Cybersicherheit beginnt vor dem Hacker-Angriff

Ein Hacker-Angriff? Das ist was für die Großen. Wer als Unternehmer so denkt, hat ein Problem. Vor ziemlich genau zwei Jahren wurde eine Münchener Apotheke buchstäblich über Nacht berühmt: Die Monitore im Schaufenster zeigten statt der üblichen Empfehlungen für Arznei- oder Pflegemittel stundenlang Pornofilme. Was war passiert? Hackern war es gelungen, in das Netzwerk der Apotheke einzudringen und – quasi als sichtbares Zeichen ihres Erfolgs – die Fernseher zu kapern. Schlimm genug, mag man denken: Für den Ruf ist ein solcher Zwischenfall nicht gerade förderlich. Doch für die Besitzerin der Apotheke, die von der Polizei alarmiert wurde, ging der Albtraum auch tagsüber weiter. Denn die Angreifer hatten sich nicht nur einen üblen Scherz erlaubt, sondern auch noch das elektronische Bestellsystem des Ladens komplett lahmgelegt. Die Bilanz: Reputationsverlust, Betriebsausfall, Wiederherstellungskosten.

In seiner Außenwirkung mag der beschriebene Fall nicht alle Tage vorkommen. Daraus zu schließen, es handele sich um einen bedauerlichen Einzelfall, ist jedoch so menschlich wie grundfalsch. In einer aktuellen Forsa-Studie zu Cybercrime schätzt zwar knapp die Hälfte der befragten Apotheker das Risiko der Branche, Opfer eines Hacker-Angriffs zu werden, als hoch bis sehr hoch ein. Wenn es jedoch um ihren eigenen Laden geht, schrumpft diese Gruppe auf ein Viertel (s. AZ 2018, Nr. 39, S. 5). Dieses Phänomen beobachten wir natürlich nicht nur beim Berufsstand der Apotheker. Es zieht sich quer durch alle Branchen: Mich wird es schon nicht treffen. Eine fatale Annahme; denn – auch das belegt die Umfrage – gut jede zehnte Apotheke ist bereits einmal oder sogar mehrmals ins Visier von Cyberkriminellen geraten.

Zu kleine Betriebe gibt es für Hacker nicht

Für Internetkriminelle gibt es kein zu klein. Selbstverständlich sehen Cyberattacken auf Großunternehmen oder Konzerne oft anders aus als auf Klein- und mittelständische Unternehmen. Was aber gleich ist: Hacker sind Diebe, sie haben es auf Daten abgesehen, die sie zu Geld machen können. Entweder indem sie sie an andere Kriminelle im Darknet weiterverkaufen – bei sensiblen Gesundheitsdaten verspricht das ebenso lukrativ zu sein wie bei schnöden Bank- und Kreditkartendaten. Oder aber sie verkaufen sie an denjenigen zurück, dem sie sie gestohlen haben. Sogenannte Krypto-Trojaner verschlüsseln die Daten auf dem Server der Apotheke – und geben sie gegen Zahlung eines Lösegeldes wieder frei.

Wohl dem, der in einem solchen Fall wichtige Daten fortlaufend auf Datenträgern ablegt, die nicht an ein Netzwerk angeschlossen sind. Wie der Inhaber einer Apotheke im niedersächsischen Wolfsburg. Als er vor rund zwei Jahren feststellte, dass Dateien von seinem Firmencomputer verschwunden waren, hatte er Glück im Unglück. Die Angreifer, die kurz darauf per E-Mail ein Lösegeld für die verschlüsselten Daten forderten, hatten nach Angaben des Apothekers lediglich harm­losen Schriftverkehr erbeutet. Wichtige Dateien – unter anderem mit sensiblen Kundendaten – hatte er, nicht zugänglich über das Netz, auf Servern gespeichert.

Die Digitalisierung verändert die Geschäftswelt rasant und bietet viele Chancen. Sie kann den Kundenkontakt deutlich verein­fachen und individueller gestalten sowie Abrechnungssysteme, Lagerhaltung und die Kommunikation etwa mit den Krankenkassen revolutionieren. Zugleich und gerade deshalb wächst Cyberkriminalität rasant und ist inzwischen milliardenschwer. Eine Cyberversicherung kann deshalb für viele sinnvoll sein, um die wirtschaftlichen Folgen einer Attacke zu begrenzen. Das Wiederherstellen verlorener Daten, das Reinigen und Neuaufsetzen der Systeme, die Kosten des Betriebsausfalls und der Krisenkommunika­tion: Eine Cyberversicherung zahlt eine verein­barte Entschädigung, wenn eine Attacke den Geschäftsbetrieb ganz oder teilweise zum Erliegen bringt. Das gilt übrigens auch dann, wenn durch den Angriff Dritte geschädigt wurden, etwa wenn Kriminelle sensible Kundendaten gestohlen haben.

Unterschätztes Risiko kann zu Fehlentscheidung führen

Je nach Umfang sind Schäden im sechsstelligen Bereich schon bei Mittelständlern keine Seltenheit. Nicht zuletzt weil sich Versicherer als Sicherheitspartner ihrer Kunden sehen, ist eine Cyberpolice mehr als eine reine Schadenver­sicherung: Weil nach einem Angriff jede Minute zählt, um die Auswirkungen zu begrenzen, und weil auch die Rechte von Dritten berührt sein können, bietet sie zugleich wichtige Serviceleistungen. Die helfen gerade kleineren Unternehmen, denen das entsprechende Know-how oft fehlt. Denn mit dem unterschätzten Risiko gehen bei vielen kleinen Unternehmen Fehlentscheidungen bei der Prävention einher. Wer seinen Schutz an der gefühlten statt an der tatsächlichen Gefahr ausrichtet, wähnt sich schon mit Virenscanner und Firewall ausreichend gewappnet. Ohne die richtige Prävention kann jedoch den Unternehmen auch kein guter ­Cyber-Versicherungsschutz angeboten werden. Dabei gilt: Sicherheit ist kein Zustand – sondern ein sich fortwährend entwickelnder Prozess. |