Datensicherheit wird zur Pflicht Bewusstsein für Sicherheit wächst nicht genug

Niemand würde heute noch ein Auto ohne Sicherheitsgurt kaufen. Dabei bedurfte es der Gurtpflicht Mitte der 1970er Jahre um dieses Sicherheitsfeature flächendeckend durch­zu­set­zen. Bei Datenschutz und Datensicherheit zeigen sich gerade ähnliche Tendenzen. Erst wenn empfindliche Strafen drohen bewegen sich Industrie und Verbraucher.

Anbieter zum Thema

SonicWall Germany

SEPPmail - Deutschland GmbH

Insider Research

Thales DIS CPL Deutschland GmbH

Heute gibt es keinen PKW mehr ohne Sicherheitsgurt. Dieser ist zum einen gesetzlich vorgegeben und zum anderen wird es als unvernünftig angesehen, Autos ohne Gurt auszuliefern. Zurückblickend war die Einführung der Gurtpflicht Mitte der 1970er Jahre umstritten. Heute liegt der Mehrwert auf der Hand, aber damals empfanden Bürgerinnen und Bürger die Pflicht als Eingriff in die persönliche Freiheit. Die Hersteller beklagten einen Mehraufwand. Erst die Einführung von Bußgeldern sicherten Anlegequoten über 90 Prozent.

Beim Thema Datenschutz erlebt man aktuell eine ähnliche Entwicklung. Noch vor etwa zehn Jahren waren Informationen vor allem Treibstoff für die Wirtschaft, um Unternehmensprozesse zu optimieren. Big Data-Analysen, Cloud Computing und das Internet der Dinge fanden nach und nach Einzug in Geschäftsprozesse. Gleichzeitig wurden Datenmengen immer größer und mussten dennoch schnell übertragen werden. In einigen Branchen entbrannte ein regelrechter Wettbewerb, wer Innovationen am schnellsten implementieren und am meisten Informationen in möglichst kurzer Zeit analysieren konnte – Datenschutz wurde als teurer Luxus betrachtet, der nicht so recht in den Alltag passen wollte.

Genau wie bei Automobilen geht der technologische Fortschritt weiter. Im Straßenverkehr wurden die Fahrzeuge zahlreicher und leistungsfähiger. In der IT explodiert die Anzahl der Endgeräte und die verfügbare Rechen- und Speicherleistung. Die digitale Integration ist ein laufender Prozess, in dem sich die Gesellschaft befindet. Im Jahr 2023 wird allein die Anzahl von Geräten aus dem Internet der Dinge schätzungsweise 30 Milliarden betragen.

Gleichzeitig erkennen Cyberkriminelle neue Angriffsmöglichkeiten. Die Folge sind immer wieder neue Schlagzeilen über Sicherheitsvorfälle, denn die Absicherung von Daten genoss zu bis vor einigen Jahren keine hohe Priorität und oftmals wurden Angriffsvektoren erst nach einiger Zeit erkannt. Diese Wahrnehmung hat sich aber verschoben, denn die Öffentlichkeit und Unternehmen haben gemerkt, dass sich die Gefahrenlage verändert hat. Als die Anzahl der Unfälle im Straßenverkehr stieg, entwickelte man Schutzmechanismen wie den Sicherheitsgurt und setzte die Gurtpflicht durch. Mittlerweile herrscht Konsens darüber, dass bei der Digitalisierung ebenfalls Handlungsbedarf besteht, denn die Lage ist ernst.

Im Januar 2019 machte der Fall von gehackten E-Mail und Social Media Accounts von deutschen Politikern gleich mehrere Probleme deutlich. Denn Angriffe auf Daten sind immer noch zu einfach, da einige Nutzer die Zugänge nur mit Passwörtern anstatt mit sicheren Methoden wie Zwei-Faktor-Authentifizierung (2FA) sichern. Die Hintermänner benötigen kein umfangreiches Know-how, sondern konnten nach Übernahme von Mail-Accounts weitere Zugänge knacken, indem sie Passwörter zurücksetzten und sich diese an die übernommen E-Mailkonten schicken ließen.

Zudem steigt der Wert von Informationen und deren Anwendbarkeit immer weiter. Daten aus verschiedenen Quellen können angereichert werden. Im zweiten Schritt werden diese durch die Kriminellen dann geballt veröffentlicht (Doxing). Dazu kommt, dass Angreifer nicht immer nach monetärem Gewinn streben, sondern es auf Öffentlichkeitswirksamkeit anlegen. Im genannten Beispiel haben die Kriminellen die Informationen der Politiker nicht verkauft, sondern online gestellt und damit für ein großes Medienecho gesorgt.

Unternehmen müssen daher verstehen, dass es nicht nur um eine Abwägung von Kosten und Nutzen geht. Datenschutz im Zeitalter der digitalen Transformation ist eine Verpflichtung. Natürlich erlauben persönliche Informationen eine immer bessere Kundeninteraktion und sind absoluter Wettbewerbstreiber. Gleichzeitig müssen IT-Verantwortliche allerdings mit Bedacht vorgehen. Fahrlässiger Umgang wird vom Nutzer nicht geduldet und schlampiger Umgang mit Daten kann langfristige Konsequenzen haben.

