Das Gesetz des Handelns

Kürzlich hat der Trojaner Duqu, ein professionelles Angriffstool, gezeigt, dass sich die Sicherheitslage in keiner Weise entspannt hat. Vor diesem Hintergrund erscheint die reaktive Art, mit der Unternehmen bisher auf solche Bedrohungen eingehen, problematisch. Meist wurde auf die nächste Attacke der Malware-Indus­trie gewartet, um anschließend mit Warnungen und spezialisierten Tools dagegen vorzugehen.

Zumindest auf politischer Ebene ist mittlerweile ein Umdenken zu erkennen. Noch 2010 hat die EU-Kommission einen Maßnahmenkatalog zur Netz- und Informationssicherheit vorgelegt; 2011 wurde in Deutschland das nationale Cyber-Abwehrzentrum als „Plattform zum schnellen Informationsaustausch und zur besseren Koordinierung von Schutz- und Abwehrmaßnahmen gegen IT-Sicherheitsvorfälle“ gegründet. Da Behörden die Szene aber weder im nationalen noch internationalen Rahmen in absehbarer Zeit mit juristischen oder polizeilichen Mitteln trockenlegen können, müssen Unternehmen wie Privatpersonen weiterhin selbst aktiv sein.

Die bisher erreichte Komplexität der Bedrohungen bedeutet für Unternehmen und einzelne Behörden, dass sie in der Regel das zur Abwehr nötige Know-how nicht mehr aufbringen können. Der Kampf gegen aktuelle Risiken wie SQL-Injection-Attacs, gegen automatisierte Malware, gegen die Verwendung von SSL-Verbindungen zum Abgreifen von Daten oder auch der Einsatz von „Scareware“, also von irreführenden Warnhinweisen, setzt Know-how, Erfahrung und ständige Befassung mit dem Thema voraus. Das können nur noch IT-Sicherheitsspezialisten leisten, die sich mit nichts anderem beschäftigen als mit Cyber-Sicherheit. Hier kombinieren Managed-Security-Angebote aktive Überwachung mit proaktiver Erforschung möglicher Bedrohungen. Das Gesamtsystem wird gewissermaßen durch den ersten Angriff immunisiert, und damit sind alle anderen Kunden des Managed Services geschützt. Um den Angreifern nicht das Gesetz des Handelns zu überlassen, müssen für Cyber-Sicherheit auch neue Strategien entwickelt werden. Zwar stellt der Einsatz neuer Technologien, beispielsweise zum Aufbau „gehärteter IT-Systeme“, einen zusätzlichen Aufwand dar. Die genaue Beleuchtung und Bewertung dieser Risiken zeigt aber meist schnell, dass ein Ausbau der Sicherheit letztlich unvermeidlich ist.

Für Hochsicherheitsaufgaben, beispielsweise bei Regierungen, im militärischen Bereich aber auch bei Infrastrukturunternehmen wie Kraftwerken oder Krankenhäusern, wird der Weg zu mehr Sicherheit nicht an den Kosten der „besten“ Lösung scheitern. Hier werden physikalisch getrennte Netze benötigt. In Deutschland wurde dies für Bundesbehörden beispielsweise mit dem Informationsverbund Berlin-Bonn (IVBB) realisiert. Bisher ist es Dritten nicht gelungen, in dieses Netz einzudringen, obwohl auf den IVBB ständig Angriffe unternommen werden. Auch Energieversorger steuern Kraftwerke und Umspannstationen in Deutschland nicht über das öffentliche Netz – im Unterschied etwa zu den USA, wo sich nach ersten Berichten über „ferngesteuerte“ Wasserwerke eine Diskussion über die Sicherheit dieser Anlagen entwickelt.

Nötig ist also eine Sicherheitsarchitektur für die gesamte IT: Es gilt, Cyber-Security-Standards auch auf technischer Ebene verbindlich zu regeln und die Abwehr von Angriffen tiefer als bisher in den Systemen zu verankern, beispielsweise durch eine auf Hardwareebene eingebaute Verschlüsselung. Hier sind Einzellösungen bereits heute verfügbar und können in ein neues Cyber-Security-Konzept eingehen.