Wie sich Angriffe auf die Lieferkette verhindern lassen

Allerdings wirken sich symbiotische Beziehungen zu Drittanbietern und Partnern äußerst positiv auf die Wettbewerbsposition aus. Denn diese Drittanbieter verschaffen Unternehmen Zugang zu bisher unzugänglichen Technologien und tragen zur Senkung der Fixkosten bei. Doch wie lässt sich ein komplexes Netzwerk mit einer steigenden Zahl an Akteuren zuverlässig gegen Bedrohungen von außen (und innen) sichern?

Cyberkriminelle arbeiten bisweilen Monate daran, erfolgreiche Angriffe auf Lieferketten zu lancieren, was hohe Investitionen erfordert. Und es sind nicht nur kleinere Unternehmen, die für solche Bedrohungen anfällig sind. Auch große Organisationen mit einer soliden Sicherheitsstrategie können Opfer solcher Angriffe werden, wie die Vorfälle bei Puma und Okta im vergangenen Jahr gezeigt haben. Indem es die Hacker auf Zulieferer und andere Akteure entlang der Lieferkette abzielen, vergrößert sich die potenzielle Angriffsfläche, sodass neue Schwachstellen offengelegt werden. Welch drastische Auswirkungen eine erfolgreiche Aktion haben kann, zeigt auch der Cyberangriff auf Solarwinds Ende 2020: Dieser erfolgte durch russische Hacker, die maliziöse Codes in das neue Orion-Update von Solarwinds schleusten. Als das Unternehmen dieses Update an seine rund 18.000 Kunden verschickte, ermöglichte das Unternehmen den Hackern unwissentlich, in die Netzwerke von mehr als 250 großen und weltweit agierenden Organisationen und US-Regierungsstellen einzudringen.

Lieferketten sind die Achillesferse

Solarwinds ist nur eines von vielen Unternehmen, das schwerwiegenden Attacken auf Lieferketten ausgesetzt war. Das Problem: Cyberangriffe auf Lieferketten bleiben oft unbemerkt. Denn die Hacker erwecken dabei oftmals auch den Anschein, als etablierte Zulieferer zu agieren. Erhebungen von Enisa zufolge gehen 66 Prozent der erfassten Angriffe auf kompromittierte Codes von Zulieferern zurück. Daher wird es künftig unerlässlich sein, dass Unternehmen Sicherheitsprotokolle integrieren, die sie vor Schwachstellen in der Lieferkette Dritter schützen.

Hinzu kommt, dass es sich als äußerst schwierig gestaltet, festzustellen, welche Kunden in welchem Ausmaß betroffen sind. In manchen Fällen wissen Lieferanten gar nicht, wie sie kompromittiert wurden, oder sie geben die Information nicht weiter. Einer aktuellen Studie von Withsecure zufolge befürchten deutsche IT-Entscheider die dramatischen Folgen, die mit Cyberangriffen auf ihre Lieferketten einhergehen – mehr als die Hälfte der Befragten sieht Deutschland schlecht auf Attacken vorbereitet, die kritische Infrastrukturen betreffen. Dennoch setzen den Recherchen von Riskrecon zufolge 84 Prozent der Unternehmen auf veraltete Methoden zur Risikobewertung von Drittanbietern, wie beispielsweise unzuverlässige Fragebögen. An Zero Trust führt daher kein Weg vorbei, denn dieses Konzept sieht vor, alle Bedrohungsvektoren zu betrachten – auch jene, die als gutartig eingeordnet werden.

Wie Zero Trust das Lieferkettenproblem lösen kann

Das Zero-Trust-Prinzip basiert auf der Annahme, dass alle Benutzer potenzielle Bedrohungsakteure sind und dass jede Aktivität, ob intern oder extern, einen Sicherheitsverstoß auslösen könnte. Das Konzept schreibt vor, dass jeder Benutzer, egal ob ein Unternehmensmitarbeiter oder ein Dritter, autorisiert werden muss, bevor der Zugang gewährt wird. Hier gelten drei Grundprinzipien: die explizite Überprüfung, das Prinzip der geringsten Berechtigung und die ständige Annahme eines Verstoßes.

