Resilienz als Strategie: Was erfolgreiche Unternehmen anders machen

In der heutigen dynamischen und manchmal dramatischen Geschäftswelt ist eine effektive Risikomanagementstrategie wichtiger denn je, von geopolitischen Unruhen, Störungen der Lieferkette, Cyberbedrohungen bis hin zu Naturkatastrophen. Unabhängig von der Branche, in der ein Unternehmen tätig ist, ist es entscheidend, wie schnell und effektiv es Risiken identifizieren und managen kann, da dies seine Resilienz bestimmt. Risikomanagement ist ein grundlegender Bestandteil des Unternehmensmanagements, da es Unternehmen hilft, potenzielle Bedrohungen zu identifizieren, zu bewerten und zu mindern, von der Sicherung von Ressourcen bis hin zur Gewährleistung ununterbrochener Abläufe und der Optimierung von Chancen für Fortschritt. Alle Unternehmen, unabhängig von ihrer Größe oder Branche, sollten eine Managementstrategie haben. Effektives Risikomanagement ist ein Prozess, bei dem neue und laufende Risiken kontinuierlich identifiziert, bewertet, überwacht und verwaltet werden. Dies erhöht nicht nur die Resilienz des Unternehmens, sondern unterstützt auch fundierte Entscheidungen als Reaktion auf Risiken und Herausforderungen.

Agile Vorgehensweise

Das Verständnis des Risikomanagements ist entscheidend für erfolgreiche Entscheidungen in der heutigen Berufswelt, die von geopolitischen Konflikten, täglichen Cyberangriffen, instabilen Lieferketten, finanziellen und technologischen Problemen, rechtlichen Streitigkeiten, Marktstörungen und Naturkatastrophen belastet ist, die in den letzten Jahren aufgrund des Klimawandels häufiger geworden sind. Dieser Prozess umfasst die Wahrnehmung, Analyse und Auseinandersetzung mit Risiken, die sich negativ auf die Geschäftstätigkeit auswirken könnten, wenn sie eintreten. Es ist nicht möglich, Risiken vollständig zu vermeiden, aber sie können aktiv gemanagt werden, um negative Folgen zu reduzieren und sie sogar in Geschäftsmöglichkeiten umzuwandeln. Unternehmen können sie verwalten, indem sie einen strukturierten strategischen Ansatz anwenden und gleichzeitig die Unternehmensziele erreichen. Risikomanagement spielt eine Schlüsselrolle für den Geschäftserfolg. Zu den wichtigsten Aspekten dieses Prozesses gehört der Schutz kritischer Vermögenswerte wie Finanzen, Infrastruktur und geistiges Eigentum vor potenziellen Bedrohungen wie Cyberangriffen. So zeigte ein aktueller Bericht von IBM, dass die durchschnittlichen globalen Kosten eines Datenlecks im Jahr 2024 4,88 Millionen US-Dollar pro Unternehmen erreichten, ein Anstieg um 10 % im Vergleich zum Vorjahr. Er hob auch hervor, dass Organisationen, die künstliche Intelligenz (KI) und Automatisierung in Sicherheitsoperationen einsetzen, widerstandsfähiger gegenüber Risiken sind. Das grundlegende Ziel des Risikomanagements besteht darin, einen ausgewogenen Ansatz für die Herausforderungen zu schaffen, mit denen ein Unternehmen konfrontiert sein könnte, die erkannt und sogar genutzt werden sollten, um Wachstum und Innovation voranzutreiben.

Fünf Methoden

Risikomanagement-Experten empfehlen fünf Methoden: Identifikation, Analyse, Bewertung und Priorisierung von Risiken, Minderung sowie Überwachung und Überprüfung von Risiken. Die systematische Identifikation potenzieller Risiken umfasst das Studium und die Analyse aller möglichen Quellen und Szenarien, sowohl intern als auch extern, die das Unternehmen bedrohen könnten. Es ist wichtig, Risiken zu bewerten, um die Wahrscheinlichkeit, die potenziellen Auswirkungen und die Schwere jedes einzelnen zu bestimmen, was bei der Bewertung und Priorisierung von Risiken helfen kann. Identifizierte Risiken sollten nach Wichtigkeit und Wahrscheinlichkeit eingestuft werden, und alle verfügbaren Ressourcen sollten zunächst auf die kritischsten Risiken gerichtet werden, um die Auswirkungen auf das Unternehmen zu mindern. Es ist notwendig, eine Strategie zur Reduzierung oder Beseitigung der kritischsten Risiken in die Unternehmensstrategie zu entwickeln und zu integrieren, wobei die Minderung je nach Schwere oder Wahrscheinlichkeit angepasst werden sollte. Gleichzeitig sollten Risiken kontinuierlich überwacht werden, um eine vorbereitete Reaktion auf Herausforderungen in kritischen Momenten sicherzustellen.

