Cybersicherheit und Compliance Hacker-Ansturm auf Finanzabteilungen

Anbieter zum Thema

Onapsis GmbH

Hofmeyer PR Öffenlichkeitsarbeit für IT-Unternehmen

Pathlock Deutschland GmbH

valvisio international AG

Obwohl die Finanzabteilungen verstärkt ins Visier böswilliger Hacker geraten, vernachlässigen die CFOs die Themen Cybersicherheit und Compliance noch immer. Höchste Zeit für die IT-Sicherheitsverantwortlichen, die Finanzchefs zu sensibilisieren und zu unterstützen, ein systematisches Risikomanagement zu etablieren.

Die Finanzsysteme eines Unternehmens sind für Cyberkriminelle ein besonders lohnenswertes Angriffsziel: Hier können Zahlungen ausgelöst, Kontendaten abgegriffen, Bilanzergebnisse verfälscht oder Informationen für illegale Aktiengeschäfte ausgelesen werden. Doch sind auch die Geschäftsanwendungen der übrigen Fachbereiche zunehmend von Datendiebstahl, Industriespionage und Sabotage betroffen, wie der aktuelle Studienbericht des Bitkom-Branchenverbands zeigt. Während 2017 noch 43 Prozent aller Unternehmen in Deutschland Opfer digitaler Angriffe wurden, waren es 2019 bereits 70 Prozent – Tendenz steigend.

Laut Bitkom-Studie entstehen der deutschen Wirtschaft dadurch Schäden in Höhe von über 100 Milliarden pro Jahr, verursacht durch Produktionsausfälle oder Erpressung, aber auch durch Imageverlust. Zu noch höheren Einbußen kann es kommen, wenn die Cyberattacken zu Verstößen gegen aufsichtsrechtliche Vorschriften wie die EU-DSGVO führen. Danach werden Datenschutzverletzungen mit Strafgeldern in Höhe von 4 Prozent des weltweiten Jahresumsatzes eines Unternehmens oder 20 Millionen Euro belegt – je nachdem, welcher Betrag höher ist.

Cyberabwehr zur Chefsache machen

Trotz dieser alarmierenden Zahlen haben Cyberrisiken in den deutschen Finanzabteilungen noch keine Top-Priorität. Zu diesem Ergebnis kommt eine Erhebung des Finanzdienstleisters EOS. Damit muss Schluss sein. So sollten die IT-Sicherheitsverantwortlichen die CFOs davon überzeugen, ihrer Rolle als oberste Risikomanager gerecht zu werden und Cyberabwehr zur Chefsache zu machen. Den Finanzchefs stellt sich damit die Aufgabe, geeignete Compliance- und IT-Sicherheitsmaßnahmen festzuschreiben, entsprechende Strukturen zu schaffen und die notwendigen Budgets freizugeben.

Dazu müssen die CFOs eine enge Zusammenarbeit mit dem übrigen C-Level, den Fachbereichen sowie den IT-, IT-Sicherheits-, Compliance- und Audit-Beauftragten anstreben. In gemeinsamen Teams sind innovative Methoden und Werkzeuge zu identifizieren und zu installieren, um die gesamte ERP-Systemumgebung nachhaltig vor Hackerangriffen zu schützen. Diese umfasst nicht nur Geschäftsanwendungen wie SAP oder Oracle, auf denen die Ende-zu-Ende-Prozesse – Procure-to-Pay – laufen. Einbezogen werden müssen auch Geräte wie Barcode-Scanner, die zur Ein- und Ausbuchung von Waren genutzt werden und Hackern attraktive Einfallstore bieten können.

Automatisierung der Audit-Prozesse

Ein wichtiges Instrument zur Einhaltung der Compliance stellt die Automatisierung der Audit-Prozesse dar. Jedes Jahr werden die Unternehmen mit immer mehr und immer komplexeren regulatorischen Vorschriften konfrontiert: angefangen bei Regelungen zur Vermeidung von Wirtschaftskriminalität, Geldwäsche oder Bilanzbetrug bis hin zu Verordnungen zur Einhaltung von Datenschutz und Informationssicherheit. Häufig geraten die Finanzchefs und ihre Compliance- und IT-Security-Beauftragten dadurch in eine Zwickmühle. Einerseits müssen sie die sich ständig ändernden gesetzlichen Vorgaben technisch in den Griff bekommen und zuverlässig dokumentieren, dass diese eingehalten wurden. Andererseits macht sich angesichts der zunehmenden Häufigkeit, Komplexität und des Umfangs der Audits in vielen Unternehmen eine gewisse Auditmüdigkeit breit. Oft wird Compliance als lästige Pflichtaufgabe betrachtet, die zwar gehörigen Aufwand verursacht, aber keinen messbaren Mehrwert liefert.

