„Der Faktor Mensch ist die Schwachstelle Nummer eins“

ITD: Herr Halbmeier, wo liegen die häufigsten Schwachstellen bei der Nutzung von Passwörtern?
Halbmeier: Tatsächlich ist der Faktor Mensch die Schwachstelle Nummer eins. So neigen wir aus Bequemlichkeit nicht nur dazu, die gleichen Passwörter für mehrere Accounts zu nutzen, sondern auch unsere Lieblingskennwörter immer wieder leicht variiert einzusetzen. So werden vermeintlich sichere Kennwörter immer häufiger zu schwachen Passwörtern. Im schlimmsten Fall werden Kennwörter durch Datenlecks im Unternehmen oder bei privat genutzten Diensten kompromittiert. Hinzu kommt, dass im Arbeitsalltag veraltete Empfehlungen durchgesetzt werden. So wurde in den vergangenen Jahren eine Kennwortlänge mit mindestens acht Zeichen und hoher Komplexität empfohlen. Doch inzwischen ist klar, dass damit keine starken Passwörter mehr gebildet werden können. Im Gegenteil: Heutzutage müssen diese in erster Linie lang sein, dafür aber nicht mehr zwingend komplex. Auch werden Richtlinien häufig nicht an die Benutzerbedürfnisse angepasst: Nicht jeder kann sich lange und komplexe Kennwörter gut merken. Mancher schreibt sie daher auf und macht sie so zu einer leichten Beute für Kriminelle. Dennoch ist und bleibt die Nutzung von Kennwörtern, richtig angewandt und mit einem Filter von bereits kompromittierten Kenwörtern eine sichere Methode, um sich im Netzwerk zu authentifizieren.

ITD: Mit welchen Methoden gelingt es Hackern immer wieder, sich Zugang in die IT-Systeme zu verschaffen?
Halbmeier: Der Einstieg gelingt ihnen mittels Brute Force, Password Spraying oder Credential Stuffing. Bei den genannten Methoden – die oftmals automatisiert erfolgen und es daher den Angreifern ermöglichen, mehrere Organisationen gleichzeitig zu attackieren – versucht der Angreifer gültige Kombinationen von Zugangsdaten zu erraten. Bereits kompromittierte oder schwache, leicht zu erratene Passwörter oder Passwortbestandteile erhöhen daher immens die Erfolgswahrscheinlichkeit für die Kriminellen. Ein weiterer beliebter Ansatz für lukrative Ziele ist ein Cyberangriff auf den IT-Helpdesk mithilfe von Social Engineering. Durch geschicktes Ausnutzen von menschlichen Schwachstellen und dem Sammeln von Informationen können Angreifer Zugang zu den Systemen erhalten, ohne dabei zu viele technische Sicherheitsmechanismen umgehen zu müssen. Nicht zuletzt ist der Einsatz von Malware und von anderen Hackern gekaufte Zugänge eine weitere effiziente - und aus Sicht der Angreifer – noch dazu eine zeit- und ressourcenendschonende Angriffsmethode.

ITD: Wie lässt sich dem Missbrauch von Kennwörtern am besten ein Riegel vorschieben?
Halbmeier: Zunächst ist es wichtig eine Bestandsaufnahme der im Unternehmen verwendeten Passwortrichtlinien zu machen und die Benutzerknoten auf sämtliche passwortrelevanten Schwachstellen zu analysieren. Ist dies erfolgt, ist ein umfassendes Sicherheitskonzept gefragt. Dazu gehört u.a. das Blockieren von kompromittierten Kennwörtern mithilfe von externen Passwortfiltern, die Implementierung und Stärkung von Kennwortrichtlinien sowie die Sensibilisierung der Mitarbeiter. Zudem können im Rahmen des Sicherheitskonzepts weitere technische Schutzsysteme etabliert werden: Die Multifaktor-Authentifizierung bietet eine zusätzliche Sicherheitsebene, falls ein Passwort bereits erraten wurde und Account Lockout Settings helfen dabei, kennwortbasierte Angriffe zu blockieren.

ITD: Wie hoch ist das Risiko für deutsche Unternehmen, Opfer von Cybererpressung zu werden?
Halbmeier: Im Jahr 2021 gab es über 18 Millionen Opfer von Cyberkriminalität, Tendenz steigend. Es stellt sich nicht mehr die Frage, ob ein Angriff stattfindet, sondern wann. Deutsche Unternehmen sollten diese Bedrohung daher sehr ernst nehmen und sich auf die Angriffsabwehr sowie die eigene Resilienz konzentrieren. Ein wichtiger Aspekt hinsichtlich dieser ist das Business Continuity Management sowie Disaster Recovery. Diese Maßnahmen sind entscheidend, um im Falle eines erfolgreichen Angriffs die Geschäftstätigkeit schnellstmöglich wieder aufnehmen zu können und die Kontrolle über die eigenen Daten zu behalten. Abhängig davon, wie stark das jeweilige Unternehmen im Fokus von Cyberangriffen steht, sollten weitere, ergänzende Vorkehrungen getroffen und regelmäßig getestet werden. Hilfreich sind dafür Methoden, wie Redteaming und Threat-Intelligence, die helfen, potenzielle Schwachstellen zu identifizieren und proaktiv zu schützen.

ITD: Inwieweit investieren Unternehmen genug in Maßnahmen zum Schutz ihrer IT-Umgebungen?
Halbmeier: Wir bemerken einen deutlichen Anstieg der Anzahl von Unternehmen, die sich bemühen, regulatorische Anforderungen wie ISO27001, NIS-2, DSGVO, CIS und BSI-Grundschutz umzusetzen. Allerdings stellen wir auch fest, dass es nach wie vor Firmen gibt, die zu wenig in den Schutz ihrer IT-Systeme investieren. Erst nach einem erfolgreichen Angriff erkennen diese die Dringlichkeit und nehmen Nachrüstungen vor. Wir raten allen dringend an, frühzeitig präventive Maßnahmen zu ergreifen und proaktiv in den Schutz ihrer IT-Systeme zu investieren. Wieviel Aufwand betrieben werden muss, bleibt eine individuelle Entscheidung. Schließlich hat jedes Unternehmen unterschiedliche Bedürfnisse, Ressourcen und Risikowahrnehmungen. Deshalb ist es wichtig, eine Risikoanalyse durchführen und die angemessenen Sicherheitsmaßnahmen dementsprechend zu implementieren.

Bildquelle: Specops Software