Drittanbieter gefährden Datensicherheit

ITM: Herr Stengaard, welche Art von Daten werden von Unternehmen derzeit hauptsächlich in die Cloud ausgelagert?
Morton R. Stengaard: Unternehmen speichern mehr und mehr Daten wie E-Mails, Bilder oder Dokumente aus den Bereichen Marketing, Finanzen oder Personal in der Cloud. Als Folge dieser Entwicklung werden natürlich auch Client-Daten online gespeichert.

ITM: Wie können Cloud-Anbieter die Datensicherheit garantieren?
Stengaard: In erster Linie sollten sie dafür sorgen, dass ihre Applikation keine Schwachstellen aufweist. Für Provider ist es immens wichtig, sich auf die Entdeckung und Schließung von Schwachstellen zu fokussieren und eng und konstruktiv mit Sicherheitsanbietern zusammen zu arbeiten.

ITM: Welche möglichen Risiken ergeben sich für kleine und mittlere Unternehmen?
Stengaard: KMUs sollten sich besonders dafür interessieren, wer Zugriff auf ihre Unternehmensdaten erhält. Selbstverständlich reden alle Anbieter von Backup-Diensten in der Cloud über Verschlüsselung und Sicherheit, einige Kandidaten bieten aber nicht immer die vom Kunden erhoffte Transparenz.

ITM: Wie groß ist die Gefahr über Drittanbieter-Software Daten zu verlieren? – Wie kann dem entgegengewirkt werden?
Stengaard: 86 Prozent aller Schwachstellen in den 50 meist genutzten Programmen werden in Drittanbieter-Software entdeckt und nicht in Programmen von Microsoft. Für Anwender bedeutet das, dass sie regelmäßig eine große Anzahl unterschiedlicher Sicherheits-Updates durchführen müssen. Nur so stellen sie sicher, dass die Drittanbieter-Programme nicht ungeschützt und die Computer für Hacker nicht angreifbar sind. Wer diesem Risiko entgegenwirken möchte, sollte seine Software regelmäßig und zeitnah mit verfügbaren Sicherheitspatches aktualisieren. Unabdingbar für die Softwaresicherheit ist eine durchdachte Patch-Management-Strategie – das gilt für kleine und mittelständische Firmen ebenso wie für größere Unternehmen.

ITM: Stichwort Patch Management: wie sollen KMUs von dieser Sicherheitslösung profitieren? – Was ist der Unterschied zu anderen Formen der Sicherheitslösungen?
Stengaard: Patch Management wird von vielen kleinen Unternehmen und Freiberuflern als Sicherheitsmaßnahme gar nicht wahrgenommen oder missverstanden. Sie wähnen sich und ihre Systeme mit Antivirus-Software, Daten-Backups und einer Firewall in vermeintlicher Sicherheit. Natürlich helfen die genannten Maßnahmen dabei, das Netzwerk zu schützen, das reicht aber noch nicht aus. Erst eine Patch-Management-Strategie und eine entsprechende Lösung runden das Sicherheitspaket für KMUs ab. Wer hauptsächlich Windows-Programme nutzt, profitiert davon, dass Microsoft in den vergangenen Jahren bereits einen Großteil der existenten Schwachstellen bereinigt hat. Allerdings sind die Produkte von Microsoft für nur 14 Prozent aller bekannten Schwachstellen verantwortlich. Den Löwenanteil, nämlich 86 Prozent der Schwachstellen, liefert Drittanbieter-Software, die nicht wie Programme von Microsoft regelmäßig aktualisiert und gepatcht wird. Hinzu kommt, dass 80 Prozent aller Angriffspfade aus entfernten Netzen stammen¹.

KMUs arbeiten in der Regel mit Drittanbieter-Software von Adobe oder Java. Diese Programme sollten jederzeit, auf jedem Computer in der Infrastruktur aktuell gehalten werden. Auch die beste Antivirus-Lösung kann Schwachstellen in der Software nicht vermeiden, das gelingt nur mit Software-Patches. Werden diese nicht effizient verwaltet, sind sämtliche PCs anfällig für unbefugtes Eindringen, Datendiebstahl, Spionage und Hijacking. Patch-Management-Werkzeuge sind ganz einfach anzuwenden, teilweise sogar einfacher als Antivirus-Software. Secunia Small Business ist beispielsweise eine Lösung speziell für kleinere und mittlere Unternehmen. Auf jedem zu schützenden Computer wird ein Endpoint-Client installiert, der die Software auf dem System regelmäßig überprüft und die Verfügbarkeit von neuen Patches anzeigt. Die Lösung scannt jeden PC automatisch, der Anwender wählt sich nur noch in regelmäßigen Abständen in ein webbasiertes Dashboard ein, das die Ergebnisse aller Client-Scans auflistet und eventuelle Probleme anzeigt.  

¹Statistiken aus der Vulnerability-Studie 2013 von Secunia