Vor etwas mehr als 10 Jahren stellte Target seinen ersten Chief Information Security Officer (CISO) bei „ “, , ein – als Teil der Bemühungen des Einzelhandelsriesen, seinen angeschlagenen Ruf nach einem massiven Cyberangriff wiederherzustellen. Hacker hatten die elektronischen Zugangsdaten eines Kühlanlagenherstellers gestohlen, waren in das Computernetzwerk von Target eingedrungen und hatten Kredit- und Debitkartendaten von 40 Millionen Konten sowie die persönlichen Daten von 70 Millionen Kunden entwendet.
Zu den verheerenden Folgen zählten unter anderem, dass die Umsätze in den Filialen und im Online-Handel auf den tiefsten Stand seit drei Jahren sanken, der Vorstandsvorsitzende und der IT-Leiter zurücktraten, der Finanzvorstand im Rahmen einer vielbeachteten Untersuchung vom Senat ins Kreuzverhör genommen wurde und das Unternehmen sich bereit erklärte, eine Rekordsumme von 18,5 Millionen US-Dollar zu zahlen, um die von 47 Bundesstaaten und dem District of Columbia vorgebrachten Ansprüche beizulegen. Um das Vertrauen der Verbraucher zurückzugewinnen, führte Target eine Reihe von Sicherheitsverbesserungen ein, darunter den erweiterten Einsatz von , die Multi-Faktor-Authentifizierung, verbesserte Mitarbeiterschulungen zum Thema Passwortsicherheit sowie ein optimiertes Zugriffsmanagement.
Das Debakel löste in Unternehmen überall große Bestürzung aus. Wenn Target gehackt werden konnte, dann könnte das jedem passieren. Die Lehre für Unternehmensvorstände war eindeutig: Warten Sie nicht auf einen Angriff, sondern überprüfen Sie das System bereits jetzt auf Schwachstellen.
Das ist nun schon ein Jahrzehnt her – und seitdem haben wir zahlreiche vielbeachtete Cyberangriffe auf Einzelhandelsunternehmen erlebt, darunter allein im vergangenen Jahr Ticketmaster, AT&T, Verizon und Dell. Wie viele Vorstände haben sich diese Lektion nun wirklich zu Herzen genommen und in Verbesserungen im Bereich der Cybersicherheit investiert?
Schließlich haben wir anhand des Datenlecks bei Target und all der anderen Skandalen gesehen, wie schwerwiegend die Folgen sein können:
- Da ist zunächst einmal der erhebliche Vertrauensverlust seitens der Kunden. Laut IDC werden 80 Prozent der Verbraucher in Industrieländern zu anderen Anbietern wechseln, wenn ihre sensiblen Daten kompromittiert werden. Tatsächlich deuten einige Untersuchungen darauf hin, dass fast 60 Prozent der Unternehmen nach einem Datenleck scheitern.
- Hinzu kommt die negative Berichterstattung in den Medien, insbesondere wenn bekannte Persönlichkeiten beteiligt sind. Dies kann den Vertrauensverlust und die negativen Wahrnehmungen beschleunigen, die sich häufig im Zuge einer umfangreichen Medienberichterstattung aufbauen und sowohl dem Unternehmen als auch den darin tätigen Personen schaden.
- Wenn der Ruf eines Unternehmens sinkt, sinkt auch sein Marktwert. Unternehmen, die Opfer von Datenschutzverletzungen geworden sind, können über mehrere Jahre hinweg eine im Vergleich zum Markt unterdurchschnittliche Kursentwicklung verzeichnen. Darüber hinaus können die finanziellen Verluste infolge eines Cyberangriffs – einschließlich der Kosten für die Datenwiederherstellung, der Anwaltskosten und der Entschädigung betroffener Kunden – erheblich sein. Im Jahr 2024 beliefen sich die Kosten pro Datenschutzverletzung im Durchschnitt auf 4,88 Millionen Dollar , was einem Anstieg von 10 % gegenüber dem Vorjahr und dem stärksten Anstieg seit Beginn der Pandemie entspricht.
- Je nach Schwere des Verstoßes kann der Ruf eines Unternehmens so stark leiden, dass Investoren es meiden, und es möglicherweise Chancen verpasst, neue Beziehungen aufzubauen und Kooperationen einzugehen, was das Wachstum potenziell einschränken könnte.
