IT-Sicherheit auf neuestem Stand halten

Mit gleich zwei Forschungsprojekten demonstrierte der Sicherheitsanbieter Check Point kürzlich die Anzahl und Auswirkungen von Phishing-Angriffen, womit man IT-Verantwortlichen gleichzeitig wirksame Schutzvorkehrungen gegen die sich ständig weiterentwickelnden Cyber-Bedrohungen an die Hand geben möchte. Dafür analysierte man im jüngsten Sicherheitsbericht die Aktivitäten von über 31.000 Gateways weltweit, die u.a. auch bei mittelständischen Kunden installiert sind. Im Zuge dessen enthüllte man Details zu den Gefahren, denen Unternehmen durch bekannte und unbekannte Malware sowie durch aktuelle Angriffstrends ausgesetzt sind.

Desweiteren befragte man mehr als 300 IT- und Sicherheitsexperten in aller Welt und kam so weiteren Bedrohungen auf die Schliche, mit denen Firmen derzeit konfrontiert werden. Die Befragung zeigt auf, wann und wie sich die Bedrohungen zu Vorfällen entwickeln, welche Bedrohungsarten die größten Auswirkungen hatten und welches die größten Herausforderungen für den Schutz von Unternehmen sind. „Bei Milliarden neuer Verbindungen, die pro Minute zustande kommen, ist die Welt vernetzter denn je. Cloud Computing, Mobilität oder das Internet der Dinge verändern die Art und Weise, wie wir Technologien einsetzen, wie wir sie konsumieren und wie wir sie sichern“, sagt Amnon Bar-Lev, Präsident von Check Point.

Millionen neuer Malware-Varianten

Der Überblick über die Bedrohungslandschaft – vom Netzwerk bis zum Endpunkt – lieferte dabei u.a. ­folgende Ergebnisse:

• Unbekannte Malware setzt ihr exponentielles und evolutionäres Wachstum fort. Die Forscher stellten einen neunfachen Anstieg bei der Anzahl unbekannter Malware fest, von der Unternehmen heimgesucht werden. Verschärft wurde diese Situation durch die Mitarbeiter, die alle vier Sekunden eine neue unbekannte Malware herunterluden. Alles in allem wurden jeden Monat fast zwölf Millionen neue Malware-Varianten entdeckt, womit in den beiden vergangenen Jahren mehr neue Malware entdeckt wurde als im ganzen zurückliegenden Jahrzehnt.
• Sicherheit hinkt hinter der Verbreitung der Mobilgeräte her: Da mehr als 60 Prozent der mit digitalen Medien verbrachten Zeit auf Smartphones und Tablets entfallen, stellen die Devices Fluch und Segen gleichermaßen dar. Fluch, was den Zugriff betrifft, und Segen für die Unternehmensproduktivität. Mitarbeiter möchten zwar nicht die Ursache einer Netzwerkpanne sein, doch einer von fünf Nutzern verursacht eine solche durch mobile Malware oder bösartiges Wi-Fi.
• Endpunkte sind die Ausgangspunkte für die meisten Bedrohungen. Bei den untersuchten Unternehmen waren Endpunkte die häufigste Ursache erfolgreicher Angriffe und die kritischsten Elemente der Cyber-Abwehr, denn die Angreifer nutzen in 75 Prozent der Fälle E-Mails. Bei 39 Prozent der Endpunktangriffe wurden auch die Firewalls der Netzwerk-Gateways umgangen. Routineabläufe deckten 85 Prozent der Bedrohungen erst auf, nachdem sie bereits das Unternehmen erreicht hatten.

Generell sind die Mitarbeiter und IT-Experten in deutschen Unternehmen in Bezug auf das steigende Risiko von Cyber-Attacken und Insider-Bedrohungen allerdings zuversichtlicher als ihre Kollegen in Frankreich, dem Vereinigten Königreich und den USA. Zu diesem Ergebnis kommt eine aktuelle Umfrage von Ponemon Institute unter mehr als 3.000 Mitarbeitern in Europa und den USA, die der Sicherheitsanbieter Varonis Systems unterstützte.

• Dabei gaben 50 Prozent der Befragten in Deutschland an, alle erforderlichen Maßnahmen zum Schutz der von ihnen genutzten Firmendaten zu ergreifen. Im Vereinigten Königreich waren das nur 39 Prozent, in Frankreich 37 Prozent und in den USA 35 Prozent.
• Außerdem sagten 44 Prozent der deutschen Beschäftigten, dass ihr Unternehmen Richtlinien gegen Missbrauch von oder unbefugten Zugriff auf Daten strikt durchsetzt. Im Vereinigten Königreich (mit 35 Prozent), den USA (mit 32 Prozent) und Frankreich (mit 29 Prozent) war diese Zahl hingegen deutlich niedriger.

