Das Geschäft mit der Cyberkriminalität: Was ein ehemaliger stellvertretender FBI-Direktor jedem CISO mitteilen möchte

Cyberkriminalität ist nicht nur eine technische Bedrohung – sie ist ein florierendes globales Geschäft. Und nur wenige Menschen verstehen die Entwicklung dieses Geschäfts besser als Brian Boetig.

Er verfügt über mehr als 35 Jahre Erfahrung in der nationalen und öffentlichen Sicherheit und war als stellvertretender FBI-Direktor, US-Diplomat, CIA-Verbindungsmann und Partner bei einer internationalen Beratungsfirma tätig. Heute ist er Principal Advisor bei Global Trace und unterstützt Unternehmen beim Aufbau von Cyber-Resilienz.

In dieser Folge von The Segment sprach Brian mit mir, um zu erzählen, wie seine Erfahrungen in den Bereichen Strafverfolgung und Geheimdienste seinen heutigen Ansatz zur Cybersicherheit prägen und warum Bedrohungsakteure dort gewinnen, wo Unternehmen hinterherhinken.

Vom Ladenüberfall bis zur Ransomware as a Service

Brian hat alles untersucht, von Entführungen im Ausland bis hin zu digitaler Erpressung im Inland.  

Was verbindet sie? Das Streben nach Hebelwirkung.

"Wir haben Entführungen gegen Lösegeld auf die gleiche Weise behandelt, wie wir heute mit Ransomware umgehen", sagte Brian. "Du weißt, wer es getan hat, du weißt, wie sie arbeiten, und du weißt, wie man verhandelt. Es ist ein Geschäftsmodell, und sie führen es besser als einige seriöse Unternehmen."

Er sagt, dass die Ökonomie der Cyberkriminalität zugunsten der Angreifer gekippt ist.

"Wenn man persönlich ein Geschäft für 50 Dollar ausraubt, taucht ein ganzes Einsatzteam der Polizei auf", sagte er. "Aber 500.000 Dollar online stehlen? In den meisten Gerichtsbarkeiten wissen die Strafverfolgungsbehörden nicht, was sie damit anfangen sollen."

Cyberkriminalität ist skalierbar, grenzenlos und oft unsichtbar. Brian ist der Meinung, dass die Verteidiger bis zu einem ähnlich geschäftsorientierten Ansatz überholt bleiben werden.

Wenn Sie persönlich ein Geschäft für 50 Dollar ausrauben, taucht ein ganzes Einsatzteam der Polizei auf. Aber 500.000 Dollar online stehlen? In den meisten Gerichtsbarkeiten wissen die Strafverfolgungsbehörden nicht, was sie damit anfangen sollen.

Warum das Verbot von Lösegeldzahlungen nicht die Antwort ist

Nur wenige Themen lösen mehr Debatten aus als die Frage, ob es Unternehmen erlaubt sein sollte, Lösegeld zu zahlen. Brian hat beide Seiten gesehen, von seiner Zeit beim FBI bis hin zur Beratung von CEOs, die einen Verstoß bewältigt haben.

"Es gibt keine pauschale Antwort", sagte er. "Einige Unternehmen werden aufhören zu existieren, wenn sie nicht zahlen."

Er erinnerte sich an eine Anwaltskanzlei, deren gesamte Mandantengeschichte gesperrt war. Ohne Bezahlung wären ihr Geschäft und ihr Ruf zerstört worden.

Ein vollständiges Verbot von Lösegeldzahlungen mag abschreckend erscheinen, aber Brian glaubt, dass dies die Gefahr birgt, dass Unternehmen doppelt schikaniert werden: "Sie entfernen eines der wenigen Werkzeuge, die zum Überleben übrig geblieben sind."

Stattdessen schlägt er eine nuanciertere Strategie vor:

• Weniger Anreize für Zahlungen durch Vorsorge
• Bauen Sie eine allgemeine Cybersicherheitshygiene auf, einschließlich Backups
• Implementieren Sie intelligente Versicherungsmodelle
• Reduzierung von Rechtsvorschriften, die komplexe Geschäftsrealitäten zu stark vereinfachen

Anstelle von pauschalen Verboten brauchen Unternehmen einen intelligenteren Ansatz – einen, der Resilienz, Risiken und die Realitäten, mit denen Führungskräfte nach einem Angriff konfrontiert sind, in Einklang bringt.