- Schließlich wird ein Cyberangriff die Arbeitsmoral der Mitarbeiter von „ “ beeinträchtigen und die Personalbeschaffung erschweren. Mitarbeiter, deren Daten gestohlen wurden, könnten – zumindest – den Eindruck gewinnen, dass das Unternehmen beim Schutz ihrer Daten nachlässig gehandelt hat. Und Unternehmen mit einem angeschlagenen Ruf müssen möglicherweise feststellen, dass talentierte Spitzenbewerber lieber bei anderen Arbeitgebern arbeiten würden.
„Ich kann Ihnen versichern, es ist wirklich schwer mitzuerleben, wie das Unternehmen, in das man sein Herzblut gesteckt hat, so hart angegangen wird.“Meredith Griffanti, Senior Manager bei FTI Consulting
Meredith Griffanti, heute Senior Managing Director bei FTI Consulting, war zum Zeitpunkt der Datenpanne bei Equifax im Jahr 2017 in leitender Position tätig, und sie erinnert sich noch gut daran, wie demoralisierend diese Erfahrung für sie war.
„Ich kann Ihnen sagen“, sagte sie, „es ist wirklich schwer, zu lesen, wie das Unternehmen, in das man sein Herzblut gesteckt hat, auf der Titelseite der Zeitung an den Pranger gestellt wird.“ „Das ist sehr bewegend.“
Warum Cybersicherheit einen Wettbewerbsvorteil darstellt
Im Interesse der Transparenz hat die US-Börsenaufsichtsbehörde ( Securities and Exchange Commission, SEC) im Jahr 2023 zusätzliche Offenlegungsvorschriften erlassen, die ein strengeres Verfahren für die Meldung von Cyberangriffen vorschreiben. Die neue Regelung verpflichtet Unternehmen, Anlegern aktuelle, konsistente und „entscheidungsrelevante“ Informationen über ihre Strategien zum Umgang mit Cyberrisiken zur Verfügung zu stellen; außerdem verpflichtet sie Unternehmen, Informationen über „wesentliche“ Cybervorfälle innerhalb von drei Tagen offenzulegen. Dies erhöht den Druck auf die Vorstände, proaktiver zu handeln, da der beste Weg zum Schutz des Markenrufs darin besteht, eine Kultur der Cybersicherheit zu etablieren und zu pflegen.
„Manche Unternehmen nutzen Sicherheit als Wettbewerbsvorteil“, sagt Robert Strickland, Geschäftsführer und Gründer von M37 Ventures sowie ehemaliger CIO von T-Mobile. „‚Fort Knox‘ zu sein, wird zu einem Teil ihrer Marke – eine Möglichkeit, Kunden zu gewinnen und zu binden.“
Hier gilt das alte Sprichwort: „Vorbeugen ist besser als heilen.“ Tatsächlich könnte dieses Verhältnis von 16-to-1 den Wert proaktiver Maßnahmen im Bereich der Cybersicherheit unterschätzen. Es gibt keine allgemeingültige Lösung, doch unsere Fachquellen haben mehrere einvernehmlich festgelegte Schritte zum Aufbau einer Verteidigungsstrategie genannt (und wir haben diese zusammengestellt).
Hier sind sieben Möglichkeiten, wie Vorstände sich vor Reputationsschäden schützen können:
1. Fordern Sie ein mehrschichtiges Sicherheitskonzept
Stellen Sie sich vor, Sie müssten eine mittelalterliche Burg verteidigen. „Es gab nicht nur eine einzige Verteidigungsstrategie“, bemerkt Strickland. „Da waren der Graben, die Stacheln, das heiße Öl und die Katapulte.“
„“ Manche Unternehmen nutzen Sicherheit als Wettbewerbsvorteil. „Fort Knox“ zu sein, wird zu einem Teil ihrer Marke – eine Möglichkeit, Kunden zu gewinnen und zu binden.”Robert Strickland, Geschäftsführer und Gründer von M37 Ventures
Er rät Ihnen, sicherzustellen, dass Sie – genau wie diese Unternehmen – über eine mehrschichtige Sicherheitsstrategie verfügen. Eine Stufe reicht niemals aus. Testen Sie das System regelmäßig, um Schwachstellen aufzudecken. Schulen Sie Ihre Mitarbeiter darin, sich nicht auf Phishing-Angriffe einzulassen und keine Passwörter preiszugeben.
2. Stellen Sie gute Fragen
Es mag selbstverständlich erscheinen, doch eine der wichtigsten Aufgaben von Vorständen besteht darin, wirklich gute und durchdachte Fragen zu stellen, sagt Arvind Swaminathan, Partner bei der weltweit tätigen Anwaltskanzlei Orrick, wo er die Praxisgruppe für Cyber-Datenschutz und Dateninnovation gegründet hat. Er verweist auf die von Orrick erstellte Liste mit Fragen, die alle Aufsichtsräte ihren Unternehmen stellen sollten, und zitiert ähnliche Listen der National Association of Corporate Directors (NACD) sowie anderer er Vereinigungen im Bereich der Unternehmensführung .
