Management von Cyberrisiken: 5 Schritte zur Risikobewertung

Das Management und die Minderung von Cyberrisiken ist für Unternehmen heute schwieriger als je zuvor. Cyberbedrohungen nehmen exponentiell zu, Hacker entwickeln quasi täglich raffiniertere Strategien. Was generative KI für die Cybersicherheit bedeuten wird, ist dabei noch gar nicht abzuschätzen. Hinzu kommt, dass Unternehmen immer stärker von Daten abhängig sind: Expertenschätzungen zufolge werden Cyberkriminelle allein in diesem Jahr mehr als 33 Milliarden Datensätze stehlen. 

Dabei sind IT-Teams angesichts der zunehmenden Abhängigkeit von Drittanbietern und Cloud-Services quasi gezwungen, komplexe Infrastrukturen zu nutzen, mit denen erhebliche Risiken einhergehen. Zudem gilt es, immer umfangreichere Gesetze und Bestimmungen zu erfüllen, die den Schutz vertraulicher Daten verbessern sollen. Denn Unternehmen haften für ihre Auftragnehmer und müssen somit also über ihre eigenen Risiken hinaus auch das Anbieterrisiko managen.

Vor dem Hintergrund dieser wachsenden Hindernisse gilt es für Unternehmen, stets für umfassende Cybersicherheit zu sorgen. Unabdingbar ist daher ein fortlaufendes Management von Cyberrisiken. Erst so lässt sich gewährleisten, dass Daten auch dann sicher bleiben, wenn sich Unternehmen und ihre Landschaften weiterentwickeln.

Im Folgenden gehen wir darauf ein, was ihr über das Management von Cyberrisiken wissen müsst, und zeigen die fünf wesentlichen Schritte zum Aufspüren, Priorisieren und Eindämmen externer Bedrohungen auf.

Wie wird das Management von Cyberrisiken definiert?

Im Kern geht es dabei darum, Bedrohungen für die Cybersicherheit strategisch aufzuspüren, zu priorisieren und zu beheben. Dabei wird sichergestellt, dass die wichtigsten Bedrohungen schnell eliminiert werden, indem sie entsprechend ihrer potenziellen Auswirkungen angegangen werden.

Cyberangriffe erfolgen nicht einfach per Zufall. Security-Fachleute wissen, wo sie nach Anzeichen für einen bevorstehenden Angriff suchen müssen. Einige der häufigsten Indikatoren sind:

• Erwähnungen des Unternehmens im Darknet
• Vertrauliche Daten wie Anmeldeinformationen für Benutzerkonten stehen zum Verkauf.
• Ähnliche Domainnamen werden für Phishing-Angriffe registriert.

Eine erste Bewertung ihrer Cyberrisiken führen zwar viele Unternehmen durch. Einen durchgängigen Prüfungsprozess inklusive entsprechender Praktiken implementieren sie jedoch nicht immer. Dies kann bedeuten, dass sie sich in falscher Sicherheit wiegen, wenn sich ihr Umfeld und Risikopotenziale verändern.

(Mehr über die Beziehung zwischen Schwachstellen, Bedrohung und Risiko findet ihr hier.)

Fortlaufendes Risikomanagement

Um Sicherheit kontinuierlich zu gewährleisten, ist ein fortlaufendes Risikomanagement unerlässlich. Hierzu sollten Admin-Teams immer auf dem Laufenden bleiben, wie die neuesten Angriffsmethoden für die einzelnen Netzwerkgeräte aussehen. Dementsprechend müssen sie Schutzmaßnahmen auf den aktuellen Stand bringen, um neue Hacking- oder Angriffstaktiken abzuwehren.

Damit die Sicherheit des Netzwerks gewährleistet werden kann, ist die Zusammenarbeit der gesamten Nutzerbasis eines Unternehmens erforderlich: Alle müssen sich bewusst sein, welche Verantwortung sie im Hinblick auf Sicherheitsrisiken tragen. Denn längst arbeiten die verschiedenen Abteilungen nicht mehr isoliert voneinander in Silos. Um Risiken effektiv managen zu können, braucht es daher einen einheitlichen, disziplinierten, koordinierten und konsistenten Lösungsansatz. Zu den wichtigsten Komponenten eines solchen Risikomanagements gehören:

• Implementierung stringenter Richtlinien und Lösungen zur Bewertung des Anbieterrisikos
• Aufdecken interner Schwachstellen, z. B. veraltete Software
• Identifizieren neuer Risiken, etwa im Hinblick auf neuartige regulatorische Prozesse
• Reduzierung von IT-Bedrohungen durch neue Richtlinien, Schulungsprogramme oder interne Kontrollen
• Testen des Sicherheitsniveaus
• Dokumentation der Prozesse für das Management von Anbieterrisiken

(Spezielle Frameworks geben euch effiziente Verfahren für das Risikomanagement an die Hand. Alles darüber erfahrt ihr hier.)

Die fünf Phasen der Bewertung eures Risikomanagements

Die Bewertung des Risikomanagements lässt sich in fünf Phasen aufgliedern.

