Wenn wir über Sicherheit sprechen, wird das tatsächliche Risiko oft übersehen oder nicht vollständig berücksichtigt. Welchem tatsächlichen Risiko sind Sie als Unternehmen ausgesetzt? Was ist für Sie von Wert? Was darf auf keinen Fall durchgesickert, offengelegt oder gestohlen werden? In den meisten Fällen handelt es sich dabei um Informationen. Informationen sind das wertvollste Gut, über das wir verfügen. Und da sie einen Wert haben, ist mit ihnen immer ein gewisses Risiko verbunden.
Um das Risiko zu berechnen, müssen Sie zunächst wissen, was Sie besitzen, das Sie als wertvoll für Ihr Unternehmen erachten, und welchen Wert diese Information tatsächlich hat. Dies können die Anschaffungskosten sein, die Sie für etwas bezahlt haben, die Zeit, die für die Entwicklung aufgewendet wurde, der zukünftige Marktwert und sogar die Kosten, die für den Ersatz anfallen würden. Eine Festplatte ist ein relativ kostengünstiger Gegenstand, aber die darauf gespeicherten Informationen könnten potenziell Milliarden wert sein – für Sie oder sogar für jemand anderen.
Auch Bedrohungen spielen bei der Risikoberechnung eine Rolle. Was sind die größten Bedrohungen, denen Sie ausgesetzt sind? Diese reichen von Naturkatastrophen über Wirtschaftsspionage und Spione bis hin zu unzufriedenen Mitarbeitern … Im Grunde gilt: Wenn Sie in irgendeiner Branche tätig sind und etwas anbieten, das jemand haben möchte, dann ist die Wahrscheinlichkeit groß, dass jemand anderes wissen möchte, was Sie wissen, oder haben möchte, was Sie haben. Bedrohungen sind die Faktoren, die Ihrem Unternehmen Schaden zufügen können.
Schwachstellen sind der Einstiegspunkt in das Unternehmen oder ermöglichen den Zugriff auf wertvolle Informationen. Im Bereich der IT-Sicherheit können Schwachstellen darin bestehen, dass Daten im Internet offengelegt werden, der Zugang zum Unternehmensnetzwerk zu einfach ist oder Client-Rechner und Server kompromittiert wurden. Zu den Schwachstellen gehören aber auch, dass nicht jeder, der das Gebäude betritt, kontrolliert wird, dass Seiteneingänge unverschlossen oder unbeaufsichtigt sind, dass Informationen verloren gehen oder fallen gelassen werden oder sogar ein Abend in der Stadt mit den Führungskräften. Unterschätzen Sie niemals menschliches Versagen und Ego. Betrunkene Menschen reden gerne und nehmen ihre Umgebung oft nicht wahr. Man weiß nie, wann jemand Ihre Gespräche belauscht oder die Taschen des Mantels durchsucht, den Sie an der Garderobe abgegeben haben.
Unternehmen X ist ein riesiger globaler Konzern. Es verfügt über Niederlassungen und Produktionsstätten auf der ganzen Welt. Das Unternehmen ist sehr schnell gewachsen und hat es versäumt, seine Sicherheitsvorkehrungen auf dem neuesten Stand zu halten (unartig, unartig…). Natürlich verfügt es über Informationen, die andere gerne hätten, aber es ist auch – genau wie jedes andere Unternehmen – allein schon aufgrund seiner Existenz ein Ziel. Was würde passieren, wenn ein kleiner Teil seines Geschäfts ausfallen würde? Nehmen wir an, es wäre eine Region, in der das Produkt Z hergestellt wird. Wie viele Menschen wären davon betroffen? Wie hoch wären die Kosten? Können wir diesem Angriff einen Wert zuweisen? Ja, das können wir.
Dieser hypothetische Angriff legte die Region lahm – mit einem guten alten Crypto-Locker, der über eine gezielte Phishing-Kampagne Einzug hielt und sich auf veraltete Systeme stützte, denen dringend benötigte Sicherheitspatches fehlten.
