Qualität bei der IT-Sicherheit

IT-DIRECTOR: Herr Gula, wie hoch ist der Risikofaktor „Cyberkriminalität“ im Jahr 2014 für Großunternehmen?
R. Gula: Cyberangriffe auf Unternehmen mit ordentlichen Sicherheitsvorkehrungen werden immer billiger. Wenn Netzwerke wachsen, nehmen auch die Verbindungen von Computern untereinander exponentiell zu. Alle diese Verbindungen zu überprüfen, wird damit immer schwieriger – und ein Angreifer braucht nur eine einzige Sicherheitslücke, um Erfolg zu haben.

IT-DIRECTOR: Inwiefern sind sich die Unternehmen diesem Risiko bewusst und gehen dagegen an?
R. Gula: Einige Unternehmen sind sich dieser Gefahr inzwischen sehr bewusst. In der jüngeren Vergangenheit gab es einige Weckrufe in diesem Bereich. In den USA konnte 2013 nachgewiesen werden, dass China Cyberspionage für wirtschaftliche Vorteile betreibt, wir haben den gigantischen Umfang der NSA-Spionageaktivitäten kennengelernt, einige große US-Handelsketten mussten den Verlust von Millionen von Kreditkartendaten eingestehen und in Deutschland sorgte das BSI Anfang 2014 mit der Warnung vor Identitätsdiebstählen für Furore. Wer noch nicht in IT-Sicherheit investiert hat, kauft Technologie ein, die vor Eindringlingen und Malware schützen soll. Das allein ist aber nicht genug. Besser aufgestellte Organisationen nutzen Compliance-Vorgaben und Audits, um systematisches Schwachstellenmanagement zu etablieren und Einfallstore zu schließen, die andernfalls Datendiebstahl und das Kompromittieren des Netzwerks erst erlauben würden.

IT-DIRECTOR: Warum reicht IT-Sicherheit allein nicht mehr aus? Welche Rolle spielt die Qualitätssicherung in der IT-Sicherheit?
R. Gula: IT-Systeme sind schlicht viel komplexer als noch vor zehn Jahren. Heute haben wir Mobilnutzer, Cloud Computing und wesentlich mehr Anwendungen, die alle jeweils eigene sogenannte Zero-Day-Exploits mit sich bringen als jemals zuvor. Es reicht nicht, sich auf Systeme zum bloßen Aufspüren von Eindringlingen zu verlassen. Die Komplexität und die Vielzahl von Möglichkeiten, Angriffstechniken zu kombinieren, machen die zuverlässige Erkennung jedes Angriffs schlicht unmöglich, und dann bleibt wenig bis keine Zeit, den Angriff noch abzuwehren. Qualitätssicherung gewährleistet, dass die IT-Verantwortlichen einschätzen können, wie verwundbar ihr Netzwerk ist und ob Gegenmaßnahmen regelmäßig auf alle IT-Assets wirksam ausgerollt werden.

IT-DIRECTOR: Mit welchem Aufwand ist das Schwach-
stellenmanagement in komplexen IT-Umgebungen ­verbunden?
R. Gula: Wir konzentrieren uns beim Schwachstellenmanagement auf kontinuierliches Monitoring. Auf den ersten Blick erscheint das wie eine Schwachstellenüberprüfung jeden Tag und so oft wie möglich. Viele Unternehmen würden mit so vielen, ständig neu erhobenen Daten auch schlicht nicht zurechtkommen. Das Ziel dieser fortlaufenden Überprüfung ist aber Risikominimierung. Wenn beispielsweise eine Organisation ihr Netzwerk monatlich auf Schwachstellen scannt, bleibt ein potentielles Einfallstor im schlimmsten Fall einen Monat lang unentdeckt. Wer sein Netzwerk täglich überprüft, kann Schwachstellen mit sehr viel höherer Wahrscheinlichkeit rechtzeitig vor einem Angriff oder Pro-blemen bei der Compliance ausbessern. Ende 2013 haben wir Forrester beauftragt, das genauer zu untersuchen. 41 Prozent der befragten Unternehmen, die auf kontinuierliches Monitoring im Schwachstellenmanagement setzen, können ohne Probleme rechtzeitig Patches in ihren Systemen ausrollen. Bei Unternehmen ohne kontinuierliches Monitoring gaben nur 28 Prozent an, Einfallstore problemlos schließen zu können.

IT-DIRECTOR: Was sind häufige Sicherheitslücken in Unternehmen?
R. Gula: Die meisten Geräte in einem Netzwerk sind in der Regel Laptops oder Desktop-Computer, für die Microsoft alle zwei Wochen an seinem Patch Day Sicherheitslücken in Windows-Betriebssystemen oder Office-Anwendungen stopft. Damit sind das auch die häufigsten Sicherheitslücken. Absolute Zahlen allein spiegeln aber das tatsächliche Risiko nicht wider: Ein einzelner, nicht gepatchter Server ist vielleicht nur eine Sicherheitslücke unter hunderten Client-PCs mit weiteren Lücken. Aber wenn der Server das einzige System ist, auf das über das Internet direkt zugegriffen werden kann, stellt er ein wesentlich größeres Sicherheitsrisiko für das Unternehmen dar.

IT-DIRECTOR: Hinter dem Nessus-Scanner soll sich ein De-Facto-Standard für das Schwachstellenmanagement verbergen. Woran machen Sie das fest?
R. Gula: Der Scanner ist ein weit verbreitetes Produkt für Schwachstellen- und Konfigurationsbewertung. Unsere kostenlose Home-Lizenz kommt häufig zur Anwendung; mit knapp 25.000 zahlenden Kunden weltweit haben wir gegenüber unserem nächstgrößeren Mitbewerber einen Vorsprung von etwa 15.000. Außerdem haben wir einige große IT-Sicherheitskunden weltweit, einschließlich des US-Verteidigungsministeriums.

IT-DIRECTOR: Was sind die Voraussetzungen, um den Scanner im ­Unternehmen einsetzen zu können? Für welche Großunter­nehmen ist die Lösung interessant?
R. Gula: Auf der technischen Ebene kann der Scanner auf Windows-, Mac- oder Linux-Systemen installiert werden, aus der Amazon-Cloud oder als Teil des Nessus-Perimeter-Services ausgeführt werden. Außerdem benötigen die Anwender eine Liste der Systeme, Netzwerke oder Webseiten, die sie scannen möchten. Welche Art von Scan ausgeführt wird, hängt vom ausgewählten Audit ab: Vielleicht wollen sie eine umfassende Analyse, die Malware aufspürt, vielleicht möchten sie einfach nur alle Geräte schnell auf Schwachstellen scannen. Die Ergebnisse lassen sich in unterschiedlichen Reports ausgeben und speichern.

IT-DIRECTOR: Können Sie uns Anwenderbeispiele aus der DACH-Region nennen?
R. Gula: In dieser Größenordnung kommen unsere Lösungen in der DACH-Region bei Unternehmen aus den Bereichen Finanz- und Versicherungsdienstleistungen, Maschinenbau, erneuerbaren Energien sowie bei Behörden und im Gesundheitswesen zum Einsatz.