Stellen Sie sich vor, Sie kommen ins Büro und finden am Bildschirm diese Nachricht: „WARNING, alle your files are encrypted!“ Cyberattacken wie diese sind mittlerweile Realität: Im vergangenen Jahr gab es dazu 60.195 Anzeigen, 2021 waren es erst 46.179. Das hat auch die EU erkannt und NIS2 beschlossen. Diese neue Cybersicherheits-Richtlinie gilt ab Oktober 2024 und bringt für Unternehmen bestimmter Sektoren verpflichtende Sicherheitsmaßnahmen und Meldepflichten bei Sicherheitsvorfällen. Die Fachgruppe UBIT lud daher gemeinsam mit dem „Software Internet Cluster“ zur Hybrid-Veranstaltung „NIS2: Wer ist betroffen und was ist zu tun?“

Aber was ist NIS2?

„NIS2 verlangt von bestimmten Unternehmen Risikomanagementmaßnahmen wie Konzepte für Risikoanalyse, Bewältigung von Sicherheitsvorfällen, Backupmanagement und Schulungen von Mitarbeiter:innen“, erklärte Verena Becker, Cybersicherheitsexpertin in der Bundessparte IC. Lieferketten und Abhängigkeiten von Partnerunternehmen müssen ebenso berücksichtigt werden. Auch die Meldepflichten sind streng: „Bei Cybersicherheitsvorfällen müssen Unternehmen die Behörde innerhalb von 24 Stunden zum ersten Mal informieren. Innerhalb von drei Tagen ist der Behörde eine ausführliche Einschätzung zu übermitteln.“ Nach einem Monat soll dann ein Abschlussbericht gesendet werden.

Wer ist von NIS2 betroffen? Indirekt alle Unternehmen!

Unternehmen unter 50 Mitarbeiter:innen in Vollzeit können vorerst aufatmen. Sie betrifft NIS2 nur, wenn sie in einem sogenannten kritischen Bereich arbeiten. Ob Ihr Betrieb aber tatsächlich betroffen ist, zeigt Ihnen der Onlineratgeber https://ratgeber.wko.at/nis2 der Wirtschaftskammer. Becker sieht unabhängig von NIS2 Herausforderungen für jedes Unternehmen: „Wenn ich Schadsoftware an ein anderes Unternehmen weitergebe, kann ich schadenersatzpflichtig werden. Und das ist von den möglichen Folgekosten viel schlimmer als die Strafen bei NIS2!“ Zudem hinterfragen Versicherungen schon jetzt bei Cyberattacken ganz genau, ob entsprechende Sicherheitsmaßnahmen im Unternehmen vorliegen. Die geschädigten Unternehmen schauen dann oft durch die Finger.

Verena Becker – Cybersicherheitsexpertin in der Bundessparte Information und Consulitng / Wirtschaftskammer Österreich

Cybersecurity ist Chefaufgabe

Auf das Topmanagement kommt laut Becker neue Verantwortung zu: „Leitungsorgane haften persönlich und müssen eine Schulung in diesem Bereich nachweisen.“ Die Strafen bei Nichteinhalten sind hoch: Bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes bei „wesentlichen“ Organisationen, bei „wichtigen“ Unternehmen sind es 7 Millionen Euro bzw. 1,4 Prozent des Jahresumsatzes. Ob Strafen in dieser Höhe ausgesprochen werden, ist aber unklar. Ebenso unklar ist, ob sich Unternehmen selbst bei der Behörde melden müssen, wenn Sie NIS2 betrifft.

Vor rund einem Jahr griffen Cyberkriminelle die IT-Systeme vom Land Kärnten an und zeigten, wie komplex eine Cyber-Attacke im großen Stil sein kann. Im Fokustalk IT-Security mit Mag. Harald Brunner, wurden die Ereignisse rekonstruiert und über konkrete Präventionsmaßnahmen gesprochen. „Im Fall von Hacker-Attacken braucht es eine schnelle und richtige Situationseinschätzung und Nachverfolgung“, erzählt Harald Brunner. Sofort wurden alle Systeme runter gefahren, Netzwerkverbindungen gesperrt und Meldeketten bei den Ermittlungsbehörden in Gang gesetzt. Parallel dazu wurde die Zusammenarbeit mit externen Spezialisten gestartet und Arbeitsgruppen installiert. „Wichtig nach dem Angriff war, dass wir uns nicht aussperren haben lassen. Wir hatten Zugriff auf Back-ups und konnten dadurch noch immer handeln“, sagt Brunner. Durch dieses Ereignis rückte IT-Sicherheit in den Fokus der Öffentlichkeit. Die Bedrohung durch die Hacker wurde medial stärker wahrgenommen.

