Die meisten Unternehmen, die zu uns kommen, haben keine Sicherheitslücke aus Nachlässigkeit. Sie haben über Jahre Produkte gekauft, jedes einzelne sinnvoll, und niemand hat je geprüft, was zusammen dabei herauskommt. Firewall vorhanden, Virenschutz vorhanden, Backup vorhanden. Und trotzdem lässt sich die Frage, ob man einen laufenden Angriff überhaupt bemerken würde, nicht beantworten.

Genau dafür ist die Cyber Defense Matrix von Sounil Yu gebaut. Sie ist kein weiteres Framework, das Sie zertifizieren müssen, sondern ein Raster, mit dem Sie Ihre vorhandenen Maßnahmen einsortieren. Die Lücken zeigen sich dann von selbst, weil die betreffenden Felder leer bleiben.

Wie die Matrix aufgebaut ist

Zwei Achsen, mehr nicht.

Horizontal stehen die Funktionen aus dem NIST Cybersecurity Framework, also die Phasen im Umgang mit einem Risiko:

IDENTIFIZIEREN, SCHÜTZEN, ERKENNEN, REAGIEREN, WIEDERHERSTELLEN

Vertikal stehen die Dinge, die Sie schützen:

GERÄTE, NETZWERKE, ANWENDUNGEN, DATEN, BENUTZER

Daraus entsteht ein Raster aus 25 Feldern. In jedes Feld tragen Sie ein, welches Werkzeug oder welcher Prozess diesen Punkt bei Ihnen abdeckt. Was gut abgedeckt ist, füllt sich schnell. Was niemand auf dem Schirm hatte, bleibt weiß.

Der Nebeneffekt ist unbequem und genau deshalb nützlich: Die meisten Unternehmen füllen die Spalte SCHÜTZEN mühelos und stehen bei ERKENNEN und REAGIEREN vor leeren Feldern. Prävention lässt sich einkaufen, Erkennung und Reaktion brauchen jemanden, der hinschaut.

Yu weist außerdem auf ein Gefälle innerhalb der Zeilen hin: Je weiter Sie sich von GERÄTE in Richtung BENUTZER bewegen, desto weniger lässt sich mit Technik allein lösen. Ganz rechts steht in seinem Modell der Grad der Abhängigkeit von Menschen statt von Werkzeugen. Wer glaubt, die Zeile BENUTZER mit einem Produkt abzudecken, hat sie nicht verstanden.

Ein Hinweis zur NIST-Fassung

Das NIST Cybersecurity Framework hat 2024 in Version 2.0 eine sechste Funktion bekommen: GOVERN. Die Matrix arbeitet weiter mit den fünf operativen Funktionen, und das ist stimmig, denn GOVERN liegt nicht neben den anderen, sondern quer darüber. Zuständigkeiten, Risikoappetit und Nachweispflichten gelten für jedes der 25 Felder. Praktisch heißt das: Zu jedem gefüllten Feld gehört die Frage, wer dafür verantwortlich ist. Ein Werkzeug ohne Zuständigkeit ist ein Feld, das nur so aussieht, als wäre es belegt.

Wie wir die Matrix einsetzen

Wir nutzen das Raster an zwei Stellen im Kundenverhältnis.

Im Audit. Wir gehen durch, welche Lösungen bereits im Einsatz sind, und ordnen sie ein. Am Ende steht kein Bericht mit 40 Einzelbefunden, sondern ein Bild, das man in fünf Minuten versteht: Hier sind Sie doppelt abgesichert, hier fehlt etwas. Doppelte Abdeckung ist dabei ein eigenes Ergebnis, denn zwei Werkzeuge für dasselbe Feld bedeuten laufende Kosten ohne zusätzlichen Schutz.

Im Onboarding. Wenn wir eine Umgebung übernehmen, brauchen wir zuerst ein ehrliches Bild des Ist-Zustands. Die Matrix zwingt zu dieser Bestandsaufnahme, bevor irgendjemand über neue Produkte redet. Das schützt vor der häufigsten Fehlinvestition, nämlich einer weiteren Lösung für ein Problem, das schon abgedeckt war.

Für die einzelnen Funktionen heißt das bei uns konkret:

• IDENTIFIZIEREN: Was ist überhaupt da? Geräte, Konten, Anwendungen, Datenabflüsse. Schwachstellen finden und dokumentieren, bevor jemand anders sie findet.
• SCHÜTZEN: Härtung, Patch-Stände, Zugriffsrechte, Mailsicherheit. Der Teil, den die meisten schon haben.
• ERKENNEN: Laufende Überwachung, damit ein Angriff auffällt, während er passiert, und nicht erst durch die Lösegeldforderung.
• REAGIEREN: Festgelegte Schritte für den Ernstfall. Wer entscheidet, wer trennt Systeme vom Netz, wer informiert wen.
• WIEDERHERSTELLEN: Getestete Wiederherstellung. Ein Backup, das nie zurückgespielt wurde, ist eine Annahme, kein Schutz.

Warum das gerade jetzt trägt

Der Nachweis der eigenen Sicherheitslage ist in den vergangenen Jahren von einer internen Angelegenheit zu einer externen geworden. Cyber-Versicherer fragen vor Vertragsabschluss nach konkreten Maßnahmen. Größere Kunden reichen Sicherheitsfragebögen an ihre Lieferanten durch. Und regulatorisch ist die Richtung eindeutig.

Ein Raster mit 25 Feldern und einer benannten Zuständigkeit je Feld beantwortet solche Fragen in einer Form, die jemand von außen nachvollziehen kann. Eine Liste gekaufter Produkte tut das nicht.

Der ehrliche Teil

Die Matrix löst nichts. Sie sortiert. Sie sagt Ihnen nicht, welches Werkzeug Sie kaufen sollen, und sie ersetzt keine Risikobewertung. Was sie leistet, ist die Übersetzung eines diffusen Gefühls in eine überprüfbare Aussage.

Und sie hat einen Nebeneffekt, den wir schätzen: Sie ist in einem Meeting mit der Geschäftsführung erklärbar. Wer 25 Felder sieht, von denen sieben leer sind, braucht keine Fachdiskussion mehr darüber, ob Handlungsbedarf besteht.

Möchten Sie Ihre Matrix ausgefüllt sehen?

Wir gehen das Raster mit Ihnen durch, tragen ein, was bei Ihnen im Einsatz ist, und sagen Ihnen, welche Felder leer bleiben. Ohne Produktempfehlung im ersten Schritt, denn zuerst muss klar sein, was fehlt.

Mehr zu unseren Security-Leistungen oder direkt ein Erstgespräch anfragen.