Lage der IT-Sicherheit in Deutschland

Greg Day, Europa-Chef bei Palo Alto Networks und gestandener Praktiker bei der Abwehr von Cyberangriffen, will nicht den Unternehmen den Schwarzen Peter zuzuschieben. Denn die IT-Team müssten heutzutage täglich mit einer Vielzahl an neuen Informationen umgehen– auch aus dem Bereich der Sicherheit, die sie einfach überfordert. „Außerdem haben viele das Problem, dass ihre Infrastrukturen wilde Flickenteppiche sind, die auf konventionelle Art und Weise nur schwer zu überblicken und zu schützen sind“, so Greg Day. „Aufgrund dieses Wirrwarrs fällt es vielen schwer selbst die Grundlagen der Sicherheit zu beachten. An dieser Stelle muss es das oberste Ziel sein die Komplexität zu reduzieren.“ Der Leiter des BSI ging auf der Pressekonferenz mehrfach auf die wachsende Bedeutung von „Advanced Persitent Threats (ATPs) ein. Diese werden heute nicht mehr nur von Geheimdiensten, sondern auch von Terroristen und Cyberkriminellen genutzt.

Das beobachtet Day ebenfalls, der deshalb nicht länger Angreifer isoliert betrachtet, sondern den Fokus auf ganze Industrien und Regionen erweitert. Es seien Fragen zu stellen wie: Mit welchen Angriffen müssen aktuell vor allem Banken rechnen oder wie gehen Kriminelle am ehesten gegen Kraftwerke vor? Es müsse also deutlich mehr Wissen über die Attacken zusammengetragen und ausgewertet werden. Dazu müssten auch die Anbieter von IT-Sicherheitstechnik enger zusammenarbeiten und Erkenntnisse austauschen.

Im Zusammenhang mit der schwindenden Fähigkeit sich zu schützen stellt der Report auch fest, dass klassische Antiviren-Programme zu langsam aktualisiert werden um effektiven Schutz zu bieten. Das liegt auf der Hand, denn neue Malware entsteht so rasch in so hoher Zahl, dass der konventionelle Ansatz nicht mehr funktionieren kann. Heutige Angriffe bestehen aus so vielen Elementen (Attack Lifecycle), die einfach verändert werden können, so dass Unmengen an individueller Malware binnen Minuten verbreitet werden kann. Deswegen muss hier ein Umdenken stattfinden – weg von der Betrachtung der einzelnen Schadsoftare als einzelne Bedrohung und hin zu einem Vorgehen, in dem das generelle Verhalten von Software analysiert wird, um brandneue Malware schon an ihrem Verhalten zu erkennen.

Neben der Problembeschreibung liefert das BSI aber auch Handlungs­empfehlungen – und fordert bei der Cybersicherheit einen Dreiklang aus Prävention, Detektion und Reaktion. Zwar kann eine Behörde das leicht als „Best Practise“ kommunizieren, doch stehen die IT-Chefs eben vor der Herausforderung dies auch umzusetzen. Hier besteht die große Kunst darin, die richtige Balance zwischen Investment und Risiko zu finden.

Day beobachtet eine gewisse Resignation, so dass IT-Chefs mehr in das Beseitigen von Schäden investieren als in die Prävention – das Eingeständnis einer Niederlage. Dabei sei die Lösung nicht so schwer, denn viele Attacken würden frühzeitig entdeckt – nur dann käme leider noch zu oft der „Faktor Mensch“ ins Spiel, der oft nicht weiß, wie er mit den Infos umgehen soll. Deshalb rät Day dazu, die Analyse von Angriffsdaten zu automatisieren und über Big Data-Tools zu unterstützen: „Nur mit automatisierter Sicherheit kann man sich gegen automatisierte Attacken schützen!“