Warum sich Handelsunternehmen gegen Cyberattacken wappnen sollten – und wie

von Julia Pott

Handelsunternehmen arbeiten heutzutage mit vielen digitalen Prozessen und hochsensiblen Daten entlang der gesamten Lieferkette. Dadurch sind sie durch Cyberbedrohungen besonders gefährdet. Nicht zuletzt deswegen rät Cybersicherheitsexperte Michael Linke, der auf jahrzehntelange Erfahrung im Einzelhandel zurückblickt, Händlern dringend, eine Cyber-Resilienz aufzubauen. Im Interview verrät er uns, was er selbst als CISO gelernt hat und welche Cybersecurity-Trends er beobachtet.

Herr Linke, warum ist es für Unternehmen und Einzelhändler unumgänglich, sich um das Thema Cybersecurity zu kümmern?

Michael Linke: Es mag schon eine abgedroschene Phrase sein, aber sie trifft zu: Es ist nicht die Frage, ob Ihr Unternehmen angegriffen wird, sondern wann. Oder um es noch zugespitzter zu formulieren: Ihr Unternehmen wurde bereits angegriffen, Sie wissen es nur nicht!

Denn als Angreifer muss ich heutzutage kein Experte im Hacken sein. Alles, was ich benötige, ist im Darknet erhältlich. Dort gibt es zum Beispiel Webshops, in denen Sie Zugänge zu Firmennetzwerken per Trojaner erwerben können; sobald Sie bezahlen, wird der Trojaner aktiv. Aber auch Phishing-Mails als Service werden dort angeboten oder Onlineshop-Konten, auf deren Rechnung Sie Waren bestellen können. Man hat bei Cyberkriminellen noch das Klischeebild des jungen IT-Nerds im Hoodie, der im Keller der Eltern Videospiele spielt und sich nebenher im Hacking übt. Aber diese kriminellen Unternehmen sind hervorragend organisiert – mit Abteilungen für Entwicklung, Marketing, Finanzen und Kundensupport – und verdienen enorme Summen; das macht sie sehr gefährlich.

Wie gut ist die deutsche Handelslandschaft beim Thema Cybersicherheit auf diese Gefahren vorbereitet?

Linke: Aus eigener Erfahrung behaupte ich, dass viele Unternehmen in Bezug auf Cybersecurity nicht gut aufgestellt sind, sie behandeln das Thema eher stiefmütterlich. Oft übernimmt das jemand aus der IT-Abteilung nebenbei oder ein IT-Dienstleister. Es gibt aber niemanden, der offiziell die Verantwortung trägt, die nötige Qualifikation besitzt oder einen wirklichen Überblick hat. Auch das BSI bestätigt, dass besonders kleine und mittlere Unternehmen (KMU) oft schlecht aufgestellt sind.

Meiner Erfahrung nach liegt das unter anderem daran, dass Unternehmen sich für zu klein oder zu unwichtig halten, um für Angreifer attraktiv zu sein. Aber diese Unternehmen verkennen, wie Cyberangriffe heutzutage funktionieren: Angreifer suchen nicht gezielt nach großen, wertvollen Unternehmen oder Daten, sondern generell nach Schwachstellen.

Ein weiterer entscheidender Faktor ist, dass Cybersicherheit nicht zum Kerngeschäft des Einzelhändlers gehört, was bedeutet, dass Business-Prozesse wie Einkauf, Verkauf und Finanztransaktionen Vorrang haben. Cybersecurity wird oft als zusätzlicher Kostenpunkt gesehen, ohne dass ein direkter Return on Security Investment erkennbar ist. Man bereitet sich damit aber auf einen immer wahrscheinlicher werdenden Ernstfall vor.

Hinzu kommt, dass wichtige Systeme wie Webshops, ERP-Systeme, Kassensysteme oder Zahlungsterminals in der Regel nicht redundant ausgelegt sind. Das bedeutet, dass ein Angriff das gesamte Geschäft lahmlegen kann.

Und schließlich gibt es im Einzelhandel viele gewachsene IT-Landschaften, oft betreiben Unternehmen einen Mix aus alten Legacy-Systemen und neueren Cloud-Services. Diese Vielfalt abzusichern, stellt eine echte Herausforderung dar.

Was raten Sie kleinen und mittleren Handelsunternehmen, die ein geringeres Budget für Cybersicherheit oder kaum vorhandene Strukturen haben?

Linke: Der erste Schritt muss sein, jemanden intern zum Verantwortlichen zu ernennen. Anschließend würde ich Ihnen raten, eine Expertin oder einen Experten zu konsultieren. Es lohnt sich, einmalig in eine professionelle Beratung zu investieren, um die wichtigsten Sicherheitsaspekte zu prüfen. So kann man Schwachstellen identifizieren, eine Strategie entwickeln und eine Prioritätenliste erstellen. Als Unternehmer ist es entscheidend, informiert zu sein, um fundierte Entscheidungen treffen zu können. Lassen Sie sich nicht entmutigen: Selbst, wenn Sie mit Ihren Ressourcen keine großen Sprünge machen können, fangen Sie mit kleinen Schritten an, zum Beispiel mit einer sicheren Passwort-Policy und einem Passwortmanager.

