Der Umgang mit Cyberkrisen will geübt sein

Der Jurist Dr. Marco Gercke berät große Konzerne und Regierungen zu Cyberkrisen. Außerdem lehrt er als Honorarprofessor an der Universität zu Köln. In seiner Keynote zur diesjährigen it-sa wird er in einer Simulation zeigen, welche Folgen Entscheidungen in einer komplexen Cyberkrise haben können und was für eine optimale Entscheidungsfindung notwendig ist. Im Interview klärt er über typische Probleme in solchen Lagen auf.

Inhaltsverzeichnis

• Werdegang
• Wiederkehrende Probleme
• Lücken in der Strategie
• Die Simulation auf der it-sa
• Do's and Don'ts
• KI verändert die Bedrohungslage

Sie beraten große Konzerne sowie Regierungen und waren im Auftrag verschiedener internationaler Organisationen wie NATO oder UNO unterwegs. Wie war Ihr Werdegang dorthin?

Dr. Marco Gercke: Ich habe Jura und Wirtschaftswissenschaften studiert, zwei Unternehmen gegründet und anschließend über Internetkriminalität promoviert. Ende der 1990er Jahre war das insbesondere in der Rechtswissenschaft noch ein sehr junges Forschungsgebiet.

Meine Dissertation gehörte zu den ersten wissenschaftlichen Arbeiten in Deutschland, die sich intensiv mit diesem Thema beschäftigten. Im Rahmen der Arbeit an meiner Habilitation ergaben sich Einladungen zu Fachkonferenzen und Veranstaltungen internationaler Organisationen wie der Vereinten Nationen. Damals gab es weltweit nur eine vergleichsweise kleine Zahl von Experten, die sich wissenschaftlich mit Internetkriminalität beschäftigten.

Später habe ich unter anderem die Deutsche Telekom beraten und als Experte für den Europarat gearbeitet sowie Forschungsprojekte für die Europäische Kommission durchgeführt. Ein Schwerpunkt meiner Arbeit verlagerte sich dabei zunehmend auf die Frage, wie Entscheidungsträger – etwa Vorstände, Geschäftsführer oder Minister – auf Cyberkrisen vorbereitet werden und unter erheblichem Zeitdruck tragfähige Entscheidungen treffen können.

Treffen Sie bei Ihren Klienten auf Probleme, die sich gleichen, immer wiederholen?

Dr. Marco Gercke: Ja. Ein grundlegendes Problem besteht darin, dass die Rolle der obersten Führungsebene in einer Cyberkrise häufig nicht hinreichend definiert ist. Für CISOs und IT-Leiter existieren technische Standards und etablierte Prozesse. Für Vorstände und Geschäftsführer gibt es einen vergleichbaren Orientierungsrahmen vielfach nicht.

Hinzu kommt eine Besonderheit von Cyberkrisen – Entscheidungen müssen häufig getroffen werden, bevor der Sachverhalt vollständig bekannt ist. Trotzdem können diese Entscheidungen erhebliche und teilweise irreversible Konsequenzen haben.

Das Abschalten eines Systems kann beispielsweise sinnvoll sein, aber auch dazu führen, dass ein geschäftskritischer Prozess für Tage ausfällt. Ähnliches gilt für Lösegeldzahlungen: Wer unter Zeitdruck zahlt und erst anschließend feststellt, dass der Empfänger auf einer Sanktionsliste steht, mag ein Problem gelöst aber ein zusätzliches rechtliches Problem geschaffen haben.

Die Herausforderung besteht deshalb darin, auch unter Unsicherheit strukturiert zu entscheiden und irreversible Fehlentscheidungen möglichst zu vermeiden.

Betrachtet man die Cybersecurity-Strategie von Unternehmen, was fehlt darin oft oder was wäre wichtig?

Dr. Marco Gercke: Viele Unternehmen verfügen heute über umfangreiche Cybersecurity-Konzepte. Entscheidend ist aber, ob diese denjenigen tatsächlich helfen, die im Ernstfall entscheiden müssen. Ein mehrere hundert Seiten umfassendes Krisenhandbuch kann fachlich hervorragend und trotzdem für einen Vorstand, der innerhalb weniger Minuten entscheiden muss, wenig hilfreich sein.

Wichtig ist deshalb die Perspektive der Führungsebene: Welche Entscheidungen können auf mich zukommen? Welche Informationen benötige ich dafür? Wer muss einbezogen werden? Welche Ressourcen stehen zur Verfügung?

Und welche Grundsatzfragen können wir bereits vor einer Krise beantworten? Nicht jede Entscheidung lässt sich vorwegnehmen. Aber Entscheidungsprozesse lassen sich vorbereiten. Je mehr davon im Vorfeld geklärt wurde, desto größer ist in der Krise der Handlungsspielraum.

(Anm. der Red.: Welche strategischen Lücken Unternehmen beim Umgang mit schweren Sicherheitsvorfällen regelmäßig übersehen, zeigt der Beitrag Cyber-Katastrophen verhindern und bewältigen.)

In Ihrer Keynote zur it-sa wird es eine Simulation zu Incident Response beziehungsweise Notfall-Management geben. Was ist das Ziel dieser Übung, was wollen Sie dem Publikum vermitteln?

