Physische und digitale Resilienz zwischen Regulierung, Umsetzung und Praxis: ORF-CISO Jörg Scheiblhofer im Interview

Business Circle: Sie haben in unserem letzten Interview gesagt, dass Informationssicherheit eine Führungsaufgabe ist und nicht als technisches Randthema begriffen werden darf. Müssen Führungskräfte heute tatsächlich technische Sicherheitsrisiken verstehen oder reicht es, wenn sie sicherstellen, dass die richtigen Mitarbeiter vorhanden sind?

Jörg Scheiblhofer: Nein, eine Führungskraft muss nicht verstehen, wie ein Exploit technisch funktioniert oder wie eine Firewall konfiguriert wird. Sie muss aber sehr wohl verstehen, welche Auswirkungen ein Cyberrisiko auf das Unternehmen haben kann. Das ist für mich der entscheidende Unterschied. Führungskräfte müssen nicht die Technik im Detail beherrschen, sondern in der Lage sein, Risiken einzuordnen, Prioritäten zu setzen und Entscheidungen über Ressourcen, Verantwortlichkeiten und Restrisiken zu treffen.
Informationssicherheit lässt sich daher auch nicht vollständig an den CISO oder die IT delegieren. Man kann Aufgaben delegieren, aber nicht die Verantwortung für die daraus resultierenden Geschäftsrisiken.
Das bedeutet auch, die richtigen Fragen stellen zu können: Was sind unsere kritischsten Services? Welche Abhängigkeiten haben wir? Was passiert, wenn ein System für einen Tag oder eine Woche ausfällt? Welche Risiken akzeptieren wir bewusst – und wer trifft diese Entscheidung?

BC: Regulierung verlangt zunehmend dokumentierte Prozesse, Risikoanalysen, Verantwortlichkeiten und Nachweise. Wo endet sinnvolle Governance und wo beginnt das „L’art pour l’art“ im Compliance-Theater?

Scheiblhofer: Für mich ist die Grenze relativ einfach: Governance muss einen Beitrag zur Risikosteuerung leisten.
Eine Risikoanalyse, die nur deshalb erstellt wird, weil sie für ein Audit oder den CISO benötigt wird und danach in einer Schublade verschwindet, schafft wenig Sicherheit. Dasselbe gilt für Policies, die niemand kennt, oder Prozesse, die auf dem Papier hervorragend aussehen, im Ernstfall aber niemand anwenden kann.
Regulierung ist dabei grundsätzlich nichts Negatives. NIS-2 zwingt Organisationen beispielsweise dazu, sich systematisch mit Risiken, Verantwortlichkeiten und Sicherheitsmaßnahmen auseinanderzusetzen. Das halte ich für absolut sinnvoll!
Problematisch wird es, wenn Organisationen beginnen, ihre Informationssicherheit auf das Bestehen eines Audits zu optimieren anstatt auf das Beherrschen ihrer Risiken.
Ich stelle daher gerne eine sehr einfache Frage: „Was ist nach diesem Dokument oder diesem Prozess tatsächlich sicherer als vorher?“
Am Ende brauchen wir nicht möglichst viel Dokumentation, sondern möglichst viel nachweisbare Wirksamkeit!

BC: Wenn ein Unternehmen NIS2- und RKEG-Anforderungen formal erfüllt, heißt das noch lange nicht, dass es im Ernstfall handlungsfähig ist. Wie lässt sich überhaupt überprüfen, ob Resilienz tatsächlich vorhanden ist? Reichen Audits, Risikoberichte und Notfallpläne und wie kann man Resilienz überhaupt messbar machen, ohne dass ein Ernstfall herrscht?

Scheiblhofer: Ein Audit kann feststellen, ob ein Prozess existiert oder generell Maßnahmen wirksam sind. Es kann aber nur eingeschränkt beantworten, ob dies auch unter Stress tatsächlich funktioniert.
Deshalb muss man Resilienz aus meiner Sicht testen und üben.
Das beginnt bei relativ einfachen Dingen: Funktionieren unsere Backups tatsächlich? Wie lange dauert eine Wiederherstellung? Sind die Kontaktlisten aktuell? Können wir kritische Systeme auch unter eingeschränkten Bedingungen betreiben?
Dann kommen realistischere Übungen hinzu: Tabletop Exercises, technische Recovery-Tests, Krisenstabsübungen, Red- und Purple-Team-Übungen oder simulierte Cyberangriffe.
Dabei entstehen auch messbare Größen. Beispielsweise: Wie schnell erkennen wir überhaupt einen Vorfall? Wie schnell können wir Entscheidungen treffen? Wie lange benötigen wir zur Wiederherstellung eines kritischen Services? Funktionieren Eskalations- und Kommunikationswege (auch wenn die primäre Kommunikationslösung nicht zur Verfügung steht)? Sind die notwendigen Entscheidungsträger tatsächlich erreichbar?
Ein weiterer wichtiger Punkt sind Abhängigkeiten. Ein Unternehmen kann seine eigenen Systeme hervorragend vorbereitet haben und trotzdem nicht resilient sein, wenn ein kritischer Dienstleister ausfällt.
Ich würde deshalb zwischen Compliance und Resilienz sehr klar unterscheiden: Compliance kann man dokumentieren. Resilienz muss man demonstrieren und leben können!
Oder etwas zugespitzt formuliert: „Ein Notfallplan ist zunächst nur eine Hypothese darüber, wie wir uns im Ernstfall verhalten werden. Erst eine Übung zeigt, ob diese Hypothese stimmt.“

