Digitale Lieferketten im Visier: Cybergefahren für Transport & Logistik

"Beim Thema Cybersicherheit gehört die Logistik zu den besonders gefährdeten Sektoren", so Daniel Ahrend, COO beim Versicherungsmakler Schunck. Dafür sieht er mehrere Gründe: starke Digitalisierung etwa durch digitale Lieferketten, Telematik- und Flottenmanagementsysteme, eine große Angriffsfläche durch viele Player wie Transporteure, Lagerhalter, Lieferanten mit vielen Schnittstellen sowie teilweise veraltete IT-Systeme, oft ohne gewachsene Sicherheitsarchitektur. "Logistiker sind zudem ein attraktives Ziel für Ransomware-Angriffe." In einem solchen Fall legen Hacker in erpresserischer Absicht die IT-Systeme lahm. "Schon eine kurze Betriebsunterbrechung kann zu hohen Millionenverlusten und Reputationsschäden führen", warnt Ahrend. Oft über Monate im System Anja Ludwig vom Kompetenz-Center Logistik & Mobilität des Versicherers Kravag ergänzt: "Die Logistikwelt ist in den letzten Jahren immer digitaler geworden, damit ist auch die Vulnerabilität gestiegen. Dazu kommt die Vernetzung: Die Logistiker sind ein Teil der Lieferketten, ein Betriebsausfall hat Auswirkungen auf die weiteren Glieder der Kette." Das Gemeine an solchen Ransomware-Attacken: Sind die Hacker im System, greifen sie in der Regel nicht sofort an, sondern spionieren erst die Systeme aus - rein theoretisch also Zeit, in der man noch gegensteuern könnte, wenn man die Laus im Pelz denn entdeckt. "Experten gehen davon aus, dass die Hacker im Durchschnitt 100 Tage oder mehr in den Systemen sind, bevor sie zuschlagen. Bis dahin haben sie alles Mögliche ausspioniert", erklärt Ludwig. "Mittels KI wird das nochmals leichter. Andererseits bietet künstliche Intelligenz aufseiten der Verteidigung Chancen, besser zu werden und Angriffe schneller zu erkennen oder gegenzusteuern", ergänzt sie. Präventive Maßnahmen Die Einfallstore sind vielfältig: "Das ist meist ein Zusammenspiel aus drei Bereichen: der Technik, den organisatorischen Prozessen und menschlichem Fehlverhalten", so Ludwig. Prävention betreffe zum Beispiel regelmäßige Sicherheitsupdates ebenso wie Back-ups oder Netzwerksegmentierung. Oder, dass man bei Geräten mit Netzwerkzugang die ab Werk voreingestellten Passwörter ändere - seien es Videokameras oder Drucker mit IP-Adressen. Auch das Einführen betrieblicher Regeln und von Zugriffsrechten sei eine wichtige Präventionsmaßnahme: "Bestimmte Rechte am PC sollten nur Administratoren haben", betont Ludwig. Awareness schulen Beim Faktor Mensch seien regelmäßige Awareness-Schulungen und Übungen gute Maßnahmen, damit die Mitarbeiter sensibilisiert bleiben. In neun von zehn Fällen gelinge der Angriff durch fehlerhaftes Verhalten eines Menschen. "Awareness, also die Sensibilisierung der Mitarbeiter, das geht nur durch Kontinuität", ergänzt Ahrend von Schunck. "Wir empfehlen, dass man sich einen Anbieter holt, mit dem man regelmäßige Kampagnen fährt. Der die Mitarbeitenden mit guten Phishingmails bespielt." Wichtig sei es, überhaupt etwas zu tun, hebt Ludwig hervor. Es gebe preislich viele Möglichkeiten oder teilweise auch kostenlose Angebote, mit denen man sich dem Thema nähern könne. Ein Beispiel: Der Gesamtverband der Deutschen Versicherungswirtschaft bietet einen Fragebogen auf seiner Webseite an, der Unternehmen zeigt, inwieweit sie die Basics an IT-Sicherheitsmaßnahmen erfüllen. Vorbereitet sein Prävention ist das eine. Genauso wichtig ist aber, im Ernstfall abgesichert zu sein, die richtige Hilfe zur Hand zu haben, um möglichst schnell wieder den Betrieb aufnehmen zu können und handlungsfähig zu sein. Eine Cyberversicherung ist nur ein Teil der Lösung. "Eine Versicherung ist dafür da, die Schäden zu bezahlen und die finanziellen Nachteile auszugleichen. Wenn es brennt, rufen Sie zuerst die Feuerwehr an, nicht die Versicherung", erklärt Thomas Wicke, Geschäftsführer bei Schunck, die Funktion. Netz an Dienstleistern Wichtig