Lücken in der IT-Sicherheit aufspüren

IT-DIRECTOR: Herr Benzmüller, insbesondere Großunternehmen und Konzerne engagieren professionelle Hacker, um mittels Sicherheits- und Penetrationstests potentielle Schwachstellen in der Unternehmens-IT aufzuspüren. Wie praktikabel ist diese Vorgehensweise in Ihren Augen?
R. Benzmüller: Die Sicherheit eines so komplexen Zusammenspiels von IT-Systemen sicherzustellen, kann man nur gewährleisten, wenn auch bei der Abwehr von Angriffen die Schutzsysteme ineinandergreifen. Dieses Zusammenspiel lässt sich am besten überprüfen, wenn man Externe engagiert, die sich der Unternehmens-IT aus der Sicht eines Angreifers nähern. Daher ist es sinnvoll, diese Angriffe von Außenstehenden durchführen zu lassen, da sie weder betriebsblind noch betriebsinternen Zwängen unterworfen sind. Die größte Schwierigkeit bei der Durchführung solcher Tests ist die rechtliche Absicherung und die Bestimmung von Systemen, die nicht in die Angriffe einbezogen werden dürfen, weil deren Ausfall zum Beispiel hohe Kosten verursachen würde.

IT-DIRECTOR: Welche Schwachstellen können hiermit in der Regel aufgespürt werden?
R. Benzmüller: In der Regel setzen Unternehmen in vielen Bereichen Standard-Software ein – wie beispielsweise für Webserver, E-Mail, Datenbanken oder CRM. Für viele dieser Komponenten gibt es bekannte Sicherheitslücken, die bei einem Angriff mehr oder weniger automatisiert geprüft werden können. Das Aufspüren von komplexen Lücken, die erst aus dem „schlechten“ Zusammenspiel von Komponenten entstehen, ist deutlich aufwendiger.

IT-DIRECTOR: Welche Vorteile kann man sich vom sogenannten „ethischen Hacking“ versprechen? Welche Gefahren bzw. Risiken sind mit solchen Verfahren verbunden?
R. Benzmüller: Für Unternehmen ist es besser, wenn „befreundete“ Hacker, die sich einem Ehrencodex unterworfen haben, die Lücken im Sicherheitskonzept finden, ihr Vorgehen beschreiben und aufzeigen, wie das Sicherheitskonzept verbessert werden kann. Viel schlimmer ist es, wenn die Angreifer im Auftrag von Konkurrenten oder Spionagediensten die Lücken finden und gleich für ihre schlechten Absichten ausnutzen.

IT-DIRECTOR: Wo finden Sicherheitsverantwortliche die für ihre Zwecke geeigneten Hacker? Und wie können sie sicherstellen, dass sie nicht an den Falschen geraten?
R. Benzmüller: Es gibt einige Firmen und Personen, die solche Penetrationstests anbieten und schon sehr lange im Geschäft sind. Sie können entsprechende Referenzen aufweisen und haben sich dem Codex des Ethical Hacking unterzogen. Wer mit Einzelpersonen, die neu im Geschäft sind, zusammenarbeitet, geht höhere Risiken ein.

IT-DIRECTOR: Auf welche „Qualitäten“ sollte man bei der Auswahl der Hacker besonders achten? Inwiefern gibt es in diesem Zusammenhang bereits Zertifizierungen, auf die man achten sollte? Wie sehen „Hacker-Referenzen“ für gewöhnlich aus?
R. Benzmüller: Der Austausch von CISO (Chief Information Security Officer) zu CISO hat hier einen großen Einfluss. Es gibt etliche Zertifikate für Ethical Hacking, aber auch einige Branchenverbände. Es ist schwer zu sagen, wie aussagekräftig solche Zertifikate sind.

IT-DIRECTOR: Mit welchen Kosten sind solche Hacking-Aktionen in der Regel verbunden?
R. Benzmüller: Hier eine generelle Aussage zu treffen ist schwierig, da es sich in der Regel um Auftragsarbeiten handelt. Üblicherweise sind die Tagessätze nicht höher als dreistellig.

IT-DIRECTOR: Welche gesetzlichen bzw. firmeninternen Vorgaben müssen bei der Zusammenarbeit mit Hackern beachtet werden?
R. Benzmüller: Auch für bezahlte Angreifer gelten die landesüblichen Gesetze. In Deutschland unterliegen Penetrationstester dem Hackerparagraphen und müssen im Vorfeld der Angriffe genau festlegen, was getan werden soll und darf und was nicht. Auch Haftungsfragen zu klären, ist hier wichtig.

An dieser Stelle sei ein allgemeiner Hinweis auf einen Leitfaden des BSI, in dem Informationen zum Thema Penetrationstest erläutert werden, erlaubt.