Was haben ein CISO, der sich mit einer Datenpanne befasst, und ein 10-Jähriger, der gerade versehentlich das Fenster seines Nachbarn zerbrochen hat, gemeinsam? Jeder steht vor der schwierigen Entscheidung, was er als Nächstes mitteilen soll und auf welche Weise. Wie immer mehr Führungskräfte in Unternehmen erkennen, kann es sich später rächen, wenn man nicht ehrlich kommuniziert und zu seinen Fehlern steht.
Uber weiß das nur zu gut.
Last October the U.S. Department of Justice convicted Joe Sullivan, the company's former chief of security, for lying about a 2016 hack where thieves stole data on approximately 57 million customers. Sullivan veranlasste eine Zahlung in Höhe von 100 000 Dollar in Bitcoin, um die Hacker zum Schweigen zu bringen, und verschleierte anschließend den Hackerangriff vor externen Beteiligten und der neuen Unternehmensleitung von Uber, so das Ministerium.
Die Hacker haben sich im Jahr 2019 schuldig bekannt, und zum Zeitpunkt der Abfassung dieses Artikels wartet Sullivan auf seine Urteilsverkündung, bei der ihm eine Freiheitsstrafe von bis zu acht Jahren droht.
Kommunizieren Sie frühzeitig und regelmäßig
Zwar gehen nur wenige Unternehmen so weit, dass sie eine Straftat vertuschen, doch viele versuchen, sich den Konsequenzen zu entziehen. „Das ist ein gefährliches Spiel“, sagt Jon Collins, Vizepräsident für Forschung beim Analyseunternehmen GigaOm.
„Auch die Vertuschung stellt ein Risiko dar. Und aus geschäftlicher Sicht können Sie dem entgegenwirken, indem Sie die Sache ganz schnell zugeben.”Jon Collins, Vizepräsident für Forschung bei GigaOm
„Jedes Risiko ist ein Geschäftsrisiko“, sagt er und fügt hinzu, dass Vertuschungsversuche auf einen Mangel an ganzheitlichem Denken hindeuten. „Das liegt daran, dass sie die Sache aus einer Sicherheitsperspektive betrachten und nicht unter dem Gesichtspunkt des Risikos einer „ “; doch auch die Vertuschung stellt ein Risiko dar.“ „Und aus geschäftlicher Sicht können Sie dem am besten entgegenwirken, indem Sie die Sache wirklich schnell zugeben.“
Manchmal sind verspätete und unklare Mitteilungen auf mangelnde Vorbereitung zurückzuführen. Bei einer Veranstaltung des „ “ des „Wall Street Journal“ mit dem Titel „ “ Ende November äußerte Todd McKinnon, Mitbegründer und Geschäftsführer des Identitätsauthentifizierungsunternehmens Okta, sein Bedauern über den Umgang seines Unternehmens mit einem Cybersicherheitsvorfall im Jahr 2022.
Der Angriff auf einen der Lieferanten von Okta, Sitel, ereignete sich im Januar, doch Okta räumte den Vorfall erst im März ein, nachdem die Hackergruppe „Lapsus$“ ( ) die Details auf ihrem eigenen Telegram-Konto veröffentlicht hatte, darunter auch Screenshots der kompromittierten Systeme.
David Bradbury, Chief Security Officer bei Okta (der in keiner Verwandtschaftsbeziehung zu diesem Reporter steht), erklärte daraufhin, dass die Kunden keine Abhilfemaßnahmen ergreifen müssten. Lapsus$ verspottete das Unternehmen jedoch weiterhin im Internet, indem es warnte, dass dessen Kunden das Ziel seien, und die Kunden äußerten öffentlich ihre Frustration über die mangelnde Klarheit (oder in einigen Fällen über das völlige Fehlen jeglicher direkter Kommunikation seitens Okta).
Okta gab daraufhin bekannt, dass möglicherweise 366 Kunden von dem Angriff betroffen waren, und Bradbury machte Sitel dafür verantwortlich. „Ich bin zutiefst enttäuscht über den langen Zeitraum, der zwischen unserer ersten Benachrichtigung an Sitel im Januar und der Veröffentlichung des vollständigen Untersuchungsberichts vor wenigen Stunden verstrichen ist“, soll er laut gesagt haben; später räumte er jedoch auch ein, dass das Unternehmen nach Erhalt dieses Berichts schneller hätte reagieren und informieren müssen.
„Es ist schwierig, offen und ehrlich zu sein, insbesondere wenn man nicht über alle Informationen verfügt“, sagt Jenai Marinkovic, vCISO bei Tiro Security und Mitglied der ISACA-Arbeitsgruppe „Emerging Trends“. Das sollte Unternehmen jedoch nicht davon abhalten, zu prüfen, welche Informationen zuverlässig genug sind, um sie weiterzugeben, und dabei Transparenz zu wahren – auch wenn sie die Lücken später im Verlauf ihrer Ermittlungen noch füllen müssen. „Erläutern Sie einfach, was Sie bereits wissen, und teilen Sie mit, was Sie als Nächstes tun werden“, rät sie. „Die Welt neigt dazu, ziemlich nachsichtig zu sein, wenn man offen und ehrlich mit den Dingen umgeht; daher ist es entscheidend, die richtige Botschaft so schnell wie möglich zu verbreiten, sobald dies möglich ist“,
Eine zuverlässige Kommunikation beruht auf einer fundierten Risikobewertung
Doch wenn Sie sich einmal entschlossen haben, einen Vorfall im Bereich der Cybersicherheit zu melden, anstatt ihn zu ignorieren oder unter den Teppich zu kehren, wie sieht dieses Eingeständnis dann konkret aus? „Beginnen Sie mit einer fundierten Risikobewertung unter “, sagt Marinkovic.