Drei Kern-Komponenten der Security: Technologie, Organisation und Mensch

BC: Gerade, wenn alle über Künstliche Intelligenz reden, darf die menschliche nicht vernachlässigt werden. Wie geht man mit dem menschlichen Risikofaktor um? Sensible Daten beim Prompten eingeben, E-Mails vertraulichen Inhalts aus Versehen fehlleiten, unsichere Passwörter verwenden, auf Phishing-Mails klicken …

Scheiblhofer: Ich bin mit dem Begriff „menschlicher Risikofaktor“ mittlerweile etwas vorsichtig. Natürlich passieren Menschen Fehler. Aber wenn ein einziger falscher Klick ausreicht, um ein Unternehmen massiv zu kompromittieren, dann haben wir häufig auch ein technisches oder organisatorisches Problem.
Unser Ziel muss daher sein, Systeme so zu gestalten, dass ein menschlicher Fehler nicht automatisch zu einem Sicherheitsvorfall im Sinne des Worst Case führt.
Ein gutes Beispiel ist Phishing. Awareness ist wichtig – aber wir können nicht erwarten, dass Tausende Mitarbeiter jede professionell gestaltete Phishing-Mail zuverlässig erkennen. Deshalb brauchen wir zusätzlich technische Maßnahmen wie phishing-resistente Authentifizierung, geeignete Mail-Security, Berechtigungskonzepte und wirksame „Detection und Response Mechanismen“.
Bei KI gilt im Grunde dasselbe. Es reicht nicht, den Mitarbeitern zu sagen: „Gebt keine vertraulichen Informationen ein.“ Wir müssen sichere Werkzeuge bereitstellen, klare Regeln definieren und transparent erklären, welche Daten in welchen Systemen verarbeitet werden dürfen.
Awareness bleibt trotzdem entscheidend. Sie funktioniert aber meiner Erfahrung nach dann am besten, wenn Menschen verstehen, warum eine Regel existiert und nicht nur hören, was sie nicht tun dürfen.
Für mich besteht gute Informationssicherheit daher immer aus drei Kern-Komponenten: Technologie, Organisation und Mensch. Keine davon funktioniert dauerhaft isoliert.

BC: Gerade beim ORF kann ich mir vorstellen, dass sehr unterschiedliche Arbeitswelten aufeinandertreffen: IT, Redaktion, Produktion, Technik, Verwaltung und Außendienst. Wie schafft man ein einheitliches Sicherheitsniveau, ohne allen dieselben Regeln überzustülpen? Oder muss man akzeptieren, dass ein Redaktions- oder Produktionsbetrieb andere Risiken und Geschwindigkeiten hat als eine klassische Verwaltung?

Scheiblhofer: Das ist tatsächlich eine unserer großen Herausforderungen und gleichzeitig macht genau diese Heterogenität Informationssicherheit im Medienumfeld besonders interessant.
Ein Produktionsbetrieb hat vollkommen andere Anforderungen als beispielsweise eine klassische Büroarbeitsumgebung. In der Live-Produktion kann eine Verzögerung von wenigen Sekunden bereits kritisch sein. Gleichzeitig arbeiten Redaktionen mit externen Quellen, großen Datenmengen und teilweise unter erheblichem Zeitdruck.
Deshalb kann Informationssicherheit nicht bedeuten, überall dieselben technischen Maßnahmen identisch auszurollen.
Was jedoch einheitlich sein muss, sind Sicherheitsziele, Risikoverständnis und Verantwortlichkeiten. Wie diese Ziele erreicht werden, kann sich je nach Umfeld unterscheiden.
Ich würde das als risikobasierten Ansatz beschreiben: Wir definieren das erforderliche Schutzniveau und die grundlegenden Sicherheitsprinzipien zentral, die konkrete Umsetzung muss aber den jeweiligen Geschäftsprozess berücksichtigen.
IT-Security sollte einen Produktionsprozess nicht unnötig verhindern. Umgekehrt darf Geschwindigkeit auch kein Argument sein, grundlegende Sicherheitsprinzipien außer Kraft zu setzen.
Die eigentliche Herausforderung besteht deshalb darin, Informationssicherheit möglichst früh in Prozesse und Architekturentscheidungen einzubinden. Dann entsteht Security nicht als nachträgliche Einschränkung, sondern als Bestandteil des Designs.