IT-Sicherheit ist teuer, schützt aber auch

„Nach wie vor wird in vielen Betrieben die Bedeutung von IT-Sicherheit unterschätzt. Stillstand und Wiederherstellung kosten sehr viel Geld und können bei Kunden auch einen Vertrauensverlust mit sich ziehen“, unterstreicht Moderator und IT-Sicherheitsexperte Holger Schmitz und ergänzt: „Es muss noch stärker in Schutzmaßnahmen investiert werden. Ständig ändern sich die Herausforderungen und die Angriffe werden immer raffinierter.“ Zum einen gelte es technische Sicherheitsmaßnahmen aufzubauen, zum anderen braucht es Schulungen von Mitarbeiter:innen sowie Krisen- und Notfallpläne.

Holger Schmitz – Sprecher der ExpertsGroup IT-Security und Leiter der Fokusgruppe für IT-Security im Software Internet Cluster

Mag. Harald BRUNNER, IT-Leiter des Landes Kärnten

Prävention wird immer wichtiger

Cyber-Security ist zu einer umfassenden Strategie im Unternehmen geworden. Harald Brunner dazu: „Wie wichtig Prävention ist, haben wir gesehen. Sicherheit kostet, aber eine konsequente Umsetzung der IT-Security-Strategie ist nötig. Nur so kann virtuell eine Verteidigung wie einst auf der Burg Hochosterwitz aufgebaut werden: Im Falle eines Angriffes müssen es die Hacker erst durch 14 Tore schaffen“, resümiert Brunner über die Learnings aus dem Vorfall. Holger Schmitz ergänzt: „Neben all den technischen Maßnahmen dürfen wir nicht auf den Faktor Mensch vergessen. Mitarbeiter:innen erkennen Angriffe oft erst zu spät oder gar nicht oder reagieren nicht richtig. Aufklärung und Wissensvermittlung sind das Um und auf.“

Cyberangriff auf das Land Kärnten 2022

Phishing-Attacke im großen Stil. Im Frühjahr 2022 haben Cyberkriminelle die IT-Systeme vom Land Kärnten angegriffen, Daten verschlüsselt und Lösegeld gefordert. Wie genau das von statten gegangen ist, welche Learnings daraus gezogen wurden und wie man sich in Zukunft gegen derartige Attacken aus dem Netz schützt klären unsere hochkarätigen Experten im Zuge unseres Fokustalks.

IT-Security-Experte Holger Schmitz moderiert die Fragenrunde. Gemeinsam werden Learnings und Handlungsfelder besprochen und genauer unter die Lupe genommen.

Fokustalk – IT-Security

Wann: Dienstag, 21. März 2023, 13:30 – 17:00 Uhr
Wo: WIFI Klagenfurt, Europaplatz 1, Parterre, Raum B001 (Orangerie)
Moderation: Holger SCHMITZ, Fokusgruppenleiter IT-Security

Holger Schmitz – Sprecher der ExpertsGroup IT-Security und Leiter der Fokusgruppe für IT-Security im Software Internet Cluster

Mag. Harald BRUNNER, IT-Leiter des Landes Kärnten

Es gibt immer wieder verschiedene Gruppen die mit entsprechendem Know-how und krimineller Energie Cyberangriffe verüben und versuchen, mit erpresserischen Mitteln an Geld zu gelangen. Diese Angriffe finden mit unterschiedlichem Erfolg nahezu täglich statt und es gab in den letzten Jahren unzählige Attacken und Datendiebstähle bei staatlichen Einrichtungen, Krankenhäusern, Gemeinden – sogar bei Einrichtungen, die auf Strafverfolgung spezialisiert sind.

Im Fokustalk IT-Security berichtet unser externe Experte Mag. Harald BRUNNER, IT-Leiter des Landes Kärnten, über seine Erfahrungen und gibt Empfehlungen für Präventionsmaßnahmen: WAS muss man wissen, um sich zu schützen? WAS kann getan werden, wenn es doch passiert? WER ist wofür zuständig?