Als die US-Börsenaufsichtsbehörde SEC ( ) im vergangenen Jahr SolarWinds und dessen CISO- Tim Brown wegen vorsätzlichen Wertpapierbetrugs anklagte, da sie Sicherheitslücken nicht gemeldet hatten, sorgte dies in der Branche für große Unruhe. Plötzlich schienen Technologieunternehmen und insbesondere deren Sicherheitschefs ins rechtliche Visier der Regierung geraten zu sein.
Tatsache ist jedoch, dass staatliche Stellen wie die US-Börsenaufsichtsbehörde ( Securities and Exchange Commission, SEC), das Justizministerium und die Generalstaatsanwälte der Bundesstaaten ständig Ermittlungen einleiten, Führungskräfte vorladen und Anklage erheben. Wenn Technologieunternehmen ins Visier genommen werden, wenden sich viele dieser Führungskräfte an Jessica Nall, eine Partnerin der in Chicago ansässigen Anwaltskanzlei Baker McKenzie LLP.
Mit 23 Jahren Berufserfahrung gilt Frau Nall als eine der führenden Expertinnen des Landes im Bereich der strafrechtlichen und aufsichtsrechtlichen Haftung auf Bundesebene für Fachkräfte im Bereich der Informationssicherheit, insbesondere für CISOs. Tatsächlich gibt sie an, dass sie persönlich mehr CISOs, Führungskräfte im Bereich Informationssicherheit und Teammitglieder in hochkarätigen Ermittlungen auf Bundesebene und den darauf folgenden zivilrechtlichen Verfahren vertreten hat als vielleicht jeder andere Anwalt in den Vereinigten Staaten.
Zudem hat sie Personen verteidigt, die im Rahmen interner Ermittlungen befragt wurden, und unzählige interne Ermittlungen durchgeführt.
Da sich mittlerweile immer mehr CISOs fragen, ob sie ähnlich wie Brown in Schwierigkeiten geraten könnten – der letzte Woche eine gewisse Atempause erhielt, als ein US-Richter den Großteil der von der SEC erhobenen Anklagepunkte zurückwies, jedoch den Kernvorwurf des vorsätzlichen Wertpapierbetrugs gegen ihn aufrechterhielt – hielt Focal Point es für sinnvoll, Nall um Rat zu fragen, wie man im Falle einer Sicherheitsverletzung Ärger vermeiden kann. Sie wird zu diesem Thema auch im Rahmen einer „Black Hat USA 2024 “-Sitzung auf der „7. August “ einen Vortrag mit dem Titel „: Skirting the Tornado – Wesentliche Strategien für CISOs zur Vermeidung staatlicher Konsequenzen im Zuge schwerwiegender Cyberangriffe“ () halten.
Hier ist unser Gespräch mit Nall:
(Dieses Interview wurde zur besseren Verständlichkeit und Kürze bearbeitet.)
Wann haben Sie beschlossen, sich von der allgemeinen Unternehmensverteidigung hin zur Welt der Cybersicherheit zu orientieren?
Vor etwa 10 Jahren gab es einige der ersten Bundesverfahren oder Ermittlungen, an denen Fachleute für Cybersicherheit beteiligt waren und in denen die Behörden untersuchten, was Einzelpersonen und Unternehmen angesichts massiver Cyberangriffe unternommen oder unterlassen hatten. Das ist seitdem ein wesentlicher Bestandteil meiner Arbeit.
„Meine größte Stärke ist der Kampf.“ Während meine Kunden aus dem Bereich der Informationssicherheit gegen Kriminelle und Bedrohungsakteure kämpfen, kämpfe ich gegen den Staat.”
Zwar kann ich Sie hinsichtlich bewährter Vorgehensweisen beraten, um staatliche Eingriffe gemäß und zu vermeiden, doch werde ich in der Regel erst dann hinzugezogen, wenn das Gebäude bereits in Flammen steht. Meistens lautet es in etwa so: „Wir haben diese umfangreiche Vorladung erhalten, oder es läuft eine intensive Untersuchung, oder es liegt eine Meldung eines Whistleblowers vor, die untersucht werden muss und möglicherweise später zu einem Eingreifen der Behörden führen könnte.“ Meine Hauptkompetenz liegt im Kampf. Während meine Kunden aus dem Bereich der Informationssicherheit gegen Kriminelle und Bedrohungsakteure kämpfen, kämpfe ich gegen den Staat.
