Resiliente Unternehmen üben so lange, bis Reaktion zur Routine wird

Cyber-Resilienz wird oft als neue Herausforderung dargestellt, die durch moderne Bedrohungen entstanden ist. Viele ihrer grundlegenden Prinzipien wurden jedoch bereits vor Jahrzehnten mit der Notfallwiederherstellung gelöst.

Nach Ansicht von James Lee, Regional Director DACH beim Cybersecurity-Unternehmen Horizon3.ai, entstehen widerstandsfähige Unternehmen nicht durch statische Verteidigungsmodelle, sondern durch kontinuierliches Üben und Validieren – ein Ansatz, den auch Horizon3.ai-Mitgründer und CEO Snehal Antani nachdrücklich vertritt.

Lee sieht eine wachsende Lücke zwischen Richtlinien auf dem Papier und tatsächlicher Einsatzbereitschaft. Horizon3.ai verfolgt einen Ansatz, bei dem Unternehmen ihre eigenen IT-Umgebungen durch kontinuierliche Penetrationstests überprüfen, um potenzielle Schwachstellen aufzudecken, die von Cyberkriminellen ausgenutzt werden könnten. Anstatt sich ausschließlich auf passive Schutzmechanismen zu verlassen, können Unternehmen ihre Systeme kontrolliert selbst testen, Schwachstellen beheben, die Wirksamkeit der Maßnahmen überprüfen und diesen Prozess beliebig oft wiederholen.

Parallelen zwischen Cyber-Resilienz und Hochverfügbarkeit

James Lee macht deutlich: Resilienz ist kein abstraktes Konzept, sondern gelebte operative Praxis. Er zieht die Parallelen zur Hochverfügbarkeit von IT-Systemen, häufig auch als Business Continuity bezeichnet. In hochverfügbaren IT-Umgebungen ist Ausfallzeit keine Option. Störungen werden nicht nur vermieden, sondern bewusst simuliert und getestet. Systeme werden gezielt zwischen Rechenzentren umgeschaltet, um Wiederherstellungsprozesse unter realistischen Bedingungen zu überprüfen. Durch diese regelmäßige Übung entsteht Routine – eingespielte Abläufe und klare Verantwortlichkeiten sorgen dafür, dass Teams im Ernstfall handlungsfähig bleiben.

Dieses Prinzip der kontinuierlichen Übung realer Szenarien entspricht den Grundsätzen der Offensive Security und spiegelt wider, was Antani und Lee als zeitgemäße Antwort auf eskalierende Cyberbedrohungen verstehen. Cyber-Resilienz dürfe nicht als reines Tool- oder Reporting-Thema betrachtet werden, sondern als operative Herausforderung: Systeme fallen aus, Angreifer nutzen Schwachstellen aus – und Unternehmen müssen unter Druck handlungsfähig bleiben. „Kunden erwarten Verfügbarkeit, Regulierungsbehörden verlangen Nachweisbarkeit“, so Lee.

„Widerstandsfähige Unternehmen üben, bis das Handeln zur Routine wird“

Lee unterstreicht Antanis Einschätzung, dass resiliente Unternehmen davon ausgehen sollten, dass etwas schiefgehen wird – und aktiv nach Schwachstellen suchen, bevor es Angreifer tun. „Resilienz bedeutet, Reaktion und Wiederherstellung so lange zu trainieren, bis sie zur Routine werden. Viele Unternehmen verlassen sich noch immer auf Annahmen“, erklärt er. „Verteidigungs- und Wiederherstellungspläne mögen auf dem Papier überzeugend wirken, scheitern jedoch in der Praxis, wenn regelmäßige Tests fehlen.“

In realen Vorfällen sind operative Störungen und gezielte Angriffe oft zunächst kaum voneinander zu unterscheiden. Die Wiederherstellung von Services kann nicht auf eine abschließende Ursachenklärung warten. Disaster Recovery und Cybersecurity wachsen hier zusammen. Gefragt sind eingespielte Teams, nicht isolierte Konzepte, die unter Druck nie erprobt wurden. Wie Antani betont, liegt die Herausforderung selten allein in der Technologie, sondern häufig in Prozessen und Führung.

Ein Penetrationstest pro Jahr ist viel zu wenig

Beide Experten weisen auf die Grenzen klassischer jährlicher Penetrationstests hin, insbesondere in dynamischen IT-Umgebungen. Risiken verändern sich schneller, als es ein Jahreszyklus abbilden kann: Updates erfolgen wöchentlich, Konfigurationen ändern sich kontinuierlich, Cloud- und Identitätsarchitekturen entwickeln sich permanent weiter. Ohne regelmäßige Sicherheitsvalidierung laufen Unternehmen Gefahr, Entscheidungen auf veralteten Annahmen zu treffen.

Lee plädiert daher für kontinuierliche Tests, eng verzahnt mit Veränderungsprozessen. Regelmäßige Pentests nach Patch-Zyklen helfen Teams zu überprüfen, ob Maßnahmen tatsächlich Risiken reduzieren. So entwickelt sich Sicherheit von einer punktuellen Überprüfung hin zu einem kontinuierlichen Verbesserungsprozess.

Neue Phase der Cybersicherheit durch Künstliche Intelligenz

Nach Einschätzung von Horizon3.ai ist Cybersicherheit in eine Phase eingetreten, in der Geschwindigkeit entscheidend ist. KI-gestützte Angriffe verkürzen Reaktionszeiten erheblich und erhöhen den Druck auf Unternehmen. Umso wichtiger ist es, dass Teams auf eingeübte Abläufe zurückgreifen können, statt unter Stress ad hoc entscheiden zu müssen. Für Lee ist die Konsequenz klar: „Unter Druck greifen Teams auf das zurück, was sie trainiert haben und nicht auf das, was sie sich vorgenommen haben. Kontinuierliche Übung und konsequente Führung bestimmen, wie leistungsfähig ein Unternehmen im Ernstfall wirklich ist.“

(red/Horizon3.ai)