Fahrlässige Vernachlässigung der Sicherheit

ITM: Herr Lakhani, welchen Einfluss hat die Corona-Pandemie 2020 auf die Cyberkriminalität in Deutschland ausgeübt?
Al Lakhani: Die Pandemie hat vielen Cyberkriminellen in die Karten gespielt. Der abrupte und oft schlecht koordinierte Wechsel vieler Mitarbeiter ins Homeoffice sowie vage Informationen rund um Kurzarbeit, finanzielle Unterstützung durch den Staat („Novemberhilfen“), Maskenpflichten oder die Entwicklung von Impfstoffen haben dazu geführt, dass viele Mitarbeiter verunsichert waren und es noch immer sind. Das machte sie zum beliebten Ziel für Social Engineering. Zudem sind private Geräte und auch Netzwerke in der Regel unzureichend geschützt und wurden damit zum Einfallstor für Hacker.

ITM: Welche Angriffsmethoden standen hoch im Kurs und warum?
Lakhani: Die Nutzung privater Geräte, zusammen mit der Verunsicherung vieler Menschen, hat dem Phishing in all seinen Facetten Auftrieb verschafft: von der klassischen Phishing-Mail über das Vishing, bei dem Mitarbeiter durch fiktive Anrufe aus der vermeintlichen IT-Abteilung manipuliert werden sollen, bis hin zum Smishing, das ähnlich wie das Phishing funktioniert, jedoch auf SMS statt E-Mail setzt. Das Ziel all dieser Varianten ist jedoch stets das gleiche: Entweder sollen Daten wie Passwörter oder andere Login-Informationen gestohlen werden, um Zugriff auf Firmennetzwerke zu erhalten, oder aber es geht darum, Schadsoftware zu installieren, um Systeme zu sperren und eine Art Lösegeld zu erpressen. Bei letzterer Angriffsmethode, der Ransomware-Attacke, hat es zuletzt einen massiven Anstieg gegeben und wir gehen davon aus, dass die Anzahl dieser Angriffe exponentiell steigen wird.

ITM: Inwieweit waren mittelständische Unternehmen betroffen?
Lakhani: Der Mittelstand in Deutschland ist stark betroffen. Besonders Ransomware-Angriffe lohnen sich hier für Hacker. Einer Befragung der Sicherheitsexperten von Crowdstrike zufolge waren rund 60 Prozent der deutschen Unternehmen 2020 Ziel solcher Angriffe. Und viele dieser Unternehmen bezahlen die Erpresser, um wieder Zugriff auf ihre Systeme zu erhalten. Auch wenn Sicherheitsexperten davon abraten, es ist oft eine einfache betriebswirtschaftliche Rechnung: Lösegeld oder aufwendige Wiederherstellung von Systemen. Doch es ist nicht nur die Zahlungsbereitschaft dieser Unternehmen, die sie attraktiv für Hackerangriffe machen. Es ist auch der Mentalität vieler deutscher Unternehmen anzulasten, welchen Stellenwert sie Cybersicherheit einräumen.

ITM: Welchen Stellenwert besitzt denn das Thema „IT-Sicherheit“ im Mittelstand?
Lakhani: Mein Eindruck ist, dass das Thema gerade im deutschen Mittelstand geradezu fahrlässig vernachlässigt und die Relevanz verkannt wird. Ein Grund dafür ist der Glaube, dass ein hohes Maß an IT-Sicherheit ein enormer Kostentreiber ist. Aber auch Unternehmen, die sich ernsthaft mit ihrer IT-Sicherheit beschäftigen, tun dies oft stark fragmentiert. Das ist ein unterschätztes Problem, denn nur mit einem holistischen Sicherheitskonzept werden Schwachstellen im Vorhinein erkannt und adressiert. Nehme man beispielsweise das Thema „Authentifizierung von Nutzern“, wenn diese auf Firmendaten zugreifen wollen: Nur die Authentifizierung sicher zu gestalten, indem sie beispielsweise Biometrie einsetzen, schützt ihr System nur bedingt, denn es gibt eine Vielzahl von Stellschrauben (Zugriffskontrolle, Identitätsnachweis, Recovery oder die Benutzerbereitstellung), die angreifbar sind. All diese Komponenten wirken sich aufeinander aus und wenn nur ein Aspekt adressiert wird, geht das oft zu Lasten anderer Bestandteile der Sicherheitsarchitektur.

