Cyber-Resilienz bei Speditionen schwach

Die Cyber-Resilienz in der Transport- und Logistikbranche weist gravierende Defizite auf. Darauf weist Ingo Steinwedel, Experte bei der R+V Versicherung, im Gespräch mit trans aktuell hin. Demnach stärken laut einer aktuellen Studie der R+V nur 22 Prozent der befragten mittelständischen Unternehmen aktiv ihre Resilienz. Im Zusammenhang mit Cybersecurity ist Resilienz gleichbedeutend mit der Fähigkeit, als Unternehmen trotz Cyberangriffen funktionsfähig zu bleiben.

Automatisierte Angriffe statt Einzeltäter

In der mittelständisch geprägten Transport- und Logistikbranche, die von Termintreue und digitaler Infrastruktur lebt, kann eine niedrige Resilienz fatale Folgen haben. „Viele Unternehmen wiegen sich in falscher Sicherheit. Sie glauben, zu klein oder unbedeutend für Cyberkriminelle zu sein”, sagt Steinwedel. Doch das Gegenteil ist der Fall. Cyberangriffe erfolgen heutzutage nicht gezielt, sondern breit gestreut – durch automatisierte Systeme, die permanent nach Schwachstellen suchen. „Das ist nicht mehr der Hacker mit Kapuzenpulli im Keller – das ist organisierte Kriminalität mit einem Geschäftsmodell.”

Schwachstelle Software und Cloud

Typische Einfallstore sind beispielsweise veraltete Software und mangelnde Sicherheitsupdates. Aber auch offene Administratorenrechte oder unzureichend geschulte Mitarbeiter. Besonders kritisch ist demnach auch die Nutzung von Cloud-Lösungen ohne ausreichende Schutzmaßnahmen: „Wer lange genug sucht, findet auch die Zugangsdaten. Und dann landen auch die Backups in den falschen Händen.”

Neue Betrugsmaschen und hohe Schäden

Auch betrügerische Frachtführer gibt es vermehrt, etwa durch manipulierte Kommunikation über Onlinebörsen. Der Experte zitiert Zahlen des Gesamtverbands der Versicherer (GDV): „Rund 26.000 Ladungsdiebstähle im Jahr, 1,3 Milliarden Euro Schaden – das sind keine Bagatellen”, so Steinwedel. Auch sogenannte „Man-in-the-Middle-Angriffe“, bei denen E-Mail-Kommunikation abgefangen und manipuliert wird, um etwa Abholtermine zu ändern, sind eine reale Gefahr: „Der echte Fahrer steht dann vor der leeren Rampe, weil die Ware längst weg ist.”

Massive Umsatzeinbußen und Haftung

Was passiert, wenn ein Logistikunternehmen Opfer eines Cyberangriffs wird? Steinwedel kennt die Praxis: „Vier bis fünf Wochen Umsatzverlust sind keine Seltenheit.” Hinzu kommen Reputationsverluste. Wichtig zu wissen: Nach einem Sicherheitsvorfall ist ein Unternehmen verpflichtet, dies der Datenschutzbehörde innerhalb von 72 Stunden zu melden. Oft kommt es zu Folgeansprüchen – beispielsweise, wenn ein infizierter E-Mail-Anhang weitere Unternehmen lahmlegt. „Wer Schaden erleidet, will jemanden haftbar machen. Und schnell steht die betroffene Person am Pranger”, weiß Steinwedel.

Effektive Schutzmaßnahmen für KMU

Mit Blick auf kleinere Betriebe empfiehlt der Experte ebenso einfache wie effektive Maßnahmen. So sollen Administratorrechte nur bei Bedarf und gezielt eingesetzt werden. Das heißt, Mitarbeitende sollen im Alltag nur mit eingeschränkten Benutzerkonten arbeiten, um Sicherheitsrisiken zu minimieren. Ebenso gilt es, Sicherheitsupdates umgehend einzuspielen und stets aktuelle Software zu verwenden.

Analyse von außen und Förderung nutzen

Wer als Spedition eine eigene IT-Abteilung hat, sollte zumindest eine Grundanalyse durchführen lassen, also eine grundlegende Überprüfung der IT-Sicherheit durch externe Fachleute. Einige Industrie- und Handelskammern oder externe Dienstleister bieten hierfür günstige oder sogar kostenlose Checks an. Auch Outside-in-Analysen können die Sicherheit erhöhen. Darunter sind Analysen aus der Perspektive eines Außenstehenden wie etwa eines Hackers oder Konkurrenten zu verstehen. Es wird geprüft, was man von außen über das Unternehmen herausfinden kann, ohne Zugang zu internen Daten. Hierbei kann es sich beispielsweise um offene IT-Schnittstellen handeln.

