Splunk Lagebericht Security 2024 Compliance hat im Mittelstand oft Vorrang vor IT-Sicherheit

Anbieter zum Thema

Splunk Services Germany GmbH

Pathlock Deutschland GmbH

Arctic Wolf Networks Germany GmbH

Neue Vorschriften, Richtlinien und Gesetze. Cybersecurity-Experten sind sich sicher: Das wird unsere Arbeitsweise verändern! So stimmen 87 Prozent der Befragten für Splunks State of Security Report 2024 zu, dass sie in einem Jahr ganz anders mit Compliance umgehen werden.

Obwohl Compliance und Cybersicherheit keineswegs widersprüchlich sind, können die (unbeabsichtigten) Folgen darin bestehen, dass ein Programm für ein anderes geopfert wird. 86 Prozent der für SpCISOlunks Lagebericht Security 2024 Befragten geben an, dass ihr Unternehmen Budgets umschichtet – Compliance-Vorschriften haben vor Best Practices für die Sicherheit oftmals Vorrang. Ganz besonders im Mittelstand.

Im Mittelstand ist ein Umdenken nötig

Mittelständler und Familienunternehmer sind in der Regel das schwächste Glied in der digitalen Kette unserer Wirtschaft. Daher ist die Notwendigkeit konsequenter Investitionen in die IT-Sicherheit hier von großer Bedeutung.

Wird ein mittelständisches Unternehmen gehackt, ist es für den Cyber-Angreifer oft einfach, über Phishing-Mails von vertraulichen E-Mail-Adressen in ein Großunternehmen einzudringen. Mittelständler sind daher oft das „Einfallstor“ für Cyber-Angriffe auf große Unternehmen oder der Zugang zu kritischen Infrastrukturen.

Mittelständler und Familienunternehmer, die sehr sensibel auf Kosten schauen, müssen die IT-Sicherheitsausgaben mindestens den Ausgaben für die physische Sicherheit (Pförtner, Tore, Schlüssel und Zutrittssysteme) gegenüberstellen. Schon allein, um ein Bewusstsein für die Situation zu schaffen. Noch immer wird viel Wert auf die physische Sicherheit gelegt, nicht aber auf die digitale. Ein Umdenken ist notwendig.

Eine Frage der Haftung

Die Antworten der Splunk-Umfrage untermauern die Erkenntnisse des CISO-Reports von Oktober 2023, in dem 84 Prozent der Befragten Bedenken hinsichtlich der persönlichen Haftung in Bezug auf Cybersicherheitsvorfälle äußerten. 84 Prozent der CISOs gaben außerdem an, dass ihre Vorgesetzten hohe Sicherheit mit der Einhaltung gesetzlicher Vorschriften und nicht mit traditionellen Erfolgskennzahlen gleichsetzen. Es ist nicht schwer zu verstehen, warum.

Neue Regeln in den USA verlangen von der „Securities and Exchange Commission“ (SEC), alle „wesentlichen" Cybersicherheitsvorfälle offenzulegen und zu beschreiben. Jährlich soll es zum Austausch der Informationen ihrer Risikomanagement-Programme kommen. Informationen zu ihren Risikomanagement-Programmen müssen jährlich ausgetauscht werden. Die Folgen für Unternehmen, die sich nicht an die Vorgaben halten, reichen bis zu Gefängnisstrafen für Führungskräfte. Die NIS2-Richtlinie der Europäischen Union verlangt von Unternehmen zudem, dass sie in der Lage sind, schnell auf schwerwiegende Vorfälle zu reagieren, insbesondere diese zu melden und Informationen darüber bereitzustellen. Auch hier gilt: Führungskräfte, die zuwiderhandeln – aus welchen Gründen auch immer – können bei Verstößen persönlich haftbar gemacht werden.

Für Sicherheitsexperten ist das eine ernstzunehmende Zwickmühle. Denn wenn sie den Schaden unterschätzen, drohen Betrugsvorwürfe sowie mögliche Sperren und hohe Bußgelder für das Unternehmen. Überschätzen sie das Geschehen, kann es zum Absturz des Aktienkurses und allgemeinem Misstrauen von außen führen. Ein moralisches Dilemma!

Natürlich sind klare Regeln und Regulierung heute eine unbestreitbare und tragende Säule der Sicherheitsstrategie. Simulationsübungen können Unternehmen einerseits dabei helfen, Lücken aufzudecken und zu schließen. Gleichzeitig sind sie ein Beleg für die Aufsichtsbehörden, dass das Unternehmen in kontinuierliche Optimierung investiert. Das ist im Interesse jedes Unternehmens.

Es gab eine Zeit, in der Compliance weitgehend eine transaktionale Funktion war. Compliance-Teams arbeiteten oft irgendwo im Verborgenen, ohne Austausch mit anderen Unternehmensbereichen. Dadurch herrschte wenig Verständnis – auf beiden Seiten. Heute kann man sich der Vorschriften nicht mehr verschließen, schon allein im Hinblick auf die Folgen. Im Oktober 2023 erhob die SEC beispielsweise Anklage gegen den CISO von SolarWinds wegen Betrugs und Versäumnissen bei internen Kontrollen, die zu dem verheerenden Cyberangriff im Jahr 2020 führten. Der Vorwurf: Er habe die Aktionäre über die Cybersicherheit des Unternehmens getäuscht. Der Fall zeigt, dass der Austausch zwischen dem Vorstand, der Rechtsabteilung sowie den Compliance- und Sicherheitsteams essenziell ist. Zusammenarbeit liegt im Interesse aller. Daher intensivieren laut unserem Bericht 91 Prozent die Sicherheitsschulungen für Rechts- und Compliance-Teams.

Unternehmen müssen gründlich darüber nachdenken, wer im Fall der Fälle haftet, wie groß die Strafen sein werden und wie hoch der Reputationsverlust, wenn es zu Verstößen kommt – nicht erst, wenn der Fall eingetreten ist.

Die Anklage gegen SolarWinds war ein Wendepunkt – das erste Mal, dass die SEC einen CISO im Zusammenhang mit einem Cybersicherheitsvorfall anklagte. Als Folge des Falles begann weltweit ein Umdenken in Bezug auf Cybersicherheit und Rechenschaftspflicht. Und das ist von entscheidender Bedeutung, da Cyber-Risiko mittlerweile eindeutig mit Geschäftsrisiko gleichgesetzt wird.

Ein wichtiger Punkt in der Flut neuer, auch globaler Vorschriften: Sicherheitsteams müssen Vorfälle schneller melden. Die NIS2-Richtlinie der EU verlangt eine Frühwarnung binnen 24 Stunden und eine vollständige Meldung binnen 72 Stunden, während die SEC mit bis zu vier Werktagen etwas mehr Spielraum lässt. Dennoch schrumpfen die Fristen – eine Entwicklung, die Experten mit Argwohn beobachten.

Mehr Verantwortung wird sicherlich zu mehr Sicherheit führen. Allerdings könnte es auch eine abschreckende Wirkung auf angehende Fachkräfte haben. Immerhin 76 Prozent stimmen zu, dass das Risiko der persönlichen Haftung dazu führt, dass Cybersicherheit weniger attraktiv ist.

Über den Autor: Matthias Maier ist Security Market Advisor bei Splunk.

(ID:50026833)