Von Jomarc Angelo M. Corpuz, Special Features and Content Writer

Krisen der modernen Zeit spielen sich zunehmend in einem Bereich ab, der weit entfernt ist von Naturkatastrophen, wirtschaftlichen Schocks, gesellschaftlichen Umbrüchen und militärischen Konflikten, die frühere Jahrzehnte prägten. Seit das Internet um die Jahrhundertwende den Welthandel verändert hat, ist der Cyberraum zu dem Schauplatz geworden, an dem Regierungen, Institutionen und private Unternehmen ihre Geschäfte abwickeln — und an dem Angriffe innerhalb weniger Minuten Abläufe beeinträchtigen und das öffentliche Vertrauen schwächen können. Die Philippinen, wo die digitale Nutzung sich in Bankwesen, Einzelhandel und staatlichen Dienstleistungen rasch beschleunigt hat, sind von diesem Wandel nicht verschont geblieben, wodurch die Steuerung von Cybervorfällen zunehmend zu einer Angelegenheit auf Vorstandsebene wird.

Vor diesem Hintergrund erfordert Cybersicherheit starke Führung, klar definierte Governance und abgestimmte Entscheidungsfindung — ein deutlicher Bruch mit der langjährigen Annahme, dass sie ausschließlich in den Zuständigkeitsbereich der Informationstechnologie fällt. Diese Sichtweise steht im Einklang mit international anerkannten Rahmenwerken wie dem Cybersecurity Framework des U.S. National Institute of Standards and Technology (NIST) und dem Zero-Trust-Modell, die beide Resilienz und Reaktionsfähigkeit neben der Prävention betonen.

Diese Themen standen im Mittelpunkt der zweiten Podiumsdiskussion des BusinessWorld Cybersecurity Summit 2026 mit dem Titel "Being a Crisis Commander in the Event of a Cyber-Attack". Fach- und Risikoverantwortliche von JG Summit Holdings, Inc., einem der größten Konglomerate der Philippinen mit Aktivitäten in den Bereichen Lebensmittel, Immobilien, Bankwesen und Luftfahrt; GCash, der dominierenden Mobile-Wallet-Plattform des Landes mit Millionen täglicher Transaktionen; GT Capital Holdings, Inc., einem großen diversifizierten Konglomerat; der Information Security Officers Group (ISOG), einem philippinischen Branchenverband für Cybersicherheitsfachleute; sowie Accenture, einem globalen Professional-Services-Unternehmen, teilten Strategien zur Stärkung der organisatorischen Vorbereitung und zum Umgang mit Cyberkrisen.

Ein Sicherheitsvorfall ist unvermeidlich

Dennis Matthew F. Opiso, Chief Information Security Officer von JG Summit Holdings, forderte Organisationen auf, sich einer unbequemen Realität zu stellen: Unabhängig davon, wie ausgefeilt ihre Sicherheitssysteme werden, sind Cybervorfälle unvermeidlich. Das wahre Maß der Vorbereitung, argumentierte er, liege nicht darin, ob eine Organisation jeden Angriff abwehren könne, sondern darin, wie wirksam sie reagiert, wenn einer erfolgreich ist.

"The most useful sentence in this entire panel is: assume a breach is not a possibility, but an inevitability," sagte er. "Most organizations nod at that sentence, then keep budgeting, planning, and organizing as if prevention were the whole job. The gap between what we say we believe and what we actually prepare for is the gap where incidents become disasters."

Ausgehend von seiner Erfahrung beim Schutz der verschiedenen Geschäftsbereiche von JG Summit stellte Mr. Opiso fest, dass jede Branche Betriebsstörungen unterschiedlich definiert. Ein vorübergehender Ausfall kann in einem Unternehmen verkraftbar sein, während er in einem anderen kritische Abläufe zum Stillstand bringen könnte. Jedes Unternehmen werde früher oder später seinen eigenen "bad day" erleben, sagte er, und plädierte für ein breiteres Verständnis von Krisenmanagement — eines, das Führung in den Mittelpunkt der Incident Response stellt.

