IT-Sicherheit für den Mittelstand 2017 Cyberbedrohungen und der Mittelstand

Mittelständische Unternehmen stehen mit dem Thema IT Security nicht selten auf Kriegsfuß. Manche kapitulieren ob immer neuer Angriffsvektoren, andere stecken schlicht den Kopf in den Sand. Ein bewährter Ansatz kombiniert eigene Expertise mit externen Security Services.

Anbieter zum Thema

Arvato Systems

Insider Research

TXOne Networks

Der größte Fehler, den mittelständische Unternehmen in Sachen IT Sicherheit machen können ist, sich nicht für ein lohnendes Angriffsziel zu halten. Natürlich hat nicht jedes Unternehmen lukrative Know-how Schätze, die aus vielen Jahren Forschung und Entwicklung hervorgegangen sind, und die besonders bei Industriespionen Begehrlichkeiten wecken. Aber jedes Unternehmen macht Geschäfte und Geld ist immer eine überzeugende Motivation für Angreifer.

Der im Frühjahr dieses Jahres grassierende Verschlüsselungs-Trojaner „WannaCry“, der die Unternehmensdaten erst nach Zahlung einer bestimmten Geldsumme wieder freigab (und auch das nicht garantiert), war dafür ein sehr gutes Beispiel.

Update: NSA Exploit sorgt für weltweite Attacke

WannaCry Ransomware infiziert tausende Systeme

Angriffspotenzial im Mittelstand größer als bei Großunternehmen

In der Praxis müssen sich Mittelständler auf das gleiche Bedrohungsszenario einstellen wie Großunternehmen. Der Unterschied liegt eher in der Verteidigungsseite. Während große Unternehmen sich oft ein adäquat ausgestattetes IT-Team mit gut ausgebildeten Security-Experten leisten können, sind die internen Ressourcen bei mittelständischen und kleinen Unternehmen hier sehr oft stark limitiert. Das wissen auch die Cyber-Kriminellen, wodurch der Mittelstand sogar in besonderer Weise Angegriffen exponiert ist: volle Breitseite bei schwacher Gegenwehr.

Was das Aufsetzen einer soliden Verteidigungsstrategie heute so schwierig macht, ist die ausufernde Komplexität moderner IT-Landschaften. Nicht nur die unterschiedlichen Gerätetypen und Betriebssysteme an den Endpoints machen den Administratoren zu schaffen, auch im Netzwerk gibt es oft einen heterogenen Mix unterschiedlicher Hersteller für Router, Switches, WLAN Komponenten und vieles mehr. Im Rechenzentrum tummeln sich zudem Komponenten unterschiedlicher Hersteller für Storage-, Server- und Interfacebausteine. Für fast jede IT-Komponente gibt es eigene Schutzlösungen und nach wie vor viel zu selten korrespondieren sie mit den Lösungen der anderen Hersteller. Neben rudimentären Protokollen gibt es dafür auch bis heute kaum Standards.

VDE schlägt Alarm

„Bei Cyber-Security wird der Ernst der Lage nicht überall erkannt“

Virtualisierung, BYOD und IoT lassen Komplexität ausufern

Die Virtualisierung zunächst einzelner IT-Bereiche, später kompletter Rechenzentren, ließ klassische Firewalls ins Leere laufen. Die starren Wege zwischen Anwendungen und Usern, auf welchen die Geräte typischerweise installiert waren, wichen unkalkulierbar wechselnden Wegen, die sich aus dem permanenten Wechsel der Applikationen auf den jeweils momentan bestgeeigneten Server im eigenen Rechenzentrum oder gar Cloud Verbund ergaben. Mit dem Trend, private Geräte im Unternehmen zu nutzen (bring your own device - kurz BYOD), erreichte die Komplexität ein neues, bisher nicht gekanntes Ausmaß. Und während sich die Administratoren nach wie vor die Zähne ausbeißen, dieses Problem in den Griff zu bekommen, läuft mit dem Internet der Dinge (IoT) bereits die nächste und noch viel dramatischere Problemwelle auf sie zu: Tatsächlich haben über 90 Prozent der IoT-Geräte nicht einmal theoretisch vorgesehen, einen Security-Agenten darauf zu installieren.

Der Schutz wichtiger Daten und Anwendungen hat sich in den letzten Jahren fast zu einer eigenen Wissenschaft entwickelt. Besonders für kleine und mittelständische Unternehmen entstehen daraus massive Probleme – zumindest wenn sie nicht gewillt sind, ihre Etats für den Aufbau von Security Know-how und - Lösungen drastisch aufzustocken. Grund zur Resignation besteht dennoch nicht, der Markt bietet heute ein breites Spektrum an Security Lösungen aus der Cloud, oder als Managed Service. Diese erfordert zwar ein gewisses Maß an Know-how bei der Gestaltung von Serviceverträgen, die Einhaltung der vereinbarten Schutzlevel ob liegt aber dann dem externen Dienstleister. Auf seiner Ebene rechnet es sich auch, immer die neuesten bzw. technologisch am weitesten fortgeschrittenen Security Lösungen vorzuhalten, denn deren Einsatz skaliert über die Gesamtzahl seiner Kunden. Zumindest in der Anfangsphase ist es empfehlenswert, die externen Lösungen mithilfe kompetenter Berater oder Systemintegratoren zu eruieren.

Der wichtigste Job, den die Unternehmen selbst im Zusammenhang mit Security erledigen müssen, ist die Klassifizierung ihrer Daten und Anwendungen hinsichtlich Wert für das Unternehmen bzw. gesetzlichen Anforderungen und damit Schutzbedarf. Auf dieser Basis lässt sich ein solides Regelwerk aufsetzen, welches wiederum als Grundlage für die Verhandlungen mit externen Dienstleistern genutzt werden kann.

Anwendungssicherheit und Sicherheitslücken

Open Source vs. Closed Source: Was ist sicherer?

Selbst das Zepter in die Hand nehmen

Entsprechendes Know-how vorausgesetzt, müssen auch im Mittelstand in Eigenregie aufgesetzte Security-Lösungen nicht schlechter sein, als externe Lösungen. Gute Ansatzpunkte bieten offene Lösungen, die sich über klar definierte Schnittstellen an den im eigenen Netzwerk verwendeten Komponenten andocken und durch zentrale Regeln steuern lassen. Solche Lösungen entstehen gerade bevorzugt im Open-Source-Umfeld, der Umgang damit ist jedoch alles andere als trivial.

IT Sicherheit beginnt im Kopf. Das bedeutet, auch mittelständische Unternehmen sollten es sich auf jeden Fall leisten, ihre Mitarbeiter in regelmäßigen Abständen durch Schulungen oder wenigstens Kurzbriefings für das Thema zu sensibilisieren und ihnen die Fortschritte auf Angreiferseite zu verdeutlichen. Besonders wichtig für alle Mitarbeiter ist die Kenntnis der in letzter Zeit stark perfektionierten Phishing Methoden, oft einer der ersten Bausteine in einem vielschichtigen Angriffsszenario.

Dieser Beitrag stammt aus dem neuen Kompendium IT-Sicherheit für den Mittelstand 2017.

Cyberkriminalität

CIOs resignieren vor Cyber-Angriffen

(ID:44872206)