Ausfälle durch Cyberangriffe sind für Boehringer Ingelheim keine Option

Herr Henrich, wenn ein Cyberangriff alles lahmlegt – was wäre …  

… das absolute Horrorszenario wäre, dass wir Patienten nicht mehr mit Medikamenten versorgen können. Aber es gibt auch ein zweites, etwas kleineres Horrorszenario: Wenn wir mehrere Tage lang nicht auf unsere Daten zugreifen könnten, würden wichtige Geschäftsprozesse zum Erliegen kommen. Beides müssen wir verhindern.  

Und die KRITIS-Gesetzgebung zwingt Sie dazu?  

Ich würde das etwas differenzieren: Die Sicherstellung der Medikamentenversorgung ist zunächst einmal unser ureigenes Geschäftsmodell. Wir haben schon immer Vorsorge getroffen – lange bevor KRITIS als Gesetzgebung existierte. Sie erinnert uns lediglich noch einmal daran, dass wir hier eine besondere Sorgfaltspflicht haben. Es ist eine gesetzliche Bestätigung dessen, was wir ohnehin tun.  

Stichwort Sorgfaltspflicht: Wie sieht das Sicherheitskonzept bei Boehringer Ingelheim aus?  

Aktuell registrieren wir im Monat über 20.000 Cyberangriffe – mit klar steigender Tendenz. Auch, weil Angreifer zunehmend KI nutzen, um ihre Methoden zu verfeinern. Darauf reagieren wir mit einer hybriden IT-Infrastruktur: eigenen Rechenzentren, sogenannten Co-Locations, die wir selbst betreiben, und den großen Hyperscalern – also Cloud-Anbietern –, auf deren Plattformen viele unserer Anwendungen laufen. Diese Welten müssen wir miteinander verbinden und so absichern, dass wir auch im Störfall auf kritische Daten zugreifen und zentrale Geschäftsprozesse weiter steuern können. Deshalb haben wir vor einigen Jahren interne Cybersecurity-Einheiten aufgebaut: eine, die schützt, und eine zweite, die uns gezielt angreift. So sehen wir, wo wir noch Schwachstellen haben.  

Wie läuft ein Angriff in der Praxis ab – und welche Rolle spielt dabei der Faktor Mensch?  

Die größte Angriffswahrscheinlichkeit geht nach wie vor von Phishing-E-Mails aus. Dabei werden Links verschickt, über die Passwörter abgegriffen werden sollen. Das klingt simpel, aber auch erfahrene Mitarbeitende klicken gelegentlich darauf. Daneben gibt es professionelle Hackergruppen, die gezielt in Netzwerke eindringen und Daten auslesen wollen. Wenn jemand auf einen verdächtigen Link klickt, ist es schon etwas spät – aber nicht zu spät. Wir setzen KI ein, um Logfiles und Datenverkehr in Echtzeit auszuwerten und Muster zu erkennen. Bekannte Angriffsvektoren – also typische Vorgehensweisen der Angreifer – sind dabei bereits hinterlegt. Gleichzeitig können Mitarbeitende verdächtige E-Mails auch aktiv melden. Und dann greifen je nach Fall klare Eskalationsprozesse: Wir können einzelne PCs isolieren, ganze Produktionsstandorte vom Netzwerk trennen oder E‑Mail‑Postfächer sperren.  

Auch die beste Abwehrtechnik kann also an einem Klick scheitern. Wie trainieren Sie das Verhalten Ihrer Mitarbeitenden?  

Wir setzen stark auf Verhaltensschulung und klare Regeln. Das fängt bei einem sicheren Passwort an, das regelmäßig geändert wird, und geht über die Multifaktor-Authentifizierung bis hin zum bewussten Umgang mit Social Media. Sensible Firmendaten gehören nicht auf Instagram oder Facebook. Wir machen dafür globale Awareness-Trainings. Und wir nutzen Monitoring-Tools, die alarmieren, wenn jemand ungewöhnlich viele Daten abzieht.  

