Trügerische Sicherheit

Laut der aktuellen Eco-Umfrage halten 53 Prozent der Befragten ihre Unternehmens-IT für gut aufgestellt gegen Cyberbedrohungen. 28 Prozent sehen ihr Unternehmen zumindest ausreichend  abgesichert. Dabei liegt die Zahl der kriminellen Cyberangriffe in Deutschland weiter auf sehr hohem Niveau. Laut dem „Bundeslagebild Cybercrime 2022“ des Bundeskriminalamts (BKA) wurden im vergangenen Jahr insgesamt 136.865 Fälle registriert. Im Vergleich zum Vorjahr sei das zwar ein Rückgang um 6,5 Prozent, doch die Bedrohungslage bleibe weiterhin kritisch. Besonders bei Straftaten, die aus dem Ausland begangen wurden, wurde eine deutliche Steigerung um 8 Prozent festgestellt.

„Trotz der sich immer weiter zuspitzenden Bedrohungslage, der zahlreichen Möglichkeiten für Cyberkriminelle sowie deutlich effizienterer Taktiken und Techniken nehmen Unternehmen hierzulande die IT-Sicherheit immer noch nicht ernst genug“, sagt Stefan Peter, Head of Cyber Security Services bei Q.beyond. Dabei können die Folgen eines Angriffs verheerend sein, mahnt Jochen Koehler, VP EMEA Sales bei Ontinue: „Zu den möglichen Folgen gehören der Verlust von wichtigen und vertraulichen Daten, extrem viel Arbeit und hohe Kosten für den teilweisen oder vollständigen Wiederaufbau der IT.“ Mitunter könne es sogar zur völligen Handlungsunfähigkeit kommen. „Gerade bei Behörden haben wir das in der Vergangenheit immer wieder erlebt, dass sie technologisch ins Mittelalter – also zu Stift und Papier – zurückgeworfen wurden“, berichtet Koehler. Noch heftiger kann es kleine und mittelständische Unternehmen (KMU) treffen. Bei ihnen kann ein Cyberangriff bis hin zur Insolvenz führen. 

Viele Betriebe sind bereit, Lösegeld zu zahlen

Das schlimmste Resultat eines Angriffs ist ein Stillstand des gesamten Betriebs – aus diesem Grund haben Ransomware-Angriffe stark zugenommen. Bei einem Ransomware-Angriff werden die Daten auf einem IT-System verschlüsselt und erst gegen Zahlung eines Lösegeld wieder freigegeben. „Downtime und andere Unterbrechungen kosten Geld und wenn eine Organisation nicht arbeiten kann, ist sie eher bereit, Lösegeld zu zahlen, um den Betrieb schnell wieder aufnehmen zu können“, weiß Alexander Goller, Senior Systems Engineer bei Illumio. „IT ist heute die Grundlage für alle modernen Unternehmen. Deshalb ist Cyberresilienz so wichtig – es geht nicht mehr darum, Angriffe zu verhindern, sondern sie zu überleben und den Betrieb selbst während eines Angriffs aufrechtzuerhalten.“

Wachsamkeit bleibt das beste Mittel

Hochwasser, Erdbeben, Feuer – dass solche Katastrophen meist beträchtliche Elementarschäden für Unternehmen nach sich ziehen, bestreitet wohl niemand. Mit Hackerangriffen verhält es sich ähnlich – teils sogar noch schlimmer, denn ein erfolgreicher Cyberangriff versetzt Unternehmen schnell zurück in die Steinzeit. „Cyberkriminelle halten sich ungefähr zwischen 30 und 90 Tagen unbemerkt im Unternehmensnetzwerk auf. Genügend Zeit, um Daten zu verschlüsseln, zu manipulieren oder Geschäftsgeheimnisse abzugreifen“, erklärt Stefan Peter. Erkennen Verantwortliche den Angriff erst nach diesem Zeitraum, könnten Unternehmen oft nur noch Schadensbegrenzung betreiben. Deshalb seien Organisationen gut beraten, regelmäßig Systeme, Applikationen, Gebäudeeinheiten oder simple Kommunikations-Tools zu analysieren und im Fall von entdeckten Sicherheitslücken sofort zu handeln.

Ist das Worst-Case-Szenario – ein geglückter Cyberangriff – bereits eingetreten, sollten Unternehmen ihr hoffentlich vorhandenes Incident-Response-Dokument konsultieren. Jochen Koehler erläutert, welche Maßnahmen im Zuge eines solchen Notfallplans ergriffen werden müssen: „Der erste Schritt muss sein, die betroffenen Systeme vom Netz zu nehmen. Anschließend sollten Unternehmen alle übrigen Systeme daraufhin untersuchen, ob der Angriff sich schon ausgeweitet hat. Ist der Angriff abgewehrt, steht eine Retrospektive an, bei der die IT-Experten die bestehenden Schutzmaßnahmen hinterfragen und im Zweifelsfall nachjustieren sollten.“ Als letzten wichtigen Schritt rät er, falls nicht bereits vorhanden, ein dauerhaftes Monitoring der bestehenden Sicherheitsmaßnahmen einzurichten.

