Cyber-Sicherheit im Sanierungsgutachten

Sanierungsgutachten beleuchten regelmäßig nicht oder zu wenig das Thema Cyber-Sicherheit. Aber Fakt ist: Fortführungs- und Fortbestehensprognosen ohne individuelle Analyse der Cyber-Sicherheit sind heutzutage nicht mehr aussagekräftig. Daher sollte die Situation in Bezug auf Cyber-Sicherheit überprüft und geeignete Maßnahmen definiert und eingepreist werden.

Wirksamer Schutz – ein vollständiges, tragfähiges Sanierungskonzept

Die Erstellung eines Sanierungsgutachtens gemäß IDW S 6 ist unvollständig, wenn das Thema IT-Sicherheit nicht umfassend integriert wird. IDW S 6 fordert ausdrücklich, dass alle relevanten IT-Risiken detailliert analysiert und entsprechende Schutzmaßnahmen implementiert werden. Das Gutachten muss präventive IT-Sicherheitsmaßnahmen sowie Strategien für den Umgang mit potenziellen IT-Sicherheitsvorfällen umfassen, um den Fortbestand des Unternehmens zu sichern. Ohne diese Maßnahmen kann das Sanierungskonzept die Anforderungen des IDW S 6 nicht erfüllen, was den Sanierungserfolg und die langfristige Unternehmensstabilität erheblich gefährdet.

Durch die Kombination u. a. der folgenden Maßnahmen ist ein effektives Verteidigungsnetz gegen Cyber-Angriffe aufzubauen und die Resilienz gegenüber Bedrohungen sicherzustellen.

Organisatorische Maßnahmen

1.      Risikobewertung und -management

IDW S 6 betont die Bedeutung eines umfassenden Risikomanagementsystems, welches die IT-Sicherheit einschließt. Ein effektives Risikomanagement sollte nicht nur präventive und reaktive IT-Sicherheitsmaßnahmen, sondern auch strategische Überlegungen sowie die Durchführung einer gründlichen Bewertung beinhalten, um potenzielle Bedrohungen und Schwachstellen zu identifizieren. Diese Einschätzung sollte sowohl interne als auch externe Faktoren umfassen, einschließlich der Analyse von Bedrohungen und Sicherheitsmaßnahmen.

Da Cyber-Bedrohungen sich ständig verändern und weiterentwickeln, ist es unerlässlich, eine proaktive Herangehensweise zu wählen, die nicht nur aktuelle Risiken analysiert, sondern auch zukünftige Bedrohungen und erfolgreiche Angriffe antizipiert.

2.      Sicherheitsrichtlinien

Entwicklung und Um-/Durchsetzung von klaren IT-Sicherheitsrichtlinien und strengem Zugriffsmanagement. Es ist sicherzustellen, dass nur autorisierte Personen auf sensible Informationen zugreifen können.

3.      Notfallplan 

Erstellung eines detaillierten, vollständigen und robusten Notfallplans, der die Maßnahmen bei einem Cyberangriff beschreibt, einschließlich Kontaktinformationen und Verfahren zur Eskalation. Dieser Plan sollte klare Zuständigkeiten und Abläufe für die Reaktion auf verschiedene Arten von Cybervorfällen und die Wiederherstellung der Betriebsfähigkeit wie auch die Kommunikation nach innen und außen festlegen. Er ist regelmäßig zu üben!

4.      Sicherheitskultur, Sensibilisierung, Mitarbeiterschulung

Eine Sicherheitskultur ist zu schaffen, die die IT-Sicherheit priorisiert und das Bewusstsein für mögliche Bedrohungen erhöht; z. B. durch regelmäßige, praktisch orientierte Schulungen der Mitarbeiter zum Erkennen und zum Umgang mit Cyberbedrohung und Phishing-Methodik, um das Wissen der gesamten Belegschaft auf dem neuesten Stand zu halten. Regelmäßige Sensibilisierungskampagnen und digitale Erinnerungen stärken ebenso das Bewusstsein.

