Kein IT-System ist 100-prozentig sicher vor Hackerangriffen. Kleine und mittlere Unternehmen sind oft das Ziel, weil sie über weniger finanzielle oder personelle Ressourcen verfügen als Grossunternehmen und sich weniger gut schützen können. Wie der Hacker-Jahresrückblick der NZZ zeigt, sind aber auch Grossunternehmen und selbst der Bund nicht vor Angriffen gefeit: So wurden im Juni 2023 während des Besuchs des ukrainischen Präsidenten Wolodimir Selenski die Websites des Parlaments, der Post, der SBB, des Eidgenössischen Justiz- und Polizeidepartements EJPD sowie der Städte Zürich, Lausanne, St. Gallen, Montreux und Schaffhausen lahmgelegt. Im März 2023 wurde die NZZ selbst zum Opfer. Cyberkriminelle stahlen vertrauliche Daten, verschlüsselten Dateien und erpressten den Verlag. Der Artikel «Kriminelle Hacker greifen die NZZ an und erpressen sie: Protokoll einer Krise» schildert eindrücklich, wie eine Cyberattacke abläuft und wie gravierend die Folgen sein können.
Jede Woche gehen beim Bundesamt für Cybersicherheit BACS mehrere hundert bis 2'000 Meldungen über Cybervorfälle ein. Gefährdet sind alle: Regierungen, kritische Infrastrukturen wie Energieversorger oder Krankenhäuser, Staatsbetriebe und Konzerne. Aber auch kleine und mittlere Unternehmen. Deshalb müssen sich KMU organisatorisch und technisch auf Angriffe vorbereiten, ihre Mitarbeitenden für die Themen IT-Sicherheit und Datenschutz sensibilisieren und ihre Cyberresilienz stärken. In der Psychologie bezeichnet Resilienz die Fähigkeit, schwierige Lebenssituationen ohne Beeinträchtigung zu meistern. In der Cybersicherheit ist Resilienz die Fähigkeit, sich vor Cyberangriffen zu schützen, diese zu erkennen, sofort darauf zu reagieren und sich schnell von den Folgen zu erholen.
Cyberkriminelle entwickeln ständig neue Methoden und perfektionieren sie. Dies sind ihre häufigsten Angriffsvarianten:
Das Ganze ist mehr als die Summe seiner Teile, wenn es um IT-Sicherheit und Datenschutz geht. Regelmässige Backups, eine Firewall und ein aktueller Virenscanner sind sinnvoll, schützen IT-System und Daten allein aber nicht ausreichend. Deshalb brauchen Unternehmen, unabhängig von ihrer Grösse, eine ganzheitliche Strategie. Die Basis der Strategie bilden die Risikobeurteilung und das Risikomanagement, organisatorische und technische Schutzmassnahmen, die Schulung und Sensibilisierung aller Mitarbeitenden sowie die Notfallvorsorge und ein Notfallplan.
Wer Risiken beherrschen will, muss sie kennen. Mit einer Risikobeurteilungsstrategie können Unternehmen potenzielle Risiken identifizieren und sinnvolle Massnahmen zu ihrer Minimierung ableiten. Die drei wichtigsten Elemente einer wirksamen Risikobeurteilungsstrategie sind:
Mit der kostenlosen Zurich Risk Advisor App für Android- oder iOS-Geräte können Unternehmen ihre Cyberrisiken selbst einschätzen. Die mehrsprachige App identifiziert und bewertet Risiken und empfiehlt Gegenmassnahmen.
Unternehmen, die ihre IT und Daten wirksam schützen wollen, müssen ihren Umgang mit IT-Sicherheit und Datenschutz überdenken, ihre Prozesse anpassen und geeignete Werkzeuge einführen:
Auf Seite 8 unserer Broschüre «Cyberversicherung» erklären wir die 8 Tipps, wie Sie sich wappnen und Ihre Risiken minimieren ausführlich.
Die grösste Schwachstelle in jedem IT-Sicherheitskonzept ist der Mensch. Cyberkriminelle nutzen dies mit Social Engineering aus (siehe «So greifen Cyberkriminelle KMU an»). Unternehmen müssen deshalb ihre Mitarbeitenden für Themen wie Phishing, Passwörter oder sicheres Surfen sensibilisieren. Regelmässige Schulungen, klare Richtlinien und einfache Prozesse schaffen eine Sicherheitskultur im ganzen Unternehmen und fördern das gemeinsame Verantwortungsbewusstsein. Da die Sicherheit der IT und der Daten Chefsache sind, sollten die Geschäftsführerin, alle Mitglieder der Geschäftsleitung und alle Vorgesetzten mit gutem Beispiel vorangehen und durch ihr Verhalten den Stellenwert von IT-Sicherheit und Datenschutz in ihrem Unternehmen unterstreichen
Kleine und mittlere Unternehmen, die bei der Zurich eine Cyberversicherung abschliessen, erhalten eine kostenlose Sensibiliserungsschulung für bis zu 100 Mitarbeitende inklusive Phishing-Simulation.
Vorbeugen ist besser und billiger als heilen. Ein längerer Ausfall der IT-Systeme kostet im besten Fall «nur» Geld, im schlimmsten Fall die Existenz. Deshalb braucht jedes KMU einen IT-Notfallplan, um besser auf Cyberangriffe vorbereitet zu sein. Der IT-Notfallplan ...
In der Schweiz regeln das Bundesgesetz über den Datenschutz (DSG) und die Datenschutz-Grundverordnung (DSGVO) der Europäischen Union den Umgang mit und den Schutz von personenbezogenen Daten. Die Gesetze legen fest, wie Personendaten bearbeitet werden dürfen und wie sie und damit die Privatsphäre geschützt werden müssen. Unternehmen, die gegen das DSG verstossen, können mit Bussen bis zu 250'000 Franken bestraft werden. Oft schwerwiegender und in vielen Fällen existenzbedrohend ist jedoch der Reputations- und Vertrauensverlust. Unternehmen, die sich vor Verstössen gegen das DSG oder die DSGVO schützen wollen, sollten Best Practices für ein Compliance Management mit Kontrollmechanismen, Richtlinien und Verfahren einführen.
Zurich Resilience Solution unterstützt Grossunternehmen bei der Stärkung ihrer Cyberresilienz. Das ganzheitliche Konzept baut auf Prävention und dem Schutz vor finanziellen Risiken auf. Die Lösungen decken alle wichtigen Aspekte der IT-Sicherheit und des Datenschutzes ab: Zurich Resilience Solutions …
