Zwischen CISO-Albträumen und Hausaufgaben

Der traditionsreiche Hausgeräte-Profi VorwerkVorwerk steht nicht nur für beliebte Staubsauger oder Kochgeräte, sondern auch für einen starken Digitalfokus seiner Produkte und Services. Immerhin konnte das Unternehmen 2017 einen DIGITAL LEADER AWARD von CIO-Magazin und COMPUTERWOCHE für das digitale Ecosystem gewinnen, den das Unternehmen seinerzeit rund um den beliebten Thermomix aufgebaut hat. Mit Blick auf die Cyber- und Informationssicherheit also ein herausforderndes Setup mit Lieferketten, Standorten mit Mitarbeitenden und den Millionen verkauften Endkundenprodukten inklusive der Nutzendendaten der Kundinnen und Kunden. Top-500-Firmenprofil für Vorwerk

Florian Jörgens, der als CISO bei Vorwerk für die Informationssicherheit aller der genannten Aspekte verantwortlich ist, wird im Rahmen des Cybersecurity Summits von CIO und CSO, den die beiden Medien von Foundry am 20. Juni 2023 in Frankfurt am Main veranstalten, eine Tabletop-Übung mit dem Titel "Hacked! 72 hours of a CISOs nightmare" zum Programm beisteuern und gemeinsam mit den Teilnehmenden einen Ransomware-Angriff simulieren. Bevor wir Florian Jörgens jedoch auf der Bühne unseres Summits begrüßen, haben wir mit Ihm gesprochen - über Cyber- und Informationssicherheit bei Vorwerk, seinem Einsatz für Awareness beim "Faktor Mensch" und natürlich auch seine schlimmsten CISO-Albträume.

Herr Jörgens, wir simulieren theoretisch im Rahmen unseres Summits gemeinsam eine Tabletop-Übung, die Sie mit einem "Albtraumszenario" überschreiben. Bevor wir in die Übung schauen und über Schadensbegrenzung und business continuity sprechen: Was ist eigentlich ihr schlimmster Albtraum?

Florian Jörgens: Grundsätzlich schlafe ich sehr gut, wenngleich ich mich auch nach Feierabend viel mit dem Thema Cybersecurity auseinandersetze. Unabhängig davon ist zweifellos eine erfolgreiche Ransomware-Attacke auf unsere Organisation eines der kritischsten Szenarien in unserem Risiko-Portfolio. Durch Erfahrungen mit anderen CISOs weiß ich, dass die Kosten für Forensik, Remediation und Recovery schnell zweistellige Millionenbeträge erreichen können. Vom Ausfall der Produktion und dem Vertrauensverlust durch unsere Kunden ganz zu schweigen. Was tatsächlich einen Albtraum darstellt: Wenn unser Vorstand beschließen würde, dem Thema nicht mehr die bisherige Wichtigkeit zuzuordnen. Aber davon sind wir zum Glück weit entfernt.

Jetzt zum Cybersecurity Summit registrieren

Rund um die Betrachtung eines möglichen Ernstfalls, beispielsweise einer Ransomware-Attacke, gibt es ja zwei primäre Handlungsfelder: Vorbereitung, also den präventiven Teil auch Ihrer Arbeit, und den Umgang mit der akuten Angriffs-Situation und den damit verbundenen Fragen nach Backup & Recovery, der Kommunikation und der Forensik. Worauf sollte man speziell mit Blick auf die Vorbereitung für den Ernstfall achten? Welche Rolle spielt es dabei, auch über Elemente wie eine Tabletop-Übung speziell beim Management Awareness zu schaffen?

Florian Jörgens: Das Testen von Notfallplänen ist von entscheidender Bedeutung, um sicherzustellen, dass die im Voraus entwickelten Reaktions- und Wiederherstellungspläne effektiv funktionieren. Ein ungetesteter Notfallplan kann im Ernstfall zu Chaos und Verzögerungen führen. Zeit die nicht vorhanden ist. Unternehmen sollten regelmäßig Übungen durchführen, bei denen sie verschiedene Szenarien simulieren, um ihre Reaktion darauf zu prüfen. Diese Übungen ermöglichen es den relevanten Stakeholdern, ihre Rolle im Ernstfall zu verstehen, die Kommunikation zu verbessern und Schwachstellen im Plan zu identifizieren. Dadurch wird die Management Awareness gestärkt und die Handlungsfähigkeit im Ernstfall erhöht.

