Burnout-Gefahr: Cybersecurity-Verantwortung bedrückt CEOs

77 Prozent der befragten CEOs empfinden Druck durch diese Aufgabe, 60 Prozent äussern die Sorge vor einem Burnout. Nur 49 Prozent sehen sich psychologisch auf die Rolle vorbereitet. Befragt wurden 100 deutsche CEOs.

Mehr als ein Drittel der Befragten geht sogar davon aus, dass nichts auf die möglichen Folgen eines Angriffs vorbereiten könne. Als persönliche Konsequenz fürchten die Teilnehmer vor allem die rechtliche Haftung, genannt von 41 Prozent. Es folgen Rufschädigung mit 34 Prozent, Auswirkungen auf die berufliche Laufbahn mit 33 Prozent, persönliche Haftbarkeit mit 30 Prozent und Jobverlust mit 28 Prozent. 23 Prozent sorgen sich um die eigene Sicherheit, 17 Prozent um die ihrer Familie.

Deutsche Unternehmen im europäischen Vergleich

Der Studie zufolge sind deutsche CEOs schlechter auf Cyberangriffe vorbereitet als ihre Kollegen in Frankreich und Grossbritannien. In Deutschland werden 13 Prozent der Befragten innerhalb von fünf Minuten über einen Angriff informiert, in Frankreich sind es 30 Prozent, in Grossbritannien 19 Prozent. Die finanziellen Auswirkungen eines Angriffs haben in Deutschland 49 Prozent vorab abgeschätzt, in Frankreich 64 und in Grossbritannien 76 Prozent.

Zugleich fallen die Erwartungen an die eigene Widerstandsfähigkeit höher aus. 29 Prozent der deutschen CEOs gehen davon aus, ihr Unternehmen sei nach einem Angriff binnen eines Tages wieder voll betriebsfähig, 8 Prozent halten das sogar innerhalb einer Stunde für möglich. In Frankreich erwarten 16 Prozent die Wiederherstellung binnen eines Tages, in Grossbritannien 20 Prozent. Nach Darstellung von Cohesity ist das bei schlechter Vorbereitung nicht realistisch.

Jump Bag und Minimum Viable Company

«Die psychische Belastung zeigt, dass vielen CEOs die möglichen Folgen eines Cyberangriffs bewusst sind. Entscheidend ist, aus dieser Sorge eine konkrete Vorbereitung abzuleiten», erläutert Christoph Linden, Director Solution Architecture Europe bei Cohesity. Wer sich frühzeitig mit möglichen Szenarien befasse, wisse im Ernstfall, was zu tun sei, und müsse seltener unter Unsicherheit entscheiden.

Ein Cyberangriff sei nicht mit dem Ausfall eines Rechenzentrums gleichzusetzen, betont Linden. Unternehmen müssten vorab festlegen, welche Prozesse, Systeme und Abhängigkeiten sie mindestens benötigen, um handlungsfähig zu bleiben.

Cohesity empfiehlt dafür zwei Ansätze. Ein Digital Jump Bag bezeichnet einen abgeschotteten Speicherort, der alles Notwendige für die Reaktion auf einen Angriff und einen vertrauenswürdigen Ausgangspunkt für die Wiederherstellung enthält. Das Konzept der Minimum Viable Company beschreibt die kleinste Version einer Organisation, die im Notfall weiterarbeiten und Kunden bedienen kann, also die minimale Kombination aus Mitarbeitern, Prozessen, Technik, Dokumentation, Einrichtungen und Abhängigkeiten von Drittanbietern. Dieses Ziel müsse regelmässig getestet werden.