Montags schnappt die Falle zu

Daten sind unumstritten der wichtigste „Rohstoff“ der digitalen Welt. Entsprechend umsichtig muss der Umgang damit erfolgen. Die Sicherung der informationellen Selbstbestimmung zu beachten, wenn es sich um persönliche Daten von Mitarbeitern oder Kunden handelt, gehört ebenso zur unternehmerischen Verantwortung, wie der generelle Schutz aller Daten gegen kriminell motivierte Zugriffe. Nach Schätzungen von Marktbeobachtern waren bereits 40 bis 50 Prozent aller deutschen Unternehmen mit konkreten Sicherheitsvorfällen konfrontiert, sei es durch gezielte Angriffe oder durch andere IT-sicherheitsrelevante Ereignisse. Obwohl IT-Security in deutschen Unternehmen eine hohe Priorität genießt, beläuft sich der jährliche Schaden allein durch Internetkriminalität auf 20 bis 25 Mrd. Euro. Wie IT-Verantwortliche den Verlust vertraulicher Daten verhindern können, erklärt Michael Rudrich im Gespräch mit IT-DIRECTOR.

IT-DIRECTOR: Herr Rudrich, wie stellt sich die weltweite Bedrohungslage aus Sicht Ihres Unternehmens aktuell dar?
M. Rudrich: Im Threat Report 2013 (www.websense.com/2013threatreport) haben die Experten unseres Security Labs die Bedrohungslage des Jahres 2012 analysiert und dokumentiert. Die Ergebnisse sind alarmierend. Der Bericht offenbart einen explosionsartigen Anstieg verseuchter Webseiten. Ihre Zahl hat sich im abgelaufenen Jahr nahezu versechsfacht. 85 Prozent der Malware findet sich dabei auf vertrauenswürdigen Webseiten, die von Hackern mit Schadcode infiziert wurden. Die Hälfte der webbasierten Schadsoftware lud innerhalb der ersten 60 Sekunden zusätzliche ausführbare Dateien herunter. Herkömmliche Bewertungsansätze, die auf der Reputation einer Webseite basieren, werden damit komplett in Frage gestellt. 32 Prozent der verseuchten Links in sozialen Medien verwendeten verkürzte URLs. Der Hintergrund: Haben Cyberkriminelle Zugriff auf einen Host, verbergen sie ihre schadhaften Seiten meist tief in dessen Verzeichnisstruktur. Dieser Prozess generiert sehr lange und komplexe Weblinks, die vorsichtige Nutzer abschrecken könnten. Das wird durch verkürzte URLs verhindert. Generell deuten die exakt zeitlich abgestimmten und gezielten Angriffe auf eine neue Generation raffinierter Hacker hin.

IT-DIRECTOR: Welche Besonderheiten kennzeichnen die Bedrohungssituation in Deutschland?
M. Rudrich: Im Ranking der Länder, in denen die meiste Schadsoftware gehostet wird, nimmt Deutschland nach den USA und Russland bereits einen unrühmlichen dritten Platz ein. Die Ursache dafür sehen wir in der – im weltweiten Vergleich – sehr gut ausgebauten Breitbandinfrastruktur. Gesteuert werden diese Angriffe nach wie vor aus Ländern, die zu den „üblichen Verdächtigen“ zählen. China, die USA und Russland waren die Top-3-Länder bei gehosteten Befehls- und Kontrollservern.

IT-DIRECTOR: Inwieweit haben sich die Angriffsmethoden der Cyberkriminellen im Vergleich zu den Vorjahren verändert?
M. Rudrich: Cyberbedrohungen konnten im Mobilfunkbereich Neuland beschreiten. Eine Untersuchung der 2012 veröffentlichten Apps hat gezeigt, wie diese Zugriffsberechtigungen missbrauchen. Besonders beliebt war der Einsatz von SMS-Meldungen – eine Kommunikationsform, die nur die wenigsten legitimen Apps einsetzen. Die Notwendigkeit eines Datenschutzes ihrer mobilen Endgeräte wird von vielen Nutzern komplett unterschätzt. Sie wähnen sich in einem vermeintlich sicheren Telefonnetz und übersehen dabei die enge Verflechtung zwischen Sprach- und Datendiensten, die kreativen Hackern Tür und Tor öffnet.

