Wenn die Alarmglocken schrillen

ITD: Herr Scheffler, wie gestaltet sich die derzeitige Bedrohungslage für IT-Systeme und Netzwerke von Großunternehmen bzw. Konzernen?
Michael Scheffler: Ohne zu übertreiben oder Panik machen zu wollen, halte ich (mit meiner immerhin 20-jährigen Erfahrung im Security-Bereich) wie wohl die meisten meiner Kollegen die derzeitige Bedrohungslage für so hoch wie nie zuvor. Sowohl der Umfang als auch die Art und Weise der Angriffe haben sich in den letzten eineinhalb Jahren deutlich entwickelt. Denken wir etwa an die Supply-Chain-Angriffe auf Solarwinds und Kaseya oder die verheerenden Ransomware-Attacken, die Teile der kritischen Infrastruktur in den USA lahmgelegt haben. Mittlerweile hat Cybersicherheit auch die höchsten politischen Kreise erreicht und Präsident Biden zu einer Executive Order veranlasst. Auch in der Außenpolitik wird Cybersecurity immer mehr zum Thema. Und es ist zu befürchten, dass sich die Bedrohungslage auch weiterhin verschärfen wird. So unterschiedlich die Angriffe in ihrer Art auch sein mögen, haben sie doch alle eins gemeinsam: In ihrem Zentrum stehen Daten, die entwendet und/oder verschlüsselt werden. Cyberkriminelle suchen mit Ransomware den schnellen Profit, während staatlich geförderte Angreifer oftmals Forschungsergebnisse und geistiges Eigentum anvisieren. Deshalb sollte der Schutz der Daten auch ins Zentrum der Sicherheitsstrategie von Unternehmen gestellt werden. Dies macht umso mehr Sinn, als der klassische Perimeter nicht mehr existiert und entsprechende Schutzmaßnahmen nicht mehr so wirkungsvoll sind wie noch vor einigen Jahren.

ITD: Welchen Einfluss üben Faktoren wie die Corona-Pandemie, der Klimawandel etc. auf die Bedrohungslage aus?
Scheffler: Ohne Zweifel hat die Corona-Pandemie mit der flächendeckenden Einführung von Remote Work zur aktuellen Sicherheitslage beigetragen. Wir sehen, dass Krisen und aktuelle Ereignisse immer sehr schnell auch von Cyberkriminellen für ihre Zwecke genutzt werden. Insofern können auch große Themen wie Covid-19 oder der Klimawandel und die damit einhergehenden Umweltkatastrophen als Aufhänger für teils perfide Angriffe missbraucht werden.

ITD: Inwieweit gehören IT-Security-Katastrophenpläne bereits zum Standard in Großunternehmen?
Scheffler: In Großunternehmen sehen wir in der Tat häufig Incident-Response-Pläne. Aber nur einen Plan zu haben, reicht nicht aus. Die Sicherheitsteams müssen genauso wie beispielsweise Feuerwehrleute oder Rettungskräfte den Ernstfall trainieren, um in der Situation adäquat zu reagieren. Dies ist seit der Einführung der DSGVO noch wichtiger, denn mit der Identifizierung des Vorfalls fängt die Uhr bereits zu ticken an: Innerhalb von 72 Stunden muss die entsprechende Datenschutzbehörde informiert und auf den aktuellen Stand gebracht werden.

ITD: Wie sollten Unternehmen handeln, wenn ihr Netzwerk z.B. durch Hacker angegriffen wurde oder unwetterbedingt Schaden genommen hat?
Scheffler: Das Wichtigste und Schwierigste: Ruhe bewahren! Gerade wenn alle Alarmglocken klingeln, ist dies eine echte Herausforderung. Deshalb sollten bereits im Vorfeld alle denkbaren und möglichst auch undenkbaren Angriffe und Störungen in einem entsprechenden Reaktionsplan aufgenommen und die jeweils notwendigen Schritte festgelegt werden. Denn wenn der Ernstfall unvorbereitet eintritt, lässt sich kaum ein kühler Kopf bewahren. Ein wirkungsvoller Incident-Response-Plan legt in Form einer Schritt-für-Schritt-Anleitung die adäquate Reaktion auf bestimmte Sicherheitsvorfälle fest: Was ist überhaupt ein Sicherheitsvorfall? Wer hat was zu tun? Und wer ist in welchem Fall wie zu informieren? Der Plan stellt sicher, dass nichts vergessen wird und reduziert so den Stress.

ITD: Mit welchen Herausforderungen ist die Erstellung eines sauberen IT-Security-Katastrophenplans verbunden?
Scheffler: Wesentlich ist die richtige Zusammenstellung eines Incident-Response-Teams (IR): Bei den Mitgliedern kann es sich um Vollzeitsicherheitsfachkräfte handeln, aber auch um Spezialisten, die im Unternehmen in erster Linie eine andere Rolle innehaben. Neben diesen Fachleuten ist es sinnvoll, auch andere Personen aus dem Unternehmen mit ins Boot zu holen. Immerhin betreffen schwere Sicherheitsvorfälle nicht nur die IT, sondern das gesamte Unternehmen. Aus diesem Grund sollte das Management über alle wesentlichen Schritte informiert werden. Zudem muss es sicherstellen, dass das IR-Team über ausreichend Ressourcen verfügt. Aber auch die Personal- und Rechtsabteilung sollten eingebunden werden.

ITD: Welche Punkte sollte solch ein Plan anno 2021 unbedingt aufgreifen?
Scheffler: Die wesentlichen Angriffsszenarien sollten abgedeckt werden, also etwa Ransomware, Phishing oder Datendiebstahl. Eine Reihe praktischer Templates findet sich beispielsweise bei incidentresponse.com. Diese können als Inspiration und Leitfaden dienen, sollten aber auf die jeweiligen Gegebenheiten angepasst werden. Gleichzeitig sollten Sicherheitsverantwortliche aber immer auf dem aktuellen Stand sein und sich aktiv über die neuesten Trends informieren, um die Pläne gegebenenfalls entsprechend anpassen zu können.

Bildquelle: Varonis