Durch die Annahme, dass jeder Beteiligte eine Bedrohung darstellt, ermöglicht Zero Trust den Unternehmen, den Zugang zu überprüfen und die Bewegungen innerhalb der Netzwerke zu verfolgen. Das Prinzip der geringsten Privilegien stellt sicher, dass Benutzer nur auf das Minimum an Daten zugreifen können, welche sie zur Erfüllung ihrer Aufgaben benötigen. Schließlich werden durch Mikrosegmentierung Sicherheitsblöcke um wichtige digitale Ressourcen herum aufgebaut und Lateral Movement verhindert. Diese Maßnahmen werden sowohl für interne Benutzer als auch für Benutzer aus der Lieferkette angewendet, so dass keinem Anbieter innerhalb des Netzwerks transitives Vertrauen entgegengebracht wird. Die Implementierung von Zero Trust stellt sicher, dass Angreifer, die sich Zugriff auf die Systeme eines Lieferanten verschafft haben, dennoch keinen Zugang zu den Systemen seiner Kunden und Partner erhalten.

Durch die Implementierung von Zero Trust, z.B. auch mithilfe einer Zero-Trust-Access-Lösung von Cyolo, ergeben sich für Unternehmen daher folgende Vorteile:

Sicherheit von Drittanbietern: Zero Trust kann Unternehmen dabei helfen, ihre Anfälligkeit gegenüber Drittanbietern einzuschränken und Schaden zu verhindern, falls diese Parteien kompromittiert werden. Wenn Unternehmen ihren Zulieferern über VPNs breiten Zugang zu ihrem Netzwerk gewähren, sind sie nicht weniger anfällig als ihre Zulieferer. Greifen jedoch die Zero-Trust-Mechanismen, müssen Benutzer von Drittanbietern autorisiert werden und erhalten nur begrenzt Zugriff auf Anwendungen oder Systeme. Kurz gesagt: Unternehmen sind nicht mehr gezwungen, den internen Sicherheitskontrollen ihrer Lieferanten zu vertrauen, was ihre eigene Resilienz erhöht.

Beschränkung des Zugriffs und der Berechtigung von Anbietern: Unternehmen, die einen identitätsbasierten Zero-Trust-Zugriff aktiviert haben, können die Konnektivität von Drittanbietern zu ihren Systemen einschränken und das Risiko minimieren. Durch die Implementierung von Autorisierungsmethoden wie der Multi-Faktor-Authentifizierung (MFA) und der Überprüfung des Gerätezustands wird lediglich autorisierten Benutzern Zugriff gewährt. Diese Erlaubnis lässt sich sogar auf bestimmte Umstände oder auf einen begrenzten Zeitraum festlegen.

Verhinderung von Lateral Movement: Haben sich Angreifer bereits Zugang zu einer vertrauenswürdigen Umgebung verschafft, erweitern sie ihren Einflussbereich bzw. ihre Zugriffsberechtigungen, um zu den wertvollsten Ressourcen zu gelangen. Die lateralen Netzwerkbewegungen beginnen in der Regel mit der Kompromittierung eines Rechenzentrums in der Cloud mithilfe gestohlener Anmeldedaten. Das Problem: Je mehr die Angreifer über den legitimen Netzwerkverkehr innerhalb einer Unternehmensumgebung lernen, desto leichter fällt es ihnen, ihre Aktivitäten als sanktioniert zu tarnen. Kommt es zu der befürchteten Datenextraktion, verhindert eine Zero-Trust-Architektur, dass sich Cyberkriminelle allzu leicht Zugriff auf sensible Daten und kritische Anwendungen verschaffen.

Zero Trust statt blindem Vertrauen

Das Bedrohungspotenzial von Cyberangriffen auf Lieferketten nimmt mit der steigenden Zahl an Akteuren und der hohen Komplexität dieser Netzwerke weiter zu. Eine einzelne Schwachstelle genügt, um nicht nur die Systeme des Anbieters selbst, sondern auch die der Zulieferer und Partner ernsthaft zu gefährden. Sich auf die Sicherheitsmechanismen des jeweils anderen zu verlassen, genügt längst nicht mehr. Um die Resilienz gegenüber Angriffen auf die Lieferkette zu erhöhen, braucht es einen holistischen Ansatz, wie das Zero-Trust-Prinzip, das auf Mikrosegmentierung und einer feingranularen Zugriffskontrolle basiert.

Bildquelle: Getty Images/iStock/Getty Images Plus