Welche Risiken im Jahr 2013 auf Unternehmen zukommen Aktuelle Entwicklung der Cyber-Kriminalität

Zahlreiche Sicherheitsexperten prognostizieren für das Jahr 2013, dass Firmen sich vornehmlich gegen Cloud-Exploits, Angriffe auf Mobilgeräte und den Cyberwar wappnen müssen. Die Sicherheitsforscher von Verizon kommen zu einem deutlich anderen Ergebnis.

Anbieter zum Thema

SonicWall Germany

Arvato Systems

Rapid7 Germany

Verizon Deutschland GmbH

Die Sicherheitsforscher von Verizon gehören allesamt zum RISK-Team (Research Intelligence Solutions Knowledge). Ihre Prognosen basieren auf Daten, die einen Zeitraum von acht Jahren sowie tausende Vorfälle abdecken. Nachzulesen sind sie im Data Breach Investigation Report (DBIR), der zuletzt im April 2012 veröffentlicht wurde und bald wieder erscheint.

Der Bericht lässt einen dynamischen Anstieg von Hacktivismus erkennen, also Angriffen mit politischem oder gesellschaftlichem Hintergrund. Über 58 Prozent der 2011 gestohlenen Daten fielen dieser Motivation zum Opfer. Dieser Trend stand im krassen Gegensatz zu den Mustern der vergangenen Jahre, in denen die Mehrzahl der Cyber-Attacken ausschließlich finanziellen Interessen diente.

Derweil stieg die Anzahl der bei diesen Vorfällen registrierten kompromittierten Datensätze sprunghaft an, nachdem im letztjährigen Bericht mit vier Millionen gestohlenen Datensätzen ein Allzeit-Tief (oder Hoch, je nach Sichtweise) erreicht worden war. 2011 registrierten wir sogar den zweitgrößten Datenverlust seit 2004, als Verizon damit begonnen hatte, darüber Buch zu führen.

In den Statistiken sind die im Übrigen die Analyseergebnisse bekannter Strafverfolgungsbehörden enthalten. Hierzu gehören unter anderem der US-amerikanische Secret Service (USSS), die National High Tech Crime Unit (NHTCU) aus den Niederlanden, die australischen Bundespolizei (AFP), der irische Reporting & Information Security Service (IRISSCERT) und die Police Central e-Crime Unit (PCeU) der London Metropolitan Police.

Toolkits erleichtern Angreifern die Arbeit

Von den im Bericht erfassten Attacken waren 79 Prozent opportunistischer Natur. Von allen Attacken zusammengenommen waren 96 Prozent alles andere als kompliziert – zu ihrer Ausführung waren demnach keine besonderen Fähigkeiten oder umfangreichen Ressourcen erforderlich.

Bei den Angriffsmethoden sind Hacking und Malware weiter auf dem Vormarsch. Hacking spielte bei 81 Prozent der Datenverletzungen und bei 99 Prozent der Datenverluste eine Rolle. Auch Malware war in erheblichem Umfang an Datenverletzungen beteiligt (69 Prozent der Verletzungen und 95 Prozent der kompromittierten Datensätze).

Externe Angreifer bevorzugen Hacking und Malware, da diese Methoden auch von abgelegenen Orten aus eine Attacke auf mehrere Opfer gleichzeitig erlauben. Dabei profitieren die Kriminellen auch durch die Anwenderfreundlichkeit der mittlerweile äußerst zahlreichen Hacking- und Malware-Tools.

Schwer erkennbare, schleichende Attacken in 2013

Bei den Prognosen geht Verizon empirisch vor, damit Unternehmen sich auf das konzentrieren können, was dieses Jahr wirklich wichtig ist. Unsere Untersuchungen lassen keinen Cyberkrieg erkennen. Vielmehr werden 2013 die Datenverletzungen in Unternehmen das Ergebnis von schwer erkennbaren, schleichenden Attacken sein.

Angeführt wird die Rangliste der wahrscheinlichsten Bedrohungen von Angriffen und Versäumnissen im Bereich der Authentifiizerung – die Quote liegt bei 90 Prozent. Zu diesen Gefahren zählen beispielsweise schwache oder gestohlene Benutzernamen und Passwörter. Häufig sind sie in einem Datenverletzungs-Szenario die ersten Vorkommnisse.

Bei neun von zehn Systemeinbrüchen spielten 2012 kompromittierte Identifikationsdaten oder Authentifizierungssysteme eine Rolle. Als Unternehmen sollte man also dafür sorgen, dass dem Erstellen, Verwalten und Überwachen von User-Accounts und -Legitimationsdaten für sämtliche Systeme, Endgeräte und Netzwerke ein solider Prozess zugrunde liegt.

Web Application Security und Social Engineering

Die Chance, dass es zu Exploits von Web-Anwendungen kommt, besteht eher bei größeren Unternehmen und insbesondere bei Regierungsbehörden und liegt bei drei zu vier. Unternehmen, die 2013 bei einer solchen Chancenverteilung das Risiko eingehen und die Entwicklung sicherer Anwendungen sowie bestehende Bewertungspraktiken ignorieren, betteln förmlich um Ärger.

Bei größeren Unternehmen und Regierungsbehörden nimmt die Verwendung sozialer Taktiken wie etwa Phishing um den Faktor drei bis vier zu. Beim Social Engineering, das sich an Menschen und nicht an Maschinen richtet, sind (bisweilen plumpe) Täuschungsversuche das Mittel zum Zweck. Zwar ist es unmöglich, sämtliche menschlichen Fehler oder Schwächen innerhalb einer Organisation auszuschließen, doch können Achtsamkeit und Schulung der Mitarbeiter dazu beitragen, solche Angriffsmuster in ihrer Auswirkung einzudämmen.

