Als Twitter Peiter „Mudge“ Zatko im Jahr November 2020 als neuen Sicherheitsleiter einstellte, wurde er vom damaligen CEO Jack Dorsey, der ihn persönlich angeworben hatte, herzlich empfangen.
Als Mitglied des legendären Hacker-Kollektivs „ “ L0pht im Jahr 1990s trug Mudge maßgeblich zur Entwicklung der Konzepte des ethischen („White-Hat“-)Hackings und der verantwortungsvollen Offenlegung von Sicherheitslücken bei. Bevor er zu Twitter kam, war er für die Defense Advanced Research Projects Agency (DARPA) und Google tätig.
Nachdem ein verheerender Hackerangriff auf vier Monate zuvor es Angreifern ermöglicht hatte, unter anderem die Konten des ehemaligen Präsidenten Barack Obama und des Tesla-Vorstandsvorsitzenden Elon Musk zu übernehmen, benötigte das Unternehmen jemanden mit Mudge’s herausragendem Ruf, um seine Glaubwürdigkeit wiederherzustellen. Doch weniger als zwei Jahre später sagte der mittlerweile ehemalige Sicherheitsleiter vor dem Kongress über Twitters „“ und dessen grob fahrlässigen"n Umgang mit Sicherheitsfragen aus, nachdem die Unternehmensleitung seine zahlreichen Warnungen angeblich ignoriert hatte.
Wie Mudge feststellte, ist der Weg vom Sicherheitshelden zum Whistleblower rutschig und steil. Es kommt äußerst selten vor, dass eine hochrangige Führungskraft unbehobene Sicherheitslücken öffentlich anspricht. Dies könnte sich jedoch bald ändern, da die Meldevorschriften des Bundes zur Cybersicherheit in Kürze in Kraft treten werden.
Die Schleusen für Whistleblowing öffnen sich
Im Jahr „ März 2022“ wurde das Gesetz „ : Gesetz zur Meldung von Cybervorfällen in kritischen Infrastrukturen (CIRCIA)“ unterzeichnet und in Kraft gesetzt. Sobald die endgültigen Vorschriften in Kraft treten, verpflichtet das Gesetz Fachkräfte für Cybersicherheit in Unternehmen der kritischen Infrastruktur sowie Unternehmen , die Zahlungen im Zusammenhang mit Ransomware unverzüglich den Bundesbehörden zu melden.
„Es gab Zeiten, in denen ich meine Dienstmarke auf den Tisch gelegt und gesagt habe: ‚Das wird unter meiner Aufsicht nicht passieren.‘“Malcolm Harkins, Chief Security and Trust Officer bei Epiphany Systems
Laut den Rechtsexperten von bietet das Gesetz Whistleblowern, denen bekannt ist, dass Verstöße gegen die Cybersicherheit nicht rechtzeitig an die Cybersecurity and Infrastructure Security Agency (CISA) gemeldet wurden, die Möglichkeit, einen solchen Verstoß im Rahmen einer Klage nach dem False Claims Act anzuzeigen.
Die SEC hat zudem neue Vorschriften vorgeschlagen , wonach börsennotierte Unternehmen „wesentliche Cybersicherheitsvorfälle“ innerhalb von vier Tagen nach deren Eintreten offenlegen müssen, und bietet bereits erhebliche finanzielle Anreize für Mitarbeiter, die Unternehmen melden, die diese Vorschriften nicht einhalten. Aufgrund dieser neuen Anforderungen wird erwartet, dass die Zahl der Mitarbeiter, die sich als Whistleblower melden, steigen wird.
Das muss nicht unbedingt so sein. Durch die Förderung einer Kultur der Transparenz und der gemeinsamen Verantwortung können Organisationen die Umstände, die zu Whistleblowing führen, verringern und gleichzeitig das Risikomanagement verbessern.
CISOs geraten unter Druck
Der Druck auf CISOs, Informationen über schwerwiegende Cyberrisiken zurückzuhalten, ist nur allzu häufig anzutreffen, stellt Malcolm Harkins fest, Chief Security and Trust Officer bei Epiphany Systems und ehemaliger Chief Security and Privacy Officer bei Intel.
