Am Anfang ist der Gedanke an die Gefahr

Nicht auf Erpressungen eingehen

«Es ist nicht die Frage, wer von Cyberattacken betroffen ist, sondern wann dies eintrifft», sagt Patrick Erni kurz und knapp und macht damit deutlich, dass die Gefahr, Opfer eines Cyberangriffs zu werden, latent gross ist. Und wenn es passiert, sind hohe finanzielle Schäden durch Betriebsunterbrüche, das Wiederherstellen der Systeme und Daten oder gar Schadenersatzforderungen die Folge. Patrick Erni unterstreicht aber: «Lösegeld zahlen darf man nie, damit die Cyberkriminellen verschlüsselte Daten wieder freigeben.» Laut dem Cyber-Security-Fachmann gab es im Jahr 2023 in der Schweiz rund 50’000 Cyberangriffe. In diesem Jahr rechnet er ungefähr mit einer Verdoppelung, da nun grössere Unternehmen eine Meldepflicht haben, wenn sie gehackt worden sind. «Es gibt ohnehin eine grosse Dunkelziffer», macht Patrick Erni deutlich.

Bewusstsein für Gefahr fehlt

Gerade bei kleinen und mittelgrossen Unternehmen fehle bisweilen das Bewusstsein für Gefahren, welche die Informations- und Kommunikationstechnologie beträfen. «Deshalb kann man Unternehmen auch nicht genug darüber aufklären.» Um ein potentes Risikomanagement zu implementieren, müsse man als Erstes einen Netzwerkplan und ein umfassendes Inventar der gesamten IT erstellen. «Und die Firmenverantwortlichen müssen sich Gedanken zum Schutz ihrer kritischen Infrastruktur machen.» So seien etwa komplex aufgebaute Passwörter und gute Back-ups das Mindeste. Dazu sei es ratsam, über einen guten IT-Partner zu verfügen, der rasch und kompetent eingreifen und identifizieren könne, wie die Cyberattacke genau vonstatten gegangen sei, hält Patrick Erni fest. Klar sei aber auch, dass es gerade für kleine Unternehmen schon auch eine Kostenfrage sei, wie viel Geld sie in die Cybersicherheit stecken könnten. «Weiter empfehle ich, alle zwei bis drei Jahre eine Gefahrenschulung beim Personal zu machen.» 

Menschliche Fehler oft an Ursprung

Letzteres deutet auf die grösste Bedrohung hin: Den Menschen an sich. Schnell ist im hektischen Alltag eine mit einer Schadsoftware infizierte Mail angeklickt, welche nun das System im Hintergrund verheert. Ein Augenmerk gilt es auch darauf zu richten, dass der physische Zugang zu den Geräten jenen verwehrt bleibt, die da nichts zu suchen haben. Zudem sollte ein Unternehmen seine IT-Standards und Richtlinien definieren, um nur noch ein weiteres Beispiel zu nennen. «Jeder sagt doch, dass es ihr oder ihm sicher nie passieren würde, ein Phishing-Mail zu öffnen oder irgendwelche Zugangsdaten preiszugeben», erzählt Patrick Erni. Doch die Realität belege, dass viel zu viele Leute noch viel zu wenig für die Gefahren, die von Cyberkriminellen ausgehen, sensibilisiert seien. Deshalb mache er immer wieder auf die Risiken aufmerksam und zeige Wege auf, wie man sich besser schützen könne. Der Cyber-Security-Experte empfiehlt allen Anwendern, mit gesundem Menschenverstand und einer Grundskepsis mit all dem umzugehen, was einem tagtäglich im Netz begegnet. «Man muss sich immer wieder die Frage stellen: Kann das sein? Warum will jemand, dass ich mich neu anmelde?»