Prävention anstatt Nachsorge

ITM: Herr Frank, seitdem immer mehr Menschen mobil oder im Homeoffice arbeiten, ist auch die Angriffsfläche für Cyberkriminelle größer geworden. Warum?
Markus Frank: Der pandemiebedingte, schnelle Wechsel ins Homeoffice bringt vor allem drei Faktoren mit sich, die Cyberkriminellen in die Karten spielen: Das sind in erster Linie wenig Homeoffice-taugliche Client-Management-Lösungen. Client-Management beschreibt dabei einen methodischen Ansatz zur zentralen Verwaltung und Steuerung der dezentralen IT-Infrastruktur am Arbeitsplatz. Veraltete Software-Stände führen so zu Sicherheitslücken, die Cyberkriminelle ausnutzen. Eine große Rolle spielen auch veraltete IT-Sicherheitskonzepte. Basisschutzmaßnahmen wie Virenscanner und Firewall sind in einer hybriden Arbeitswelt zwar notwendig, aber lange nicht mehr ausreichend für aktuelle Angriffsszenarien. Es bedarf intelligenter Gefahrenerkennung und -abwehr wie Advanced-Threat-Protection-Technologien. Sie koordinieren unternehmensübergreifend das Erkennen, Verhindern und Untersuchen von Anomalien und Gefahren sowie Reaktionen auf Endgeräte, Identitäten, E-Mails und Anwendungen. 

Das größte Einfalltor für Cyberangriffe ist jedoch nach wie vor der Mensch. Unsere Mobile-Work-Index-Studie zeigt, dass das Bewusstsein für die Gefahr bei den Mitarbeitern nicht ausreichend vorhanden ist. Daher sind Sensibilisierung, regelmäßige Schulungen und Awareness der User für das Thema sehr wichtig.

ITM: Inwieweit werden mittelständische Unternehmen den neuen Anforderungen an IT-Sicherheit bereits gerecht?
Frank: Aus unserer Projekterfahrung heraus können wir sagen, dass der Mittelstand diese Gefahren aktuell noch nicht ausreichend adressiert. Das Arbeiten aus dem Homeoffice wird in immer mehr Unternehmen ermöglicht oder wurde durch die pandemiebedingte Situation zwangsweise schnellstmöglich realisiert. Aber: in vielen Fällen ohne eine notwendige Anpassung der Sicherheitskonzepte. Studien spiegeln auch hier unsere Erfahrungen aus der Praxis wider. Compliance und Sicherheitsregeln wurden beispielsweise laut einer Studie des GDV lediglich bei etwa 20 Prozent der befragten Unternehmen angepasst. 

ITM: Welche Tools und Lösungen können bei einer sicheren Digitalen Transformation der IT helfen?
Frank: IT-Sicherheit muss ganzheitlich verstanden werden. Trotzdem ist es möglich, stufenweise vorzugehen und Schritt für Schritt die eigene IT-Infrastruktur sicherer zu gestalten und dabei den neuen Anforderungen einer hybriden Arbeitswelt gerecht zu werden. Wir vereinen z.B. verschiedene Technologien und Ansätze. Allen voran steht dabei der Zero-Trust-Ansatz, kombiniert mit sogenannter Advanced-Threat-Protection-Technologie. Dabei handelt es sich um ein Sicherheitsmodell, das auf dem Grundsatz basiert, keinem Gerät, Nutzer oder Dienst zu vertrauen und alle Zugriffe von Usern auf Unternehmensdaten zu regeln. Außerdem gewährleistet es ohne Einbußen auf die Usability höchste Informationssicherheit. Mit der Einführung des Zero-Trust-Ansatzes werden alle Endgeräte aus dem Unternehmensnetzwerk herausgelöst und dadurch „managebar“ gemacht. Auf Basis des sogenannten least priviliged principals werden allen Usern nur die für sie nötigsten Zugriffsrechte erteilt. Zusätzlich wird jeder Systemzugriff durch ein mehrstufiges Verfahren geprüft. Dazu gehören Technologien wie Conditional Access und die Multifaktorauthentifizierung. 

Unumgänglich in einem hybriden Sicherheitskonzept ist weiter eine moderne Client-Verwaltung wie beispielsweise Microsoft Intune. Darüber hinaus ermöglicht die Implementierung von Information-Protection-Technologie, Dokumente auf Basis ihres Inhalts zu klassifizieren, zu verschlüsseln und die Weitergabe zu kontrollieren. 

ITM: Was sind im Rahmen der IT-Sicherheit häufige Stolpersteine?
Frank: Es reicht nicht aus, alte Sicherheitsmaßnahmen auf neue Cloud-Technologien anzuwenden. Bei der Digitalen Transformation ist es wichtig, die Kosten für ein zugehöriges, adäquates Sicherheitskonzept mit einzuplanen. Am besten sind Unternehmen damit beraten, sich einen Partner an die Seite zu holen, der die Sicherheitsaspekte von vornherein in die Transformationsstrategie integriert und genau auf die Anforderungen konzipiert. Prävention ist hier immer einer Nachsorge vorzuziehen. Leider zeigt die Praxis, dass das Bewusstsein über die Gefahren meist erst aufkommt, wenn bereits ein Schaden entstanden ist.

Ein weiterer Stolperstein, den es zu vermeiden gilt, ist es, Sicherheit und Usability getrennt voneinander zu betrachten. Moderne IT-Sicherheitskonzepte müssen nicht nur den Anforderungen einer hybriden IT-Welt und deren Gefahren gerecht werden. Sie dürfen dabei gleichzeitig nicht die Usability für Anwender einschränken. Wenn das der Fall ist, werden Anwender sehr schnell findig und greifen auf Ausweichtechnologien zurück, die wiederum ein erhebliches Risikopotenzial mit sich bringen. Dazu gehören z.B. private Hardware oder Messenger. 

Eine weitere Hürde sind Legacy-Anwendungen, die sich im Rechenzentrum des Unternehmens befinden. Apps, die nicht in der Cloud gehostet werden, müssen Usern im Homeoffice trotzdem zugänglich gemacht werden. Dabei wird oft auf fehleranfällige und sicherheitskritische VPN-Lösungen zurückgegriffen. Aus IT-Security-Sicht birgt diese Technologie allerdings eine ganze Bandbreite an Gefahren. Sie sollte durch eine moderne Portallösung, die Legacy-Apps in Form von Software as a Service (SaaS) den Usern zur Verfügung stellt, abgelöst werden. Ein solches Portal ist so konzipiert, dass es neben Legacy-Anwendungen sowohl ältere als auch moderne, wachsende Hybrid-Cloud-Umgebungen abbilden kann. 

ITM: Worauf sollten Unternehmen anno 2022 in Sachen „IT-Sicherheit“ und „digitaler Arbeitsplatz“ achten?
Frank: Da die Nutzung von Cloud-Technologien für eine zukünftige Wettbewerbsfähigkeit meist unumgänglich ist, müssen Unternehmen das Thema „IT-Sicherheit“ aktiv adressieren. Hierfür sind drei Dinge wichtig. Erstens: Eine gute IT-Sicherheit startet mit einem modernen Arbeitsplatzkonzept und sollte ganzheitlich gedacht werden. Zweitens: IT-Sicherheit darf der Usability nicht im Wege stehen, sondern muss und kann bei einem modernen Arbeitsplatzkonzept Hand in Hand gehen. Und drittens: Für eine gute IT-Sicherheit bedarf es geschulter und für das Thema sensibilisierter Anwender. IT-Security sollte daher regelmäßig thematisiert werden, um die Awareness der User hochzuhalten.