Cyberbedrohung

Angriffe immer wahrscheinlicher

Es kann je­den tref­fen. Und wenn es pas­siert, dann meist un­vor­be­rei­tet und oft mit un­ab­seh­ba­ren Fol­gen. Die Re­de ist von Cy­ber­kri­mi­na­lität. Und gefähr­lich wird es nicht nur für das ei­ge­ne Un­ter­neh­men, son­dern auch für Kun­den und Part­ner. Doch wer ein paar Grundsätze be­her­zigt, hat gu­te Chan­cen, mit ei­nem blau­en Au­ge da­von­zu­kom­men. Wo die größten Si­cher­heitslücken lie­gen und was man da­ge­gen tun kann, er­klärt Pe­ter Wirn­sper­ger, Part­ner En­ter­pri­se Risk Ser­vices bei De­loit­te.

Unwahrscheinlich? Unvermeidbar? – Unvorbereitet!
Cyberattacken – die Vorbereitung macht den Unterschied.

Der letz­te große Kre­dit­kar­ten-Scoop An­fang Mai hat die Di­men­sio­nen er­schre­ckend deut­lich auf­ge­zeigt:

• • in­ner­halb we­ni­ger Stun­den wur­den welt­weit 45 Mio. $ über Geld­au­to­ma­ten ab­ge­zockt
    
• • die Lo­gis­tik da­hin­ter und die punkt­ge­naue Pla­nung hat den Char­me der Ge­schich­te von „Ocean‘s 11“
    
• • der Aus­gangs­punkt ba­sier­te auf der Aus­nut­zung von all­seits be­kann­ten und gut do­ku­men­tier­ten Sys­tem­schwach­stel­len und mit Tools, die je­dem Be­nut­zer im In­ter­net zur Verfügung ste­hen
    

Unwahrscheinlich?
Dass es je­des Un­ter­neh­men tref­fen kann, muss­ten wir in­zwi­schen zu oft leid­lich er­fah­ren – egal ob Großkon­zern oder Un­ter­neh­men aus dem Mit­tel­stand. Al­le sind po­ten­zi­el­le und loh­nen­de An­griffs­zie­le. Oft geht es nicht um einen di­rek­ten Nut­zen oder Dieb­stahl von In­for­ma­tio­nen, sehr häufig wählen An­grei­fer ein „ein­fa­ches“ Ziel, um sich in Lie­fer- und Kom­mu­ni­ka­ti­ons­ket­ten ein­zu­nis­ten und von dort die nächs­te An­griffs­stu­fe zu er­klim­men. Stel­len Sie sich die Si­tua­ti­on vor: Zwei Un­ter­neh­men ar­bei­ten ge­mein­sam an ei­nem Pro­jekt und tau­schen In­for­ma­tio­nen über ge­mein­sa­me Platt­for­men aus. Wenn ein An­grei­fer sich Zu­griff auf die pro­jek­tin­ter­nen In­for­ma­tio­nen ver­schafft, kann er erst­mal „nur“ das Pro­jekt stören. Al­ler­dings hat die Ver­gan­gen­heit ge­zeigt, dass die­se In­for­ma­tio­nen auch sehr nütz­lich sind, um an­de­re Sys­te­me im Un­ter­neh­men an­zu­grei­fen, noch tiefer ein­zu­drin­gen und kri­ti­sche Geschäfts­in­for­ma­tio­nen ab­zu­grei­fen.

An­grif­fe fin­den täglich auch in un­se­rem di­rek­ten Um­feld statt und sind für Se­cu­ri­ty-Spe­zia­lis­ten mehr als nur ein Aus­nah­me­ereig­nis. Bei der Ri­si­ko­be­wer­tung der Si­cher­heits­la­ge spre­chen wir nicht mehr von der Ein­tritts­wahr­schein­lich­keit ei­nes Vor­falls, son­dern da­von, wie ein­fach es für einen An­grei­fer ist, Schwach­stel­len in Sys­te­men aus­zu­nut­zen und Si­cher­heits­bar­rie­ren zu um­ge­hen.

Unvermeidbar?
Wenn Sie im In­ter­net Geschäfte ma­chen und über das In­ter­net kom­mu­ni­zie­ren, dann können Sie An­grif­fe lei­der auch nicht per se ver­mei­den. Oh­ne die Angst­kla­via­tur spie­len zu wol­len – aber man muss sich als Un­ter­neh­men der Rea­lität von or­ga­ni­sier­ter Kri­mi­na­lität und Hack­ti­vis­ten stel­len.

Unvorbereitet!
Was ga­ran­tiert nicht hilft, ist die Vo­gel-Strauß-Tak­tik. Wenn man aus dem zu­vor Be­schrie­be­nen die Kon­se­quenz ab­lei­tet, könn­te man dem Ma­na­ge­ment, das sein Un­ter­neh­men nicht auf Cy­be­r­at­ta­cken vor­be­rei­tet, schon fast fahrlässi­ges Nicht­han­deln vor­wer­fen.

