Kevin Kelly wünschte sich, er hätte seinen Mandanten davon abhalten können, einem Hacker 10 Millionen Dollar zu überweisen.
Sein Kunde ist ein Sportartikelunternehmen mit einem Umsatz von einer Milliarde Dollar. Der Hacker fand den Namen des Geschäftsführers des Unternehmens auf LinkedIn und richtete ein gefälschtes E-Mail-Konto im Namen des Geschäftsführers ein. Der Betrüger erstellte daraufhin eine gefälschte Rechnung des südostasiatischen Lieferanten des Unternehmens für Basketbälle, Lacrosse-Schläger und andere Waren (komplett mit gefälschtem Briefkopf) und versandte diese vom gefälschten Konto des Vorstandsvorsitzenden an den Finanzvorstand des Unternehmens, zusammen mit der Anweisung, 10 Millionen US-Dollar ins Ausland zu überweisen.
Leider wurde der Betrugsversuch zu spät entdeckt. Und es handelt sich dabei um ein Phänomen, das im heutigen Netz globaler Lieferketten nur allzu häufig und lukrativ geworden ist. „Vorstände und Führungskräfte werden zunehmend zur Zielscheibe und zu Opfern solcher Datenschutzverletzungen“, sagt Kelly, der Geschäftsführer von Halo Privacy, einem Unternehmen, das Datenschutzlösungen für Vorstände, Führungskräfte, Family Offices und vermögende Privatpersonen anbietet.
Niemand kennt das gesamte finanzielle Ausmaß solcher Betrugsfälle mit gefälschten Rechnungen und ähnlicher Vorfälle. Das liegt daran, dass Unternehmen die mitunter peinlichen Details oft nicht preisgeben möchten.
Das könnte sich ändern. Gemäß den neu vorgeschlagenen Vorschriften der SEC im Rahmen des „ “ () wären Führungskräfte börsennotierter Unternehmen – sowie deren Vorstände – verpflichtet, Vorfälle im Bereich der Cybersicherheit unverzüglich offenzulegen. Die von der SEC vorgeschlagenen Vorschriften werden vor dem Hintergrund einer Welle von Cyberangriffen vorgelegt, die börsennotierte Unternehmen, private Organisationen und Regierungsstellen lahmgelegt haben. „Aus der Perspektive der Verbesserung der Cybersicherheit des Landes ist dies eine längst überfällige Maßnahme“, sagt Megan Stifel, Chief Strategy Officer am Institut für Sicherheit und Technologie.
Die US-Börsenaufsichtsbehörde SEC ( ) hat unter darauf hingewiesen, dass ein wesentlicher Grund für die Regeländerung darin liegt, dass Cybervorfälle eher in den Medien als in den Unternehmensberichten gemeldet werden. Darüber hinaus stellte die Behörde fest, dass bei der Offenlegung der Angaben die Einzelheiten der Berichte häufig widersprüchlich oder unvollständig sind. ( Das umstrittenste Element des SEC-Vorschlags ist die Vorgabe, dass Cybervorfälle innerhalb von vier Tagen nach ihrer Einstufung als „wesentliches“ Ereignis offengelegt werden müssen.)
„Cybersicherheit muss als wesentliches Geschäftsrisiko behandelt werden und nicht nur als technische Angelegenheit“, sagt Phil Reitinger, Präsident und CEO der Global Cyber Alliance, ehemaliger CISO bei Sony und hochrangiger Beauftragter für Cybersicherheit in der Obama-Regierung. „Unkenntnis über die finanziellen Aspekte eines Unternehmens ist keine Entschuldigung für Misswirtschaft seitens des Vorstands, und dies gilt gleichermaßen für die Cybersicherheit.“ „Wenn ein Vorstand derzeit nicht in der Lage ist, Leitlinien festzulegen und Aufsichtsfunktionen wahrzunehmen, muss er sein Personal aufstocken.“
Stärkung der Aufsichtsfunktion des Vorstands
Im Rahmen der vorgeschlagenen Vorschriften wären Unternehmen verpflichtet, die Fachkenntnisse des Vorstands im Bereich Cybersicherheit sowie dessen Aufsichtspflichten offenzulegen. Die Verordnungsentwürfe zwingen Unternehmen bereits dazu, sich kritische Fragen zur Rolle der Cybersicherheit im Vorstand zu stellen, darunter auch, ob ein Sitz für einen Cybersicherheitsexperten reserviert werden sollte, sagt Ann Cleaveland, Geschäftsführerin des „ “ Center for Long-Term Cybersecurity an der
UC Berkeley.
