Keine Angst – Hacker beißen nicht

Auf der Kinoleinwand werden Hacker zu den Superhelden unserer Zeit. Der deutsche Hacking-Blockbuster „Who am I“ lockte knapp eine Million Menschen in die Kinos. Die Faszination ist leicht zu erklären: Hacker agieren im Verborgenen, ihre Machenschaften gelten als mysteriös und bedrohlich. Nicht selten entsteht der Eindruck, dass sie überall einbrechen können, doch die Kinophantasie von unbesiegbaren Super-Nerds spiegelt sich in der Realität nicht wider.

Wenn Unternehmen ernsthaft gegen die von kriminellen Hackern ausgehende Gefahr vorgehen wollen, wird es höchste Zeit, irrationale Ängste abzulegen. Dafür muss die Fiktion durch Fakten ersetzt werden. Hacker bleiben ein Mythos, solange wie wir über sie sprechen anstatt mit ihnen. Der direkte Kontakt zu ethischen oder „White Hat“-Hackern ist essenziell, um zu verstehen, wie Cyberkriminelle denken und arbeiten. Nur so haben Firmen eine Chance, die relevanten Schwachstellen zu erkennen und anzugehen.

Nicht länger im Dunkeln stochern

Ein wichtiger Schritt zu dieser Selbsterkenntnis ist es, Hacking-Angriffe regelmäßig zu simulieren. Die erste Erkenntnis solcher Simulationen ist meist, dass Hacking länger dauert als gedacht. Selbst bei schwach geschützten Firmen sind mehrere Schritte nötig, um auf wertvolle Daten zuzugreifen. Im ersten Schritt wird meist versucht, mithilfe einer E-Mail-Malware, Kontrolle über einen einzelnen Computer zu gewinnen, oft einem unkritischen System. Im zweiten Schritt suchen die Hacker ungestört in internen Anwendungen und Servern nach weiteren Schwachstellen. Bis auf diese Weise das gesamte IT-Netz einer Firma gehackt ist, dauert es in der Regel mehrere Tage bis Wochen. Schwachstellen, die während dieses Prozesses von „White Hat“-Hackern identifiziert wurden, können strukturiert angegangen werden, bevor Cyberkriminelle diesen auf die Spur kommen.

Dies ist ein Artikel aus unserer Print-Ausgabe 4/2023. Bestellen Sie ein kostenfreies Probe-Abo.

Das Wissen darüber, wo genau Schwächen liegen, ist aber nur die halbe Miete. Mindestens ebenso wichtig ist es, Schwachstellen priorisieren zu können – denn nicht alle Sicherheitslücken haben dasselbe Hacking-Potenzial. Das Aufstellen zielführender KPIs ist für Unternehmen deshalb unabdingbar. Nur so sind sie in der Lage, ihr tatsächliches Risiko zu verstehen und mit anderen zu vergleichen, um Security-Budgets nicht an falscher Stelle, sondern effizient zum Einsatz zu bringen. Für Unternehmen gibt es keinen Grund, länger im Dunkeln zu stochern. Sie können Hacker mit ihren eigenen Waffen schlagen.

Bildquelle: Autobahn Security