Hilfreiche Ressourcen zur Cybersicherheit: „Packen Sie Ihre Kronjuwelen unter die Käseglocke“

von Julia Pott

Cybersicherheit hat nicht nur mit EDR, MFA, VPN und ähnlichen Technologien zu tun. Michael Linke hat Jahrzehnte lange Erfahrung im Einzelhandel gesammelt, zunächst als IT-Chef bei Globetrotter, anschließend als Chief Information Security Officer beim Mutterkonzern Fenix Outdoor AB. Und er mahnt: „Die Mitarbeitersensibilisierung ist einer der fundamentalen Bausteine der Cybersicherheit.“

Ergänzend zu seinen Erfahrungen mit Cybersecurity in der Retail-Branche, die er in unserem Interview geteilt hat, nennt Michael Linke 15 praktische Tipps zum Thema Cybersecurity. Mit diesen essenziellen Bausteinen von der Strategie bis zur Softwareentwicklung sollten Retailer das Fundament für die Cyber-Resilienz ihrer Unternehmen legen.

1. „Auch in kleinen Unternehmen sollten Sie eine Person zur oder zum Cybersecurity-Verantwortlichen machen. Das muss keine Vollzeitstelle sein, aber es sollte eine Person geben, die den Überblick hat und die Prozesse koordiniert. Nur so können Sie Prioritäten festlegen und mit den wichtigsten und einfachsten Sicherheitsmaßnahmen, zum Beispiel der Passwort-Policy, anfangen. Für viele Prozesse im Cybersicherheitsbereich können Sie auf externe Dienstleister zurückgreifen, aber eine interne Fachkraft kennt die Geschäftsprozesse des Handelsunternehmens.“

2. „Gibt es in größeren Unternehmen einen Chief Security Information Officer (CISO), sollte dieser nicht an den CIO, sondern idealerweise an den CEO oder das Management-Board berichten. Denn die Einführung neuer Technologien und die Sicherheit neuer Technologien sollten eine gleichwertige Priorität erhalten und nicht gegeneinander ausgespielt werden können. Daher sollte es auch ein eigenes Cybersecurity-Budget geben, das nicht mit dem IT-Budget konkurriert.“

3. „Ich rate Einzelhändlern, das Thema Cybersicherheit nicht nur nach Bauchgefühl anzugehen, sondern eine Cybersecurity-Strategie zu entwickeln. Dazu gehört zunächst eine Analyse des Ist-Zustandes. Hier können Sie auf verschiedene Frameworks zurückgreifen, die Ihnen helfen, Bereiche systematisch zu prüfen, beispielsweise die Mitarbeitersensibilisierung, das Zugriffsmanagement oder die Endgerätesicherheit. Dann können Sie einen Plan erstellen: Bei der Mitarbeiterschulung sind wir momentan bei 20 %, da wollen wir nächstes Jahr 50 % und übernächstes Jahr 80 % erreichen. So erarbeiten Sie eine Strategie und auf dieser Basis können Sie dann Ihre Ressourcen- und Budgetplanung gestalten.“

4. „Die Mitarbeitersensibilisierung ist einer der fundamentalen Bausteine der Cybersicherheit. Ohne Security Awareness Trainings lassen Sie Ihre Mitarbeitenden ins offene Messer laufen. Bringen Sie Ihren Mitarbeitenden bei, auch gut gemachte Phishing-E-Mails zu erkennen. Und führen Sie wiederholt simulierte Phishing-Tests durch, damit ihre Belegschaft lernt, richtig zu reagieren. Nur so schaffen Sie ein echtes Bewusstsein für die Gefahren. Zur Motivation empfehle ich zwei Strategien: Es gibt Gamification-Ansätze, wo beispielsweise Abteilungen gegeneinander antreten, um das Ganze mit Spaß und Wettbewerb zu verbinden. Außerdem hilft es, immer wieder zu betonen, wie hilfreich das Erlernte auch im privaten Umfeld ist.“

5. „Zur Mitarbeitersensibilisierung gehört auch das Thema Shadow IT, also Software, Apps, Online-Services oder Cloud-Dienste, die von Mitarbeitenden ohne Wissen des Cybersecurity-Teams eingekauft werden. Ihre Belegschaft muss verstehen, dass solche Produkte vorher von der Cybersicherheitsabteilung geprüft und freigegeben werden müssen.“

6. „Einzelhändler sollten eine Meldestelle für Cybersicherheitsvorfälle einrichten, ein Security-Ticketing-System. Es muss ganz normal werden, dass Mitarbeitende merkwürdige Ereignisse und E-Mails erkennen und melden. Dafür sollten Sie diesen Meldevorgang so einfach wie möglich gestalten. Diese Tickets müssen zeitnah bearbeitet und beantwortet werden. Die Rückmeldung an die Mitarbeitenden ist wichtig, um sie zu motivieren, dass sich der Aufwand lohnt.“

