Cybercrime: Maßnahmen zur Prävention und Reaktion

ESV-Redaktion Management und Wirtschaft

Professionelles Risikomanagement verbindet Prävention, Vorbereitung und schnelle Reaktion zu einem belastbaren Schutzkonzept. (Grafik: Generiert mit DALL-E, Prompt und Bearbeitung mit ChatGPT: Redaktion)

Manche Cyberangriffe beginnen unspektakulär: mit einer E-Mail, einer bekannten Lieferantin, einer plausiblen Rechnung. Nur die IBAN wurde ausgetauscht. Wochen später fehlt ein sechsstelliger Betrag. Andere Angriffe legen ganze IT-Systeme lahm, verschlüsseln Daten, drohen mit Veröffentlichung oder nutzen interne Zugänge aus. Cybercrime ist ein operatives Geschäftsrisiko.

Die Angriffsmuster sind vielfältig. Beim Business-E-Mail-Compromise manipulieren Täter Zahlungswege. Beim CEO-Betrug setzen sie Mitarbeitende mit angeblicher Dringlichkeit unter Druck. Ransomware blockiert Systeme und verbindet Verschlüsselung oft mit Datendiebstahl. Staatlich geprägte Angriffe zielen auf Spionage, Sabotage und Destabilisierung.

Auffällig ist, wie stark Cybercrime heute auf Geschäftsprozesse zielt. Angegriffen wird häufig dort, wo Tempo, Vertrauen und Routine zusammenkommen: in der Buchhaltung, im Einkauf, bei Freigaben, in Lieferketten oder an externen Schnittstellen. Entscheidend ist, ob kritische Prozesse zusätzliche Kontrollen besitzen: Vier-Augen-Prinzip bei Kontoänderungen, Rückruf bei ungewöhnlichen Zahlungsanweisungen, klare Freigabegrenzen und saubere Trennung von Rollen und Berechtigungen.

Wirksames Risikomanagement setzt an drei Stellen an.

Prävention: regelmäßige Sensibilisierung, Multi-Faktor-Authentifizierung, sauberes Patch-Management, abgesicherte Fernzugänge und Offline-Backups
Vorbereitung: Cyberversicherung oder Rahmenvertrag mit Incident-Response-Experten, geübte Krisenorganisation, belastbare Notfallpläne und forensisch nutzbare Protokolle
Reaktion: schnelle Eindämmung, klare Rollen, koordinierte Kommunikation, digitale Forensik und kontrollierter Wiederanlauf

Besonders wertvoll sind Übungen unter realistischen Bedingungen. Ein Krisenstab sollte wissen, wer entscheidet, wer kommuniziert, wer Systeme abschaltet, wer Behörden informiert und wer externe Spezialisten einbindet. Tabletop-Übungen, simulierte Phishing-Kampagnen und Wiederherstellungstests zeigen, ob Pläne im Alltag tragen. Dabei entstehen oft die wichtigsten Verbesserungen: aktuelle Kontaktlisten, erreichbare Dienstleister, getestete Backups und klare Kommunikationswege.

Um sich effektiv vor Cyberangriffen zu schützen und professionell auf Bedrohungen durch Cybercrime zu reagieren, zeigt der Beitrag „Cybercrime: Maßnahmen zur Prävention und Reaktion“ Best-Practice-Ansätze. Der Aufsatz ist in der aktuellen Ausgabe der Zeitschrift für Risikomanagement erschienen.

Handbuch Interne Kontrollsysteme (IKS)

von Dr. Oliver Bungartz

Zunehmende öffentliche und regulatorische Erwartungen und Anforderungen an die unternehmerische Transparenz rücken interne Kontrollen und Risikomanagement immer stärker in den Fokus. So gewinnen Interne Kontrollsysteme (IKS) nicht nur für die klassische Finanzberichterstattung, sondern auch für die Verlässlichkeit nicht-finanzieller Informationen an Bedeutung.

Wie Sie Schritt für Schritt ein IKS zielgerichtet aufbauen, zeigt Ihnen Oliver Bungartz in der systematisch erweiterten 7. Auflage dieses Standardwerks.

Einführung und Aufbau eines IKS auf Basis nationaler und internationaler Standards wie dem COSO-Rahmenwerk – neu zu Robotic Process Automation
Prozesse eines IKS und strukturierte Kontrolle zentraler Geschäftsbereiche durch konkrete Risiko-, Fraud- und Kennzahlenanalysen
Projektmanagement zur Einführung eines IKS: Planung, Umsetzung, Besonderheiten bei KMU und praktische Erfolgsfaktoren
Neu: Erweiterung des IKS für die Nachhaltigkeitsberichterstattung mit ihren spezifischen Anforderungen
Integration von IKS, Risikomanagement und Interner Revision im Rahmen des Enterprise-Risk-Management-Modells (ERM) unter Einbindung von ESG-Risiken