CII: Cyberübungen werden IT-Bedrohungslage nicht gerecht

Aktuelle Trainings in Unternehmen zur Abwehr von Cyberangriffen bereiten oftmals nicht ausreichend auf reale Krisenszenarien vor. Das ist das Ergebnis eines White Papers des cyberintelligence.institute (CII), das im Nachgang zur GITEX Europe heute mit dem CII-Mitgliedsunternehmen MACONIA vorgestellt wurde. Ursächlich sind vielfältige Bedrohungslagen, die besondere Reaktionsfähigkeiten und Zusammenarbeit erfordern. Im Einsatz von Augmented Reality (AR) sieht das CII neue Ansätze, den Defiziten entgegenzuwirken.

Die Cyberbedrohungslage der Wirtschaft ist durch eine wachsende Vielfalt von Angriffen geprägt, die oftmals über unsensibilisierte Mitarbeitende ablaufen und erhebliche Schäden verursachen können. Auch regulatorische Vorgaben wie die Europäische NIS2-Richtlinie erfordern zusätzliche Schulungen gegen Cyberangriffe.

„Unternehmen stehen heute einer Vielfalt an Schulungsangeboten gegenüber, deren Auswahl nicht immer leichtfällt“ so Studienautor Prof. Dr. Dennis-Kenji Kipker.

Ursächlich seien fehlende Spezifikationen der gesetzlichen Vorgaben sowie mangelnde Orientierung bei Qualitäts- und Erfolgskriterien.

Cyberschulungen: Passivität statt Erfolgserlebnisse

Tatsächlich sind ein Großteil der heute verfügbaren Schulungen zum Schutz vor Cyberbedrohungen laut CII noch zu oft auf passive Wissensaufnahme und abstrakte Sicherheitsvorfälle fokussiert. Zwar gebe es eine Vielzahl an unterschiedlichen Formaten – von Seminaren, Workshops über Fachkonferenzen bis zu Bootcamps. Auch digitale Medien spielten inzwischen eine relevante Rolle, von Massive Open Online Kursen (MOOCs) bis zu Blended-Learning-Konzepten, in denen Präsenz- und Onlinephasen ineinandergreifen. Während diese auf weniger komplexe Vorfällen oftmals noch gut vorbereiteten, seien sie für die Abwehr umfassenderer Cyberkrisenfalls nur eingeschränkt nützlich.  

Deutliche Verbesserungen in Cyberschulungen und -trainings werden laut durch CII durch die Einbindung von Spielmechanismen bewirkt. Durch teamorientierte Bewältigung vorgegebener Szenarien, einer proaktiven Haltung gegenüber der eigenen Rolle sowie Erfolgserlebnissen würden praxisnahe Szenarien lebensnah verinnerlicht und in positiver Erinnerung verbleiben. Jedoch vermögen auch solche „Gamification“ auf reale Bedingungen eines echten Krisenfalls nur teilweise vorzubereiten, da weder psychologische Druck- und Ausnahmesituationen noch Entscheidungen im dynamisch verlaufenden Krisenfall wirklich simuliert würden.

Cyberschutz durch immersive Krisenszenarien (VR und AR)

Neue Möglichkeiten sieht das CII in Cyberübungen, die über vollständig simulierte Betriebsumgebungen (Virtual Reality) oder digital erweiterte Umgebungen (Augmented Reality) verlaufen. Mit dieser technologischen Erneuerung werden Führungskräfte und Mitarbeitende in betriebliche Realitäten versetzt, die räumliche Interaktion ermöglichten und damit realen Krisenszenarien nahe kommen. Anstelle abstrakt vorgegebener Ereignisse können diese konkret und in Echtzeit eingespielt, ihre Auswirkungen auf Menschen, Ressourcen, Infrastruktur und Prozesse nachvollzogen werden. „Dynamische Verschärfungen und Erleichterungen von Cybervorfällen können mit AR und VR realitätsnah gesteuert werden“ so Holger Könnecke, CEO des CII-Mitgliedsunternehmens MACONIA.

„Angesichts der wachsenden Anforderungen an resiliente Betriebs- und Produktionsprozesse durch zunehmende Angriffe im Cyberraum wird der Einsatz von VR- und AR-gestützten Cybertrainings an Relevanz gewinnen“ so Sachar Paulus, Co-Studienautor und Professor an der Hochschule Mannheim.

Während diese Technologie in der Ausbildung bereits vielfältig Fuß gefasst hat, beispielsweise in der Medizin, dem Brandschutz sowie auch der Personenbeförderung, stünde ihre Verwendung zur Cybertrainingszwecken noch am Anfang. 

Das White Paper stellt dazu einen Anwendungsfall zu „Cyber-Krisenstabsübungen“ dar, der beispielhaft für weitere Schulungsszenarien steht, in denen Cyberschulungen mit AR und VR zum Einsatz kommen können. KMU und Behörden können diese künftig im Rahmen Regionalen Kompetenzhub Cybersicherheit (RKC) des CII kennen lernen