Cyber-Resilienz ist heute eine zentrale Herausforderung für international agierende Unternehmen: Industrialisierte Cyberkriminalität, geopolitische Spannungen, zunehmende Regulierung und rasanter technologischer Wandel greifen ineinander und verändern das Risikoprofil grundlegend. Wie Rebiah Bardot-Girard, Global Head of Cyber Risk Consulting Services bei AXA XL, erläutert, sind Schnelligkeit in der Reaktion, wirksame Governance und eine hohe Systemresilienz entscheidend – ebenso wie ein erfahrener Berater an der Seite.
Technologie entwickelt sich kontinuierlich und schneller denn je. Das eröffnet Unternehmen aller Branchen erhebliche Effizienz- und Wachstumspotenziale, vergrößert aber zugleich ihre Angriffsfläche für Cyberrisiken – schließlich sind wir alle miteinander vernetzt.
Im Verlauf meiner Karriere habe ich erlebt, wie sich Cyberkriminalität zu einem globalen, industrialisierten Geschäftsmodell entwickelt hat. Aus jugendlichen Hackern in ihren Schlafzimmern sind hochgradig organisierte, internationale kriminelle Netzwerke geworden – mit klar definierten Rollen und Angeboten im Sinne von „Cybercrime-as-a-Service“. Die Risiken sind sehr real, sehr präsent und verändern sich fortlaufend.
Um unseren Kunden zu helfen, ihre Resilienz gegenüber dieser sich wandelnden Bedrohung zu stärken, arbeiten meine Kolleginnen und Kollegen und ich kontinuierlich daran, unser eigenes Wissen zu vertiefen.
Kontinuierliches Lernen, um Risiken zu verstehen
Glücklicherweise lerne ich gern. Ich habe einen Abschluss in Informatik, einen Master in Human Resources, einen Executive MBA und promoviere derzeit im Bereich Governance automatisierter Entscheidungsfindung in Cybersicherheits-Systemen.
Doch für ein belastbares Verständnis von Cyber-Resilienz genügt theoretisches Wissen allein nicht. Mein Team und ich wissen, dass wir uns die Zeit nehmen müssen, uns mit den neuesten Technologien praktisch auseinanderzusetzen – um die Risiken und Chancen zu verstehen, die sie mit sich bringen.
Einige meiner wichtigsten Erkenntnisse stammen aus meiner Tätigkeit im globalen Schutz von Unternehmen vor Cyberkriminellen und der Sicherung der Geschäftskontinuität bei GIE AXA in Paris, wo Strategie und Zusammenarbeit für den gesamten AXA-Konzern koordiniert werden. Die Entwicklung von Schutzstrategien hat mir wertvolle Einblicke darin vermittelt, wie wir unseren Kunden helfen können, in ihren eigenen Organisationen Resilienz gegenüber Cyberrisiken aufzubauen.
Auch wenn sich Technologie rasant weiterentwickelt, wird sie letztlich von Menschen gesteuert – da rund 90 % aller Cybervorfälle auf menschliche Fehler zurückzuführen sind, hängen Cyberrisiko und Resilienz am Ende maßgeblich vom Faktor Mensch ab.
Es geht (fast) immer um den Faktor Mensch
So schnell sich die Technologie auch verändert – letztlich wird sie von Menschen genutzt, und Cyberrisiko wie auch Cyber-Resilienz hängen überwiegend mit menschlichem Verhalten zusammen. Rund 90 % aller Cybervorfälle sind auf menschliches Versagen zurückzuführen. Ein wesentlicher Teil der Aufgabe meines Teams besteht daher darin, unsere Kunden dabei zu unterstützen, über alle Ebenen hinweg das Bewusstsein für bestehende Verwundbarkeiten zu schärfen. Wir betonen kontinuierlich, wie wichtig Schulung und Wissensaufbau sind.
In meiner Rolle denke ich ständig über die Auswirkungen von Worst-Case-Szenarien nach. Während meiner Zeit bei AXA GIE als CSO und Krisenkoordinator haben wir mehrere zentrale Risikoszenarien definiert und unsere Reaktionen darauf immer wieder getestet. Eine weltweite Pandemie war eines davon. Obwohl wir dieses Risiko als eher unwahrscheinlich angesehen hatten, wurde es im Jahr 2020 zur globalen Realität.
