Als erfolgreicher CISO bei SolarWinds schien Tim Brown alles zu haben.
(rechts), Chief Information Security Officer bei der „ “, war für den Schutz des gesamten Portfolios an Infrastrukturmanagement-Tools des Softwareentwicklungsunternehmens verantwortlich, zu dem auch eine IT-Überwachungsplattform namens „Orion“ gehörte, die an etwa 33 000 Kunden aus dem privaten und öffentlichen Sektor bereitgestellt wurde.
Dann änderte sich alles.
Ende 2020 sollen Hacker, die angeblich Verbindungen zu einem russischen Geheimdienst s hatten, einen Schadcode namens „Sunburst“ in einen Software-Patch für Orion eingeschleust haben. Das manipulierte Update wurde von rund 18 000 Organisationen heruntergeladen und installiert, darunter US-Regierungsbehörden und Unternehmen aus den Fortune- 500 -Listen. Es handelte sich um einen der raffiniertesten und innovativsten Cyberangriffe der Geschichte, der als Weckruf hinsichtlich des „ “-Zustands der Lieferkettensicherheit diente.
Als Experte mit 30 Jahren Erfahrung im Bereich IT-Sicherheit war Brown der Ansicht, dass es angesichts der Vielzahl der von dem Datenleck betroffenen Regierungsbehörden rechtliche Konsequenzen geben könnte. Doch selbst er war überrascht, als im Oktober 2023 während seiner Teilnahme an einer Konferenz in Zürich die Nachricht eintraf, dass die US-Börsenaufsichtsbehörde ( , U.S. Securities and Exchange Commission, ) das in Texas ansässige Unternehmen SolarWinds – – sowie Herrn Brown persönlich – – wegen Betrugs und Versäumnissen bei den internen Kontrollmechanismen im Zusammenhang mit angeblich bekannten Cybersicherheitsrisiken und Schwachstellen angeklagt hatte.
In der bevorstehenden Klage wird behauptet, dass SolarWinds und Brown im Zeitraum vom 2018 bis zum Dezember 2020 Anleger betrogen hätten, indem sie die Sicherheitsvorkehrungen des Softwareunternehmens übertrieben darstellten und bekannte Risiken heruntergespielt oder gar nicht offengelegt hätten.
Nach einem anstrengenden Jahr war Brown erleichtert, als ein Richter am US-Bezirksgericht die meisten Ansprüche der SEC in der Rechtssache „ Juli 2024“ abwies . SolarWinds und die SEC haben kürzlich einen vorläufigen Vergleich bezüglich der verbleibenden Vorwürfe erzielt. Die Bedingungen der Vereinbarung, die voraussichtlich im Herbst dieses Jahres endgültig festgelegt werden, wurden nicht bekannt gegeben.
Nun äußert sich der 61-jährige Brown öffentlich zu den beispiellosen Anklagen der SEC gegen einen CISO und deren Bedeutung für den Berufsstand. , Redakteurin bei „Focal Point“, traf sich kürzlich mit ihm, um zu besprechen, wie ihn diese Erfahrung geprägt hat und welche Erkenntnisse er daraus gewonnen hat.
(Das folgende Interview wurde aus Gründen der Übersichtlichkeit und der Länge redaktionell bearbeitet.)
Was haben Sie in den ersten Tagen nach Einreichung der Klage durch die SEC durchgemacht?
Die rechtlichen Einwände waren zu erwarten. Unsere Anwälte haben sich intensiv damit befasst und rechneten mit einer Sammelklage oder einer ähnlichen Maßnahme seitens einer staatlichen Behörde, wie beispielsweise der SEC. Ein oder zwei Tage, nachdem wir von dem Angriff erfahren hatten, sprach einer unserer externen Rechtsberater mit mir und sagte – wie es die Berufsethik vorschreibt –: „Wir möchten Sie lediglich daran erinnern, dass wir das Unternehmen vertreten.“ „Wir vertreten Sie nicht.“
„“ Wir möchten Sie lediglich daran erinnern, dass wir das Unternehmen vertreten. Wir vertreten Sie nicht.”Ein Anwalt von SolarWinds an CISO Tim Brown im Jahr 2020, ein oder zwei Tage nach der Aufdeckung des Cyberangriffs
Mir war klar, dass sie dies sagen mussten, doch es war ein unangenehmer Einstieg. Man sagt Ihnen, man wolle sicherstellen, dass alle Fakten vorliegen und man aus Ihrer Sicht weiß, was geschehen ist. Aber auch hier betonen sie erneut, dass sie das Unternehmen vertreten. Nicht Sie. Letztendlich habe ich einen Anwalt für mich selbst beauftragt und hatte zudem einen Anwalt, der gemeinsam mit dem Unternehmen beauftragt war. Glücklicherweise übernahm das Unternehmen die Kosten für meinen privaten Anwalt. Der gesamte Prozess im Zusammenhang mit meiner individuellen Vertretung kostete SolarWinds letztendlich mehr als 1 Million Dollar.
