„Die Sicherheit ist Aufgabe aller Beschäftigten“

ITD: Herr Schroda, das Thema „IT-Security“ ist auch im Jahr 2023 noch eines der IT-Themen schlechthin für Unternehmen aller Größen. Wie sind der deutsche Mittelstand und Deutschlands Großkonzerne derzeit mit Blick auf die erhöhte Cyberkriminalität aufgestellt?
Helge Schroda: Die Unternehmen in Deutschland geben beim Thema „IT-Security“ ein sehr heterogenes Bild ab. Das lässt sich auch nicht pauschal an Unternehmensgrößen oder Branchenzugehörigkeit knüpfen. Was sich jedoch generell festhalten lässt: Die erfolgreichen Cyberangriffe der jüngeren Vergangenheit und die teils begleitende Berichterstattung haben das Bewusstsein für die IT-Sicherheit in vielen Unternehmen deutlich geschärft, was wiederum zu größeren Investitionen in den Bereichen „Security“, „Compliance“ und „Identity“ geführt hat. Zentrale Themen sind dabei Zero-Trust-Strategien einerseits, andererseits die Konsolidierung der Nischenanbieter bei gleichzeitigem Bedeutungszuwachs der Plattform-Provider, die mit großen, offenen Ökosystemen umfassende Sicherheitskonzepte ermöglichen.

ITD: Security-Probleme können mannigfaltig sein, angefangen bei Ransomware-Attacken bis hin zu Phishing-Mails. Welche Angriffsarten sind aktuell am gefährlichsten für Unternehmen und warum?
Schroda: Den Ransomware-Attacken gehen oftmals Phishing-Angriffe voraus. Angreifer nutzen also zuvor erbeutete Informationen, um in die Infrastruktur von Unternehmen eindringen zu können. Wir sehen nun, dass derartige Angriffe immer gezielter erfolgen und ihnen oftmals eine intensive Reconnaissance vorausgeht – also die verdeckte Aufklärung über das Zielsystem, um möglichst viele Informationen zu sammeln. Das ist auch ein Ausdruck der Professionalisierung, die in diesem Bereich in den vergangenen Jahren immer weiter zugenommen hat. Managed Service Provider (MSP) sind dabei als Vektoren zuletzt verstärkt in den Fokus der Angreifer gerückt. Das sind aus Sicht der Kriminellen sehr lohnenswerte Ziele, da ein erfolgreicher Angriff auf einen einzelnen MSP den Zugang zu gleich mehreren seiner Kunden verspricht. 

ITD: Zu welchen ersten Schritten raten Sie Firmen, die ihre IT-Sicherheit auf Vordermann bringen oder völlig neu aufsetzen wollen?
Schroda: Wir wissen – u.a. aus Untersuchungen für unseren Digital Defense Report –, dass bereits fünf Maßnahmen dazu beitragen, Systeme erfolgreich gegen einen Großteil aller Gefahren zu wappnen. Zu dieser Basishygiene gehören neben der Multi-Faktor-Authentifizierung, zeitnahe Updates zum Schließen von Sicherheitslücken, der Einsatz von XDR/SIEM-Lösungen, Netzwerksegmentierung und das regelmäßige Erstellen von Backups. Was es darüber hinaus jedoch braucht – und das gilt heute mehr als jemals zuvor –, ist der Aufbau einer ganzheitlichen Sicherheitsinfrastruktur. Dabei muss es einerseits darum gehen, die Standard-IT zu optimieren, andererseits jedoch auch, die neuen Angriffsvektoren in den Blick zu nehmen, die sich durch die immer stärkere Vernetzung mit operativen Technologien (OT) und dem Internet der Dinge (IoT) entwickeln.

ITD: Wie könnten entsprechende Lösungen aussehen?
Schroda: Eine zentrale Rolle spielen moderne Endpoint-Systeme, sog. „Extended Detection and Response“-Lösungen. Diese sind der moderne Ersatz herkömmlicher Anti-Malware Lösungen und können Angriffe entdecken, ohne dass die Sicherheitshersteller vorab diese intensiv analysiert und durch Signaturen aktualisiert haben. Es ist eine vorausschauende Intelligenz eingebaut. Security Incident & Event Management (SIEM) Systeme bilden den Überbau verschiedener XDR-Lösungen, hier laufen alle Sicherheitsinformationen zusammen, die anschließend orchestriert und automatisiert behandelt werden.

Im Zeitalter zunehmender Cloud-Nutzung fallen immer mehr Signale in Cloud-Umgebungen an. Ein SIEM-System muss dem Rechnung tragen und diese Daten dort verarbeiten, wo sie anfallen– nämlich in der Cloud-Umgebung.