Das gesamte Ökosystem schützen, um Cyber-Resilienz aufzubauen
In vielerlei Hinsicht hat die Pandemie eine wichtige Lektion bestätigt, die ich einige Jahre zuvor gelernt hatte. Als 2016 der Fluss Seine auf den höchsten Stand seit mehr als 30 Jahren anschwoll, wurde Paris rasch von Überschwemmungen bedroht. Ich gehörte zu dem Team, das entscheiden musste, ob und wann das Gebäude von AXA GIE evakuiert werden sollte. Eine der zentralen Überlegungen war, dass eine Evakuierung nicht nur dieses eine Büro betreffen würde: Das Gebäude ist Teil eines Ökosystems von mehr als 20 weiteren AXA-Einheiten in Paris.
Es war eine komplexe und belastende Entscheidung. Letztlich entschieden wir uns gegen eine Evakuierung – und die Pegelstände gingen schließlich zurück. Wir – und die rund 20 anderen Einheiten – konnten unseren Betrieb ohne Unterbrechung fortsetzen. Gerade solche Ereignisse machen deutlich: Um Resilienz gegenüber Risiken aufzubauen, muss das gesamte Ökosystem die Lage verstehen und einbezogen sein, damit es wirksam geschützt werden kann. Das gilt in besonderem Maße für Cyberrisiken.
Die KI-Zukunft ist da – und wir alle müssen vorbereitet sein
Im Zusammenhang mit neuen Technologien gibt es stets zwei Lager: diejenigen, die sie konstruktiv nutzen – und diejenigen, die sie missbräuchlich einsetzen. Künstliche Intelligenz verändert grundlegend, wie gut und wie schnell alle Akteure bestimmte Dinge erledigen können. Gleichzeitig eröffnet sie Kriminellen neue Möglichkeiten, Cyberangriffe im industriellen Maßstab durchzuführen.
Kürzlich erklärte das KI-Forschungsunternehmen Anthropic, ein neues Modell – Mythos – nicht öffentlich zu veröffentlichen, weil es zu gefährlich wäre, sollte es in die falschen Hände geraten.
Zugleich dürfen wir nicht vergessen, dass KI uns auch Werkzeuge zur Bekämpfung dieser Risiken bietet. KI-gestütztes Patching kann beispielsweise die Zeitspanne zwischen der Entdeckung einer Schwachstelle und der Implementierung eines Patches deutlich verkürzen – und gleichzeitig das Risiko menschlicher Fehler in diesem Prozess reduzieren.
In Gesprächen mit Kunden wiederholen wir immer wieder eine zentrale Botschaft: Die Zeit, an der Cyber-Sicherheitsgrundlage zu arbeiten, ist jetzt. Ein Unternehmen kann heute nicht mehr glaubwürdig am Markt agieren, ohne über eine tragfähige Cyber-Abwehrstrategie zu verfügen.
Cyber entwickelt sich rasant und kann zu erheblichen Risiken führen. KI beschleunigt diese Dynamik zusätzlich. Doch wenn alle Beteiligten im Ökosystem ihren Beitrag leisten und kontinuierlich lernen und sich anpassen, können wir in allen Bereichen – in großen wie in kleineren Unternehmen – eine deutlich höhere Resilienz aufbauen.
Mit genau diesem Ziel haben wir vier Säulen definiert – Prevent, Prepare, Protect und Prevail – um einen umfassenden Ansatz für Cybersicherheit zu schaffen. Gleichzeitig erhalten Kunden ergänzende Services wie Sicherheitsbewertungen, Warnhinweise, Schulungen, Krisenübungen und Expertenberatung, um ihren Reifegrad im Bereich Cybersicherheit zu erhöhen.
Es mag so klingen, als würde ich mich in meinem Job ständig mit dem Schlimmsten auseinandersetzen, das passieren könnte. Die Herausforderungen sind tatsächlich real. Aber die Arbeit ist zugleich spannend und faszinierend – es gibt immer etwas Neues zu lernen. Sicher ist: In diesem Bereich wird es nie langweilig.