[Lesen Sie auch: 4 kritische Führungsprioritäten für CISOs im KI-Zeitalter]
3. Üben, meine Herren, üben Sie diese Spielzüge
Der Fokus auf die Einsatzbereitschaft wird verstärkt. „Wir beobachten, dass Vorstände großen Druck auf ihre Führungsteams ausüben, sich besser vorzubereiten“, sagt Griffanti. Das bedeutet, die Pläne für die Reaktion auf Vorfälle im Bereich „ “ (), die „ “, die Krisenkommunikation sowie die Geschäftskontinuität zu überprüfen und zu stärken und sicherzustellen, dass diese alle nahtlos zusammenwirken.
4. Setzen Sie gemeinsam mit dem CISO den Vorstand zusammen
Ein Vorstand kann sich allein anhand von vierteljährlichen Präsentationen keinen ausreichenden Überblick über die Cybersicherheitslage eines Unternehmens verschaffen.
„Eine sichtbare Beziehung zwischen dem Vorstand und dem CISO macht dem gesamten Unternehmen sehr deutlich, dass Cybersicherheit ihre Zeit wert ist.“J.R. Williamson, Senior Vice President und CISO bei Leidos
„Vorstandsmitglieder sollten einen Besuch beim Sicherheitsteam vereinbaren und sich aus erster Hand von den Mitarbeitern an der Front der Cybersicherheit einweisen lassen“, schreibt J.R. Williamson, Senior Vice President und CISO bei Leidos, im Handbuch „ 2023 Director’s Handbook on Cyber-Risk Oversight“, das von der Internet Security Alliance herausgegeben wurde.
Eine bessere Vertrautheit mit dem Auftrag des Teams und seinen Führungskräften werde sich im Krisenfall auszahlen, merkt er an. Zudem vermittelt dies eine eindringliche Botschaft: „Eine sichtbare Beziehung zwischen dem Vorstand und dem CISO macht dem gesamten Unternehmen sehr deutlich, dass Cybersicherheit ihre Zeit wert ist.“
5. Erweitern Sie Ihren Zuständigkeitsbereich um soziale Medien
Genau hier können einige der schlimmsten Schäden entstehen. „Wenn Sie eine große Marke sind und einen starken Fokus auf Verbraucher haben oder über eine große Belegschaft verfügen, sollten Sie die Social-Media-Landschaft rund um den ‚ ‘ im Voraus beobachten“, sagt Griffanti.
Auch für kleinere Unternehmen wird dies immer wichtiger, auch wenn ihnen möglicherweise das Personal oder die Kapazitäten fehlen, um dies zu bewältigen. „Behalten Sie alles im Auge – von Reddit-Foren über Tweets bis hin zu YouTube-Beiträgen“, sagt Griffanti, „damit Sie Kontroversen aufgreifen können, bevor sie sich viral verbreiten.“
6. Spielen Sie jetzt
Simulationen vermitteln den Vorstandsmitgliedern ein realistisches Bild der Situation. Griffanti weist darauf hin, dass ihr Unternehmen Übungen entwickelt hat, damit sich Vorstände in eine „Einsatzsituation“ versetzen und die Feinheiten sowie die kritischen Entscheidungen nachvollziehen können, die in Sekundenbruchteilen getroffen werden müssen.
Wie sie sagt: „Wann zieht man den Stecker für das gesamte Netzwerk?“ Was stellen Sie als Erstes wieder in Betrieb? „Welche Dienste und Anwendungen sind geschäftskritisch?“
[Lesen Sie auch: 5 wichtige Ziele als Leitfaden für Cybersicherheitsbudgets im Jahr 2025]
7. Legen Sie Ihre Grundsätze fest und halten Sie sich daran.
Trotz des Drucks durch Markterwartungen und vergangene Verhaltensweisen ist es wichtig, sich stets vor Augen zu halten, wer Sie als Organisation sind.
„Sie müssen sich darüber im Klaren sein, was Ihre Mission, Ihre Vision und Ihre Werte sind und wie Sie diese in Krisenzeiten aufrechterhalten werden“, sagt Swaminathan. „Denn so schützen Sie den Ruf Ihrer Marke. „So schafft man Vertrauen.“ Was richtig ist, lässt sich nicht immer leicht definieren, sagt er. Doch dies ist der Weg zu einem guten Ruf.
