»Wer sich auf einem erreichten Sicherheitsniveau ­ausruht, läuft Gefahr, schnell wieder verwundbar zu ­werden, weshalb IT-Sicherheit dynamisch ­bleiben und ­sowohl technisch als auch organisatorisch regelmäßig ­angepasst werden muss.« Markus Roth, Obmann WKÖ-Bundessparte Information und Consulting © Daniela Koeppl

Immer häufiger geraten Unternehmen ins Visier von Cyberkriminellen. Unzureichend geschützte Systeme bieten viele Möglichkeiten, sensible Daten auszuspähen und Geräte oder Prozesse zu sabotieren.

Markus Roth, Obmann der WKÖ-Bundessparte Information und Consulting, gibt im Interview mit NEW BUSINESS einen Einblick in die komplexe Thematik.

Herr Roth, wo sehen Sie aktuell die größten Herausforderungen für Unternehmen in Sachen Cybersicherheit?
Die größte Herausforderung besteht darin, im Unternehmensalltag parallel zum Tagesgeschäft mit der rasanten Entwicklung im Bereich Cybersicherheit Schritt zu halten. Es gilt, die oft komplexen IT-Infrastrukturen sicher zu gestalten und gleichzeitig unter hohem Zeit- und Kostendruck gesetzliche Anforderungen wie NIS 2 oder DSGVO umzusetzen.

Gerade kleinen und mittleren Unternehmen fällt das mit den begrenzten personellen und finanziellen Ressourcen schwer – und das in einer Zeit, in der Cyberangriffe immer gezielter werden und jede Schwachstelle ausnutzen, etwa bei Remote-Arbeitsplätzen oder Cloud-Diensten.

Wo liegen Ihrer Meinung nach heute noch die größten Cybersecurity-Schwachstellen bei den Unternehmen?
Die größten Schwachstellen liegen häufig in veralteter oder schlecht gewarteter Software, unzureichend konfigurierten Systemen und einer mangelnden Sensibilisierung der Mitarbei­ter:innen, wobei besonders ungesicherte Schnittstellen, fehlende Back-up-Strategien und die unterschätzte Gefahr durch Social Engineering – etwa durch Phishing-Mails – ein hohes Risiko darstellen.

Sind diese Schwachstellen eher technischer Natur, oder geht es mehr um Strategie, ­Organisation bzw. Prozesse?
Technische Schwachstellen sind oft nur Symptome tieferliegender organisatorischer Defizite – denn ohne klare Verantwortlichkeiten, regelmäßige Schulungen und eine strategisch verankerte Sicherheitskultur kann selbst die beste Technik ihre Wirkung nicht entfalten, weshalb Cybersicherheit immer ganzheitlich gedacht und in alle Prozesse integriert werden muss.

Wie kann man als Verantwortliche:r den Stand seiner IT-Sicherheit prüfen, um den Status quo zu ermitteln?
Ein strukturierter Sicherheitscheck – etwa durch Audits, Penetrationstests oder standardisierte Fragebögen – ist ein sinnvoller erster Schritt, wobei externe Expert:innen wertvolle Impulse geben und Programme wie KMU.DIGITAL gezielt Förderungen bieten; zusätzlich haben wir in der Wirtschaftskammer gemeinsam mit Fachleuten Basismaßnahmen entwickelt, die kleinen und mittleren Unternehmen helfen, Mindeststandards umzusetzen und dabei auch organisatorische ­Aspekte nicht zu vernachlässigen.

Wenn man den eigenen Status ermittelt hat, wie sollte man dann weitermachen bzw. wo sollte man ansetzen, um seine IT-Sicherheit zu verbessern?
Nach der Bestandsaufnahme sollte man gezielt priorisieren, wo die größten Risiken liegen und welche Maßnahmen schnell und effizient umsetzbar sind – etwa durch Updates, Zugriffskontrollen oder Awareness-Schulungen –, wobei klar sein muss, dass Informationssicherheit kein einmaliges Projekt ist, sondern ein kontinuierlicher Prozess, der regelmäßig überprüft und weiterentwickelt werden muss.
 
Herr Roth, als Geschäftsführer eines innovativen Unternehmens – wie gehen Sie im eigenen Unternehmen mit den zunehmenden Herausforderungen der ­Cybersicherheit um?
Cybersicherheit ist für uns nicht nur ein IT-Thema, sondern ein integraler Bestandteil unserer Unternehmenskultur. Das Vertrauen unserer Kunden ist unser wichtigstes Kapital. Wir setzen daher auf eine Kombination aus technischen Schutzmaßnahmen und der laufenden Schulung unserer Mitarbei­ter:innen.

Die Grundsätze „Security by Design & by Default“ sind bei uns ständig präsent – durch das Mitdenken dieser Prinzipien sparen wir uns und unseren Kunden langfristig viel Aufwand. Gerade aufgrund der neuen Bedrohungslage verfolgen wir auch immer stärker den Ansatz „online when needed“ – denn der effektivste Schutz vor Gefahren aus dem Internet ist, gar nicht damit verbunden zu sein.

Kann man sich denn auf seinen „Lorbeeren“ ausruhen, wenn man ein gewisses Niveau an IT-Sicherheit erreicht hat?
Nein, denn die Bedrohungslage verändert sich laufend, und neue Technologien bringen auch neue Angriffsflächen mit sich. Wer sich auf einem erreichten Sicherheitsniveau ausruht, läuft Gefahr, schnell wieder verwundbar zu werden, weshalb IT-Sicherheit dynamisch bleiben und sowohl technisch als auch organisatorisch regelmäßig angepasst werden muss. (red.)

https://it-safe.at
https://wko.at/basissicherheit
https://kmudigital.at