Cybersicherheit erfordert Zusammenarbeit innerhalb der Einzelhandelsbranche

von Julia Pott

Die wachsende Cyber-Bedrohung betrifft viele Branchen, aber aufgrund der zahlreichen Berührungspunkte zwischen Einzelhändlern und ihrer Kundschaft haben Sicherheitsvorfälle im Einzelhandel schnell eine direkte Auswirkung. Amerikanische Unternehmen haben hier – notwendigerweise – in den letzten zehn Jahren große Fortschritte gemacht, erklärt Christian Beckner, Vizepräsident für Retail Technology & Cybersecurity bei der National Retail Federation und Executive Director des NRF Center for Digital Risk & Innovation. Beckner erläutert, was US-Händler über Cybersicherheit gelernt haben und welche Rolle Ransomware-Angriffe und das Internet der Dinge spielen.

Christian, seit wann beschäftigt sich die NRF mit dem Thema Cybersicherheit und wie kam es dazu?

Christian Beckner: In den Jahren 2013 und 2014 kam es bei mehreren großen US-Einzelhändlern zu erheblichen Vorfällen im Bereich der Cybersicherheit. Dies veranlasste die NRF dazu, innerhalb ihrer Mitglieder eine Gruppe zu bilden, die sich mit Cybersicherheit beschäftigt.

Wir haben einen Rat mit der Bezeichnung IT Security Council, dem etwa 150 Unternehmen meist mittelständische oder größere Unternehmen angehören. Deren Chief Information Security Officers (CISOs) kommen mit ihren Teams zusammen, um sich über bewährte Verfahren auszutauschen, gemeinsam Benchmarking zu betreiben und an verschiedenen Initiativen zu arbeiten.

Darüber hinaus beteiligen wir uns an politischen Diskussionen über Cybersicherheit und arbeiten eng mit dem Retail and Hospitality ISAC (Information Sharing and Analysis Center) zusammen. Diese Gruppe erleichtert den Austausch über spezifische Bedrohungen unter den Mitgliedern, so dass diese ihre Abwehrmaßnahmen anpassen können.

Offenheit und Zusammenarbeit sind also wichtig, wenn es um Cybersicherheit geht?

Beckner: Zumindest in einem geschlossenen Rahmen. In einer öffentlichen Diskussion sollte man nicht unbedingt über Schwachstellen sprechen. Aber in einer vertraulichen Sitzung können Unternehmen Fragen stellen wie „Wir sind mit diesem Problem konfrontiert. Was sollen wir tun?“ und einen Dialog zum Austausch von Informationen und Lösungen führen.

Wie bewusst ist dem US-Einzelhandel das Thema Cybersicherheit, und wie gut sind die amerikanischen Händler vorbereitet?

Beckner: Bei mittleren und großen Einzelhändlern steckt die Cybersicherheit definitiv nicht mehr in den Kinderschuhen. Viele haben ihre Teams erheblich erweitert. Einige der größten Einzelhändler haben Cybersicherheitsteams mit über 500 Mitarbeitenden. Selbst mittelgroße Unternehmen, wie z. B. Bekleidungsgeschäfte mit ca. 500 Standorten, haben möglicherweise Teams mit 50 Angestellten, die sich mit Cybersicherheit beschäftigen. Cybersicherheitsteams sind oft noch Teil übergeordneter IT-Abteilungen, aber in der Vergangenheit gab es in diesem Bereich viel Wachstum und Reife.

Die Herausforderung liegt bei kleinen Einzelhändlern, die nur ein Geschäft oder ein Restaurant haben. Sie verfügen nicht über die gleichen Ressourcen, können aber dennoch Opfer von Cyberangriffen werden. Wir versuchen, diesen kleineren Unternehmen zu helfen, indem wir ihnen Zugang zu kostenlosen oder kostengünstigen Ressourcen verschaffen.

Wie haben sich die Cyber-Bedrohungen in den letzten Jahren entwickelt? Gibt es bestimmte Bedrohungen, die für Einzelhändler dringlicher geworden sind?

Beckner: Vor einigen Jahren bestand eine Vielzahl von Bedrohungen in der Kompromittierung von Kreditkarten- und Finanzdaten. Dank verbesserter Sicherheitsmaßnahmen, wie der Verschlüsselung von Kreditkartendaten und der Sicherung von Kassensystemen, sind diese Bedrohungen zurückgegangen.

Heute ist Ransomware eine der größten Bedrohungen, die sich auf alle Branchen auswirkt, auch auf den Einzelhandel. Ein weiteres Problem sind Cyber-Bedrohungen durch Dritte, bei denen sich Schwachstellen bei Partnern, Lieferanten oder Anbietern auf Einzelhändler auswirken, weil diese Zugang zu Informationen des Händlers haben oder sensible Daten verwalten. Wir haben eine Reihe von Vorfällen erlebt, bei denen die Schwachstelle eines Unternehmens Hunderte von Firmen betraf. Aber selbst wenn es sich um eine Sicherheitslücke bei Dritten handelt, sind die Einzelhändler für den Umgang mit ihr verantwortlich.

Wie wichtig ist es für Einzelhändler, das Vertrauen der Kundinnen und Kunden zu erhalten?

Beckner: Das ist der Hauptgrund, warum Einzelhändler so viel in die Cybersicherheit investieren. Bis vor kurzem gab es keine US-weiten Vorschriften für die Cybersicherheit im US-Einzelhandel. Jetzt hat die Securities and Exchange Commission (SEC) Vorschriften für börsennotierte Unternehmen eingeführt. Davor wurden die Bemühungen um die Cybersicherheit weitgehend durch das Vertrauen der Verbraucherinnen und Verbraucher, bundesstaatliche Gesetze zur Meldung von Datenschutzverletzungen und Branchenstandards wie PCI-DSS bestimmt.

Welche Rolle spielt das IoT (Internet der Dinge) für die Cybersicherheit im Einzelhandel?

Beckner: Einzelhandelsgeschäfte sind heutzutage hoch technisiert, mit POS-Systemen, vernetzten Kameras, Touchscreens, RFID-Preisschildern und mobilen Geräten für die Inventur. Diese Technologien vergrößern die potenzielle Angriffsfläche. Auch Cybervorfälle in Lieferketten oder der Logistik können die Verfügbarkeit von Beständen und Online-Bestellungen stören.

Welche Prioritäten sollten Einzelhändler setzen, wenn sie gerade erst mit der Cybersicherheit anfangen?

Beckner: Beginnen Sie mit den Grundlagen wie der Multi-Faktor-Authentifizierung, den Funktionen zur Erkennung potenzieller Eindringlinge und der Schulung der Mitarbeitenden zur Erkennung von Phishing. KI hat Phishing-E-Mails sehr viel überzeugender gemacht und viele Vorfälle beginnen auf diese Weise, so dass Sensibilisierung und Schulung entscheidend sind.

Ein weiterer wichtiger Schritt besteht darin, eine verantwortliche Person für Cybersicherheit zu haben, die in der Lage ist, sich direkt an den oder die CEO zu wenden, um Fragen der Cyber-Resilienz zu erläutern. Die Herausforderung besteht darin, dass Cybersicherheit – im Gegensatz zu anderen Investitionen – die Einnahmen eines Einzelhandelsunternehmens nicht erhöht. Deshalb sollte eine Cybersicherheitsabteilung über ein eigenes Budget und die Befugnis verfügen, bei strategischen Unternehmensentscheidungen wie neuen Technologien oder Anbietern mitzureden.