Informationssicherheit beschreibt den Schutz von Informationen durch die Abschwächung von Informationsrisiken. Bei Cyber Security geht es um den Schutz kritischer Systeme und vertraulicher Daten vor digitalen Angriffen. Cyberresilienz beschreibt die Fähigkeit, ungünstige Bedingungen, Belastungen, Angriffe oder Beeinträchtigungen von Systemen, die Cyberressourcen nutzen oder durch sie ermöglicht werden, zu antizipieren, ihnen standzuhalten, sich von ihnen zu erholen und sich an sie anzupassen. An diesen Bereichen arbeiten Unternehmen kontinuierlich, um ein angemessenes Schutzniveau zu erreichen.
Aktueller Stand
Da Unternehmen auf digitale Technologien angewiesen sind, kann gar nicht genug betont werden, wie wichtig der Schutz von Informationssystemen und vertraulichen Informationen vor Cyberangriffen ist. Daher haben die meisten Unternehmen die Informationssicherheit seit Langem in ihre tägliche Arbeit integriert. Cyber Security und Cyberkriminalität sind in den letzten Jahren zu einem der zehn größten Risiken für Unternehmen weltweit geworden1. Die Zahl, die Qualität und das Ausmaß der Angriffe auf Unternehmen steigen dramatisch an. Für Lenzing geht es bei Cyber Security nicht nur um Risikomanagement, sondern auch darum, die langfristige Widerstandsfähigkeit des Unternehmens zu gewährleisten.
Die angespannte geopolitische Lage infolge von Militärkonflikten hat weitreichende Auswirkungen auf die Wirtschaft, den Welthandel und die Cyber Security. Aufgrund der geopolitische Lage Österreichs und fehlender Geschäftstätigkeiten Lenzings in den betroffenen Regionen ist kein spürbarer Anstieg der Cyberangriffe oder Vergehen zu erkennen.
Ransomware ist seit Langem eine lukrative Einnahmequelle für hochqualifizierte Angreifer, seien es Anhänger krimineller Gruppierungen oder staatlich unterstützte Teams, die finanzielle Gewinne oder sensible Informationen anstreben. Diese Angreifer sind außerordentlich gut organisiert und personell gut ausgestattet, verfügen über Top-Ausrüstung und verfolgen einen rücksichtslosen und strategischen Ansatz. Sie bedienen sich verschiedener Vorgehensweisen wie etwa Erpressung, um die Opfer dazu zu bewegen, ihren Lösegeldforderungen nachzukommen. Es ist daher nicht verwunderlich, dass die kriminelle Wirtschaft angeblich einen Jahresumsatz von etwa EUR 1,5 Bio. erwirtschaftet, was mit dem BIP Spaniens vergleichbar ist2.
Da Lenzing als Global Player im Textilgeschäft mit zahlreichen Geschäftspartnern, Behörden, Kunden und Konsument:innen an verschiedenen (physischen und digitalen) Standorten vernetzt ist, besteht ein hohes Risiko, dass das Unternehmen Opfer eines Angriffs wird. Im vergangenen Jahr waren mehrere Unternehmen im Umfeld von Lenzing von Cyberangriffen betroffen, die zu Unterbrechungen von Services und Handel, zur Verschlüsselung, zum Diebstahl und zur Offenlegung vertraulicher Daten (Datenschutzverletzungen) und in einigen Fällen sogar zur Schließung von Produktionsstätten führten.
Daher hat die Lenzing Gruppe stark in die Verbesserung der Cyberresilienz und Informationssicherheit investiert. Vorhandene Sicherheitskonzepte wurden (und werden laufend) überprüft und an die neuen Bedingungen angepasst. Lenzing setzt aber nicht nur auf technische Schutzmaßnahmen, sondern auch auf die Sensibilisierung der Mitarbeiter:innen. Cyber Security ist kein Projekt, sondern eine kontinuierliche Aufgabe für das gesamte Unternehmen.
Aktivitäten zur Bekämpfung der Cyberkriminalität
Infolge der Bewertung von Lenzings Fähigkeiten nach dem Cyber Security Framework wurden mehrere kurz- bis mittelfristige Maßnahmen zur Verbesserung der Cyberresilienz im Rahmen des Sicherheitsprogramms von Lenzing gestartet.
Nachstehend sind einige Aktivitäten aufgelistet, die offengelegt werden können.