Wie globale Unternehmen haben auch große kroatische Unternehmen einen integrierten Plan zur Stärkung der Resilienz, nämlich eine Risikomanagementstrategie oder einen Incident Response Plan (IRP). Sie warten nicht darauf, dass Risiken auftreten, sondern verhindern sie, hauptsächlich durch Schulung der Mitarbeiter, um Probleme aufgrund menschlicher Fehler oder Cyberangriffe zu vermeiden. Darüber hinaus wird die Auswirkung auf das Geschäft von Risiken, die nicht verhindert werden können, wie die Folgen geopolitischer Konflikte, instabiler Lieferketten, Marktstörungen und Inflation, durch eine zukunftsorientierte Unternehmensstrategie und eine mehrschichtige Verteidigung gemindert.

Vertraue nicht, überprüfe immer

Eine effektive Risikomanagementstrategie verbessert die Betriebseffizienz, die Geschäftskontinuität, den Schutz von Vermögenswerten, die Kundenzufriedenheit, die Zielverwirklichung und erhöht die Rentabilität.

– Der Kern unserer Verteidigungsstrategie ist ein mehrschichtiger Ansatz für die Sicherheit, der Technologie, Prozesse und Menschen kombiniert. Unser Schutz basiert auf aktiver Überwachung und Erkennung von Bedrohungen innerhalb eines zentralisierten Protokollierungs- und Analysesystems, Netzwerksegmentierung und Multi-Faktor-Authentifizierung. Wir betonen besonders die Bedeutung eines Zero-Trust-Ansatzes, bei dem Vertrauen niemals vorausgesetzt wird und jede Zugriffsanforderung überprüft und bewertet wird. Dementsprechend haben wir eine passwortlose Authentifizierung implementiert, um das Risiko von kompromittierten Passwörtern zu reduzieren und die Sicherheit von Benutzerkonten zu erhöhen. Wir führen regelmäßig Sicherheitsbewertungen und Penetrationstests durch, um Schwachstellen zu identifizieren, und automatisierte Sicherheitswerkzeuge ermöglichen es uns, verdächtige Aktivitäten schnell zu erkennen und zu isolieren. Wir legen besonderen Wert auf kontinuierliche Schulung der Mitarbeiter, da der menschliche Faktor eine der größten Bedrohungen bleibt, und Backups sowie Pläne zur Geschäftskontinuität gewährleisten eine schnelle Wiederherstellung im Falle eines Vorfalls. Unsere Strategie basiert auf dem Prinzip der mehrschichtigen Verteidigung, wodurch Resilienz aufgebaut und das Risiko schwerwiegender Folgen verringert wird – sagt Ivan Osvaldić, Leiter der Incident Response Abteilung von Span, und fügt hinzu, dass Span einen detaillierten Incident Response Plan, IRP, hat, der die Rollen und Verantwortlichkeiten der Teammitglieder während eines Vorfalls klar definiert und standardisierte Verfahren zur Identifizierung, Klassifizierung und Eskalation von Sicherheitsereignissen enthält. Ein Kommunikationsprotokoll wurde ebenfalls eingerichtet, das die interne und externe Kommunikation, einschließlich Management, Partner und Regulierungsbehörden, abdeckt.

Vereinheitlichte Sicherheitssysteme

Für verschiedene Arten von Vorfällen wurden Szenarien und Handbücher entwickelt, um eine strukturierte und schnelle Reaktion zu ermöglichen.

– Wir betonen besonders die Bedeutung der regelmäßigen Durchführung von operativen Übungen und Simulationen, da sie sicherstellen, dass unser Team in realen Situationen schnell, koordiniert und effektiv reagiert. Nach jedem Vorfall oder jeder Übung führen wir eine detaillierte Analyse durch, um Lehren zu ziehen und die Prozesse weiter zu verbessern. Dies gewährleistet nicht nur eine schnelle Reaktion und Isolation von Bedrohungen, sondern auch die kontinuierliche Stärkung der Sicherheitsresilienz der gesamten Organisation – erklärt Osvaldić.

Laut Marijo Marković, Leiter des Unternehmenssicherheitsdienstes von Telemach, basiert die Verteidigungsstrategie des Unternehmens auf einem integrierten Ansatz für Sicherheit.

