Das Vertrauen bewahren

Weshalb IT-Security wichtig ist für den guten Ruf

Es sind nicht nur kritische Kommentare in sozialen Netzwerken, die den guten Ruf eines Unternehmens gefährden können. Cyberkriminelle drohen mit ihren erpresserischen Angriffen vermehrt, das Vertrauen und damit den Ruf einer Firma zu beschädigen. Doch es gibt Gegenmassnahmen.

Text: Andreas Heer, Bild: Adobe Stock, 3. August 2021

Kundenvertrauen ist ein wertvolles Gut. Und ein flüchtiges, das gut gepflegt werden will. Um den guten Ruf des Unternehmens oder der Marke zu schützen, genügt es heute nicht mehr, nur auf negative Kommentare in den sozialen Netzwerken zu reagieren. Auch die IT-Security ist heute Bestandteil des Reputation Management. Denn Gefahr droht vermehrt von Cyberangriffen. Ist der Online-Shop oder gar das Unternehmen nicht erreichbar, hat das nicht nur finanzielle Konsequenzen. Auch der Ruf und damit das Vertrauen ins Unternehmen leidet.

Gravierend können die Auswirkungen auch im B2B-Umfeld sein. Etwa, wenn Kundenaufträge wegen IT-Ausfällen nicht erledigt oder gar vertrauliche Dokumente «geleakt» werden. In der Folge wandern Kunden ab und Aufträge gehen verloren. Das Worst-Case-Szenario soll hier gar nicht ausgeführt werden.

Virtuelle Angriffe, reale Folgen

Die Entwicklung läuft Hand in Hand: In den letzten Monaten haben digitale Kanäle und Prozesse massiv an Bedeutung gewonnen. Und damit auch die möglichen Auswirkungen einer Cyberattacke. Ein Blick in einschlägige Fachmedien reicht aus, um sich ein Bild der Bedrohungslage zu verschaffen. Praktisch im Wochenrhythmus werden neue Cyberangriffe gegen Schweizer Unternehmen bekannt. Und das sind nur diejenigen, die überhaupt kommuniziert werden.

Zu den häufigsten Angriffsformen von Cyberkriminellen gehören Erpressungsversuche mit Ransomware- und DDoS-Attacken (Distributed Denial of Service), um Teile der Infrastruktur lahmzulegen. Doch Gefahr droht nicht nur von aussen in Form von finanziell motivierten Angriffen. Auch Mitarbeitende können Ursache für ein Datenleck sein, indem sie aus Unachtsamkeit oder böswilliger Absicht vertrauliche Informationen in unbefugte Hände legen. Solch unerwünschter Datenabfluss bleibt also ebenfalls weit oben auf der Security-Agenda.

Rufschädigung einkalkuliert

Cyberangriffe zielen vermehrt darauf ab, vertrauliche Daten zu erbeuten. Ein erfolgreicher Datendiebstahl hat meistens nicht nur rechtliche und finanzielle Konsequenzen. Es droht auch ein Reputationsschaden, der Umsatzverluste verursachen kann, weil Kunden abwandern. Ein Risiko, das Cyberkriminelle gezielt ausnutzen. So zielen Ransomware-Angriffe in jüngster Zeit nicht mehr alleine darauf ab, Daten zu verschlüsseln und Lösegeld für die Wiederherstellung zu erpressen. Darüber hinaus werden die Daten vorher exfiltriert. Als zusätzliches Druckmittel drohen die Angreifer damit, die erbeuteten Informationen zu veröffentlichen, wenn das Lösegeld nicht eintrifft. Das dürfte manch ein Unternehmen zur Zahlung bewegen, um eine Rufschädigung zu vermeiden.

Auch das Hereinfallen auf Business Email Compromise (BEC) sorgt nicht gerade für einen guten Ruf. Bei BEC erhalten Mitarbeitende ein E-Mail, das angeblich von einem Geschäftsleitungsmitglied stammt und eine dringende Zahlungsaufforderung oder einen verseuchten Link enthält. Gemäss dem Serious and Organised Crime Threat Assessment (SOCTA) von Europol verzichten viele Firmen bei einem solchen Vorfall auf eine Anzeige wegen Betrugs, um ihren Ruf zu schützen.

