Interview mit Sascha Maier, Head of IT IWC

Im Herbst 2020 ist die Swatch-Gruppe Angriff eines Cyberangriffs geworden. Könnte das bei der IWC auch vorkommen?

Betrachtet man die aktuelle Lage zum Thema Cybersicherheit, so ist insbesondere in den letzten Wochen des Jahres 2020 sowie im Januar 2021 ein starker Anstieg von Angriffen zu verzeichnen. So berichtet das Nationale Zentrum für Cybersicherheit NCSC von über 300 Meldungseingängen pro Woche. Nach einer Mehrheit von allgemeinen Betrugsvorfällen liegen die Phishingangriffe auf Platz 2. Und hier handelt es sich lediglich um die bekannt gewordenen Vorfälle, die auch gemeldet wurden. Viele Fälle von Erpressung, z.B. infolge einer Ransomware-Attacke bleiben im Dunkeln, meist aus Angst vor Reputationsverlust. Die Lage hat sich durch Corona deutlich verschärft, da viele Prozesse digitalisiert wurden. Auch wir bei IWC haben dieser Situation Rechnung getragen und unsere bereits vorhandenen Massnahmen intensiven Prüfungen unterzogen und die Sicherheit verstärkt. Eine endgültige Sicherheit gibt es jedoch nie. Daher ist es umso wichtiger das gesamte Unternehmen auf einen Cyberangriff vorzubereiten. Im Ernstfall muss der Schaden begrenzt werden und die Durchgängigkeit von Prozessen schnellstmöglich und sicher wieder hergestellt werden. Dafür bedarf es nicht nur technologisch gestützter Werkzeuge, eines ausgeklügelten und aussagekräftigen Monitorings. Vor allem muss die Organisation mit allen Mitarbeiterinnen und Mitarbeitern vorbereitet sein.

Was sind deiner Meinung nach die grössten Risiken für Schweizer Unternehmen im Bereich der Cybersecurity?

Neben den bereits bekannten Bedrohungen wie DDoS-Angriffen rücken auch immer bessere und schwerer aufzudeckende Phishingattacken und Betrugsvorfälle wie CEO-Fraud in den Vordergrund. Besonders stark im Kommen ist aktuell die Verbreitung von Ransomware. Im letzten Jahr war eine regelrechte Welle von Angriffen auf Schweizer Firmen zu verzeichnen. Und da sind wir auch schon bei einem der wichtigsten Themen: die grösste Schwachstelle, der aus meiner Sicht noch mehr Aufmerksamkeit gewidmet werden muss, ist der «Faktor Mensch». Die technische Absicherung eines Unternehmens kann noch so gut sein, ist jedoch geschwächt oder gar nutzlos, wenn mithilfe von Social Engineering Menschen wissentlich oder unwissentlich dazu verleitet werden, sicherheitsrelevante Informationen an Aussenstehende preiszugeben. Auf dieses Einfallstor für Cyberangriffe müssen wir auch in Schweizer Unternehmen unser Augenmerk legen.

Aktuell, seit Corona haben sich die Risiken auch noch einmal verändert im Vergleich zur Situation vorher. Wer im Homeoffice arbeitet, muss einen sicheren Arbeitsplatz zur Verfügung haben. Die Nutzung von Heimnetzwerken und evtl. auch privaten Geräten wie Druckern oder Smartphones sollte den Anforderungen des eigenen Unternehmens genügen. Mitarbeiterinnen und Mitarbeiter benötigen daher klare Vorgaben und Richtlinien, aber auch praktische Unterstützung bei der Arbeit von zu Hause aus.

Welchen Maturitätsgrad haben, deiner Meinung nach, die meisten Schweizer Unternehmen im Bereich Cybersecurity? Wo siehst du Potenzial?

Im Grossen und Ganzen sind wir in der Schweiz auf einem guten Weg, denke ich. Im Gespräch mit vielen Kolleginnen und Kollegen aus der IT-Sicherheit in anderen Schweizer Unternehmen erfahre ich, dass dem Thema Cybersicherheit immer mehr Aufmerksamkeit zukommt. IT-Sicherheitsteams werden verstärkt und auch die Investitionen in Massnahmen werden verstärkt – sicherlich nicht zuletzt wegen des starken Anwachsens von Heimarbeitsplätzen.

Auch politisch ist das Thema in der Schweiz angekommen. Denken Sie z.B. an die Verabschiedung der «Nationalen Strategie zum Schutz der Schweiz vor Cyberrisiken (NCS) 2018–2022» und der Ernennung eines dedizierten «Delegierten des Bundes für Cybersicherheit» im Jahre 2019. Ich persönlich halte es für sehr wichtig und sinnvoll, die Ziele und Massnahmen über alle Kantone hinweg zu verknüpfen und sowohl Wirtschaft als auch Hochschulen einzubinden.

Welche bewährte Vorgehensweisen und Methoden empfiehlst du, um die Resilienz der Unternehmen gegen Cyberattacken nachhaltig zu stärken?

Wie bereits gesagt, ist es ein langer Weg hin zu einem gegenüber Cyberattacken widerständigen Unternehmen. Um die drei Kernelemente Technik, Mensch und Organisation nachhaltig aufzubauen und zu verbinden, hat aus meiner Sicht das Thema Awareness nach wie vor die Priorität. Awareness-Kampagnen sind ein beliebtes Mittel, um Cybersicherheit Schritt für Schritt im Unternehmen zu verankern. Dabei darf man es keinesfalls bei kurzfristigen und einzelnen Aktivitäten belassen. Vielmehr tragen kontinuierliche, aufeinander aufbauende Kampagnen zu einer langfristigen Steigerung der Effizienz bei. Bei IWC haben wir 2013 mit unserer ersten Kampagne begonnen, damals vor allem mit dem Fokus auf Informations- und Arbeitsplatzsicherheit. 2018 haben wir auf diese Grundlagen aufgebaut und unsere erweiterte Awareness-Kampagne «WATCH IT» an den Start gerollt. Wir haben den Fokus erweitert, ein Team von Multiplikatoren über mehrere Unternehmensbereiche hinweg etabliert und diese aktiv in die Kampagne eingebunden. Veränderung und die Verfestigung von neuen Verhaltensweisen geschieht nicht über Nacht. Awareness-Massnahmen müssen durchdacht, nahe an der Praxis und dauerhaft gut kommuniziert werden. Daher sind alle unsere Themen gut aufeinander abgestimmt und wir bedienen uns der unterschiedlichsten Methoden und Kommunikationskanäle.

Wir haben Präsenzveranstaltungen wie Lunch&Learn-Sessions oder Schulungen abgehalten (in diesen Tagen allerdings ausschliesslich online), geben ein digitales Magazin heraus, das einmal pro Quartal erscheint (unsere Kolleginnen und Kollegen aus der Produktion können die Inhalte übrigens auf Infoscreens verfolgen). Wir veröffentlichen regelmässige Intranet-Beiträge, in denen z.B. in kurzen Postings über aktuelle Cyber-Bedrohungen informiert wird usw.