Risk Management im Mittelstand 5 Schritte zur Bewertung von IT-Sicherheitsrisiken

Anbieter zum Thema

Mimecast Germany GmbH

Specops Software GmbH

Wallix Deutschland Trace Audit & Trust

Cyberangriffe haben längst auch den Mittelstand erreicht. Die richtigen Schutzmaßnahmen einzuführen ist daher unerlässlich. Doch viele Firmen unterschätzen die Wichtigkeit und haben keine Risikostrategie entwickelt. Zum Glück gibt es einige Tipps, um erfolgreiches Risk Management zu betreiben – auch als KMU.

Die analoge Welt stand lange still. Der Online-Handel in Deutschland erfuhr dadurch ein immenses Wachstum – von Kunden- wie von Händlerseite. Bereits im ersten Halbjahr von 2021 gaben Onlineshopper 45,2 Mrd. Euro für Waren aus. Für viele war E-Commerce in der Pandemie die Chance eine neue Einnahmequelle zu erschließen oder bestehende zu erweitern. Dadurch haben diese oft eher kleinen Firmen, für die der Umgang mit Online-Shops ungewohnt war - wahrscheinlich unwissentlich – auch neue Angriffsflächen für Cyberangreifer eröffnet.

Während eine Sicherheitsverletzung bei einem größeren Unternehmen eine saftige Geldstrafe und einen beträchtlichen Imageschaden bedeutet, kann dies Für ein kleines Unternehmen das Ende bedeuten, da sie oft nicht die wirtschaftlichen Mittel haben, um einer Cyberattacke zu trotzen. Das bestätigt auch eine Studie des Bundesamts für Sicherheit in der Informationstechnik (BSI): Allein im letzten Jahr hatten 1 von 4 Cyberattacken sehr schwere oder sogar existenzbedrohende Folgen für KMUs.

Wie groß ist also das Risiko für kleine und mittelständische Unternehmen?

Der Data Breach Investigation Report zeigt, dass sich KMUs bei der Anzahl von Sicherheitsverletzungen fast gleichauf sind mit großen Firmen (263 KMUs, 307 große Firmen) im Vergleich zu 2020.

Umso wichtiger ist es, dass Unternehmen bei der Überprüfung ihrer Ausgaben auch eine Inspektion der Sicherheitsprotokolle und des IT-Risikomanagements vornehmen und gegebenenfalls die richtigen Investitionen tätigen. Ohne (oder mit falschen) Investitionen in die IT-Sicherheit und das Verständnis für Risikomanagement, können sich Unternehmen keine Fehler leisten. Angesichts der Komplexität unserer modernen Geschäftswelt ist ‚Unfehlbarkeit‘ jedoch fast unmöglich.

Neue Arbeitsrichtlinien einführen und prüfen, ob eine detaillierte Strategie vorhanden ist, die erhebliche Unterbrechungen des Betriebsablaufs verhindern oder notfalls eine schnelle Erholung einleiten kann, sind daher essentiell.

Vorab haben wir hier die fünf Top-Tipps für die erfolgreiche Umsetzung einer Strategie gegen IT-Sicherheitsrisiken.

1) Das IT-Management verstehen

Der erste Schritt ist die Verbesserung des Verständnisses für Cyberrisiken. Herauszufinden, wo die Risiken liegen, ist für die Fortführung des Betriebsabläufe von entscheidender Bedeutung, kann aber eine gewaltige Aufgabe sein. Glücklicherweise haben industriespezifische und nationale Organisationen bereits Vorschriften und Rahmenwerke zur Verfügung gestellt, die dabei helfen, geschäftliche Verpflichtungen zu klären und Unternehmensabläufe zu schützen. Zu den häufig zitierten Regulierungsstandards gehören ISO 27001, IEC 62443 und die NIST-Rahmenwerke. Nationale Sicherheitsbehörden wie das BSI geben ebenfalls gute Orientierungshilfen.

Tipp: Security-Technologien sollten klar verständlich aufzeigen, wie sie konkret die Anforderungen relevanter Compliance-Vorgaben erfüllen.

2) Angriffsoberfläche reduzieren: Schutz von Benutzerkonten

Die Kontrolle und der Schutz von Benutzerkonten sollten ebenfalls ganz oben auf der Liste der IT-Risiken stehen. Privilegierten Zugang erhalten z.B. externe Dienstleister und interne Administratoren, die auf kritische IT-Systeme zugreifen dürfen. Diese Konten sind ein ideales Ziel für Cyber-Angreifer (Stichwort Identitätsdiebstahl), denn mit Zugang zu einem einzigen Konto kann ein Angreifer wichtige Daten extrahieren, manipulieren oder verschlüsseln oder tiefer in die Infrastruktur und den Betrieb eindringen. Auch hier ermöglicht ein grundlegendes Verständnis der Risiken, die geeigneten Tools - diesmal zum Schutz privilegierter Konten - einzusetzen.

