Die Rechnung eines Cybervorfalls

Die Rechnung des IT-Dienstleisters war am Ende der kleinste Posten. Teuer wurden die drei Wochen danach, und die standen auf keiner Rechnung.

Wenn Geschäftsführer über Cyberrisiken sprechen, sprechen sie meist über Technik: Firewall, Virenschutz, Updates. Das ist verständlich, denn so wird das Thema an sie herangetragen. Es führt aber dazu, dass ein Cybervorfall im Kopf als IT-Störung abgelegt wird, die ein Dienstleister behebt. Die tatsächliche Rechnung sieht anders aus, und sie landet nicht in der IT, sondern in der Geschäftsführung.

Die erste Position ist der Stillstand. Keine Aufträge erfassen, keine Rechnungen schreiben, keine Ware ausliefern, während Gehälter, Mieten und Leasingraten ganz normal weiterlaufen. Die zweite ist die Nacharbeit. Wochenlang werden Daten nachgetragen, Bestellungen rekonstruiert und Überstunden geleistet, oft von genau den Leuten, die eigentlich das Tagesgeschäft tragen sollten.

Die dritte Position ist die Kommunikation. Kunden wollen wissen, ob ihre Daten betroffen sind, Lieferanten fragen nach offenen Zahlungen, und je nach Lage stehen Meldepflichten im Raum. Wer das improvisiert, verliert in diesen Tagen mehr Vertrauen als durch den eigentlichen Angriff. Die vierte sind verlorene Aufträge: der Kunde, der nicht warten konnte, und das Angebot, das nie rausging.

Und dann gibt es eine Position, die in keiner Buchhaltung auftaucht: Ihre eigene Zeit. Drei Wochen, in denen die Geschäftsführung nichts anderes tut, als den Schaden zu verwalten, während Vertrieb, Strategie und Führung liegen bleiben.

Daraus folgt keine Panik, sondern eine andere Art, über das Thema zu sprechen. Die bessere Frage an Ihre IT lautet nicht, ob alles sicher ist, sondern wie lange Sie ohne Ihre wichtigsten Systeme arbeiten können, was jeder Tag Stillstand kostet und wer im Ernstfall Kunden und Mitarbeiter informiert. Wer diese drei Antworten kennt, kann Investitionen in Sicherheit plötzlich gegen eine echte Zahl abwägen.

Cyberresilienz wird dann zu dem, was sie eigentlich ist: eine kaufmännische Entscheidung. Und die trifft man besser vor dem Vorfall als in der dritten Woche danach.

Wenn Sie mehr zum Thema Unternehmer-Resilienz wissen möchten – kurze DM genügt.