"Crisis command is a leadership discipline, not a technical one. The commander's job during an incident is not to read logs," sagte Mr. Opiso. "It is to make decisions with incomplete information, keep the response aligned with business continuity, and keep people calm enough to do their jobs."

Er riet Organisationen außerdem, ihre Incident-Response-Playbooks regelmäßig zu üben, im Voraus festzulegen, wer im Krisenfall das Kommando übernimmt, und sicherzustellen, dass Kommunikations-, Rechts-, Betriebs- und Technologieteams ihre jeweiligen Verantwortlichkeiten kennen, falls es tatsächlich zu einem Sicherheitsvorfall kommt.

Klar definierte Pläne und Zuständigkeiten

Anknüpfend daran betonte Mafi Caringal, Managing Director von Accenture Advanced Technology Centers in the Philippines, dass Organisationen den bereits ausgearbeiteten Plänen vertrauen sollten, statt impulsiv zu reagieren, sobald sich ein Vorfall entfaltet.

"Number one, invoke the plan because you need to start the command. Make sure that the people who rightfully know what to do are there. Second, scope. Do the initial analysis. Don’t try to do threat hunting and solve everything. Scope the incident first. Then trigger notifications because, with your plans and your runbooks, it’s all defined there. Trigger the necessary notifications, including legal privilege," erklärte sie.

Die Betonung rechtlicher Benachrichtigungen spiegelt die Pflichten unter dem Data Privacy Act of 2012 der Philippinen (Republic Act No. 10173) wider, der Organisationen verpflichtet, die National Privacy Commission innerhalb von 72 Stunden nach Entdeckung einer Verletzung personenbezogener Daten zu informieren. Für Finanzinstitute gelten darüber hinaus zusätzliche Meldepflichten der Bangko Sentral ng Pilipinas (BSP) nach ihren Leitlinien zum Informationstechnologie-Risikomanagement und zur Cybersicherheit, was unterstreicht, warum die Rechtsabteilung frühzeitig in den Reaktionsprozess eingebunden werden muss.

Ebenso wichtig sei es, sagte Ms. Caringal, Unklarheiten in der Führung zu beseitigen. Da Cybervorfälle unter hohem Druck und zu unvorhersehbaren Zeitpunkten auftreten, ist klar definierte Autorität für eine wirksame Reaktion unerlässlich.

"It has to be clearly called out who that commander is because, when an attack does happen, either everyone assumes somebody else is in charge, or there are simply too many commanders. This is a very high-stress situation," betonte sie.

Mr. Opiso schloss sich dieser Sicht an und erklärte, dass der benannte Kommandierende je nach Organisationsstruktur unterschiedlich sein kann. In manchen Unternehmen könne es der Chief Information Security Officer sein; in anderen der Chief Information Officer, Chief Financial Officer oder ein anderer Führungskräfte. Entscheidend sei letztlich, dass die Entscheidung bereits vor dem Vorfall getroffen wurde.

Digitale Beweise sichern

Die Panelteilnehmer sprachen auch über die technischen Aspekte der Krisenreaktion. In diesem Zusammenhang warnte Ms. Caringal davor, kompromittierte Dateien vorschnell zu löschen oder betroffene Systeme herunterzufahren, nur um den Betrieb so schnell wie möglich wiederherzustellen.

"From a technical perspective, not preserving evidence is a major mistake, especially if you later want to solve the incident, prevent it from happening again, and strengthen your plans and your zero trust architecture. We need that evidence. Sometimes people immediately say, ‘Delete it,’ or ‘Shut it down,’ but we need that information from a technical standpoint," sagte sie.

Engr. Luis A. Jacinto, President und Founding Member der Information Security Officers Group (ISOG), bekräftigte diesen Punkt und warnte, dass gut gemeinte Maßnahmen in den ersten Stunden eines Vorfalls spätere Untersuchungen erheblich erschweren können.

"If you wipe the device, you lose all your forensic data, and that’s one of the worst things that you could do," sagte er.

