Riskmanagement & IKS News

Ein Cyberangriff, der Leben verändert

Am 7. Dezember 2024 erlebte Vidymed, ein führendes Gesundheitsunternehmen in der Waadt, einen Cyberangriff, der die IT-Systeme lahmlegte. 137 Ärzte verloren den Zugang zu Patientendossiers und Abrechnungssoftware. Wochen später sind die Systeme immer noch offline. Die Folge: Frust, finanzielle Verluste und psychologische Unterstützung für die Betroffenen.

Bruce Schneiers Forderung: Haftung für Führungskräfte

Laut dem Cybersicherheitsexperten Bruce Schneier liegt das Problem oft nicht an fehlender Technologie, sondern an mangelndem Willen, Risiken ernst zu nehmen. Seine These: Erst wenn Führungskräfte persönlich haften oder Gefängnisstrafen riskieren, wird Cybersicherheit zur Priorität.

Was ist schiefgelaufen?

Der Fall Vidymed verdeutlicht grundlegende Schwächen im Risikomanagement:

1. Fehlende Redundanzen: Keine parallele Infrastruktur konnte aktiviert werden, obwohl Backups vorhanden waren.
2. Mangelhafte Notfallpläne: Die Prozesse für eine schnelle Wiederaufnahme des Betriebs waren offensichtlich unzureichend.
3. Versicherung statt Prävention: Cyberversicherungen wurden möglicherweise als Ersatz für proaktive Sicherheitsmassnahmen betrachtet.

Die Bedeutung eines wirksamen internen Kontrollsystems

Ein IKS für Cybersicherheit hilft, Risiken zu erkennen, Schäden zu minimieren und die Reaktionsfähigkeit zu stärken. Ein robustes IKS umfasst:

• Klare Verantwortlichkeiten: Wer ist wofür zuständig?
• Regelmässige Kontrollen: Sind alle Systeme auf dem neuesten Stand?
• Übungen und Tests: Wie effektiv sind die Prozesse im Ernstfall?
  
  

Praktische Umsetzung: Kontrollen, die funktionieren

Eine Checkliste mit empfohlenen Kontrollen und Häufigkeiten:

Wie Sie Ihre Organisation krisenfest machen

Der Aufbau eines wirksamen IKS erfordert Engagement, Zeit und Ressourcen. Die folgenden Schritte helfen, Cybersicherheit nachhaltig zu verbessern:

1. Analyse: Erfassen Sie Ihre kritischen Systeme und Prozesse.
2. Priorisierung: Welche Daten und Systeme sind besonders schützenswert?
3. Massnahmen: Implementieren Sie technische, organisatorische und personelle Kontrollen.
4. Monitoring: Überwachen Sie alle Massnahmen kontinuierlich.
5. Lernen: Analysieren Sie Vorfälle und verbessern Sie Ihr IKS laufend.

Warum Cybersicherheit Führungsverantwortung ist

Ein effektives IKS schützt nicht nur Daten, sondern auch den Ruf und die Existenz Ihrer Organisation. Der Fall Vidymed zeigt, dass die Schäden eines Angriffs weit über finanzielle Verluste hinausgehen. Verantwortung zu übernehmen, bedeutet daher, proaktiv zu handeln – bevor der Ernstfall eintritt.

Fazit: Cybersicherheit ist keine Frage der Technik, sondern der Haltung. Mit einem wirksamen IKS und klaren Verantwortlichkeiten schaffen Sie die Grundlage für eine krisenfeste Organisation. Der Aufwand mag hoch erscheinen, doch die Kosten eines Angriffs sind ungleich höher.