sei bei einer Versicherung, dass sie ein umfassendes Dienstleisternetzwerk beinhalte - mit möglichst vielen Services, die vom Versicherungsschutz erfasst sind. "Schon vor dem Cyber-Vorfall zu wissen, was Sie dann benötigen: Das ist nahezu unmöglich", so Wicke. Daher müsse man als Unternehmer dafür sorgen, eine möglichst breite Palette potenzieller Dienstleister zu haben. "Deswegen ist es bei unseren Konzepten so geregelt, dass Sie mit dem Versicherungsschutz Zugang zu allen wichtigen Dienstleistern bekommen: von der Notfall-Hotline über die IT-Forensik bis hin zur Krisenkommunikationsagentur und viele mehr." Das sieht Ludwig ähnlich: "Wichtig ist ein Netzwerk. Daher haben wir über die Kravag-SVG-Tochter SVG Consult den SVG Cyber-Pakt ins Leben gerufen: Da gibt es eine 24/7-Hotline für den Ernstfall, IT-Forensiker, die vor Ort ein Lagezentrum einrichten. Im Cyber-Pakt gibt es auch das Angebot, einen individuell auf das Unternehmen zugeschnittenen Notfallplan zu erstellen - einen Incident-Response-Plan - und wir haben weitere Präventionsmaßnahmen im Programm, die man buchen kann." Wichtiger Notfallplan Präventionsmaßnahmen sind eine Voraussetzung, um überhaupt eine Versicherung abschließen zu können. Je nach Versicherer sind hier verschiedene Anforderungen zu erfüllen. "Wenn Sie gewisse Maßnahmen nicht umgesetzt haben, wie unter anderem Back-up-Strategien, ein Patch-Management, Viren-Scanprogramme und Incident-Response-Pläne, erhalten Sie gar keinen Versicherungsschutz mehr", erläutert Ahrend. Um auf den Ernstfall vorbereitet zu sein, brauche man gute Back-up-Strategien, die auch getestet sein müssen und regelmäßig als Trockenübung eingespielt werden, hebt er hervor. "Und man sollte auf jeden Fall einen Incident-Response-Plan haben, damit man im Fall der Fälle weiß, was zu tun ist." Da geht es nicht nur um Notfallnummern zu den Dienstleistern und Verbindungen zu Beratern, sondern auch um Abläufe, Verantwortlichkeiten und Priorisierungen, ergänzt Wicke. Je nach Komplexität im Unternehmen sollte man über gewisse Entscheidungen einen Konsens getroffen haben und diesen dort festlegen. "Umentscheiden kann man sich dann immer noch mal." Zahle ich ein Lösegeld oder nicht, welche Lager kann ich notfalls schließen, welche nicht? "Ein wichtiger Tipp: Der Incident-Response-Plan sollte nicht auf der Festplatte liegen oder im Netzwerk. Er sollte ausgedruckt sein und bei mehreren Mitarbeitern in der Schublade liegen", so Ahrend. Ernstfall real proben Was auch noch helfen könne: Den Angriffsfall als Planspiel durchführen, den Notfall-Plan dabei abarbeiten und klären, wo etwas nicht bedacht ist und entsprechend nachjustieren. "Da kann man bereits einen Plan B entwickeln: Wenn das E-Mail-Konto nicht mehr funktioniert, wie lässt sich gegebenenfalls über einen Dienstleister eine schnelle Erreichbarkeit per Mail und Telefon wiederherstellen?", rät Ahrend. "Im Notfall-Plan sollten nicht nur die wichtigsten Telefonnummern stehen, sondern möglichst auch Hinweise, wo sich welche Unterlagen befinden", erklärt Ludwig. "Er sollte festlegen, wer für was im Notfall verantwortlich ist, wen das Unternehmen für welche Aufgaben einsetzen will - egal, ob es um die Meldung an die Behörden geht oder um die Kommunikation an Kunden und Mitarbeitende - und wie diese gegebenenfalls aussehen kann." Dort solle man auch festlegen, was zuerst wieder laufen sollte und was nachrangig ist. Planspiele hält auch sie für wichtig: "Stellen Sie sich vor, die Routenplanung fällt aus - welche Alternativen haben Sie? Was ist, wenn Sie normalerweise digitale Wiegestellen nutzen?" Es sei entscheidend, durchzuspielen, ob der Plan, den man sich überlegt habe, im Ernstfall funktioniere und die Verantwortlichkeiten passen. Denn in der akuten Situation "liegen die Nerven komplett blank, weil Sie nicht wissen, wie lange dauert das, wie teuer wird das und welche Kreise zieht das? Das hören wir immer wieder von den