Hackerattacke, was nun? Gehärtete Systeme gegen hartnäckige Angreifer

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

FAST LTA GmbH

FTAPI Software GmbH

Profi-Hacker nutzen Sicherheitslücken und attackieren Systeme rund um die Uhr. Unternehmen können sich mit gehärteten Architekturen, kon­ti­nu­ier­lich­em Monitoring und einem Security Operation Center schützen. Managed Services und IT-Forensik können zudem Ausfallzeiten minimieren und helfen kritische Daten zu sichern.

Besorgniserregend: Mit diesem Wort kann man laut Bundesamt für Sicherheit in der Informationstechnik (BSI) die IT-Sicherheitslage in Deutschland beschreiben. Hacker professionalisieren sich, täglich tauchen neue Sicherheitslücken auf, während sich gleichzeitig die Komplexität der Systeme erhöht. Cyberangriffe können jeden treffen – Unternehmen oder Behörden müssen dann schnell und richtig reagieren: Das kompromittierte System muss isoliert und repariert werden, mit dem Ziel, das Schutzniveau an die wachsenden Bedrohungen anzupassen. Wer dieser Herausforderung nicht gewachsen ist, kann sich einen Managed Service als Partner ins Boot holen.

Die Lage der IT-Sicherheit 2024

BSI sieht Bedrohungslage als „besorgniserregend“

Was genau zeichnet die Bedrohungslage für Cybersicherheit in Deutschland aus? Der Bericht des BSI zur Bedrohungslage im Cyberraum hat mehrere Angreifergruppen ausgemacht, eine „arbeitsteilige cyberkriminelle Schattenwirtschaft“ mit Gewinnerzielungsabsicht ist am Werk. Die Profi-Hacker von heute verschicken keine Phishing-E-Mails mehr, in denen angebliche Verwandte ihre Notlage schildern und versuchen Geld von ihren Opfern zu erschleichen. Stattdessen scannen sie den Markt, nutzen jede Sicherheitslücke und fahren gezielte wie gestreute Angriffe gleichermaßen.

Damit kann jeder, der seine IT-Systeme nicht aktuell hält, ins Visier der Kriminellen geraten. Ein verpasstes Update, ein Bug – und im Worst Case ist das Netzwerk infiziert. Unternehmen wissen um diese Bedrohung, hoffen aber nach wie vor, dass es zuerst die anderen treffen wird. Laut BSI sind Public-Cloud-Infrastrukturen ein beliebtes Ziel von Angriffen, Ransomware-Attacken nehmen kleine und mittlere Unternehmen und Kommunen ins Visier.

Die Digitalisierung hat neue Angriffspunkte erschaffen, gleichzeitig steigt die Komplexität der Systeme und täglich werden etwa im Vergleich zu 2023 mehr Schwachstellen bekannt. Als besonders sensibel stuft das BSI zum Beispiel Perimetersysteme wie Firewalls und VPNs ein. Alarmierend sei auch die Zahl der hochvolumigen DDoS-Angriffe im ersten Halbjahr 2024 gewesen. Das Gemeine: Hacker attackieren gerne nachts. Schlafen die Opfer noch, verschafft ihnen das mehr Zeit, die Systeme zu infizieren und zu infiltrieren. Hackerangriffe, die zu spät erkannt werden, haben zur Folge, dass Systeme teilweise monatelang ausfallen – Unternehmen können ihren Geschäftsbetrieb nicht wieder aufnehmen oder kaum aufrechterhalten. Die heute gängige Vernetzung von Systemen erleichtert Hackern außerdem den Zugriff; im Worst Case kann ein erfolgreicher Angriff auf einmal alles lahmlegen – von der Telefonie, über die E-Mails bis zur Branchensoftware.

Video-Tipp #71: Harden Windows Security

Windows 11 härten mit PowerShell-Modul „Harden Windows Security“

Die Systeme müssen vom Netz

Angriffe in der Nacht können von einer Monitoring-Software erkannt werden, die die Systeme überwacht und verdächtige Aktivitäten meldet – rund um die Uhr. Das ist insofern von größter Bedeutung, da es im Fall eines Angriffs auf jede Minute ankommt. Je schneller die Attacke erkannt wird, desto schneller können Gegenmaßnahmen ergriffen und der Schaden begrenzt werden. Die IT fährt dann alle Systeme herunter, um zu verhindern, dass sich Schadsoftware, die oft über ein lokales Einfallstor wie einen Laptop eingeschleust wird, im System ausbreiten und tiefere Schichten erreichen kann. Damit verschaffen sich Unternehmen Zeit. Verfügen sie nicht über eine IT-Abteilung, die sich mit Cybervorfällen auskennt, müssen sie externe Experten anfordern, auch wenn das bedeutet, Fachpersonal einzufliegen. Dieses ermittelt, was genau vorgefallen ist: Zunächst müssen sich die Experten einen sicheren Zugang ins kompromittierte System zurückbauen – nicht selten finden sie dann eine Textdatei, die die Angreifer hinterlassen haben: ein Erpresserbrief mit Geldforderungen.

Unternehmen dürfen diesen Forderungen auf keinen Fall nachkommen, auch wenn das zunächst fast als die einfachste Lösung erscheinen mag. Sie würden sich damit sogar strafbar machen.