„“ Vorstände und Führungskräfte werden zunehmend zu Zielen und Opfern dieser Sicherheitsverletzungen.“Kevin Kelly, Geschäftsführer von Halo Privacy
„Häufig haben sich die Vorstände noch nicht mit dem Thema Cybersicherheit als Fachgebiet auf Vorstandsebene auseinandergesetzt“, sagt sie. Zur Vorbereitung auf die neuen Vorschriften rät sie Unternehmen, sich bereits jetzt Fragen zu stellen wie: Sollte das Thema Cybersicherheit im Prüfungsausschuss behandelt werden oder sollte dafür ein eigener Ausschuss eingerichtet werden? „Wo auch immer sie bei ihren Antworten landen, spielt es fast keine Rolle“, sagt sie. „Doch Unternehmen und Vorstände müssen diese Diskussion bereits geführt haben.“
Wilson Sonsini, die Anwaltskanzlei aus dem Silicon Valley, die die weltweit führenden Technologieunternehmen berät, argumentierte in einem Schreiben an die SEC unter dem Titel „ “ ( ), dass Bedenken hinsichtlich der Cybersicherheit nicht über andere wichtige Risikothemen gestellt werden sollten. Das Unternehmen befürchtet, dass die Vorschriften „dazu führen könnten, dass Unternehmen der Cybersicherheitsexpertise im Vorstand von
Vorrang einräumen, was zu Lasten anderer Cybersicherheitsmaßnahmen und anderer von
geforderter Qualifikationen geht.“
Zumindest müssen sich die Vorstandsmitglieder jedoch besser mit Risikomanagement und Cyberabwehr auskennen, sagt Justin Greis, ein Partner bei McKinsey, der sich auf digitale Themen spezialisiert hat. „Vorstandsmitglieder müssen die Cybersicherheitslage ihres Unternehmens verstehen und in der Lage sein, diese zu beschreiben – und wahrscheinlich auch zu verteidigen“, sagt er. „Um dies zu erreichen, werden sich die Vorstände wahrscheinlich intensiver als je zuvor mit Fragen der Cybersicherheit befassen müssen.“
Tatsächlich investieren Fortune- 100 -Unternehmen wie Citigroup und GM angesichts des Vorschlags der SEC massiv in Fachwissen im Bereich Cybersicherheit – bis hin zur Vorstandsebene, so Jonathan Day, CEO von Tapestry Networks, einem Unternehmen, das Unternehmensvorstände in Fragen der Strategie und Unternehmensführung berät. „Sie holen Führungskräfte an Bord, die über umfassende Erfahrung in diesem Bereich verfügen“, sagt er
.
Inwieweit sollten strategische Informationen offengelegt werden?
Ein weiterer Bestandteil der vorgeschlagenen Vorschriften ist eine Bestimmung, die die Vorstände verpflichtet, in regelmäßigen Abständen die Unternehmensrichtlinien und -verfahren in Bezug auf , die Identifizierung von und sowie das Management von Cybersicherheitsrisiken offenzulegen, ebenso wie die Rolle der Geschäftsführung bei deren Umsetzung. Einige Experten sind der Ansicht, dass diese Bestimmung Unternehmen dazu zwingen könnte, zu viele Informationen preiszugeben.