Vorsorge ist besser als Nachsorge

Ein Teil des Problems besteht laut Goller darin, dass sich viele Organisationen nur darauf konzentrieren würden, was sie nach einem Cyberangriff tun sollten. „Unternehmen müssen aber bereits vor einem Angriff proaktiv Maßnahmen ergreifen, mit denen sie dann im Ernstfall den Angriff eindämmen können“, betont Goller. „Sobald die Angreifer in die IT einer Organisation eingedrungen sind, gilt es, die Bedrohung schnellstmöglich zu isolieren und die Sicherheitsverletzung einzudämmen.“ Das sei jedoch nur dann möglich, wenn im Vorfeld die richtigen Maßnahmen zur Segmentierung ergriffen wurden. Auch Stefan Peter ist der Ansicht, dass in Sachen „Prävention“ dringend ein Umdenken erforderlich ist. Cybersecurity müsse zum Dauerthema in Unternehmen werden, fordert der Experte, „weg von einzelnen IT-Sicherheitsprojekten, hin zur Cybersecurity-Kontinuität. Das C-Level muss hier als Vordenker auftreten.“ Die IT-Sicherheit im Blick hält die Geschäftsführung am besten durch einen Chief Information Security Officer (CISO), der Datenschutz, Datensicherheit, Compliance und IT-Sicherheit gleichermaßen berücksichtigt. „In vielen Unternehmen finden CISOs aber noch kein Gehör“, beklagt Peter. Weist etwa ein Chief Financial Officer (CFO) auf unrentable Geschäftsbereiche hin, beginnt die Suche nach Verbesserungspotenzial meist umgehend. Deckt ein CISO eine Sicherheitslücke auf, wird die Behebung nicht selten aufgeschoben, oftmals auch aus Kostengründen. 

Dies ist ein Artikel aus unserer Print-Ausgabe 9/2023. Bestellen Sie ein kostenfreies Probe-Abo.

„Cybersecurity ist einfach noch ein undankbares Thema“, meint Stefan Peter. Dabei würden sich Unternehmen mit einem veränderten Mindset den Weg in die sichere Zukunft ebnen, denn „erst dann lassen sich Mitarbeiterschulungen und technische Schutzmaßnahmen beispielsweise gegen Ransomware erfolgreich umsetzen.“ Ein solches Umdenken fordert auch Stephan Dykgers, Area Vice President EMEA bei Imperva: „Ich halte die Security Awareness in vielen Bereichen für nicht ausreichend. Im Gegenzug sind aber die Zahl der Angreifer und deren finanzielle Möglichkeiten in den vergangenen Jahren erheblich gestiegen.“ Dabei stellen die Mitarbeiter tatsächlich das größte Risiko für die Unternehmens-IT dar. „Deshalb sollten intern regelmäßig Security-Awareness-Kampagnen gefahren werden, um das Bewusstsein der Mitarbeiter für die Cybersicherheit zu schärfen“, empfiehlt Dykgers. Schließlich ist es für die Mitarbeiter oft sehr schwierig, die immer raffinierteren Betrugsmaschen von Cyberkriminellen zu erkennen, weiß Stefan Peter: „Social Engineering ist extrem erfolgversprechend – und ohne die nötige Expertise für Laien oft schwer zu erkennen. Die gewünschte Vernetzung etwa bei der Nutzung von Cloud-Umgebungen oder dem Austausch von Daten – firmenintern wie -extern – öffnet jedoch automatisch auch die Türen für mögliche Angriffe.“ Ein weiterer Punkt sind laut Koehler die Identitäten der Anwender: „Schlechte Zugriffskontrollen, die nur auf Passwörtern basieren und keine Multi-Faktor-Authentifizierung (MFA) verlangen, kombiniert mit Phishing hebeln andere Sicherheitsmaßnahmen der Reihe nach aus.“ Wenn dann noch privilegierte Nutzerkonten fahrlässig behandelt werden, heißt es schnell: Game over. „Das Problem ist und bleibt, dass die Nutzer und Unternehmen immer alles richtig machen müssen – den Cyberkriminellen reicht es hingegen, ein einziges Mal Glück zu haben“, so Koehler. „Und wenn wir ehrlich sind: Jeder von uns hat schon einmal auf einen dubiosen Link geklickt.“

Bildquelle: Getty Images/iStock/Getty Images Plus