Was sie verursacht, wie Unternehmen ihre Sicherheitsarchitektur ganzheitlich betrachten sollten und warum echte Cyber Resilience nicht einfach eingekauft werden kann, erklärt Sebastian Bittig, Director of Cyber Defense bei r-tec, im accompio Experteninterview. Bittig beschäftigt sich seit rund 15 Jahren mit Security-Architekturen und verbindet strategische Beratung mit operativer Erfahrung aus Managed Services und Incident Response.
Das Wichtigste in Kürze
- Hohe Security-Investitionen bedeuten nicht automatisch hohe Resilienz. Entscheidend ist nicht die Anzahl eingesetzter Lösungen, sondern deren Zusammenspiel.
- Die Resilienz-Lücke entsteht häufig durch gewachsene und fragmentierte Security-Landschaften. Einzelne Systeme und Teams funktionieren für sich, sind aber nicht zu einem Gesamtsystem verbunden.
- Prävention bleibt die Basis der IT-Sicherheit, kann aber nicht jeden Angriff verhindern. Was nicht verhindert wird, muss zuverlässig erkannt und anschließend schnell behandelt werden.
- Detektion bildet die wichtige Verbindung zwischen Prävention und Response. Erkenntnisse aus Angriffen sollten zudem zurück in die Prävention fließen.
- Response ist der Realitätstest für die Cyber Resilience eines Unternehmens. Erst im Sicherheitsvorfall zeigt sich, ob Prozesse, Verantwortlichkeiten, Systeme und Menschen tatsächlich funktionieren.
- Resilienz ist nicht nur eine technische Aufgabe. Prozesse, Verantwortlichkeiten, Kommunikation und Zusammenarbeit zwischen Teams und Dienstleistern sind ebenso entscheidend.
- Resilienz lässt sich messen und trainieren. Kennzahlen wie Time to Respond und Mean Time to Recover sowie praxisnahe Notfallübungen zeigen, wie schnell ein Unternehmen auf einen Angriff reagieren und wieder handlungsfähig werden kann.
- Der Weg vom Tool-Stack zum Gesamtsystem braucht Zeit. Unternehmen sollten schrittweise vorgehen, bestehende Lösungen integrieren und Verantwortlichkeiten sowie Prozesse klar definieren.
Cyber Resilience: Warum Security-Investitionen allein nicht ausreichen
Viele Unternehmen investieren heute erhebliche Summen in ihre IT-Sicherheit. Trotzdem entsteht dadurch nicht automatisch ein höheres Maß an Cyber Resilience. Der Grund: Zwischen der Investition in einzelne Sicherheitsmaßnahmen und deren tatsächlicher Wirksamkeit kann eine deutliche Lücke entstehen.
Sebastian Bittig bezeichnet diese Lücke als Resilienz-Lücke. Sie entsteht insbesondere dann, wenn Unternehmen zwar viele Sicherheitsmaßnahmen etabliert haben, diese aber nicht als zusammenhängendes System funktionieren.
Ob ein Unternehmen tatsächlich resilient aufgestellt ist, zeigt sich dabei häufig erst dann, wenn ein echter Sicherheitsvorfall eintritt. Dann wird sichtbar, ob Erkennung, Kommunikation und Reaktion funktionieren – oder ob zwischen den einzelnen Sicherheitsbereichen Brüche bestehen.
Die Resilienz-Lücke entsteht häufig durch gewachsene Security-Landschaften
Ein typisches Problem vieler Unternehmen ist eine über Jahre gewachsene Sicherheitsarchitektur. Neue Lösungen werden ergänzt, wenn sich neue Anforderungen ergeben oder neue Bedrohungen entstehen. Was dabei häufig fehlt, ist eine übergeordnete Betrachtung des Gesamtsystems.
„Vor vielen Jahren hat man angefangen mit Antivirus. Nach und nach sind dann weitere Lösungen dazugekommen. In vielen Fällen wurde dabei nicht von Anfang an berücksichtigt, wie die einzelnen Systeme miteinander funktionieren und welche Informationen zwischen ihnen ausgetauscht werden müssen.“ — Sebastian Bittig, Director of Cyber Defense bei r-tec (Teil der accompio-Gruppe)
So entstehen Security-Silos: Einzelne Lösungen arbeiten technisch durchaus zuverlässig, liefern ihre Erkenntnisse aber nicht automatisch an die nächste Stelle in der Sicherheitskette.
Im Ernstfall kann genau das zum Problem werden. Informationen müssen manuell zusammengetragen werden, Verantwortlichkeiten sind nicht eindeutig oder relevante Hinweise werden zu spät erkannt. Das kostet vor allem eines: Zeit.
Und Zeit ist bei einem laufenden Cyberangriff ein entscheidender Faktor.
Prävention, Detektion und Response müssen als Gesamtsystem funktionieren
Drei funktionierende Einzelbereiche ergeben noch kein resilientes Unternehmen.
