„Wirksame Führungskräfte“ (Fredmund Malik) erkennen das großartige Vermögen der ihnen anvertrauten Menschen und delegieren. Delegation von Verantwortung als Führungsprinzip beinhaltet natürlich auch die Sicherheit der Prozesse und damit deren Gelingen. Sicherheit ist in diesem Sinne Prozesssicherheit. Nur dann, wenn dieser Schritt gewagt wird, die Steuerung der Prozesse als Teil der unternehmerischen Verantwortung auf allen Stufen funktioniert, sind effiziente und effektiv ablaufende Prozesse möglich. „Prozesssicherheit“– das ist der Kern der Aufgabe „Sicherheit“.
Die Wertekultur ist der Schmierstoff, Sicherheit schließt die Prozessketten und macht sie durch Kommunikation und Steuerung sicher, belastbar und effektiv.
Wenn Sie mir bisher gefolgt sind, dann darf ich Sie nun mit einem weiteren Gedanken vertraut machen. Vergleichen wir das Unternehmen mit einer mechanischen Uhr. Wir bewundern die Bewegung der vielen Rädchen und erfreuen uns am Takt des Uhrwerks. Jedes Rad hat seine Zweckbestimmung und wir verstehen sogleich, dass die Störung eines „Rädchens“ die Funktion der gesamten Uhr infrage stellt. Übertragen wir nun dieses Bild auf ein Unternehmen. Viele, sehr viele „Rädchen“ wirken auch hier zusammen, damit „der Betrieb funktioniert“. Die jährliche Betriebsergebnisrechnung legt Zeugnis über das Gelingen ab. Regelverletzungen, Störungen und Stillstände schädigen das Ergebnis unmittelbar. Davon schweigt des „Sängers Höflichkeit“ in den Geschäftsberichten, auch weil dieser Umstand selten erkannt und bewertet wird. Es werden meist nur die Erfolge verzeichnet und die Beeinträchtigungen umschrieben.
“Datenklau 2015” - Die Ergebnisse im Überblick
Für die Studie “Datenklau 2015” hat die Prüfungs- und Beratungsgesellschaft Ernst & Young Geschäftsführer sowie Führungskräfte aus IT-Sicherheit und Datenschutz von 450 deutschen Unternehmen befragt. Die Befragung wurde im Mai / Juni 2015 vom Marktforschungsinstitut Valid Research durchgeführt.
Quelle: Ernst & Young - Datenklau 2015
Jedes fünfte Unternehmen mit mehr als einer Milliarde Euro Umsatz hat in den vergangenen drei Jahren einen Angriff auf die eigenen Daten bemerkt, zeigt die EY-Studie. 18 Prozent der Betroffenen registrierten sogar mehrere Attacken. Mittlere (ab 50 Millionen Euro Umsatz) und kleinen Unternehmen (bis zu 50 Millionen Euro Umsatz) erlebten seltener Angriffe: 16 beziehungsweise zehn Prozent haben Hinweise auf Spionage oder Datenklau entdeckt.
Nicht nur die Größe entscheidet, wer ins Visier der Hacker gerät. Unternehmen der Energie- (17 Prozent ) und der Finanzbranche (16 Prozent) werden am häufigsten Opfer von Spionage und Datenklau. In der Industrie wurden 15 Prozent der Unternehmen bereits zum Opfer.
In den meisten Fällen (48 Prozent) ließ sich der Täter nicht zuordnen. In 18 Prozent der Fälle konnten laut EY Hackergruppen als Täter identifiziert werden. In 15 Prozent war es ein konkurrierendes ausländisches Unternehmen.
Die größte Gefahr geht aus Sicht der Manager von China aus: “46 Prozent nennen das Land als Region mit dem höchsten Risikopotenzial, dahinter folgen Russland (33 Prozent) und die USA (31 Prozent)”, wertet Ernst & Young aus.
Hinter den Angriffen vermuten die Manager in erster Linie den Versuch an Wettbewerbsvorteile oder finanzielle Vorteile (je 29 Prozent) zu gelangen. Reputationsschädigung (8 Prozent), Racheaktion (6 Prozent) und die Störung des Geschäftsbetriebs (3 Prozent) werden deutlich seltener hinter den Attacken vermutet.
In drei von vier Fällen (74 Prozent) handelte es sich bei den Attacken um Hackerangriffe auf die EDV-Systeme, in 21 Prozent wurden IT-Systeme vorsätzlich lahmgelegt. Deutlich seltener wurden Kunden- oder Arbeitnehmerdaten abgegriffen (elf Prozent), Mitarbeiter abgeworben oder Datenklau durch eigene Mitarbeiter begangen (jeweils zehn Prozent).
Das steht auch im Zusammenhang mit dem Verzicht auf eine strategische Sicherheitsplanung (Defense Plan), in welchem die Risiken unternehmensweit erfasst, beschrieben und bewertet werden. Keine Sicherheitsplanung – keine Kenntnis der Risiken. Folglich können diese auch keinen Einfluss in den Geschäftsbericht finden. Der für das Jahr 2015 angefallene Rückstellungsbedarf im VW-Konzern, von außen angestoßen (!), beschreibt die Folgen. Ich behaupte nun, dass auch die glänzenden Betriebsergebnisse vieler deutscher Unternehmen, besonders im Mittelstand, unter dem zuvor beschriebenen Makel leiden.