Aufgrund meiner Erfahrungen empfehle ich CISOs stets, ein einfaches Gespräch mit ihren Arbeitgebern zu führen. Gehen Sie zu ihnen und sagen Sie: „Tim musste das durchmachen.“ Gegen ihn wurde Klage eingereicht. Er musste sich einen eigenen Anwalt nehmen. Diese Anwaltskosten sind hoch. Zu seinem Glück war SolarWinds bereit, die Kosten für einen eigenen Anwalt zu übernehmen. „Wie würden wir damit umgehen, wenn so etwas passieren sollte?“
[Lesen Sie auch: 5 Mythen – und Fakten – rund um die Cyberversicherung]
Eine D&O-Versicherung [Haftpflichtversicherung für Führungskräfte] kann bestimmte Risiken abdecken, je nachdem, wie die Policen formuliert sind. Es kann jedoch sein, dass sie dies nicht tun. Daher ist es wichtig, dieses Gespräch zu führen und festzulegen, was geschieht, wenn Sie in eine solche Situation geraten. In meinem Fall war das Unternehmen einfach großartig. Wir waren während des gesamten Prozesses äußerst gut aufeinander abgestimmt, sodass ich mir keine Gedanken darüber machen musste, die Kosten für meinen persönlichen Anwalt zu tragen. Aber Sie möchten sich vergewissern.
Dennoch muss es ihn sehr mitgenommen haben, persönlich von der SEC angeklagt worden zu sein. Wie sind Sie mit dem Stress umgegangen?
Ja, ich dachte, in den ersten paar Jahren wäre alles gut gelaufen. Doch schließlich erlitt ich in der Woche, in der mir mitgeteilt wurde, dass Anklage gegen mich erhoben würde, einen Herzinfarkt. Also, ich schätze, es lief doch nicht so gut, wie ich gedacht hatte.
„“ In der Woche, in der mir mitgeteilt wurde, dass Anklage gegen mich erhoben würde, erlitt ich schließlich einen Herzinfarkt. Nun, ich schätze, es lief doch nicht so gut, wie ich gedacht hatte.“
Die meisten von uns haben ihre ganz eigenen Methoden, mit Stress umzugehen: Manche Menschen reden gerne darüber. Manche Menschen sind Verleger. Andere wiederum verinnerlichen oder schotten Dinge ab. Ich neige dazu, Dinge in verschiedene Bereiche zu unterteilen. Ich halte mein Berufs- und Privatleben voneinander getrennt. Das hilft mir, Stress abzubauen. Ich lebe auf einer Ranch in Texas mit Pferden, Mini-Eseln und all diesen Dingen. Das war schon immer mein Ventil, um Stress abzubauen. Das hat bei mir immer gut funktioniert – zumindest dachte ich das.
Ich nahm im Jahr September 2023 an einer Konferenz in Zürich teil, als ich erfuhr, dass mir Kosten in Rechnung gestellt werden würden. Ich flog an einem Samstag nach Hause und merkte, dass etwas nicht stimmte, als ich vom Flughafen zu meinem Auto ging und anhalten musste, um mich auszuruhen. Als ich nach Hause kam, erzählte ich meiner Frau davon, und sie bestand darauf, dass ich sofort ins Krankenhaus gehe. Die Ärzte bestätigten einen Herzinfarkt.
Was haben Sie aus dieser Erfahrung gelernt?
Das hat mir geholfen, die Dinge ins rechte Licht zu rücken. Ihnen wird bewusst, dass der Beruf nicht so wichtig ist wie Ihre Gesundheit. Die Position des CISO ist mit hohem Stress verbunden. Die meisten von uns blühen dadurch richtig auf. Wir wissen einfach nicht, wo dieser Bruchpunkt liegt. Was mich betrifft, so hatte ich an jenem Tag einen Volltreffer gelandet. An diesem Punkt hatte ich meine Belastungsgrenze erreicht.
Als sich die Lage wieder etwas normalisiert hatte, half es, die Dinge ins rechte Licht zu rücken. Es hat mir geholfen, mich zu fragen: „Was wäre das schlimmste Szenario?“ In meinem Fall wurde mir klar, dass es sich nicht um strafrechtliche Vorwürfe handelte. Ich musste also nicht ins Gefängnis. Im schlimmsten Fall drohten eine Geldstrafe und ein fünfjähriges Verbot, als leitender Angestellter oder Vorstandsmitglied eines börsennotierten Unternehmens tätig zu sein. Und das können Sie doch überstehen, oder?
Ich war von großartigen Menschen umgeben. Meine Anwälte waren sehr gut. Sie arbeiteten sich durch alles hindurch. Ich vertraute ihnen und wusste, dass wir diesen Prozess meistern würden. Wenn Sie zu diesen Erkenntnissen gelangen, sinkt Ihr Stresslevel.