Betroffenen und unseren Partnern vor Ort", berichtet Ludwig. Was bei einem Angriff zu tun ist Tritt der Ernstfall tatsächlich ein, rät die Expertin: "Arbeiten Sie den Notfall-Plan ab: Rufen Sie die 24/7-Hotline an, die dort hinterlegt ist, und lassen Sie sich von Fachleuten helfen, holen Sie sich die Expertise und nutzen Sie sie." Wichtig sei auch, dem Versicherer Bescheid zu geben und sich mit diesem abzustimmen: "Bei vielen Verträgen steht in den Obliegenheiten, dass man diese frühzeitig, meist innerhalb eines Tages, informieren muss." Bei einem Angriff gelte es erst einmal, Ruhe zu bewahren, so Ahrend. "Nur so können Sie Entscheidungen treffen und Sie werden viele Entscheidungen treffen müssen, auch viele Triage-Entscheidungen." Zuerst sollte man den Notfallplan herausholen, sagt auch er. "Arbeiten Sie ihn ab. Führen Sie ein Krisenmanagement ein. Verschaffen Sie sich einen Überblick darüber, wie stark Sie betroffen sind. Bereiten Sie gegebenenfalls die Kommunikation in Richtung Ermittlungs- und Datenschutzbehörden sowie Mitarbeitende vor." Schunck hatte selbst 2023 einen Cybervorfall, die Geschäftsführer sprechen auch aus Erfahrung. "Die Meldung an die Datenschutzbehörden muss unmittelbar und gemäß den spezifischen Anforderungen der jeweiligen Bundesländer erfolgen", so Peter Kollatz, Chef-Justiziar bei dem Makler. Dabei habe man die Erfahrung gemacht, dass die Behörden großteils Informationen sammeln, um die Angreifer zu identifizieren. "Direkte Unterstützung oder einen unmittelbaren Mehrwert haben wir von den Behörden nicht erfahren. Der Fokus lag darauf, sicherzustellen, dass keine Datenschutzverstöße vorlagen", so Kollatz. Professionelle Kriminelle Die Gegner sollte man sehr ernst nehmen, hebt Wicke hervor: "Das sind professionelle Kriminelle mit professionellen Entscheidungsstrukturen. Die können Verhandlungstaktik, die können sehr detailliert Auskunft geben über das, was sie gemacht haben. Die wissen, wie hoch die Deckungssumme Ihrer Cyberpolice ist, wenn die auf dem Server liegt." Ahrend ergänzt: "Zwar waren mir die Folgen eines Hackerangriffs bewusst, doch wenn es einen selbst trifft, ist es erschreckend zu sehen, dass ein gezielter und gut durchgeführter Angriff ein Unternehmen komplett lahmlegen kann." Unterlassen sollte man, selbst an Systemen "herumzudoktern" und dann später den Versicherer oder die Experten hinzuzuziehen, warnt Ludwig. "Schalten Sie die Systeme nicht einfach ab, das wäre für die forensischen Analysen nicht gut", rät Ahrend. Wichtig sei zudem, offen und viel zu kommunizieren. "Zu einer modernen Unternehmensführung gehört, dass man die Mitarbeiter gut mitnimmt. Es ist aber auch wichtig, eine gute Kommunikation mit den Kunden durchzuführen", erklärt Ludwig. Ein weiterer Tipp von Ahrend: "Das A und O ist, wirklich alles zu dokumentieren. Sie werden Hunderte von Maßnahmen und Hunderte von Entscheidungen treffen. Wenn sie diese gut dokumentieren, hilft das auch bei der Regulierung mit dem Versicherer, alles sauber abzuwickeln." Gut durch die Krise Als Erfolgsfaktoren machen die Experten beider Unternehmen verschiedene Punkte aus: zum einen gute Vorbereitung auf den Ernstfall. Zum anderen das gute Partnernetzwerk an Experten und Beratern, auf dass man zurückgreifen kann. Zudem können ein gutes Betriebsklima und die Unternehmenskultur entscheidend für die Bewältigung sein: wenn das Team an einem Strang zieht, ebenso wie offen zu kommunizieren, hebt Ahrend hervor. Ludwig betont, wie wichtig es ist, dass die IT-Sicherheit zur Chefsache gemacht wird. "Das lässt sich nicht delegieren. Nur so erreichen Sie auch, dass die Mitarbeiter merken: Das ist unserem Chef oder unserer Chefin wichtig - dann nehme ich das auch wichtig." Im Nachgang sollte man den Vorfall analysieren, Strategien und IT-Konzepte anpassen und die Lücken stopfen, da sind sich die Experten von Schunck und Kravag einig. Denn sonst stehen die Hacker gleich wieder vor der Tür.