Wenn „das hat noch Zeit“ heißt „es ist schon zu spät“

In der IT begegnet uns sehr oft ein Satz: „Wir wissen davon, aber wir haben gerade kein Budget dafür.“ Oder: „Das hält noch eine Weile.“

Und oft hält es tatsächlich noch eine Weile. Genau wie alte Bremsen am Auto, ein gerissenes Rohr in der Wand oder Rückenschmerzen, die wir übergehen, weil „man ja damit leben kann“. Das Problem ist, dass die IT, wie die Gesundheit, das genaue Datum des Zusammenbruchs nicht vorher ankündigt.

Eine Geschichte aus der Praxis, die nicht hätte passieren dürfen

Vor Kurzem hatten wir mit einem Kunden zu tun, den wir lange auf grundlegende Sicherheitsrisiken hingewiesen hatten. Er nutzte Windows 8 ohne Sicherheitsupdates und einen ungesicherten Datenspeicher. Wir empfahlen Austausch, Migration, Datensicherung. Die Entscheidung war immer dieselbe: „Noch nicht. Jetzt gibt es andere Prioritäten.“

Dann kam der Kryptovirus. Kein ausgefeilter, gezielter Angriff, nur automatisierte Schadsoftware, die eine Schwachstelle gefunden hat. Das Ergebnis? Die Firma hätte beinahe geschlossen. Daten weg, Aufträge gefährdet, der Ruf in Flammen.

Aufschieben ist die teuerste Entscheidung, die sich als Ersparnis ausgibt

Die Cybersicherheit hat eine tückische Eigenschaft: Solange sie funktioniert, wirkt sie überflüssig. Solange nichts passiert, löst man andere Probleme. Wenn etwas passiert, bleibt nur noch eines.

Das Geld, das Sie „sparen“, legt der Angreifer beiseite

Der häufigste Grund, Sicherheit aufzuschieben, ist Geld. Die Wirklichkeit ist hart: Das Geld, das eine Firma bei der Sicherheit „spart“, nimmt sich oft jemand anders.

Oft nimmt er sich auch Dinge, die man nicht mehr kaufen kann:

• das Vertrauen der Kunden
• Daten aus vielen Jahren
• die Kontinuität des Geschäfts

Eine IT-Firma als schlechter Prophet? Nein. Eher als Mechaniker, der eine gerissene Bremsscheibe sieht

Der Hinweis auf Risiken geht nicht um Angstmacherei oder den Verkauf von Leistungen. Er kommt daher, dass man sieht, wie die Lage nach einem Vorfall aussieht. Sicherheit geht nicht um ein perfektes System. Sie geht um ein verantwortliches Minimum, das eine Chance zu überleben gibt, auch wenn etwas schiefgeht.

Zum Schluss: Solange Sie viele Probleme haben, geht es Ihnen gut

Solange Sie viele kleine Probleme lösen, heißt das, dass die Grundlage funktioniert. Geht die Sicherheit verloren, bleibt nur noch ein Problem. Und das betrifft oft die Existenz.

Cybersicherheit ist keine zusätzliche Ausgabe. Sie ist der Unterschied dazwischen, ob man über ein Systemupdate spricht oder über die Schließung der Firma.