Die Sicht eines Experten für Cybersicherheitspolitik auf den Aufbau von Vertrauen und Resilienz in der Cybersicherheit

Cybersicherheit ist kein Nischenthema mehr – sie ist ein Test für globale Zusammenarbeit, eine Notwendigkeit für die Führungsetage und eine Frage des Überlebens für kleine Unternehmen, die zunehmend ins Visier von Cyberangriffen geraten.

Kiersten Todt hat diesen Wandel von vornherein miterlebt; ihr Lebenslauf umfasst Stationen im Weißen Haus, bei der Cybersecurity and Infrastructure Security Agency sowie Führungspositionen im privaten und gemeinnützigen Sektor, darunter das auf kleine Unternehmen spezialisierte Cyber Readiness Institute.

Diese Woche tritt sie ihre Stelle als Senior Vice President für Cybersecurity Partnership & Engagement bei Mastercard an. Damit vertieft sie die Zusammenarbeit des Unternehmens mit Regierungen und globalen Partnern in einer zunehmend komplexen Bedrohungslandschaft und sorgt dafür, dass sichere Innovationen zum Motor und nicht zum Hindernis des Fortschritts werden. Sie vereint strategische Vision und operative Realität, während das Unternehmen sein Portfolio an Cyber-, Betrugs-, Identitäts- und KI-gestützten Dienstleistungen erweitert. 

„Bei so vielem, was wir im Bereich der Cybersicherheit tun, geht es darum, den Moment zu managen“, sagt sie. „Aber Mastercard ist in einer einzigartigen Position, um zukunftsorientiert zu sein.“ Mastercard verfügt über die Ressourcen, die Fähigkeiten, die Kapazitäten und die globalen Kontaktpunkte, um in diesem Bereich eine führende Rolle einzunehmen und die Frage zu stellen: „Was ist die Vision?“ Wie können wir eine sicherere und widerstandsfähigere Infrastruktur, ein sichereres und widerstandsfähigeres Ökosystem aufbauen?“

Die Mastercard-Redaktion traf sich letzte Woche mit Todt, um über ihren Ansatz zum Aufbau von Rahmenbedingungen zu sprechen, die die Branche stärken, den Informationsaustausch fördern und Sicherheit in den Innovationsprozess integrieren.

Das Interview wurde bearbeitet und gekürzt.  

Todt: Das war schon immer ein Streitpunkt. Wie bei den meisten politischen Fragen ist es keine Wissenschaft, sondern eine Kunst. Die Regierung verfügt über eine bemerkenswerte Fähigkeit zur Einberufung von Gremien, und ihre Rolle besteht letztendlich darin, einen Rahmen zu schaffen, der die Industrie leitet und auf Risikomanagement basiert. Die Regierung kann die Industrie stärken, indem sie Richtlinien für das Risikomanagement bereitstellt und der Industrie hilft, Prioritäten zu setzen. Compliance funktioniert nicht, weil sie sich letztendlich in eine Checkliste verwandelt, die ihren Zweck nicht erfüllt.

Eines der Schlüsselelemente des Risikomanagements ist, dass es niemals isoliert erfolgen sollte. Die Regierung sollte dies nicht isoliert von der Industrie tun und umgekehrt. Sie müssen zusammenarbeiten, damit das Endergebnis der bestmögliche Ansatz zur Resilienz ist. Die Zusammenarbeit zwischen Industrie und Regierung ist entscheidend für ein effektives und wirkungsvolles Cyberrisikomanagement. 

Todt: Da sich die Rahmenbedingungen verändert haben, geschieht vieles davon tatsächlich organisch durch Handeln. Als ich zuletzt in der Bundesregierung tätig war, hatten wir Initiativen ins Leben gerufen, um gemeinsam mit der Industrie proaktiv gegen Cyber-Schwachstellen vorzugehen. Doch fast unmittelbar danach erfolgte die Zusammenarbeit als Reaktion auf Angriffe, und Regierung und Industrie hatten eigentlich keine andere Wahl, als zusammenzuarbeiten. Es gab bereits einen entsprechenden Rahmen, aber diese Ereignisse und Verstöße haben diese Art des Engagements ausgelöst. Beide Seiten verfügen über wichtige Informationen, die sie austauschen können, und es wächst die Erkenntnis, dass man durch ein gemeinsames Vorgehen besser verstehen kann, wo die Bedrohung liegt.

Wir sprechen oft über Indikatoren für Kompromisse. Als ich jedoch in der Regierung tätig war, suchten wir nach Indikatoren für Interesse. Was sehen wir, das uns darauf hindeutet, dass etwas passieren könnte? Die Regierung kann diese Frage ohne die Industrie nicht beantworten. Die Industrie kann diese Frage ohne die Regierung nicht beantworten. Es ist, als würde man ein Puzzle zusammensetzen, dem nicht alle Teile fehlen, und man erhält ein besseres Bild, indem man zusammenarbeitet. Die Industrie kann ihre Beobachtungen in ihrem Netzwerk teilen, und die Regierung kann sektorübergreifend zusammenarbeiten, um Muster, Kampagnen und Taktiken zu identifizieren. Gemeinsam entsteht ein besseres, umfassenderes Bedrohungsbild. Mit seinen technologischen Fähigkeiten, Datenbeständen und Bedrohungsanalysen ist Mastercard ein starker Partner für Regierungen weltweit.  

