Gefahren lauern an allen Ecken und Enden

Die deutliche Zunahme der Cyberangriffe ist dabei augenscheinlich auf die Corona-Pandemie zurückzuführen. Unzählige Unternehmen weltweit mussten quasi von heute auf morgen ihre Mitarbeiter ins Homeoffice schicken und von analogem auf digitalen Datentransfer umrüsten – dabei blieb oft keine Zeit für ein gründliches Onboarding der Lösungen, weiß Arno van Züren von Tresorit. Ebenso fehlten vielerorts das Know-how und die Kapazitäten, sich angemessen um Sicherheitsaspekte zu kümmern. Darüber hinaus mussten schnell neue virtuelle Räume für die Zusammenarbeit geschaffen werden, „die ebenfalls eine erweiterte Angriffsfläche bieten – besonders im Zusammenhang mit Social Engineering“, so der Chief Sales Officer. Internationales Chaos, wie durch die Pandemie ausgelöst, trägt seiner Ansicht nach immer zu einer allgemeinen Verunsicherung bei und macht ahnungslose Mitarbeiter so viel leichter empfänglich für Social Engineering oder Phishing-Attacken.

Der Global Threat Intelligence Report 2021 von NTT zeigt, dass Hacker die aktuelle Situation ausnutzen, indem sie wichtige Branchen und gängige Schwachstellen aus der Umstellung der Unternehmen auf Remote-Arbeit ins Visier nehmen. „Ohne zu übertreiben oder Panik machen zu wollen, halte ich – wie wohl die meisten meiner Kollegen – die derzeitige Bedrohungslage für so hoch wie nie zuvor“, bekräftigt Michael Scheffler, Country Manager DACH von Varonis Systems. Sowohl der Umfang als auch die Art und Weise der Angriffe hätten sich in den letzten eineinhalb Jahren deutlich entwickelt. „Denken wir etwa an die Supply-Chain-Angriffe auf Solarwinds und Kaseya oder die verheerenden Ransomware-Attacken, die Teile der kritischen Infrastruktur in den USA lahmgelegt haben.“ Im Zentrum der Angriffe stehen dabei in der Regel Daten, die in den Unternehmen nicht nur stetig wachsen, sondern für diese auch einen kritischen Wert darstellen. „Angreifer wissen das und betreiben deshalb einen immer größeren Aufwand, um an die wertvolle ‚Ware‘ zu kommen“, warnt Arno van Züren, „sei es, um sie später im Darknet zu verkaufen oder um das gehackte Unternehmen damit zu erpressen.“

Zugleich stellen aber auch Umweltkatastrophen wie etwa Überschwemmungen, Erdbeben und Waldbrände, von denen kürzlich zahlreiche Regionen betroffen waren, eine Gefahr für Unternehmensdaten dar. Fehlen den Firmen entsprechende Schutzvorkehrungen, können z.B. Wasser und Feuer problemlos in Gebäude vordringen und dort großen Schaden anrichten. Was passiert beispielsweise, wenn extreme Stürme das Stromnetz lahmlegen oder Rechenzentren überflutet werden? „Die jüngsten Umweltkatastrophen haben sehr deutlich gezeigt, wie wichtig Notfallpläne und im Zweifel doppelte bzw. dezentrale Datenhaltung sein können“, betont Marc Oliver Hugger von der Red Eagle IT Distribution GmbH. Der Senior Manager ist sich sicher, dass viele betroffene Unternehmen hochverfügbaren Cloud-Lösungen künftig mehr Beachtung schenken, „wenn die eigenen On-Premise-Strukturen unwiederbringlich beschädigt wurden“. Grundsätzlich ist die Bedrohung für alle Unternehmen gleich hoch und damit unabhängig von deren Größe, betont Sebastian Scheuring, Vorstand und Geschäftsführer der Bitbone AG. Ein Konzern ist also genau wie ein mittelständisches Unternehmen von den Folgen der Covid-19-Pandemie oder des Klimawandels betroffen. „Die Tragweite kann eine andere sein, aber die Bedrohungslage ist gleich“, betont der Experte.