BC: Wie gestaltet man im Fall eines Cyberangriffes das Schnittstellenmanagement zwischen Datenschutz, Compliance, Rechtsabteilung und PR, also der Kommunikation nach außen und zu den Stakeholdern? Welche Rolle sollte der Vorstand dabei einnehmen? Und gibt es da Besonderheiten beim ORF, die es so in einem „normalen“ Industrieunternehmen nicht gäbe?

Scheiblhofer: Ein schwerwiegender Cybervorfall kann sehr schnell von einem reinen IT-Vorfall zu einer Unternehmenskrise führen.
Deshalb müssen die relevanten Schnittstellen bereits vor einem Vorfall definiert sein. Informationssicherheit, IT, Datenschutz, Recht, Kommunikation und Management müssen wissen, wann sie eingebunden werden, wer welche Entscheidungen trifft und welche Informationen benötigt werden.
Gerade zu Beginn eines Vorfalls ist die Informationslage häufig unvollständig. Gleichzeitig laufen unterschiedliche Fristen und Anforderungen. Möglicherweise bestehen regulatorische Meldepflichten, datenschutzrechtliche Verpflichtungen, Informationsbedürfnisse von Kunden oder Partnern und gleichzeitig ein erhebliches öffentliches Interesse.
Deshalb braucht es eine klare Führungs- und Entscheidungsstruktur. Das oberste Management muss nicht die technische Incident Response steuern. Seine Aufgabe ist es vielmehr, strategische Entscheidungen zu treffen, Risiken zu akzeptieren beziehungsweise zu bewerten und die Handlungsfähigkeit der Organisation sicherzustellen.
Beim ORF kommt noch eine besondere Dimension hinzu: Wir sind nicht nur ein Unternehmen, sondern betreiben Medienangebote, die gerade auch in Krisensituationen eine wichtige gesellschaftliche Funktion erfüllen.
Dazu kommt, dass ein Cyberangriff auf ein Medienunternehmen auch eine kommunikative Dimension haben kann. Neben Verfügbarkeit und Vertraulichkeit spielt für uns daher auch die Integrität und Vertrauenswürdigkeit von Inhalten und Informationen eine besondere Rolle.
Das macht die enge Verzahnung von Krisenmanagement, Cybersecurity und Kommunikation umso  wichtiger. Und genau deshalb sollte man sich im Ernstfall nicht erstmals kennenlernen. Diese Zusammenarbeit muss vorher definiert, geübt und im Idealfall auch regelmäßig getestet worden sein.

BC: Abschließend etwas Persönliches: Sie sind oft als Speaker auf Konferenzen eingeladen und kennen die PriSec jetzt auch schon aus eigener Erfahrung. Möchten Sie Ihren Eindruck von dieser Konferenz mit uns teilen?

Scheiblhofer: Sehr gerne. Was mir an der PriSec besonders gefällt, ist die Mischung aus unterschiedlichen Perspektiven. Wir diskutieren Informationssicherheit mittlerweile sehr häufig innerhalb unserer eigenen Fach-Community. Das ist wichtig, birgt aber auch die Gefahr, dass man sich immer wieder mit denselben Fragestellungen und Lösungsansätzen beschäftigt.
Bei Veranstaltungen wie der PriSec kommen Informationssicherheit, Datenschutz, Recht, Compliance und Management stärker zusammen. Genau diese Diskussion halte ich für ausgesprochen wertvoll, weil Cyberrisiken heute eben nicht mehr ausschließlich technische Risiken sind.
Für mich persönlich sind Konferenzen deshalb vor allem eine Gelegenheit zum Austausch. Ich nehme fast immer zumindest einen Gedanken, eine Erfahrung oder einen Ansatz eines Kollegen oder einer Kollegin mit, der mich dazu bringt, das eigene Vorgehen noch einmal kritisch zu hinterfragen.
Und vielleicht ist das letztlich auch ein sehr schönes Prinzip für Informationssicherheit insgesamt: Wir müssen nicht jeden Fehler selbst machen, um daraus lernen zu können. Gerade beim Austausch über Erfahrungen und Lessons Learned können wir als Community enorm voneinander profitieren.

BC: Danke für dieses hervorragende Feedback! Wir freuen uns sehr, Sie erneut auf der PriSec zu begrüßen!

‍