Ende 2020 veröffentlichte Harkins auf der Plattform Pulse.QA (heute Gartner Peer Insights) eine Umfrage, in der er Sicherheitsexperten fragte, ob sie jemals aufgefordert worden seien, tatsächliche Sicherheitsrisiken zu „beschönigen“. Von den mehr als 100 Befragten antworteten fast 60 % mit „Ja“. Obwohl die Umfrage nicht wissenschaftlich fundiert war und nur eine kleine Stichprobe umfasste, spiegelt sie laut Harkins eine zunehmende Tendenz unter Führungskräften im Bereich Cybersicherheit wider.
„Wir alle haben schon einmal Herausforderungen im Zusammenhang mit Integrität erlebt, die unsere Entschlossenheit auf die Probe gestellt haben“, schrieb er in „ “, einem Essay, der Anfang dieses Jahres auf veröffentlicht wurde. „Wir konnten vorhersehen, wann es voraussichtlich zu Druck kommen würde …“ „Wir konnten es riechen, es spüren – wie mit einem sechsten Sinn.“
Wenn Sicherheitsverantwortliche mit unethischem Druck von oben konfrontiert werden, haben sie vier Möglichkeiten: Sie können sich stärker wehren und versuchen, ihren Vorgesetzten umzustimmen. Sie können das Risiko so gut wie möglich bewältigen und hoffen, eine Katastrophe abzuwenden. Sie können ihre Ausweise abgeben und sich nach Arbeitgebern umsehen, die mehr Wert auf Sicherheit legen. Oder sie können die Nachricht an die Öffentlichkeit bringen, wodurch sie die Aufsichtsbehörden alarmieren, gleichzeitig aber auch ihre Karrieren gefährden.
„Es gab Zeiten, in denen ich meine Dienstmarke auf den Tisch gelegt und gesagt habe: ‚Das wird unter meiner Aufsicht nicht passieren‘“, sagt Harkins. „Ich persönlich würde das tun, bevor ich überhaupt zum Whistleblower würde.“ „Wenn Sie der Meinung sind, dass das Unternehmen einen schwerwiegenden Fehler begeht, sollten Sie bereit sein, das Unternehmen zu verlassen.“
Sicherheit ist eine Teamleistung
Sicherheitsexperten haben täglich mit Hunderten potenziell schwerwiegender Sicherheitslücken im Zusammenhang mit dem „ “ zu tun, so Steve Zalewski, ehemaliger CISO bei Levi Strauss und nun Sicherheitsberater bei S3 Consulting. Sie müssen entscheiden, welche davon eine ausreichend große Gefahr für das Unternehmen darstellen und wie sie vorgehen sollen, falls der Vorstandsvorsitzende oder der Vorstand sich weigern, angemessen zu reagieren.
„: CISOs sind wie Feuerwehrleute – sie eilen dem Problem entgegen und erwarten, wie Helden behandelt zu werden. Doch immer mehr von ihnen erkennen, dass ihr Unternehmen sie nicht so behandelt.”Steve Zalewski, Sicherheitsberater, S3 Consulting
„Oftmals gerät man in die Lage, weitaus mehr Risiken eingehen zu müssen, als einem lieb ist, hat aber keine Möglichkeit, diese Risiken zu steuern“, sagt er. „CISOs sind wie Feuerwehrleute: Sie eilen dem Problem entgegen und erwarten, wie Helden behandelt zu werden.“ „Doch immer mehr von ihnen erkennen, dass ihr Unternehmen sie nicht so behandelt.“
Und manchmal treffen Sicherheitsexperten die falsche Entscheidung.
In dem Artikel „ November 2016 “ () wurde berichtet, dass Hacker in eine Datenbank von Uber () eingedrungen sind und Zugriff auf die Daten von 57 Millionen Kunden erlangt haben. Hacker drohten damit, die Daten zu veröffentlichen, sofern Uber ihnen nicht 100 000 Dollar zahlen würde. Nachdem er die Situation mit dem hauseigenen Sicherheitsanwalt von Uber und dem damaligen CEO Travis Kalanick besprochen hatte, erklärte sich der Sicherheitschef Joseph Sullivan bereit, die Angreifer über das Bug-Bounty-System des Unternehmens zu entschädigen. Anschließend versäumte er es, den Vorfall der Federal Trade Commission zu melden, die bereits wegen eines früheren Datenschutzverstoßes Ermittlungen gegen das Unternehmen führte.
