Anfang September wurde Suffolk County, der viertgrößte Landkreis des Bundesstaates New York, Opfer eines Ransomware-Angriffs, der das „ 911 “-System des Landkreises sowie weitere Dienste lahmlegte und beinahe zu einem Datenleck von mehr als 4 Terabyte gestohlener Daten geführt hätte. Im Oktober nahmen russischsprachige Hacker den New Yorker Flughafen La Guardia ins Visier, nur wenige Monate nachdem von der chinesischen Regierung unterstützte Hacker in die Netzwerke von mindestens sechs weiteren US-Bundesstaaten eingedrungen waren.
Allein in den ersten sechs Monaten des Jahres 2022 führten 27 Angriffe auf Einrichtungen des öffentlichen Sektors in den USA zu Zahlungen in Höhe von fast 220 Millionen US-Dollar an die Ransomware-Gruppe „ “ . Diese Angriffe lassen keine Anzeichen einer Abschwächung erkennen.
Organisationen des öffentlichen Sektors haben deutlich geringere Chancen, sich gegen Cyberangriffe zu verteidigen, wenn sie isoliert arbeiten. Wenn sie jedoch ihre Kräfte bündeln, um in Zusammenarbeit mit der Privatwirtschaft eine landesweite Strategie zur „ “ ( ) zu entwickeln, die alle Ebenen – vom Staat bis zu den Kommunen – umfasst, beginnen sich die Chancen zu ihren Gunsten zu verschieben.
Meine kürzlich erfolgte Ernennung zum stellvertretenden Vorsitzenden des „ “ des Staates New York (wird in einem neuen Tab geöffnet) – einer öffentlich-privaten IT-Kooperation, die sich über staatliche Behörden, Landkreise und Städte erstreckt – verschafft mir einen einzigartigen Einblick in die Situation. Die Arbeitsgruppe „Sicherheit“ des Forums hat den Ansatz „Whole-of-State“ als zentrales Thema festgelegt und sucht derzeit Referenten für Veranstaltungen, um zu informieren, zusammenzuarbeiten und Ideen auszutauschen.
Hürden überwinden
Der landesweite Ansatz zur Cybersicherheit legt den Schwerpunkt auf die Zusammenarbeit zwischen Ministerien und Behörden, um Bedrohungen der Cybersicherheit einzudämmen. Durch den Abbau behördlicher Silos ermöglicht diese Methodik den Behörden, Ressourcen und Informationen im Bereich der Cybersicherheit gemeinsam zu nutzen, um ihre gemeinsame Sicherheitslage zu verbessern.
Nehmen wir an, ein Landkreis wird angegriffen. Dank einer landesweiten Strategie können die Mitarbeiter der Abteilungen für Informationssicherheit und IT-Betrieb im gesamten Bundesland von „ “ schnell Informationen darüber austauschen, wie sie ihre jeweiligen Organisationen schützen und verhindern können, dass Angriffe Fuß fassen.
Eines meiner Hauptziele für das New York State Forum ist es, öffentliche und private Organisationen dabei zu unterstützen, gemeinsam komplexe IT-Herausforderungen zu bewältigen. Auf öffentlicher Seite gehören zu den Beteiligten Städte, Landkreise und der Staat sowie Bildungseinrichtungen, Stammesgemeinschaften und andere Organisationen des öffentlichen Sektors. Im privaten Sektor zählen wir rund 90 Mitgliedsunternehmen, die von den kleinsten Start-ups bis hin zu den größten Systemintegratoren reichen.
Das Forum bietet IT-Führungskräften und -Mitarbeitern eine Plattform für die Zusammenarbeit und den Aufbau von Beziehungen, während sie sich mit schwierigen Problemen auseinandersetzen, beispielsweise der Frage, wie ein einheitliches Identitätsmanagement für alle staatlichen Dienste geschaffen werden kann und wie man sich gegen sich ständig wandelnde Cyberangriffe schützen kann.
Allerdings ist dieser Ansatz nicht einfach. In einem großen Bundesstaat wie New York – mit 62 Landkreisen, Hunderten von Städten und zahlreichen Organisationen des öffentlichen Sektors – habe ich vier wesentliche Herausforderungen bei der Umsetzung eines landesweiten Ansatzes festgestellt.
1. Die Politik überwinden
Manche Menschen sind der Ansicht, dass Cybersicherheit nichts mit Politik zu tun habe – dass Netzwerke allen Menschen zugutekommen, unabhängig von ihrer politischen Zugehörigkeit. Und das stimmt. Dennoch haben Kommunalverwaltungen aufgrund politischer Differenzen die Hilfe des Landes mitunter nicht angenommen. Das kann sich jedoch schnell ändern, wenn Regierungsvertreter beobachten, wie benachbarte Landkreise nach einem Anschlag mit Versorgungsengpässen zu kämpfen haben.
