Fallstudien zu fünf Studienfächern
Fünf große Fallstudien
Reale Ereignisse, die die aktuelle Regulierung geprägt haben. Jedes einzelne birgt eine direkte Lehre für die Unternehmensführung auf Vorstandsebene.
1.3 Was geschah – und was bedeutet das für Ihren Vorstand?
Fall 1 – Jaguar Land Rover: Produktionsstopp (2022)
Ransomware verschlüsselte OT-Systeme (Operational Technology), die mit Fertigungslinien verbunden waren, und legte die Produktion in mehreren Werken für mehrere Wochen lahm. Finanzieller Schaden: Hunderte Millionen. Wichtigste Erkenntnis: Die vermeintliche Trennung zwischen IT- und OT-Systemen ist in der modernen vernetzten Fertigung weitgehend überholt. Ein Cyberangriff führte zum Stillstand physischer Produktionslinien.
Verfügt Ihr Unternehmen über eine dokumentierte und erprobte OT/IT-Trennungsrichtlinie? Wurde der Vorstand darüber informiert, welche physischen Betriebsabläufe durch einen Cyberangriff beeinträchtigt werden könnten?
Fall 2 – British Airways: Datendiebstahl, 20 Millionen Pfund DSGVO-Strafe (2018)
Schadcode in JavaScript hat 62 Tage lang unbemerkt Zahlungs- und personenbezogene Daten von rund 500.000 Kunden abgegriffen. Der Angriff erfolgte über einen kompromittierten Drittanbieter – doch BA musste die volle Strafe tragen. Wichtigste Lehre: Haftung gegenüber Dritten ist auch Ihre Haftung.
Fall 3 – MOVEit-Angriff auf die globale Lieferkette (Cl0p, 2023)
Eine Zero-Day-Sicherheitslücke in der Dateitransfersoftware MOVEit wurde entdeckt. Über 2.500 Organisationen sind betroffen, 83 Millionen Datensätze wurden offengelegt. BBC, British Airways, Shell, Boots und US-Bundesbehörden wurden gleichzeitig kompromittiert. In Dutzenden von Ländern und Regionen wurden dadurch 72-Stunden-Meldepflichten ausgelöst.
Fall 4 – MGM Resorts: Social Engineering, Verlust von über 100 Millionen US-Dollar (2023)
Angreifer riefen den IT-Helpdesk an, gaben sich als über LinkedIn identifizierter Mitarbeiter aus und forderten eine Zurücksetzung der Zwei-Faktor-Authentifizierung. Die gesamte IT-Infrastruktur von MGM – Spielautomaten, Hotelzimmerkarten, Kassensysteme in Restaurants, Reservierungssysteme – war über zehn Tage offline. Kein ausgeklügelter technischer Angriff nötig. Ein Anruf reichte aus, um die gesamte Sicherheitsinfrastruktur zu überwinden.
Fallbeispiel 5 – SolarWinds: Lieferkette zwischen Nationalstaat und Staat (2020)
Der russische Staatsakteur APT29 kompromittierte die Software-Build-Pipeline von SolarWinds Orion und schleuste Schadsoftware in 18.000 Organisationen ein, darunter das US-Finanzministerium, das US-Heimatschutzministerium und Microsoft. Der Angriff blieb neun Monate lang unentdeckt. Es handelte sich um den wohl raffiniertesten bekannten Lieferkettenangriff der Geschichte – mit dem Ziel, den Softwareentwicklungsprozess selbst ins Visier zu nehmen.