7. „Auf den Fall, dass eine Cyberattacke erfolgreich ist, müssen Handelsunternehmen vorbereitet sein. Setzen Sie dafür ein Cyber Emergency Response Team (CERT) ein, dass bei Notfällen informiert wird. Dazu gehören neben dem Cybersecurity-Team auch Leute aus der IT-Abteilung oder externe Dienstleister. Es muss schon vor dem Cybersicherheitsvorfall klar sein, wer involviert und über welche Kanäle kommuniziert wird. Ich empfehle, mit diesen Stakeholdern auch regelmäßige Cybersecurity-Meetings abzuhalten, damit alle auf dem aktuellen Stand sind, was die Bedrohungslage und den Security-Status einzelner Bereiche angeht.“

8. „Eine gute Passwort Policy ist wichtig! Das bedeutet, lange Passwörter oder Passphrasen mit Sonderzeichen und Ziffern. Passwörter sollten nur geändert werden, wenn der Verdacht besteht, dass sie kompromittiert wurden.“

9. „Nutzen Sie Passwortmanager. Wenn Sie keine Passwortmanager einsetzen, führt das dazu, dass Sie einfache Passwörter wiederverwenden. Wenn dann ein Account geknackt wird, sind alle Accounts gefährdet.“

10. „Und schließlich sollten in Handelsunternehmen ohne Ausnahme Multi-Faktor-Authentifizierung (MFA) eingesetzt werden, selbst auf der Ebene der Abteilungsleitung und Geschäftsführung. Wenn Sie eine MFA einsetzen, reichen ausgespähte Zugangsdaten allein nicht, um sich in Accounts einzuloggen.“

11. „Ein weiterer wichtiger Punkt ist die Überwachung, das Monitoring. Systeme wie Firewalls, Server, Betriebssysteme schreiben Log Files, also Ereignisprotokolldateien. Diese Einträge müssen automatisiert ausgewertet werden, da gibt es inzwischen KI-gestützte Programme, die scheinbar zufällige Ereignisse als Gefahrenszenario erkennen. Das kann man auch an Dienstleister, sogenannte 24/7-SOCs (Security Operation Centers) auslagern. Ein aktiver Teil des Monitorings sind Penetration Tests, mit deren Hilfe Sie Schwachstellen in Netzwerken finden, beispielsweise alte Server, für die Sie keine Sicherheitsupdates mehr erhalten. Nur wenn Sie von diesen Angriffspunkten wissen, können Sie auch etwas dagegen tun.“

12. „Entscheidend ist auch das Patch-Management: Händler sollten sicherstellen, dass sie Services – besonders, wenn sie für die Öffentlichkeit zugänglich sind – innerhalb von 24 Stunden nach Veröffentlichung eines Sicherheitsupdates durch den Hersteller aktualisieren können. Bekannte Schwachstellen werden durch Bots schnell aufgespürt. Diese Informationen muss man sich teilweise aktiv in entsprechenden Quellen einholen. Und das gilt auch für Betriebssysteme von vernetzten Geräten wie Kameras, Sensoren oder Kundenterminals.“

13. „Die Endpoint Detection und Response besteht heutzutage aus intelligenter Software, die anhand des Verhaltens von Anwendungen erkennt, ob es sich um Malware handelt. Wenn Anwendungen unerwarteterweise Daten verschlüsseln oder Netzwerke scannen, identifiziert das EDR-Programm diese und macht sie sofort unschädlich.“

14. „Bei der Netzwerksegmentierung werden Netzwerke in separate Segmente aufgeteilt, was den unbefugten Zugriff und die Ausbreitung von Schadsoftware erschwert. Wenn ein Händler beispielsweise sein IoT-Netzwerk und sein IT-Netzwerk voneinander trennt, bedeutet der Hack einer Kamera nicht direkt den Zugriff auf alle Computer.“

15. „Wenn Händler selbst IT-Projekte planen, sollten sie Sicherheitsexpertise hinzuziehen. Oft steht bei der Entwicklung von Software und Apps wie Kassen- oder Webshop-Systemen die Funktionalität im Vordergrund. Das kann zu großen Sicherheitslücken führen. Die Integration von Sicherheit in die Softwareentwicklung nennt man DevSecOps (Development, Security and Operations): Wenn die Cybersicherheit nach der Entwicklung noch eingebaut werden muss, wird das aufwendig und teuer.“