Gegen Cyberangriffe gibt es keine Immunität, so zeigt der BlackBerry Threat Report 2022 beispielsweise, dass kleine und mittlere Unternehmen (KMU) zurzeit mit elf bis 13 Angriffen pro Tag konfrontiert sind. Das entspricht einem Angriff alle paar Stunden; so kommen im Laufe des Jahres ungefähr 4.745 schädliche Zugangsversuche für jedes Unternehmen zusammen. Inzwischen wird die Angriffsfläche durch die Zunahme vernetzter Endpunkte und die fortschreitende Migration digitaler Technologien immer größer. Cyberkriminelle Taktiken wie Ransomware-as-a-Service (RaaS) und die steigende Zahl von Phishing-Angriffen verdeutlichen, dass eben auch kleinere Unternehmen, sogar Nischenbetriebe, zu ernstzunehmenden Zielen geworden sind.

IT-Teams arbeiten unter hohem Druck und müssen versuchen, das Unternehmen vor einer ständigen und immer komplexeren Bedrohung zu schützen, während ihnen weniger Ressourcen und Budgets zur Verfügung stehen. Gleichzeitig trauen sich viele Mitarbeiter nicht, etwaige Verstöße zu melden. So entsteht ein äußerst stressiges Arbeitsumfeld, das die psychische Gesundheit beeinträchtigen kann.

Hans-Peter Bauer, SVP EMEA bei BlackBerry führt dazu weiter aus:

„Wenn die letzten zwei Jahre etwas bewiesen haben, dann dass kein Unternehmen in irgendeiner Branche gegen Cyberkriminalität immun ist. Und die Cybersicherheitsteams sind für die Aufrechterhaltung der Geschäftskontinuität von entscheidender Bedeutung. Daher können sie es sich nicht leisten, regelmäßig abzuschalten und so das Unternehmen einem Risiko auszusetzen – vor allem, weil dieses Risiko nicht nur an Arbeitstagen oder zu Geschäftszeiten besteht.

Das kann zu langen Arbeitszeiten und vor allem zu stressigen Arbeitsbedingungen führen. Alert Fatigue, bzw. Alarmmüdigkeit und die so genannte „Analyseparalyse" sowie der Druck, wichtige Entscheidungen mit wenig Erfahrung, Wissen oder Kontext treffen zu müssen, können schwer belasten.

Wir ermutigen die Unternehmen, zu überprüfen, wie gut sie auf eine Attacke, einen Verstoß, vorbereitet sind, beispielsweise indem sie „Tabletop"-Übungen durchführen, bei denen ein Vorfall von Anfang bis Ende durchgespielt wird. Zudem sollten Unternehmen Verfahren für den Umgang mit Cyberangriffen festlegen, diese aktuell halten und regelmäßige Bewertungen der Kompromittierung durchführen, um alle etwaigen Problemstellen zu finden, die möglicherweise unentdeckt im Netzwerk lauern.

Um ein besseres Umfeld für IT- und Sicherheitsexperten zu schaffen – insbesondere im Falle eines erfolgreichen Cyberangriffes – ist es wichtig über einen geregelten Prozess zu verfügen, der die Entscheidungsfindung unter Druck erleichtert. Ebenso wie die Gewissheit, dass sie durch beispielsweise einen Anruf auch Unterstützung erhalten.

Die „Entstigmatisierung" von Cyberangriffen ist ein wichtiger Schritt, den die Wirtschaft insgesamt und die IT-Branche im Besonderen unternehmen müssen, um ein schnelleres Handeln und einen überlegteren Umgang mit den allgegenwärtigen Cyberbedrohungen zu fördern."

Der nun folgende Bericht eines Cybersicherheitsexperten wurde anonymisiert, er soll die Menschen ermutigen, offen über dieses sensible Thema zu sprechen:

Incident Response Consultant, Vorfallreaktions-Berater, UK

„Die durchschnittliche Beschäftigungsdauer eines Beraters im Bereich Incident Response (Vorfallsreaktion) spricht für sich selbst: Der Druck in diesem Beruf ist enorm und Menschen, die in diesem Rahmen mit Rechtsstreitigkeiten und strafrechtlichen Ermittlungen zu tun haben, wechseln auffallend oft den Arbeitsplatz. 

Die Arbeit ist zwar interessant, abwechslungsreich, herausfordernd und letztlich bereichernd, doch ist der psychische Stress, der durch den stetigen Krisenmodus entsteht, oftmals äußerst belastend. Jeder Tag kann ein potenzieller Unglückstag sein. Wir als Berater sind ständig in Erwartung eines kritischen Anrufs, der Unterstützung bei der Eindämmung einer Sicherheitsverletzung fordert – und dann schnell!

Das wirkt sich auch auf das Privatleben aus – es ist schwierig, seine eigene Freizeit zu planen, sich für Familienaktivitäten zu motivieren oder sich mal eine Auszeit zu nehmen. Dies führte bei mir zu einer Verschlechterung meiner körperlichen wie geistigen Gesundheit und brachte mich letztendlich dazu, mir eine neue Stelle zu suchen. Eine Stelle, bei der ich in einem Team von Sicherheitsexperten arbeiten kann, die sich die psychische Belastung teilen und gegenseitig unterstützen können.

Ich bin seit fast 20 Jahren in der Branche tätig und stelle fest, dass die Kultur des Alltagsstresses oft sogar als ehrenhaft angesehen wird: die Anzahl der Arbeitsstunden, Anzahl der besuchten Orte, Anzahl der parallellaufenden Untersuchungen.   Bei manchen sogar die Anzahl der Pannen!   

Das ist weder für die einzelnen Mitarbeiter noch für das Unternehmen oder die IT-Branche gesund. Daher ist es wichtig, dass jeder den enormen Druck versteht, unter dem die Mitarbeiter in puncto Cyberkriminalität stehen – vor allem an der IT-Front – und dass innerhalb der Organisationen Änderungen vorgenommen werden, um angemessene, proaktive Unterstützung zu bieten.

Sicherlich unterscheidet sich meine Geschichte nicht so sehr von der vieler anderer Cybersicherheitsexperten. Obwohl ich insgeheim hoffe, dass es vielen doch besser geht. Sollte das nicht der Fall sein, gilt dies als Aufforderung, mit jemandem darüber zu sprechen. Was auch immer als störend oder belastend empfunden wird, ist ein triftiger Grund, um das offene Gespräch und Unterstützung zu suchen."

Organisationen, die die Strukturen und die Unterstützung für den Umgang mit Stress in ihrem Unternehmen, insbesondere in ihren IT-Teams, verbessern wollen, können sich an die International Stress Management Association (ISMA) wenden: Tel: +44 7823 745056 / Email: admin@isma.org.uk. Für den DACH-Raum gibt es die Zweigstelle „Stress-out“, zu erreichen unter Tel.: +43 676 70 47 668 oder office@stress-out.at. Zudem führt die Bundesregierung eine Liste alle gängigen Hilfs- und Krisentelefone.