Sich in der Cybersicherheit zurechtfinden: Einblicke und Tipps

Da unser Leben immer stärker mit der digitalen Welt verflochten ist, ist der Bedarf an zuverlässiger Cybersicherheit größer denn je. Vom Schutz sensibler Unternehmensdaten bis hin zum Schutz unserer persönlichen Daten – es steht mehr auf dem Spiel als je zuvor.  

Wir haben mit Niel Harper gesprochen, dem ehemaligen Chief Information Security Officer und Datenschutzbeauftragten von Doodle, um diese sich ständig weiterentwickelnde Landschaft besser zu verstehen.

In diesem Interview sprechen wir über seinen Werdegang und seine Rolle bei Doodle, Trends in der Cybersicherheit, wie man Kundendaten schützt und wie sich kleine und mittlere Unternehmen (KMU) in diesem sich ständig wandelnden Umfeld schützen können. 

Die dringlichsten Bedrohungen für die Cybersicherheit

Was sind deiner Meinung nach die drängendsten Cybersicherheitsbedrohungen, denen Unternehmen heute ausgesetzt sind?

Ransomware – eine Art von Schadsoftware, die die Daten des Opfers sperrt oder verschlüsselt und ein Lösegeld für die Wiederherstellung des Zugriffs fordert – stellt weiterhin eine große Bedrohung dar. Sie hat jedoch noch weiter an Bedeutung gewonnen, da Angreifer ihren Fokus zunehmend auf Cyber-Erpressung richten. 

Das aktuelle geopolitische Klima trägt ebenfalls dazu bei, dass Organisationen zunehmend ins Visier von sehr erfahrenen und gut organisierten, staatlich geförderten Angreifern geraten. 

Zudem sind viele Unternehmen nach wie vor nicht darauf vorbereitet, mit den Risiken umzugehen, die von Dritten ausgehen (wie zum Beispiel Angriffe auf die Lieferkette). 

Schließlich ist der Einsatz generativer KI durch Mitarbeiter und externe Angreifer sowohl eine Chance als auch eine Bedrohung, doch viele Unternehmen verstehen die Auswirkungen noch nicht vollständig.

Die Datensicherheit unserer Kunden gewährleisten

Wie gewährleistet Doodle die Sicherheit der Kundendaten, insbesondere bei seinen Produkten?

Bei Doodle verlassen wir uns nicht auf Sicherheitstools als Ersatz für robuste Sicherheitskontrollen. Unser Fokus liegt in erster Linie darauf, die Grundlagen der Cybersicherheit richtig zu gestalten – unter anderem Identitäts- und Zugriffsmanagement (IAM), Konfigurationsmanagement, Asset-Management, Schwachstellenmanagement, Penetrationstests und das Risikomanagement bei Dritten. Alle Tools werden darüber gelegt, um Orchestrierung, Automatisierung und mehrschichtige Verteidigung zu unterstützen. 

Es herrscht eine risikoorientierte „Führung von oben“, wobei Cyberrisiken ein ständiges Thema in Vorstands- und Führungskräftesitzungen und ein Schlüsselelement im Rahmen des Unternehmensrisikomanagements (ERM) sind. Doodle unterzieht sich außerdem jährlichen SOC-2-Typ-II-, Cyber-Verify- und DSGVO-Audits. 

Eine Kultur des Sicherheitsbewusstseins schaffen

Was ist der Schlüssel zur Schaffung einer Kultur des Sicherheitsbewusstseins unter den Mitarbeitern? 

Der entscheidende Aspekt beim Aufbau einer Kultur des Sicherheitsbewusstseins ist ein starker „Tone from the Top“. Sicherheitsbewusstsein sollte bei der Führungsebene beginnen, die Unternehmenskultur beeinflussen und das Handeln der Teams lenken.

Bei Doodle zum Beispiel sind der Vorstand und die Geschäftsführung sensibel und aufmerksam gegenüber den potenziellen Auswirkungen von Cyberrisiken auf verschiedene Bereiche des Unternehmens. Ihre Unterstützung in Bezug auf die Übernahme von Verantwortung für Risiken, effektive Kommunikation, angemessene Finanzierung und das Vorleben von Verhaltensweisen ist entscheidend dafür, den Mitarbeitern die richtigen Sicherheitspraktiken zu vermitteln. 

Außerdem bieten wir ein dynamisches Schulungsprogramm zur Sensibilisierung für Sicherheitsfragen an, das Online-Lernen, regelmäßige Tipps und Tricks, Phishing-Simulationen, Tabletop-Übungen und rollenspezifische Schulungen nutzt. 

Neue Trends in der Cybersicherheit 

Welche neuen Trends oder Technologien im Bereich Cybersicherheit begeistern dich am meisten oder bereiten dir Sorgen? 

Ich finde es besonders spannend, wie viel Aufmerksamkeit derzeit dem Aufbau von Cyberkapazitäten gewidmet wird. Wir beobachten, dass erhebliche Ressourcen darauf konzentriert werden, die Kapazitäten einzelner Staaten auszubauen, damit sie sich besser vor Online-Bedrohungen schützen können. 

Ich muss wichtige Akteure wie das Global Forum for Cyber Expertise (GFCE), die Weltbank, die Europäische Union, das Weltwirtschaftsforum, die Organisation Amerikanischer Staaten (OAS), das Cyber Peace Institute und andere für ihre Arbeit in diesem Bereich lobend erwähnen. 

Zu den Bedrohungen, die mir derzeit am meisten Sorgen bereiten, gehören die Risiken von großen Sprachmodellen (LLM) und KI, das Internet der Dinge (z. B. smarte Geräte, vernetzte Autos, Smart Cities usw.), quantensichere Kryptografie sowie staatlich geförderte Cyberkriegsführung und Cyberspionage.

Erkenntnisse und Ratschläge für Unternehmen

Welchen Rat würdest du Unternehmen, insbesondere KMUs, geben, um ihre Daten besser zu schützen und das Vertrauen ihrer Kunden zu bewahren?

KMUs müssen auf der Führungsebene und im operativen Bereich jemanden haben, der Cyberrisiken als strategisches Geschäftsrisiko versteht und sich dafür verantwortlich fühlt. Damit meine ich, dass die Verantwortung für die Cybersicherheit nicht an einen IT-Manager oder Systemadministrator delegiert werden sollte, da es sich um weit mehr als nur ein technologisches Risiko handelt.

Eine qualifizierte und erfahrene Person sollte an der Entwicklung und Umsetzung der Cybersicherheits-Roadmap des Unternehmens arbeiten. Wenn diese Kompetenzen intern nicht vorhanden sind, sollten sie in Erwägung ziehen, einen virtuellen oder teilzeitbeschäftigten Chief Information Security Officer (CISO) einzustellen, der das Cyberrisikomanagement überwacht. 

Wie bereits in einem früheren Kommentar erwähnt, dürfen Unternehmen ausgefallene Tools nicht als Allheilmittel oder Ersatz für effektive Cybersicherheit betrachten. Sie müssen eine Bestandsaufnahme ihrer kritischen Systeme und Daten („Kronjuwelen“) erstellen und strenge Kontrollmaßnahmen einführen, die sich nach der Bedeutung dieser Systeme und Informationsressourcen für das Unternehmen richten.

Vielen Dank, Niel, dass du deine Erkenntnisse und dein Fachwissen mit uns geteilt hast!