Die IT-Experten nehmen das betroffene System in einer sicheren Umgebung wieder ans Netz. Mit Anwendungen aus der IT-Forensik und Deep Scans wird der Schaden ermittelt und herausgefunden, wie tief die Angreifer eingedrungen sind und ob Kundensysteme ebenfalls mitbetroffen sind. Hier muss herausgefunden werden, ob und in welchem Umfang Kundendaten abgeflossen sind. Das betrifft wiederum den Datenschutz – deswegen muss bei einem Cybervorfall der Datenschutzbeauftragte informiert werden. Auch die zuständigen Behörden müssen ins Boot geholt werden, da eine Meldepflicht besteht. Behörden wie das Landeskriminalamt können aber auch unterstützen: Ihre IT-Experten und jene der ebenfalls involvierten Versicherungen können das IT-Team des Unternehmens bei der Abwehr des Angriffs unterstützen. Arbeitet eine schlagkräftige Mannschaft zusammen, ist es durchaus möglich, das System innerhalb weniger Tage wieder zum Laufen zu bringen – sogar komplexe, über die Jahre gewachsene Infrastrukturen. Läuft es weniger rund, kann ein Angriff aber auch bedeuten, dass die eigene IT-Landschaft über Wochen, sogar Monate lahmgelegt wird. Für Unternehmen gehen die Kosten dann in die Millionen-, sogar Milliardenhöhe.

Security-Insider Podcast – Folge 84

Gehackt! Was jetzt?

Präventionsmaßnahmen umsetzen

Nach der Abwehr der Cyberattacke und der Wiederherstellung des Systems besteht der nächste Schritt in der Prävention: Die IT-Landschaft muss gegen künftige Bedrohungen so gut wie möglich abgesichert werden. Damit lohnt es sich für Angreifer nicht mehr, die Systeme zu durch­dringen, da sie dafür zu viel Zeit benötigen würden. Folgende Cyber­sicher­heits­maß­nahmen haben sich in der Praxis bewährt:

• Zugriffsberechtigungen können über eine Abfolge von Multifaktor-Authentifizierungen feingranular geregelt werden und den Hackern einen Durchmarsch unmöglich machen.

• Die Systemarchitektur kann so gestaltet werden, dass die Kommunikation innerhalb des Systems in geregelten Bahnen verläuft und so reguliert wird, dass sie nur stattfindet, wo das notwendig ist. Dieser Ansatz blockiert die Ausbreitung von Schadsoftware.

• Die Serverarchitektur muss (geo)redundant sein, was die Fortführung des operativen Geschäfts auch bei einem Cybervorfall gewährleistet.

• Die Kundensysteme müssen zwingend in die Sicherheitsinfrastruktur integriert werden: Damit sind lokale Zugangspunkte wie Laptops oder PCs als Clients gemeint. Sie sind häufig Einfallstore für erfolgreiche Angriffe – eine Endpoint-Security schafft hier ein in sich abgeschottetes System, das alle Rechner und Server umfasst.

Keynote von Paula Januszkiewicz

Cyberangriff auf das Active Directory – Das ist jetzt zu tun!

• Die richtige Auswahl von Software erleichtert Unternehmen dann die Identifikation von Angriffen: Eine verhaltensbasierte Anwendung kann, im Gegensatz zu einer signatur­basierten, ungewöhnliche Aktivitäten wie eine unerwartete Verschlüsselung oder den Abfluss von Daten erkennen, beenden und die verdächtige Software aussperren. Sie kann damit auch neue Bedrohungen durch noch unbekannte Schadsoftware abwehren, während signaturbasierte Tools nur auf bekannte Gefahren reagieren.

• Kundensysteme sollten inventarisiert werden: So entsteht ein Überblick über die Geräte am Netz und ihren Systemzustand und es ist sofort klar, ob Patches und Updates durchgeführt wurden oder ob Sicherheitslücken bestehen.

• IT-Forensik versetzt Unternehmen in die Lage, einen Angriff zu untersuchen und seine Quelle aufzutun. Damit erlangen sie wertvolles Wissen, um gezielte Gegenmaßnahmen aufsetzen zu können.

• Ebenfalls empfehlenswert ist eine Zero Day Erkennung, um noch unbekannte Sicherheitslücken abfangen zu können

• Idealerweise verfügen Unternehmen über ein Security Operation Center (SOC)-Team – oder haben einen Partner, der ein solches bereitstellen kann. Dieses Einsatzteam kann bei einem Cybervorfall in kürzester Zeit eingreifen.

Diesen umfangreichen Maßnahmenkatalog können viele Unternehmen wahrscheinlich nicht selbst auf- und umsetzen, da ihnen Expertise und Ressourcen fehlen. Hier bietet sich dann die Unterstützung durch einen externen Partner an, der als Managed Service Dienstleister ein solches Portfolio abdecken kann. Er verantwortet die IT-Sicherheit für das Unternehmen, härtet die Systeme, stellt sie nach einem erfolgreichen Angriff wieder her und baut sie auf.

Fazit

Behörden und KMU zählen längst zu den Opfern von Cyberkriminellen. Regelmäßig berichtet die Presse von Erpressungsversuchen und wochenlangen Betriebsausfällen. Die Angreifer haben sich professionalisiert, ihre Attacken werden heimtückischer und zahlreicher. Das bedeutet, dass die eigenen IT-Systeme geschützt sein müssen und IT-Sicherheit Priorität benötigt. Wer das nicht leisten kann, kann und sollte auf die Dienste eines Managed Services-Anbieters zurückgreifen.

NIST-Leitfaden „Guide to General Server Security“

Netzwerkhärtung nach NIST-Standards

Über den Autor: Philipp Hüne ist Senior Account Manager der Convotis GmbH.

(ID:50513553)