Cybersicherheit in der Zierpflanzenbranche: „Wir sind so stark wie das schwächste Glied.“

Die Digitalisierung wird von der Branche angenommen, wie der kürzlich veröffentlichte Trendbericht Zierpflanzen beweist. Gleichzeitig schafft dies große Herausforderungen auf dem Gebiet der Cybersicherheit. Vor allem aus diesem Grund wird die Multi-Faktor-Authentifizierung (MFA) nach einem Jahr schrittweise für alle Floriday-Nutzer verpflichtend eingeführt. Chief Information Officer (CIO) André van der Linden und Chief Information Security Officer (CISO) Bas Wevers warnen: „Vergessen Sie Folgendes bitte nicht: Jeden Monat werden die Anmeldedaten von mehreren Floriday-Accounts im Dark Web zum Verkauf angeboten.“

Der Trendreport Zierpflanzen zeigt, dass 29 % der Gärtner konkrete Schritte zur digitalen Sicherheit unternommen haben. 16 % haben vor kurzem damit begonnen, Maßnahmen zu ergreifen. Aber es gibt auch eine Gruppe, die sich noch nicht aktiv mit der Onlinesicherheit beschäftigt. Nur 13 % der Gärtner sehen sich vollständig gegen einen möglichen Hack durch Cyberkriminelle abgesichert.

Feuerlöscher

„Eine alarmierende Zahl, aber sie bestätigt das Bild, das wir bereits intern bei Royal FloraHolland hatten. Cybersicherheit ist ein Thema, das bei vielen Unternehmen keine Beachtung findet. Es ist ein bisschen wie ein weit entferntes Problem“, sagt CIO André van der Linden. „Und das, obwohl die eigene digitale Umgebung „nur“ einer der vielen Vermögenswerte ist, die man schützen sollte. Genau wie das eigene Gebäude oder der eigene Fuhrpark. Wenn man einen Unternehmer fragt, ob er Feuerlöscher hat, wird er sagen: „Natürlich!“ Die Wahrscheinlichkeit eines Brandes ist dabei geringer als die eines Hacker- oder Cyberangriffs. Es ist eine Tatsache, dass viele KMU, auch in der Zierpflanzenbranche, digital unzureichend geschützt sind.“

Anmeldedaten von Floriday zum Verkauf im Dark Web

Cyber-Angriffe sind auch gar kein weit entferntes Problem, wie Unternehmer denken. „Vergessen Sie Folgendes nicht: Jeden Monat werden ein bis zwei Mitglieder von Infostealer-Malware betroffen“, sagt Bas Wevers. Er ist seit 2021 CISO bei Royal FloraHolland und hat zuvor mehr als 15 Jahre in ähnlichen Positionen bei Unternehmen in verschiedenen Branchen gearbeitet. „Die Anmeldedaten von ihrem Floriday-Account werden gestohlen und im Dark Web (ein Online-Marktplatz, auf dem kriminelle Daten gehandelt werden) angeboten. In der Zwischenzeit ist das so sehr an der Tagesordnung, dass wir über Standardhandbücher verfügen, um dieses Thema ausreichend zu kommunizieren. Wir informieren die betroffenen Unternehmen. Diese sind oft froh, dies von uns zu hören, weil sie sich sonst der Angriffe nicht bewusst gewesen wären. Bisher ist der Schaden noch nicht allzu groß, aber wenn die Anmeldedaten an jemanden verkauft werden, der wirklich Böses anrichten will, könnte der Schaden immens werden. Der Zierpflanzenbau ist eine große und wirtschaftlich bedeutende Branche. Und damit interessant für Cyberkriminelle.“ 

Wirtschaftliche und rufschädigende Schäden

Worst-Case-Szenario? Laut André gibt es drei: „Wenn Gärtnereibetriebe gehackt werden, gibt es kein Angebot auf unserer Plattform. Wenn Käufer gehackt werden, gibt es keine Nachfrage. Und wenn wir selbst gehackt werden, gibt es keinen Marktplatz mehr. Dann sprechen wir über die Verfügbarkeit, aber auch über die Datenintegrität. Denn was ist, wenn die angebotenen Zahlen falsch sind? Oder wenn Nachhaltigkeitszertifikate manipuliert werden?“