Sie sprechen mit vielen CISOs. Wie ist ihre Stimmung gerade?
Die Besorgnis nimmt offensichtlich zu. Die Rolle des CISO ist zunehmend schwieriger geworden, da wir neue Technologien wie „ “, KI-Governance einführen und jeder, den ich sehe, darum wetteifert, die neuesten Technologien zu integrieren. Die Arbeit wird immer anspruchsvoller. Und ich glaube, es mangelt, ehrlich gesagt, an wirklich hervorragenden CISOs, die bereit sind, diese Verantwortung zu übernehmen. Und man kann nachvollziehen, warum das so sein könnte, da sie ein hohes Risiko eingehen, dabei jedoch nicht immer die Unterstützung der Geschäftsleitung genießen oder nicht über ausreichende finanzielle Mittel verfügen.
Es herrschen zweifellos Gefühle der Frustration, Besorgnis und Angst, insbesondere seit der Durchsetzungsmaßnahme der SEC im Fall SolarWinds. Wenn staatliche Behörden hinter Ihnen her sind, kann das so sein, als würde eine Atombombe aus „ “ vom Himmel fallen. Letztendlich können Sie nicht viel tun, um dies zu verhindern. Das ist einfach eine dieser Situationen, die nach einem negativ beachteten Vorfall jederzeit eintreten können. Und genau das ist für Menschen, die im Technologiebereich tätig sind – wo normalerweise ein Schritt auf den nächsten folgt –, besonders beängstigend: dass eine unvorhersehbare und existenzbedrohende Gefahr besteht, sollte man das Pech haben, erfolgreich angegriffen zu werden.
Was glauben Sie, warum die Regierung die Überwachung der CISOs verstärkt?
Nun, sie verfolgen damit eigene Interessen. Sie wollen bestimmte Verhaltensweisen verhindern. Und bei schwerwiegenden Sicherheitsvorfällen, insbesondere wenn es sich um staatlich geförderte handelt, stehen der US-Regierung nur wenige Handlungsmöglichkeiten zur Verfügung. Sie können nicht viel unternehmen, um gegen Cyberkriminelle in Russland, China oder anderen Ländern vorzugehen, in denen es keine praktikablen Möglichkeiten für eine Auslieferung oder eine Zusammenarbeit mit ausländischen Strafverfolgungsbehörden gibt.
„[Nach] einem massiven Datenleck erwartet die Öffentlichkeit Maßnahmen seitens der Strafverfolgungsbehörden und sie erwartet, dass sich etwas ändert, um zu verhindern, dass so etwas ein weiteres Mal geschieht.“
Wenn ein schwerwiegender Fall von Cyberkriminalität auftritt, wie beispielsweise ein groß angelegter Datenleck, erwartet die Öffentlichkeit Maßnahmen seitens der Strafverfolgungsbehörden und sie erwartet, dass sich die Situation ändert, um zu verhindern, dass sich so etwas das nächste Mal wiederholt. Da unsere Regierung also nicht gegen den FSB (Föderaler Sicherheitsdienst der Russischen Föderation, ehemals KGB) vorgehen kann, muss sie etwas unternehmen. Und da der CISO als Speerspitze der Cybersicherheitsmaßnahmen gilt, ist er oft das naheliegende Ziel, wenn die Regierung Köpfe rollen lassen will.
Ich halte dies für äußerst falsch, ungerecht und unfair, und deshalb setze ich mich mit solcher Entschlossenheit gegen die Regierung ein, da ich davon überzeugt bin, dass dies nicht der richtige Weg ist. Doch genau so läuft es nur allzu oft ab.
Wenn wir Unternehmen nicht mittels Gesetzen für die Cybersicherheit zur Verantwortung ziehen können und Sie der Ansicht sind, dass der Einsatz strenger Durchsetzungsmaßnahmen gegenüber CISOs unfair ist, wie sollen wir dann vorgehen?
