Im Maschinenraum steht heute kein dramatischer Hacker mit Kapuze, sondern ein Vorstandsstuhl mit Feuerlöscher. Das ist fast schlimmer. Ein Feuerlöscher macht nämlich nur Sinn, wenn jemand weiß, wo er hängt, wann er benutzt wird und wer nachher den Schaum aus der Lieferkette kratzt.
Cloudflare hat sich der neuen britischen Cyber Resilience Pledge angeschlossen. Nach eigener Darstellung ist das ein freiwilliger Rahmen der Regierung, der grundlegende Cyber-Governance, Verantwortung auf Vorstandsebene und Sicherheitsabdeckung quer durch Lieferketten nach vorne schieben soll. Freiwillig, ja. Aber freiwillig heißt im Blechpresse-Deutsch oft: Der Schraubenschlüssel liegt schon sichtbar auf dem Tisch, bevor jemand „Pflicht“ draufgraviert.
Die IT-Ecke wird zu klein für das Problem
Der interessante Teil ist nicht, dass wieder ein Papier durch Whitehall rollt. Papier rollt immer. Der interessante Teil ist, wo es hängen bleiben soll: oben im Gremium und draußen in der Lieferkette. Dort also, wo Sicherheitsfragen gern als kleine blinkende Kästchen im Quartalsbericht erscheinen, während unten jemand versucht, veraltete Zugänge, Lieferantenportale und „das läuft schon seit 2018 so“-Maschinen nicht gleichzeitig anzufassen.
WiredGov fasst die Pledge mit praktischen Schritten zusammen: Cyber-Sicherheit als Board-Level-Verantwortung, Anmeldung beim Early-Warning-Dienst des National Cyber Security Centre und ein risikobasierter Blick auf Cyber Essentials in der Lieferkette. Man kann das trocken lesen. Man kann aber auch sehen, wie ein Konferenztisch langsam auf ein Förderband geschraubt wird.
Freiwillig ist nicht wirkungslos, aber auch kein Zauberlack
Solche Selbstverpflichtungen sind keine Firewall aus Messing. Sie stoppen keinen Angriff allein dadurch, dass sie schön klingen. Aber sie verschieben die Frage: Nicht mehr nur „hat die IT das geregelt?“, sondern „kann die Organisation erklären, welche Risiken sie akzeptiert, welche Lieferanten sie mitschleppt und warum die Alarmglocke nicht nur Dekoration ist?“
Das passt zum britischen Cyber Governance Code of Practice, der Boards und Directors ausdrücklich in die Verantwortung nimmt, digitale Risiken zu steuern. Und zum Software Security Code of Practice, der vermeidbare Schwächen in Entwicklung, Wartung und Kommunikation nicht länger als Naturereignis behandelt. Kurz: weniger Nebelmaschine, mehr Wartungsplan. Ach, und der Wartungsplan darf bitte nicht in einer SharePoint-Schublade sterben.
Die Lieferkette klappert zuerst
Für die Blechpresse ist das der eigentliche Lärm: Lieferketten. Nicht als schicker Managementbegriff, sondern als Reihe kleiner Kisten auf einem Förderband. In jeder Kiste steckt ein Dienstleister, eine Bibliothek, ein Zugang, eine alte Ausnahme, ein „nur temporär“ eingerichtetes Konto. Wenn vorne eine Kiste raucht, ruft hinten niemand automatisch „Governance“. Hinten fragt meist jemand, ob das Ticket schon priorisiert ist.
Die Pledge kann daran nur etwas ändern, wenn sie aus dem Pressefoto heraus in Beschaffung, Verträge, Monitoring und Notfallübungen fällt. Also dorthin, wo es unangenehm wird. Wo Lieferanten nicht nur höflich nicken, sondern Mindeststandards nachweisen. Wo Frühwarnungen nicht im Verteiler verdampfen. Wo ein Vorstand nicht erst nach dem Vorfall lernt, dass Cyber Essentials kein Duftbaum fürs Rechenzentrum ist.
Cloudflare nennt die Pledge eine Bestätigung der eigenen Sicherheitsphilosophie. Das ist erwartbar, Unternehmen sprechen so. Trotzdem ist der Vorgang nützlich als Signal: Der Markt merkt, dass Resilienz nicht mehr allein aus Produkten besteht. Sie besteht aus Verantwortlichen, die nicht weglaufen können, wenn das rote Licht angeht.
Quellen
- Cloudflare Blog
- WiredGov / Department for Science, Innovation & Technology
- GOV.UK Cyber Governance Code of Practice
- GOV.UK Software Security Code of Practice
Hinweis der Werkstatt: Dieser Beitrag ist ein satirisch kommentierter Blick auf reale Quellen. Die Fakten stammen aus den verlinkten Veröffentlichungen; der Feuerlöscher auf dem Vorstandsstuhl ist Blechpresse-Bildsprache, kein britisches Amtsmöbel. Noch nicht.