Wer wartet, bis etwas passiert,überlässt die Initiative dem Angreifer!

„Schulungsvideos? Habe ich keine Zeit für.“ Ein Satz, den viele Unternehmer und Mitarbeitende kennen dürften. Gleichzeitig sind es oft genau jene Menschen, die wenige Tage später auf eine täuschend echte Phishing-Mail klicken und ungewollt sensible Daten preisgeben. Für Stefan Hopmann, Vorstand der Bauunternehmung Albert Weil AG, bringt dieser Widerspruch die größte Herausforderung der IT-Sicherheit auf den Punkt: Technik allein reicht nicht. Entscheidend sind die Menschen.

Dabei begann die intensive Beschäftigung mit dem Thema Cyber-Sicherheit bei der Albert Weil AG noch nicht einmal mit einem eigenen Vorfall. Auslöser war ein Vortrag eines befreundeten Unternehmers: Toni Kiesel, Geschäftsführer des gleichnamigen Baumaschinenhändlers, berichtete offen über einen schwerwiegenden Hackerangriff auf sein Unternehmen.

„Der Vortrag hat mich direkt getroffen“, erinnert sich Hopmann. „Ich kenne Toni, ich kenne das Unternehmen. Und ich dachte sofort: Das kann uns genauso treffen. Wir hatten bisher keinen Vorfall – aber das war nicht nur unser Verdienst, sondern auch Glück.“ Wir hatten bisher keinen Vorfall – aber bei einem Thema wie diesem verbietet sich das „Prinzip Hoffnung“. Besonders eindrücklich war für ihn die schnelle Vorgehensweise der Angreifer. Sie wählten den Morgen eines Feiertages, um sich zum ersten Mal Zugriff auf die IT-Infrastruktur der Kiesel GmbH zu verschaffen. Kurz nach Mitternacht dann begannen sie mit der Verschlüsselung – und das Drama nahm seinen Lauf. Für Stefan Hopmann war klar: Sich auf Glück allein zu verlassen, kann sich ein Unternehmen wie die Albert Weil AG nicht leisten. Der erste große Schritt war die Beauftragung eines professionellen Penetrationstests.

Externe Spezialisten versuchten dabei, kontrolliert in die Systeme des Unternehmens einzudringen – genauso, wie es echte Angreifer tun würden. Getestet wurden nicht nur Firewalls und Server. Auch Phishing-Mails, präparierte USB-Sticks, VPN-Zugänge und sogar das physische Betreten des Firmengeländes gehörten zum Prüfprogramm. Das Ergebnis umfasste einen rund 350 Seiten starken Bericht.

„Für den ersten Anlauf haben uns die Experten sinngemäß die Schulnote Zwei gegeben“, sagt Stefan Hopmann. „Darauf kann man aufbauen. Denn beim nächsten Mal wollen wir besser sein.“ Besonders positiv fiel auf, dass viele Mitarbeitende auf simulierte Phishing-Angriffe nicht hereinfielen. Ein Ergebnis, das auch auf frühere Sensibilisierungsmaßnahmen zurückzuführen ist. Gleichzeitig zeigte der Test Schwachstellen auf, die im Alltag kaum sichtbar gewesen wären – etwa bei internen Netzwerken oder der physischen Zutrittssicherheit. Sicherheit beginnt nicht in der IT-Abteilung Für Hopmann hat die Auseinandersetzung mit Cyber-Risiken eine zentrale Erkenntnis bestätigt: IT-Sicherheit darf nicht delegiert werden. Er sagt sehr deutlich: „Das Thema muss ganz oben aufgehängt sein. Als Vorstand muss ich wissen, wo wir stehen und wo wir handeln müssen.“ Deshalb wurde das Thema organisatorisch neu aufgestellt. Informationssicherheit, Datenschutz und Business Continuity Management werden inzwischen gemeinsam betrachtet. Gleichzeitig wächst die Bedeutung von Schulungen und Sensibilisierung. Neue Mitarbeitende werden bei Eintritt ins Unternehmen mit Sicherheitsrichtlinien vertraut gemacht. Weitere digitale Schulungsangebote und regelmäßige Unterweisungen befinden sich in Vorbereitung. „Natürlich bekommt man dafür nicht nur Applaus“, sagt Stefan Hopmann schmunzelnd.

„Viele denken zunächst: ‚Nicht schon wieder IT-Sicherheit.‘ Aber am Ende geht es darum, das Unternehmen, unsere Kunden und unsere Arbeitsplätze zu schützen.“ Wenn etwas passiert – was dann? Durch den Pentest beschäftigt sich die Albert Weil AG intensiv mit dem sogenannten Business Continuity Management (BCM). Dahinter steht die Frage: Was passiert eigentlich, wenn zentrale Systeme ausfallen? Wie werden Baustellen koordiniert? Wie funktioniert die Lohnabrechnung? Wie werden Lieferanten bezahlt? Wer entscheidet was – und in welcher Reihenfolge? Für Stefan Hopmann ist klar: „Wenn etwas passiert, müssen wir systematisch vorbereitet sein. Wir wollen im Ernstfall keinen Stuhlkreis bilden müssen, um zu beraten, was als Nächstes
zu tun ist.“

Derzeit entsteht dazu ein umfassendes Notfallhandbuch. Als nächster Schritt ist ein Planspiel vorgesehen – ein kontrollierter Stresstest, bei dem die Abläufe im Krisenfall praktisch erprobt werden. Denn der nächste Pentest wird kommen – auch um festzustellen, inwieweit etwaige Schwachstellen behoben worden sind. Mehr Ruhe durch mehr Wissen Rückblickend betrachtet Stefan Hopmann die vergangenen zwei Jahre als wichtige Investition: „Der Pentest war gut. Aber das Wichtigste ist etwas anderes: Wir sind heute deutlich ruhiger. Nicht weil wir glauben, unangreifbar zu sein. Sondern weil wir wissen, was wir tun müssen, wenn
etwas passiert.“

Und genau darin liegt vielleicht die wichtigste Botschaft dieses Projekts. Die Frage lautet längst nicht mehr, ob Unternehmen Ziel eines Angriffs werden können. „Ein Bauunternehmen, das 100 Baustellen koordiniert, ist genauso angreifbar wie eine Bank. Nicht ob, sondern wann man angegriffen wird, ist die eigentliche Frage“, erläutert Stefan Hopmann. Und deshalb versteht er den eingeschlagenen Weg nicht als Ausnahme, sondern als Konsequenz unternehmerischer Verantwortung.

„Wir haben Profis bezahlt, uns anzugreifen – damit wir wissen, wo wir stehen. Wer wartet, bis etwas passiert, überlässt die Initiative dem Angreifer.“