Den Ernstfall trainieren

Es stellt sich allerdings die Frage, inwieweit rettende IT-Security-Katastrophenpläne bereits zum Standard in Großunternehmen gehören. Hier sind die Experten unterschiedlicher Ansicht: Laut André Schindler, EMEA General Manager bei NinjaOne, verfügen die meisten großen Unternehmen über einen Business-Continuity/Disaster-Revocery-Plan (BCDR). „Sie haben in aller Regel die notwendigen Ressourcen, um Anwälte und qualifizierte Mitarbeiter für die Ausarbeitung von Reaktionsplänen einzustellen, und sind kleinen Unternehmen mit begrenztem Budget oder Know-how einen Schritt voraus.“ Ähnlich sieht es Marc Oliver Hugger: „Bei Großunternehmen sind Notfallpläne ein Standard.“ Ob diese auch regelmäßig in der Praxis geübt und getestet werden, darüber würden sich viele jedoch ausschweigen. Daher sei es nicht unwahrscheinlich, dass ein Großteil der Notfallpläne zu reinen Papiertigern verkomme. Michael Scheffler betont ebenfalls: „Nur einen Plan zu haben, reicht nicht aus. Die Sicherheitsteams müssen genauso wie beispielsweise Feuerwehrleute oder Rettungskräfte den Ernstfall trainieren, um in der entsprechenden Situation adäquat zu reagieren.“

Arno van Züren ist ganz anderer Ansicht: „Auch wenn man es kaum glauben mag: Viele Großunternehmen besitzen heute noch keinen IT-Security-Notfallplan.“ Und das sei eher die Regel als die Ausnahme. Für ein Feuer, einen Einbruch oder den plötzlichen Ausfall eines Geschäftsführers gebe es zwar in fast jedem Unternehmen seit Jahren feste Regeln, bei einem Hackerangriff hingegen gebe es oft kein festgelegtes Vorgehen. „Das verzögert die Reaktion auf Angriffe und führt schnell zu Kurzschlussreaktionen, die alles am Ende noch viel schlimmer machen können“, warnt der Chief Sales Officer. Dass hier Nachholbedarf herrscht, soll auch eine aktuelle Studie zeigen, die sein Unternehmen zusammen mit Opinion Matters durchgeführt hat. Laut dieser besitzen 70 Prozent der Unternehmen in Deutschland noch keine umfassenden Richtlinien für das Teilen sensibler Daten mit Externen. Wenn eine so immense Sicherheitslücke schon für die tägliche Basisarbeit besteht, kann man sich vorstellen, wie es um die Planung von scheinbar komplizierten, abstrakten Notfällen steht.

Einen kühlen Kopf bewahren

Tritt letztlich der Ernstfall ein, d.h. ein Unternehmensnetzwerk wird durch Hacker angegriffen oder nimmt unwetterbedingt Schaden, müssen die Betroffenen schnell handeln. Das Wichtigste und Schwierigste dabei: Ruhe bewahren! „Gerade wenn alle Alarmglocken schrillen, ist dies eine echte Herausforderung“, weiß Michael Scheffler. „Denn wenn der Ernstfall unvorbereitet eintritt, lässt sich kaum ein kühler Kopf bewahren.“ Ein wirkungsvoller Incident-Response-Plan legt an dieser Stelle in Form einer Schritt-für-Schritt-Anleitung die adäquate Reaktion auf bestimmte Sicherheitsvorfälle fest: Was ist überhaupt ein Sicherheitsvorfall? Wer hat was zu tun? Und wer ist in welchem Fall wie zu informieren? Letztlich stellt der Plan sicher, dass nichts vergessen wird, und reduziert so den Stress. Im Fall eines Hackerangriffs muss der Eindringling natürlich schnellstmöglich wieder entfernt werden, genau wie alle Dinge, die er angerichtet hat. Das Ziel dabei ist immer, „einen reibungslosen Re-Start gewährleisten zu können“, betont Sebastian Scheuring von Bitbone. Für eine sinnvolle Maßnahme hält er beispielsweise, die Infrastruktur auf mehrere Server an verschiedenen Standorten aufzuteilen. „Sollte ein Zentrum durch externe Faktoren, aber auch durch technische Schwierigkeiten ausfallen, gibt es ein Backup, das in diesem Fall einspringen kann“, erklärt der Geschäftsführer.