Förderung durch KfW und neue Pflichten

Speditionen können IT-Sicherheitsmaßnahmen durch verschiedene Förderprogramme finanzieren – etwa mit dem KfW-ERP-Digitalisierungskredit (Nr. 380). Unterstützt werden beispielsweise die Entwicklung und Implementierung eines IT- und Datensicherheitskonzepts, um Unternehmensdaten erfolgreich zu schützen und Cyber-Attacken abzuwehren. Mit NIS-2, der überarbeiteten EU-Richtlinie zur Netz- und Informationssicherheit, stehen demnächst einige Änderungen an. Mit dem Inkrafttreten ist in Kürze zu rechnen. NIS-2 verpflichtet viele Unternehmen – darunter auch Spediteure und Logistikdienstleister – verstärkt in Cybersicherheit zu investieren. Ein wesentlicher Schlüsselfaktor ist die Weiterbildung der Mitarbeiter. Auch die Haftungsrisiken steigen: Wer Subunternehmer einsetzt, haftet künftig auch für deren Sicherheitsniveau.

Geschäftsführer besonders in der Pflicht

Besonders in die Pflicht nimmt der Gesetzgeber die Leitungsebene der Unternehmen. Im Gespräch mit trans aktuell verweist Steinwedel auf den § 43 GmbH-Gesetz, aus dem sich unter Umständen auch eine Haftung des Geschäftsführers mit dem Privatvermögen ergeben kann. „Insolvenzverwalter haben den klaren Auftrag: Die Masse mehren – auch durch Rückgriff auf die Geschäftsführer. Wer sich hier nicht absichert, riskiert Haus und Hof”, warnt der Experte. Er empfiehlt daher den Abschluss einer D&O-Versicherung. Eine D&O-Versicherung (englisch: Directors and Officers Liability Insurance) ist eine Haftpflichtversicherung für Organe und leitende Angestellte eines Unternehmens. Eine D&O-Versicherung übernimmt bei unberechtigten Vorwürfen die rechtliche Klärung. Viele Fälle enden mit einem Vergleich oder der Einstellung des Verfahrens: „Aber dahin muss man erstmal kommen.”

Cyber-Vorsorge wird zur Daueraufgabe

Unabhängig davon gelte: „Jedes Unternehmen sollte einen IT-Dienstleister an seiner Seite haben, auch kleine Betriebe”, sagt Steinwedel. Gute Dienstleister unterstützen nicht nur technisch, sondern auch bei der Dokumentation, etwa für die NIS-2-Compliance. Versicherungen wie die R+V bieten eine Allgefahren-Deckung an. Diese springt bei einem Schadenfall ein und hilft auch präventiv, etwa durch Zugang zu einem IT-Notfallnetzwerk. Enthalten sind Leistungen wie Datenwiederherstellung, Betriebsunterbrechungsversicherung und rechtlicher Beistand bei Haftungsfragen. Im Fall eines Angriffs hilft sofort ein IT-Experte, rund um die Uhr und an Feiertagen.

Bedrohung nimmt zu

Die Bedrohungslage nimmt in den kommenden Jahren zu, insbesondere durch KI-basierte Angriffsformen und digitale Plattformmodelle, ist sich Steinwedel sicher. Angst sei aber kein guter Ratgeber. Vielmehr gelte es, Risiken beherrschbar zu machen, um die Chancen der Digitalisierung zu nutzen. Es komme darauf an, digital vertrauenswürdig zu sein. Denn: „Digitale Stabilität wird zunehmend zum Wettbewerbsfaktor.“

Die EU-Richtlinie NIS-2

• U-Richtlinie zur Netz- und Informationssicherheit (NIS-2)
• Ziel: Schaffung eines einheitlichen Sicherheitsstandards
• Sie verpflichtet viele Unternehmen – darunter auch Spediteure – zu strengeren Maßnahmen im Bereich Cybersicherheit.
• Sie betrifft mittelgroße und große Speditions- und Logistikunternehmen, besonders Firmen mit über 50 Mitarbeitenden oder mehr als zehn Millionen Euro Umsatz sowie Unternehmen, die grenzüberschreitend tätig oder Teil kritischer Lieferketten sind.
• Die Verantwortung liegt bei der Geschäftsleitung. Bei Verstößen drohen Bußgelder bis zu zehn Millionen Euro oder zwei Prozent des Jahresumsatzes, und Reputationsschäden.

Gefordert werden

• die Einführung eines Informationssicherheits-Managementsystems (ISMS),
• technische und organisatorische Schutzmaßnahmen wie beispielsweise Firewalls und Zugriffskontrollen,
• regelmäßige Risikoanalysen und Sicherheitsprüfungen,
• Schulung der Mitarbeitenden.

KfW-Förderprogramm für IT-Sicherheit in Speditionen – Der ERP-Digitalisierungs- und Innovationskredit (Kredit-Nr. 380)

• Zweck: Finanzierung digitaler Investitionen und Betriebsmittel – unter anderem die Entwicklung und Implementierung von IT- und Datensicherheitskonzepten
• Gefördert werden mittelständische Unternehmen, Freiberufler und junge Unternehmen in Gründung
• Kreditbetrag zwischen 25.000 Euro und
• 25 Millionen Euro
• Auszahlung: 100 Prozent des Kreditbetrags
• Rückzahlung: Ganz oder teilweise außerplanmäßige Tilgung des Kredits möglich – gegen Zahlung einer einer Vorfälligkeitsentschädigung
• der individuelle Zinssatz wird anhand der wirtschaftlichen Verhältnisse und der Qualität der Sicherheiten ermittelt.
• Die Mindestlaufzeit beträgt generell 2 Jahre.