Statt kompromittierte Systeme sofort auszuschalten, empfahl Mr. Jacinto, sie vom Netzwerk zu isolieren und gleichzeitig Beweise zu sichern, die Ermittler später nutzen können, um den Zugang der Angreifer nachzuvollziehen und ähnliche Vorfälle künftig zu verhindern. Gesicherte Beweise können auch für Versicherungsansprüche, behördliche Prüfungen und mögliche rechtliche Verfahren nach einem Sicherheitsvorfall von entscheidender Bedeutung sein.

Mr. Jacinto sprach sich außerdem für einen organisationsweiten Ansatz in der Krisenreaktion aus, der die Koordination zwischen Führungskräften, Technologie-Teams, Governance-Verantwortlichen, Rechtsberatung, Unternehmenskommunikation und operativen Leitungen einschließt. Dennoch müsse die Verantwortung auf der höchsten Ebene der Organisation konzentriert bleiben.

"The CEO is ultimately responsible, and the CEO is ultimately accountable," sagte Mr. Jacinto. "However, the CEO can delegate the responsibility, but not the accountability."

Erst verstehen, dann kommunizieren

Das Panel betonte ferner, dass technische Bereitschaft von disziplinierter Kommunikation begleitet werden muss — insbesondere in den ersten Stunden eines Vorfalls, wenn verifizierte Informationen noch knapp sind.

Mar Apuhin, Chief Information Security Officer bei GT Capital Holdings, hob hervor, dass die unmittelbare Priorität darin bestehen sollte, die Lage vollständig zu verstehen, bevor intern oder extern kommuniziert wird.

"So, this is a very high-stress situation. In our case at GT Capital, the default is the CISO. There’s no doubt about that. So, the main goal, perhaps, is getting accurate information by convening the team, the leadership team, the [executive committee], and then activating the incident response. If you guys outsource it to a third party, don’t forget them. Those will be the source of verified information. And then, we don’t speculate," sagte er.

Mr. Apuhin führte diesen Ansatz weiter aus und erklärte, dass Organisationen zunächst den Umfang und die potenziellen Auswirkungen eines Vorfalls bewerten sollten, bevor sie das Krisenkommunikationskomitee oder das Incident-Response-Team einberufen. Sobald die Führung zusammengekommen ist, bestehe der nächste Schritt darin, die Angelegenheit an Führungskräfte zu eskalieren, die Geschäftsentscheidungen überwachen, während die technischen Teams ihre Untersuchung fortsetzen.

Da sich Cybervorfälle oft rasch und mit begrenzten Informationen entwickeln, ermutigte er Organisationen, offen darüber zu sein, was sie wissen, und gleichzeitig der Versuchung zu widerstehen, Informationslücken mit Annahmen zu füllen.

"Assess the blast impact, what’s happening. But understand, during the first hour, you don’t have much information yet. Assess what we do. Be frank. This is what I only know for the time being, what we’re doing. And this is what we’re going to do next," sagte er.

"The biggest mistake is communicating before facts are verified. We’re speculating, guys. Number two, that will result in creating misinformation or a credibility issue in your case," fügte Mr. Apuhin hinzu.

Mr. Jacinto vertrat eine ähnliche Ansicht und betonte, dass die Kommunikation während einer Cyberkrise sorgfältig kontrolliert werden sollte, bis Informationen bestätigt sind. Auch wenn Stakeholder zeitnahe Aktualisierungen verdienen, müssen Organisationen vermeiden, unvollständige oder ungenaue Informationen zu veröffentlichen, die Verwirrung oder unnötige Alarmierung auslösen könnten.

"There is certain information that you’re not supposed to release immediately. We’re not saying you’re not going to release it, but you’re not supposed to release it because it has not been confirmed," stellte er klar.

In einem Cyberraum, in dem sich Informationen ebenso schnell bewegen wie die Bedrohungen selbst, können Führung, Vorbereitung und koordinierte Entscheidungsfindung letztlich die stärksten Verteidigungslinien einer Organisation gegen einen unvermeidlichen Sicherheitsvorfall sein.