Cyber-Sicherheit im Autohaus: Risiken kennen und minimieren

KURZFASSUNG: Autohäuser sind ein lukratives Ziel für Cyberkriminelle. Im Angriffsfall entsteht nicht nur monetärer Schaden, sondern auch Informationsabfluss, Reputationsverlust und ein Systemstillstand, der zur Unterbrechung der Arbeitsfähigkeit führt. Um das Risiko zu minimieren und sich und die Kunden zu schützen, sollten Autohändler sich mit Sicherheitsanforderungen auseinandersetzen. Risikoanalysen und entsprechende Maßnahmen helfen, über Risiken Bescheid zu wissen und diese zu minimieren. Mittelständische Unternehmen stufen Cyberangriffe laut aktuellem "Allianz Risk Barometer" auf Platz 1 ihrer Geschäftsrisiken ein, noch vor Geschäfts- und Lieferkettenunterbrechungen. Kleine und mittlere Unternehmen sind zudem überproportional häufig Opfer von Ransomware-Attacken, berichtet das Bundesamt für Sicherheit in der Informationstechnik (BSI) im Bericht zur Lage der IT-Sicherheit 2023. Für die Automobilbranche bedeutet das, dass sich nicht nur große OEMs, sondern insbesondere Zulieferer und alle Beteiligten des Aftersales verstärkt mit Cyber- und Informationssicherheit auseinandersetzen müssen. Nicht als Kür, sondern als Pflicht. Im Eigeninteresse und als Teil der Lieferkette sollten die drei Sicherheitsziele der Vertraulichkeit, Integrität und Verfügbarkeit gewährleistet werden. Geschäftsdaten, Kunden- und Prototypendaten müssen vor unbefugtem Zugriff geschützt werden, um das Vertrauen der Kunden und Geschäftspartner zu wahren. Ein leistungsfähiges Business Continuity Management hilft, auf den Ernstfall vorbereitet zu sein und den Schaden für Geschäft, Kunden und Partner möglichst gering zu halten. Geld, Reputation, Arbeitsfähigkeit Sensible Kundendaten? In Autohäusern finden sich diese zur Genüge, wie beispielsweise persönliche Daten, aber auch Zahlungsinformationen. Darüber hinaus ist das Dealer-Management-System ein besonders wichtiges Tool. Autohäuser sind daher ein beliebtes und lukratives Ziel für Cyberkriminelle. Im Angriffsfall entsteht dadurch nicht nur monetärer Schaden, sondern auch Informationsabfluss, Reputationsverlust und ein Systemstillstand, der zur Unterbrechung der Arbeitsfähigkeit führt, wenn beispielsweise Ersatzteile nicht mehr bestellt werden können. Stellen Sie sich vor, Ihr Verkaufsmitarbeiter Harald Acker (H. Acker) erhält eine E-Mail mit Informationen zu neuen Modellausstattungen. H. Acker ist Feuer und Flamme. Er klickt den darin enthaltenen Link an, um mehr zu erfahren - natürlich ohne über mögliche negative Konsequenzen nachzudenken: Laut BSI stellen Phishing-Mails mit 84 Prozent den größten Anteil von betrügerischen E-Mails dar. Die Inhalte sind meist so gestaltet, dass sie zutiefst menschliche Verhaltensweisen ansprechen, wie beispielsweise Neugier, Druck, positive Bestätigung, Gier u. v. m., gepaart mit Darstellungen von scheinbar seriösen Unternehmen. Anhand von Links auf nachgebaute Webseiten oder schon mit Malware verseuchten Anhängen wird versucht, sensible Daten zu stehlen oder Ransomware auf Unternehmensrechnern zu installieren. Letzteres geschieht meist unbemerkt. Wenn sich H. Acker nicht über die Tragweite seines Verhaltens bewusst ist, wird er auch nicht die notwendigen nachfolgenden Schritte einleiten können. Ein vermeintlich schneller Klick mit fatalen Folgen, die durch gezielte Maßnahmen hätten verhindert oder zumindest eingedämmt werden können: insbesondere durch Schulungen der Mitarbeitenden, durch ein bestehendes IT-, Informationssicherheits- und Risikomanagement und durch das Kommunizieren und Üben von konkreten Handlungsanweisungen, die im Falle eines Notfalls ausgeführt werden müssen. Risikoanalysen und entsprechend abgeleitete Maßnahmen Um das Risiko von Cyberangriffen in Ihrem Unternehmen zu minimieren und sich und Ihre Kunden optimal zu schützen, sollten Sie sich mit Sicherheitsanforderungen auseinandersetzen. Nur so werden Sie durch Risikoanalysen und entsprechend abgeleitete Maßnahmen über bestehende Risiken Bescheid