Cyberkrieg und KMU Auch kleine Unternehmen stehen im Visier staatlicher Angreifer

Anbieter zum Thema

Elasticsearch GmbH C/o TMF München Germany Elasticsearch GmbH

Elastic GmbH

Fsas Technologies GmbH

SEPPmail - Deutschland GmbH

FTAPI Software GmbH

Digitale Spionage und Sabotage gewinnen geopolitisch zunehmend an Bedeutung. Staatliche Akteure greifen vermehrt kleinere Software-Unternehmen an, die als Teil der Lieferkette Punktlösungen bieten. Dadurch erhalten sie Zugang zu ihren eigentlichen Zielen: global agierenden Unternehmen und Regierungen. Die Abwehr solcher Angriffe ist komplex, denn für die Sicherheit ist die gesamte Lieferkette verantwortlich.

Ein Beispiel dafür, das wie ein Agentenkrimi wirkt, handelt von der weitverbreiteten XZ-Kompressionsbibliothek. Unbekannte Drahtzieher konnten mithilfe von Social Engineering eine Hintertür in die xz-Tools und -Bibliotheken schmuggeln. Da die Software ein kritischer Teil vieler Open-Source-Plattformen und Lösungen wie etwa Secure-Shell (SSH) ist, wäre ein erfolgreicher Angriff für das vernetzte Bibliothekssystem weltweit gravierend gewesen. Immerhin gilt SSH als das am häufigsten eingesetzte Tool für Fernzugriffe und wird von sehr vielen Server-Administratoren verwendet. Nur die zufällige Entdeckung eines Entwicklers, der eigentlich nach der Ursache mysteriöser Leistungsprobleme suchte, konnte den Erfolg der Attacke verhindern. Das komplexe und lang angelegte Vorgehen der Drahtzieher deutet ebenfalls auf einen staatlichen Akteur hin.

Security-Insider Podcast – Folge 86

Backdoor in xz-Tools erschüttert die IT-Welt

Diese Beispiele belegen, wie verheerend solche elaborierten Supply Chain Attacken sein können – nicht nur für das angegriffene Unternehmen selbst, sondern für alle weiteren Beteiligten in der Lieferkette. Zudem sind diese Angriffe keine Seltenheit mehr. Laut des deutschen Verfassungsschutzes richten sich mittlerweile 61 Prozent aller Cyberangriffe gegen Lieferketten. Die Software-Supply-Chains stehen dementsprechend unter Druck. Wie in den genannten Beispielen, geraten dabei vor allem kleine Softwarehäuser gehäuft ins Visier der Angreifer – nicht etwa, weil sie selbst ein attraktives Ziel sind, sondern weil ihre Lösungen, wie die XZ-Bibliothek, von zahlreichen namhaften Kunden in eigene Prozesse eingebunden werden.

Zudem sind die Systeme der kleinen Hersteller oft weniger aufwendig gesichert als die großer Unternehmen. Letztere verfügen in der Regel über gut ausgebaute IT-Sicherheitsstrukturen. Sie haben ein hohes Schutzniveau, das nur mit großem Aufwand überwunden werden kann. Ein kleiner Anbieter hingegen verfügt oft nicht über die notwendigen Ressourcen, um sein Sicherheitslevel stets auf einem hohen Niveau zu halten. Angreifer finden hier sehr viel einfacher einen Angriffsvektor. Was muss also getan werden, um unsere Supply Chains vor den Angriffen organisierter staatlicher Akteure zu schützen?

Cyber-Risikomanagement in der Supply Chain

Eskalierende Bedrohungslandschaft für Lieferketten

Lieferketten-Angriffe sind ein strukturelles Problem

Lieferketten abzusichern, ist keine triviale Aufgabe, denn jedes Unternehmen ist in erster Linie für sich selbst zuständig. Es gibt keine Instanz, die Verantwortung für die Cybersicherheit über die ganze Lieferkette hinweg übernimmt. Was noch dazukommt: Kleinere Softwareunternehmen sind sich oftmals der potenziellen Gefahr gar nicht bewusst, die sie für ihre größeren Kunden darstellen. Manche kritische Software-Bibliotheken und Bestandteile wie XZ werden lediglich von kleinen Teams auf freiwilliger Basis und mithilfe von Spenden aus der Community entwickelt und gepflegt. Selbst wenn diese Unternehmen ihr Risikobewusstsein schärfen, fehlt es ihnen schlicht an ausreichenden Mitteln und Know-how, um sich vor Cybergegnern mit staatlichen Mitteln zu schützen.

