Zahlreiche Organisationen haben erfolgreich äußerst solide Pläne entwickelt, um zu mobilisieren und auf häufige Cyberbedrohungen wie Ransomware-Angriffe, Datenlecks und Phishing-Betrug zu reagieren.
Doch was geschieht, wenn ein Unternehmen von einem Ereignis getroffen wird, das so verheerend ist, dass es nicht einmal daran gedacht hat, sich darauf vorzubereiten?
Nehmen Sie zum Beispiel einen Cyberkrieg, einen Zusammenbruch des globalen Bankensystems oder ein neuartiges Virus, für das es noch kein Heilmittel gibt. Enterprise concern for such black swan events—aka “unknown unknowns”—grew after former Wall Street options trader Nassim Nicholas Taleb published his 2007 bestseller, The Black Swan. Darin argumentiert er, dass Worst-Case-Szenarien vorhersehbar unvorhersehbar sind und eine unternehmerische Katastrophe bedeuten können.
Erin Bajema hat dies aus nächster Nähe miterlebt.
„Es handelt sich hierbei um Ereignisse, die zwar sehr schwerwiegende Auswirkungen haben, deren Eintrittswahrscheinlichkeit jedoch sehr gering ist“, sagt Bajema, geschäftsführender Gesellschafter und Leiter des Bereichs Cybersicherheit bei Hagerty Consulting, einem Unternehmen für Notfallmanagement.
„Sie sind nahezu unmöglich vorherzusagen“, sagt sie, „und haben je nach Organisation, deren Leistungsumfang und den betroffenen Teilen ihrer Infrastruktur unterschiedliche Auswirkungen.“
Nur wenige Organisationen versuchen, sich solche Ereignisse vorzustellen, und das aus den unterschiedlichsten Gründen. Manchmal gehen Führungskräfte in ihrer Selbstsicherheit davon aus, dass etwas von dieser Tragweite niemals geschehen könnte. In anderen Fällen verfügen sie nicht über die erforderlichen Ressourcen, um sich der Planung für den schlimmsten Fall zu widmen.
Zudem ist es überwältigend, sich etwas Unbekanntes vorzustellen, von dem man nicht einmal weiß, dass es existiert. Daher konzentrieren sich viele Organisationen bei ihren Bemühungen darauf, ausschließlich die häufigsten und wahrscheinlichsten Risiken zu ermitteln und entsprechende Vorkehrungen zu treffen.
„Dies sind Ereignisse, die sehr schwerwiegende Auswirkungen haben und deren Eintrittswahrscheinlichkeit sehr gering ist.“Erin Bajema, geschäftsführende Partnerin und Leiterin des Bereichs Cybersicherheit bei Hagerty Consulting
„Wenn man täglich mit denselben geringfügigen Risiken konfrontiert ist, neigt man leicht dazu, sein gesamtes Krisenmanagement auf diese Aspekte auszurichten“, sagt Bajema. Das ändert sich gerade: „Unternehmen erkennen, dass sie sich auf wirklich katastrophale Ereignisse vorbereiten müssen.“ „Sollten sie dies nicht tun, können die Folgen verheerend sein.“
Mayday! Mayday!
Sich die unbekannten Unbekannten vorzustellen – auch wenn dies schwierig und unangenehm ist – ist eine unverzichtbare Aufgabe, die Vorstände und Führungskräfte erfüllen müssen, bevor es zu spät ist. Hier erfahren Sie, wo Sie anfangen können.
1. Stellen Sie Ihr Team zusammen
Die Planung der Einbindung von Interessengruppen sei ein entscheidender erster Schritt, um sich „unbekannte Unbekannte“ vorzustellen, so Bajema. „Man muss ein Team aus Personen mit dem richtigen Maß an Fachwissen, Kenntnissen und Fähigkeiten zusammenstellen, um den Plan so zu gestalten, dass er in der Praxis tatsächlich umgesetzt werden kann“, sagt sie.
