Cybersicherheit für Unternehmen

Cybersicherheit für Unternehmen: Definition

Cybersicherheit für Unternehmen bezeichnet den Schutz von IT-Systemen, Netzen und Daten vor Angriffen aus dem Netz sowie die Fähigkeit, nach einem Vorfall den Betrieb wieder aufzunehmen. Der Begriff umfasst technische Maßnahmen, organisatorische Regeln und geschultes Personal. Abzugrenzen ist er vom Datenschutz, der die Rechte betroffener Personen regelt und nicht die Abwehr von Angriffen.

Was heißt Cyber?

Der Wortteil stammt aus dem Griechischen und bedeutet ursprünglich steuern. Im heutigen Gebrauch bezeichnet er alles, was über vernetzte Systeme läuft, also Angriffe, Abwehr und Schäden im digitalen Raum. Der Begriff sagt nichts über die Schwere eines Vorfalls, weshalb Cyber Security in Verträgen und Richtlinien immer über konkrete Schutzziele beschrieben wird, nicht über das Schlagwort.

Welche Bedrohungen im Vordergrund stehen

Die häufigsten Cyberbedrohungen sind erpresste Verschlüsselung von Daten, das Abfangen von Zugangsdaten über gefälschte Nachrichten und der Missbrauch offener Schnittstellen. Hinzu kommen Angriffe über Zulieferer und über Bausteine fremder Herkunft in eigener Software. Der teuerste Fall ist selten der spektakulärste, sondern der unbemerkte. Wochenlang unentdeckter Zugriff richtet mehr Schaden an als ein sichtbarer Ausfall. Zu den jüngeren Angriffsarten zählt die Prompt Injection in Anwendungen mit Sprachmodellen.

Rechtlicher Rahmen

Für viele Unternehmen ist Cybersicherheit keine freiwillige Übung mehr. Die europäische Richtlinie NIS-2 verpflichtet betroffene Einrichtungen zu Risikomanagement, Meldewegen und Nachweisen, mit persönlicher Verantwortung der Leitungsebene. Nicht die Größe allein entscheidet über die Betroffenheit, sondern Sektor und Rolle in der Lieferkette. Zusätzlich gelten Anforderungen aus Produktrecht und Vergabeverfahren.

Woran Maßnahmen scheitern

Technik ist selten der Engpass. Die häufigsten Ursachen für erfolgreiche Angriffe sind fehlende Übersicht über die eigenen Systeme, Konten mit zu weitreichenden Rechten und Aktualisierungen, die aus Angst vor Ausfällen aufgeschoben werden. Dazu kommt ein Notfallplan, der nie geprobt wurde und im Ernstfall nicht auffindbar ist. Cyberbedrohungen treffen deshalb bevorzugt Organisationen, die ihre Maßnahmen dokumentiert, aber nie getestet haben. Eine jährliche Übung mit abgeschalteten Hauptsystemen deckt mehr Lücken auf als ein weiteres Werkzeug.

Abgrenzung zur IT-Sicherheit

Beide Begriffe werden häufig gleichbedeutend verwendet. IT-Sicherheit ist der weitere Begriff und schließt Schutz vor Feuer, Diebstahl und Bedienfehlern ein, Cybersicherheit für Unternehmen beschränkt sich auf Bedrohungen aus dem Netz. Praktisch trennt das nur die Herkunft der Gefahr, nicht das Vorgehen. Den geordneten Aufbau von Zuständigkeiten, Maßnahmen und Nachweisen beschreibt das IT-Sicherheitsmanagement. In Ausschreibungen tauchen beide Begriffe nebeneinander auf, gemeint ist dann meist der weitere. Wer ein Angebot prüft, achtet deshalb auf die aufgezählten Schutzziele und nicht auf die Überschrift.