Zugriff aus dem Netz

Wie in vielen Fällen gibt es auch beim Thema „Cybersecurity“ zwei Seiten der Medaille. Auf der einen Seite ist über die Medien zu hören, dass sich Hackerangriffe mehren, Ransomeware und Phishing-Mails nach wie vor ein massives Problem für Unternehmen sind und sich die Cyberbedrohungslage durch den Ukraine-Krieg deutlich verschärft hat – zumindest laut einer IT-Sicherheitsumfrage des Verbands der Internetwirtschaft Eco. 94 Prozent der befragten IT-Experten sind sich sicher, dass die Bedrohungslage wächst.

Auf der anderen Seite stehen die Unternehmen und ihre Cyberabwehr. Laut einer Bitdefender-Studie attestieren sich 61 Prozent der befragten Firmen weltweit eine verbesserte Cybersicherheit. Befragt wurden rund 1.700 überwiegend kleine und mittelständische Unternehmen – doch gerade diesen wird häufig nachgesagt, dass im Bereich der IT-Security noch nachgebessert werden muss. Vor allem das menschliche Fehlverhalten von Mitarbeitern scheint für viele Unternehmen – egal ob groß oder klein – die größte Sorge zu sein.

Wie genau also stehen Deutschlands Unternehmen wirklich da? „Die Unternehmen in Deutschland geben beim Thema ,IT-Security‘ ein sehr heterogenes Bild ab. Das lässt sich auch nicht pauschal an Unternehmensgrößen oder Branchenzugehörigkeit knüpfen“, sagt Helge Schroda, Business Lead Cybersecurity bei Microsoft Deutschland. Generell lasse sich jedoch festhalten, dass die erfolgreichen Cyberangriffe der jüngeren Vergangenheit und die teils begleitende Berichterstattung das Bewusstsein für die IT-Sicherheit in vielen Unternehmen deutlich geschärft habe.

Angespannte Bedrohungslage

Auch Fabian Glöser, Team Leader Sales Engineering bei Forcepoint, betont: „Die Unternehmen sind sich der angespannten Bedrohungslage bewusst. Wir stellen fest, dass das Thema ‚IT-Security‘ auf immer mehr Akzeptanz und Verständnis stößt, die Investitionen steigen entsprechend.“ Dennoch: Mit ihren oft noch klassischen IT-Sicherheitsarchitekturen seien deutsche Unternehmen nicht optimal gerüstet.

Die Liste der größten Sicherheitssorgen führt laut Gisa Kimmerle, Head of Cyber bei Hiscox, nach wie vor der Einsatz von Ransomware an – „und wir gehen nicht davon aus, dass sich dies in naher Zukunft ändern wird“. Der Terminus „Cyberangriff“ klinge für manche nach einer kompliziert geplanten Attacke – dabei seien auch die breit gestreuten Phishing-Mails mit Schadsoftware nach wie vor lukrativ für Hacker.

Das „A und O“ der Cyberresilienz

Die Herausforderung „IT-Security“ hat also viele Facetten und muss auf mehreren Ebenen angegangen werden. Die IT-Expertin rät Unternehmen daher, ganz konkrete Schritte im Kampf gegen Angreifer zu gehen: „Die erste hilfreiche Maßnahme zur Prävention eines Cyberangriffs betrifft ein gut aufgestelltes Patch Management. Darüber hinaus sind Ransomware-sichere Backups das ‚A und O‘ beim Thema Cyberresilienz. Wir erleben in der Praxis immer wieder, dass diese Basiselemente der IT-Sicherheitsstrategie nicht erfüllt werden.“

Schroda rät zu fünf Maßnahmen, die dazu beitragen sollen, Systeme erfolgreich gegen einen Großteil aller Gefahren zu wappnen: „Zu der Basishygiene gehören neben der Multi-Faktor-Authentifizierung zeitnahe Updates zum Schließen von Sicherheitslücken, der Einsatz von XDR/SIEM-Lösungen, Netzwerksegmentierung und das regelmäßige Erstellen von Backups.“ Was es darüber hinaus jedoch brauche – und das gelte heute mehr als jemals zuvor –, sei der Aufbau einer ganzheitlichen Sicherheitsinfrastruktur. Eine zentrale Rolle für mögliche Lösungsansätze spielen seiner Ansicht nach moderne Endpoint-Systeme, sogenannte Extended-Detection-and-Response-Lösungen. „Diese sind der moderne Ersatz herkömmlicher Anti-Malware-Lösungen und können Angriffe entdecken, ohne dass die Sicherheitshersteller vorab diese intensiv analysiert und durch Signaturen aktualisiert haben“, erklärt er.

Für Fabian Glöser bietet ein Zero-Trust-Ansatz das höchste Schutzniveau. Dieser misstraue grundsätzlich allem und jedem und verlange, dass der komplette Datenverkehr geprüft wird und dass sich Nutzer, Geräte, Anwendungen und andere Einheiten bei jedem Zugriff auf Systeme oder Daten authentifizieren müssen. Zwei gute Beispiele für Zero-Trust-Lösungen seien Remote Browser Isolation sowie Content Disarm and Reconstruction. „Beide Lösungen gehen davon aus, dass grundsätzlich alle Inhalte aus dem Internet Schadsoftware enthalten, und misstrauen ihnen deshalb per se.“

Schatten-IT und der Faktor „Mensch“

Zu einem Problem wird die Suche nach Sicherheitskonzepten und -lösungen, wenn Mitarbeiter sie – bewusst oder unbewusst – umgehen, um eigene Geräte, Tools und Services, die sie als benutzerfreundlicher, zielführender o.Ä. ansehen, zu nutzen. Unbemerkt von IT-Teams bildet sich so die sogenannte Schatten-IT – ein Phänomen, das vielen Firmen bekannt ist, gegen das teilweise aber nur wenig getan werden kann.

