Gedanken zu den jüngsten Hacking-Vorfällen in Korea

Nach den jüngsten Server-Hacks bei KT (koreanischer Telekommunikationsanbieter) und Lotte Card sowie den früheren Vorfällen bei SKT und der SBI Savings Bank reißen die Datenlecks bei Großunternehmen einfach nicht ab. Das Erschreckende daran ist, dass diese Vorfälle vielleicht nicht das Ergebnis eines einmaligen Hacks sind, sondern das Resultat jahrelanger, akribischer Arbeit. Was genau läuft hier eigentlich schief, dass sich so etwas ständig wiederholt?

Ein gemeinsames Problem, das mir bei meinen Erfahrungen in verschiedenen Unternehmen aufgefallen ist: Es gibt schlichtweg kein Unternehmen, das angemessen mit dem Thema Sicherheit umgeht. Und mit "Unternehmen" meine ich nicht nur die Geschäftsführung oder eine bestimmte Abteilung. Ich meine das Unternehmen als Ganzes – vom Vorstand über jeden einzelnen Mitarbeiter bis hin zu Subunternehmern und dem Reinigungspersonal. Passwörter auf Post-its notieren, sie über Messenger teilen oder öffentliches WLAN nutzen – die grundlegendsten Sicherheitsregeln, die man am Arbeitsplatz befolgen sollte, scheitern in der Realität oft kläglich an dem Satz: "Ich bin total im Stress, wie soll ich mich auch noch darum kümmern?" Ich glaube, dass es der heutigen koreanischen Gesellschaft, und eigentlich allen Ländern im Jahr 2025, am grundlegenden Verständnis für IT-Sicherheit mangelt.

Die Regierung versucht zwar, Investitionen in die IT-Sicherheit anzukurbeln, aber das ist ein oberflächlicher Ansatz, der am Kern des Problems vorbeigeht. Aktuell bekommen Sicherheitsfachkräfte die niedrigsten Gehälter und haben intern kaum etwas zu sagen. Im Vergleich zu Vertrieblern oder Entwicklern, die das Geld einbringen, wird der Wert derjenigen, die das Geld "beschützen", nicht richtig anerkannt. Nehmen wir mal an, ein Mitarbeiter notiert sich ein Passwort in seinem privaten Notizbuch oder fotografiert es ab. In der Finanzbranche, wo Sicherheit oberste Priorität hat, wäre das eigentlich ein Kündigungsgrund, aber in der Praxis ist es kaum vorstellbar, dass deswegen wirklich jemand abgemahnt wird. Wenn man das mit den Disziplinarmaßnahmen bei sexueller Belästigung vergleicht, wird schnell klar, wie niedrig die Messlatte unserer Gesellschaft bei Sicherheitsproblemen liegt.

Ich bin der Meinung, dass die einzige Lösung für dieses Problem – ob kurz- oder langfristig – in harten Strafen und strenger Haftung liegt. Wären diese Vorfälle in den USA passiert, hätte SKT (ein großer Mobilfunkanbieter) Strafen und Entschädigungen in Billionenhöhe zahlen müssen. Bei KT und Lotte Card handelt es sich um Vorfälle, die zu betrügerischen Zahlungen führen könnten – das ist so gravierend, dass Gerichte eigentlich die Schließung der Unternehmen in Betracht ziehen müssten. Egal ob Großkonzern, mittelständisches Unternehmen oder Kleinunternehmer: Wenn es zu einem Datenleck kommt, müssen die Verantwortlichen hart zur Rechenschaft gezogen werden. Nur so wird unsere Gesellschaft endlich die Wichtigkeit von IT-Sicherheit erkennen und den Wert des Sicherheitspersonals richtig einschätzen. Momentan wird nur in die Leute investiert, die Geld einbringen, aber in Zukunft müssen wir auch begreifen, wie wichtig die Leute sind, die das Geld beschützen.

Manche mögen denken, dass diese Probleme nur den Finanzsektor betreffen, aber ist das wirklich so? Werden im KI-Zeitalter wirklich ausreichende Anstrengungen unternommen, um diese wichtigen Daten zu schützen? Ich vermute fast, dass Banken, Wertpapierfirmen, Krypto-Börsen und sogar die staatliche Infrastruktur längst kompromittiert sind. Das beste Vorbild, an dem wir uns orientieren sollten, ist die Sicherheitskultur der großen Produktionskonzerne. Sie verhindern rigoros, dass interne Technologien durch eigene Mitarbeiter nach außen dringen. Wer dabei erwischt wird, wie er Baupläne herausschmuggelt, wird ausnahmslos der Polizei übergeben – egal ob Abteilungsleiter oder Vorstandsmitglied. Man könnte argumentieren, dass dies in der Fertigungsindustrie nur möglich ist, weil die Server vom Internet getrennt sind. Letztendlich greifen sie aber so hart durch, weil sie wissen, wie massiv der "Schock" bei einem Leak wäre. Wenn unsere Gesellschaft die Schockwirkung und die weitreichenden Folgen von Lecks bei persönlichen Daten wirklich begreift und die Strafen verschärft, wird IT-Sicherheit nicht länger auf die lange Bank geschoben werden.