- KMU sind häufig Opfer von Ransomware und Business E-Mail-Compromise, da sie oft unzureichend geschützt sind.
- Schutzmassnahmen umfassen Schulungen, Prozessoptimierungen und den Einsatz fortschrittlicher Sicherheitssoftware.
- Um die Sicherheit zu gewährleisten, sollten diese laut Vivien Bilquez ihre Lieferanten bewerten, regelmässige Sicherheitsüberprüfungen durchführen und in Cyberresilienz investieren.
Vivien Bilquez, Global Head of Cyber Resilience bei der Zurich Insurance Group, entwickelte mit 17 Jahren nach einem Phishing-Angriff auf seine Webseite Interesse an Cybersicherheit. Heute leitet er ein Team bei Zurich Resilience Solutions, der auf
kommerzielle Risiken spezialisierte Beratungs- und Dienstleistungseinheit von Zurich, und hilft Unternehmen, Cyberbedrohungen zu mindern. Mit einem Master in Informatik hat Bilquez Universitätskurse gelehrt und in der Cyber-Risikomanagement-Beratung gearbeitet.
Herr Bilquez, welche spezifischen Cyberbedrohungen sind KMU am häufigsten ausgesetzt und warum sind sie attraktive Ziele für Cyberkriminelle?
Laut unserer Erfahrung und den Anfragen unserer KMU-Kunden ist die grösste Bedrohung Ransomware. Das ist eine Art von Schadsoftware, die die Daten des Opfers und/oder die Partner oder Kunden eines Unternehmens zu informieren, verschlüsselt und dann Lösegeld für den Entschlüsselungsschlüssel verlangt. Viele KMU sind nicht gut mit Backups und Schutzmassnahmen ausgestattet, um Ransomware zu erkennen. Deshalb sind sie leichte Ziele.
Welche anderen grossen Bedrohungen gibt es noch?
Die zweite grosse Bedrohung ist das sogenannte Business E-Mail Compromise, oft durch Phishing verursacht. Dabei gibt sich jemand als CEO oder wichtige Person aus und fordert sensible Daten oder Zahlungen. Eine weitere Bedrohung ist der Datenverlust, oft in Verbindung mit Ransomware. Heute erpressen die Angreifer nicht nur durch Verschlüsselung, sondern drohen auch, die Daten zu veröffentlichen, wenn nicht gezahlt wird.
Wie können sich KMU gegen solche Bedrohungen schützen?
Es gibt drei Hauptfaktoren: der Mensch, die Governance und die Technik. Menschen müssen für Phishing gezielt geschult werden. Die Governance umfasst das Einrichten von Prozessen und regelmässige Risikobewertungen. Technisch sollten KMU auf Next-Generation-Antivirus-Lösungen setzen, die nicht nur bekannte Bedrohungen erkennen, sondern auch neue durch Verhaltensanalyse.
Wie können KMU sicherstellen, dass ihre Lieferketten ebenfalls vor Cyberangriffen geschützt sind?
Zunächst müssen sie ihre Lieferanten identifizieren und sicherstellen, dass Verträge Cyber- und Datenschutzanforderungen enthalten. Sie sollten das Recht haben, Audits durchzuführen, um sicherzustellen, dass die Lieferanten diese Anforderungen erfüllen. Wichtig ist es, die Lieferanten zu klassifizieren und unterschiedliche Sicherheitsbewertungen durchzuführen.
Können Sie ein Beispiel für eine solche Bewertung geben?
Wir identifizieren zum Beispiel verschiedene Szenarien wie Ransomware oder Datenlecks und wir
können das Risiko quantifizieren. So können wir etwa einem Unternehmen sagen, dass sie ein Ransomware-Angriff 20 Millionen Franken kosten würde. Dadurch können sie gezielte Massnahmen ergreifen, um dieses Risiko zu reduzieren. Mit einer Investition von 5000 bis 10’000 Franken können sie ihre Cyberrisiken erheblich senken.
Was sagen Sie zur oft geäusserten These, dass Grossunternehmen nicht gegen Cyberrisiken versichert werden können?
Cyberversicherungen decken oft nur die finanziellen Risiken ab, wenn es bereits zu spät ist. Bei Zurich kombinieren wir deshalb Versicherungsschutz mit Präventionsdienstleistungen von Zurich Resilience Solutions. So bieten wir unseren Kunden eine umfassende Lösung für ihre Cyberresilienz.
Was sollten KMU Ihrer Meinung nach tun, um die Wirksamkeit ihrer Cyberresilienz-Massnahmen zu bewerten und kontinuierlich zu verbessern?
Wir empfehlen regelmässige Penetrationstests und Cyberrisikobewertungen. Es ist wichtig, dass die getroffenen Massnahmen getestet und angepasst werden, um sicherzustellen, dass sie effektiv sind. Die kontinuierliche Investition in Cyberresilienz ist entscheidend, um mit den sich ständig ändernden Bedrohungen Schritt zu halten.