Entscheidend ist das Zusammenspiel aus Prävention, Detektion und Response. Alle drei Bereiche müssen Informationen austauschen, aufeinander aufbauen und gemeinsam auf ein Ziel einzahlen: einen Sicherheitsvorfall möglichst zu verhindern, frühzeitig zu erkennen, schnell einzudämmen und den Geschäftsbetrieb möglichst rasch wiederherzustellen.
Dafür braucht es mehr als einzelne Security-Tools.
Im Cyber Resilience Assessment werden genau diese Faktoren verprobt. Eine funktionierende Security-Architektur besteht laut Bittig aus dem Zusammenspiel von Technik, Prozessen und Menschen. Die eingesetzten Systeme müssen miteinander kommunizieren, Datenflüsse müssen funktionieren und Verantwortlichkeiten müssen klar geregelt sein.
Cyber Resilience ist auch ein organisatorisches Thema
Die Resilienz-Lücke ist deshalb nicht ausschließlich ein technisches Problem. Auch die Organisation eines Unternehmens spielt eine entscheidende Rolle.
Eine Investition in eine Sicherheitslösung muss organisatorisch begleitet werden. Prozesse müssen definiert, Verantwortlichkeiten festgelegt und Zuständigkeiten regelmäßig überprüft werden.
Besonders kritisch wird es, wenn Informationen oder Ansprechpartner nicht mehr aktuell sind. Bittig berichtet von einem Ransomware-Vorfall, bei dem ein Angriff zwar durch das eingesetzte SIEM erkannt wurde, die Reaktion aber dennoch ins Stocken geriet.
Der Grund war nicht die fehlende technische Erkennung. Vielmehr war der primäre Ansprechpartner des Kunden nicht mehr erreichbar, die hinterlegten Kontakte waren nicht aktuell und es gab keine ausreichende Bereitschaftsregelung für das Wochenende.
Das Beispiel zeigt: Ein erkanntes Security Event ist noch kein gelöster Sicherheitsvorfall.
Erst wenn aus der Erkennung eine definierte und schnelle Reaktion wird, entsteht tatsächliche Resilienz.
Wie lässt sich Cyber Resilience messen?
Resilienz ist kein abstraktes Ziel, sondern lässt sich anhand konkreter Kennzahlen und Übungen bewerten.
Zu den relevanten Größen gehören beispielsweise:
- Time to Respond: Wie schnell reagiert ein Unternehmen auf einen erkannten Sicherheitsvorfall?
- Mean Time to Recover: Wie lange dauert es, bis die betroffenen Systeme und Prozesse wiederhergestellt und die Handlungsfähigkeit wiedererlangt ist?
Beide Kennzahlen geben wichtige Hinweise darauf, wie gut die Response-Prozesse tatsächlich funktionieren.
Dabei sollte der Blick nicht ausschließlich auf technische Kennzahlen gerichtet sein. Entscheidend ist letztlich der Outcome: Wie schnell wird ein Angriff erkannt? Wie schnell kann das Unternehmen reagieren? Und wie schnell ist der normale Betrieb wiederhergestellt?
Praxisbeispiel: Wenn ein erkannter Angriff trotzdem zum Problem wird
Ein besonders anschauliches Beispiel aus Bittigs Praxis ist ein Ransomware-Vorfall bei einem Neukunden.
Das Unternehmen verfügte bereits über einen Managed Service und hatte gute Audit-Berichte. Auch technisch funktionierte die Detektion: Das eingesetzte SIEM erkannte den Angriff und der zuständige Service Provider informierte den Kunden.
Trotzdem kam die Reaktion zunächst nicht ausreichend in Gang.
Der entscheidende Schwachpunkt lag in der Organisation: Der hinterlegte primäre Ansprechpartner war inzwischen nicht mehr im Unternehmen. Am Wochenende war zudem niemand erreichbar und es gab keine ausreichend definierte Bereitschaft des Providers.
Technisch war der Angriff also erkannt worden. Das Gesamtsystem war trotzdem nicht handlungsfähig.
Den Unterschied hätten klar definierte Prozesse, aktuelle Ansprechpartner und festgelegte Befugnisse gemacht. Insbesondere für bestimmte Szenarien sollte bereits vorab geregelt sein, welche Maßnahmen ein Dienstleister selbstständig einleiten darf.
Das Beispiel verdeutlicht die zentrale Aussage des Interviews: Security Resilience entscheidet sich nicht allein daran, ob ein Angriff erkannt wird – sondern daran, was danach passiert.
Was Unternehmen beim Aufbau von Cyber Resilience vermeiden sollten
Eine der größten Gefahren ist, zu viel auf einmal verändern zu wollen.
Der Aufbau eines funktionierenden Security-Gesamtsystems kann Monate oder sogar Jahre dauern. Unternehmen sollten deshalb nicht versuchen, die gesamte Sicherheitsarchitektur in einer kurzen Workshop-Serie neu aufzubauen.
Stattdessen empfiehlt sich ein schrittweises Vorgehen:
1. Reifegrad und bestehende Architektur analysieren
2. Sicherheitslücken und Brüche zwischen den Bereichen identifizieren
3. Bestehende Tools sinnvoll miteinander verbinden
4. Verantwortlichkeiten und Prozesse definieren
5. Response-Szenarien und Befugnisse festlegen
6. Das Gesamtsystem regelmäßig testen und weiterentwickeln
So entsteht Schritt für Schritt ein Sicherheitsmodell, das nicht nur auf dem Papier funktioniert, sondern auch im Ernstfall handlungsfähig bleibt.