Un­se­re Be­ra­tungs­pra­xis zeigt uns lei­der noch zu häufig auf, dass Un­ter­neh­men das The­ma In­for­ma­ti­ons­si­cher­heit und Cy­ber­se­cu­ri­ty noch un­zu­rei­chend berück­sich­ti­gen und sich da­mit un­wei­ger­lich den Ge­fah­ren des Cy­ber­space un­geschützt aus­lie­fern.

Vorbereitung macht den Unterschied
Es klingt wie ein ab­ge­dro­sche­ner Hit: Oh­ne um­fas­sen­de Vor­be­rei­tung auf das Of­fen­sicht­li­che ist man schon ver­lo­ren und et­wai­ge IT-Se­cu­ri­ty-Maßnah­men wer­den Ma­ku­la­tur.
Bei der Vor­be­rei­tung müssen al­le Si­cher­heits­tech­no­lo­gi­en auf ih­re tech­ni­sche Stand­haf­tig­keit und die Soft­wa­re und Kon­fi­gu­ra­tio­nen auf ih­re Ak­tua­lität über­prüft wer­den. Dar­aus muss die IT einen lau­fen­den Pro­zess ge­stal­ten, da­mit die Sys­te­me zu je­der Zeit ge­gen neue Soft­wa­re­schwächen ab­ge­si­chert wer­den.

Der auf­wen­di­ge­re Be­reich um­fasst die Abläufe um das Si­cher­heits­ma­na­ge­ment. Es ist na­he­lie­gend, dass man sich auf den Ernst­fall vor­be­rei­tet und die Mel­de­ket­ten im Un­ter­neh­men, aber auch zu den Behörden durch­plant und am bes­ten auch in An­griffs­si­mu­la­tio­nen „durch­spielt“. In un­se­ren Pro­jek­ten er­le­ben wir hier­bei oft sehr heil­sa­me Aha-Ef­fek­te, wenn den Teil­neh­mern die Zu­sam­menhänge zwi­schen dem Ver­trieb, der IT, der Per­so­nal­ab­tei­lung oder auch den Geschäfts­part­nern auf­ge­zeigt wer­den.

Als wei­te­re Maßnah­me sind die lau­fen­de Über­wa­chung kri­ti­scher Sys­tem- und An­wen­dungs­ak­ti­vitäten und die Aus­wer­tung von Ver­kehrs­ver­hal­tens­mus­tern im Un­ter­neh­mens­netz­werk un­erläss­lich. Hier­bei geht es nicht dar­um, die Ak­ti­vitäten von Mit­ar­bei­tern aus­zu­spio­nie­ren. Viel­mehr soll fest­ge­stellt wer­den, ob unübli­che Sys­tem­zu­grif­fe oder Da­ten(ab)flüsse er­fol­gen oder ein­fach An­oma­li­en im IT-Be­trieb auf­tre­ten. So ist es doch ei­ne Er­klärung wert, wenn von ei­nem Ser­ver im in­ter­nen Netz­werk plötz­lich sehr große Men­gen an Ex­cel- und Po­wer­Point-Da­tei­en an ei­ne un­be­kann­te Adres­se im In­ter­net ko­piert wer­den. Das Bei­spiel klingt sehr ba­nal, aber oh­ne ge­eig­ne­te Mo­ni­to­ring­me­tho­den wird ein Un­ter­neh­men den Da­ten­ab­fluss nie be­mer­ken.

Zu­vor ha­ben wir von der Un­ver­meid­bar­keit ei­nes Vor­falls ge­spro­chen. Wie im rich­ti­gen Le­ben wird man auch hier ver­su­chen, die Spu­ren der Ein­bre­cher nach­zu­voll­zie­hen. Ziel da­bei ist es ei­ner­seits, die mögli­chen Täter zu iden­ti­fi­zie­ren. Noch viel wich­ti­ger ist je­doch die Ziel­set­zung, die Spu­ren aus­zu­wer­ten, um wirk­lich al­le Ein­fall­sto­re zu iden­ti­fi­zie­ren. Und am En­de müssen al­le Sys­te­me so be­rei­nigt wer­den, dass die Ein­dring­lin­ge nicht wie­der durch Hin­tertüren zurück­kom­men können.

Sie haben es in der Hand
Ge­ra­de weil das Er­eig­nis mit ho­her Wahr­schein­lich­keit ein­tref­fen wird, muss das Ma­na­ge­ment ei­nes Un­ter­neh­mens die Vor­be­rei­tung auf Cy­be­r­at­ta­cken ernst neh­men und wohlüber­leg­te Maßnah­men einführen. Ne­ben der Si­cher­heits­tech­no­lo­gie gehören vor al­lem ge­eig­ne­te or­ga­ni­sa­to­ri­sche Maßnah­men zum Vor­sor­ge­re­per­toire – und nicht zu­letzt auch die ergänzen­de Ri­si­koübert­ra­gung in Form ei­ner Ver­si­che­rung.
Das Ein­zi­ge, was nicht wei­terführt, ist Ka­pi­tu­la­ti­on vor den An­grei­fern – Sie ha­ben es in der Hand.

« zurück