Eine recht raffinierte Methode hat sich eine Gruppierung namens «Fancy Lazarus» ausgedacht – es ist unklar, ob ein Zusammenhang mit der APT-Gruppe Fancy Bear oder Lazarus besteht. Die Cyberkriminellen drohen mit gezielt verschickten E-Mails damit, eine DDoS-Attacke auf ein Unternehmen zu starten, wenn nicht die Summe von meistens zwei Bitcoins auf ein Konto überwiesen wird. Allerdings werden gemäss IT-Sicherheitsfachleuten nicht alle Drohungen wahrgemacht.

Doch wer den Blick nur auf die äusseren Feinde wirft, dem geht es vielleicht wie dem bösen Zauberer Sauron aus «Herr der Ringe»: Er übersieht die Gefahr im Inneren. Gemäss dem Verizon Data Breach Investigations Report 2021 entspringen je nach Branche bis zu 40 Prozent der Vorfälle dem Innern des Unternehmens. Aus Sicht des Reputation Managements spielt hier sicher Data Loss Prevention (DLP) eine grosse Rolle, um den Abfluss vertraulicher Unternehmensinformationen zu verhindern.

Reputation Management als strategische Komponente

Aus diesen Gründen sollte das Reputation Management in Unternehmen auch in die IT-Security-Strategie respektive das Risikomanagement integriert sein. Die Schutzmassnahmen umfassen verschiedene Bereiche. Zu den wichtigen Vorkehrungen für den Reputationsschutz zählen folgende Massnahmen:

Schutz vor DDoS-Attacken: Reduziert die Gefahr, dass kritische Teile der Infrastruktur ausfallen und allenfalls Bestellungen und Aufträge nicht erledigt werden können. Beugt damit einem Reputationsschaden aufgrund von «Unzuverlässigkeit» vor sowie allfälligen finanziellen Verlusten.
Schutz vor unerwünschtem Datenabfluss (Data Loss Prevention): Minimiert das Risiko, dass sensible Daten in falsche Hände gelangen. Und verringert damit einen Vertrauensverlust, wenn ein Data Breach aufgrund gesetzlicher oder regulatorischer Vorgaben kommuniziert werden muss.
Threat Detection and Response (TDR): Dämmt die Folgen eines erfolgreichen Angriffs ein, indem beispielsweise eine Ransomware vor der Datenverschlüsselung oder Exfiltration gestoppt werden kann. Das verhindert nicht nur allfällige hohe Folgekosten, sondern auch einen Reputationsverlust oder gar Wettbewerbsnachteil durch veröffentlichte vertrauliche Geschäftsunterlagen.

Doch Reputation Management ist nicht nur mit Blick auf die Schutzmassnahmen vielschichtig. Auch die Zusammensetzung des Incident-Response-Teams verändert sich. Bei einem Vorfall mit drohendem Rufschaden wird sinnvollerweise auch das Social-Media-Team respektive die Kommunikationsabteilung miteinbezogen. Deren Aufgabe ist die Kundenkommunikation – proaktiv oder reaktiv auf Kundenanfragen zum Vorfall. Das hilft, denn eine ehrliche Kommunikation ist durchaus ein taugliches Mittel, um bei negativen Ereignissen den Ruf nicht zu verlieren.

Infopaket

Distributed Denial of Service (DDoS)

Laden Sie jetzt das Infopaket zu Distributed Denial of Service (DDoS) herunter.

Infopaket

Data Loss Prevention (DLP)

Laden Sie jetzt das Infopaket zu Data Loss Prevention (DLP) herunter.

Erfahren Sie, wie Sie Ihr Unternehmen vor solchen Bedrohungen schützen können. Laden Sie jetzt das gewünschte Infopaket herunter zu DDoS-Schutz, Data Loss Prevention oder Threat Detection and Response.