13.06.2022 Tipps für den besseren Schutz der Lieferketten vor IT-Angriffen

Supply-Chain-Security ist unabdingbar

Angriffe auf Lieferketten sind ein Trend, der bereits seit einigen Jahren anhält: Beim Software-Haus Solarwinds wurde der Update-Server mit der Schadsoftware Sunburst verseucht, oder nach dem Angriff auf Kasey im Juli 2021 mit der Malware Revil waren Kassensysteme von Firmen weltweit betroffen. Die Beispiele machen deutlich, dass solche Angriffe komplex und sehr zielgerichtet sind.

IT-Sicherheitsexpertin Patrycja Schrenk, Geschäftsführerin der PSW Group

„Cyberkriminelle verschleiern ihre Spuren so geschickt, dass kaum auszumachen ist, woher Angriffe kamen oder was ihr eigentliches Ziel war“, warnt IT-Sicherheitsexpertin Patrycja Schrenk. Nach Einschätzung der Geschäftsführerin der PSW Group aus Fulda ist es für solche Angriffe auf eine Lieferkette „nicht untypisch, dass sich Angreifende über die Zulieferer zum eigentlichen Ziel vorarbeiten. Damit ist die komplette Lieferkette betroffen und muss effizient abgesichert werden. Insbesondere die Attacken der letzten Jahre haben gezeigt, dass Supply-Chain-Security unabdingbar geworden ist.“

Laut Schrenk sind Angriffe auf Lieferketten ein „interessanter Mix aus Komplexität und Bekanntem“: Zwar planten die Kriminellen Lieferkettenangriffe langsam, da die Materie komplex ist. Die angewandten Methoden jedoch seien eher einfacher Natur, so Schrenk. Beispielsweise nutzten „die Kriminellen Schwachstellen in Software, Firmware oder Open-Source-Komponenten, Phishing, Malware und sogar gestohlene oder kompromittierte Zertifikate“.

Immerhin wird längst an Lösungen gearbeitet, die die Supply-Chain-Security stärken können. Einen Vorstoß in diese Richtung unternahm beispielsweise die Entwicklungsplattform Github: Mit einer neuen „Action“ und dazugehöriger API möchte die kalifornische Microsoft-Tochter verhindern, dass Sicherheitslücken in der Software-Lieferkette ihren Weg in Github-Code finden. Die sogenannten „Actions“ definieren Software-Workflows für Aufgaben im Bereich Continuous-Integration, -Delivery und -Deployment, also zum Erstellen, Testen und Verteilen des Programm-Codes direkt von Github aus. Auch Code-Reviews, Branch-Management oder Issue-Triaging lassen sich damit genau wie gewünscht durchführen, also auch mit den notwendigen Sicherheitsmaßnahmen.

Schritt für Schritt zu mehr Supply-Chain-Security

Aber auch jede IT-Abteilung kann selbst etwas dafür tun, Angriffe auf die Lieferketten des Unternehmens zu vermeiden. Wer ganzheitlich denkt und Zulieferer sowie Prozessbeteiligte einbezieht, hat den ersten Schritt getan, sagt Schrenk: „Der Schutz der eigenen Organisation beginnt bei der Prüfung der Lieferkette bezüglich Software, Hardware und Update-Status.“ Es solle ja sogar Organisationen geben, die sich überhaupt nicht darüber bewusst sind, was von wem bezogen wird. Ihr Rat ist vielleicht nicht besonders originell, aber tatsächlich sei der nächste Schritt, jedes einzelne Gerät mit Internetzugang zu schützen.

Zwar steigen die Budgets, die in Cybersicherheit investiert werden, ebenso von Jahr zu Jahr wie das Bewusstsein in den Unternehmen, dass entsprechende technische und organisatorische Maßnahmen nötig sind. „Sicherheitskompetenz, ein entsprechendes Sicherheitsbudget und die Nutzung aktueller Technologien sind mehr als sinnvoll“,so Patrycja Schrenk. „Jeder kann so in gewissem Maße mitentscheiden, inwieweit er oder sie Cyberkriminellen zum Opfer fällt. Schon der Verzicht auf Programme, bei denen bekannt ist, dass sie für die Verteilung von Malware missbraucht werden, ist eine wichtige Maßnahme. Wer beispielsweise den CCleaner nutzt, sollte sich für eine der vielen sauberen Versionen entscheiden.“

Phishing, Malware oder der Ausnutzung von Schwachstellen in der IT-Infrastruktur: Die Methoden der Cyberkriminellen für ihre Angriffen auf Lieferketten sind altbekannt. „Treffen können sie damit jeden im Unternehmen: Von der Assistenz bis zur Geschäftsführung ist niemand vor derartigen Angriffen gefeit. Deshalb müssen auch alle Mitarbeitenden mit Wissen rund um IT-Sicherheit ausgestattet werden, damit vorhandene Technik sicher genutzt wird, und Angriffe wie Phishing oder Social-Engeneering weitgehend ausgeschlossen werden“, rät Schrenk. „Das gelingt mit Awareness-Maßnahmen. In Schulungen lernen Mitarbeitende mögliche Angriffsszenarien kennen und erfahren, wie sie darauf reagieren können.“

Sich jedoch nur einen einmaligen Überblick zu verschaffen, genüge nicht. Nicht nur die eigene Systemlandschaft sollte überwacht werden, sondern auch die der gesamten Lieferkette – also auch die der Partner.

Bildquelle: PSW Group