Die Rolle des CISO im Unternehmen

Welche Aufgaben ein CISO übernehmen muss

Sicherheitsprobleme an höchste Stelle adressiert

Die ersten Meilensteine sind bereits gelegt: Die EU-Datenschutzrichtlinie wurde im letzten Jahr durch die Anwendbarkeit der DSGVO ersetzt. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) wurde personell deutlich aufgestockt. In Bund und Ländern werden neue Ministerien und Staatsbedienstete für den Bereich Digitalisierung und Datenschutz eingestellt.

Trotz der Anstrengungen vieler Organisationen ist der Weg noch lang, bis die Mehrheit der Unternehmen zumindest die grundlegenden Schutzvorkehrungen implementiert haben werden. Das zeigen Fälle, wie die erfolgreiche Cyberattacke auf Marriott im Dezember 2018. Dabei wurden unter anderem 5,25 Millionen unverschlüsselte Passnummern erbeutet. Teilweise waren die Daten durch Kryptografie geschützt. Marriott konnte oder wollte aber nicht erklären, warum dies nur bei manchen Daten der Fall war und bei anderen wiederum nicht.

Organisationen müssen aber verstehen, dass der Sicherheitsgurt der Digitalisierung starke Verschlüsselung mit einem passenden Schlüsselmanagement ist - alles andere wäre nicht zeitgemäß. Unternehmen sind rechtlich zum Datenschutz verpflichtet. Genau genommen ist die DSGVO nur die Spitze des Eisberges. Es werden weitere Vorgaben folgen, denn das öffentliche Interesse am Gemeingut IT-Sicherheit ist zu groß, als dass Organisationen dies aussitzen könnten. Aktuell wird auf EU-Ebene über die ePrivacy-Verordnung diskutiert. Hier wird es aber wahrscheinlich bis nach den Parlamentswahlen in diesem Jahr dauern, bis handfeste Ergebnisse vorliegen. Gleichzeitig werden aber nationale Gerichte und Akteure stärker auf die Einhaltung der DSGVO pochen.

Trotz spürbarem Willen zur Veränderung waren in den letzten fünf Jahren laut des Breach Level Index weltweit nur etwa vier Prozent aller Daten, die bei einem Angriff erbeutet wurden, durch Verschlüsselung geschützt. Dabei sollte Kryptografie eigentlich ähnlich wie Firewall und Anti-Virus zum Standard jedes Unternehmens gehören. Die Firmenrealität ist noch weit entfernt von den gesellschaftlichen und rechtlich geforderten Sicherheitsstandards.

Man erkennt zusätzliche Hindernisse bei der Absicherung von laufenden Prozessen und bestehenden Systemen. Bei modernen Themen wie dem Internet der Dinge wird schon eher eine Trendwende erkennbar. Im aktuellen State of IoT Security-Survey wurden 2018 weltweit 950 Entscheider zum Thema Digitalisierung und Datenschutz befragt. 59 Prozent aller Entscheider geben an, dass sie sämtliche Daten verschlüsseln, die über IoT-Geräte versendet werden.

Hier wird eine verstärkte Anwendung von Verschlüsselung zwar erkennbar, dennoch geben etwa die Hälfte (48 Prozent) zu, dass sie einen Data Breach nicht immer erkennen könnten. Dies ist ein Sicherheitsrisiko und Unternehmen sollten dafür sorgen, dass Informationen konsequent verschlüsselt werden.

Werden die Entscheider nach den Herausforderungen in Bezug auf das Internet der Dinge gefragt, werden vor allem zwei Herausforderungen häufig genannt: 38 Prozent der Teilnehmer nennen Data Privacy als wichtigste Challenge, gefolgt vom Umgang mit großen Datenmengen (34 Prozent). Bei der Frage nach der wichtigsten Sicherheitstechnologie liegt Verschlüsselung mit 71 Prozent klar in Führung.

Fazit

In der Always-on-Welt ändern sich nicht nur Geschäftsprozesse, sondern grundlegende Einstellungen und Werte. Aktuell spürt man, dass Datensicherheit zur absoluten Pflicht geworden ist und sich rechtliche Rahmenbedingungen gewandelt haben. Für Entscheider bedeutet dies das Ende der Schonfrist. Fahrlässigkeit ist nicht mehr akzeptabel und hat rechtliche Konsequenzen. Sicherheitsvorkehrungen, wie starke Verschlüsselung und 2FA müssen zur Grundausstattung eines Unternehmens gehören. Gerade, wenn die digitale Integration weiter voranschreitet und immer mehr Endgeräte in Netzwerke integriert werden.

Über den Autor: Thorsten Krüger, Director Sales IDP DACH & CEE bei Gemalto.

(ID:45873622)