Der Mensch als beste Firewall
Wie bereits erwähnt, sind technische Maßnahmen wichtig, können aber nicht in allen Situationen schützen. Aus diesem Grund sind kompetente und sicherheitsbewusste Mitarbeiter:innen an vorderster Front unverzichtbar. Um ihre Kompetenzen zu fördern, führt Lenzing verschiedene Aktivitäten durch, darunter:
- Regelmäßige Sensibilisierungsinitiativen durch Artikel im Intranet
- Regelmäßige Informationen via Gruppen-E-Mails, Info-Screens, Abteilungsmeetings oder Betriebsversammlungen
- Ad-hoc-Informationen im Falle wichtiger Beobachtungen in der näheren Umgebung
- Maßgeschneiderte persönliche Schulungen für IT-Mitarbeiter:innen, HR-Teams sowie für die Finanzabteilung und Buchhaltung
- Keynotes bei (virtuellen) Corporate Department Summits
- Meldestelle für Sicherheitsbedenken, Fragen oder potenzielle betrügerische Aktivitäten (einschließlich Feedback und Beratung zu angesprochenen Themen)
- eLearning-Kurse zum Thema Informationssicherheit für alle IT-Anwender:innen
- eLearning-Kurse zum Thema Datenschutz für alle IT-Anwender:innen
Die Sensibilisierung der IT-Anwender:innen von Lenzing führte im Berichtsjahr zu über 400 Meldungen über potenzielle Spam-E-Mails, Phishing/Malware und betrügerische E-Mails/Anrufe/Kontakte weltweit.
Kontinuierliche Verbesserung als Vorbild für alle Aktivitäten
Gezielte technische und organisatorische Maßnahmen zum Datenschutz und zur Bekämpfung von Datendiebstahl, Manipulation von Geschäftsprozessen und anderen Formen der Internetkriminalität gibt es bereits seit einigen Jahren. Da sich die Technologie weiterentwickelt und die Anzahl und Raffinesse der Angriffe ständig zunehmen, gibt Lenzing ihr Möglichstes, indem sie die entsprechenden Maßnahmen regelmäßig überprüft und optimiert.
Erfolge des Jahres
In jedem Jahr führt Lenzing sogenannte Penetrationstests durch, um die Sicherheitsmaßnahmen zu bewerten. Diese Tests werden von hochqualifizierten externen Partnern vorgenommen und führen zu sogenannten Service Improvement Plans (SIP). Darüber hinaus werden häufig externe Sicherheitsbewertungssysteme (Security Scorecard Systems) eingesetzt, um externes Feedback zu erhalten. Regelmäßige Hintergrundprüfungen werden durchgeführt, um nach potenziellen Bedrohungen, Enthüllungen im Darknet oder gehackten Konten zu suchen. Jeder Vorfall, der durch solche Bewertungen, Tests und gemeldete Vorfälle aufgedeckt wird, führt zu einer Sicherheitsüberprüfung, einer Risikobewertung und schließlich zu Behebungsmaßnahmen.
Lenzing hat eine Bewertung der technischen und organisatorischen Cyber Security Maßnahmen durchgeführt. Das Lenzing Sicherheitsprogramm wird auf Grundlage der Ergebnisse aktualisiert, um die Cyber Security Maßnahmen an die aktuelle Bedrohungslage anzupassen.
Ransomware und nationalstaatliche Angreifer konzentrierten sich auf die Offenlegung und Ausnutzung von Schwachstellen in ERP-, E-Mail-, Kollaborations- und Wissensaustausch-Tools, um Daten und Kontoinformationen abzugreifen. Als Reaktion darauf haben wir einen Schwerpunkt auf die schnelle Bereitstellung von Client- und Server-Patches gelegt, um mit den deutlich kürzeren Exploit- (und Angriffs-)Zeiten mithalten zu können. Bei mehreren Kampagnen haben wir auch unsere mobilen Geräte in die Aktualisierungszyklen einbezogen.
Da rund zwei Drittel der Ransomware-Angriffe durch Phishing-E-Mails erfolgen, haben wir gezielte Informationen zur Sensibilisierung sowie eLearnings zum Thema Phishing vermittelt und die Ergebnisse anschließend in einer Phishing-Simulation überprüft. Darüber hinaus haben wir unsere technischen Maßnahmen in diesem Bereich weiter intensiviert. Im Laufe des Jahres haben unsere IT-Infrastruktur-Teams zusätzliche Sicherheitsmaßnahmen für unsere IT-Assets eingeführt, um die Sicherheitshygiene zu verbessern und das Risiko im täglichen Betrieb zu minimieren.
Der Prozess zur Verwaltung von Schwachstellen wird laufend optimiert. Dadurch wurde das Tempo, mit dem das IT-Team offene Schwachstellen schloss, weiter erhöht und die Sichtbarkeit des IT-Teams verbessert. Die nach wie vor hohe Zahl an neu aufgedeckten Sicherheitslücken und die Rücknahme oder Neuveröffentlichung früherer Patches führte zu einer hohen Auslastung der Teams. Dank der harten Arbeit konnte Lenzing jedoch wichtige Meilensteine auf dem Weg zu einer verbesserten Erkennung von Bedrohungen und Reaktionsmöglichkeiten erreichen. Diese herausragende Leistung wird dazu beitragen, Angriffe schneller zu erkennen und darauf zu reagieren.
1 Weltwirtschaftsforum – Global Risks Report 2023, https://www3.weforum.org/docs/WEF_Global_Risks_Report_2023.pdf
2 https://www.techrepublic.com/article/cybercriminals-raking-in-1-5-trillion-every-year/