Sind deutsche Unternehmen unzureichend geschützt?

Wie eine aktuelle Studie des eco – Verband der Internetwirtschaft e.V. unter IT-Experten zeigt, sehen 78 Prozent die deutsche Wirtschaft im Bereich IT-Sicherheit unzureichend geschützt. Gleichzeitig schätzen 53 Prozent der Befragten die Absicherung ihres eigenen Unternehmens als „gut“ oder „sehr gut“ ein, nur jeder Fünfte empfindet das eigene Sicherheitslevel als „unzureichend“. Wie passt dies zusammen? Es scheint einen deutlichen Widerspruch zwischen der Einschätzung der eigenen Sicherheit und der gesamtwirtschaftlichen Lage zu geben.

Warum Schlagzeilen nicht die Priorisierung vorgeben

Fakt ist: Cyberkriminelle sind mit ihren altbewährten Taktiken immer noch erfolgreich. Fälle von Ransomware- oder Man-in-the-Middle-Angriffen sind genauso wie Social Engineering und Phishing weiterhin auf dem Vormarsch. Umso wichtiger ist es, dass Sicherheitsmaßnahmen und -tools regelmäßig auf ihre Effektivität hin überprüft werden. Ein aktueller Report von Cymulate zeigt etwa, dass viele Unternehmen bei ihren Maßnahmen falsche Prioritäten setzen und oft branchenweit bekannte Sicherheitsprobleme nach wie vor nicht behoben werden können. Derzeit diktieren die Schlagzeilen den Unternehmen die Priorisierung ihrer Sicherheitsmaßnahmen. Dass nicht das tatsächliche Risikoniveau bzw. die Wahrscheinlichkeit eines Angriffs die Strategie vorgibt, führt zu einer Fehlallokation von Ressourcen und lenkt ab von Schwachstellen, die dringend geschlossen werden müssten und die in vielen Fällen schon seit längerer Zeit ein Einfallstor für Cyberkriminelle darstellen.

So offenbart die Studie, dass beinahe jedes zweite Unternehmen Sicherheitslücken aufweist, für die bereits seit mehr als zwei Jahren Patches zur Verfügung stehen. Das Problem vieler Verantwortlichen ist die Abhängigkeit von älteren Infrastrukturen, die keinen Upgrade- oder Patch-Support mehr bieten, sodass sie kompensierende Sicherheitskontrollen installieren, um dieses Risiko einzudämmen. Wird die Gefahr hierdurch jedoch nicht gebannt, ist das ein Indikator dafür, dass diese veralteten Systeme ein direktes Risiko für die Resilienz des Unternehmens darstellen.

Simulation für mehr Proaktivität

Die Top Ten der am weitesten verbreiteten Schwachstellen führt derzeit die Domain- und E-Mail-Sicherheit an. Die Widerstandsfähigkeit gegenüber Cyberangriffen könnte durch die Simulation von Sicherheitsverletzungen signifikant erhöht werden. Denn eine nicht verwaltete Schatten-IT und die verzögerte Implementierung neuer Standards sind mit rein defensiven Analysen schwer zu identifizieren. Um die Lücken in der eigenen Abwehr noch vor den Cyberkriminellen zu entdecken, sind kontinuierliche Sicherheitstests und Risikobewertungen obligatorisch. Hier empfiehlt sich der Einsatz von Attack-Surface-Management-Tools, um die Gefahren richtig einschätzen zu können. Darüber hinaus sind Unternehmen mit Breach- und Attack-Simulationen in der Lage, die Wirksamkeit ihrer Sicherheitskontrollen zu überprüfen. Desweiteren bietet Continuous Automated Red Teaming die Möglichkeit, Penetrationstests durchzuführen.

Best Practices für eine höhere Resilienz

Die hohen Erfolgsraten der Simulationsangriffe, die von Unternehmen durchgeführt werden, offenbaren, dass noch viel zu tun ist. Daher ist es an der Zeit, einen Blick auf die wichtigsten Maßnahmen zu werfen, die Unternehmen konkret ergreifen sollten, um ihr IT-Sicherheitsniveau der angespannten Bedrohungslage anzupassen:

• Sensibilisierung der Mitarbeiter und kontinuierliche Optimierung der technologischen Verteidigungsmaßnahmen

Angriffe per E-Mail sind längst nicht der einzige Vektor, den Cyberkriminelle für Phishing-Angriffe nutzen. Im vergangenen Jahr 2022 haben sich Phishing-Angriffe über Textnachrichten, Sprachnachrichten, Telefonbetrug, Messaging-Apps, QR-Codes und Geschäftsanwendungs-Suites weiterentwickelt. Darüber hinaus hat das Aufkommen frei verfügbarer und extrem leistungsfähiger KI-Services Cyberkriminellen ermöglicht, dedizierte Phishing-Vorlagen zu erstellen, die sie gegen Einzelpersonen ebenso wie Organisationen einsetzen können. Daher sollen sich Unternehmen darauf konzentrieren, ihre Mitarbeiter geräteübergreifend für die Gefahren zu sensibilisieren und sie über die bekannten Angriffsvektoren zu informieren. Neben einer gezielten Schulung der Benutzer gilt es, die Wirksamkeit der technologischen Kontrollen zum Schutz vor Phishing- und anderen Angriffen kontinuierlich überprüfen und bei Bedarf regelmäßig zu justieren und zu optimieren. Die Implementierung von Anti-Phishing-/Anti-Malspam-Funktionen wie Sandboxing und die Einschränkung der Geräte, die auf Unternehmensressourcen zugreifen können, sollten ebenfalls verstärkt in den Fokus gerückt werden.