Da die Ressourcen zwischen den Beteiligten der Lieferkette dermaßen ungleich verteilt sind, gestaltet es sich schwierig, wirksame Lösungen aufzuzeigen. Sollten kleine Unternehmen die Sicherheitskosten in den Preis der Produkte für größere Kunden einrechnen? Oder stehen größere Organisationen in der Pflicht, die kleinen Unternehmen auf ihre Sicherheitsmaßnahmen hin zu überprüfen und somit die höheren Kosten selbst zu tragen? Diese Schwierigkeiten zeigen: Bei Angriffen auf die Lieferkette handelt es sich um ein komplexes strukturelles Problem, das sich nicht von einzelnen Akteuren in Eigenregie lösen lässt.

SBOM, CI/CD-Pipeline & mehr

7 Maßnahmen für sichere Software-Lieferketten

Cybersecurity gelingt nur gemeinsam

Da es äußerst schwierig ist, die Verantwortung entlang der Wertschöpfungskette festzulegen, bedarf es einer ganzheitlichen, strukturellen Lösung, die ein Risikobewusstsein. Der regelmäßige Gedankenaustausch mit anderen hilft, mehr über aktuelle Angriffsstrategien zu erfahren und Abwehrmöglichkeiten zu entwickeln. Als ein Vorbild könnte hier die Open-Source-Gemeinde dienen. Dort gibt es bereits Netzwerke wie TF-CSIRT, die den Wissensaustausch bezüglich Cybersecurity aktiv fördern und unterstützen.

Da es in erster Linie um die Angriffe staatlicher Akteure geht, haben auch betroffene Regierungen ein vitales Interesse daran, Lieferketten abzusichern. Sinnvoll ist es hier, Lösungen zu finden, die global gedacht sind und entsprechend globalen Lieferketten gerecht werden. Gleichzeitig sollte die zentrale Herausforderung – die ungleiche Verteilung der Sicherheitsressourcen – ausreichend adressiert werden. Das vermeidet, dass neue Sicherheitsanforderungen kleine Organisationen stärker treffen.

Innerhalb der Unternehmen gilt es, sich auf den Ernstfall vorzubereiten. Zu diesem Zweck sind regelmäßige Sicherheitsaudits und Tests von Netzwerken und Systemen das A und O. Nur so lassen sich Schwachstellen, die über die Zulieferer-Seite entstehen, frühzeitig erkennen und beheben. Die Kommunikation zwischen den verschiedenen Abteilungen sollte weiterhin verbessert werden, damit sich das Unternehmen im Krisenfall seine Handlungsfähigkeit erhält.

HP Wolf Security-Studie

Angriffsziel Hardware-Lieferkette

Nicht zuletzt sollte die Lieferkette ständig überwacht werden. Keine Software ist ohne Sicherheitslücken – wenn Supply-Chain-Angriffe bekannt werden, müssen Unternehmen sofort handeln. Die betroffenen Programme und Bibliotheken müssen auf Sicherheitslücken überprüft und diese beseitigt werden. Je transparenter Softwareanbieter hier agieren und kommunizieren, desto schneller werden sie zu einem verlässlichen und unverzichtbaren Teil der Lieferkette.

Fazit: mit transparenter Kommunikation zu nachhaltigen Lösungen

Die Verteidigung gegen staatliche Akteure ist ein Thema, das alle betrifft. Ein erfolgreicher Cyberangriff, so zeigen Beispiele wie XZ, kann immerhin in Windeseile ganze Lieferketten erfassen und Industrien, Branchen sowie Regierungsinstitutionen gleichermaßen unter Druck setzen. Daher sind gemeinsame strukturelle Lösungen erforderlich. Wie so etwas funktionieren kann, zeigt die Open-Source-Community bereits seit geraumer Zeit. Ein dichtes Netz von Kommunikationsnetzwerken, die den Wissensaustausch ermöglichen und fördern, hilft dabei, die Lieferketten in gemeinsamer Anstrengung widerstandsfähiger zu machen. Im nächsten Schritt gilt es, Lösungsansätze zu finden, wie sich eine solche Denkweise auf große Organisationen und staatliche Stellen übertragen lässt. Denn den staatlichen Akteuren einen Schritt voraus zu sein, funktioniert gemeinsam.

Über dne Autor: Thorben Jändling ist Principal Solutions Architect in der Global Security Specialist Group bei Elastic.

Ponemon-Studie zu Risiken in der Lieferkette

Warum Fremdzugriffe zum Sicherheitsrisiko werden

(ID:50426568)