Kommentar: Top-Themen 2023: Cyberresilienz und Ransomware-Gesetzgebung

Eine Rückschau auf das IT-Jahr 2022 zeigt, dass Sicherheitsvorfälle, Datendiebstahl und Ransomware wieder für Schlagzeilen gesorgt haben. Zahlreiche Unternehmen wie beispielsweise Metro, Continental oder die Deutsche Presse-Agentur (dpa) waren betroffen. Keine Branche ist davor gefeit. Viele fragen sich derzeit, was das Jahr 2023 für die IT-Sicherheit bringt. Illumio geht davon aus, dass zwei Themen (neben anderen) auf jeden Fall eine wichtige Rolle spielen werden.

Der erste Trend ist, dass Cyberresilienz zum alleinigen Maßstab für den Erfolg von IT-Sicherheitsprogrammen wird. Das Weltwirtschaftsforum setzt sich schon seit langem für Cyberresilienz ein, doch im nächsten Jahr wird sie ganz oben auf der Tagesordnung der Vorstände stehen. Die Verhinderung von Sicherheitsvorfällen, also einem Breach des Perimeters, wird nicht länger Erfolgsmaßstab sein. Cyberresilienz wird zum Ziel, das alle Unternehmen erreichen wollen und müssen. Sie werden daran gemessen werden, ob und wie umfangreich sie Cyberresilienz erreicht haben. Während Unternehmen heute den Erfolg ihres Business-Continuity-Plans noch daran messen, ob sie innerhalb der Wiederherstellungszeit (Recovery Time Objective, RTO) bis zum Wiederherstellungspunkt (Recovery Point Objective, RPO) in der Lage sind, ihre IT vollständig wiederherzustellen, wird im Jahr 2023 jede Downtime inakzeptabel sein. Strenge Tests und die Entwicklung branchenweiter Messgrößen, die den Vergleich mit anderen Unternehmen erleichtern und Aufschluss darüber geben, wie „Erfolg“ aussieht, werden die Unternehmen dazu zwingen, ihre Risikobereitschaft zu überdenken und ein akzeptables Mindestmaß an Cyberresilienz zu erreichen, um Geldbußen, Gewinn- oder Reputationsverluste zu vermeiden.

Der zweite Trend ist, dass Regierungen und Unternehmen beginnen werden, effektivere Maßnahmen zur Eliminierung von Ransomware zu ergreifen. Eine Illumio Studie zeigt, dass mehr als zwei Drittel der deutschen Unternehmen, die Opfer von Ransomware geworden sind, gezwungen waren, Lösegeld zu zahlen. Diese Geldflüsse in die Schattenwirtschaft tragen zur Finanzierung weiterer Attacken und Kampagnen bei. Die einzige Möglichkeit, Ransomware auszumerzen, besteht darin, Lösegeldzahlungen vollständig zu stoppen. Wir haben bereits gesehen, dass Länder wie Australien ein Verbot von Ransomware-Zahlungen in Erwägung ziehen, und erwarten, dass die weltweiten Diskussionen darüber im Jahr 2023 fortgesetzt und intensiviert werden. Da Deutschland in Sachen Cybersicherheit noch Aufholbedarf hat, ist es unwahrscheinlich, dass im nächsten Jahr eine diesbezügliche Gesetzgebung eingeführt wird. Aber Cyberversicherungen werden zunehmend zögern, Zahlungen bei Ransomware-Angriffen zu leisten. Sie werden zudem versuchen, die Anspruchsvoraussetzungen für Policen zu verschärfen, und umfangreichere Maßnahmen zum Nachweis der Cyberresilienz (wie zum Beispiel ausreichende Segmentierung) einfordern.

Angreifer finden leider immer wieder neue Wege, um in die IT-Landschaft von Unternehmen einzudringen. Dies bestätigt auch ein Bericht des Bundesamtes für Sicherheit in der Informationstechnik (BSI). Unternehmen müssen diese neue Realität akzeptieren und ihre IT-Sicherheitsprogramme daran anpassen. Mit einem Zero-Trust-Ansatz hindern Unternehmen Angreifer und Ransomware daran, sich in ihrer IT-Umgebung zu bewegen – sie stoppen sie frühzeitig. Das ist Cyberresilienz: Ein einziger Cyberangriff darf nicht die Funktionsfähigkeit des gesamten Unternehmens bedrohen. Dank Cyberresilienz arbeiten Unternehmen trotz eines Cyberangriffs effektiv weiter. Und falls in Zukunft ein Verbot von Ransomware-Zahlungen kommt, betrifft das Unternehmen mit Cyberresilienz nicht, weil Ransomware bei ihnen keine Schäden anrichten kann.