• Einführung von MFA unter Einbeziehung von Token oder biometrisch basierter ID-Verifizierung

Obwohl die Multi-Faktor-Authentifizierung (MFA) bereits seit mehr als zwei Jahrzehnten verfügbar ist, setzt sie sich im Unternehmensbereich nur schleppend durch. Ein Grund dafür ist die so genannte „Benachrichtigungsmüdigkeit“, da Benutzer oftmals so viele Aufforderungen zur Eingabe von Einmalpasswörtern und zur Authentifizierung bekommen, dass sie sich entweder gegen MFA wehren oder gedankenlos jede Anfrage genehmigen, ohne die Möglichkeit eines Betrugs in Betracht zu ziehen. In beiden Fällen kann der Einsatz von Tools Abhilfe schaffen, die biometrische Faktoren einbeziehen und Single Sign-On (SSO)-Technologien nutzen. Die Biometrie reduziert die Anzahl der erforderlichen Aktionen und veranlasst die Benutzer, sich der noch erforderlichen Authentifizierungsaktionen bewusster zu werden. Biometrische Verfahren lassen sich außerdem schwerer durch Verschleierungstaktiken umgehen. SSO-Technologien verringern die Anzahl der Aufforderungen zur Eingabe eines Tokens, eines Fingerabdrucks oder eines anderen Faktors, was wiederum dazu führt, dass weniger Aktionen pro Tag erforderlich sind und sich die Benutzer stärker auf die einzelnen erforderlichen Aktionen konzentrieren.

• Einführung von Lösungen, die den Umgang mit erweiterten Konten unterstützen und das Risiko des Missbrauchs von Anmeldeinformationen reduzieren

Im vergangenen Jahr stieg die Zahl der direkten Angriffe auf die Identitätsspeicher und IT-Verwaltungsplattformen von Unternehmen signifikant. Darüber hinaus wurden die Hacker immer geschickter darin, Power-User-Konten zu kompromittieren, insofern mangelhaftes Identitätsmanagement oder andere Faktoren, wie die Umstellung auf dezentrale Arbeitsmodelle, diese kritischen Konten anfällig für Kompromittierungen machten. Auch die Verwendung gestohlener Anmeldeinformationen für Attacken auf Angriffsflächen im Internet stellt nach wie vor ein Risiko dar. Um diese Probleme anzugehen, muss der Umgang mit vertraulichen Informationen und erhöhten Kontoprivilegien gesichert werden. Der Einsatz von Privileged Account Management (PAM) und anderen Lösungen für das Identitäts- und Zugriffsmanagement (IAM) kann sowohl bei der Verwaltung dieser sensiblen Daten als auch bei deren Kontrolle sehr hilfreich sein. Besonders erwähnenswert sind Lösungen, die IAM mit Provisioning- und Deprovisioning-Systemen kombinieren, um sicherzustellen, dass die nicht weiter benötigten Konten effektiv, schnell und automatisch aus dem System entfernt werden.

• Identifizierung von unverwalteten Infrastrukturen

Unverwaltete Infrastruktur – so auch Schatten-IT genannt – kennt fast jedes Unternehmen: von einer Geschäftseinheit, die einen Vertrag mit einem Dienstanbieter abschließt, der nicht in den Zuständigkeitsbereich des IT-Teams fällt, bis hin zu technikbegeisterten Benutzern, die ihre eigenen VPN-Systeme einrichten. Auch wenn es nicht möglich ist, die Entstehung von Schatten-IT zu verhindern, sind regelmäßige Scans und Bewertungen zu deren Identifizierung Muss. Sobald diese unverwalteten Infrastrukturen auf dem Radar erscheinen, kann entschieden werden, ob sie entfernt oder verwaltet werden sollen, um das Gesamtrisiko zu kontrollieren.

• Die Verbesserung des Datenschutzes sollte oberste Priorität haben

In den letzten Jahren hat die Zahl der erfolgreichen Ransomware-Attacken erheblich zugenommen. Dabei handelt es sich um Angriffe, bei denen nicht nur Unternehmensdaten verschlüsselt, sondern auch Kopien gestohlen und auf ein externes Datensystem verschoben werden. Weigert sich ein Unternehmen, Lösegeld zu bezahlen, bleiben die Daten nicht nur verschlüsselt, in vielen Fällen droht der Angreifer auch damit, die gestohlenen Kopien zu veröffentlichen. Dies kann Folgen haben, die von der Schädigung des Rufs über die Blamage von Kunden und Führungskräften bis hin zu Geldbußen reichen. Das Expositionsmanagement ist dabei eine Schlüsselkomponente der Cybersicherheitsresilienz. Bei der Ausführung eines Angriffs, wird die Einschränkung der Möglichkeiten eines Angreifers, die anvisierten Daten zu exfiltrieren, zur wichtigsten Verteidigungsmethode eines Unternehmens. Hier empfehlen sich Lösungen zur Verhinderung von Datenverlusten in Kombination mit Cloud-Access-Security-Broker-Plattformen.

Bildquelle: Getty Images/ iStock/ Getty Images Plus