„Organisationen “des öffentlichen Sektors haben weitaus geringere Chancen, sich gegen Cyberangriffe zu verteidigen, wenn sie isoliert arbeiten.“
Ich habe zudem eine gewisse Zurückhaltung beim Austausch von Informationen über Sicherheitslücken beobachtet. Nur wenige Unternehmen möchten Informationen über einen Ransomware-Angriff preisgeben, nur um dann als Paradebeispiel dafür herhalten zu müssen, wie man ein Netzwerk nicht schützen sollte.
Ein Teil meiner Aufgabe im Rahmen des Forums besteht darin, dazu beizutragen, Vertrauen unter den Teilnehmern unserer landesweiten Strategie aufzubauen – Vertrauen darauf, dass die Experten den lokalen IT-Mitarbeitern Gehör schenken, dass deren Bereitschaft, auch über Misserfolge zu berichten, nicht bestraft wird und dass Informationen offen ausgetauscht werden. Ich möchte Vertrauen aufbauen, indem ich Menschen zusammenbringe und sie dazu ermutige, gemeinsam an der Lösung von Problemen zu arbeiten, die uns alle betreffen.
2. Talente gewinnen und binden
Eine große Herausforderung für Organisationen des öffentlichen Sektors besteht darin, Fachkräfte im Bereich Cybersicherheit zu gewinnen und zu binden (wird in einem neuen Tab geöffnet). Laut der New-York-Sektion der „ “-Karte zur Fachkräftelücke (öffnet in einem neuen Tab) auf Cyberseek.org bleiben mehr als ein Drittel aller Stellen im Bereich Cybersicherheit im Bundesstaat New York unbesetzt, obwohl Informationssicherheitsanalysten auf Einstiegsebene in diesem Bundesstaat mehr als 140 000 $ (öffnet in einem neuen Tab) pro Jahr verdienen können.
„Es gibt eine Schattenwelt von Beratern, die ihre IT-Kenntnisse auf Projektbasis einsetzen und sich die besten Aufträge mit dem höchsten Stundensatz herauspicken“, sagt Kevin Carpenter, Senior Director für Geschäftsentwicklung bei MVP Consulting und ehemaliger Vorsitzender des IT Corporate Roundtable des New York State Forum. „Während der Covid-Pandemie, als das Arbeiten von zu Hause aus zur Norm wurde, ermöglichte die Suche nach Fachkräften außerhalb der eigenen Region den Zugang zu Erfahrungen und Kompetenzen, die zuvor nicht verfügbar waren.“ „Nun, da wir in die Zeit nach der Pandemie eintreten, haben viele dieser Fachkräfte beschlossen: ‚Nein, ich möchte nicht mehr wie früher an einem Schreibtisch in Albany sitzen‘, und sie kündigen in Scharen.“
Selbst die altruistischsten Fachleute für Cybersicherheit werden sich für das entscheiden, was für ihre berufliche Laufbahn und ihre Familien am besten ist. Sollte der öffentliche Sektor nicht in der Lage sein, deren Bedürfnisse zu erfüllen, werden die Fachkräfte sich anderweitig orientieren. Einer der Vorteile einer landesweiten Strategie besteht darin, dass kleinere öffentliche Einrichtungen durch Zusammenarbeit Zugang zu hochqualifizierten Cyber-Experten erhalten können – ohne diese fest anstellen zu müssen.
3. Standardisierung erreichen
Eine weitere Herausforderung stellt die mangelnde Vereinheitlichung der Maßnahmen zur Abwehr von Cyberkriminellen in den meisten Bundesländern dar. Es liegt auf der Hand, dass es keine einheitliche Methode gibt, um die Cybersicherheit zu gewährleisten. Durch die Zusammenarbeit erhalten die Teilnehmer jedoch die Möglichkeit, einheitliche Standards zu entwickeln, beispielsweise hinsichtlich der bei der Personalauswahl zu berücksichtigenden Kompetenzen, der Erfassung der Angriffsfläche der jeweiligen Organisation sowie der Erhebung von Daten im Zusammenhang mit Angriffen. Wenn es in Ihrem Bundesland 50 verschiedene Vorgehensweisen gibt, wird es wesentlich schwieriger, schnell zu handeln – oder überhaupt zu handeln.
Der Privatsektor spielt bei der Festlegung von Standards eine wichtige Rolle. Die führenden Technologieunternehmen arbeiten mit dem öffentlichen Sektor zusammen und bieten Lösungen an, die sich problemlos in unterschiedliche Systeme integrieren lassen.
4. Sicherung weiterer Finanzmittel
Die Umsetzung einer landesweiten Strategie ist nicht kostenlos. Zwar besteht ein Großteil der Vorarbeit darin, Beziehungen aufzubauen und Vertrauen zu schaffen, doch irgendwann müssen Unternehmen auch entsprechende Instrumente und Technologien einführen. Wir können uns in New York glücklich schätzen, denn der Staat hat im 2023 . Staatshaushalt 61,9 Millionen Dollar für Maßnahmen zur Cybersicherheit vorgesehen und weitere 30 Millionen Dollar, um Kommunalverwaltungen beim Aufbau hochwertiger Cyberabwehrmaßnahmen zu unterstützen. Im Oktober kündigte Gouverneurin Hochul zusätzliche Bundesmittel in Höhe von 246 Millionen US-Dollar an, um unter anderem Cyberangriffe auf das Wahlsystem des Bundesstaates zu bekämpfen.