ITM: Welche Tools und Lösungen sollten in einem Unternehmen mindestens eingesetzt werden, um Datensicherheit und -schutz zu gewährleisten?
Lakhani: Ich denke, dass es mit einem Mindestmaß an Sicherheitslösungen in der aktuellen Situation nicht getan ist. So gut wie jedes Unternehmen hat in irgendeiner Form Sicherheitslösungen im Einsatz, von Firewalls über VPNs bis hin zu ausgeklügelter Verschlüsselung von Daten. Doch die Corona-Krise hat erneut gezeigt, dass die größte Schwachstelle von Unternehmen stets die eigenen Mitarbeiter sind. Ob nun willentlich oder unwillentlich: Die Mitarbeiter sind und bleiben das Hauptziel für Angriffe und sind übrigens auch der Grund für Insider Threats – ein Thema das in jüngster Zeit stark an Bedeutung gewonnen hat. Wenn ich zwei Empfehlungen aussprechen müsste, wären es die folgenden: Schafft endlich Passwörter ab! Vertraut niemandem! Ersteres ist ein Appell, den ich schon seit Jahren predige. Passwörter sind ein enormes Sicherheitsrisiko. Sie lassen sich leicht knacken oder erraten und bieten heutzutage so gut wie keinen Schutz mehr. Zudem machen sich viele Menschen keine Mühe, zumindest ein einigermaßen komplexes Passwort zu wählen. Jedes Jahr bringt das Hasso-Plattner-Institut eine Liste der beliebtesten Passwörter der Deutschen heraus. Für 2020 stehen dabei noch immer „123456“, „123456789“ und „passwort“ oben auf der Liste. Obwohl es bereits deutlich sicherere, passwortlose Alternativen gibt, um das Access-Management zu gestalten, hält sich der Status quo hartnäckig. Hier sollten Unternehmen das Momentum der Krise nutzen und endlich auf Alternativen umsteigen. Der zweite Aspekt ist an das Konzept des „Zero Trust“ angelehnt. Dabei geht es im Grunde um einen Shift in der Mentalität von Unternehmen. Statt davon auszugehen, dass jeder Mitarbeiter vertrauenswürdig ist und ihm Zugriff auf Unternehmensdaten zu geben, muss jede Zugriffsanfrage hinterfragt bzw. überprüft werden: Ist der Zugriff legitim? Kann der Nutzer eindeutig nachweisen, dass er oder sie berechtigt ist auf die Daten zuzugreifen? Entsprechende Lösungen für das Identity Access Management (IAM) sind gerade im Zuge von Remote-Arbeit und Cloud-Nutzung wichtiger denn je.

ITM: Inwieweit haben die Unternehmen – z.B. im Hinblick auf die massive Verbreitung von Remote-Arbeit und stark steigende Cloud-Nutzung – ihre Sicherheitsstrategien in den letzten Wochen/Monaten tatsächlich angepasst?
Lakhani: Ich denke, dass die Awareness unter Sicherheitsexperten und Chief Information Security Officer (CISOs) vorhanden ist und die Erfahrungen des vergangenen Jahres gezeigt haben, dass hier Handlungsbedarf besteht. Doch in der Praxis hat sich noch nicht allzu viel getan. Eine Befragung von Eset hat ergeben, dass immer noch 30 Prozent der Unternehmen ein schlichtes Passwort abfragen, wenn Mitarbeiter auf Server zugreifen. Nur 44 Prozent setzen überhaupt auf einen VPN und lediglich 29 Prozent nutzen eine Zwei-Faktor-Authentifizierung (2FA) – und das, obwohl im Sommer 2020 rund 1,7 Millionen Angriffe pro Tag auf Unternehmen erfolgten. Bei der Cloud-Nutzung kommt noch ein weiterer Aspekt hinzu: Unternehmen verkennen die Tatsache, dass Cloud-Sicherheit von Seiten der Anbieter lediglich bedeutet, dass die „Sicherheit der Cloud“ gewährleistet wird. Die „Sicherheit in der Cloud“ hingegen obliegt den Unternehmen selbst. Mangelhafte Konfigurationen der Cloud-Sicherheit führen dann dazu, dass Hacker die internen Guidelines zum Schutz vertraulicher Daten bereits in der Cloud-Datenbank umgehen.