Dies ist ein Bereich, in dem meiner Meinung nach kollektive, unternehmerische Verantwortung der richtige Weg ist. Ein Beispiel hierfür ist die SEC-Verfügung Nr. 2018 in der Rechtssache „ “ (SEC gegen Altaba,), in der auf einige systemische Versäumnisse bei der Offenlegung von Cybervorfällen hingewiesen und eine hohe Geldbuße (35 Millionen US-Dollar) gegen das Unternehmen verhängt wurde, ohne jedoch Anklage gegen einzelne Personen zu erheben. Stattdessen veröffentlichte sie Leitlinien, an denen sich andere Unternehmen orientieren können, um hohe Geldstrafen zu vermeiden, die sich auf die Aktionäre und den Aktienkurs auswirken, und so – wohl – positive Veränderungen herbeizuführen, ohne dass die falschen Personen zur Rechenschaft gezogen werden.
[Lesen Sie auch: Wie CISOs Burnout bekämpfen und ihre berufliche Laufbahn verlängern können]
Leider haben sich das Strafrecht und das Regulierungssystem auf Bundesebene in den vergangenen rund 10 Jahren so stark weiterentwickelt, dass die Regierung nun verpflichtet ist, im Rahmen von Durchsetzungsmaßnahmen und Strafverfahren konsequent nach Personen zu suchen, die zur Verantwortung gezogen werden können. Seit der Veröffentlichung des „Yates-Memos“ des Justizministeriums mit dem Titel „“ () im Jahr 2015 ist dies auf Seiten der Regierung zu einer immer dringlicheren Notwendigkeit geworden. Das Justizministerium veröffentlichte dieses Memo nach einem öffentlichen Aufschrei, als der Zusammenbruch des 2008 -Marktes dazu führte, dass keine Einzelpersonen zur Rechenschaft gezogen wurden. Doch dies ist ein Bereich, in dem dies wirklich fehl am Platz ist.
Die Regierung muss Sie wohl sehr schätzen, nicht wahr?
Ich gehe gerne davon aus, dass dies der Fall ist. Ganz offen gesagt gibt es einen regen Austausch zwischen den Bundesstaatsanwaltschaften, den für die Durchsetzung zuständigen Anwälten der SEC und den auf Wirtschaftskriminalität spezialisierten Strafverteidigern. Glaubwürdigkeit ist das A und O, und die Zusammenarbeit mit hochqualifizierten und sachkundigen Verteidigern kann in der Regel nur von Vorteil sein. Also, natürlich, ja, sie lieben mich. Und ich liebe sie, vor allem, wenn sie mein Volk freilassen.
Könnten Sie uns einige Strategien nennen, mit denen CISOs Schwierigkeiten vermeiden können?
Zunächst ist es wichtig, die Dynamik der Abläufe zu verstehen. Warum verhalten sich verschiedene Parteien so, wie sie es tun? Fragen Sie sich: „Welche Anreize hat das Unternehmen, wenn sich ein schwerwiegender Sicherheitsvorfall ereignet und die Behörden Interesse daran zeigen, und wie können Sie dem zuvorkommen, um sicherzustellen, dass Sie so viel Kontrolle wie möglich über diese Kommunikation haben?“
„Welche Anreize bestehen für das Unternehmen, wenn sich ein schwerwiegender Sicherheitsvorfall ereignet und die Regierung Interesse daran zeigt, und wie können Sie dem zuvorkommen?“
Außerdem sollten Sie sich die Kommunikationswege unter in Ihrem Unternehmen genau ansehen. Bevor Sie eine CISO-Position antreten, sollten Sie sich vergewissern, wem Sie unterstellt sein werden. Dies ist bei Unternehmen in der Regel sehr unterschiedlich. Sollte ich jedoch in der Lage sein, eine Beförderung in diese Position anzunehmen oder zu einem neuen Unternehmen zu wechseln, möchte ich mir dessen wirklich bewusst sein und sicherstellen, dass ich weiß, dass der Schutz im Falle einer Datenschutzverletzung auch auf mich ausgedehnt wird und nicht nur dem Schutz des Unternehmens selbst dient.
