT zurückblicke, hat sich kaum ein Bereich so stark verändert wie die Cybersecurity.

Unsere Gesellschaft ist heute stärker denn je von digitalen Systemen abhängig. Kommunikation, Verwaltung, Produktion und viele alltägliche Abläufe funktionieren nur noch, weil im Hintergrund komplexe IT-Infrastrukturen zuverlässig zusammenarbeiten.

Gleichzeitig haben sich die Bedrohungen grundlegend verändert. Cyberangriffe betreffen längst nicht mehr nur große Konzerne. Auch mittelständische Unternehmen, Kommunen, Krankenhäuser und kleinere Organisationen geraten zunehmend ins Visier von Cyberkriminellen.

Cybersecurity bedeutet für mich deshalb heute weit mehr, als Systeme vor Angriffen zu schützen. Es geht darum, Risiken zu verstehen, Verantwortung zu übernehmen und auch im Ernstfall handlungsfähig zu bleiben.

Warum klassische IT-Sicherheit nicht mehr ausreicht

Die Art und Weise, wie wir IT nutzen, hat sich grundlegend verändert. Anwendungen laufen in der Cloud, Mitarbeiter arbeiten von unterschiedlichen Standorten und Unternehmen sind zunehmend mit externen Dienstleistern vernetzt.

Gleichzeitig agieren Cyberkriminelle immer professioneller. Automatisierte Angriffe, gestohlene Zugangsdaten und der zunehmende Einsatz künstlicher Intelligenz eröffnen neue Möglichkeiten.

Selbst gut geschützte Organisationen können Opfer eines erfolgreichen Angriffs werden.

Deshalb reicht es nicht mehr aus, ausschließlich auf die Verhinderung von Angriffen zu setzen. Mindestens genauso wichtig ist es, Bedrohungen frühzeitig zu erkennen, angemessen darauf zu reagieren und mögliche Schäden zu begrenzen.

Hier kommt die Cyberresilienz ins Spiel: die Fähigkeit einer Organisation, Sicherheitsvorfälle zu bewältigen und den Betrieb auch unter schwierigen Bedingungen aufrechtzuerhalten oder schnell wiederherzustellen.

NIS2 – Cybersecurity wird zur Führungsaufgabe

Mit der europäischen NIS2-Richtlinie und ihrer Umsetzung in deutsches Recht gewinnt Cybersecurity auch auf regulatorischer Ebene weiter an Bedeutung.

Die Anforderungen betreffen nicht mehr ausschließlich klassische Betreiber kritischer Infrastrukturen. Auch Unternehmen und Organisationen aus weiteren Branchen können unter die Regelungen fallen.

Ob eine Organisation betroffen ist, hängt unter anderem von ihrer Tätigkeit und Größe ab. Selbst kleinere Unternehmen, die nicht unmittelbar unter NIS2 fallen, können durch Kunden oder Geschäftspartner mit zusätzlichen Sicherheitsanforderungen konfrontiert werden.

Besonders wichtig finde ich dabei einen anderen Aspekt:

Cybersecurity wird ausdrücklich zur Verantwortung der Unternehmensleitung.

Die Verantwortung für Informationssicherheit lässt sich nicht vollständig an die IT-Abteilung oder externe Dienstleister delegieren.

Geschäftsführungen müssen Risiken verstehen, notwendige Maßnahmen ermöglichen und sicherstellen, dass Cybersecurity als Bestandteil der Unternehmensführung verstanden wird.

Denn die Auswirkungen eines Cyberangriffs beschränken sich selten auf die IT.

Cybersecurity ist keine reine IT-Aufgabe

Wer ist eigentlich für Cybersecurity verantwortlich?

Die häufigste Antwort lautet: die IT-Abteilung.

Natürlich spielen IT-Fachleute eine entscheidende Rolle. Doch wesentliche Entscheidungen werden an anderer Stelle getroffen.

Welche Risiken ist eine Organisation bereit einzugehen? Wie viel wird in Sicherheit investiert? Welche Geschäftsprozesse müssen auch im Krisenfall funktionieren?

Das sind Fragen, die nicht allein die IT beantworten kann.

Auch Mitarbeiter tragen Verantwortung. Allerdings halte ich wenig davon, Menschen grundsätzlich als das schwächste Glied der Sicherheitskette zu betrachten.

Menschen machen Fehler. Eine gute Sicherheitsstrategie berücksichtigt das und sorgt dafür, dass einzelne Fehler möglichst keine schwerwiegenden Folgen haben.

Dafür braucht es neben technischen Maßnahmen klare Prozesse, verständliche Regeln und eine Unternehmenskultur, in der Sicherheitsprobleme offen angesprochen werden können.

Was passiert, wenn morgen nichts mehr funktioniert?

Eine Frage, die ich besonders wichtig finde, ist eigentlich ganz einfach:

Was passiert, wenn morgen früh wesentliche Teile unserer IT ausfallen?

Können Mitarbeiter noch arbeiten? Sind wichtige Informationen verfügbar? Können Dienstleistungen weiterhin erbracht werden? Und weiß jeder, was im Ernstfall zu tun ist?

Gerade im öffentlichen Sektor und im Gesundheitswesen können solche Ausfälle weitreichende Folgen haben.

Aber auch kleinere Organisationen unterschätzen häufig, wie abhängig ihre täglichen Abläufe inzwischen von funktionierender IT sind.

Deshalb gehören für mich Notfallmanagement, Datensicherungen und regelmäßig getestete Wiederherstellungsverfahren ganz selbstverständlich zur Cybersecurity.

Ein Backup zu besitzen ist gut. Zu wissen, dass sich damit der Betrieb tatsächlich wiederherstellen lässt, ist wesentlich besser.

Sicherheit ist kein abgeschlossener Zustand

Nach vielen Jahren in der IT bin ich von einer Sache überzeugt: Absolute Sicherheit gibt es nicht.

Technologien entwickeln sich weiter, neue Anwendungen kommen hinzu und Angreifer verändern ihre Methoden.

Cybersecurity ist deshalb kein einmaliges Projekt, das irgendwann abgeschlossen ist.

Es geht auch nicht darum, möglichst viele Sicherheitsprodukte einzusetzen oder jedem neuen Trend hinterherzulaufen.

Entscheidend ist, die eigenen Risiken zu kennen, geeignete Maßnahmen umzusetzen und deren Wirksamkeit regelmäßig zu überprüfen.

Mein Fazit

Cybersecurity wird in den kommenden Jahren weiter an Bedeutung gewinnen. Unsere Abhängigkeit von digitalen Systemen wächst und mit ihr die Verantwortung, diese angemessen zu schützen.

Wir werden nicht jeden Angriff verhindern können. Aber wir können beeinflussen, wie gut wir darauf vorbereitet sind und welche Auswirkungen ein Sicherheitsvorfall hat.

Dafür braucht es moderne Technologien, klare Verantwortlichkeiten und vor allem das Bewusstsein, dass Informationssicherheit alle Bereiche einer Organisation betrifft.

Cybersecurity ist für mich deshalb keine rein technische Disziplin. Sie ist eine Frage der Verantwortung, der Vorbereitung und letztlich auch des Vertrauens.