1. Bestimmung des Prüfungsumfangs

Im ersten Schritt gilt es, den Gesamtumfang jeder Bewertung zu bestimmen. Ihr könnt zwar auch eurer gesamtes Unternehmen bewerten, aber für eine einzelne Bewertung wird dies in der Regel den Rahmen sprengen. Am besten beginnt man daher meistens mit einem bestimmten Standort, einer bestimmten Geschäftseinheit oder einem bestimmten geschäftlichen Aspekt. Beispiele für Bewertungsgegenstände sind einzelne Webanwendungen oder die Zahlungsabwicklung.

Unabdingbar für die Risikobewertung ist es, dass alle Stakeholder innerhalb des Prüfungsumfangs volle Unterstützung leisten. Ihr Beitrag ist in vielerlei Hinsicht von entscheidender Bedeutung:

1. Ermittlung der wichtigsten Prozesse und Assets
2. Ausmachen von Risikoherden
3. Bewertung der Auswirkungen jedes Risikos
4. Bestimmung, welches Maß an Risikotoleranz in Ihrem Unternehmen akzeptabel ist

Dies setzt voraus, dass alle mit den Begrifflichkeiten im Zusammenhang mit der Risikobewertung (z. B. Auswirkungen und Wahrscheinlichkeit) vertraut sind. So sind alle auf dem gleichen Stand, wenn es um die Bestimmung von Risiken geht. Dabei ist einmal entscheidend, dass ihr euch auf das Risikolevel festlegt. Außerdem müsst euch aber auch darüber im Klaren sein, dass es immer Risiken geben wird und es unmöglich ist, sie allesamt anzugehen – weder aus technischer Sicht noch im Hinblick auf den Ressourcenaufwand.

2. Erkennung von Risiken

Nachdem ihr den Umfang bestimmt und ein gemeinsames Verständnis entwickelt habt, geht es daran, die Risiken für euer Unternehmen zu ermitteln:

Erfassung von Assets

Ihr könnt nur das schützen, was ihr kennt. Daher solltet ihr eine Bestandsaufnahme sämtlicher logischen und physischen Assets vornehmen, die in den Umfang eurer Bewertung fallen. Und damit sind nicht nur die kritischen Geschäftsressourcen und wahrscheinlichen Angriffsziele gemeint. Vielmehr müssen darin alle Assets erfasst sein, die Angreifer ins Visier nehmen, um sich einen Kontrollpunkt für weitere Aktivitäten zu verschaffen. Dazu gehören etwa:

• Bildarchive
• Kommunikationssysteme
• Active Directory-Server

Anhand der Inventarliste eurer Assets solltet ihr ein Diagramm eurer Netzwerkarchitektur erstellen, um Kommunikationspfade ersichtlich zu machen und nachzuvollziehen, wie Prozesse und Assets miteinander verbunden sind. Weiter kann euch ein solches Diagramm dabei helfen, Eintrittswege in das Netzwerk aufzudecken und so Bedrohungen schneller zu erkennen.

(Bei diesem Schritt können euch Configuration Management Databases (CMDBs) unterstützen, auf die wir in diesem Artikel eingehen.)

Ermitteln von Bedrohungen

Als Bedrohung gelten alle Techniken, Taktiken oder Methoden, die verwendet werden, um die Assets eures Unternehmens zu schädigen. Hierzu stehen Bibliotheken und Ressourcen zur Verfügung, anhand derer ihr neue und potenzielle Bedrohungen für eure Assets ermitteln könnt. So bietet etwa die US-Behörde National Insider Threat Task Force (NITTF) eine Ressourcenbibliothek, in der sie aktuelle Daten zu den neuesten Bedrohungen aus ihrer Community erfasst.

Aufzeigen von Konsequenzen

Wie und in welcher Reihenfolge ihr auf Bedrohungen reagiert, sollte von zwei Faktoren abhängen:

• dem Schweregrad des Risikos
• dem Schweregrad der Folgen, die ein Risiko haben kann

Haltet hierzu fest, wie sich eine identifizierte Bedrohung auswirken kann, wenn böswillige Akteure die Schwachstelle ausnutzen. Drohen in einem solchen Fall beispielsweise Bußgelder, könnten Kundendaten gestohlen werden oder wird dadurch eurer Ruf geschädigt? Fasst die Konsequenzen in einfachen Szenarien zusammen, damit alle Beteiligten die Risiken im Zusammenhang mit den Geschäftszielen verstehen. So kann euer Security-Team die passenden Gegenmaßnahmen für die jeweilige Bedrohung bestimmen.

(Mit Splunk setzt ihr auf umfassende Transparenz und starkes Security-Monitoring für euer SOC..)

