Cyberrisiken aktiv managen

So verlockend das Versprechen der digitalen Welt auf Vereinfachung, Effizienzsteigerung oder auf bessere Gesundheit auch ist, so real sind die Gefahren, die sich daraus ergeben. Jedes Gerät, jede Schnittstelle, jeder Benutzende von Informationstechnologie stellt in unserem vernetzten Alltag eine mögliche Schwachstelle dar. Bis Ende 2022 sollen rund 75 Milliarden Geräte mit dem Internet of Things (IoT) verbunden sein – mit entsprechendem Risikopotential. Wird beispielsweise durch eine Cyber­attacke die Stromzufuhr unterbrochen, können die eigenen vier Wände im Smart Home oder das Büro zum Gefängnis werden. Wird ein (teil-)autonomes Fahrzeug gehackt und von Kriminellen ferngesteuert, kann es zu einer unkontrollierbaren Waffe werden. Und auch ein moderner, technisch aufgerüsteter Herzschrittmacher kann manipuliert werden und unter Umständen Leben kosten. Diese Beispiele zeigen: Wir haben durch den digitalen Wandel eine gesellschaftliche Herausforderung erschaffen, die uns alle betrifft – und über deren Auswirkungen sich nur die Wenigsten im vollen Ausmass bewusst sind und aktiv angehen: Cyberrisiken.

Für die einen ein unbekanntes Terrain, für die anderen ein lukratives Geschäft: Schätzungen zufolge verursachten Cyber­kriminelle 2021 weltweit Schäden im Wert von 6 Billionen Dollar – bis 2025 sollen es jährlich mehr als 10 Billionen Dollar sein. Eine schier unfassbare Zahl. Zwei Hauptmotive stehen bei den Angriffen im Fokus. Zum einen geheime und wertvolle Informationen sammeln. Hier sprechen wir in der Regel von staatlich gesponserten Angriffen und Spionage. Sind die Angreifer motiviert genug und verfügen über ausreichende Ressourcen und Zeit, ist kein Ziel vor ihnen sicher. Das andere Hauptmotiv ist, möglichst effizient Geld zu beschaffen. Letzteres ist das Hauptrisiko für die meisten Unternehmen und manifestiert sich vorwiegend als Ransomware-Angriff. Der Mechanismus ist einfach: Das IT-System und sämtliche Daten eines Unternehmens werden verschlüsselt, um im Anschluss Lösegeld für die Freigabe zu fordern. Allein das ist für Unternehmen schon zeit- und kosten­intensiv. Cyberkriminelle geben sich mit der Lösegeldforderung für die verschlüsselten Daten jedoch nicht mehr zufrieden, denn sie haben festgestellt, dass in den Firmen vermehrt gute Backuplösungen vorhanden sind. Deshalb wird zunehmend ein zweiter und dritter Erpressungsgrund beobachtet: zunächst drohen sie mit der Veröffentlichung von sensiblen (Kunden-)Daten und danach mit einem Cyberangriff auf die Kunden des betroffenen Unternehmens. Das ist dann für viele der Super-GAU. Aber es zeigt: Es kann uns alle treffen – immer und überall.