Eine weitere wesentliche Erkenntnis aus dem Bericht 2012: Auch in Zukunft wird es zielgerichtete Attacken geben, die von Spionage- und Hacktivismus-Absichten – Einbrüche in Computersysteme aus politischen oder gesellschaftlichen Gründen – motiviert sind. Daher ist es überaus wichtig, auch an dieser Front die Augen aufzuhalten.

Großer Hype um die Cloud und Mobility-Lösungen

Wir werden oft gefragt, ob bei vielen der Datenverletzungen, die wir untersuchen, „die Cloud“ eine Rolle spielt. Diese Frage ist leicht und schwierig zugleich. Die einfache Antwort lautet: „Nein, nicht wirklich.“

Wir sehen im Versagen der Technologie oder der Konfiguration einer Private Cloud keine Hauptursache für eine Datenverletzung. Allerdings kann der Serviceprovider eines Unternehmens unbeabsichtigt die Wahrscheinlichkeit einer Datenverletzung erhöhen, wenn er keine angemessenen Maßnahmen zum Schutz ergreift.

Die wohl größte Herausforderung beim Managen von Risiken in Cloud-Umgebungen besteht darin, die nötigen Daten parat zu haben, um gute Sicherheitsentscheidungen treffen zu können. Es gilt, einen soliden Einblick in die Eigenarten der Cloud-Umgebung zu erlangen.

Unser Rat zum Thema Sicherheitsmanagement lautet deshalb, einen Teil der Einsparungen, die durch den Umzug in die Cloud erzielt werden, zu reinvestieren. Dies kann sich in Form von robustem Identitäts- und Zugangsmanagement niederschlagen, in besser gemanagten Services oder in kontinuierlicher Überprüfung.

Mit Blick auf mobile Bedrohungen ist Verizon der Ansicht, dass verlorene und gestohlene (unverschlüsselte) Geräte auch in Zukunft mehr Schaden anrichten werden, als der Einsatz von Hacks oder Malware.

Wir gehen davon aus, dass die Attacken Krimineller auf mobile Endgeräte parallel zur Zunahme mobiler Zahlungen in der Geschäfts- und Konsumwelt ansteigen werden; die Nutzung von mobilen Endgeräten als Datenverletzungsvektor wird über 2013 hinaus jedoch hinter den Erwartungen zurückbleiben.

97 Prozent der Angriffe sind häufig vermeidbar

Eine weitere wichtige Erkenntnis des 2012 Verizon Data Breach Investigations Report: 97 Prozent der von Verizon und Partnerorganisationen analysierten Attacken wären vermeidbar gewesen – und zwar ohne den Einsatz komplizierter oder kostspieliger Gegenmaßnahmen durch die Betroffenen. Dies verdeutlicht, dass sich leider viele Unternehmen und Behörden eigentlich im Klaren darüber sind, welche Schritte sie selbst unternehmen könnten, um Datenverletzungen zu verhindern.

Verizon hält an den eigenen Empfehlungen fest, wie Unternehmen ihre Sicherheitsmaßnahmen überdenken können, um so möglicherweise Datenverletzungen zu verhindern:

1. Unnötige Daten entfernen: Sofern kein überzeugender Grund vorliegt, Daten zu speichern oder zu übertragen, sollten sie entfernt werden. Die wichtigen Daten, die aufbewahrt werden müssen, auf jeden Fall überwachen.

2. Grundlegende Sicherheitskontrollen einrichten: Um sich wirksam gegen das Gros der Angriffe zu wehren, müssen Unternehmen und Behörden dafür sorgen, dass grundlegende und angemessene Sicherheitsvorkehrungen vorhanden sind und korrekt funktionieren. Überprüfen Sie die Sicherheitskontrollen regelmäßig.

3. Event-Logs größere Bedeutung zumessen: Event-Logs überwachen und auf verdächtige Aktivitäten untersuchen – Datenverletzungen werden gewöhnlich anhand von Event-Log-Analysen entdeckt.

4 Sicherheitsstrategie priorisieren: Unternehmen und Behörden sollten ihre Bedrohungslandschaft unter die Lupe nehmen und anhand der Ergebnisse eine individuelle, nach Prioritäten geordnete Sicherheitsstrategie aufstellen.

Wir sind davon überzeugt, dass ein größeres öffentliches Bewusstsein gegenüber Cyber-Bedrohungen sowie Schulung und Training im Kampf gegen diese Art von Kriminalität eine immens hohe Bedeutung haben.

Nicht warten, bis etwas passiert

Große Unternehmen brüsten sich gerne mit ihrer Sicherheitsstrategie und den dazugehörigen Plänen, doch die Realität sieht anders aus: Anstatt eine Datenverletzung selbst zu entdecken, werden sie meist von den Strafverfolgungsbehörden darüber informiert. Wird ein Vorfall intern aufgedeckt, ist dies wahrscheinlich Zufall.

Als Unternehmen sollte man bedenken, dass alle genannten Arten von Datenverletzungen überaus reale, permanente Bedrohungen darstellen; eine regelmäßige Überprüfung der Sicherheitsprogramme sollte daher Routine sein. Eine Datenverletzung, ganz gleich ob großen oder kleinen Ausmaßes, ist und bleibt eine Datenverletzung. Allerdings werden häufig einige Verletzungsarten überbewertet. Vor dem Hintergrund unserer historischen Daten sind sie weit seltener an einer Datenverletzung in einer Organisation beteiligt, als man gemeinhin glaubt.

Über den Autor

Clare Ward ist für die Öffentlichkeitsarbeit von Verizon im Bereich EMEA zuständig.

(ID:38701980)