– Wir verlassen uns nicht auf ein einzelnes Werkzeug oder System, sondern auf eine Kombination aus technologischen Lösungen, klar definierten Prozessen und geschulten Menschen. Wir wenden das Prinzip der Verteidigung in der Tiefe an, was bedeutet, dass wir mehrere Schutzschichten aufbauen, von der Netzwerk- und Anwendungssicherheit bis hin zum Schutz von Daten und Identitäten sowie dem physischen Schutz unserer Schlüsselanlagen und Infrastruktur. Unser Security Operations Center spielt eine entscheidende Rolle bei der Überwachung von Bedrohungen in Echtzeit und ermöglicht eine aktive Reaktion. All dies ist mit dem europäischen und nationalen Sicherheitsrahmen, einschließlich NIS2 und ZKS, abgestimmt – betont Marković.

Prognose- und Resilienzphase

Er erklärt weiter, dass die Telekommunikationsbranche zu den allgemein widerstandsfähigsten gehört – sowohl inländische als auch globale Betreiber haben in den letzten Jahren ihre Bereitschaftsniveaus erheblich erhöht. Sie konzentrieren sich auf Geschäftskontinuität und Systemresilienz – wie man Kommunikationsdienste im Falle eines Cyberangriffs, technischer Ausfälle oder Naturkatastrophen aufrechterhält oder schnell wiederherstellt. Es gibt sichtbare Trends in der Nutzung von künstlicher Intelligenz zur Anomalieerkennung, zunehmender Automatisierung von Sicherheitsprozessen und enger Zusammenarbeit mit nationalen CERTs und Regulierungsbehörden. Der Telekommunikationssektor hat sich von einer Reaktionsphase zu einer Prognose- und Resilienzphase gewandelt. Der Incident Response Plan ist ein integraler Bestandteil des Sicherheitssystems des Unternehmens.

– Der IRP definiert klar, wie wir im Falle eines Sicherheitsvorfalls handeln, von der frühzeitigen Erkennung, der Bewertung der Auswirkungen und der Eskalation bis hin zur Kommunikation und Behebung. Darüber hinaus implementieren wir einen umfassenden Business Continuity Plan, der sicherstellt, dass wichtige Kommunikationsdienste auch in Krisensituationen verfügbar bleiben. Beide Pläne werden regelmäßig in Übungen und Simulationen getestet, um sicherzustellen, dass die Reaktionen schnell, koordiniert und effektiv sind. Dies sind keine Dokumente, die in einer Schublade liegen, sondern lebende Systeme, die sich kontinuierlich an neue Bedrohungen und technologische Umstände anpassen. Jede Krisensituation ist auch eine Gelegenheit für uns, die Resilienz des Unternehmens weiter zu stärken – erklärt Marković.

Grundlage der Prävention

Die Verteidigungsstrategie der Hrvatska pošta ist ein mehrschichtiger Ansatz, der technische, organisatorische und verfahrenstechnische Maßnahmen kombiniert. Dazu gehört die Nutzung von Bedrohungserkennungs- und -verhinderungssystemen, die Überwachung verdächtiger Aktivitäten in Echtzeit und deren Reaktion, die Netzwerksegmentierung zwischen IT- und OT-Systemen, um die laterale Bewegung von Bedrohungen zu begrenzen, sowie Zugangskontrolle und Identitätsmanagement, um unbefugten Zugriff auf Systeme und Daten zu verhindern.

– Wir verwalten regelmäßig Patches und Schwachstellen, um die Angriffsfläche zu reduzieren. Es ist auch wichtig, ein Sicherheitsüberwachungssystem und eine zentrale Protokollierung für die Ereigniskorrelation und die rechtzeitige Erkennung von Vorfällen zu nutzen. Die Geschäftskontinuität wird durch Backups und einen Wiederherstellungsplan sichergestellt, der eine schnelle operative Rückkehr im Falle eines Vorfalls vorsieht – erklären sie von der Hrvatska pošta und fügen hinzu, dass die Schulung der Mitarbeiter und das Bewusstsein für Cybersicherheit ebenso wichtig sind, da die Mitarbeiter die Grundlage der Prävention gegen Social Engineering bilden.

Aus diesem Grund führen sie regelmäßig Schulungen sowie unangekündigte Maßnahmen durch, um die Bereitschaft und Resilienz der Mitarbeiter gegenüber potenziellen Cyberangriffen zu testen. Die Hrvatska pošta hat auch einen formal definierten IRP, der mit ISO 27001, DORA und der NIS2-Richtlinie sowie dem Cybersecurity Act in Einklang steht.