Nach wie vor kritische Sicherheitslücken

ITD: Herr Berghoff, das Thema „IT-Security“ hat im Jahr 2021 durch Corona und die Auswirkungen der Pandemie an Bedeutung gewonnen. Inwieweit wird sich im kommenden Jahr daran etwas ändern?
Tim Berghoff: Die Bedeutung von IT-Security wird noch größer werden. Der Grund dafür ist allerdings nicht, dass die Corona-Pandemie uns noch weiter beschäftigt. Vielmehr ist es die Tatsache, dass das Remote-Arbeiten eine bedeutendere Rolle in unserem Arbeitsalltag spielen wird. Viele Unternehmen sind noch immer nicht ausreichend auf die Herausforderungen vorbereitet, die dieses Arbeitsmodell mit sich bringt.

Davon abgesehen, ist es wahrscheinlich, dass einige Firmen noch nicht einmal gemerkt haben, dass sie an irgendeinem Zeitpunkt während der Pandemie kompromittiert wurden. Sprich, die eigentlichen Auswirkungen von Versäumnissen bei der Sicherheit haben wir noch gar nicht gesehen. Das ist auch vielen IT-Verantwortlichen klar, die unter massivstem Zeitdruck praktisch über Nacht die gesamte Unternehmens-IT umkrempeln und für das Homeoffice fit machen mussten.

Dazu kamen noch einige wirklich kritische Sicherheitslücken, wie etwa die in Microsoft Exchange. Unternehmen begreifen in zunehmendem Maße, dass IT-Sicherheit überlebenswichtig sein kann und dass die richtige Vorbereitung darauf den Unterschied zwischen dem sprichwörtlichen blauen Auge und einem K.O. sein kann. Und das hat auch Unternehmer in schmerzhafter Weise daran erinnert, dass IT-Sicherheit schon lange kein Nebenschauplatz mehr ist, der sich nebenher beherrschen lässt.


ITD: Welche neuen Angriffsflächen im Vergleich zu der Zeit vor Corona nutzen Hacker?
Berghoff: Die schnelle Verlegung ins Homeoffice war gerade in der Anfangsphase ein Geschenk für Kriminelle. Viele Betriebe waren darauf schlichtweg nicht vorbereitet. Das führte vielfach zu rein pragmatischen Entscheidungen. Das Gebot der Stunde war zunächst: „Es muss funktionieren, alles andere ist zweitrangig“. Allerdings griff dann wieder die Binsenweisheit „Nichts hält so lange wie ein Provisorium“. Und wenn es ein Erfolgsrezept für maximale Angreifbarkeit gibt, dann dieses: Man nehme eine Sammlung von Provisorien, eine Prise Stress und Konfusion unter den Mitarbeitern angesichts der Situation und würze das Ganze mit einem Schuss allgemeiner medialer Unruhe um das ganze Thema „Corona“.

Das existierende Rad optimiert

Angreifer haben in erster Linie auf altbewährte Angriffsmethoden gesetzt, wie etwa Phishing-Mails. Die kriminelle Szene hat also nicht das Rad neu erfunden, sondern das existierende Rad optimiert und um einige Features erweitert, wie etwa Subventionsbetrug. Hinzu sind seitdem weitere Angriffsmodelle gekommen, die allerdings nicht unbedingt mit der Pandemie zusammenhängen. Es ist eher die logische Fortsetzung eines Trends, der sich bereits vor Corona abzuzeichnen begann: Angriffe auf Liefer- und Wertschöpfungsketten.

ITD: Welche Technologien nutzen Angreifer, um Unternehmen zu schaden und sich zu bereichern? Welche Rolle spielt dabei etwa Künstliche Intelligenz?

Berghoff: Die kriminelle Branche ist traditionell eher konservativ und verlässt sich auf das, was zuverlässig ist und funktioniert. Natürlich wird auch viel ausprobiert, aber die Cash Cows in diesem Geschäft sind altbekannt. Ausgereifte Technologien, die sich im Bereich der Künstlichen Intelligenz verorten lassen, existieren natürlich in der Branche und kommen auch zum Einsatz, und das nicht erst seit gestern. Man sollte jedoch dabei zwei Dinge beachten: Zum einen gibt es viele unterschiedliche Definitionen von Künstlicher Intelligenz, die teilweise stark voneinander abweichen. Zum anderen sollten wir auch bedenken, dass eine gut gemachte und ausgeklügelte Automatisierung zwar schnell intelligent aussieht, es aber eigentlich nicht ist.

Ein einfaches Beispiel: Wenn es ein Angreifer also schaffen sollte, mithilfe eines seit fünf Jahren vergessenen Wartungszugangszugriff auf einen exponierten Datenbankserver zu erhalten oder ganz gezielt eine Schwachstelle im einzigen bisher ungepatchten Exchange-Server zu finden und auszunutzen, dann hat auch das wenig mit Intelligenz zu tun. Sondern eher damit, dass Kriminelle meist genau wissen, wonach sie suchen müssen. Die Automationen dafür sind oftmals trivial und vielfach sogar bereits fertig in der Schublade.

ITD: Wie können sich Unternehmen künftig besser schützen, wenn Basics wie Firewall und Co. nicht mehr ausreichen?
Berghoff: Es gibt in den meisten Unternehmen drei wesentliche Baustellen: Prozesse, Incident Readiness und Awareness. Oberstes Ziel einer jeden Sicherheitsstrategie muss sein, das Unternehmen im Notfall handlungsfähig zu halten und Schäden zu minimieren. Es mangelt jedoch allzu oft an den Prozessen, die dies ermöglichen.

Einen wesentlichen Baustein der IT-Sicherheit besitzt jedes Unternehmen in großer Anzahl: Die Mitarbeiter. Auch sie können einen unschätzbar wertvollen Teil zur Sicherheit beitragen – man muss ihnen nur sagen, wie. An dieser Stelle kommen Mitarbeiterschulungen ins Spiel. Diese müssen jedoch so ausgelegt sein, dass das Wissen laufend gefordert wird. Hier gibt es noch ein großes Verbesserungspotenzial. Statt also die Nutzer immer als Problem zu sehen, das es zu lösen gilt. Warum dieselben Menschen nicht einfach zu einem Teil der Lösung machen?

ITD: Wie sieht die Zukunft der IT-Security – auch nach Corona – aus? Wagen Sie einen Ausblick!
Berghoff: IT-Sicherheit wird sich weiter diversifizieren. Mehr Anbieter werden auf den Markt drängen, die sich auf genau diese Nische spezialisiert haben. Und immer mehr Unternehmen werden diese Dienste nutzen, um sich abzusichern. Auf der anderen Seite wird es mehr potenzielle Angriffswege geben, auf die Unternehmen immer weniger Einfluss geben. Konkret sind dies Angriffe auf Dienstleister und Zulieferer. Damit sind nicht nur Zulieferer von physikalischen Gütern gemeint, sondern auch Hersteller kritischer Software. So kann auch ein erfolgreicher Angriff auf ein vergleichsweise kleines Unternehmen weltweite Folgen haben. Fest steht auf jeden Fall eines: Langweilig wird es nicht.

Bildquelle: G Data Cyberdefense