Zu beachten ist generell, dass Angriffe durch Cyberkriminelle oder anderweitige Schädigungen unter gewissen Umständen anzeigepflichtig sind – z.B. sobald personenbezogene Daten im Sinne der europäischen Datenschutz-Grundverordnung (EU-DSGVO) betroffen sind oder betroffen sein könnten. „Ein DSGVO-Vorfall muss innerhalb von 72 Stunden bei der Landesbehörde gemeldet werden“, weiß Scheuring. Arno van Züren pflichtet ihm bei: „Laut der Europäischen Kommission müssen Unternehmen die zuständigen Behörden innerhalb von drei Tagen nach Bekanntwerden eines IT-Sicherheitsvorfalls informieren, wenn eine Verletzung des Schutzes personenbezogener Daten vorliegt oder wenn die Daten, für die ein Unternehmen verantwortlich ist, von einem sicherheitsrelevanten Ereignis betroffen sind, das zu einer Verletzung der Vertraulichkeit, Verfügbarkeit oder Integrität führt.“ Außerdem sollten unbedingt auch die betroffenen Personen über die Verletzung informiert werden, insbesondere, wenn diese ein hohes Risiko für sie darstellt.

Gründliche Beweissicherung

Zugleich müssen digitale Beweise „sehr schnell und dabei extrem gründlich“ gesichert werden, betont van Züren. Im Fall einer Attacke gehört die Beweissicherung zu einer der wichtigsten Aufgaben und sollte immer von einem professionellen IT-Forensikteam durchgeführt werden. Das Problem dabei: Wird ein Vorfall bekannt, können bereits die ersten Schutzmaßnahmen eines Unternehmens Beweise leicht zerstören, ohne dass es jemand bemerkt. „Erschwerend kommt hinzu“, so der Tresorit-Experte, „dass die Standards für die Zulässigkeit von Beweisen vor Gericht extrem hoch sind.“ Alles, was gesichert werde, müsse deshalb mit absoluter Sorgfalt behandelt werden.

Laut Sebastian Scheuring sind alle Informationen, die zum Tathergang führen, wichtig. Ein Blick in die Logfiles durch ein Logmanagement oder gar SIEM würden helfen, Beweise zu sichern. „Weiterführende Systeme wie NIDS, HIDS oder die Firewall helfen, das Eindringen nachvollziehbar zu machen“, meint er. Die Systeme sollten jedoch nach Möglichkeit offline genommen werden, um eine weitere Verbreitung zu unterbinden, aber nicht gelöscht werden, da die Eindringlinge möglicherweise weitere Fußabdrücke auf den Systemen hinterlassen haben könnten.

Nachlässigkeiten in der Beweissicherung sollten Unternehmen vermeiden, schließlich können Geldstrafen drohen, aber auch der Reputationsverlust ist nicht zu unterschätzen. Scheuring erklärt: „Angriffe auf Unternehmen werden oft schnell publik gemacht. So entsteht negative Presse, die im schlimmsten Fall zu Kundenabwanderungen führen kann.“ Das vermutlich weitreichendste Szenario für ein Unternehmen ist, wenn es etwa eine Cyberattacke nicht beweisen kann, dass es selbst für den Verlust oder den Missbrauch personenbezogener Daten verantwortlich gemacht wird. Damit würden alle mit einer DSGVO-Verletzung einhergehenden Strafen und Restriktionen zu Lasten des angegriffenen Unternehmens fallen, weiß van Züren. Das bedeute in der Regel nicht nur hohe finanzielle Einbußen, sondern auch den Verlust von Vertrauen durch Kunden und Partner. Beides könne Organisationen in kurzer Zeit immensen Schaden zufügen – und das, obwohl sie im Grunde gar keine direkte Schuld daran tragen würden.

