Nichtstun ist grob fahrlässig! NIS2-Umsetzung nicht verschlafen!

Anbieter zum Thema

Vogel IT-Medien GmbH

Cohesity GmbH

TXOne Networks

NTT Germany AG & Co. KG

Die NIS2-Richtlinie kommt, soviel steht fest. Wer jetzt noch die Umsetzung dringender Sicherheitsmaßnahmen vor sich herschiebt, riskiert viel. Um sich besser gegen Bedrohungen jeder Art schützen zu können, müssen Unternehmen sowohl in die Abwehr als auch in die Wiederherstellung investieren. Eine Maßnahme ist besonders wichtig – und die kostet nicht einmal viel Geld.

Der Einfallsreichtum der Cyberkriminellen kennt keine Grenzen: Sie arbeiten ständig an neuen Methoden, um in den Besitz wertvoller Daten für ihre betrügerischen Aktivitäten zu gelangen. So nutzen die Kriminellen beispielsweise KI-Technologien für das Ermitteln von Passwörtern, das Aufspüren von Schwachstellen in der IT, das Klonen von Stimmen und das Brechen von CAPTCHA-Codes, die Eingabeformulare eigentlich vor Hackern und Spam-Bots schützen sollen. Gerade kritische Infrastrukturen und Systeme, die ein Gemeinwesen braucht, um zu funktionieren, sind in den letzten Jahren verstärkt in das Visier der Hacker geraten. Einer Studie des Digitalverbands Bitkom zufolge wurden insgesamt neun von zehn Unternehmen Opfer von Datendiebstahl, Spionage oder Sabotage. Vor allem Betreiber kritischer Infrastrukturen erleben einen Anstieg an Cyberangriffen: Jeder zweite Befragte fühlt sich extrem bedroht. Und obwohl sich die meisten einig sind, dass Hacker und Co. die größte Gefahr für ihr Geschäft darstellen, sind sie eigenen Angaben zufolge darauf nicht vorbereitet.

NIS2 verlangt strengere Sicherheitsvorkehrungen

Fakt ist, viele Firmen, aber auch Einrichtungen der öffentlichen Hand tun sich schwer, ihre Infrastrukturen adäquat zu schützen. Finanzielle und personelle Ressourcen sind beschränkt – was aber vielleicht noch wichtiger ist, es fehlt an dem richtigen Bewusstsein, welchen Stellenwert IT-Security heutzutage einnimmt. Häufig konzentrieren sie sich auf einzelne Lösungen, um bestimmte Einfallstore abzudichten oder ihr Security-Niveau punktuell zu erhöhen. Einen ganzheitlichen Blick auf Risiken und Sicherheitsmaßnahmen sowie die Notwendigkeit eingespielter Prozesse für den Ernstfall sucht man allerdings oftmals vergeblich. Ohne den richtigen Prozess können gerade mittelständische Organisationen ihre Ressourcen jedoch nicht optimal einsetzen und verschwenden womöglich Energie auf den Schutz kaum gefährdeter oder unwichtiger Assets.

EU-weite Gesetzgebung zur Cybersicherheit

NIS2, was kommt jetzt auf Unternehmen zu?

Diese Laissez-Faire-Haltung ist quasi der Grund, warum die EU die Richtlinie zur Sicherheit von Netz- und Informationssystemen, kurz NIS, überarbeitet hat. Die neue Fassung NIS2, die spätestens nächstes Jahr in nationales Recht umgesetzt werden muss, legt für die betroffenen Unternehmen Mindestanforderungen an die IT-Sicherheit fest. So gilt es, wirksame Richtlinien und Standards umzusetzen sowie das geforderte Schutzniveau belastbar nachzuweisen. Der entsprechende Artikel 21 des Vorgabenkatalogs schreibt unter anderem ein umfassendes Incident-Management vor, das auf die Prävention sowie Erkennung und Abwehr von Cyberattacken abzielt. In Bezug auf die Geschäftskontinuität sind Maßnahmen für das Business Continuity Management (BCM) inklusive moderner Backup-Konzepte und Desaster Recovery verpflichtend. Auch Verfahren für den Einsatz von Multi-Faktor-Authentifizierung, Kryptografie und gegebenenfalls Verschlüsselung werden obligatorisch. In der technischen Umsetzung können die betroffenen Unternehmen viele dieser Aspekte mit einer Zero-Trust-Strategie und einem SIEM (Security Information and Event Management)- oder XDR (Extended Detection and Response)-System in Verbindung mit einem SOC (Security Operations Center) abdecken. Mit dem in diesem Jahr in Kraft tretenden IT-Sicherheitsgesetz 2.0 wird ein SIEM für KRITIS-Betreiber sowieso zur Pflicht. Das Ziel solcher Systeme ist es, Daten aus dem laufenden IT-Betrieb auszuwerten und Bedrohungen aufzuspüren, die klassische Sicherheitslösungen nicht entdecken.

