SolarWinds-Hack: Warum Cybersicherheit Chefsache sein muss

Der SolarWinds-Hack im Dezember 2020 hat eindrücklich gezeigt, wie leicht Software- und System-Lieferketten kompromittiert werden können, wenn eine Organisation keine robuste Cybersicherheitspolitik verfolgt.

Laut einer offiziellen Erklärung der CISA begann ein Advanced Persistent Threat (APT)-Akteur im März 2020 damit, US-Regierungsbehörden, kritische Infrastrukturen und private Unternehmen anzugreifen. Dabei bewies er Geduld, operative Sicherheit und raffinierte Handwerkskunst. Die CISA warnt, dass die Entfernung dieses Akteurs aus kompromittierten Umgebungen äußerst komplex und herausfordernd sein wird. Detaillierte Infektionsvektoren und Abwehrmaßnahmen sind in der CISA-Erklärung aufgeführt.

Diese Details decken sich mit Erkenntnissen von embedded.com und EE Times und unterstreichen die entscheidende Rolle der IoT-Sicherheit sowie die Expertise von Sicherheitsspezialisten der Halbleiterindustrie.

Es bleibt erstaunlich, dass Sicherheitsverletzungen selbst dann auftreten können, wenn Regierungen Sicherheit obsessiv verfolgen, aber über Drittanbietersysteme verwundbar bleiben, die grundlegende Schutzmaßnahmen vernachlässigen. Als ehemaliger Auftragnehmer der britischen Regierung erinnere ich mich an die strengen Sicherheitsschulungen und das erforderliche Bewusstsein – niemals einen Laptop in einem verschlossenen Auto lassen, ihn immer bei sich tragen oder im Blick behalten. Diese Praktiken veranschaulichen den menschlichen Faktor, der oft übersehen wird.

Letztlich offenbart der SolarWinds-Vorfall eine fundamentale politische Lücke: Sollte Cybersicherheit allein in der Verantwortung von Hardware- und Software-Entwicklern liegen, oder muss sie auf höchster Ebene der Unternehmensführung verankert sein?

Woodside Capital Partners, ein führender Corporate-Finance-Berater, veröffentlichte einen Bericht mit dem Titel „Sieben Lektionen für CEOs, Direktoren, Vorstandsmitglieder und Private-Equity-Firmen“, verfasst von Managing Director Nishant Jadhav. Der Bericht argumentiert, dass der SolarWinds-Lieferkettenangriff die dringende Notwendigkeit eines tieferen Cybersicherheitsverständnisses auf Führungsebene demonstriert. In einer Ära, in der Advanced Persistent Threats unsichtbar lauern können, war der Schutz von Reputation und Unternehmenswert nie wichtiger.

Der Bericht betont, dass Vorstandsmitglieder in der Lage sein müssen, in verständlicher Sprache zu bestätigen, dass ihre Organisation über eine robuste Cyber-Assurance verfügt. Hier sind die sieben Lektionen:

Lektion 1: Security-First statt Compliance-First – Top-Down

Ein Security-First-Ansatz bedeutet, dass Führungsteam und Vorstand die spezifischen Risiken ihres Unternehmens und die Risiken, die sie für Kunden und Partner schaffen, verstehen. Eine Compliance-First-Haltung erfüllt lediglich regulatorische Checklisten und bietet ein starres, kurzfristiges Sicherheitsnetz. Da sich Cyberbedrohungen rasant entwickeln, sind quartalsweise Vorstandsabnahmen zur Bedrohungslage des Unternehmens unerlässlich.

Lektion 2: CISOs gehören ins Führungsteam

Effektive CISOs denken über IT hinaus und betrachten jeden potenziellen Bedrohungsvektor – einschließlich unbeabsichtigter Datenlecks aus kundenorientierten Rollen und Risiken durch den Einsatz neuer Technologien. Indem CISOs auf Führungsebene rechenschaftspflichtig gemacht werden, stellen Organisationen sicher, dass Sicherheitsempfehlungen umgesetzt und Risiken kontinuierlich gemessen werden.

Lektion 3: CISOs mit KPIs für laufenden Schutz und Sanierung messen

Statt einen CISO nach einem Vorfall zu entlassen, sollte der Fokus auf dessen Fähigkeit liegen, ein angemessenes Sicherheitsbudget bereitzustellen, Cybersicherheitsbewusstsein im gesamten Unternehmen zu schaffen und Reaktionen auf externe Bedrohungen wie SolarWinds zu modellieren. KPIs sollten sowohl die operative Verfügbarkeit als auch die Fähigkeit des Unternehmens widerspiegeln, Angriffe abzuwehren und sich davon zu erholen.

Lektion 4: Ein vertrauenswürdiger Partner garantiert keine Sicherheit

Der Fall SolarWinds beweist, dass kein Partner als immun gegen Risiken betrachtet werden kann. Die Implementierung von Air-Gapped-Umgebungen für die Neuproduktentwicklung kann das Infiltrationsrisiko durch vertrauenswürdige Lieferanten reduzieren.

Lektion 5: Sicherheitskompromisse sind kein Gewinnhebel

Woodside Capital schlägt einen „Cyber-Grad“ als Bewertungsmetrik vor, der Technologieinvestitionen, Schulungen, laufende Schutzrichtlinien und schnelle Sanierung widerspiegelt. Höhere Cyber-Grade korrelieren mit höheren Unternehmensbewertungen. Private-Equity-Firmen sollten Cyber-Grade vor kurzfristiger Profitabilität priorisieren.

Lektion 6: Cyberversicherung auf Vorstandsebene neu bewerten

Viele Policen decken finanzielle Verluste durch Datenschutzverletzungen ab, schließen jedoch Lieferkettenangriffe oder staatlich gesponserte Bedrohungen aus. CISOs sollten Vorstände einbeziehen, um Versicherungen zu sichern, die diese Szenarien abdecken und die langwierigen Nachwirkungen eines Angriffs umfassen.

Lektion 7: Kontinuierlicher Reputationsschutz

Verletzungen können jederzeit auftreten und die Geschäftsleistung beeinträchtigen. Unternehmen müssen demonstrieren, dass Cybersicherheit ein zentrales Differenzierungsmerkmal ist – durch kontinuierliche Investitionen, Schulungen und transparente Sanierung. Indem sie Cyber-Assurance etablieren und diese Kunden und Partnern kommunizieren, können Firmen ihre Reputation langfristig schützen.

Der Woodside-Capital-Bericht listet auch Wachstumsunternehmen auf, die umfassende Cyber-Assurance-Lösungen anbieten – von Risikomanagement bis hin zu Cyberversicherungen. Der vollständige Bericht ist hier verfügbar.