Fazit
Die Resilienz-Lücke entsteht dort, wo einzelne Security-Maßnahmen zwar funktionieren, aber kein funktionierendes Gesamtsystem bilden. Echte Cyber Resilience entsteht im Zusammenspiel und lässt sich einfach erkaufen.
Prävention, Detektion und Response dürfen deshalb nicht isoliert betrachtet werden. Sie müssen ineinandergreifen, Informationen austauschen und durch klare Prozesse und Verantwortlichkeiten miteinander verbunden sein.
Dabei spielen nicht nur Technologien eine Rolle. Menschen, Prozesse und Technik müssen gemeinsam funktionieren.
Der wichtigste Perspektivwechsel lautet daher: Nicht die Frage „Welche Security-Lösung brauchen wir noch?“ sollte im Mittelpunkt stehen, sondern:
„Wie stellen wir sicher, dass unser gesamtes Security-System im Ernstfall funktioniert?“
Denn genau dort entscheidet sich echte Cyber Resilience.
FAQ: Häufige Fragen zu Cyber Resilience
Was bedeutet Cyber Resilience?
Cyber Resilience beschreibt die Fähigkeit eines Unternehmens, Cyberangriffe und Sicherheitsvorfälle zu verhindern, frühzeitig zu erkennen, wirksam darauf zu reagieren und die Handlungsfähigkeit anschließend schnell wiederherzustellen. Entscheidend ist dabei das Zusammenspiel aus Prävention, Detektion und Response.
Was bedeutet Resilienz in der IT?
In der IT beschreibt Resilienz die Fähigkeit von Systemen und Organisationen, auch unter Störungen oder Angriffen funktionsfähig zu bleiben oder sich schnell davon zu erholen. Cyber Resilience ist die Anwendung dieses Prinzips speziell auf IT-Sicherheit und Cyberangriffe.
Was ist die Resilienz-Lücke?
Die Resilienz-Lücke bezeichnet den Abstand zwischen den vorhandenen Security-Investitionen und der tatsächlichen Fähigkeit eines Unternehmens, im Ernstfall wirksam zu handeln. Sie entsteht häufig dann, wenn einzelne Security-Lösungen zwar funktionieren, aber nicht zu einem integrierten Gesamtsystem verbunden sind.
Warum reichen Security-Tools allein nicht aus?
Security-Tools liefern wichtige Funktionen für Prävention, Detektion oder Response. Sie erzeugen jedoch nicht automatisch ein funktionierendes Gesamtsystem. Erst wenn Technik, Prozesse und Menschen zusammenspielen und Informationen sowie Verantwortlichkeiten klar definiert sind, entsteht echte Cyber Resilience.
Welche Rolle spielen Prävention, Detektion und Response?
Prävention soll Angriffe möglichst verhindern. Was nicht verhindert werden kann, muss durch Detektion möglichst schnell erkannt werden. Anschließend sorgt Response dafür, dass geeignete Maßnahmen eingeleitet, Angriffe eingedämmt und betroffene Systeme wiederhergestellt werden. Die drei Bereiche müssen dabei eng miteinander verzahnt sein.
Wie lässt sich Cyber Resilience messen?
Cyber Resilience lässt sich unter anderem anhand von Kennzahlen wie der Time to Respond und der Mean Time to Recover bewerten. Zusätzlich sind praxisnahe Notfall- und Angriffssimulationen wichtig, weil sie zeigen, ob technische Maßnahmen, Prozesse und Verantwortlichkeiten im Ernstfall tatsächlich funktionieren.
Wie können Unternehmen ihre Cyber Resilience verbessern?
Ein sinnvoller Einstieg ist eine Analyse des bestehenden Security-Reifegrads. Angriffssimulationen können dabei helfen, Schwachstellen im Zusammenspiel von Prävention, Detektion und Response sichtbar zu machen. Anschließend sollten Unternehmen bestehende Tools integrieren, Verantwortlichkeiten definieren und Prozesse schrittweise verbessern.
Ist Cyber Resilience nur ein technisches Thema?
Nein. Cyber Resilience ist ein Zusammenspiel aus Technik, Prozessen und Menschen. Unklare Verantwortlichkeiten, veraltete Ansprechpartner oder fehlende Bereitschaftsregelungen können dazu führen, dass ein erkannter Angriff trotzdem nicht schnell behandelt werden kann.
Warum ist Response für Cyber Resilience so wichtig?
Response zeigt, ob ein Unternehmen im Ernstfall tatsächlich handlungsfähig ist. Ein Angriff kann technisch erkannt werden – wenn anschließend jedoch niemand erreichbar ist, Zuständigkeiten unklar sind oder notwendige Befugnisse fehlen, entsteht trotzdem ein erheblicher Zeitverlust und potenziell größerer Schaden.
Weiterführende Links
👉 www.accompio.com
Foto: unsplash