[Lesen Sie auch: Warum Bug-Bounty-Jäger enorme Prämien erhalten]
Im vergangenen Oktober wurde Sullivan wegen der Verschleierung der Sicherheitslücke wegen einer Straftat verurteilt. Zum Zeitpunkt der Veröffentlichung war noch kein Termin für die Urteilsverkündung festgelegt worden.
„Joe hat aufgrund schlechter Ratschläge von anderen Mitarbeitern des Unternehmens einen Fehler begangen, und rückblickend glaube ich, dass er die Dinge heute anders handhaben würde“, sagt Rob Chesnut, ehemaliger Leiter der Rechtsabteilung und Chief Ethics Officer bei Airbnb, der im Jahr 2016 Mitglied des Uber-Beirats für Sicherheit war und nun als Berater für rechtliche und ethische Fragen tätig ist. „Aber ist es gerecht, dass Joe in einem Strafverfahren die alleinige Verantwortung für das Scheitern des Unternehmens übernimmt?“ „Das glaube ich nicht.“
Die Verurteilung von Sullivan hat die Aufmerksamkeit der Cybersicherheits-Community auf sich gezogen, wie Chenxi Wang, Gründer und geschäftsführender Gesellschafter der Risikokapitalgesellschaft Rain Capital sowie Investor in mehrere Sicherheits-Start-ups, feststellt.
„Es gab zahlreiche Diskussionen darüber, wer in einem Unternehmen die Verantwortung für Entscheidungen trägt, die Auswirkungen auf die Cybersicherheit haben“, sagt sie. „Wer trägt die Last?“ „Der CISO sollte nicht der Einzige sein, der [die Verantwortung trägt].“
Wang erklärt, dass Unternehmen einen Prozess einrichten müssen, um wichtige Entscheidungen darüber zu treffen, wie mit Cybervorfällen umgegangen wird und welche weiteren Führungskräfte verantwortlich sind und in diesen Prozess einbezogen werden müssen. „Es beginnt beim Leiter der Rechtsabteilung“, fügt Zalewski hinzu.
„Leiter der Rechtsabteilung (GCs) sind die besten Verbündeten eines CISO, da sie als Einzige gesetzlich verpflichtet sind, die Interessen des Unternehmens an erste Stelle zu setzen“, sagt er. „Wenn Sie den General Counsel in die Diskussion einbeziehen, ist der Vorstand verpflichtet, Ihnen Gehör zu schenken, und Sie verfügen über eine schriftliche Aufzeichnung des Geschehens.“
Kultur ist entscheidend
Letztendlich hängt es von der Unternehmenskultur ab, ob ein Unternehmen unbeabsichtigt zu einem Nährboden für Whistleblower wird. Haben die Mitarbeiter das Gefühl, dass sie gegenüber ihren Vorgesetzten offen ihre Meinung äußern können? Sind Führungskräfte in der Wirtschaft bereit, zuzuhören?
„Wenn Sie in einem Unternehmen arbeiten, in dem von Ihnen lediglich erwartet wird, dass Sie Befehle befolgen und ausführen, werden solche Probleme häufiger auftreten“, bemerkt Harkins. „Wenn Mitarbeiter nicht das Recht haben, anderer Meinung zu sein und Dinge in Frage zu stellen, werden solche ethischen Dilemmata häufiger auftreten.“
„Entscheidend ist es, Transparenz und Kommunikation von unten nach oben und von der Mitte nach außen zu fördern“, bemerkt Marene Allison, die als CISO bei Johnson & Johnson in den Ruhestand treten wird.
[Lesen Sie auch: Wie CISOs über Cyberrisiken sprechen können, sodass CEOs tatsächlich zuhören]
Nach der Verabschiedung des Sarbanes-Oxley-Gesetzes im Jahr 2002 waren börsennotierte Unternehmen verpflichtet, Ethik-Hotlines einzurichten, über die Mitarbeiter potenzielle Verfehlungen anonym melden können. Allison sagt, jedes Unternehmen benötige eine Möglichkeit für Mitarbeiter, Alarm zu schlagen , wenn sie etwas Ungewöhnliches bemerken.