3. Analyse von Risiken und deren Auswirkungen

Gartner definiert ein IT-Risiko als „das Potenzial für ein ungeplantes, negatives Geschäftsergebnis, das den Ausfall oder Missbrauch der IT mit sich bringt“. Wie wahrscheinlich ist es, dass eure Schwachstelle von einer Bedrohung ausgenutzt wird, und wie schwerwiegend wären die Auswirkungen? Nach der Identifikation der Risiken gilt es, sie aus dieser Perspektive zu analysieren. Dabei müsst ihr bestimmen, wie wahrscheinlich es ist, dass die von euch identifizierten Risiken tatsächlich eintreten, und welche Auswirkungen sie auf euer Unternehmen haben würden.

Bestimmt das Risiko basierend darauf, wie wahrscheinlich es unter Berücksichtigung früherer Ereignisse ist, dass Cyberkriminelle die Bedrohung oder Schwachstelle ausmachen, ausnutzen und reproduzieren können. Unter den Auswirkungen ist das Ausmaß des Schadens zu verstehen, der für euer Unternehmen entstehen würde, wenn die Schwachstelle ausgenutzt würde. Die Auswirkungen sollten im Hinblick auf die Integrität, Vertraulichkeit und Verfügbarkeit in jedem Szenario beurteilt werden.

Dies ist jedoch eine subjektive Einschätzung. Für eine korrekte Bewertung ist es daher entscheidend, Input von Stakeholdern und Security-Fachleuten einzuholen. Bei eurer finalen Einschätzung solltet ihr die maximalen Auswirkungen zugrunde legen:

• Stuft die Wahrscheinlichkeit auf einer Skala von 1 (gering) bis 5 (sehr hoch) ein.
• Stuft Auswirkungen auf einer Skala von 1 (sehr schwer) bis 5 (vernachlässigbar) ein.

4. Priorisierung von Risiken

Nach Ermittlung der Risiken und der möglichen Auswirkungen eurer Schwachstellen könnt ihr diese priorisieren. Hierbei hilft eine Risikomatrix (eine kostenlose Online-Vorlage hierfür findet ihr hier). Darin könnt ihr Prioritäten für Maßnahmen definieren und sicherstellen, dass diese der Risikotoleranz entsprechen, die für euer Unternehmen akzeptabel ist.

Es gibt drei gängige Ansätze für den Umgang mit einem Risiko:

• Vermeiden: Stellt fest, ob das Risiko einer Aktivität deutlich höher ist als ihr Nutzen. In diesem Fall könnt ihr die Aktivität einstellen und so jede Bedrohung beseitigen, die damit einhergeht.
• Übertragen: Durch Outsourcing könnt ihr euer Risiko mit einer Drittpartei teilen. So könnt ihr etwa mit einer Cyber-Versicherung oder DDoS-Abwehr vermeiden, dass ihr die Bedrohung alleine bewältigen müsst. Dadurch könnt ihr zwar das finanzielle Risiko verringern, doch immaterielle Kosten wie Rufschäden kann auch eine Versicherung nicht abdecken.
• Entschärfen: Durch spezifische Maßnahmen lässt sich das Risikolevel auf ein akzeptables Maß senken. Stellt hierzu ein geeignetes Team zusammen, das mit der Ausgestaltung von Maßnahmen zur Reduzierung hoher Risiken betraut ist.

Ausnahmslos alle Risiken werden sich jedoch auch dann nicht ausschließen lassen. Ein Restrisiko, das die Stakeholder für eure Cybersecurity-Strategie akzeptieren müssen, bleibt immer.

(Eine weitere Möglichkeit ist ein spezieller Risikomanagementansatz für Drittparteien.)

5. Dokumentation von Risiken

Entscheidend ist, dass sämtliche Risiken in einem Risikoregister dokumentiert werden. Da das Risikomanagement fortlaufend ist, sollte es regelmäßig überprüft werden, um alle aktuellen Cybersicherheitsrisiken widerzuspiegeln. In eurem Risikoregister solltet ihr etwa folgende Aspekte festhalten:

• Risikoszenarien
• Datum, an dem ein Risiko identifiziert wurde
• Alle aktuellen Sicherheitskontrollen
• Plan zur Risikoeingrenzung
• Aktuelles Risikolevel
• Stand der Fortschritte
• Restrisiko
• Verantwortliche für den Umgang mit einem Risiko

Mit Risikomanagement zu nachhaltiger Sicherheit

Risikomanagement ist ein weitreichendes Unterfangen, das kontinuierlichen Einsatz erfordert. Es braucht Ressourcen, Mühen und Zeit, um Cyberrisiken so zu managen, dass die Sicherheit eures Unternehmens nachhaltig gewährleistet bleibt. Angesichts immer neuer Cyberbedrohungen und neuer Systeme, Aktivitäten und Regularien, mit denen die IT konfrontiert ist, trägt eine kontinuierliche Bewertung dazu bei, das Risiko eines Cyberangriffs mit negativen Auswirkungen auf die Geschäftsziele eures Unternehmens zu reduzieren.

Da Unternehmen immer anfälliger für Angriffe werden, ist ein Prozess für durchgängiges Monitoring unerlässlich, um Risiken einzugrenzen und potenzielle Bedrohungen abzuwehren.