„Ihre Risikobewertung sollte die wahrscheinlichsten Arten von Sicherheitsverletzungen, die Bedrohungsakteure und die davon betroffenen Prozesse sowie alle nachgelagerten Personen, die davon betroffen sind, ermittelt haben.“Jenai Marinkovic, stellvertretende CISO, Tiro Security
Die Kommunikation ist ein wesentlicher Bestandteil eines umfassenderen Leitfadens für die Reaktion auf Cybervorfälle , der auf die Bewältigung verschiedener Bedrohungen zugeschnitten sein sollte. Möglicherweise reagieren und kommunizieren Sie bei einem DDoS-Angriff oder einem Angriff durch die Ransomware „ “ anders als in einer Situation, in der durch den Diebstahl von Daten ein finanzielles Risiko für die Kunden entsteht.
„Im Rahmen Ihrer Risikobewertung hätten die wahrscheinlichsten Arten von Sicherheitsverletzungen, die Angreifer sowie die davon betroffenen Prozesse und alle nachgelagerten Personen, die davon betroffen sind, ermittelt werden müssen“, sagt sie. „Wenn Sie also eine Risikobewertung ordnungsgemäß durchführen, sollte dies in Ihren Kommunikationsplan einfließen.“
Von diesem Zeitpunkt an sollten Sie ausschließlich korrekte Informationen weitergeben. Das bedeutet, einen schmalen Grat zu beschreiten: Man muss frühzeitig kommunizieren, um den Eindruck zu vermitteln, die Situation im Griff zu haben, und gleichzeitig sicher sein, dass die Fakten stimmen, sagt Paul Watts, renommierter Analyst beim Information Security Forum.
„Das kann manchmal ein Problem sein, wenn man glaubt, einen Präventivschlag ausführen zu müssen, und dann feststellt, dass die Umstände des Vorfalls entweder besser oder schlechter sind, was bedeutet, dass man sich neu positionieren muss“, sagt er.
Nichts untergräbt das Vertrauen bei einem Datenleck schneller als widersprüchliche Informationen. Das britische Telekommunikationsunternehmen TalkTalk geriet in die Kritik, nachdem es offenbar widersprüchliche Aussagen zum Diebstahl von Kundendaten im Jahr 2015 veröffentlicht hatte, was sowohl die britische Polizei als auch die Kunden vor ein Rätsel stellte.
Eine konsequente Kommunikation bedeutet, eng und regelmäßig mit Ingenieuren und IT-Mitarbeitern zusammenzuarbeiten. Sie werden Ihnen dabei helfen, bekannte Fakten von sich noch entwickelnden Theorien zu unterscheiden, damit Sie nur das weitergeben, dessen Sie sich sicher sind.
Die Sprachbarriere überwinden
„Das Gespräch mit Ingenieuren ist ein gutes Beispiel dafür, dass ein interdisziplinärer Ansatz von entscheidender Bedeutung ist“, sagt Marinkovic. Die Übersetzung von „ -Engineer-ese“ in eine für Kunden verständliche Sprache könnte für Fachleute im Bereich der internen Kommunikation ohne technischen Hintergrund schwierig sein. Es bedarf beharrlicher und prägnanter Nachfragen, um relevante Fakten zu ermitteln, die an die Aufsichtsbehörden und die betroffenen Interessengruppen weitergeleitet werden können.
„Ihr GRC-Team [Governance und Compliance] kennt sich mit Kontrollmechanismen aus und verfügt in der Regel über mehr Erfahrung darin, technische Zusammenhänge für das Unternehmen verständlich zu machen“, sagt sie. Sie sollten bei der Ausarbeitung von Strategien für die externe Kommunikation mit von der Partie sein.
Achten Sie auf Undichtigkeiten
„Es ist von entscheidender Bedeutung, einen einzigen externen Kommunikationskanal sicherzustellen“, sagt Watts, der Unternehmen davor warnt, interne Informationslecks zuzulassen. Es ist von entscheidender Bedeutung, die Mitarbeiter darin zu schulen, was sie während eines Vorfalls sagen dürfen und was nicht. „Andernfalls entstehen Möglichkeiten für Fehlverhalten und unbeabsichtigte Offenlegungen, die dann Ihrer formellen Kommunikationsstrategie zuwiderlaufen könnten“, warnt er.
Unter unangemessener Kommunikation sind nicht nur Gespräche mit Journalisten zu verstehen. Verfügt der Angreifer eines Unternehmens über einen Twitter-Account, könnte es für neugierige Mitarbeiter verlockend sein, ihm von ihrem privaten Account aus zu folgen. Selbst das kann die Angriffsfläche des Unternehmens vergrößern und dem internen Sicherheitsteam Probleme bereiten, so Marinkovic.
Opfer einer Datenpanne ziehen häufig externe Forensikexperten hinzu, um das Problem aufzuspüren und zu beheben. Experten zufolge kann es ebenso wertvoll sein, professionelle Kommunikationsfachleute zu gewinnen, die sich mit Cyber-Krisen-Szenarien auskennen.
„Die Beauftragung der richtigen PR-Agentur hilft Ihnen dabei, diese Botschaft auf authentische Weise zu vermitteln“, sagt Marinkovic. Niemand möchte hören, wie wichtig Ihnen seine Daten sind, nachdem ein Dieb sie gerade im Dark Web veröffentlicht hat. Stattdessen ist eine klare, sachliche Darstellung der Geschehnisse und der Maßnahmen, die Sie zur Behebung des Problems ergreifen, der beste Weg nach vorn – und ein wenig aufrichtige Bescheidenheit würde ebenfalls nicht schaden.