Die ersten Kosten, die wir betrachten, sind der Produktionsausfall bei dem Produkt, was auch immer das sein mag, das dort hergestellt wird. Nehmen wir an, der tägliche Produktionswert beträgt 1.000.000 € und der Betrieb lag zwei Wochen lang still! Das sind Verluste in Höhe von 10–14.000.000 € (je nachdem, ob die Wochenenden frei sind). Und da das Unternehmen nun im Rückstand ist, muss es bei der Wiederaufnahme des Betriebs möglicherweise die Produktion steigern, um diesen Rückstand aufzuholen. Doch das sind bei weitem nicht die einzigen Kosten. Zweifellos werden Mitarbeiter rund um die Uhr daran arbeiten, den Angriff abzuwehren, das Problem zu beheben und herauszufinden, was schiefgelaufen ist. Nehmen wir einfach an, dass etwa 100 Mitarbeiter einen Monat lang wie verrückt daran gearbeitet haben, den Schaden einzudämmen und zu beheben, damit die Produktion wieder aufgenommen werden konnte. 100 Mitarbeiter mit durchschnittlichen Kosten von (schätzen wir mal) 50 € pro Stunde für das Unternehmen, bei 10 Stunden pro Tag. Das sind zusätzliche Kosten in Höhe von 1.500.000 €! Und das allein für die Mitarbeiter, die versuchen, diesen Vorfall einzudämmen. Weitere Kosten könnten durch den Ersatz von möglicherweise beschädigten Geräten entstehen.
Es gibt auch einige versteckte Kosten, an die man nicht sofort denkt. Haben die Angreifer, bevor sie den CryptoLocker losließen, auch Daten gestohlen? Es ist möglich, dass sie auch wertvolle Informationen gestohlen haben. Könnte es sich um einen Konkurrenten handeln, der nun Ihre Geheimnisse kennt? Oder um jemanden, der diese an Ihre Konkurrenz verkauft? Dies könnte zu Geschäftsverlusten für Sie führen, wenn jemand Ihr Produkt zu einem leicht reduzierten Preis anbietet.
Die andere versteckte Kostenart ist der Imageschaden. Wenn der Vorfall in die Nachrichten gelangt, könnte dies dazu führen, dass Kunden das Interesse verlieren und das Produkt, das Sie verkaufen möchten, nicht mehr kaufen. Dies könnte möglicherweise am schwersten zu überwinden sein.
Angesichts dieses beängstigenden Szenarios stellt sich nun die Frage: Was hätte man dagegen unternehmen können und wie viel hätte das gekostet? Ganz grob gesagt hätten die Systeme auf dem neuesten Stand gehalten und gepatcht werden müssen, und es hätten E-Mail-Filter sowie Sicherheitsschulungen für die Nutzer stattfinden müssen. Nehmen wir an, dies hätte das Unternehmen zusätzlich 2.000.000 € pro Jahr an Ressourcen, Software und Ausrüstung gekostet, um die Auswirkungen des Angriffs auf ein vertretbares Maß zu begrenzen. Das sind nur 166.666 € pro Monat. Wenn man bedenkt, dass ihre Verluste in einem einzigen Monat 15.000.000 € überstiegen, ist das ein geringer Preis für Prävention.
Weitere hervorragende Ressourcen zu diesem Thema finden Sie in Ira Winklers Buch„Spies Among US“. Iras Gleichung weist dem Risiko einen monetären Wert zu, was sie zu einem guten Motivationsfaktor macht. Oder in Tony Uceda-Velez’ Buch„Risk Centric Threat Modeling“.
Zusammenfassend lässt sich sagen, dass Unternehmen sich stärker auf ihr tatsächliches Risiko konzentrieren und diesem einen monetären Wert zuweisen sollten. Es kommt viel zu häufig vor, dass Vorfälle wie das oben genannte Beispiel tatsächlich eintreten. Die Kosten können enorm sein – und waren es auch schon. Doch mit ein wenig Planung zur Prävention lassen sich viele dieser Vorfälle drastisch reduzieren. Bestimmte Dinge werden immer passieren, und es ist unmöglich, jeden einzelnen Angriff zu verhindern, aber es gibt viele Möglichkeiten, ihn frühzeitig zu erkennen und zu stoppen, bevor er zu schwerwiegend wird.
Die einzigen Menschen, die behaupten, sie könnten Ihnen vollständige Sicherheit bieten, sind Narren oder Lügner.“