Neben den Problemen mit Malware und internen wie externen Sicherheitslücken kämpfen viele mittelständische Unternehmen mit der Organisation einer sicheren Authentifizierung ihrer Mitarbeiter. Zu diesem Ergebnis kommt eine Ende September 2016 veröffentlichte Studie von Techconsult. Insbesondere mit dem Einsatz von Tokens, Zertifikaten oder biometrischen Merkmalen seien viele noch überfordert.

Authentifizierung ist oft zu komplex

Dabei gilt sichere Authentifizierung als zentrale Herausforderung, die Unternehmen im Rahmen ihrer Sicherheitsstrategie lösen müssen. Nicht zuletzt ist der Bedarf durch den zunehmenden Einsatz mobiler Endgeräte weiter gestiegen. Um Authentifizierung sicher zu gestalten, setzen die meisten Unternehmen laut Studie vor allem auf die Durchsetzung von Passwortvorgaben: Ein Passwort muss aus mindestens 12 Zeichen bestehen, Groß- und Kleinschreibung, Zahlen und Sonderzeichen enthalten usw. Auch empfehlen die Marktanalysten, statt einfachen Passwörtern ganze Sätze, sogenannte „Passphrases“, zu verwenden, weil die Länge des Passworts die Sicherheit in stärkerem Maße beeinflusst als die Zeichenvielfalt (siehe z.B. XKCD „Password Strength“). Mit der aktuellen Umsetzung von Passwortvorgaben haben jedoch 57 Prozent der Befragten Probleme bzw. besitzen noch keine solcher Vorgaben.

Ein weiterer Schritt, Authentifizierung sicherer zu gestalten, besteht gemäß der Umfrage darin, zusätzliche Faktoren einzubeziehen. Ein bekanntes Beispiel hierfür ist die Nutzung von Chipkarte und PIN am Geldautomaten. Auch in Unternehmen ist die Authentifizierung mittels Smartcard und Passwort gelegentlich anzutreffen. Neben einem Passwort authentifiziert sich der Nutzer mittels Chipkarte und Kartenleser am Rechner. Solche Zwei-Faktor-Authentifizierungen (2FA) gelten als deutlich sicherer als einfaktorielle Authentifizierungsverfahren. Werden sogar drei oder mehr Wege kombiniert, spricht man von Multi-Faktor-Authentifizierung. In der Regel werden dabei drei Elemente kombiniert: Wissen, Besitz und biometrisches Merkmal. Ein Beispiel für eine solche Multi-Faktor-Authentifizierung wäre demnach eine Kombination aus Passwort (Wissen), Smartcard (Besitz) und Fingerabdruck (biometrisches Merkmal).

Techconsult kommt zu dem Ergebnis, dass sich zwei- bzw. mehrfaktorielle Authentifizierung vor allem auch für die Nutzung auf mobilen Endgeräten anbietet, weil damit auf die sonst geforderte große Passwortlänge verzichtet werden kann. Daher sind PIN-TAN-Kombinationen (z.B. mit TAN über SMS) durch die Trennung der verschiedenen Kanäle sicherer als lange Passwörter. Gleichzeitig lassen sie sich am Smartphone besser eingeben. Mit der Umsetzung dieser anspruchsvolleren Verfahren haben deutlich mehr Probleme als mit Passwortvorgaben. Rund zwei Drittel berichten, dass zertifikatsbasierte Authentifizierungsverfahren oder Verfahren unter Nutzung eines unabhängigen Kommunikationskanals bzw. Mediums zur Authentifizierung und Autorisierung von Transaktionen (Smartcards, SMS-Tan, USB-Token, …) nicht gut umgesetzt sind. Biometrische Authentifizierungsverfahren wie Fingerabdruckscan, Iris-Scan, Gesichts- oder Spracherkennung weisen sogar bei mehr als 70 Prozent Probleme auf.

Die Probleme, die mittelständische Unternehmen rund um die Authentifizierung aufweisen, finden sich im übrigen mehr oder weniger unabhängig von Branche oder Größenklasse. Es lassen sich allenfalls leichte Unterschiede feststellen. Selbst Rechenzentren haben mit Multi-Faktor-Authentifizierung ihre Probleme, wie Techconsult in einer anderen, spezifisch auf Rechenzentren zielenden Studie (Optimized Data Center) herausgefunden hat, berichtet Analyst Marco Becker. Demnach bewertet nur ein Drittel der befragten Rechenzentrums- und Serverraumbetreiber die eigene Umsetzung als gut oder sehr gut. Zwei Drittel weisen Probleme auf, jedes fünfte Rechenzentrum sogar so große, dass sie die Umsetzung selbst als mangelhaft oder gar ungenügend beschreiben würden.

Bildquelle: Thinkstock/iStock