Das führt uns auf neue Erkenntnisse und Einsichten.
Sichere Prozesse für mehr Wertschöpfung – den Wandel wagen
Der Erfolg blendet! Getrieben von den Absatz- und Umsatzsteigerungen wachsen Anspruch und Selbstüberschätzung so mancher Führungskräfte, zugleich aber auch die ständig steigenden Bonuszahlungen, deren Höhe sich meist am (kurzfristigen)
Bilanzergebnis ableitet. Ob darin die der Periode tatsächlich zuzurechnenden Risiken und Aufwendungen, zum Beispiel für unterlassene Sicherheitsaufwendungen, enthalten sind, bleibt häufig ungeprüft. Zum einen fehlt den im Bilanzrecht sicherlich hochqualifizierten Wirtschaftsprüfern der Einblick in die tatsächlichen Risiken des Unternehmens. Zum anderen sind die Instrumente einer strategischen Sicherheitsplanung noch zu selten im Einsatz. Wenn eine ganzheitliche Risikogefährdungsanalyse nicht erfolgt, die Risiken folglich unbekannt sind, werden auch keine Maßnahmen zu deren Abwehr eingestellt beziehungsweise durchgeführt. Die erforderlichen Aufwandsposten fehlen in der Betriebsergebnisrechnung.
Die Risiken werden im Jahresabschluss folglich häufig unzureichend berücksichtigt. In diesen Zustand hinein werden (immer noch) Jahresabschlüsse erstellt und testiert. Das „Vorsichtsprinzip“ der Bilanzierung wird dadurch verletzt.
Verbrechen 4.0 - das ist möglich
Rund 75 Prozent aller Computer können heute innerhalb von Minuten gehackt werden.
Jeden Tag werden 600.000 Nutzerkonten attackiert, wie das Unternehmen 2011 selbst einräumte. Eine Zahl, die seitdem eher gestiegen ist.
Fast 90 Prozent aller Kleinunternehmen, deren Kundenkartei gestohlen wurde, müssen innerhalb von drei Jahren ihr Geschäft aufgeben.
Mittels manipuliertem GPS-Signal locken Gangster Lastzüge mit Waren oder Luxusyachten in Hinterhalte.
An dieser Stelle darf ich mit aller Eindringlichkeit auf dieses Prinzip hinweisen. Vergleiche Wikipedia: „Unter Vorsichtsprinzip wird im deutschen Rechnungswesen der Grundsatz verstanden, wonach bei der Bilanzierung alle Risiken und Verluste angemessen zu berücksichtigen sind. Diese Bewertungsregel ist anzuwenden, wenn aufgrund unvollständiger Informationen oder der Ungewissheit künftiger Ereignisse automatisch Beurteilungsspielräume entstehen. Damit dient das Vorsichtsprinzip der Kapitalerhaltung und dem Gläubigerschutz.“ Die Bilanz für das Geschäftsjahr 2015 des VW-Konzerns dokumentiert diesen Umstand anschaulich. Die Entscheidung, Abgaswerte durch eine „Schummelsoftware“ zu manipulieren, wäre im Zusammenhang mit einer anspruchsvollen Risikogefährdungsanalyse sicherlich erkannt und abgewehrt worden (eine entsprechende Kommunikationskultur vorausgesetzt). Unter strategischen Überlegungen ist die Entscheidung „Schummeln“ eine Katastrophe für das Unternehmen und die Kapitaleigner.
In diesem Zusammenhang ist auch der tatsächliche Anspruch von “Compliance“ zu hinterfragen. Mitunter mit E-Learning-Programmen eingeführt, verkommt es im wirtschaftlichen Alltag zur Farce. Compliance kann eine glaubhafte Führungs- und Wertekultur nicht ersetzen. Ersetzten wir den Begriff „Compliance“ durch das einfache Wort „Regeltreue“. Darin kommt eine Haltung zum Ausdruck, alle unternehmerischen Prozesse gewissenhaft und rechtskonform durchzuführen. Das bedarf der Steuerung und kann keinesfalls durch ein „System“ substituiert werden. Da nützt auch das beste Testat einer „angesehenen Wirtschaftsprüfungsgesellschaft“ nichts. Papier ist geduldig.
Nun mögen Sie an dieser Stelle mit Bezug auf „VW“ darauf hinweisen, dass sie selbst nicht betroffen und die Dimensionen nicht zu vergleichbar sind. Dem stimme ich zu, wenn in dem Ihnen anvertrauten Unternehmen die Prozesse nachweisbar vorzüglich und reibungslos ablaufen. Dann verfügen Sie mindestens über eine wirksame strategische Sicherheitsplanung (Defense Plan). Herzlichen Glückwunsch! Sie besstätigen damit meine Forderung.