Der zweite wichtige Aspekt ist der Schutz von Datensicherungen. Regelmäßige und vollständige Backups sind unerlässlich, um im Ernstfall eine schnelle Wiederherstellung der Daten zu ermöglichen. Unternehmen sollten sicherstellen, dass ihre Backups offline oder zumindest in einer isolierten Umgebung gespeichert werden, um sicher vor einer potenziellen Verschlüsselung durch Ransomware zu sein. Zudem ist eine regelmäßige Überprüfung der Backup-Integrität und -Wiederherstellungsfähigkeit wichtig, um sicherzustellen, dass die Backups tatsächlich funktionieren und im Ernstfall eingesetzt werden können.

Neben der Aufgabe, das Management für Support zu gewinnen und "walking the talk" zu leben, ist eine der größten kommunikativen und kulturellen Herausforderungen, die Mitarbeitenden emphatisch und auf Augenhöhe zu begleiten - Stichwort Awareness. Wie erreichen Sie es bei Vorwerk, das die Mitarbeitenden kritisch und aufmerksam mit dem Thema umgehen?

Florian Jörgens: Bei Vorwerk setzen wir verschiedene Maßnahmen ein, um sicherzustellen, dass unsere Mitarbeitenden kritisch und aufmerksam mit dem Thema Informationssicherheit umgehen. Dazu gehören Live-Hacking-Demonstrationen, Comics, Podcasts, Gastvorträge, FAQ-Sessions und informative Videos. Als familienorientiertes Unternehmen legen wir auch Wert auf die Informationssicherheit für Familien und Kinder, da das Verhalten in der Freizeit Auswirkungen auf die Arbeitsumgebung haben kann.

Diese vielfältigen Maßnahmen fördern eine Kultur der Aufmerksamkeit und des kritischen Denkens. Durch die Fokussierung auf Informationssicherheit für Familien und Kinder schaffen wir ein Bewusstsein das über den Arbeitsplatz hinausreicht und dazu beiträgt, dass sichere Verhaltensweisen auch im privaten Umfeld etabliert werden. Indem wir die Mitarbeiterinnen und Mitarbeiter sowie ihre Familien in ihren digitalen Aktivitäten unterstützen, stärken wir das Sicherheitsbewusstsein und tragen zur Gesamtsicherheit der Organisation bei.

Jetzt zum Cybersecurity Summit registrieren

Angreifer attackieren im Grunde entweder Menschen oder Systeme. Bei Vorwerk, wo ja nicht nur Lieferketten, Produktionsanlagen oder Intellectual Properties, sondern ganz speziell auch Kundendaten aus digitalen Produkten ins Visier geraten können, dürfte die Absicherung der Systeme besonders herausfordernd sein. Was würden Sie Kolleginnen und Kollegen mit vergleichbaren Setups in Bezug auf die Absicherung der Systeme raten? Worauf lohnt es sich besonderes Augenmerk zu legen, um die Eingangs thematisierten Albträume ablegen zu können?

Florian Jörgens: Da gibt es wenig Besonderes: Regelmäßige Audits und Penetrationstests, starkes Identity and Access Management, regelmäßige Aktualisierung von Software und Patches, Implementierung einer robusten Netzwerksicherheitsarchitektur, besonderes Augenmerk auf Datensicherheit mit Verschlüsselung und Backups, Schulungen und Awareness-Kampagnen für Mitarbeiterinnen und Mitarbeiter sowie die Entwicklung eines gut durchdachten Incident Response Plans.

Das klingt im ersten Moment einfacher als es ist, aber die meisten Unternehmen scheitern schon an den regulären Hausaufgaben. Dabei können durch diese Maßnahmen das Risiko von Angriffen auf Systeme minimiert und die Sicherheit erhöht werden.

Vielen Dank für das Gespräch, wir sehen uns in Frankfurt beim Cybersecurity Summit!