Schutz endet nicht an der eigenen Firewall. Wie Sie bereits angesprochen haben, werden geschäftskritische Daten heute auch auf externen Plattformen großer Cloud-Anbieter verarbeitet. Wie souverän kann ein Unternehmen beim Thema Daten da überhaupt noch sein?  

Absolute Datensouveränität werden wir nie erreichen. Dafür sind wir zu stark auf globale Technologieplattformen angewiesen. Es gibt Anwendungen – etwa im Marketing –, die branchenweit genutzt werden und von denen wir als Pharmaunternehmen profitieren, weil wir Teil eines gemeinsamen Ökosystems sind. Aus diesen Plattformen auszusteigen, wäre unrealistisch. Gleichzeitig wäre es auch keine Lösung, alles nach Deutschland oder Europa zu verlagern. Dafür fehlen schon heute die Kapazitäten, und wirtschaftlich wäre das ebenfalls kaum sinnvoll. Schauen Sie sich zum Beispiel an, wie viele Rechenzentren Microsoft allein pro Monat baut und vergleichen Sie das mit den ein oder zwei Rechenzentren, die wir in Europa sehen. Würden wir uns ausschließlich auf europäische Anbieter konzentrieren, wären diese schnell überlastet. Das Entscheidende ist: Wir müssen sicherstellen, dass wir im Zweifelsfall auf unsere Daten zugreifen können, auch wenn eine Plattform ausfällt oder gesperrt wird und dabei gewährleisten, dass wir lokale Datenrichtlinien einhalten.  

Wie stellen Sie das an?  

Durch Datenspiegelung. Wir replizieren kritische Daten in eigene Rechenzentren und Co-Locations, die wir selbst kontrollieren. Hyperscaler arbeiten mit sogenannten Zonen-Konzepten, sodass Daten automatisch in andere Regionen gespiegelt werden. Im eigenen Rechenzentrum haben wir eigene Backup-Mechanismen und können Daten auch in andere Boehringer-Ingelheim-Standorte weltweit spiegeln. So nutzen wir alle verfügbaren Facetten, um den Zugriff im Störfall zu sichern.  

Sie beschreiben eine Infrastruktur, die immer komplexer wird und Datenmengen, die ständig wachsen. Kann man das ohne KI noch überblicken?  

Die Komplexität steigt erheblich. Wir müssen sicherstellen, dass wir diese Daten nicht nur speichern, sondern auch sinnvoll auswerten. Ohne KI wird das zunehmend schwierig, weil sie uns erlaubt, viel mehr Informationen miteinander zu verknüpfen und schneller zu beurteilen. Trotzdem ersetzt KI den Menschen nicht. Denn es gibt den sogenannten Halluzinationseffekt: Ergebnisse können falsch sein, obwohl sie plausibel klingen. Deshalb brauchen wir Experten, die das verifizieren.

Gleichzeitig ist der Zugewinn aber enorm. Themen, an denen ich gestern noch mehrere Stunden saß, erledigt mir KI heute in Minuten. Und in der Arzneimittelforschung bringt sie uns klar nach vorn. Wir können potenzielle Wirkstoffkandidaten schneller bewerten, Nebenwirkungen virtuell simulieren und durch das bessere Verständnis von Krankheitsmechanismen ganz neue Therapien entwickeln. Unterm Strich können wir damit sichere und innovative Medikamente noch schneller für Patientinnen und Patienten verfügbar machen, die möglicherweise dringend darauf warten. werden Entwicklungszyklen deutlich kürzer.  

Wenn Sie zum Schluss eine Botschaft frei hätten, dann …  

… dass wir in Deutschland und Europa zu sehr auf die Risiken verweisen. Ich glaube, wir müssen die Diskussion verlagern: weg von der Frage, was alles schiefgehen kann, hin zu der Frage, was alles möglich ist. Natürlich sind Risiken mit neuen Technologien verbunden. Aber wir dürfen sie nicht immer in den Vordergrund stellen. Sonst verpassen wir die Möglichkeiten, die vor uns liegen.