Todt: Künstliche Intelligenz wird der Cybersicherheit einen enormen Vorteil verschaffen. Das sehen wir bereits durch Automatisierung, durch Schwachstellenmanagement, durch Behebung von Sicherheitslücken, durch die Fähigkeit, sicheren Code zu entwerfen – all diese Dinge, mit denen wir über die Jahre hinweg zu kämpfen hatten. Die Gegner finden jedoch schnell heraus, wie sie es für ihre eigenen Zwecke nutzen können. Das sehen wir besonders deutlich bei KI-gestützter Ransomware, wo sie in der Lage ist, Schwachstellen in 15 Minuten statt in Wochen auszunutzen und Scans nach Schwachstellen sowie Verhandlungen zu automatisieren, die zuvor manuell durchgeführt werden mussten.

Die gute Nachricht ist jedoch, dass wir uns im Gegensatz zu anderen technologischen Revolutionen all dessen von Anfang an bewusst sind. Künstliche Intelligenz und maschinelles Lernen gibt es zwar schon eine Weile, aber erst in den letzten Jahren haben sie sich allgemein durchgesetzt. Als globale Gesellschaft sind wir uns bewusst, wie wichtig der richtige Umgang mit diesen Technologien ist. Uns ist bewusst, dass es für diese technologische Innovation einen Rahmen geben muss, der der Technologie tatsächlich zu mehr Leistung verhilft. Sichere Innovation sollte kein Widerspruch in sich sein. Es fördert Innovationen, wenn wir die Sicherheit von Anfang an miteinbauen. Da sowohl Industrie als auch Regierungen KI einsetzen, wissen wir, dass es einer breiten globalen Anstrengung bedarf, und ich denke, man sieht, wie Unternehmen und Länder zusammenkommen, um zu verstehen, was getan werden muss und wie man einen Handlungsrahmen schafft. 

Todt: Am Cyber Readiness Institute haben wir uns auf das menschliche Verhalten konzentriert. Wie können wir kleinen Unternehmen helfen, indem wir sie über grundlegende Cybersicherheitsmaßnahmen aufklären, die notwendig sind, damit kleine Unternehmen nicht in Konkurs gehen? Wir haben die Abhängigkeit globaler Lieferketten von kleinen Unternehmen bei einem unserer Mitgliedsunternehmen auf der CRI während der COVID-Pandemie erlebt. Sie besaßen ein kleines Unternehmen, das Opfer eines Ransomware-Angriffs wurde, in Konkurs ging und die globale Lieferkette des Unternehmens unterbrach. Wir müssen uns verbessern. Es ist die steigende Flut, die alle Schiffe hebt. Wir müssen in die Cybersicherheit kleiner Unternehmen investieren.

Wenn es darum geht, Cybersicherheit und Cyberhygienepraktiken in die Infrastruktur kleiner Unternehmen zu integrieren, ist Automatisierung sicherlich hilfreich. Zudem besteht für die Regierung die Möglichkeit, Unternehmen, die Sicherheitsprodukte anbieten, durch Anreize dazu zu bewegen, diese Sicherheitsfunktionen standardmäßig in die Technologie zu integrieren. Die jüngsten technologischen Fortschritte ermöglichen es uns, die Sicherheit vom Endbenutzer, vom kleinen Unternehmen, wegzuverlagern und sie in die technische Infrastruktur einzubauen.  Die entscheidende Bedeutung von Investitionen in die Cybersicherheit kleiner Unternehmen und deren Priorisierung darf nicht unterschätzt werden. 

Todt: Lange Zeit wurde Cybersicherheit als Wettbewerbsvorteil betrachtet, der eine Wahlmöglichkeit darstellte, etwas, in das jede Organisation investieren konnte – oder auch nicht – und etwas, das isoliert betrachtet wurde. Es gab eine Zeit vor nicht allzu langer Zeit, da sagten Unternehmen: „Ich werde nicht in Cybersicherheit investieren, sondern nur in die Reaktionsfähigkeit, falls mir etwas zustößt.“

Was wir aber beobachten und schätzen, ist dieser Wandel hin zu Partnerschaft, Zusammenarbeit, dieser Wandel hin zu gemeinsamer Verteidigung, denn umfassende Cybersicherheit und Resilienz können nicht von einer einzelnen Organisation erreicht werden. Regierungen weltweit, die Privatwirtschaft und Technologieinnovatoren erkennen an, dass die Sicherheit des digitalen Ökosystems eine gemeinsame Verantwortung ist. Ich sehe es außerdem positiv, dass Cybersicherheit in Geschäftsstrategie und Innovation integriert wird. Es ist nicht nur die IT. Cyberresilienz ist mittlerweile ein Thema für die Führungsetagen. Es ist direkt mit Vertrauen, Marke und Wachstum verbunden. Dieses Bewusstsein verändert die Art und Weise, wie Organisationen in sichere Technologien, Bedrohungsanalysen und branchenübergreifende Zusammenarbeit investieren und diese priorisieren. Integrierte Sicherheitslösungen sind für nachhaltiges Wachstum in der Zukunft unerlässlich.

Mastercard befindet sich in einer einzigartigen Position, um branchenübergreifend, gegenüber Regierungen und Industrien eine Vorreiterrolle einzunehmen, die Messlatte höher zu legen und ein geschätzter strategischer Partner zu sein. Mastercard erlebt jeden Tag, wie wirkungsvoll Zusammenarbeit sein kann, wie Partnerschaften zwischen Regierungen, Branchen, Sektoren und Regulierungsbehörden die Resilienz neu definieren und Cybersicherheit in den Innovationsprozess selbst integrieren. Da Mastercard an der Schnittstelle von Technologie, Vertrauen und Handel agiert, kann das Unternehmen Bedrohungen vorhersehen, bevor sie entstehen, und so ein sicheres und widerstandsfähiges Wachstum der digitalen Wirtschaft gewährleisten.