KMUs und ihre Bedeutung als Sekundärziele in Lieferkettenangriffen Hacker sind auf Umwegen unterwegs

Anbieter zum Thema

SEPPmail - Deutschland GmbH

SoSafe GmbH

Keeper Security EMEA Ltd.

Lywand Software GmbH

Nicht so steinig, weniger steil, ohne größere Hindernisse – manchmal ist der längere Weg der leichtere. Das haben auch Hacker erkannt. Deswegen sparen sie sich häufig die direkte Attacke auf die begehrte Beute. Stattdessen pirschen sie sich immer öfter unbemerkt auf Umwegen an ihr eigentliches Ziel – beispielsweise Großunternehmen oder Behörden - heran.

Cyberkriminelle starten ihre Angriffe zunehmend bei kleinen oder mittleren Unternehmen (KMU). Die Motivation von Hackern hinter diesen so genannten Lieferkettenangriffen besteht darin, unter Umständen einen einfacheren Zugangsweg zu ihren Primärzielen nutzen zu können.

Große Konzerne mit einer Vielzahl von Kunden oder Betreiber kritischer Infrastrukturen haben über Jahre hinweg ihre IT-Sicherheit massiv aufgerüstet. Entsprechend stellen sie für Cyberkriminelle ein höchst anspruchsvolles Ziel dar. KMUs hingegen verfügen in der Regel nicht über Mittel für derartig ausgefeilte Abwehrstrategien. Vielmehr noch: Häufig schätzen sie sich selbst als ein kaum „lohnenswertes“ Ziel für Hacker ein. Sie sind der Auffassung, dass es bei ihnen nicht viel zu holen gibt. IT-Security-Maßnahmen zu verstärken, scheint vor dem Hintergrund dieser Annahme zunächst etwas abwegig. Dieses noch wenig ausgeprägte Bewusstsein für eine drohende Gefahr machen sich Hacker inzwischen gerne zunutze. Denn selbst wenn KMUs nicht unbedingt das primäre Ziel sind, haben sie etwas, was die Angreifer suchen: Einen Zugang zu Großunternehmen. Wenn diese Kunden von KMUs sind – oder Kunden derer Kunden –, kann sich der Umweg für Cyberkriminelle durchaus lohnen – und das vielleicht sogar mehrfach. Denn über Lieferkettenangriffe lassen sich möglicherweise mehrere Unternehmen gleichzeitig angreifen. Das bedeutet im Endeffekt: Lediglich auf Grund ihrer Geschäftsbeziehungen lohnt es sich für Hacker, kleine und mittelständische Unternehmen ins Visier zu nehmen.

Angriffsvektoren sind vielfältig

Hacker sind sich der vielen potenziellen Schwachstellen in Unternehmen bewusst und nutzen entsprechend verschiedene Angriffsvektoren, um Zugang zur Infrastruktur erhalten zu können. Das kann unter anderem ein schwaches Passwort sein, fehlende Verschlüsselung oder auch eine E-Mail. Solche Phishing-E-Mails wirken inzwischen oft authentisch und scheinen von einer vertrauenswürdigen Quelle zu stammen. Gerade erst hat Microsoft einen Hacker-Angriff gemeldet, bei dem das Konto der US-Entwicklungshilfebehörde USAID bei einem E-Mail-Marketing-Dienst gehackt wurde. So konnten die Angreifer an rund 3.000 E-Mail-Konten von 150 verschiedenen Organisationen Phishing-E-Mails versenden. Darin enthalten: Ein Link, über den eine Schadsoftware heruntergeladen wird. Diese richtet dann eine Hintertür auf dem Computer ein, die den Kriminellen zahlreiche Aktivitäten ermöglicht, zum Beispiel das Stehlen von Daten oder das Infizieren weiterer Computer des Netzwerks.

Dieselben Hacker missbrauchten Ende des Jahres 2020 einen technologischen Teil der Lieferkette, als sie einen Supply Chain-Angriff auf den IT-Dienstleister SolarWinds starteten. Die Angreifer konnten in den Build-Prozess eindringen und so die Software mit einem Trojaner infizieren. Die kompromittierte Software luden sich viele Kunden über einen Update-Server herunter. So konnten die Angreifer mehrere große Cyberattacken ausführen.