ITM: Was sind/waren hierbei häufige Stolpersteine?
Lakhani: Unserer Erfahrung nach ist die fragmentierte Herangehensweise mit Blick auf die Sicherheitsstrategie das größte Problem. Statt die Architektur holistisch zu betrachten, adressieren Unternehmen immer wieder einzelne Aspekte und vernachlässigen andere, obwohl die Teilaspekte komplementär sind. Das führt dazu, dass Verhalten neuer Komponenten nicht gänzlich erfasst wird, was wiederum unentdeckte Schwachstellen erzeugen kann. Häufige Stolpersteine sind z.B.: der Aufbau von neuen Authentifizierungs- und Autorisierungsmethoden ohne die Berücksichtigung von Onboarding-Voraussetzungen für digitale Identitäten oder Zugriffskanälen (wie die Nutzung von privaten Geräten); die Abstimmung von Sicherheitsmaßnahmen auf unterschiedliche Cloud-Infrastrukturen und deren Konfigurationen; die Einführung von IAM-Standards und Automatismen, ohne dass diese auf die Sicherheits-, Anwendungs- und Datenstrategie der Unternehmen abgestimmt werden.

ITM: Auf welche Angriffsmethoden im Jahr 2021 bereitet sich die Security-Branche derzeit vor?
Lakhani: Vor allem Methoden im Bereich „Insider Threats“ stehen im Zuge des „New Normal“ hoch im Kurs und bereiten CISOs Kopfzerbrechen. Aber auch mobile Geräte und speziell Smartphones sind ins Visier von Hackern geraten. Heute lassen sich unzählige digitale Workflows auf dem Handy erledigen und damit steigen auch entsprechend die Angriffsvektoren. Dabei müssen Hacker noch nicht einmal wahnsinnig aufwendige Methoden verwenden. Malware z.B. kann auf Android über Drittanbieter-Apps spielend leicht installiert werden. Und auch Recovery-Exploits, bei denen Logins zurückgesetzt und die Schwachstelle von Magic-Links oder PIN-SMS ausgenutzt werden, bedürfen kaum technischer Expertise. Hier im Bereich „Social Engineering“ Aufklärung zu leisten und die Mitarbeiter für die vermeintlich neuen Gefahren des Homeoffice zu sensibilisieren, zählt wohl zu den größten Aufgaben der Sicherheitsbranche.

ITM: Wie sollte demnach eine vernünftige IT-Sicherheits- bzw. Cyber-Resilienz-Strategie für Unternehmen im neuen Jahr aussehen?
Lakhani: Eine vernünftige IT-Sicherheitsstrategie sollte zumindest dem aktuellen Stand der Technik bzw. den Sicherheitsempfehlungen der Branche folgen. Zero-Trust-Architekturen sind keineswegs neu, sondern bereits vielfach erprobt und einsatzbereit. Die Corona-Pandemie hat in diesem Sinne nur nochmal deutlich gemacht, wie dringend notwendig solche Ansätze sind, wenn Angestellte remote arbeiten. Zudem wäre es aus unserer Sicht endlich an der Zeit, Passwörter ein für alle Mal abzuschaffen. Die Technologie ist längst nicht mehr zeitgemäß und es gibt eine Vielzahl von Alternativen. Wer beispielsweise sein Smartphone als Authentifizierungselement nutzt, spart sich viel Ärger mit Passwörtern und hat dennoch eine sichere und komfortable Möglichkeit, sich als berechtigter Nutzer zu verifizieren. Natürlich gibt es auch bei Zero-Trust-Ansätzen Herausforderungen, beispielsweise wenn IAM-Anbieter zentrale Datenbanken verwenden und selbst Ziel von Angriffen werden. Es gilt also auch die Sicherheitsdienstleister unter die Lupe zu nehmen und deren Ansätze und Methoden zu hinterfragen.

Bildquelle: Idee