Cyber-Versicherungen sind kein Sicherheitsnetz  

Da sich immer mehr Unternehmen an Cyber-Versicherungen wenden, bietet Brian einen Realitätscheck an.

"Es ist keine Lösung. Es ist oft eher wie eine Verhandlung", sagte er. "Und manchmal ist das erste, was der Versicherer tut, nach einem Grund zu suchen, nicht zu zahlen."

Er verglich es mit einer Autoversicherung. Ja, Sie sind abgedeckt... Es sei denn, Sie haben ein Detail im Kleingedruckten übersehen. Das Ergebnis ist Verwirrung während einer Krise, unklare Deckungsbedingungen und eine verzögerte Erholung.

"Die meisten Policen helfen Ihnen nur, wieder online zu gehen", warnte Brian. "Sie werden nicht den Wiederaufbau von Vertrauen, Reputationsschäden oder zukünftige Widerstandsfähigkeit abdecken."

Sein Rat an CISOs lautet, genau zu wissen, was Ihre Police abdeckt und wo Ihre Deckungslücken liegen. Betrachten Sie Versicherungen niemals als Ersatz für eine starke Abwehr und vertrauen Sie nicht darauf, dass Versicherungsunternehmen nach einem Angriff in Ihrem besten Interesse arbeiten.

Cyberrisiko ist Geschäftsrisiko

Allzu oft wird das Cyberrisiko immer noch als IT-Problem behandelt. Brian sieht darin einen gefährlichen Fehler.

"Wenn die Führungsebene nicht an Cybersicherheit glaubt, wird sie nicht finanziert, priorisiert oder praktiziert", sagte er.

Er erinnerte sich an eine Zeit, in der CEOs nicht wussten, wer ihre IT-Führungskräfte waren. "Jetzt sehen wir endlich, dass die Vorstandsetagen anfangen zu verstehen, dass es bei Cybersicherheit nicht um Firewalls geht – es geht darum, das Unternehmen am Leben zu erhalten."

Diese Verschiebung sei zum Teil auf den regulatorischen Druck zurückzuführen, aber auch auf die wachsende Erkenntnis, dass Resilienz ein Wettbewerbsvorteil ist.

Brian wies auch schnell darauf hin, dass eine Verletzung nicht bedeutet, dass man versagt hat. Tatsächlich gehen die besten Sicherheitsverantwortlichen davon aus, dass dies passieren wird.

"Früher habe ich meinen CEOs gesagt: 'Es ist in Ordnung, Opfer eines Cyberangriffs zu sein. Es ist nicht in Ordnung, auf so etwas unvorbereitet zu sein'", sagte er.

Diese Denkweise ist das Herzstück von Zero Trust , das von Kompromittierungen ausgeht und sich darauf konzentriert, die Folgen einer Sicherheitsverletzung zu reduzieren.

"Vorsorge bedeutet nicht nur Backups und Richtlinien", betonte Brian. "Es ist kulturell. Jeder in der Organisation muss seine Rolle kennen, wenn etwas schief geht."

Früher habe ich CEOs gesagt: "Es ist in Ordnung, Opfer eines Cyberangriffs zu werden. Es ist nicht in Ordnung, auf so etwas unvorbereitet zu sein."

Die Lücke zwischen Risiko und Realität schließen

Brians Geschichten verdeutlichen eine zentrale Wahrheit. Bei der Cybersicherheit geht es nicht darum, Risiken zu vermeiden. Es geht darum, es zu managen.

Die widerstandsfähigsten Unternehmen betrachten Sicherheit als Geschäftsfunktion, setzen auf proaktive Planung und investieren in die Eindämmung, nicht nur in die Prävention.

Oder wie Brian es ausdrückte: "Man wartet nicht bis zu einem Brand, um einen Feuerlöscher zu kaufen. Du planst, trainierst und sorgst dafür, dass jeder weiß, wo es ist."

Möchten Sie mehr erfahren? Hören Sie sich die vollständige Folge dieser Woche von The Segment: A Zero Trust Leadership Podcast an Apple Podcasts, Spotify (Englisch)oder wo auch immer Sie Ihre Podcasts beziehen. Sie können auch die Vollständiges Transkript.