wissen, diese aber gleichermaßen minimieren und managen können. Im Zentrum der Absicherung vor Cyberangriffen stehen die IT-Systeme. Unabhängig davon, ob die IT im eigenen Unternehmen oder ausgelagert von einem Dienstleister betrieben wird, ist es zwingend erforderlich, alle Systeme mit zeitgemäßem Schutz auszustatten: Werden alle Serversysteme, Netzwerkkomponenten und Software regelmäßig auf mögliche Sicherheitslücken und Schwachstellen überprüft? Werden Patches der Systemanbieter zeitnah eingespielt, um bekannte Sicherheitslücken systematisch zu schließen? Existiert ein Back-up-System und wurde dieses auch schon einmal auf seine Tauglichkeit hin überprüft? Ist eine rollenbasierte Zugriffskontrolle auf kritische Systeme etabliert? Ist der Umgang mit privaten Handys und anderer Hard- und Software im geschäftlichen Umgang geregelt? Eine Strategie, die Prioritäten in der Umsetzung festlegt und verbleibende Risiken versteht und akzeptiert, ist Chefsache. Der Faktor Mensch Gleichermaßen muss Ihnen bewusst sein: Sie werden nie alle technischen Schwachstellen rechtzeitig und allumfassend beheben können und so einen Cyberangriff definitiv verhindern. Daher lohnt sich insbesondere eine Investition, die häufig unterschätzt wird: Ihre beste Firewall ist das Verhalten der Mitarbeitenden! Denn wenn diese sensibel und angemessen auf Phishing-Mails und ähnliche Angriffe reagieren, Ihrer IT kommunizieren, wenn sie Ungewöhnliches entdecken, und technische Sicherheitsmaßnahmen unterstützen, sind Sie um ein Vielfaches sicherer! Aber wie kann ein solches Verhalten im Sinne einer gefestigten Sicherheitskultur erreicht werden? Das erfolgreiche Etablieren einer solchen Kultur bedarf im ersten Schritt des Wissens darüber, welche Werte im Unternehmen bereits gelebt werden und welches Wissen und Verhalten bereits vorhanden sind. Darauf aufbauend sollte zielgruppenorientiert informiert werden, warum ein sicheres Verhalten überhaupt notwendig ist und wie dieses konkret aussieht. Durch entsprechende Awareness-Kampagnen und zielgerichtete Fortbildungen zu Cybersicherheitsthemen kann langfristig eine Verhaltensänderung bei den Mitarbeitern ermöglicht werden. Der Faktor Mensch sollte dabei nie als Schwäche, sondern als Chance zur Ausschöpfung des vollen Unternehmenspotenzials in Sachen Sicherheit verstanden werden und kann auch genutzt werden, andere Themen der Digitalisierung und positiver Kommunikation im Unternehmen voranzutreiben. Ein wichtiger Baustein für Lernbereitschaft und Motivation der Mitarbeitenden, ihr Verhalten zu ändern, ist die Vermittlung der Tatsache, dass dadurch auch ihre eigenen Bedürfnisse, beispielsweise die nach Sicherheit oder Anerkennung, befriedigt werden. Sie schützen dabei nicht nur ihren Arbeitgeber, sondern auch sich privat: zum Beispiel im Umgang mit Scam- und Phishing-Versuchen, das Verwenden sicherer Passwörter und die Nutzung von Passwortmanagern, der Einsatz von Multi-Faktor-Authentifizierung, um nur einige wenige zu nennen. Notfallmanagement üben Wenn unser Mitarbeiter H. Acker trotz Schulung unsicher ist, ob es sich nun um eine Phishing-Mail handelt oder nicht, sollte er sich an die zuständige IT-Abteilung wenden können, ohne Scham und Angst vor Verurteilung. Die Führungskräfte sind dabei als wichtige Vorbilder zu verstehen, die anschaulich aufzeigen, wie mit Unwissen, Wissenslücken und daraus gegebenenfalls resultierenden Fehlern umgegangen werden sollte und dass es im Notfall auf klar definierte Abläufe und umfassende Kommunikation ankommt. Insbesondere für geschäftsrelevante Unternehmensprozesse sollte ein betriebliches Kontinuitätsmanagementsystem (Business Continuity Management) bestehen, das Strategien bereithält, um einen Arbeitsausfall in Krisensituationen minimal zu halten. Die Ursachen für solche Notfälle und Krisen müssen nicht zwangsläufig aus dem Cyberraum kommen. Auch auf Stromausfälle, Ausfälle von relevantem Personal oder Naturkatastrophen kann man sich vorbereiten. Dabei unterstützen konkrete Notfall- und