Kurzantwort: Cybersecurity-Risiken werden mit geschäftlichen Auswirkungen verbunden, indem technische Findings den betroffenen Assets, Services, Daten, Prozessen und Stakeholdern zugeordnet werden. Statt Risiken ausschließlich anhand ihres technischen Schweregrads zu priorisieren, bewertet das Unternehmen, wie eine Bedrohung oder Schwachstelle den Betrieb unterbrechen, sensible Informationen gefährden, finanzielle Verluste verursachen oder die Erfüllung von Verpflichtungen verhindern könnte.
Cybersecurity-Teams verfügen normalerweise über große Mengen technischer Informationen. Schwachstellenscanner identifizieren Sicherheitslücken, Sicherheitsplattformen erzeugen Warnmeldungen und Compliance-Prüfungen zeigen Kontrolllücken auf.
Die eigentliche Herausforderung besteht darin, aus diesen Findings Entscheidungen abzuleiten, die für das gesamte Unternehmen nachvollziehbar sind.
Ein kritischer Schwachstellenwert erklärt nicht automatisch, welcher Service gefährdet ist, wie viele Kunden betroffen sein könnten oder ob vorhandene Kontrollen die Wahrscheinlichkeit eines Vorfalls reduzieren. Ohne diesen Kontext konzentrieren sich Sicherheitsteams möglicherweise auf technisch schwerwiegende Findings mit geringer Geschäftsrelevanz. Gleichzeitig können niedriger bewertete Probleme in geschäftskritischen Systemen übersehen werden.
Die Verbindung zwischen Cybersecurity-Risiko und Geschäftsauswirkung schafft eine gemeinsame Entscheidungsgrundlage für technische Teams und Führungskräfte.
Warum der technische Schweregrad nicht ausreicht
Der technische Schweregrad ist ein wichtiger Bestandteil der Risikobewertung. Er bildet jedoch nur einen Teil der Gesamtsituation ab.
Zwei Systeme können dieselbe Schwachstelle enthalten und trotzdem sehr unterschiedliche Risiken darstellen. Bei einem System kann es sich um einen isolierten Entwicklungsserver ohne sensible Daten handeln. Das andere System unterstützt möglicherweise eine internetfähige Kundenanwendung.
Die technische Schwachstelle ist identisch, die möglichen Konsequenzen sind es nicht.
Eine aussagekräftige Bewertung sollte deshalb Folgendes berücksichtigen:
- das betroffene Asset und seinen Zweck;
- den unterstützten Geschäftsservice;
- die Erreichbarkeit über das Internet;
- die Sensibilität der verarbeiteten Daten;
- Art und Anzahl der betroffenen Benutzer;
- die Wahrscheinlichkeit einer Ausnutzung;
- vorhandene Sicherheitskontrollen;
- Abhängigkeiten von Lieferanten und Cloud-Services;
- mögliche Betriebsunterbrechungen;
- finanzielle, vertragliche und regulatorische Folgen.
Dieser Kontext hilft dabei, zwischen einem technisch schwerwiegenden Problem und einem tatsächlich bedeutenden Geschäftsrisiko zu unterscheiden.
Was Geschäftsauswirkung im Cybersecurity-Kontext bedeutet
Die Geschäftsauswirkung beschreibt die Konsequenzen, die ein Unternehmen erfahren könnte, wenn ein Cyberrisiko eintritt.
Dazu gehören nicht nur die direkten Kosten der Reaktion auf einen Vorfall. Mögliche Folgen sind:
- Unterbrechung eines wichtigen Geschäftsservices;
- Verlust, Veränderung oder unbefugte Offenlegung von Daten;
- eingeschränkte Kundenbetreuung;
- Produktivitätsverluste;
- Verletzung vertraglicher Verpflichtungen;
- regulatorische Untersuchungen oder Sanktionen;
- Wiederherstellungs- und Rechtskosten;
- sinkendes Kundenvertrauen;
- langfristige Schäden für die Reputation.
Welche Auswirkungen relevant sind, hängt vom betroffenen System und seiner Nutzung ab.
Der vorübergehende Ausfall eines internen Collaboration-Tools kann beispielsweise die Produktivität reduzieren. Der Ausfall einer Produktionsplattform für Kundentransaktionen kann Umsätze unterbrechen, vertragliche Verpflichtungen gefährden und ein erheblich größeres betriebliches Problem verursachen.
Cybersecurity-Risiken werden für Entscheidungsträger greifbar, wenn sie anhand dieser praktischen Folgen beschrieben werden.
Warum Cybersecurity und Fachbereiche Risiken unterschiedlich betrachten
Sicherheitsexperten beschreiben Risiken häufig anhand von Schwachstellen, Angriffspfaden, Bedrohungstechniken und Kontrollmängeln. Führungskräfte konzentrieren sich eher auf Serviceverfügbarkeit, Umsatz, Kunden, rechtliche Pflichten und strategische Ziele.
