Die IT hat alles richtig gemacht. Und genau deshalb stand das Werk fünf Tage still.
Guten Morgen,
dies ist Ausgabe 1 der 8-Uhr-Frage. Alle zwei Wochen, mittwochs um 7 Uhr: ein belegter Fall, eine Zahl mit Quelle und eine Frage für Ihre nächste Führungsrunde. Fünf Minuten Lesezeit.
Zwei Zahlen aus diesem Sommer scheinen sich zu widersprechen.
Der Bitkom meldet Ende August: Bei 25 Prozent der befragten Unternehmen wurden Daten verschlüsselt und Lösegeld gefordert. Im Vorjahr waren es 34 Prozent. Das klingt nach Entspannung.
Dragos, ein Spezialist für Industrieanlagen, zählt im zweiten Quartal 68 deutsche Industrieunternehmen auf den Erpresserseiten der Ransomware-Gruppen. Im ersten Quartal waren es 37. Kein Land hatte einen stärkeren Anstieg. Drei von vier dieser Unternehmen kommen aus der Fertigung.
Beide Zahlen stimmen.
Heute geht es um drei Fragen: Warum trifft es gerade die Betriebe, die produzieren? Was passiert an dem Morgen, an dem die IT alles richtig macht? Und warum ist die Frage danach keine IT-Frage?
Der Hebel ist nicht mehr die Datei. Der Hebel ist der Stillstand.
Wer nur Daten verschlüsselt, bekommt immer seltener Geld. Laut BSI-Lagebericht zahlt nur noch gut ein Viertel der Opfer. 2019 waren es 85 Prozent.
Wer eine Produktion anhält, verhandelt anders.
Sein Gegenüber verliert jeden Tag Umsatz. Es hat Kunden, die auf Teile warten. Es hat Verträge, in denen Fristen stehen. Und es hat eine Belegschaft, die am Montag vor einer Halle steht.
Das erklärt die beiden Zahlen: weniger Erpressung insgesamt, mehr Erpressung dort, wo Stillstand wehtut.
Juni 2025, ein Sonntag
Was das konkret heißt, zeigt ein Fall aus Oberbayern.
Sonntag, 15. Juni 2025. Bei einem Maschinenbauer im Landkreis Traunstein mit mehr als 500 Beschäftigten schlagen die Sicherheitssysteme an.
Die IT reagiert so, wie man es sich wünscht: Sie trennt unmittelbar sämtliche Rechner vom Netz.
Montag. Die Belegschaft kommt in ein Werk, das nicht produziert.
Die Produktion steht fünf Tage. Auch in der Woche danach läuft nur ein Notbetrieb.
Das Problem? Es gab keins. Jedenfalls keins, das die IT hätte anders lösen können. Die Sicherheitssysteme haben erkannt, die IT hat getrennt. Alles richtig.
Und genau deshalb stand das Werk.
Die 8-Uhr-Frage
Stellen Sie sich diesen Montag in Ihrem Haus vor. Es ist 8 Uhr. Die IT hat über Nacht alles vom Netz genommen, das war die richtige Entscheidung. Jetzt liegen auf Ihrem Tisch Fragen, die keine IT beantworten kann:
- Steht die ganze Produktion oder nur ein Werk? Wer entscheidet das, und darf er das?
- Ab wann ist ein Notbetrieb vertretbar, und wer gibt ihn frei?
- Welche Aufträge haben Vorrang, wenn es wieder anläuft?
- Wer ruft den größten Kunden an, und was sagt er zu den Lieferterminen?
- Wer spricht mit Versicherer, Bank und Belegschaft?
- Wer meldet an die Behörde? Unter NIS2 läuft dafür eine Frist von 24 Stunden ab Kenntnis.
Wie der Betrieb in Oberbayern diese Fragen beantwortet hat, weiß ich nicht. Ich weiß nur: Sie stellen sich in jedem Haus, in dem die IT richtig reagiert.
Ich nenne das die 8-Uhr-Frage: Wer entscheidet, ob die Produktion steht, und wer sagt es den Kunden?
Meine Einschätzung
In über 25 Jahren Informationssicherheit, als CISO und als Berater, begegnet mir immer wieder dasselbe Muster.
Die Technik ist vorhanden. Firewalls, Überwachung, Backups, oft mehr davon, als die Geschäftsführung weiß.
Offen ist etwas anderes: wer im Ernstfall was entscheiden darf, wer entscheiden muss und was sich nicht delegieren lässt.
Das ist keine Nachlässigkeit. Es liegt daran, dass das Thema in Technikberichten steckt, die niemand für die Leitungsebene übersetzt. Und daran, dass an einem ruhigen Dienstag niemand die Frage stellt, die an einem Sonntag im Juni plötzlich auf dem Tisch liegt.
Die gute Nachricht: Diese Fragen lassen sich vorher beantworten. Nicht von der IT, sondern von denen, die sie im Ernstfall ohnehin beantworten müssen.
Konkret heißt das:
- Die Entscheidung über den Stillstand gehört in die Geschäftsführung, nicht in die IT. Die IT liefert die Lage, die Leitung entscheidet.
- Für die ersten Stunden braucht es keine hundert Seiten, sondern eine Seite: wer darf abschalten, wer gibt den Notbetrieb frei, wer spricht mit wem.
- Wer diese Seite hat, hat im Ernstfall Zeit für das, was wirklich schwer ist: die Reihenfolge der Kunden.
Ein Betrieb kann sich nicht aussuchen, ob es passiert. Er kann sich aussuchen, ob die Antworten dann schon da sind.
| |
Die Frage für Ihre nächste Führungsrunde
Wer entscheidet bei uns an einem Sonntag um 8 Uhr, ob die Produktion vom Netz geht, und weiß er, dass er es darf?
Wenn die Antwort länger als zehn Sekunden dauert, ist sie noch nicht geregelt.
|
Aus der Werkstatt
In der Cyber Werkstatt spielt Ihre Geschäftsführung genau diesen Morgen durch, im eigenen Haus, mit Ihren Zahlen und Ihren Kunden. Am Abend wissen Sie, was ein Ausfall kostet, wer was entscheidet und wo noch etwas zu regeln ist.
PS: In der nächsten Ausgabe in zwei Wochen geht es um die Rechnung, die in fast keinem Haus in der Schublade liegt: was ein Stillstand in Woche 1, 2, 3 und 4 kostet, an drei Fällen aus den letzten zwei Jahren.
Wie war diese Ausgabe? Antworten Sie mir mit einem Wort: Top, Gut oder Naja.
Bis in zwei Wochen, Marco Lück
Quellen
Mit freundlichen Grüßen
Dr. Marco Lück
Antworten auf diese E-Mail landen direkt bei mir.
|
