13.04.2023 Updates

Vertraue keinem Update!

Von: Eugenio Carlon

Schon immer suchten Angreifer das schwächste Glied in der Kette, um eine Abwehr zu durchbrechen. Das hat sich in der heutigen, hochgradig digitalisierten Wirtschaftswelt nicht geändert und schließt auch die Lieferkette der Zulieferer mit ein.

Um ein Zero-Trust-Modell durchzusetzen, sollten Unternehmen auf die adäquate Vergabe und Verwaltung von Zugriffsrechten achten.

Oft haben Lieferanten Zugriff auf interne Systeme ihrer Kunden und ein Hack auf scheinbar bedeutungslose Zulieferer kann für Hackergruppen den Eintritt in das Netzwerk eines Weltkonzerns bedeuten. Noch häufiger und dramatischer sind Angriffe über die Software-Lieferkette. Statt das ins Visier genommene Unternehmen also direkt anzugreifen, nehmen Cyberkriminelle deren Software-Distributoren ins Visier. Sie identifizieren Betreiber mit unzureichenden Sicherheitspraktiken, um dort bösartige Codes in eine vertrauenswürdige Software-Komponente einzuschleusen. Beim nächsten Update sind sie am Ziel angelangt: im Netzwerk des Großunternehmens. Im Zuge der globalen Digitalisierungsfortschritte haben Lieferkettenangriffe neue Dimensionen und bedeuten für Unternehmen eine unangenehme Erkenntnis: Das schwächste Glied in der Kette befindet sich oft außerhalb ihrer Sicherheitsstruktur und damit abseits ihrer Kontrolle. Durch die Kompromittierung eines einzelnen Lieferanten können Angreifer jede verkaufte Anwendung oder jedes Software-Update in trojanische Pferde verwandeln. Ein großer Service-Anbieter kann somit unwissentlich mit einer einzigen Aktualisierung Tausende Unternehmen infizieren.

Lahmgelegte Produktion

Die Bedrohung durch Lieferkettenangriffe stellt heute ein erhebliches Risiko für moderne Unternehmen dar und die finanziellen Schäden können enorm sein – vom Produktionsausfall über den Aufwand für die Untersuchung des Sicherheitsvorfalls, Verluste aufgrund von Reputationsschäden bis hin zu Geldstrafen. Eines der verheerendsten Beispiele ist der Angriff auf das Software-Unternehmen Solarwinds im Jahr 2020, der eine Vielzahl an Organisationen betraf, einschließlich der US-Regierung.

Ein weiterer schwerwiegender Fall war der Angriff auf Kaseya im Juli 2021, bei dem schließlich Ransomware über ein manipuliertes Software-Update ausgespielt wurde und weltweit etwa 1.500 Firmen betraf. Wie verletzlich die Lieferkette heutiger Industrieunternehmen ist, demonstrierte zudem jüngst der Cyberangriff auf die Supply Chain von Toyota im März 2022, bei dem ein Drittel der weltweiten Produktion des Unternehmens lahmgelegt wurde.

Über den Tellerrand hinausblicken

Die Angriffe auf die Software-Lieferkette werden zwar immer raffinierter, sie können jedoch eingedämmt werden. Der Verzicht auf Updates kommt nicht infrage, aber Unternehmen müssen sich be-wusst machen, dass selbst die vertrauenswürdigsten Lieferanten nicht vor Einbrüchen gefeit sind. Deshalb müssen Sicherheitsverantwortliche über traditionelle Risikobewertungen von Anbietern hinausgehen.

Dies ist ein Artikel aus unserer Print-Ausgabe 3/2023. Bestellen Sie ein kostenfreies Probe-Abo.

Selbst gegenüber Standard-Software großer Hersteller gilt das Prinzip „Null Vertrauen“ (Zero Trust). Jede Applikation auf jedem Endgerät muss kontinuierlich überwacht werden, und zwar sowohl auf Endpoint- als auch auf Netzwerkebene. Mit einem Zero-Trust-Ansatz und enger Kontrolle durch Security-Analysten in Form von Cyber-Defense-Center-Dienstleistungen (CDC) oder entsprechenden Technologielösungen wie Radar Solutions fällt eine Attacke schnell auf und die Folgen des Angriffs werden lokal begrenzt. Wohl gemerkt: Cybercrime ist nur so lukrativ und erfolgreich, soweit man es zulässt.