Kontinuitätspläne, die Eskalationsprozesse definieren, Verantwortliche festlegen und Kommunikationsschritte über Abteilungsgrenzen hinaus festlegen. Diese sind als Orientierung zu verstehen - einzelne Schritte müssen mit allen Verantwortlichen geübt werden, um das Unternehmen und seine Mitarbeitenden bestmöglich vorzubereiten. Hierbei geht es nicht nur um die praktische Vorbereitung, sondern auch um die gefühlte. Denn weitere nicht zu unterschätzende Aspekte sind der psychische Stress und die damit verbundenen gesundheitlichen Risiken, die auf die verantwortlichen Mitarbeitenden im Krisenfall zukommen. Im besten Fall weiß H. Acker also durch Schulungen und Notfallübungen, wie er sich präventiv auf Cyberangriffe vorbereiten und reaktiv verhalten soll, um Schaden von seinem Autohaus abzuwenden. Um Ihren eigenen Kunden transparent nachzuweisen, dass Sie ein Informationssicherheitsmanagement in Ihrem Unternehmen etabliert haben, wodurch Kundendaten bestmöglich geschützt sind, gibt es Zertifizierungen wie die internationale Norm ISO 27001 oder die ISA-Norm TISAX (kurz für Trusted Information Security Assessment Exchange), Letztere speziell für Unternehmen in der Automobilbranche. Bei der Auditierung werden die nach den BSI-Standards umgesetzten Prozesse und Maßnahmen zur Informationssicherheit anhand des Scopes überprüft und Vorschläge zur stetigen Verbesserung beschrieben. Assessment Cybersicherheit ist als ein Prozess zu verstehen, der einer kontinuierlichen Beschäftigung mit dem Thema bedarf. Ein Assessment der Cybersicherheit im Autohaus, das die wichtigsten organisatorischen, technischen und personellen Angriffsvektoren untersucht, ist eine sinnvolle Einstiegsmaßnahme. Ein von Experten durchgeführtes Cybersicherheits-Assessment identifiziert kritische Schwachstellen, liefert konkrete Handlungsempfehlungen zur Schließung von Sicherheitslücken und zeigt einen auf die Größe des Autohauses angepassten Weg zur Etablierung einer nachhaltigen Sicherheitskultur auf. Ein Cybersicherheits-Assessment erfordert eine Investition - in der Regel werden dafür vier bis acht Personentage von professionellen Beratungsdienstleistern berechnet. Diese Investition trägt nicht nur zu einem verbesserten Risikoprofil und zu verringerten Wahrscheinlichkeiten für finanzielle Schäden und Betriebsunterbrechungen bei, sondern kann auch Voraussetzung für den Abschluss einer Cyber-Versicherung zu marktüblichen Konditionen sein. Ein solches Assessment dient häufig bereits als Grundstein zur Sensibilisierung aller Beteiligten und sorgt für einen zielgerichteten Aufbau von Sicherheitsmaßnahmen. DIE AUTORIN Dr. Swantje Westpfahl ist Geschäftsführerin der Institute for Security and Safety GmbH in Ettlingen, einem An-Institut der Hochschule Mannheim (www.uniss.org). Sie hat in Computerlinguistik promoviert und versteht sich als Brückenbauerin für Cybersecurity. Neben ihren Aufgaben als Geschäftsführerin und Dozentin an der Hochschule engagiert sie sich in verschiedenen internationalen Organisationen wie dem WEF und der UNECE zur Cyber- und Informationssicherheit.

40 Jahre Mercedes-Benz 200 D - 500 E: Als das Herz der Marke schneller schlug

Skoda wächst weiter: Mehr Auslieferungen, starke Finanzzahlen

Markenausblick Hyundai: Der Mix soll es richten

Mobilize Financial Services: Neuer Deutschland-Chef ab November

Insolvenzanträge für fünf Gesellschaften: Autohaus Staffel in der Krise

Alle Schlagzeilen

Cyber-Sicherheit im Autohaus: Risiken kennen und minimieren

HASHTAG

#AUTOHAUS next

Autohaus Stenger: Mut zur Freiheit

Krüll-Gruppe: Viele Marken, klare Strukturen

Autohaus Böttcher: Bereit für mehr

MEISTGELESEN

BYD: Maria Grazia Davino wird neue Regional Managing Director

VW: Konzern mit massivem Gewinneinbruch – Sparpläne bestimmen Tarifrunde

Insolvenzanträge für fünf Gesellschaften: Autohaus Staffel in der Krise

STELLENANGEBOTE

Neu- und Gebrauchtwagenverkäufer (m/w/d)

Technischer Mitarbeiter (m/w/d) Gebrauchtwagenprozess

WEITERLESEN

NEWSLETTER