Ein nach wie vor großes Bedrohungspotential hat der E-Mail-Sektor. Nur jede fünfte versandte E-Mail war legitim. Der Anteil von Spam am allgemeinen E-Mail-Datenverkehr betrug 2012 rund 76 Prozent. Auch die über E-Mail zugestellten Phishing-Bedrohungen nehmen zu. Obwohl nur etwa 1,6 Prozent der Spam-Mails mit Phishing-Absichten versandt werden, ist das bei den vielen Millionen Spams eine enorm große Anzahl. Die Zahl der virenverseuchten Spams ist im Vergleich dazu deutlich niedriger und liegt bei etwa 0,4 Prozent. Generell lässt sich feststellen, dass Phishing-Attacken gezielter werden, man spricht in diesem Fall von Spear Phishing. Um seinen Angriff zu verschleiern und seine Trefferquote zu erhöhen, besorgt sich der Angreifer aus unterschiedlichen Quellen, wie sozialen Netzwerken, zusätzliche Informationen über die Zielgruppen und Zielpersonen, die seinen „Köder“ noch glaubhafter erscheinen lassen.

IT-DIRECTOR: Wie laufen derartige Angriffe konkret ab?
M. Rudrich: Zwei Drittel der Phishing-Angriffe finden am Montag oder Freitag statt, also an jenen Tagen, an denen Büroarbeiter normalerweise am wenigsten Konzentration an den Tag legen. Dadurch wird die Wahrscheinlichkeit reduziert, dass ein Angestellter eine betrügerische E-Mail als solche identifiziert.

Hinzu kommt, dass E-Mail-Sicherheitssysteme fast immer so strukturiert sind, dass sie eine E-Mail zu dem Zeitpunkt analysieren, an dem sie auf dem Server eingeht, nicht, wenn sie vom Empfänger geöffnet wird. Ein Angreifer ist deshalb in der Lage, unerkannt zu bleiben, wenn er eine Internetseite erst dann manipuliert, wenn die E-Mail, die den Link zu dieser Webseite enthält, bereits auf dem Server eingegangen ist. Konkret bedeutet das: Der Angreifer verschickt seine Phishing-Mail häufig Freitagnachmittag, nach Büroschluss. Die E-Mail-Sicherheitssysteme des Unternehmens analysieren die Mail inklusive der darin enthaltenen Link-Adresse, die zu diesem Zeitpunkt noch „unbedenklich“ ist. Die Mail wird also als „sauber“ an das Postfach des Adressaten durchgeleitet. Sonntagnacht wird die im Link angegebene Internetseite vom Angreifer mit Malware versehen, und wenn der E-Mail-Empfänger die Mail am Montagmorgen öffnet und dem vermeintlich unbedenklichen Link folgt, schnappt die Falle zu.

IT-DIRECTOR: Wie hoch ist die „Erfolgsquote“ solcher Attacken?
M. Rudrich: Wie Tests zeigen, die wir sowohl bei Kunden als auch in unserem eigenen Hause durchgeführt haben, ist diese Quote erschreckend hoch. Mehr als 70 Prozent der Adressaten haben den „Köder“ geschluckt. Die Hälfte dieser Mitarbeiter sind dem angegebenen Link gefolgt und wiederum ein Drittel davon hat im weiteren Verlauf sogar persönliche Daten preisgegeben. Entscheidend für dieses alarmierende Ergebnis ist ein üblicherweise sehr positiver Wesenszug des Menschen: seine Neugier. Hinzu kommt ein veränderter Umgang der Menschen mit elektronischen Medien. Bei unseren Tests haben wir festgestellt, dass bereits 60 Prozent der Empfänger die fingierte Nachricht auf mobilen Devices empfangen haben. Es ist statistisch nachgewiesen, dass Mitarbeiter, die ihre E-Mails auf dem heimischen Sofa oder im Auto auf dem Weg zum Kunden abfragen, weniger sicherheitsbewusst handeln, als wenn sie die Mails an ihrem Arbeitsplatz empfangen würden. Praktisch heißt das: Das Plus an Produktivität, das man durch berufliche Mobilität gewinnt, bedeutet für das Unternehmen ein Minus an Sicherheit.