Tipp: Zugangsdaten zu kritischen Systemen sollten den Benutzern nicht mehr bekannt sein und stattdessen in einer sicheren „Password Vault“ aufbewahrt und regelmäßig rotiert werden. Zur sicheren Benutzer-Authentifizierung sollten Technologien wie MFA (Multi-Faktor-Authentifizierung) eingesetzt werden.

3) Angriffsoberfläche reduzieren: Zusätzlicher Schutz für kritische Systeme

Die Interaktion mit hochkritischen Systemen – speziell durch privilegierte Benutzer – bedeutet immer ein sehr hohes Risiko, da durch fehlerhaftes Handeln (vorsätzlich oder unbeabsichtigt) ein immenser Schaden entstehen kann, wie z.B. vollständiger Systemausfall, Infektion mit Schadcode oder dem Abfluss vertraulicher Daten.

Es muss also sichergestellt sein, dass Interaktionen mit kritischen Systemen einerseits die entsprechenden Sicherheitsvorgaben nicht verletzen sowie andererseits lückenlos nachvollziehbar sind. So können z.B. manipulative Eingriffe auf die Datenintegrität sofort erfasst, unterbunden und gemeldet werden.

Tipp: Es sollten anhand von Risikoklassen konkrete Regelwerke definiert und umgesetzt werden, die den Aktionsrahmen auf kritischen Systemen in Echtzeit kontrollieren und auditierbar machen.

4) Angriffsoberfläche reduzieren: Anwendung des Prinzips der geringsten Privilegien

Ein effizienter Weg, um sicherzustellen, dass Benutzer die Infrastruktur nicht schädigen können, besteht im Entzug der zugeteilten Privilegien auf Benutzer-, Applikations- oder gar Prozessebene. Diese drastische Maßnahme hat aber meist erhebliche Auswirkungen auf die Produktivität der Benutzer hat, wenn plötzlich die Zugriffsberechtigungen zu wichtigen Ressourcen nicht mehr ausreichen. Sicherheitsmaßnahmen sollten die Produktivität jedoch nicht unnötig einschränken.

Um Sicherheit und Produktivität in Einklang zu bringen, sollte das Prinzip der Privilegien mit der geringsten Notwendigkeit angewendet werden (POLP, principle of least privileges). Basierend auf Benutzer- und Systemprofilen werden nur die Privilegien erteilt, die für die reibungsfreie Arbeit erforderlich sind, ohne Einschränkungen hinnehmen zu müssen.

Tipp: Die Privilegien von offiziellen Business Applikationen sollten durch allgemein gültige Regelwerke an Benutzer- und Maschinenprofile ausgerollt werden.

5) Es gilt Zero-Trust

Es mag zunächst hart klingen, aber Sie sollten nicht einmal privilegierten Benutzern automatisch vertrauen. Selbst Mitarbeiter mit hohen Privilegien können den falschen Befehl auf dem falschen kritischen System ausführen. Zudem sind Mitarbeiter anfällig für raffinierte Betrügereien wie ausgeklügelte Phishing-Versuche. Und leider darf man nie vergessen, dass es auch Mitarbeiter gibt, die sich an der Firma rächen wollen und die damit zum Sicherheitsrisiko werden.

Grundsätzlich gilt: Benutzer müssen (1.) immer sicher identifiziert werden (Nachweis durch starke Authentifizierung) und sich (2.) an die Hausordnung halten (konkrete Regelwerke, die auf der Kritikalität „Risikoklasse“ des zu schützenden Systems angewandt werden müssen).

Tipp: Zuerst sollte eine Klassifizierung der kritischen Systeme vorgenommen werden (Risikoklasse 0: extrem hohes Risiko – maximale Einschränkung beim Zugriff darauf). Danach sollten die Regelwerke für die Risikoklassen bestimmt und umgesetzt werden.

Wenn Unternehmen sich mit dem Risiko auseinandersetzen, können sie sich für den Erfolg rüsten

Da besonders kleine Unternehmen anfälliger für Cyberangriffe sind und die Folgen solcher Vorfälle potenziell fatal sein können, ist die rechtzeitige Investition in eine starke IT-Risikomanagementstrategie essentiell. Der Schutz von privilegierten Benutzern und vor allem von privilegiertem Zugang muss dabei eine wesentliche Rolle spielen. Doch wenn Unternehmen frühzeitig geeignete Maßnahmen ergreifen, können sie das Risiko einer Gefährdung ihrer Infrastruktur drastisch reduzieren. Daher hier der Appell: Beginnen Sie jetzt mit der Planung Ihrer Strategie - einschließlich eines Budgets für die Umsetzung. Es wird sich auszahlen.

Über den Autor: Stefan Rabben ist Sales Director DACH and Eastern Europe bei Wallix.

(ID:47898531)