“[Mit einem landesweiten Ansatz] erhalten Führungskräfte Zugang zu hochqualifizierten Fachkräften im Bereich Cybersicherheit, ohne zusätzliches Personal einstellen zu müssen – und sie könnten sogar Geld bei ihren Prämien für Cyberversicherungen sparen.“
Befürworter auf Landesebene können sich zudem auf das 1,2 Billionen Dollar schwere Infrastrukturgesetz der Bundesregierung stützen, das die staatlichen Ausgaben für Cybersicherheit um fast 2 Milliarden Dollar erhöht. Landes-, Kommunal-, Stammes- und Territorialregierungen können die Fördermittel nutzen, um sensible Daten und kritische Infrastrukturen besser zu schützen, schneller auf Cybersicherheitsvorfälle zu reagieren und weitere Maßnahmen zur Stärkung der Cyberabwehr zu ergreifen. Bundesländer, die Beziehungen zwischen ihren staatlichen und kommunalen Einrichtungen aufbauen, können ihre finanziellen Mittel bündeln, um gemeinsame Ziele zu erreichen.
Die landesweite Umsetzung verwirklichen
In der Vergangenheit haben sich viele öffentliche Einrichtungen gescheut, die Cybersicherheit in dem erforderlichen Umfang zu verbessern. Die Gefahr von Ransomware-Angriffen hat ihre Aufmerksamkeit auf sich gezogen, ebenso wie die gestiegenen Kosten für Cyberversicherungen . In diesem Jahr zahlte der New Yorker Landkreis Clinton fast 50 000 Dollar für seinen Cyber-Versicherungsschutz. Der Versicherer des Landkreises teilte der Geschäftsleitung mit, dass mit einer geschätzten Prämie von 72 000 Dollar für 2023 zu rechnen sei, was einer Erhöhung um fast 50 % entspricht.
Eine wichtige Möglichkeit für öffentliche Einrichtungen, solche astronomischen Kostensteigerungen zu vermeiden, besteht darin, nachzuweisen, dass sie konkrete Maßnahmen zur Abwehr von Cyberangriffen ergreifen – und über die entsprechenden Daten zu verfügen, um dies zu belegen. Staatliche Hochschulen, Universitäten und Forschungslabore, die externe Fördermittel erhalten, stellen ebenfalls fest, dass viele Förderinstitutionen mittlerweile beginnen, dieselbe Art von Nachweisen zu verlangen. Im Rahmen einer landesweiten Strategie können öffentliche Einrichtungen lernen, wie sie ihre Prämien senken können, indem sie beispielsweise die Mehrfaktorauthentifizierung, Risikobewertung sowie eine verbesserte Datenerfassung einführen.
[Lesen Sie auch: So setzt Ransomware der Cyberversicherungsbranche schwer zu]
Wenn Organisationen eine landesweite Strategie entwickeln, können sie zunächst grundlegende Informationen sowie bewährte Praktiken zur Cyberhygiene austauschen und anschließend dazu übergehen, Instrumente und Technologien zu teilen und gemeinsam Strategien zur Cyberabwehr zu entwickeln. Schließlich können sie sich gegenseitig dabei unterstützen, Cyberangriffe in Echtzeit abzuwehren. Im Rahmen dieser Zusammenarbeit erhalten Führungskräfte Zugang zu hochqualifizierten Fachkräften im Bereich Cybersicherheit, ohne zusätzliches Personal einstellen zu müssen – und sie können möglicherweise sogar Kosten bei ihren Prämien für Cyberversicherungen einsparen.
Derzeit ist die Nation gespalten, und diese Spaltung kann uns daran hindern, eine geschlossene Verteidigung gegen unsere Feinde aufzubauen. Sollte unser Land von einer konventionellen Streitmacht angegriffen werden, würden wir unsere politischen Differenzen beiseite legen und als Amerikaner zusammenarbeiten. Die Cyberangriffe, denen wir im öffentlichen und privaten Sektor auf allen Regierungsebenen ausgesetzt sind, stellen in der Tat eine Form der „ “ der modernen Kriegsführung dar.
Um auf rasch eskalierende Bedrohungen reagieren zu können, müssen sich Sicherheitsverantwortliche aus Organisationen des öffentlichen Sektors eines gesamten Bundeslandes mit ihren Kollegen – von der untersten bis zur obersten Ebene – zusammenschließen, um einander zuzuhören, sich gegenseitig zu unterstützen und Beziehungen aufzubauen. Zwar ist Technologie sehr wichtig, doch eine auf Zusammenarbeit ausgerichtete Denkweise ist noch entscheidender. Durch die Umsetzung einer landesweiten Strategie können die Verantwortlichen ihren gemeinsamen Weg hin zu einer robusten Sicherheitslage beschleunigen, die den drohenden Gefahren gewachsen ist.