Vorbeugen und Wiederherstellen: die zwei Seiten der IT-Security

Welche Maßnahmen helfen nun, die Gefahren in den Griff zu bekommen? Es sind vier Bereiche, in denen Unternehmen tätig werden müssen: Minimierung der Angriffsfläche, frühzeitige Erkennung, schnelle Reaktion und natürlich eine vollständige Wiederherstellung. Um gegen Bedrohungen aus dem Cyber-Raum, die von Phishing über Brute-Force- bis hin zu Supply-Chain-Attacken reichen, maximal gewappnet zu sein, gehören die Implementierung einer IAM (Identity and Access Management)-Lösung für die Verwaltung von Identitäten, eine Mehr-Faktor-Authentifizierung oder gleich eine Zero-Trust-Architektur zu den grundlegenden Maßnahmen. Neben kontinuierlichen allgemeinen Risikoanalysen bieten sich zudem gezielte Penetrations- und Vulnerability-Tests an. Auch eine Netzwerksegmentierung ist sinnvoll, um einen potenziellen Ransomware-Schaden auf ein Minimum zu begrenzen. Mindestens genauso wichtig ist die schnelle Erkennung eines Sicherheitsvorfalls. In vielen Fällen bleiben Ransomware-Angreifer zunächst unerkannt im Unternehmensnetz verborgen – teilweise bis zu 200 Tage –, bevor sie aktiv in Erscheinung treten. Das Problem dabei ist, dass dann das Unternehmensnetz weitgehend infiltriert sein kann und auch regelmäßige Backups von den Angreifern eventuell bereits verschlüsselt sind. So sind eine schnelle Wiederherstellung und Aufnahme des Regelbetriebs quasi unmöglich. Eine klassische Maßnahme für die Angriffserkennung ist die Analyse von Log-Files. Hilfreich sind dabei SIEM (Security Information and Event Management)-Systeme, die einen ganzheitlichen Blick auf die IT-Sicherheit bieten, indem Log-Files und Meldungen verschiedener Lösungen gesammelt und ausgewertet werden. In Echtzeit kann ein Unternehmen damit verdächtige Ereignisse oder gefährliche Trends erkennen und mit Hilfe eines XDR (Extended Detection and Response)-Systems auch Maßnahmen wie die Isolierung von befallenen Systemen ergreifen. Wer noch einen Schritt weiter gehen will, nutzt eine Deception-Lösung. Vereinfacht ausgedrückt leitet sie potenzielle Angreifer in die Irre.

Der zweite Block im Maßnahmenkatalog ist die schnelle Reaktion, falls die Cyberkriminellen erfolgreich ins Netzwerk eingedrungen sind. Im Rahmen einer Incident-Response-Strategie werden unter anderem Verantwortlichkeiten, Abläufe und erforderliche Kommunikationsprozesse festgelegt. Anschließend geht es um die Wiederherstellung der Systeme und die Aufnahme des Normalbetriebs unter Nutzung der Backups. Um hierbei potenzielle Probleme auszuschließen, sollten Unternehmen regelmäßig ihre Backups und – was oft vergessen wird – auch die reibungslose und erfolgreiche Funktionsweise der Restore-Prozesse überprüfen. Extrem wichtig ist außerdem eine gegen Ransomware-Angriffe geschützte Datensicherung. Hier sollte das sogenannte Air Gapping das Mittel der Wahl sein. Bei dieser Technik wird eine Sicherungskopie auf einer Speicherinfrastruktur gespeichert, die von extern nicht zugänglich ist. Zur Verfügung stehen zwei Optionen: Physische Air Gaps, bei denen zur Isolierung ein entfernbares Speichermedium eingesetzt wird, und logische Air Gaps, bei denen der Zugriff von Host- oder Verwaltungsnetzwerken ausgeschlossen ist. Die Air-Gap-Kopien müssen natürlich unveränderbar sein, zudem sollten die Daten sowohl im Ruhezustand als auch während des Transfers verschlüsselt werden.

Die wirksamste Maßnahme ist gleichzeitig die einfachste

Nach wie vor lauert der größte „Feind“ jedoch in den eigenen Reihen: Die Mitarbeitenden sind aus Sicht der Cyberkriminellen wegen ihrer Unvorsichtigkeit und Gutgläubigkeit ein einfaches Ziel. Das belegen auch die Bitkom-Zahlen, wonach das sogenannte Social Engineering deutlich zugenommen hat. Fast jedes zweite Unternehmen berichtet von entsprechenden Versuchen, vorzugsweise über Telefon und E-Mail an sensible Informationen zu gelangen. Der beste Weg, solche Angriffe zu unterbinden, ist es, die Aufmerksamkeit und Wachsamkeit der Mitarbeitenden zu erhöhen: Wenn sie keine Dokumente unbekannter Nutzer öffnen oder auf potenziell verdächtige Links klicken, sind solche Einfallstore geschlossen. Die Schulung der Security Awareness ist deshalb ein extrem wichtiger Baustein einer präventiven Sicherheitsstrategie, der gleichzeitig schnell und kostengünstig umzusetzen ist. NIS2 schreibt Schulungen im Bereich der Cybersicherheit sogar vor.

Eine hundertprozentige Sicherheit wird es nie geben. Firmen können aber viel unternehmen, um es den Kriminellen so schwer wie möglich zu machen und im Notfall den Betrieb schnell wieder herzustellen. Fehlende Ressourcen sind kein Argument, um den Kopf in den Sand zu stecken – viele Maßnahmen lassen sich mit relativ überschaubarem Aufwand umsetzen. Zudem können relevante Services an externe Partner ausgelagert werden. Spezialisierte IT-Dienstleister helfen bei der Implementierung der unterschiedlichen Technologien oder stellen diese gleich als Managed Service bereit.

Über den Autor: Bernhard Kretschmer ist Vice President Services und Cybersecurity bei NTT Ltd..

(ID:49426936)