Dr. Marco Gercke: Die Simulation, die wir auf der it-sa einsetzen, basiert auf einem Format, das wir normalerweise mit Vorständen großer Unternehmen oder Entscheidungsträgern im öffentlichen Sektor durchführen. Das Publikum wird einen Cyberangriff nicht lediglich beobachten, sondern selbst Teil der Krisenbewältigung werden und Entscheidungen treffen müssen.

(Anm. der Red.: Wie ein solches Format in der Praxis ablaufen kann, zeigte zuletzt die Session Ransomware Wargame – Simuliertes Planspiel als Vorbereitung auf den Ernstfall der it-sa EXPO & Congress.)

Wie in einer realen Cyberkrise entwickelt sich die Situation dynamisch. Informationen treffen sukzessive ein, sind teilweise unvollständig oder widersprüchlich, und während eine Entscheidung getroffen wird, verändert sich die Lage bereits wieder.

Dabei gibt es häufig keine offensichtlich richtige Lösung. Soll beispielsweise ein angegriffenes System abgeschaltet werden? Das kann einen weiteren Datenabfluss verhindern, zugleich aber einen geschäftskritischen Prozess unterbrechen.

Bei solchen Simulationen beobachten wir regelmäßig, dass Entscheidungen anfangs schnell und mit großer Sicherheit getroffen werden. Im weiteren Verlauf werden die Teilnehmer deutlich vorsichtiger. Sie erleben unmittelbar, wie schwierig Führung wird, wenn Informationen fehlen, Zeitdruck entsteht und die eigenen Entscheidungen neue Konsequenzen auslösen.

Existieren bestimmte Do's and Don'ts in Notsituationen? Beziehungsweise Verhaltensregeln oder Best-Practices, auf die man zurückgreifen kann?

Dr. Marco Gercke: Der wichtigste Grundsatz lautet: Die entscheidende Arbeit beginnt vor der Krise. Piloten trainieren Notfallsituationen und arbeiten mit Checklisten, weil unter Stress die Gefahr besteht, wichtige Schritte zu übersehen. Ein vergleichbares Prinzip gilt für Cyberkrisen.

Dazu gehören auf die Organisation zugeschnittene Notfallpläne, klar definierte Verantwortlichkeiten und vorbereitete Entscheidungsprozesse. Besonders wichtige Grundsatzfragen sollten möglichst im Vorfeld diskutiert werden.

Gleichzeitig darf Vorbereitung nicht mit Starrheit verwechselt werden: Keine Cyberkrise verläuft exakt nach Plan. Ein Notfallplan soll deshalb nicht das Denken ersetzen, sondern unter Zeitdruck Orientierung schaffen.

Und die Führungsaufgabe endet regelmäßig nicht mit der technischen Eindämmung des Angriffs. Die Wiederherstellung kann Wochen oder Monate dauern. Auch in dieser Phase muss das Management den Überblick behalten und die notwendigen strategischen Entscheidungen treffen.

(Anm. der Red.: Wie Unternehmen auch über die akute Angriffsabwehr hinaus handlungsfähig bleiben, zeigt der Beitrag Cyberresilienz & Incident Response in geopolitischen Krisen.)

Welche Anpassungen der Cyber-Security-Strategie werden durch KI notwendig? Was muss sich ändern, um gegen KI-Angriffe gewappnet zu sein?

Dr. Marco Gercke: Künstliche Intelligenz verändert zunächst die Möglichkeiten der Angreifer. Angriffe, die bislang Zeit, besondere Fähigkeiten oder erhebliche Ressourcen erforderten, lassen sich zunehmend automatisieren und skalieren. Gerade Social-Engineering-Angriffe können wesentlich überzeugender individualisiert werden; Sprache, Stimme und zunehmend auch Videokommunikation lassen sich imitieren.

Für Unternehmen bedeutet das, Cybersecurity noch stärker als kontinuierlichen Prozess zu verstehen. Prävention bleibt wichtig. Wenn Angriffe aber schneller, skalierbarer und überzeugender werden, gewinnt die Frage an Bedeutung, wie schnell ein erfolgreicher Angriff erkannt und anschließend bewältigt werden kann. Detection, Incident Response und Resilience werden deshalb noch wichtiger.

Gleichzeitig ist KI nicht nur ein Instrument der Angreifer. Sie kann ebenso bei der Erkennung ungewöhnlicher Aktivitäten und der Unterstützung von Sicherheitsteams eingesetzt werden. Wir werden daher zunehmend ein Umfeld sehen, in dem KI auf beiden Seiten eine wesentliche Rolle spielt.

Sie wollen mit Marco Gercke und weiteren Expertinnen und Experten für Cyberkrisenmanagement direkt ins Gespräch kommen?

Auf der it-sa EXPO & Congress erwarten Sie Live-Simulationen, praxisnahe Use Cases und den direkten Austausch mit Ausstellern zu Incident Response und Krisenmanagement. Jetzt besuchen!

Die Fragen stellte Uwe Sievers.

Weitere interessante Verlinkungen: 

• Künstliche Intelligenz & IT-Security.
• Cybersicherheit unter Druck: Mit KI-basierten Angriffen umgehen lernen
• Cyber Security schützt vor Angriffen. Cyber Resilience sichert das Überleben danach.