ITD: Was genau hat es mit dem Begriff „Schatten-IT“ auf sich und was können Firmen konkret unternehmen, um dieser Herr zu werden?
Schroda: Die IT-Landschaft eines Unternehmens führt in der Praxis mitunter ein Eigenleben. Haben die Anwender in den Fachabteilungen nämlich das Gefühl, dass die zentrale IT ihren Anforderungen in nicht geeigneter Weise nachkommt, stellen sie mitunter ihre eigenen Lösungen zusammen. Das ist in vielerlei Hinsicht ein Problem. Wir sehen in unserer Arbeit immer wieder IT-Lösungen, die nicht den jeweiligen Compliance-Vorgaben oder einem offiziellen Standard entsprechen – und wohl bisweilen auch extra darauf ausgelegt sind, sich der Compliance zu entziehen. Genau diese Art von IT wird gemeinhin als Schatten-IT bezeichnet. Für die IT-Sicherheit eines Unternehmens geht von ihr ein erhebliches Risiko aus. Allerdings gibt es inzwischen gute Discovery-Lösungen, die IT-Abteilungen dabei helfen, solche versteckten Infrastrukturen zu entdecken, um der Schatten-IT wahlweise den Stecker zu ziehen oder um aus ihr durch entsprechende Kontrollen und Maßnahmen Compliance-gerechte Lösungen zu machen, die Anforderungen der Anwender aufzunehmen und sicher umzusetzen.

ITD: Inwiefern ist die IT-Weiterbildung von Mitarbeitern auch außerhalb von IT- und Security-Teams wichtig für die Sicherheit in Firmen?
Schroda: Das Thema „Security“ lässt sich nicht allein bei der IT- oder einem speziellen Security-Thema abladen. Schließlich ist das ein Thema, das alle Beschäftigten betrifft. Regelmäßige Awareness-Maßnahmen rund um Security und Privacy sind daher enorm wichtig. Natürlich ist Cybersecurity auch ein sehr komplexes Thema. Doch jedem Beschäftigten sollte vermittelt werden, wie wichtig es ist, sich damit auseinanderzusetzen und den Schutz der Unternehmenswerte zu gewährleisten. Das kontinuierliche Training im Bereich der IT-Sicherheit sollte genauso selbstverständlich sein wie die regelmäßigen Brandschutzübungen. 

ITD: Wie häufig und intensiv sollten Mitarbeiter geschult werden und worauf sollte dabei der Fokus liegen?
Schroda: Je nach Thema und Bedeutung empfehlen sich unterschiedliche Intervalle. Für Compliance-Trainings wie Business-Conduct-Trainings gibt es gesetzliche Vorschriften zur Durchführung. Wir empfehlen eine ähnliche Kadenz auch im Bereich der Cybersecurity, da die Bedrohungslage sich ständig verändert und es wichtig ist, die Mitarbeiter auf dem aktuellen Stand zu halten. Gleichzeitig ist es ratsam, die Beschäftigten nicht zu überfordern. Daher bieten sich kurze, prägnante Schulungen an, in die sich idealerweise auch interaktive Elemente integrieren lassen. Das steigert den Lerneffekt enorm.

ITD: Wie wird sich die Lage in Zukunft weiterentwickeln? Wagen Sie einen Ausblick!
Schroda: Die höhere Qualifikation der Mitarbeiter sorgt dafür, dass Angriffe zunächst weniger effektiv sind. Wir erleben also das sogenannte Angreiferdilemma: Die Kosten für Angriffe steigen so weit, dass sie sich zum Teil nicht mehr lohnen. Allerdings werden die Angreifer sich damit nicht langfristig zufriedengeben, sondern kreativ bleiben und neue Wege finden, um ihre Attacken mit einem geringeren Aufwand und größerem Erfolg dennoch durchführen zu können. Auf der anderen Seite gibt es das Zusammenspiel von Versicherern, die Cyberinsurance anbieten, und IT-Sicherheitsabteilungen, die das allgemeine Sicherheitsniveau verbessern. Die Standardisierung und fortlaufende Aktualisierung der eingesetzten Systeme wiederum dürften dazu beitragen, die doch recht große Komplexität zu reduzieren, mit der wir es im Bereich „Security“, „Compliance“ und „Identity“ bislang zu tun haben. Auch das trägt im Ergebnis zu mehr Sicherheit bei. Darüber hinaus gewinnt Künstliche Intelligenz (KI) eine immer größere Bedeutung. Sowohl bei den Angreifern als auch bei den Sicherheitstechnologien. Schon heute können unsere Anwendungen 97 Prozent der Routineaufgaben automatisiert ausführen und damit eine synchronisierte Verteidigung über alle Plattformen gewährleisten.

Bildquelle: Microsoft