Wann „gut genug" bei Security tatsächlich gut genug ist

Ich bin der letzte, der die Gefahr von Cybercrime und das Risiko kleinreden will. Aber, Sicherheit wird oft als Alles-oder-nichts verkauft. Entweder du bist vollständig geschützt, oder du bist verwundbar. Dazwischen gibt es nichts.

Das ist falsch, und es ist teuer. Abgesehen davon ist es eine Lüge.

Wer glaubt, er müsse jede denkbare Bedrohung abwehren, investiert zu viel in die falschen Dinge und zu wenig in die richtigen. Er bekommt ein Sicherheitsbudget, das niemand mehr versteht, und ein Team, das im Alarmmodus lebt. Irgendwann kippt das in Resignation: Wenn ohnehin alles unmöglich ist, warum sich überhaupt bemühen? Absolute Sicherheit gibt es nicht, auch nicht bei einem Millionenbudget. Aber nichts tun ist logischerweise auch keine Lösung, aber wir Menschen neigen zu Extremlösungen, alles oder nichts. Lange nichts machen, dann total übertreiben.

Ich nenne das die Falle der Überkorrektur. Man hat Angst, zu wenig zu tun, und schiesst über das Ziel hinaus.

‍

Verhältnismässig heisst nicht minimal

Verhältnismässige Sicherheit bedeutet nicht, weniger zu tun. Sie bedeutet, den Aufwand an der tatsächlichen Bedrohung auszurichten.

Ein Architekturbüro mit 20 Personen hat andere Risiken als eine Bank. Beide brauchen Sicherheit. Aber die Bank braucht Überwachung rund um die Uhr, das Architekturbüro braucht andere Prioritäten. Wer beide gleich behandelt, verschwendet bei einem Geld und lässt beim anderen die echten Lücken offen.

Drei Fragen helfen dabei:

• Was ist für uns eine realistische Bedrohung? Nicht die spektakulärste, sondern die wahrscheinlichste.
• Was kostet uns ein Ausfall wirklich? In Franken, in Tagen, in verlorenen Kunden.
• Was akzeptieren wir schriftlich? Welche Restrisiken bleiben, und wer trägt sie?
• Was bedeuten Datenverluste? Der Verlust von Daten, d.h. das absichtliche Zerstören bzw. Absaugen von Daten wird of thematisiert, und bleibt abstrakt – bis es die eigene Firma betrifft. Datenverluste können katastrophale Folgen für eine Firma haben.

‍

Signale sind selten eindeutig

Der schwierige Teil ist nicht die Theorie. Es ist der Alltag: Eine Warnung kommt, aber sie ist unklar. Ein Anbieter meldet eine Lücke, ob sie bereits ausgenutzt wird, ist nicht sicher. Ein Kunde fragt nach etwas, das du nicht beantworten kannst.

Hier entscheidet sich, ob du Sicherheit beherrschst oder von ihr beherrscht wirst.

Ernst nehmen heisst nicht, alles andere liegen zu lassen. Es heisst, eine feste Zeitbox festzulegen und in dieser Zeit das Richtige zu tun. Wenn ein Signal eine Stunde Prüfung verdient, bekommt es eine Stunde. Wenn die Prüfung etwas zeigt, wird eskaliert. Wenn nicht, wird dokumentiert und weitergemacht.

Niemand in einer KMU kann 100 Prozent seiner Zeit in IT-Sicherheit investieren. Die Frage ist, welche 10 Prozent die grösste Wirkung haben.

‍

Risiken bewusst akzeptieren

Ein akzeptiertes Risiko ist nicht dasselbe wie ein vergessenes Risiko.

Der Unterschied liegt im Dokument. Ein akzeptiertes Risiko hat eine Beschreibung, eine Begründung, einen Verantwortlichen und ein Überprüfungsdatum. Ein vergessenes Risiko hat nichts davon. Es lauert einfach im Hintergrund, bis es sich meldet.

Die meisten Unternehmen haben beide Arten. Der Unterschied ist, ob man es weiss.

‍

Die Grundlagen zuerst

Bevor du über Verhältnismässigkeit diskutierst, muss das Fundament stehen:

• Multi-Faktor-Authentifizierung für alle Konten, besonders für Administratoren
• Backups, die tatsächlich wiederhergestellt werden können, und zwar getestet
• Updates, die zeitnah eingespielt werden, besonders bei Netzwerkgeräten
• Eine Person, die Verantwortung trägt und Warnungen tatsächlich sieht

Diese vier Punkte kosten weniger als viele Tools, die sie ersetzen sollen. Und sie wirken gegen den grössten Teil der realen Angriffe.

‍

Die Schwelle wandert

Hier wird es unbequem. Was heute verhältnismässig ist, muss nicht in zwei Jahren noch verhältnismässig sein.

Die Bedrohungslage verändert sich, und die Regulierung auch. Das ist der Grund, warum meine Prognose für 2027 eine Verschärfung zeigt. Verhältnismässig zu sein bedeutet also nicht, einmal eine Analyse zu machen und sie dann zu vergessen. Es bedeutet, die drei Fragen regelmässig neu zu beantworten.

Eine Risikobewertung, die älter als ein Jahr ist, ist meist schon veraltet.

‍

Die ruhige Antwort

Sicherheit ist kein Wettrüsten, bei dem man gewinnen muss. Sie ist eine Entscheidung, die man bewusst trifft, dokumentiert und regelmässig überprüft.

Wer diese Entscheidung ruhig und begründet trifft, schützt sein Unternehmen besser als jemand, der aus Angst überall gleichzeitig investiert.

‍

Und dann nocht das wichtigste zum Schluss:

Das grösste Problem, das grösste Risiko, und damit auch der grösste Unsicherheitsfaktor sind: die Mitarbeiter. Schnell auf einen Link geklickt, einfach das Formular aufmachen, easy. Und schon ist der Wurm drin.

Also, IT-Security-Schulung fängt immer bei den Teammemern an. Besorge dir eine Mitarbeiterschulung die gut ist, oder entwickle sie selbst.

Du kannst auch bei Nettrust anrufen. Wir Wissen nämlich, wie so etwas geht.

‍

Lukas Vettiger, Chief Operating Officer Nettrust