Die Cybersicherheits-Community war schockiert darüber, dass die SEC Anklage gegen Sie erhoben hat. Einige waren der Ansicht, dass Sie zu Unrecht ins Visier genommen wurden. Andere befürchteten, sie könnten die Nächsten sein, und „ “ erwog, „“ zu verlassen. Wie sehen Sie das?
Die Unterstützung durch die Gemeinschaft war unglaublich. Die Menschen hatten Verständnis für meine Situation und erkannten, dass CISOs wie ich lediglich versuchen, alles zu schützen. Wir geben unser Bestes. Manchmal reicht es nicht aus, gegen einen Nationalstaat vorzugehen.
„Die Menschen hatten Verständnis für meine Situation und erkannten, dass CISOs wie ich lediglich versuchen, alles zu schützen.“ Wir geben unser Bestes.”
In den ersten Tagen, Wochen oder Monaten nach einem Vorfall hört man nur sehr wenig Positives. Außerdem tauchen plötzlich Freunde aus dem Nichts auf und sagen: „Sie werden das schon schaffen.“ Bringen Sie es einfach in Ordnung und machen Sie weiter. „Erledigen Sie einfach Ihre Arbeit.“ Und diese Art der Ermutigung ist eine große Hilfe.
Das gilt jedoch auch umgekehrt. Wenn Sie über Ihre Erfahrungen berichten und offen darüber sprechen, was Sie gesehen haben, trägt dies dazu bei, dass die Gemeinschaft widerstandsfähiger gegenüber solchen Angriffen wird. In vielerlei Hinsicht haben wir etwas, das rein theoretisch war, für alle zu einer greifbaren Realität gemacht. Ja, die Russen sind dort draußen. Ja, die „ “-Russen greifen US-Unternehmen an. Ja, die Russen verstehen es, eine Mission erfolgreich durchzuführen, und das gilt auch für andere Nationalstaaten. So könnte es aussehen, und darauf müssen Sie achten.
Als SolarWinds dies anhand eines anschaulichen Modells veranschaulichte, hat dies meiner Meinung nach vielen Menschen auf der ganzen Welt geholfen. Je mehr Positives Sie also aus einem Vorfall herausholen können, desto größer ist der Nutzen, den Sie daraus ziehen können, und dann hat sich das Ganze gelohnt.
Trotz allem sind Sie nach wie vor der CISO bei SolarWinds und scheinen diese Aufgabe zu lieben. Warum lohnt es sich, trotz all dessen, was Sie durchgemacht haben, in diesem Job zu bleiben?
Dieser Beruf gehört zu den einflussreichsten, die man ausüben kann. Stellen Sie sich einmal vor, Sie wären für ein Unternehmen verantwortlich und es würde unter Ihrer Aufsicht zu einem Vorfall kommen.
„: Nach allem, was ich durchgemacht habe, bin ich nach wie vor davon überzeugt, dass die Rolle des CISO von außerordentlicher Bedeutung ist.“ „Wir müssen ausreichende Sicherheitsvorkehrungen treffen, damit unsere nächste Generation bereit ist, diese Aufgabe zu übernehmen und die Verantwortung zu tragen.“
Wenn man ein Unternehmen auf dem angemessenen Niveau absichert, im Hintergrund arbeitet, Gegner abwehren und alles in seiner Macht Stehende tut, um immer einen Schritt voraus zu sein, hat das seinen Reiz. Es hat seinen eigenen Rhythmus. Es wird nie langweilig. Sie kommen nicht herein und machen jeden Tag dasselbe.
Es ist nach wie vor eine der anspruchsvollsten und lohnendsten Positionen, die es gibt. Ja, Sie werden hören, dass andere Leute sagen, es sei frustrierend. Und ja, es ist schwer. Aber unter können Sie großartige Teams aufbauen:. Und Sie haben die Genugtuung, mitzuerleben, wie Ihr Team erfolgreich ist. Die Tätigkeit als CISO bietet viele großartige Möglichkeiten und ist stets von Veränderungen geprägt.
Nach allem, was ich durchgemacht habe, bin ich nach wie vor der Überzeugung, dass die Rolle des CISO von außerordentlicher Bedeutung ist. Wir müssen ausreichende Sicherungsmaßnahmen schaffen, damit unsere nächste Generation bereit ist, diese Aufgabe zu übernehmen, die Verantwortung zu tragen und ihre Pflichten zu erfüllen. Wir behaupten nicht, dass wir uns unserer Verantwortung entziehen können. Und es ist auch wichtig, dass die Menschen verstehen, dass wir, wenn wir diese Rolle übernehmen, Verantwortung übernehmen. Und mit Verantwortung geht manchmal auch eine Haftung einher.
Wir müssen uns darum bemühen, sicherzustellen, dass die Haftung angemessen geregelt wird.