Bas fügt hinzu: „In allen Fällen führt dies zu einem wirtschaftlichen Schaden. Dies schadet auch dem Vertrauen in Royal FloraHolland. Und das wiederum schadet dem Ruf. Die Schlagzeile „Keine Blumen am Muttertag“ ist für mich eines der größten Alptraumszenarien.“

André: „Wir müssen also investieren, um die Kette am Laufen zu halten. Sonst leiden wir als Genossenschaft. Man ist nur so stark wie das schwächste Glied. Cybersecurity ist wirklich etwas, das uns alle angeht.“

Bewusstwerdung ist der Anfang

„Es fängt mit der Bewusstwerdung an“, argumentiert André. Auch Royal FloraHolland sieht darin eine Aufgabe für sich. „Wir investieren viel in die Aufklärung unserer Mitarbeiter zur Awareness für Cybersicherheit. Aber als Genossenschaft haben wir eine Verantwortung gegenüber der Branche.“ Bas betont, dass Royal FloraHolland Unternehmer auf verschiedene Weise unterstützen kann. „Es ist schwierig, sich digital zu schützen. Unternehmer wissen oft nicht, wo sie anfangen sollen. Und Cyberkriminelle entwickeln ständig neue Methoden. Wir investieren aktiv in die Aufklärung von Gärtnern und unternehmen die ersten Schritte mit ihnen. Unter anderem auf unsere Initiative hin wurde 2023 das Zentrum für Cyber-Resilienz in Greenport (Cyberweerbaarheidscentrum Greenport) gegründet. Wir bieten unseren Mitgliedern auch ein kostenloses Cyber-Abonnement mit Krisenübungen, regelmäßigen Cyber-Updates und einem breiten Wissensaustausch innerhalb der Branche an.“

Vorgeschriebene MFA

Die (anstehende) Verpflichtung, die Multi-Faktor-Authentifizierung vorzunehmen, wurde in Absprache mit Gärtnern, Käufern und Royal FloraHollandin der Branchenplattform-Konsultation eingeführt. Bas: „Das ist ein erster Schritt, der es den Cyberkriminellen zumindest deutlich schwerer macht, zuzuschlagen. Darüber hinaus können Unternehmen viele andere Dinge tun. In einigen Bereichen können wir als Royal FloraHolland damit etwas bewirken.Aber das meiste müssen Unternehmen selbst in die Hand nehmen.“ Auf der Website von Royal FloraHolland finden Sie Tipps und Artikel zu verschiedenen Arten von Cyberkriminalität und wie Sie sich, Ihre Kollegen oder Ihr Unternehmen schützen können.

Gärtner übernehmen diese Aufgabe selbst

Es gibt noch viel zu tun, um das Bewusstsein für das Wie und Warum der Cybersicherheit zu schärfen, schließt André. „Einige Unternehmer denken, dass sie das alles für Royal FloraHolland tun, um unsere Systeme und Daten zu schützen. Aber letztendlich tun wir dies, um die Cyber- und Datensicherheit der Gärtner selbst zu verbessern. Wenn Account-Daten erbeutet werden, kann es sein, dass Angebote auf Floriday nicht korrekt sind oder dass Einkäufe zu anderen Preisen getätigt werden.“

Kontinuierlicher Prozess

Selbst ein großer Zwischenfall schafft kein dauerhaftes Bewusstsein. Andre: „Es gibt gelegentlich Vorfälle, bei denen Unternehmen in der Branche von Ransomware betroffen sind. Am Ende erfolgte dies zu einem Zeitraum, in dem es wenig Handel gab und schnell eine Lösung gefunden werden konnte, sodass der Schaden nicht allzu groß wurde. Trotz alledem war dies ein Schrecken für alle in der Branche. Bei einem solchen Fall ist Cybersecurity dann für ein paar Monate ein Topthema, aber danach nimmt die Aufmerksamkeit wieder ab. Das zeigt, dass wir kontinuierlich Kenntnisse miteinander teilen und das Bewusstsein fortwährend stärken müssen. Denn es wird eine Zeit kommen, in der ein Angriff kein weit entferntes Problem mehr sein wird. Dann ist es wahrscheinlich zu spät. Das müssen wir verhindern; für Gärtner und Käufer, für Royal FloraHolland und die Branche.”