IT-DIRECTOR: Was ist die Quintessenz aus diesen Beispielen für Bedrohungsszenarien?
M. Rudrich: Diese Indikatoren zeigen deutlich auf, dass diejenigen, die mobile, E-Mail-, Web- sowie sonstigen Cyberbedrohungen als separate, unterschiedliche Risiken behandeln, das Nachsehen haben werden. Lösungen die sich ausschließlich auf Mobilfunk, E-Mails, das Web oder sonstige Bereiche konzentrieren, bieten keinen verlässlichen Schutz mehr vor komplexen, mehrstufigen Angriffen, die in der Lage sind, zwischen Angriffsvektoren zu wechseln. Bereits Anfang 2012 hat IDC in einer Studie belegt, dass signaturbasierte Tools wie Antivirensoftware, Firewalls oder Intrusion-Prevention-Systeme nur gegen 30 bis 50 Prozent der aktuellen Bedrohungen wirksam sind. Neue Angriffsmethoden wurden gezielt weiterentwickelt, um genau diese spezifischen Abwehrmechanismen zu umgehen. Um Bedrohungen dennoch wirksam zu bekämpfen, empfiehlt IDC Unternehmen einen Wechsel bei der Sicherheitspolitik hin zu einem „aktiveren Ansatz“ zu vollziehen. Nur proaktive Echtzeitschutztechnologien, die den gesamten Lebenszyklus einer Bedrohung untersuchen, können diesen Angriffen standhalten und Datendiebstahl verhindern. Genau hier setzen wir mit unseren Triton-Lösungen an.

IT-DIRECTOR: Welches Grundkonzept liegt diesen Lösungen zugrunde?
M. Rudrich: Triton verfolgt einen integrierten Lösungsansatz und schließt die Sicherheitslücken von Legacy-Produkten wie Antivirussoftware, Firewalls oder Proxy-Geräten. Unsere Architektur vereint alle Schlüsselkomponenten zur Abwehr von Bedrohungen und den Schutz vor Datendiebstahl in einem durchgängigen Content-Security-System. Dazu integriert sie Web-, E-Mail-, Data- und Mobile-Security-Technologie. Sämtliche Komponenten lassen sich über eine einzige, übersichtliche Managementkonsole steuern. Unsere Data Security Suite als zentraler Bestandteil der Triton-Architektur schützt Unternehmensdaten, indem sie einen Überblick darüber bietet, welche Daten vertraulich sind, wo sie sich befinden, wie sie übertragen werden und wer sie verwendet. Sensible Datenübertragungen lassen sich blockieren, verschlüsseln oder unter Quarantäne stellen, um Daten an unsicheren Orten zu schützen. Zu den Merkmalen der Suite gehören u.a. eine durchgängige DLP Policy Engine für beschriebene, gelernte und registrierte Daten sowie über 1.700 vordefinierte Policies und Vorlagen für verschiedene Regionen und Branchen. Die integrierte Plattform ermöglicht es, Content-Security-Lösungen entweder „in the Cloud“ oder vor Ort zu implementieren. Durch diese Flexibilität können Unternehmen die Anforderungen der Firmenzentrale, eventueller Zweigniederlassungen und auch der mobilen Mitarbeiter kombinieren und optimal erfüllen.

IT-DIRECTOR: Ihr Unternehmen ist ein vergleichsweise kleiner Anbieter von Sicherheitslösungen. Wie positionieren Sie sich im Vergleich zu großen namhaften Wettbewerbern?
M. Rudrich: Die Firmengröße ist kein Indikator für Kompetenz oder Qualität. Ein Vorteil gegenüber Marktbegleitern ist unsere klare Fokussierung auf Content Security. Das unabhängige Testlabor Miercom hat beispielsweise unser Web-Security-Gateway Anywhere gemeinsam mit Web-Security-Systemen von fünf führenden Wettbewerbern untersucht. Um eine realistische Umgebung nachzuahmen, wurden 2,2 Mio. Live-Webanfragen unbekannter Natur verwendet. Dabei konnte unsere Lösung 68 Prozent mehr schadhafte und verdächtige Links, Exploit-Kits, Malware und andere Bedrohungen korrekt stoppen als das nächstplatzierte System. Die Basis für die hohe Effektivität des Gateways ist die Advanced Classification Engine (ACE). Diese bietet Schutz in sieben Verteidigungsbereichen und nutzt über 10.000 Analysen aus der Threat Seeker Intelligence Cloud. Diese wiederum vereint mehr als 900 Millionen Endpunkte und untersucht bis zu fünf Milliarden Anfragen pro Tag.