[Lesen Sie auch: Ein grundlegender Überblick über IT-Compliance und wie diese den Gewinn steigert]
Außerdem sollten Sie in der Lage sein, Warnsignale zu erkennen. Wenn etwas vorgefallen ist und Sie gebeten werden, im Rahmen einer internen Untersuchung zu einer Befragung zu erscheinen, der Druck dabei immer weiter zunimmt und Sie dies ohne Ihren eigenen Anwalt tun, ist dies eines von vielen möglichen Warnzeichen.
Rechtliche Probleme gehen nicht immer von Behörden aus. Manchmal erheben Cyber-Versicherer Klage gegen CISOs oder IT-Sicherheitsteams. Was raten Sie Ihren Kunden, um diesen Herausforderungen vorzubeugen?
In meiner jahrzehntelangen Berufspraxis habe ich mich intensiv mit den Versicherungsgesellschaften „ “ befasst. Und ich habe immer wieder erlebt, welche Strategien sie auf ihrer Seite anwenden, um Zahlungen auf jede erdenkliche Weise zu vermeiden – sei es durch die Kündigung einer Police aufgrund von Informationen, die nicht oder nicht ausführlich genug offengelegt wurden, oder aufgrund eines Ausschlusses. Selbst die Deckungssummen können ein Problem darstellen.
„Wenn etwas vorgefallen ist und Sie gebeten werden, im Rahmen einer internen Untersuchung zu einer Befragung zu erscheinen … und Sie dies ohne Ihren eigenen Anwalt tun, ist das eines von vielen möglichen Warnsignalen.“
In meinem Vortrag auf der Black Hat werde ich daher über Versicherungen sprechen und die wichtigsten Fragen ansprechen, die Sie sich stellen sollten, wenn Sie in einem Sicherheitsbereich tätig sind. Ich werde Ihnen erläutern, was Sie über den Versicherungsschutz wissen müssen und wie hoch eine angemessene Versicherungssumme sein könnte, damit Sie über ein solides Sicherheitsnetz verfügen.
Wir haben von Versicherern gehört, dass die beste Möglichkeit, Probleme zu vermeiden, darin besteht, mit ihnen zusammenzuarbeiten. Stimmen Sie dem zu?
In gewisser Weise stimmt das. Ich habe viele Stunden damit verbracht, Versicherer über den aktuellen Stand verschiedener behördlicher Ermittlungen zu informieren. Es ist jedoch nicht immer so, dass die Interessen aller übereinstimmen.
Ich würde sagen, dass es immer die Gefahr von Schwierigkeiten gibt, wenn Sie mit Ihrem Versicherer sprechen, denn dieser neigt dazu, sich als Ihr Freund zu präsentieren, solange er Ihre Prämien einzieht – doch wenn es an der Zeit ist, zu zahlen, sieht die Sache schon anders aus. Es handelt sich also um einen heiklen Spagat, der strategisch angegangen werden muss. Ich verstehe zwar, wie sie zu dieser Ansicht kommen, doch das ist ein Argument, das sie sehr häufig vorbringen, um die Zahlung zu verweigern. In dieser Hinsicht sollten Sie die Dinge nicht durch eine rosarote Brille betrachten.
Gibt es noch etwas, das Sie aus Ihrem bevorstehenden Black-Hat-Vortrag vorab vorstellen möchten?
Der Plan sieht vor, den Zuhörern eine Reihe von Strategien an die Hand zu geben, über die sie nachdenken können, damit sie niemals mit den schrecklichen Situationen konfrontiert werden, die Tim Brown und andere durchleben mussten. Die Bundesregierung verfügt über enorme Macht. So viel Kraft. Und das kann das Leben der Menschen wirklich auf den Kopf stellen. Ich möchte dazu beitragen, dass niemand in diese Situation gerät, und falls es doch einmal dazu kommen sollte, dass man weiß, an wen man sich wenden kann.