„-Vorstände werden sich wahrscheinlich intensiver denn je mit Fragen der Cybersicherheit befassen müssen.“Justin Greis, partner, McKinsey & Company
„Eine übertriebene Darstellung von Risiken im Bereich des geistigen Eigentums könnte Wettbewerbern einen potenziellen Vorteil verschaffen“, sagt Greis von McKinsey. „Ein übermäßiger Informationsaustausch zum Thema Cyberabwehr könnte Hackern die Möglichkeit bieten, die offengelegten Informationen zu nutzen, um Unternehmensnetzwerke
zu kompromittieren.“
Laut „Day of Tapestry Networks“ werden durch diese Bestimmungen auch einige der traditionellen Aufgaben des CISO in die Zuständigkeit der Vorstandsmitglieder übertragen. „Es geht nicht mehr nur darum, dass wir sagen: ‚Wir werden Ihre Strategie befolgen‘, und der CISO dafür zuständig ist, die Türen abzuschließen“, sagt er.
Cybersicherheitsrisiken sind mit finanziellen Risiken vergleichbar
Für Kelly von Halo Privacy unterscheiden sich die Anpassungen, die Unternehmen und Vorstände vornehmen müssten, um sich an diese neuen Vorschriften anzupassen, kaum von den tiefgreifenden Veränderungen, die nach der Großen Rezession von 2008 erforderlich waren, als er CEO der Personalberatungsfirma Heidrick & Struggles war.
„Fortune- 100 -Unternehmen wie Citigroup und GM investieren angesichts des Vorschlags der SEC massiv in Fachwissen im Bereich Cybersicherheit, und zwar bis hin zur Vorstandsebene.“
Zu jenem Zeitpunkt verschärfte die SEC die Anforderungen an die Offenlegung von Finanzrisiken gemäß dem „ “ ( ) und übertrug die Verantwortung hierfür dem Prüfungsausschuss des Vorstands. Die SEC verlangte eine fristgerechte Offenlegung und drohte Unternehmen, die ihrer Pflicht nicht nachkamen, mit strengen Sanktionen.
Angesichts des Ausmaßes der aktuellen Cybersicherheitskrise ging Kelly davon aus, dass die SEC die Einrichtung eines eigens für dieses Thema zuständigen Vorstandsausschusses mit regelmäßigen Telefonkonferenzen und Sitzungen verlangen würde. Er fragt sich zudem, ob die SEC Amtszeitbeschränkungen für Vorstandsmitglieder durchsetzen sollte, um das Fachwissen im Bereich Cybersicherheit auf dem neuesten Stand zu halten.
Greis von McKinsey erklärt, dass einige Unternehmen bereits die Idee prüfen, einen Unterausschuss einzurichten, der sich ausschließlich mit Cybersicherheit befasst. „Es kann sich um unabhängige Verwaltungsratsmitglieder oder um Experten handeln, doch sie handeln im Namen des Verwaltungsrats“, sagt er. In diesem Fall würden die CISOs von „ “ dem Ausschuss oder dem gesamten Vorstand aktuelle Informationen vorlegen.
[Lesen Sie auch: 6 Fragen zur Cybersicherheit, die ich den Vorständen stets empfehle zu stellen]
Um die Vorsorge zu verbessern, empfehlen Experten für Cybersicherheit und Unternehmensvorstände zudem die Durchführung detaillierter Szenarioplanungen und Tabletop-Übungen sowie Vorstandssitzungen außerhalb des Unternehmens in Anwesenheit von Cybersicherheitsexperten, um hautnah zu erleben, was bei einem Cybersicherheitsvorfall passieren könnte.
Auch wenn Unternehmen sich über die verstärkte Aufsicht durch die SEC vielleicht ärgern, erkennen sie doch an, dass die vorgeschlagenen Vorschriften auf mangelnde Planung und Untätigkeit zurückzuführen sind. „Ohne einen Plan setzen Unternehmen eine Vielzahl von Menschen einem Risiko aus“, sagt Kelly.
Cleaveland von der UC Berkeley erklärt, dass viele Organisationen der Planung und den Strategien im Bereich Cybersicherheit bereits hohe Priorität einräumen. „Die meisten erfahrenen und ausgereiften Vorstände bereiten sich nicht mit einer reinen Compliance-Denkweise auf diese Verordnung vor“, sagt sie. „Sie befinden sich bereits auf diesem Weg.“
