Die Wirtschaftsprüfer und die Cybersecurity

IT-Security. Cyberkriminalität ist in aller Munde. Rund 70 Prozent aller Unternehmen waren laut Schätzhungen bereits betroffen, wenn auch oft unbemerkt, so SOT.

Und doch seien wichtige Sicherheitsvorkehrungen immer noch nicht auseichend implementiert. Wie man sich vor Angriffen schützen kann und welche Maßnahmen nötig sind, das wurde in einer Gesprächsrunde im Rahmen des 7. SOT Frühjahrsgesprächs in der Österreichischen Kontrollbank in Wien, diskutiert.

Das Problem

„Auf der Metaebene wurde schon viel über Cyberkriminalität referiert, für die praktische Umsetzung hilft das aber wenig. Mit unserer Veranstaltung wollen wir Unternehmerinnen und Unternehmern aufzeigen, welche Maßnahmen nötig sind, um Einfallstore für Cyberkriminalität möglichst zu schließen“, so Friedrich Spritzey, Partner der SOT Süd-Ost Treuhand Libertas Intercount & SOT Süd-Ost Treuhand Graz und Veranstalter der SOT Frühjahrsgespräche.

Denn Hackerangriffe und Sabotagefälle nehmen jährlich stark zu, gerade KMUs bieten Angriffsflächen, weil sie noch nicht richtig auf diese neue Gefahr eingestellt sind, wie es heißt.

„Werte wie Vertraulichkeit, Verfügbarkeit und Integrität, müssen geschützt werden. Und diese Werte betreffen nicht nur die Technik. Im Jahr 2017 wurden alleine in den geläufigsten Anwendungen, die wir alle tagtäglich nutzen, 1.100 Schwachstellen festgestellt“, so Walter J. Unger, Oberst des Generalstabsdienstes & Leiter der Abteilung Cyber Defence im BMLVS.

Im Rahmen seiner Keynote betonte Unger zudem, dass viele Unternehmen übersehen, dass sie sich nicht nur vor einem Angriff von außen schützen müssen. Mit 62 Prozent seien aktuelle oder ehemalige Mitarbeiter, unter allen Verursachern, am häufigsten für Sicherheitsprobleme verantwortlich.

Es könne jeden treffen – und der Schutz eines Unternehmens müsse daher Chefsache sein. Je vernetzter gearbeitet wird, desto mehr müsse man sich dessen annehmen und Verschlüsselungen überprüfen. Denn ein Schaden kann schnell zur Existenzfrage werden.

„Im Ernstfall merkt man rasch, wie sehr man auf die IT angewiesen ist“, so Unger weiter und ergänzt: „Durch die allgegenwärtige, dichte Vernetzung sind auch neue Abhängigkeiten entstanden – ohne dass uns das tagtäglich bewusst ist. Sicherheit muss in diesem Zusammenhang umfassend und über Organisationsgrenzen hinaus gedacht werden.“

Es droht die DSGVO

Wolfgang Helpa, CEO Helpa Partners GmbH & Initiator des Netzwerks Corporate Security Alliance, empfiehlt ein ganzheitliches Sicherheitsmanagement. Dabei könne auch ein selbst beauftragter Hackerangriff von außen hilfreich sein, um Schwachstellen zu identifizieren.

Helpa erinnert die über 100 Anwesenden an die DSGVO (Datenschutzgrundverordnung), die bis Mitte Mai in jedem Unternehmen implementiert sein muss, und mahnt, diese nicht auf die leichte Schulter zu nehmen. „Wer dann nicht nachweisen kann, dass er die gespeicherten personenbezogenen Daten ordnungsgemäß schützt, und eine bekannte Sicherheitslücke nicht schließt, handelt fahrlässig, mit allen dazugehörenden Konsequenzen“, so Helpa.

Die strukturierte Umsetzung der neuen Anforderungen helfe dabei Sicherheitsschwachstellen zu erkennen und rechtzeitig zu beseitigen. Eine entsprechende Schulung der Mitarbeiter sei dabei ein wichtiger Faktor.

Ein umfassendes Konzept?

Jedem Unternehmer müsse klar sein: Gezielte Vorbereitung kann Cyberangriffe abwehren. Die Identifikation von Schadsoftware, der Schutz von Geräten und Netzwerken, sowie eine professionelle Vorgehensweise der IT- Fachleute bilden die Basis.

Darüber hinaus brauche es zeitgemäße Lösungen für Back-ups und Datenwiederherstellung. Und vor allem einen sicheren Umgang mit Laptops und Smartphones. Sich in ein öffentliches WIFI einzuloggen ist dabei ein absolutes No-Go. „Da können wichtige Codes und Daten unbemerkt abgesaugt werden“, warnt Walter J. Unger.

Gegen Cyberangriffe kann man sich auch versichern lassen. „Es gibt Versicherungslösungen, die Cyberschäden zumindest zum Teil abdecken können“, so Gabriele Zsitek, Senior Specialist Financial Lines der Funk International Austria GmbH.

Maßgeschneiderte Deckungskonzepte, die sowohl das unachtsame als auch das vorsätzliche Fehlverhalten von Mitarbeitern abdecken, seien empfehlenswert, damit Cyber-Schäden, die nicht durch kriminelle Dritte verursacht werden, auch abgedeckt sind. „Je umfassender die Sicherheitskonzepte eines Unternehmens ausgestaltet sind, desto günstiger wird auch die Polizze sein“, so Zsitek.

Die Haftung der Chefs

Unterschätzt werde auch gerne die Haftung der Leitungsorgane von Unternehmen, denn diese seien verpflichtet adäquate Maßnahmen, im Rahmen des Risikomanagements, gegen Cyberangriffe zu setzen, so Spritzey, der auch Aufsichtsräte in der Pflicht sieht: „Durch die Datenschutzgrundverordnung (DSGVO) wird diese Haftungsfrage noch verschärft werden und damit hoffentlich verstärkt ins Bewusstsein rücken.“

Derzeit werde die Umsetzung der DSGVO aber noch nicht wirklich ernst genommen. „Der Schutz der Daten und die Rechenschaft darüber stehen im Vordergrund. Erleidet ein Unternehmen einen Cyberangriff, dann muss dieser gemeldet werden, wenn die Datensicherheit davon betroffen ist. Wer nicht rechtzeitig die DSGVO implementiert hat, wird dann aber ein Problem haben“, warnt auch Wolfgang Helpa und verweist darauf, dass die menschliche Schwäche auszunutzen zumeist der einfachste Weg für Hacker ist.

Moderatorin Karin Keglevich-Lauringer (Special Public Affairs) fasste die Veranstaltung wie folgt zusammen: Wer sein Betriebssystem – welches auch immer – permanent durch Updates auf dem neuesten Stand hält, Daten verschlüsselt ablegt und sich an die DSGVO hält, sowie Firewalls und ein Antivirenprogramm installiert hat, der habe – zumindest ein Mindestmaß an Vorsicht walten lassen.

Link: SOT