Die beteiligten Interessengruppen sollten repräsentativ für die gesamte Organisation sein. „ “ im Bereich Diversität trage dazu bei, dass alle Möglichkeiten gründlich berücksichtigt und umfassende Lösungen gefunden werden, sagt F. Charlene Watson, leitende Beraterin für Cybersicherheit beim multinationalen Ingenieurunternehmen AECOM. Zu den Beteiligten können Mitarbeiter aus den Bereichen Kommunikation und Medienarbeit, Personalwesen, Lohn- und Gehaltsabrechnung, Cybersicherheit und Rechtsabteilung sowie Mitglieder des Vorstands und der Geschäftsleitung gehören.
2. Fangen Sie klein an
Für kleinere Organisationen oder solche mit begrenzten Ressourcen kann es besonders entmutigend sein, sich „unbekannte Unbekannte“ vorzustellen. „Manche halten sich vielleicht gerade noch über Wasser und bewältigen ihre alltäglichen Risiken nur mit Mühe“, sagt Bajema. „Wenn Sie versuchen, sich direkt mit einem Katastrophenfall zu befassen, ohne dass Ihre grundlegenden Konzepte zur [Notfallreaktion] auf dem neuesten Stand sind, setzen Sie sich selbst dem Scheitern aus.“
„Niemand möchte glauben, dass er angreifbar ist, und es ist unangenehm, über Ereignisse zu sprechen, die das eigene Unternehmen buchstäblich zerstören könnten.“F. Charlene Watson, leitende Beraterin für Cybersicherheit, AECOM
Diesen Organisationen empfiehlt sie, zunächst in kleinem Rahmen mit einer grundlegenden Szenarioplanung oder szenariobasierten „ “-Tabletop-Übungen zu beginnen. Teams können ein vergangenes Ereignis oder eine Fallstudie heranziehen, um eine Reaktion zu simulieren. Dies hilft dabei, Annahmen zu überprüfen – beispielsweise, wie die Geschäftsprozesse einer Organisation derzeit ablaufen – und kann Schwachstellen in jedem ihrer kritischen Dienste aufdecken.
Peter Schwartz, Pionier der Szenarioplanung und heute Chef-Futurist bei Salesforce, definierte Szenarien als facettenreiche, datengestützte Geschichten über die Zukunft, die heute zu besseren Entscheidungen führen können. Das Ziel besteht nicht darin, Gewissheit zu erlangen, sondern vielmehr darin, eine „-Karte der Ungewissheit“ zu erstellen; es geht nicht darum, das zu bekräftigen, was Sie bereits wissen, sondern vielmehr darum, „sichtbar zu machen, was Sie nicht sehen“.
[Lesen Sie auch: Was ist „Threat Hunting“ und warum ist es wichtig?
Watson von AECOM empfiehlt, dass Unternehmen alle sechs Monate Tabletop-Übungen durchführen. „Viele Unternehmen tun dies nicht, weil sie darin keine Möglichkeit zur Steigerung ihrer Gewinnmarge sehen“, sagt sie. „Sie erkennen den Wert davon erst, wenn es bereits zu spät ist und sie sich in einer
kritischen Situation befinden.“
3. Machen Sie sich mit dem Unangenehmen vertraut
Sich die unbekannten Unbekannten vorzustellen, fällt vielen Vorstandsmitgliedern und Führungskräften nicht leicht, räumt Watson ein. „Niemand möchte glauben, dass er verwundbar ist, und es ist unangenehm, über Ereignisse zu sprechen, die das eigene Unternehmen buchstäblich zerstören könnten“, sagt sie.
Es ist jedoch entscheidend, Gefühle des Unbehagens zu überwinden. Herr Bajema, der mit hochrangigen Führungskräften Simulationsübungen durchführt, erklärt, dass es immer einen Punkt gibt, an dem das Szenario das System zum Zusammenbruch bringt – oft absichtlich.