Eine Lösung bieten Tools zur Automatisierung der Audit-Prozesse. Sie helfen, die Mitarbeiter von langweiligen Routine-Aufgaben zu entlasten und den oft immensen Zeit- und Kostenaufwand händischer Prüfverfahren zu reduzieren. Da menschliche Fehler ausgemerzt werden, erreichen die Prüfberichte darüber hinaus eine hohe Genauigkeit. Im SAP-Umfeld beispielsweise stehen Tools zur Verfügung, die tausende Checks für Compliance- und SAP-Sicherheitsrichtlinien umfassen. Unternehmen können damit mehr als 90 Prozent der erforderlichen Audit- und Compliance-Prozesse automatisieren. So lässt sich unter anderem per Knopfdruck prüfen, ob die Sicherung und Aufbewahrung personenbezogener Daten DSGVO-konform erfolgen.

Tools spüren ERP-Schwachstellen auf

Automatische Prüfungen empfehlen sich auch dann, wenn es um SAP-Sicherheitslücken geht, die durch fehlerhafte Systemeinstellungen, unsicheren Kundencode oder ungeprüfte Transporte entstehen. Mit speziellen Prüf- und Analysewerkzeugen lassen sich solche Schwachstellen gezielt entdecken, beheben und vermeiden. Basisadministration, Entwicklung und Qualitätssicherung können damit die Cyberrisiken deutlich reduzieren.

Werden die Analysetools durch Überwachungs- und Monitoring-Funktionen ergänzt, erhält ein Unternehmen zudem umfassende Transparenz über den Sicherheitsstatus in der ERP-Landschaft. Damit ist es möglich, die festgelegten Prüfbereiche kontinuierlich zu messen und die Messergebnisse an ein zentrales Dashboard zu senden, wo das Sicherheitslevel in Echtzeit einsehbar ist. CFOs, IT-Sicherheitsbeauftragte, Innenrevisoren, Datenschutzbeauftragte, IT-Auditoren und die anderen C-Level-Führungskräfte erhalten individuell aggregierte Auswertungen und können sofort reagieren, wenn eine Sicherheitsverletzung gemeldet wird.

Notfall-Plan zahlt sich aus

Für Sicherheitsvorfälle ist es sehr hilfreich, einen Notfall-Plan in der Tasche zu haben. Notfall-Konzepte beschreiben und priorisieren die Maßnahmen, die bei einer Cyberattacke zu ergreifen sind. Ebenso wird festgelegt, welche Personen im Unternehmen zu welchem Zeitpunkt über einen Vorfall zu informieren sind. Darüber hinaus sollte unmittelbar ein Krisenstab gebildet werden, der von einem Krisenmanager geleitet wird und nach einer ersten Lageanalyse über das weitere Vorgehen beschließt. Da nur wenige Minuten darüber entscheiden, wie groß der Schaden eines Hackerangriffs tatsächlich ist, gehört ein Notfall-Plan zu den unverzichtbaren Bausteinen eines jeden IT- und Compliance-Risikomanagements. Je später die Gegenmaßnahmen greifen, umso tiefer müssen die CFOs in die Tasche greifen.

Über den Autor: Reza Mehman ist Chief Innovation Officer bei Onapsis, wo er Innovationen im Bereich Cloud Security und UEBA (User and Entity Behavior Analytics) vorantreibt. Zuvor er in derselben Position bei der Virtual Forge GmbH, die heute zu Onapsis gehört, auf die Entwicklung neuer SaaS-Produkte und Machine Learning fokussiert. Reza Mehman verfügt über jahrelange Erfahrungen als IT-Berater, die er unter anderem bei Accenture gesammelt hat.

(ID:47442630)