Cybersicherheit: Wie werde ich als Unternehmen resilient?

Hans-Peter Käser, Senior Security Expert beim Bundesamt für Cybersicherheit (BACS), zeigte eindrücklich auf, dass Cyberangriffe längst nicht nur grosse Unternehmen betreffen. Auch KMU geraten ins Visier von Cyberkriminellen. Angriffe beginnen häufig mit Phishing, dem Ausnutzen technischer Schwachstellen oder dem Einschleusen von Schadsoftware.

Weshalb Schreinereien besonders gefordert sind

Die fortschreitende Digitalisierung bringt der Schreinerbranche viele Vorteile, schafft aber auch neue Abhängigkeiten. IT-Systeme, CAD, CNC-Maschinen und weitere vernetzte Komponenten sind heute eng miteinander verbunden. Werden Produktions- oder CAD-Daten durch Ransomware verschlüsselt oder Systeme lahmgelegt, kann dies die Produktion teilweise oder vollständig zum Stillstand bringen. Weitere Gefahren sind unter anderem Phishing, CEO-Betrug, Datenverlust, ungesicherte Fernzugänge oder Angriffe über Lieferanten und externe Dienstleister.

Eine zentrale Botschaft des Abends lautete deshalb, dass Cybersicherheit Chefsache ist. Es reicht nicht, die Verantwortung allein dem IT-Dienstleister zu überlassen. Unternehmen sollten ihre geschäftskritischen Prozesse kennen und wissen, von welchen digitalen Systemen diese abhängig sind. Ebenso wichtig ist die Frage, wie der Betrieb reagiert, wenn es trotz aller Vorsicht zu einem Cybervorfall kommt.

Grundschutz muss nicht kompliziert sein

Bereits konsequent umgesetzte Basismassnahmen können die Sicherheit wesentlich erhöhen. Dazu gehören aktuelle Betriebssysteme und regelmässige Updates, starke Passwörter und Multifaktor-Authentifizierung, geschützte Fernzugriffe, eine sinnvolle Trennung der Netzwerke sowie funktionierende Backups. Ebenso wichtig sind ein vorbereiteter Notfallplan und klar geregelte Verantwortlichkeiten.

Ein besonderes Augenmerk gilt den Mitarbeitenden. Cyberkriminelle versuchen nicht nur technische Schwachstellen auszunutzen, sondern wenden sich mit Mails, Nachrichten oder Telefonanrufen gezielt an Menschen. Phishing oder vermeintliche Anweisungen von Vorgesetzten werden dabei zunehmend professioneller. Regelmässige Sensibilisierung ist deshalb ein wichtiger Bestandteil der Cybersicherheit.

Was kann eine Cyberversicherung leisten?

Im zweiten Teil des Abends beleuchtete Thomas Glauser von der Emmental Versicherung die finanziellen Folgen eines Cybervorfalls und die Möglichkeiten einer Cyberversicherung. Je nach Versicherungslösung können beispielsweise Ereignisse wie Virenangriffe, Cybererpressung, «Falscher-Chef»-Betrug, Datenklau, Überlastungsangriffe oder Schäden infolge menschlicher Fehler versichert werden.

Dabei gilt jedoch, dass eine Cyberversicherung die notwendigen Sicherheitsmassnahmen im Betrieb nicht ersetzt. Sie ist vielmehr eine Ergänzung, um die finanziellen Folgen eines Schadenfalls abzufedern. Versicherungen kennen zudem Voraussetzungen und Ausschlüsse, beispielsweise wenn verlangte IT-Sicherheitsmassnahmen nicht eingehalten wurden.

Vorbereitet sein, bevor etwas passiert

Hundertprozentige Sicherheit vor Cyberangriffen gibt es nicht. Unternehmen können aber viel dafür tun, ihre Widerstandsfähigkeit zu erhöhen. Wer seine kritischen Prozesse und Abhängigkeiten kennt, technische und organisatorische Schutzmassnahmen umsetzt, seine Mitarbeitenden sensibilisiert und sich auf einen möglichen Ernstfall vorbereitet, schafft dafür eine wichtige Grundlage.

Beim anschliessenden Apéro nutzten die gut 40 Teilnehmenden die Gelegenheit, das Gehörte zu diskutieren und Erfahrungen aus dem eigenen Betriebsalltag auszutauschen. Der Abend lieferte damit nicht nur viel Fachwissen, sondern hoffentlich auch den einen oder anderen Anstoss, die Cybersicherheit im eigenen Betrieb wieder einmal kritisch unter die Lupe zu nehmen.

Referat Hans-Peter Käser, Bundesamt für Cybersicherheit (BACS)

Referat Thomas Glauser, Emmental Versicherung