Erstellung eines sauberen Katastrophenplans

Um solche existenziellen Risiken grundsätzlich zu vermeiden, hat ein sauberer IT-Security-Katastrophenplan oberste Priorität – und dies erst recht für jedes Unternehmen, das in irgendeiner Form mit Daten zu tun hat. Die inhaltliche Erstellung solch eines Plans dürfte heutzutage keine große Herausforderung mehr darstellen. Schließlich gibt es eine Vielzahl von renommierten Anbietern, die tagtäglich nichts anderes tun, als solche Pläne zu erstellen und maßgeschneidert an Unternehmen anzupassen. „Hier wird wirklich niemand allein gelassen – egal, ob mittelständisches Unternehmen oder Big Enterprise“, versichert Arno van Züren. Knackpunkte seien in den meisten Fällen die einzelnen Mitarbeiter, die nicht Teil eines IT-Teams sind. Ein IT-Security-Katastrophenplan habe nur dann einen Wert, wenn alle Mitarbeiter dessen Bedeutung verstanden haben und wissen, was im Ernstfall ihre Aufgabe ist.

Ferner muss den Unternehmen klar sein, dass ein Katastrophenplan ein dynamisches Produkt ist, das ständig aktualisiert und erweitert werden muss. „Dafür müssen sich Administratoren die Zeit nehmen und dürfen nicht dem Gedanken verfallen, ‚Uns passiert das schon nicht‘“, betont Sebastian Scheuring. „Mittlerweile leben wir in einer Zeit, in der man sich nicht die Frage stellt, ob man angegriffen wird, sondern wann.“

Vor diesem Hintergrund sollte ein entsprechender Plan anno 2021 alle wesentlichen Angriffsszenarien abdecken, etwa Ransomware, Phishing oder allgemeiner Datendiebstahl. Gleichzeitig sollten Sicherheitsverantwortliche immer auf dem aktuellen Stand sein und sich aktiv über die neuesten Trends informieren, um die Pläne gegebenenfalls anpassen zu können, empfiehlt Michael Scheffler von Varonis Systems. Eine Pandemie wird wohl jedes Unternehmen mittlerweile auf dem Schirm haben. „Die Kunst ist aber“, ergänzt Sebastian Scheuring, „Verantwortliche an der Seite zu haben, die gut mit Krisen umgehen können und schnell Lösungen finden. Cybergefahren lauern nämlich an allen Ecken und Enden.“

Dies ist ein Artikel aus unserer Print-Ausgabe 10/2021. Bestellen Sie ein kostenfreies Probe-Abo.

Laut André Schindler von NinjaOne sollten sich BCDR-Pläne aber auch damit befassen, wie extreme Wetterbedingungen die kritische Infrastruktur, auf die Unternehmen zur Aufrechthaltung ihres Betriebs angewiesen sind, beschädigen könnten. „Außerdem sollten sie potenzielle Risiken innerhalb der Lieferkette berücksichtigen, die anfällig für klimabedingte Stressfaktoren sind.“ Der mit Anstand wichtigste Punkt findet aber immer, so Arno van Züren abschließend, bereits lange vor der Katastrophe statt: Vorbereitung und Mitarbeiterschulung seien die entscheidenden Faktoren für das Gelingen jedes Katastrophenplans.

Bildquelle: Getty Images / iStock / Getty Images Plus