Diese Beispiele zeigen, dass Cyberkriminelle nicht müde werden, immer wieder neue Wege auszuprobieren, um schließlich auf die eine Schwachstelle zu stoßen, die zum Erfolg führt. Die Herausforderungen für eine zuverlässige IT-Security liegen schließlich darin, die Vielfalt möglicher Angriffsvektoren zu erkennen und zu eliminieren.

Schon einfache Maßnahmen erhöhen die Sicherheit deutlich

Um das Gefährdungsrisiko zu reduzieren, sollten Unternehmen zumindest grundlegende Sicherheitsvorkehrungen treffen. Mitunter einfache, kostengünstige Maßnahmen können die Sicherheit deutlich erhöhen:

• Starke Passwörter: Passwörter sind idealerweise komplex und bestehen bestenfalls aus nicht naheliegenden Zeichenfolgen. Zudem sollten sie nicht offen auf Servern abgelegt sein (oder in der Schreibtischschublade). Wer viele Passwörter im Einsatz hat, kann einen Passwort-Manager nutzen.

• Multifaktor-Authentifizierung (MFA): Wenn es um den Zugang zu vertraulichen Daten geht, sollte dieser doppelt bzw. mehrfach abgesichert werden. Bei einer Multi-Faktor-Authentifizierung werden mehrere Berechtigungsnachweise kombiniert (zum Beispiel ein Passwort und eine PIN, die ans Smartphone geschickt wird), um die Identität zu prüfen.

• Verschlüsselung: Um einem möglichen Datenverlust entgegenzuwirken, sollten sowohl abgelegte Daten als auch Daten in der Übertragung, verschlüsselt werden. So können zum Beispiel Zahlungsdaten oder persönliche Informationen vor Missbrauch geschützt werden. Sollte der Ernstfall eintreten und es zu einem Datendiebstahl kommen, sind diese auf Grund der Verschlüsselung für Kriminelle wertlos.

• Notfallpläne: In Absprache mit Kunden sollten Pläne entwickelt werden, um gemeinsam gegen Cyberattacken vorzugehen. Dazu gehören auch Modelle, wie der Geschäftsbetrieb weiterlaufen kann und wie Verlorengegangenes wiederhergestellt werden kann.

• Security-Awareness-Trainings: Das Bewusstsein für Risiken sollte im gesamten Unternehmen geschärft werden, denn jeder Einzelne kann dazu beitragen, die Sicherheit zu erhöhen. Hierzu eigenen sich realitätsnahe Security-Awareness-Trainings. Idealerweise finden diese regelmäßig statt.

Security-Checks geben Überblick über Sicherheitslage

Da Hacker eine ganze Bandbreite an möglichen Einfallstoren nutzen können, ist es für KMUs wichtig, den Status ihrer IT-Sicherheit zuverlässig zu bewerten und mögliche Schwachstellen beseitigen zu können. Security-Audits der IT-Unternehmensinfrastruktur können dabei helfen, zum Beispiel durch eine SaaS-Lösung eines externen Dienstleisters. Mit automatisierten und wiederkehrenden IT-Security-Checks wird die gesamte Infrastruktur, unter anderem beliebte Angriffsziele wie Web-Anwendungen oder Mail-Server, auf mögliche Schwachstellen überprüft. So können sich KMUs einen Überblick über die eigene IT-Sicherheitslage verschaffen. Auf dieser Grundlage können sie geeignete Maßnahmen ergreifen und in Zusammenarbeit mit ihren IT-Dienstleistern zielgerichtet notwendige Security-Lösungen implementieren. Durch regelmäßige IT-Security-Checks können KMUs sichergehen, dass ihre Sicherheitskonzepte up to date bleiben, so dass Angreifer erfolgreich abgewehrt werden.

Es zeichnet sich immer stärker ab, dass Lieferketten in Zukunft häufiger Cyberattacken ausgesetzt sein werden. Umso entscheidender ist es, dass sich alle Unternehmen in der Kette – egal wie groß oder klein sie sind – mit dem Thema IT-Sicherheit auseinandersetzen und Schutzmaßnahmen ergreifen. Denn auch hier gilt: Eine Kette ist nur so stark wie ihr schwächstes Glied.

Über den Autor: Tom Haak ist Geschäftsführer von Lywand.

(ID:47751465)