„Schlechte Nachrichten, die man frühzeitig erhält, sind gute Nachrichten“, sagt sie. „Wenn ein Unternehmen transparent sein möchte, muss es seinen Mitarbeitern und externen Auftragnehmern die Möglichkeit geben, sich zu den Unternehmenspraktiken zu äußern.“ „Ja, Sie werden die Person antreffen, die in den 5 -Uhr-Nachrichten erscheinen möchte, aber Sie werden auch die Person antreffen, die etwas bemerkt hat und versucht, es Ihnen mitzuteilen, doch niemand will ihr zuhören.“
Sicherheitsverantwortliche haben die moralische Pflicht, an die Öffentlichkeit zu gehen, wenn ein Cybervorfall letztendlich Menschenleben gefährden könnte, argumentiert Harkins. In weniger dramatischen Situationen besteht die üblichere Reaktion jedoch darin, sich zurückzuziehen. Er rät Sicherheitsexperten, zunächst alles zu dokumentieren und die Unterlagen dem Leiter der Rechtsabteilung sowie anderen Führungskräften zur Kenntnis zu bringen. Diese Vorgehensweise kann eine lückenlose Dokumentation der Verantwortlichkeiten schaffen, falls die Aufsichtsbehörden anklopfen sollten.
Eine graue Linie
Die Gefahren sind gravierend und lassen sich unmöglich ignorieren. Doch die Cybersicherheit besteht aus verschiedenen Graustufen. Zu Whistleblower-Fällen kann es kommen, wenn zwischen der Risikoeinschätzung der Sicherheitsverantwortlichen und der des übrigen Führungsgremiums Diskrepanzen bestehen.
„Der beste Weg, mit Whistleblowern umzugehen, besteht darin, ein Umfeld zu schaffen, in dem sie nicht benötigt werden.“Rob Chesnut, ehemaliger Leiter der Rechtsabteilung und Ethikbeauftragter bei Airbnb
Seit Jahrzehnten wird Cybersicherheit mit Hilfe von Angst vermarktet, und Sicherheitsexperten neigen dazu, etwas übereifrig zu werden, wenn sie über Risiken sprechen, so Harkins. Diese Haltung kann bei der Beantragung von Haushaltsmitteln hilfreich sein, kann jedoch auch die Glaubwürdigkeit eines CISO untergraben, wenn die von ihm vorhergesagte Katastrophe ausbleibt.
Führungskräfte aus der Wirtschaft hingegen sind möglicherweise nicht in der Lage, vollständig zu erfassen, wie sich eine Sicherheitslücke auf das Geschäftsergebnis des Unternehmens auswirkt. Und während es relativ einfach ist, den Schaden zu bemessen, den ein schwerwiegender Vorfall verursacht, ist es weitaus schwieriger, den Wert der Investition zu beziffern, durch die ein solcher Vorfall von vornherein verhindert wird. Es ist die Aufgabe des CISO, dies zu verdeutlichen, ohne dabei übertriebene Versprechungen zu machen.
„Viele Unternehmen verstehen das Thema Cybersicherheit nicht; sie wissen lediglich, dass sie sie benötigen“, sagt Zalewski. „CISOs müssen den Unternehmen helfen, das tatsächliche Ausmaß der Risiken zu verstehen, die sie eingehen.“
Es ist jedoch unmöglich, jedes Vermögen gleichermaßen zu schützen. Unternehmen können aus Sicherheitssicht alle Vorschriften einhalten und dennoch Opfer eines Datenlecks werden. Am wichtigsten ist, wie sie darauf reagieren. Und die Regeln dafür, wie dies einheitlich umgesetzt werden soll, müssen noch festgelegt werden.
„Nur weil ein Unternehmen von einer Datenpanne betroffen ist, heißt das noch lange nicht, dass es ein schlechtes Unternehmen ist“, sagt Chesnut. „Gehen sie offen mit dem Vorfall um und scheinen sie aufrichtig bestrebt zu sein, das Problem zu beheben?“ „Der beste Weg, mit Hinweisgebern umzugehen, besteht darin, ein Umfeld zu schaffen, in dem sie nicht benötigt werden.“
