„Cybergefahren lauern an allen Ecken“

ITD: Herr Scheuring, wie gestaltet sich die derzeitige Bedrohungslage für IT-Systeme und Netzwerke von Großunternehmen bzw. Konzernen?
Sebastian Scheuring: Die Bedrohungslage ist unabhängig von Unternehmensgröße für alle gleich: hoch. Auf der einen Seite durch Angreifer, auf der anderen Seite aber auch durch externe Einflüsse, wie wir es in den letzten Jahren und Monaten gesehen haben. Ein Konzern ist genau wie ein mittelständisches Unternehmen von der Covid-19-Pandemie sowie von der Hochwasserkatastrophe betroffen. Die Tragweite kann eine andere sein, aber die Bedrohungslage ist gleich.

ITD: Welchen Einfluss üben Faktoren wie die Corona-Pandemie, der Klimawandel etc. auf die Bedrohungslage aus?
Scheuring: Es gibt zwei Bereiche, die durch die genannten Faktoren beeinflusst werden: Auf der einen Seite sind es die Mitarbeiter, die durch Corona oder Naturereignisse ins mobile bzw. Homeoffice geschickt werden. Dadurch erhöht sich die Angriffsfläche für Kriminalität. Angreifer müssen nun nicht mehr nur über das Unternehmensnetzwerk, sondern können auch über das private Wlan, das oft nicht den Sicherheitsstandards des Unternehmens entspricht, eindringen. Auf der anderen Seite steht die IT-Infrastruktur: Sobald nicht an einem festen Ort gearbeitet wird, ist es schwierig, alle Anwendungen zu managen. Die steigende Komplexität und Abhängigkeiten der Systeme, auch resultierend aus der immer weiter getriebenen Digitalisierung, ist für Administratoren eine Herausforderung, den Überblick zu behalten. Angreifer haben das erkannt und natürlich ausgenutzt.

ITD: Wie sollten Unternehmen handeln, wenn ihr Netzwerk z.B. durch Hacker angegriffen wurde oder unwetterbedingt Schaden genommen hat?
Scheuring: Der Eindringling muss schnellstmöglich wieder entfernt werden, genau wie alle Dinge, die er angerichtet hat. Verantwortliche müssen in die Analyse gehen: Wie ist der Hacker in das System eingedrungen, was genau hat er getan und wie kann ich es verhindern, dass es wieder passiert? Bei allem gilt: Prävention ist mehr als die halbe Miete. Es müssen Notfallpläne vorhanden sein, die z.B. bei einem Brand, einer Hochwasserflut oder eben auch bei einem Incident eingesetzt werden. Das Ziel ist immer, einen reibungslosen Re-Start gewährleisten zu können. Eine sinnvolle Maßnahme ist beispielsweise, seine Infrastruktur auf mehrere Server an verschiedenen Standorten aufzuteilen. Sollte ein Zentrum durch externe Faktoren aber auch technische Schwierigkeiten ausfallen, gibt es ein Backup, das in diesem Fall einspringen kann. Fun Fact, den viele unterschätzen: Das Notfallhandbuch sollte nicht auf dem Rechenzentrum liegen, wie alle anderen Daten. Auch Verantwortliche müssen krisenerprobt sein. Sie müssen schnell und smart handeln können, um alle Daten wiederherstellen zu können. Durch regelmäßige (aber nicht vorhergesagten) Simulationen von Krisen werden Mitarbeiter für den Ernstfall routinierter und souveräner.

ITD: Welche rechtlichen Verpflichtungen gibt es, wenn DSGVO-bezogene Daten betroffen sind?
Scheuring: Ein DSGVO-Vorfall muss innerhalb von 72 Stunden bei der Landesbehörde gemeldet werden.

ITD: Was ist wichtig zur Beweissicherung?
Scheuring: Alle Informationen, die zum Tathergang führen, sind wichtig. Ein Blick in die Logfiles durch ein Logmanagement oder gar SIEM helfen, Beweise zu sichern. Weiterführende Systeme wie NIDS, HIDS oder die Firewall helfen, um den das Eindringen nachvollziehbar zu machen. Die Systeme sollten nach Möglichkeit offline genommen werden, um eine weitere Verbreitung zu unterbinden, aber nicht gelöscht werden, da die Eindringlinge möglicherweise weitere Fußabdrücke auf den Systemen hinterlassen haben.

ITD: Welche Konsequenzen drohen bei Nachlässigkeiten?
Scheuring: Auf der einen Seite drohen natürlich Geldstrafen. Auf der anderen Seite ist aber auch der Reputationsverlust nicht zu unterschätzen. Angriffe auf Unternehmen werden oft schnell publik gemacht. So entsteht negative Presse, die im schlimmsten Fall zu Kundenabwanderungen führen kann.

ITD: Mit welchen Herausforderungen ist die Erstellung eines sauberen IT-Security-Katastrophenplans verbunden?
Scheuring: Die Komplexität steigt stetig. Systeme haben mittlerweile Abhängigkeiten, Clouds sind nicht mehr Clouds, sondern schweben zwischen Hybrid- und Multi-Clouds. IT-Verantwortliche müssen in einer komplexen Welt den Überblick behalten können und alle Anwendungen auf dem aktuellen Stand halten. Daher ist ein Katastrophenplan ein dynamisches Produkt, das ständig aktualisiert und erweitert werden muss. Dafür müssen sich Administratoren die Zeit nehmen und nicht dem Gedanken „Uns passiert das schon nicht“ verfallen. Mittlerweile leben wir in einer Zeit, in der man sich nicht die Frage stellt, ob man angegriffen wird, sondern wann. Darüber hinaus wird empfohlen, das Notfallhandbuch gemeinsam mit einem externen Partner zu konzipieren, die einen Krisenfall ggf. bereits erlebt hat, bzw. noch einmal einen unabhängigen Blick werfen kann.

ITD: Welche Punkte sollte solch ein Plan anno 2021 unbedingt aufgreifen?
Scheuring: Das Problem ist, dass Katastrophenpläne immer auf Basis des aktuellen Geschehens erstellt werden. Man macht damit auch niemandem einen Vorwurf, denn man kann nicht jedes Szenario durchdenken, dafür leben wir in einer viel zu komplexen Welt. Eine Pandemie wird wohl jedes Unternehmen mittlerweile aufgenommen haben. Die Kunst ist aber eher, Verantwortliche an der Seite zu haben, die gut mit Krisen umgehen können und schnell Lösungen finden. Cybergefahren lauern nämlich an allen Ecken und Enden.

Bildquelle: Bitbone AG