Video-Interview mit Michael Daniel, Präsident der Cyber Threat Alliance
Die Geschichte hat uns gelehrt, dass eine hoch entwickelte Gesellschaft schnell kollabieren kann. Sind wir im Moment an einem solchen Wendepunkt, weil die kritische Infrastruktur, und damit die Basis der Digitalisierung, so angreifbar ist?
Michael Daniel: Ich glaube, wir stehen an einer Art strategischem Wendepunkt. Ich weiß nicht, ob man direkt von einem Kollaps der Zivilisation sprechen kann, aber ich denke, dass wir in den letzten 40 Jahren hier im Westen, in Westeuropa, den Vereinigten Staaten und anderen Ländern, mithilfe des Internets große Fortschritte in Sachen nationale Sicherheit, wirtschaftlichem Wohlstand und sozialem Fortschritt erzielen konnten. All das ist jetzt durch die zunehmende Cyberkriminalität bedroht. Möglicherweise wandelt sich der bisherige strategische Vorteil der westlichen Welt jetzt in eine strategische Achillesferse. Eine solche Entwicklung wollen wir natürlich vermeiden.
Und was muss aus Ihrer Sicht getan werden, um zu vermeiden, dass es zu solch einem Wendepunkt kommt?
Michael Daniel: Da gibt es aus meiner Sicht ein paar wichtige Aspekte. Zum Beispiel müssen wir eine andere Einstellung zur Cybersicherheit gewinnen. Wir haben sie bisher nur als technisches Problem betrachtet, für das es doch eine einfache technische Lösung geben sollte. In Wirklichkeit ist Cybersicherheit aber nicht nur ein technisches Problem. Sie ist auch ein wirtschaftliches Problem und ein psychologisches noch dazu. Deshalb brauchen wir eine neue Herangehensweise an dieses Thema. Das bedeutet, dass wir das Risikomanagement im Cyberbereich ganzheitlich betrachten müssen, genauso wie bei nationalen Katastrophen oder Risiken bei Haftungsklagen oder Ähnlichem. Das sind aus meiner Sicht die beiden zentralen Aspekte: unsere Einstellung zur Cybersicherheit zu ändern und uns einen wirklich ganzheitlichen Blick auf das Risikomanagement anzueignen - damit können wir das Problem in den Griff bekommen.
Sie würden also staatlichen Stellen und Unternehmen grundsätzlich raten, die Cybersicherheit ganzheitlicher anzugehen. Gäbe es noch etwas darüber hinaus?
Michael Daniel: Es gibt eine ganze Reihe von Dingen, die Unternehmen tun können und sollten. Am wichtigsten sind die beiden folgenden: Das Thema Cybersicherheit muss zur Chefsache werden. Das ist unverzichtbar. Man braucht einen Aktionsplan, der sagt, was zu tun ist, wenn der Tag X unvermeidlicherweise kommt. Man muss entsprechend üben. Es gibt also ein Maßnahmenpaket, das Unternehmen anwenden sollten. Aber die Einstellung im Unternehmen zu ändern, ist wichtiger als diese oder jene Anwendung oder Technik zu kaufen. Es geht darum, von jetzt an das Problem ganzheitlich zu betrachten, die Cybersicherheit von Anfang bis Ende zu durchdenken. Das ist wirklich wichtig.
Schauen wir uns mal den Status quo an. Wird aus Ihrer Sicht derzeit genügend Geld für Cybersicherheit ausgegeben?
Michael Daniel: Auf diese Frage gibt es ein gewisses Spektrum an Antworten. Einige Unternehmen geben derzeit wahrscheinlich in einigen Bereichen zu viel Geld für Cybersicherheit aus und in anderen Bereichen zu wenig. Daher müssen sie vielleicht ihre Ausgabenstruktur neu sortieren. In einigen Fällen geben Unternehmen nicht genug Geld dafür aus. Die US-Regierung, für die ich früher gearbeitet habe, hat jährlich zwischen 16 und 20 Mrd. US-Dollar für Cybersicherheit ausgegeben. Ich bin der Ansicht, dass das wohl ausreichend war für das, was wir damals vorhatten; es hätte nur möglicherweise anders verteilt werden müssen. Wir müssen diesem Thema mehr Aufmerksamkeit und Zeit widmen. Und in einigen Fällen brauchen wir auch mehr Ressourcen. Das hängt davon ab. wo die einzelnen Staaten oder Unternehmen gerade stehen und wie viel sie schon dafür ausgeben.
In einer digitalisierten Welt kann es keine hundertprozentige Sicherheit geben. Sind die Risiken also zu hoch, um es mal zugespitzt zu formulieren?
Michael Daniel: Nein, das glaube ich nicht. Wir müssen wohl akzeptieren, dass wir, ebenso wie in der physischen Welt, nie alle Risiken komplett ausschalten können. Das geht in der Cyberwelt nicht. Im Alltag akzeptieren wir in unserer Gesellschaft ja auch jeden Tag, dass es Risiken gibt - Risiken beim Autofahren, Risiken beim Schwimmen... Alles was wir tun, ist mit einem Risiko verbunden. Deshalb brauchen wir ein Risikomanagement und strukturelle Maßnahmen, um das Risiko möglichst klein zu halten. Ich finde, dass die Sicherheitsbranche im Cyberbereich noch mehr darüber nachdenken müsste, wie sie den Menschen helfen kann, Risiken wirksam zu managen - wie sie es ihnen leicht oder wenigstens leichter machen kann, die Risiken zu reduzieren. Und entsprechend muss sie die Dinge dann angehen. Ich bin überzeugt, dass wir als Gesellschaft Risiken in den Griff bekommen können. Aber wir werden sie nie ganz auf Null herunterfahren können. Das müssen wir lernen zu akzeptieren.