„Wenn die Beteiligten an diesem Punkt angelangt sind, sagen sie: ‚Nun, es funktioniert jetzt nicht mehr, und damit hat sich’s.‘“ Um sie zu ermutigen, diese Hürde zu überwinden, sagen wir: „Okay, nun, da Ihr Stromnetz in ausgefallen ist, was werden Sie tun?“ „Die Vorstände müssen bereit sein, sich in diese Situation des schlimmsten Falles zu versetzen.“
[Lesen Sie auch: 6 Fragen zur Cybersicherheit, die ich den Vorständen stets empfehle zu stellen]
4. Prozesse formalisieren und Lücken schließen
Wenn Organisationen Übungen für den schlimmsten Fall durchführen, wird sich ein klareres Bild davon ergeben, wie gut die Teams zusammenarbeiten und wie klar ihre Rollen und Zuständigkeiten definiert sind. „Prozesse und Abläufe sollten dokumentiert werden, und etwaige Lücken oder Doppelarbeit sollten behoben werden“, so Bajema.
„-Vorstände müssen bereit sein, sich in diese Worst-Case-Szenario-Situation zu versetzen.“F. Charlene Watson
Beispielsweise können Organisationen feststellen, dass sowohl die Personalabteilung als auch das Kommunikationsteam für die Öffentlichkeitsarbeit nach einem Notfall zuständig sind und sich abstimmen müssen, oder dass die Zuständigkeit für die Reaktion auf einen Vorfall keiner bestimmten Person oder keinem bestimmten Team zugewiesen wurde. Die Formalisierung von Prozessen hilft dabei, festzustellen, ob Rollen und Zuständigkeiten korrekt zugewiesen wurden.
„Dadurch verfügen Sie über einen einheitlichen Plan und einen einheitlichen Ablauf, sodass es im Ernstfall nicht zu widersprüchlichen Vorgehensweisen zwischen den Abteilungen kommt“, fügt Bajema hinzu.
5. Berücksichtigen Sie Skalierbarkeit und Anpassungsfähigkeit
Viele Organisationen verfügen über Notfallpläne für die „ “ ( ), um alltägliche Cybersicherheitsbedrohungen und Betriebsstörungen zu bewältigen. In diesen Fällen kann die Anpassung von Plänen an Worst-Case-Szenarien eine weitere Möglichkeit darstellen, mit unbekannten Unbekannten umzugehen. Bajema bezeichnet dies als „Eskalationsmatrix“, die die bereits bestehenden Verfahren auf Katastrophenereignisse ausweitet.
„Wenn Sie in der Lage sind, einen dieser Pläne zu überarbeiten, zu aktualisieren oder zu stärken, um ihn auf eine größere Katastrophe auszurichten und anzupassen, ist dies eine Möglichkeit, das, was Sie bereits haben, besser für ein ‚Black-Swan-Ereignis‘ nutzbar zu machen“, sagt sie.
6. Investieren Sie in Weiterbildung
Unternehmen sollten in Erwägung ziehen, ihre Vorstandsmitglieder, Führungskräfte und andere verantwortliche Gruppen darin zu schulen, sich auf das Unbekannte einzustellen und sich darauf vorzubereiten, so Bajema. Je nach dem Kenntnisstand des Vorstands im Bereich Cybersicherheit könnte es sich dabei um etwas so Einfaches wie ein grundlegendes Sensibilisierungstraining handeln oder um fortgeschrittenere Maßnahmen wie die Krisenkommunikation im Rahmen des „
“.
Sich unbekannte Unbekannte vorzustellen, ist ein wesentlicher Bestandteil des Cybersicherheitsprogramms jeder Organisation, so Watson. Sie sagt, der Vorgang sei dem Bezahlen Ihrer Stromrechnung sehr ähnlich. Sie bezahlen Ihre Rechnung jeden Monat, und Ihr Strom steht Ihnen stets dann zur Verfügung, wenn Sie ihn benötigen. Es könnte jedoch der Tag kommen, an dem Sie die Bezahlung einer Rechnung versäumen und Ihnen der Strom abgeschaltet wird.
„Mit anderen Worten: Sie investieren durch Cybersicherheitsmaßnahmen in Ihr Unternehmen, um dessen Sicherheit zu gewährleisten“, sagt sie. „Wenn Sie der Planung für ein ‚Black-Swan‘-Ereignis keine Priorität einräumen und Ihre Organisation von einem Worst-Case-Szenario betroffen ist, sind Sie unvorbereitet, weil Sie nicht das getan haben, was Sie hätten tun sollen.“ „Wie geht es nun weiter?“