IT-DIRECTOR: Welche Rolle können und sollen staatliche Stellen bei der Bekämpfung der Cyberkriminalität spielen?
M. Rudrich: Das Bundesamt für Sicherheit in der Informationstechnik (BSI) ist als Informations- und Kommunikationsplattform im Kampf gegen Internetkriminalität für die Wirtschaft unwahrscheinlich hilfreich. Unsere Sicherheitslabors, die wir in allen Erdteilen betreiben, tauschen sich nicht nur mit anderen Security-Anbietern sondern auch mit dem BSI über neue Gefahrensituationen aus. Die Kommunikation mit derartigen Institutionen muss weiter ausgebaut werden. Ein hohes Verbesserungspotential sehe ich, sowohl personell als auch organisatorisch, auf staatlicher Seite, beispielsweise wenn es um die Einbindung der Strafverfolgungsbehörden wie der Landeskriminalämter geht. Was ich allerdings ablehne, sind staatliche Kontrollen und Reglementierungen, die angesichts eines zunehmend globalen Handels Unternehmensprozesse nur unnötig komplex und teuer machen. Was wir brauchen sind effiziente Konzepte, die die Produktivität der Unternehmen nicht unnötig einschränken. Ebenfalls nicht unterstützt werden von uns vom Gesetzgeber initiierte Angriffe, beispielsweise mittels sogenannter staatlicher Trojaner.

IT-DIRECTOR: Wie stehen Sie zu der hierzulande sehr konträr diskutierten gesetzlichen Meldepflicht für Hackerattacken?
M. Rudrich: Hier gehen wir weitgehend konform mit dem Standpunkt des Branchenverbands Bitkom, der Unklarheiten im Gesetzestext kritisiert und sich klar gegen eine überzogene Ausweitung der Meldepflicht ausspricht. Zum einen befürchten wir einen ausufernden bürokratischen Aufwand, zum anderen sehen wir mögliche existentielle Gefahren für betroffene Unternehmen, hervorgerufen durch falsche oder völlig unsachgemäße Darstellung der Sicherheitsvorfälle in der Öffentlichkeit. Natürlich ist die zeitnahe und detaillierte Analyse krimineller Angriffe für uns als Sicherheitsanbieter von hohem Interesse. Wir favorisieren jedoch die Einrichtung von Plattformen, bei denen Unternehmen derartige Vorfälle freiwillig und vertraulich melden können.

IT-DIRECTOR: Welche Trends hinsichtlich neuer Angriffsmethoden sehen Sie in naher Zukunft?
M. Rudrich: Unsere Labs haben Sicherheitsprognosen für das Jahr 2013 aufgestellt, die sich im Wesentlichen auf sieben Bereiche erstrecken: Wie bereits erwähnt rechnen wir damit, dass eine steigende Zahl von Angriffen auf legitime Webplattformen abzielt. Plattformübergreifende Bedrohungen werden zunehmend mobile Geräte betreffen. Dazu wird auch die steigende Akzeptanz von Cloud-Technologien beitragen. Eine neue Risikozone bilden Appstores. Immer mehr Schadsoftware wird sich 2013 in legitimen Appstores verstecken. Einen Rückgang aufgrund gesteigerter Aufmerksamkeit und verbesserter Abwehrmechanismen erwarten wir bei den Hacktivismus-Angriffen, die beispielsweise politisch motiviert sind. Demgegenüber wird die Zahl staatlich geförderter Angriffe, die sogenannte computerbasierte Kriegsführung, zunehmen. Immer mehr Staaten sind bereits dazu übergegangen „Cyberwarfare“-Strategien und -Taktiken zu implementieren. Generell werden sich Bedrohungen in ihrer Struktur und Wirkungsweise den zunehmend virtuellen Infrastrukturen der Unternehmen anpassen. Nicht zuletzt werden E-Mail-Angriffe eine neue Qualität bekommen. Immer häufiger wird es ihnen gelingen, traditionelle Sicherheitsvorkehrungen zu umgehen. Fach- und Führungskräfte gelangen zunehmend in den zielgerichteten Fokus derartiger Attacken.

Michael Rudrich
Alter: 45 Jahre
Werdegang: Michael Rudrich verfügt über langjährige Erfahrung im IT-Sicherheitsmarkt, u.a. trug er als Regional Director der Firmen Secure Computing, Ciphertrust und RSA entscheidend zu deren Markterfolg bei. Vor seinem Wechsel zu Websense war er als Director für die Network Security Business Unit bei McAfee tätig.
Derzeitige Position: Regional Director Central & Eastern Europe bei Websense
Hobbys: Skifahren, Golfen, Familienleben