IT-Sicherheitsmaßnahmen

1.      Multi-Faktor-Authentifizierung (MFA)

Einführung von MFA für alle Benutzerkonten, um die Sicherheit der Anmeldungen zu erhöhen.

2.      Verschlüsselung von Daten

Anwendung von Verschlüsselungstechniken für sensible Daten, sowohl im Ruhezustand als auch während der Übertragung.

3.      Firewall und Intrusion Detection Systems (IDS)

Implementierung von Firewall und IDS zur Überwachung und dem Schutz des Netzwerkperimeters.

4.      Investition in Sicherheitstechnologie

Regelmäßige Aktualisierung der gesamten IT-Infrastruktur. Dieser Posten kann enorm sein, da die zu sanierende Organisation regelmäßig veraltete oder bereits aus der Wartung gelaufene Produkte im Einsatz haben. Backup-Strategie und -wiederherstellung: Implementierung robuster Backup-Lösungen, um Daten im Falle eines Angriffs (oder anderer Unregelmäßigkeiten) wiederherzustellen und Betriebsstörungen zu minimieren.

5.      Sicherheitsüberwachung

Etablierung einer kontinuierlichen, modernen und automatisierten Sicherheitsüberwachung und Nutzung von Sicherheitsinformations- und Ereignismanagement-Systemen, um verdächtige Aktivitäten in Echtzeit zu erkennen.

Regelmäßige Überprüfung und Anpassung

1.      Feedback-Mechanismen

Implementierung von Feedback- Mechanismen, um aus Sicherheitsvorfällen und Beinahe-Vorfällen zu lernen und die Sicherheitsstrategien kontinuierlich zu verbessern.

2.      Aktualisierung und Anpassung sämtlicher Parameter

Konzeption, Richtlinien, Softwarestände, Schulungen, Methoden, also alle genannten Maßnahmen usw. sind regelmäßig zu prüfen und anzupassen, um den sich ständig verändernden Bedrohungen gerecht zu werden.

3.      Penetrationstests

Offizielle wie geheime Durchführung regelmäßig geplanter Penetrationstests, um Schwachstellen im System zu identifizieren und zu beheben.

4.      Sicherheitsaudits

Regelmäßige offizielle wie verdeckte Audits der Sicherheitsrichtlinien und -praktiken, um sicherzustellen, dass sie den aktuellen Bedrohungen entsprechen.

Finanzielle Maßnahmen

1.      Cyber-Versicherung

Ein zunehmend wichtiger Aspekt des Risikomanagements ist die Absicherung durch Cyber-Versicherungen, die unterstützen können, die finanziellen Folgen eines Cyberangriffs zu bewältigen. Im Rahmen der Risikoanalyse gemäß IDW S 6 ist daher zu prüfen, ob eine Cyber-Versicherung sinnvoll ist und in welchem Umfang sie diese Bedrohungen abdeckt. Ein Auslassen der o. g. Maßnahmen erhöht meist die Prämie oder erschwert einen Abschluss.

2.      Bewertung und Budgetierung

Es ist notwendig, eine gründliche Risikobewertung durchzuführen, um die genannten Maßnahmen sachgerecht zu bewerten. Dabei müssen potenzielle finanzielle Schäden durch Cyberangriffe sowie die Aufwände für Hardware, Software, Implementierung und Beratungsleistungen präzise identifiziert und quantifiziert werden.

3.      Investition

Gut geplant ist noch nicht umgesetzt. Kluge Investitionen in fortschrittliche, autarke Sicherheitslösungen sind konsequent zu tätigen, um die Widerstandsfähigkeit stetig zu erhöhen und Sicherheitslücken kontinuierlich zu schließen – auch und gerade dann, wenn im Sanierungsfall der Schuh überall drückt.

Das könnte Sie auch interessieren:

• FAZIT. Der NWB Wochenrückblick 
• STEUERBAR | Der Podcast für Steuerprofis und Unternehmer