Beide Perspektiven sind relevant. Das Problem entsteht, wenn keine zuverlässige Verbindung zwischen ihnen besteht.
Ein Bericht mit Hunderten kritischer Findings kann Besorgnis auslösen, ohne zu zeigen:
- welche Geschäftsservices besonders gefährdet sind;
- welche Risiken die größten Störungen verursachen könnten;
- welche Behebungsmaßnahmen den höchsten Nutzen bieten;
- wer das verbleibende Risiko akzeptieren darf;
- ob bisherige Investitionen die Risikoexposition reduzieren.
Ein geschäftsorientiertes Risikomodell bewahrt die technischen Nachweise und verknüpft sie gleichzeitig mit den Informationen, die Führungskräfte für ihre Entscheidungen benötigen.
Technische Findings mit Geschäftsauswirkungen verbinden
1. Kritische Geschäftsservices identifizieren
Beginnen Sie mit den Services und Prozessen, die für den Geschäftsbetrieb erforderlich sind.
Dazu können Kundenplattformen, Zahlungsdienste, Produktionsprozesse, Lieferkettensysteme oder wichtige interne Services gehören.
Bestimmen Sie für jeden Service:
- wer von ihm abhängig ist;
- welches Geschäftsziel er unterstützt;
- wie lange das Unternehmen ohne ihn arbeiten könnte;
- welche Daten er verarbeitet;
- welche finanziellen oder vertraglichen Verpflichtungen von ihm abhängen.
2. Unterstützende Assets und Abhängigkeiten abbilden
Ein Geschäftsservice ist normalerweise von mehreren Anwendungen, Datenbanken, Identitäten, Cloud-Ressourcen, Netzwerkkomponenten und Lieferanten abhängig.
Diese Elemente sollten mit dem unterstützten Service verbunden werden. Andernfalls kann ein technisches Team ein anfälliges Asset erkennen, ohne dessen Bedeutung für den Geschäftsbetrieb zu verstehen.
3. Bedrohungen und Schwachstellen mit Assets verknüpfen
Sicherheitsfindings sollten den betroffenen Assets zugeordnet werden, statt als isolierte Einträge in verschiedenen Tools zu verbleiben.
Dadurch wird sichtbar, ob mehrere Findings denselben Service beeinflussen oder gemeinsam einen Angriffspfad bilden. Eine Fehlkonfiguration kann allein beherrschbar erscheinen, aber in Kombination mit zu weit gefassten Berechtigungen und fehlender Überwachung ein erhebliches Risiko darstellen.
4. Bestehende Kontrollen bewerten
Geschäftsauswirkungen sollten nicht ohne Berücksichtigung bestehender Sicherheitskontrollen bewertet werden.
Netzwerksegmentierung, Multifaktor-Authentifizierung, getestete Backups, Monitoring und Incident-Response-Prozesse können die Wahrscheinlichkeit oder die Auswirkungen eines Vorfalls reduzieren.
Dabei ist zu prüfen, ob eine Kontrolle:
- angemessen gestaltet ist;
- für das betroffene Asset gilt;
- zuverlässig funktioniert;
- getestet wurde;
- ausreichende Nachweise für ihre Wirksamkeit liefert.
Eine dokumentierte Kontrolle ist nicht automatisch eine wirksame Kontrolle.
5. Realistische Auswirkungsszenarien definieren
Vermeiden Sie allgemeine Formulierungen wie „hohe betriebliche Auswirkung“. Beschreiben Sie stattdessen, was tatsächlich passieren könnte.
Ein Szenario könnte folgendermaßen lauten:
Ein Angreifer nutzt eine offene Schwachstelle im Kundenportal aus, greift auf Kundendaten zu und unterbricht den Service, während die betroffene Umgebung isoliert und wiederhergestellt wird.
Anschließend können die möglichen Auswirkungen auf Kunden, Betrieb, Umsatz, Verträge und regulatorische Pflichten bewertet werden.
6. Klare Verantwortlichkeiten zuweisen
Technische Teams können für die Behebung einer Schwachstelle verantwortlich sein, ohne Eigentümer des daraus entstehenden Geschäftsrisikos zu sein.
Ein vollständiger Risikoeintrag sollte folgende Rollen nennen:
- technischen Asset Owner;
- Business Owner des unterstützten Services;
- verantwortliches Remediation-Team;
- Person mit Befugnis zur Risikoakzeptanz;
- relevante Lieferanten oder Drittanbieter.
Wie einheitliche Modellierung die Priorisierung verbessert
Sicherheitsinformationen befinden sich häufig in unterschiedlichen Plattformen, Tabellen und Registern. Einheitliche Modellierung verbindet diese Quellen durch eine gemeinsame Struktur.