Gibt es spezifische Bedrohungen, denen sich besonders die Einzelhandelsbranche ausgesetzt sieht?

Linke: Es gibt viele Angriffsflächen im Einzelhandel, weil Händler auf mehreren Plattformen präsent sind.

Die Software für Onlineshops sollte stetig getestet und aktualisiert werden, denn oft liegt der Fokus auf der Funktionalität und User Experience des Webshops. Es ist aber wichtig, dass der Onlineshop sicher ist, sonst könnte durch einen Angriff ein Artikel für 1.000 € plötzlich nur noch 10 € kosten. Solche Details übersehen Entwickler manchmal.

Physische Läden sind mit ihren Kassen- und ERP-Systemen vernetzt. Zwischen Onlineshops, Filialen und Lagern besteht zunehmend Online-Echtzeitkommunikation, um zum Beispiel Produktverfügbarkeit zu gewährleisten. Das bietet Angriffsmöglichkeiten.

Und heutzutage ist das Internet of Things in vernetzten Stores natürlich ein essentielles Thema, ob es Kameras, Sensoren, Bildschirme, Zutrittskontrollsysteme oder intelligente Systeme für das Gebäude- und Energiemanagement sind. Alles, was eine IP-Adresse besitzt, kann ein potenzieller Angriffspunkt sein.

Hinzu kommt die Kommunikation in der Supply Chain, die viele Beteiligte wie Hersteller, Lieferanten und Zusteller umfasst. Ich habe als Händler nur bedingt Einfluss darauf, welche IT-Sicherheitsmaßnahmen diese Lieferkettenpartner ergreifen. Ohne Assessment erfahre ich nicht, wie sicher ihre Systeme oder Kundendaten sind.

Welche Trends erwarten Sie für den Bereich Cybersicherheit in den nächsten Jahren? Und welche Rolle wird KI dabei spielen?

Linke: Im Bereich Cybersecurity ist künstliche Intelligenz definitiv ein Gamechanger. KI unterstützt einerseits die Angreifer, beispielsweise bei der Optimierung von Phishing-E-Mails, sodass diese optimal formuliert und gestaltet sind. Andererseits verbessert KI auch die Angriffserkennung.

Blockchain ist ein weiteres Stichwort: Noch wird die Blockchain-Technologie hauptsächlich von Kryptowährungen genutzt. Die Unverfälschbarkeit von Daten wird jedoch immer wichtiger.

Und schließlich sehen wir eine schnelle Entwicklung im Bereich Zugriffsmanagement und Authentifizierung. Herkömmliche Methoden mit Benutzernamen und Passwort sind sehr anfällig. Die Nutzung von Passkeys und biometrischen Daten ist ein Fortschritt. Es gibt zudem neue Verfahren, die das Ausspähen von Zugangsdaten nahezu unmöglich machen, weil die Daten auf nicht-autorisierten Geräten nutzlos sind. Hinzu kommen Passwortmanager, die ohne Masterpasswort und dafür mit Authentifizierung per Smartphone funktionieren. Und schließlich bietet eine Zero-Trust-Architektur mehr Sicherheit: Bisher wurden User, die im Netzwerk, also hinter der Firewall, waren als vertrauenswürdig eingestuft. Beim Zero Trust Security-Modell muss bei jedem Zugriffsversuch zunächst eine Autorisierung erfolgen.

Welche Learnings können Sie aus Ihrer Zeit bei Globetrotter bzw. Fenix Outdoor AB weitergeben?

Linke: Ich war lange als CIO bei Globetrotter für die IT zuständig und habe mich damals schon mit Cybersecurity beschäftigt. Als Fenix Outdoor die Firma übernahm, wurde ich zum CISO ernannt.

Wie sich schnell herausstellte, war es sehr wichtig, dass alles, was IT und Cybersicherheit betraf, über meinen Tisch lief. Um nur ein Beispiel zu nennen: Für einige Filialen in den USA wurden Telefone eines chinesischen Herstellers gekauft. Mir war aber bekannt, dass diese Geräten Daten nach China übertragen, also Spionage ermöglichen, daher mussten die Telefone sofort ersetzt werden. Das betrifft auch die Installation von Software oder die Nutzung von Cloud-Diensten: Ohne vorherige Sicherheitsprüfung entstehen dadurch große Sicherheitsrisiken.

Auf jeden Fall sind eine Cybersecurity-Policy, die im ganzen Unternehmen durchgesetzt wird, und regelmäßige Mitarbeiterschulungen – sogenannte Security Awareness Trainings – essentiell, um ein Bewusstsein für Gefahren und für notwendige Sicherheitsprozesse zu schaffen.

Generell kann ich sagen, dass die Unterstützung durch die Geschäftsführung enorm wichtig ist, um die notwendigen Ressourcen zu erhalten und Maßnahmen durchsetzen zu können. Die Chefetage muss verstehen, dass sich diese Investitionen in die Cybersicherheit lohnen, denn: Wieviel kostet es im Vergleich dazu, wenn der Webshop einen Tag lang ausfällt oder ganze Unternehmensbereiche eine Woche lang stillstehen, weil ein Hacker-Angriff erfolgreich war?