Prozesse für das Krisenmanagement

IT-DIRECTOR: Herr Werner, durch welche Angriffe von Viren, Trojanern oder Würmern wurde die Sicherheit der Unternehmens-IT zuletzt besonders stark gefährdet?
T. Werner: Es gibt unterschiedliche Arten von Bedrohungen. Unmittelbarer Schaden entsteht, wenn ein Unternehmen gezielt mit speziell dafür entwickelten Schadprogrammen angegriffen wird, um bestimmte Informationen zu stehlen. Zweitens gibt es Angriffe wie die aus dem Miner-Botnetz, die zum Ziel haben, Webseiten lahmzulegen. Schließlich kann durch die Ausbreitung von Schadprogrammen allgemein der IT-Betrieb und die Funktion eines Unternehmensnetzes als Nebeneffekt nachhaltig gestört werden.

IT-DIRECTOR: Welcher Methoden und Technologien bedienen sich die Angreifer dabei? Mit welchen Raffinessen gehen sie vor?
T. Werner: Es gibt etliche Techniken, um Schadprogramme auf Opfersystemen zu platzieren. Die wichtigsten sind das Ausnutzen von Schwachstellen in Software und Betriebssystemen sowie das so genannte Social Engineering, wie zum Beispiel speziell präparierte E-Mails, die den Empfänger dazu bringen sollen, selbst eine angehängte Datei auszuführen oder auf eine Webseite zu surfen, die dann das Schadprogramm installiert.

IT-DIRECTOR: Wie können solche undichten Stellen am besten und schnellsten geschlossen werden? Mit welchen Abwehrmechanismen können die Sicherheitsverantwortlichen ihre Unternehmens-IT – kurz- und langfristig – am besten vor Attacken schützen?
T. Werner: Wichtigste Maßnahmen sind die Aufklärung des Personals und das Schaffen eines Sicherheitsbewusstseins, so dass entsprechende E-Mails erkannt und gemeldet werden. Darüber hinaus sollten Betriebssysteme und Anwendungen mit aktuellen Sicherheitspatches versorgt und Netzübergänge auf unbefugte Zugriffe hin überwacht werden. Schließlich sollten Computer mit Virenschutzprogrammen, wie zum Beispiel von Kaspersky Lab ausgestattet sein, um im Falle einer Kompromittierung den Befall mit Schadsoftware feststellen und beheben zu können.

IT-DIRECTOR: Wie sollten Sicherheitsverantwortliche reagieren, wenn ein Angriff erfolgreich war und Unbefugten der Zugriff auf Netzwerke und Daten ermöglicht wurde? Wie kann man schnell für Schadensbegrenzung sorgen?
T. Werner: Bei erfolgten und festgestellten Einbrüchen sollte es Prozesse für das Krisenmanagement geben. Es muss zunächst der Zweck des Angriffs und der Umfang des Schadens ermittelt werden. Sind Dritte mittelbar oder unmittelbar betroffen, sollten diese informiert oder gewarnt werden. Die ausgenutzten Sicherheitslücken müssen umgehend geschlossen, Passwörter gegebenenfalls geändert werden. Ob eine Information der Öffentlichkeit sinnvoll ist, hängt vom Einzelfall ab.