Das Modell kann Folgendes zusammenführen:
- Assets und Geschäftsservices;
- Schwachstellen und Bedrohungen;
- Identitäten und Zugriffsrechte;
- Datenklassifizierungen;
- Kontrollen und Nachweise;
- Vorfälle und Warnmeldungen;
- Lieferanten und externe Abhängigkeiten;
- technische und geschäftliche Verantwortliche;
- betriebliche, finanzielle und regulatorische Auswirkungen.
Ein Finding kann dadurch eine höhere Priorität erhalten, weil es ein internetfähiges System betrifft, einen kritischen Service unterstützt, sensible Daten umfasst und keine wirksame kompensierende Kontrolle vorhanden ist.
Ein anderes Finding mit demselben technischen Wert kann anders behandelt werden, wenn es ein isoliertes System mit geringer Geschäftsrelevanz betrifft.
Wie AI eine geschäftsorientierte Cyberrisikoanalyse unterstützen kann
AI kann Sicherheits- und Risikoteams dabei unterstützen, große Informationsmengen zu verarbeiten, Beziehungen zu erkennen und technische Nachweise für verschiedene Zielgruppen zusammenzufassen.
Mit zuverlässigen Daten und geeigneter Governance kann AI helfen:
- Findings aus verschiedenen Tools zu korrelieren;
- betroffene Services und Abhängigkeiten zu identifizieren;
- wiederkehrende Risikomuster zu erkennen;
- technische Probleme in Geschäftssprache zusammenzufassen;
- ähnliche Risikoszenarien zu vergleichen;
- fehlende Verantwortungs- oder Kontrollinformationen zu erkennen;
- Berichte für technische und leitende Zielgruppen vorzubereiten.
AI sollte Geschäftsauswirkungen nicht eigenständig bestimmen. Undokumentierte Prozesse, lokale Betriebsbedingungen oder die Risikotoleranz des Unternehmens sind möglicherweise nicht ausreichend bekannt.
Empfehlungen müssen deshalb auf Quelldaten zurückgeführt und von verantwortlichen Experten geprüft werden.
Ein praktisches Beispiel
Betrachten wir eine Schwachstelle, die zwei Server betrifft.
Der Schwachstellenscanner bewertet beide Systeme als kritisch.
Der erste Server gehört zu einer isolierten Testumgebung. Er enthält synthetische Daten, ist nicht über das Internet erreichbar und kann schnell neu aufgebaut werden.
Der zweite Server unterstützt einen Online-Kundenservice. Er verarbeitet personenbezogene Daten, ist von einem externen Zahlungsanbieter abhängig und muss aufgrund vertraglicher Verpflichtungen verfügbar bleiben.
Der technische Schweregrad deutet darauf hin, dass beide Findings dieselbe Priorität erhalten sollten. Der Geschäftskontext führt jedoch zu einer anderen Bewertung.
Der zweite Server erfordert schnelleres Handeln, da eine erfolgreiche Ausnutzung Kundendaten offenlegen, umsatzrelevante Prozesse unterbrechen und vertragliche oder regulatorische Folgen verursachen könnte.
Der geschäftliche Nutzen
Die Verbindung von Cyberrisiken mit Geschäftsauswirkungen kann Ihrem Unternehmen helfen:
- Behebungsmaßnahmen wirksamer zu priorisieren;
- Investitionen auf die wichtigsten Risiken auszurichten;
- Unstimmigkeiten über technische Schweregrade zu reduzieren;
- Verantwortlichkeiten für Risikoentscheidungen zu klären;
- die Kommunikation zwischen Security und Fachbereichen zu verbessern;
- ein aussagekräftigeres Executive Reporting aufzubauen;
- Cyberrisiken mit dem Enterprise Risk Management zu verbinden;
- den Schutzbeitrag von Cybersecurity-Maßnahmen sichtbar zu machen.
Technische Findings in Geschäftsentscheidungen übersetzen
Wenn Ihr Unternehmen Cybersecurity-Risiken hauptsächlich anhand von Schwachstellenwerten und der Anzahl von Warnmeldungen misst, fehlt Führungskräften möglicherweise weiterhin der notwendige Entscheidungskontext.
Ein besserer Ansatz verbindet technische Findings mit kritischen Assets, Geschäftsservices, Kontrollen, Verantwortlichen und realistischen Auswirkungsszenarien.
Vereinbaren Sie eine Beratung mit Cybersecurity Analytics, um Ihre aktuelle Cyberrisikobewertung und Berichterstattung zu prüfen. Unsere Experten unterstützen Sie bei der Entwicklung eines Enterprise-Risk-Management-Frameworks, das technische Nachweise mit relevanten Geschäftsauswirkungen verbindet.