„Die IT-Landschaft eines Unternehmens führt in der Praxis mitunter ein Eigenleben“, fasst Helge Schroda das Problem zusammen. „Wir sehen in unserer Arbeit immer wieder IT-Lösungen, die nicht den jeweiligen Compliance-Vorgaben oder einem offiziellen Standard entsprechen – und wohl bisweilen auch extra darauf ausgelegt sind, sich der Compliance zu entziehen.“ Allerdings gebe es inzwischen gute Discovery-Lösungen, die IT-Abteilungen dabei helfen, solche versteckten Infrastrukturen zu entdecken, um der Schatten-IT wahlweise den Stecker zu ziehen oder um aus ihr „durch entsprechende Kontrollen und Maßnahmen Compliance-gerechte Lösungen zu machen, die Anforderungen der Anwender aufzunehmen und sicher umzusetzen“.

Um der Schatten-IT einen Schritt voraus zu sein, können zudem Schulungen und Fortbildungen helfen. Gerade weil der Faktor „Mensch“ oft das Zünglein an der Waage der IT-Security eines Unternehmens – egal ob groß oder klein – ist, müssen Mitarbeiter und Führungskräfte gleichermaßen ausreichend informiert und geschult sein. „Das kontinuierliche Training im Bereich der IT-Sicherheit sollte genauso selbstverständlich sein wie die regelmäßigen Brandschutzübungen“, betont Schroda und auch Fabian Glöser rät: „Die Schulungen müssen in ihrer Häufigkeit angemessen sein, dürfen von den Mitarbeitern aber auch nicht als Last empfunden werden. Sie sollten aber auf jeden Fall regelmäßig über aktuelle Bedrohungen und Gegenmaßnahmen aufgeklärt werden, um ihre Wachsamkeit hochzuhalten.“

Trainings für mehr Awareness

Auch für Gisa Kimmerle ist die Sensibilisierung von Mitarbeitern ein essenzieller Teil der IT-Sicherheitsstrategie. Sie verweist zudem auf den aktuellen Hiscox Cyber Readiness Report, aus dem hervorgeht, dass die Einfallstore für Cyberattacken in Deutschland in vielen Bereichen liegen, die mit Remote-Arbeit verknüpft sind, wie Remote-Zugriff auf das Unternehmensnetzwerk (VPN) mit 42 Prozent. 35 Prozent der Cyberangriffe entstanden über E-Mail-Kompromittierung, aber auch mobile Geräte aus dem Privatbesitz von Mitarbeitern führten in 33 Prozent zu Cyberschäden. „Jeder Mitarbeiter sollte professionell geschult werden. Regelmäßige Updates sind ideal, um das Bewusstsein aufrechtzuerhalten. Wir empfehlen mindestens jährliche, besser halbjährliche Awareness-Trainings“, hebt sie hervor.

Diverse Hürden und die Bedeutung von KI

Doch auch wenn Mitarbeiter künftig besser geschult werden, gibt es für Unternehmen noch einige Hürden zu meistern – denn die Bedrohungslage wird sich voraussichtlich in nächster Zeit nicht entspannen. „Wir müssen leider sogar vom Gegenteil ausgehen“, sagt Glöser. Der bisherige Kampf der IT-Sicherheitsbranche gegen Cyberkriminalität gleiche mit seinem signatur-basierten Ansatz dem sprichwörtlichen Kampf gegen Windmühlen. Da Sicherheitssysteme immer nur Bedrohungen entschärfen könnten, die sie schon kennen, hätten Cyberkriminelle einen entscheidenden Vorsprung. „Dieser aussichtslose Wettlauf wird durch die Übernahme des Zero-Trust-Prinzips über kurz oder lang beendet werden“, ist er sicher. Einen etwas anderen Blick in die Zukunft offeriert Helge Schroda. Er vermutet: „Die höhere Qualifikation der Mitarbeiter sorgt dafür, dass Angriffe zunächst weniger effektiv sind. Wir erleben also das sogenannte Angreiferdilemma: Die Kosten für Angriffe steigen so weit, dass sie sich zum Teil nicht mehr lohnen.“ Allerdings würden die Angreifer sich damit nicht langfristig zufriedengeben, sondern kreativ bleiben und neue Wege finden, um ihre Attacken mit einem geringeren Aufwand und größerem Erfolg dennoch durchführen zu können. Auf der anderen Seite gebe es das Zusammenspiel von Versicherern, die Cyberinsurance anbieten, und IT-Sicherheitsabteilungen, die das allgemeine Sicherheitsniveau verbessern. Darüber hinaus gewinne Künstliche Intelligenz eine immer größere Bedeutung. „Schon heute können unsere Anwendungen 97 Prozent der Routineaufgaben automatisiert ausführen und damit eine synchronisierte Verteidigung über alle Plattformen gewährleisten.“

Dies ist ein Artikel aus unserer Print-Ausgabe 4/2023. Bestellen Sie ein kostenfreies Probe-Abo.

Kimmerle sieht indes eine erhöhte Gefahr durch Insider-Täter: „Das heißt, wir gehen davon aus, dass, je mehr Menschen unter finanziellen Druck kommen, auch die Motivation steigt, Daten zu stehlen. Außerdem könnte die Unzufriedenheit der Mitarbeiter wegen stagnierender Löhne oder drohender Entlassungen zu Datenextraktion und -schmuggel führen.

Bildquelle: Getty Images / iStock / Getty Images Plus