Phishing-Awareness und Zero Trust Phishing-resistent durch Zero Trust

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

SEPPmail - Deutschland GmbH

CyberArk Software (DACH) GmbH

Es vergeht kaum ein Tag, an dem nicht neue E-Mails mit Phishing-Inhalten auftauchen. Schutzlos ausgeliefert muss aber kein Unternehmen sein. Mit einigen präventiven Maßnahmen kann die Gefahrenabwehr deutlich verbessert werden. Die Stärkung des Sicherheitsbewusstseins auf Mitarbeiterseite gehört ebenso dazu wie eine Identity-Security-Strategie mit der Anwendung eines Zero-Trust-Modells.

Nach wie vor gehört das Phishing zu den größten Cybergefahren. Dabei dominiert das Phishing per E-Mail in Form von breit angelegten „Spray and Pray“-Phishing-Attacken bis hin zu gezielten Spear-Phishing-Angriffen. Im Fokus der Angreifer stehen dabei nicht nur IT-affine Mitarbeiter wie Administratoren mit hoch-privilegiertem Zugang, sondern nahezu jeder Beschäftigte eines Unternehmens, von Führungskräften über Cloud- und DevOps-Ingenieure bis hin zu Fachanwendern mit direktem Zugriff auf vertrauliche Systeme oder Daten. Inzwischen gibt es sogar Anbieter, die Fake-Mails automatisiert und mehrsprachig zur Verfügung stellen.

Nicht nur die herkömmlichen Phishing-E-Mails stellen aber eine Gefahr dar, sondern auch neue Phishing-Methoden der Angreifer, die durch die Nutzung aktueller Technologien immer raffinierter werden. Im Trend liegen derzeit zum Beispiel Multi-Faktor-Authentifizierung (MFA)-Fatigue-Attacken, die SMS- und Voice-Phishing nutzen, um sich als vertrauenswürdige Quellen auszugeben – dabei „ermüden“ Angreifer die Nutzer mit zahlreichen MFA-Pushes bis sie Zugang zu den Zielsystemen erhalten. Auch das QR-Code-Phishing zählt inzwischen zu den neueren Betrugsmaschen. In Deutschland etwa haben Cyberangreifer Online-Banking-Kunden im vergangenen Jahr mit Phishing-Mails, die QR-Codes enthielten, auf gefälschte Webseiten geführt, um die Zugangsdaten zu entwenden. Das Bundesamt für Sicherheit in der Informationstechnik empfiehlt deshalb ausdrücklich, bei Verdacht keine QR-Codes zu scannen.

Risikoreduzierung durch Phishing-Awareness

Unternehmen müssen diesen Phishing-Gefahren aber nicht hilflos gegenüberstehen. Es gibt mehrere Abwehrmaßnahmen, die die IT-Sicherheit nachhaltig verbessern. Ein erster Schritt sind Sicherheitsschulungen und Awareness-Kampagnen, schließlich ist der Mensch das schwächste Glied in der Sicherheitskette. Die regelmäßige Sensibilisierung der Mitarbeiter für Sicherheitsgefahren und kontinuierliche Schulungen zu Cybersecurity Best Practices sind unverzichtbar. Dabei geht es etwa auch um die Durchführung von speziellen „Phishing-Übungen“ mit Live-Test-Szenarien und Red-Team-Trainings, um das sicherheitsbewusste Verhalten der Mitarbeiter zu stärken und um über neue Phishing-Angriffstechniken zu informieren. Im Rahmen solcher Trainings sollten Verantwortliche die Mitarbeiter auch darüber aufklären, dass etwaige Sicherheitsmaßnahmen keine Bevormundung darstellen, sondern ausschließlich der Risikominimierung dienen, auch wenn sie unter Umständen den Benutzerkomfort beeinträchtigen. Nur wenn ein Verständnis für die Maßnahmen besteht, ist auch breite Akzeptanz gewährleistet.

Phishing-Abwehr mittels Zero-Trust-Strategie

Die Mitarbeiter-Awareness ist somit eine elementare Maßnahme zur Gefahrenabwehr, ebenso wichtig sind aber eine technische und prozessuale Unterstützung. Ein zentrales Mittel zur Reduzierung der Risiken ist dabei die Etablierung einer Identity-Security-Strategie mit der Anwendung eines Zero-Trust-Modells. Bei diesem Sicherheitskonzept wird jede Anfrage für den Zugriff auf eine Unternehmensressource – seien es Daten, Anwendungen oder die Infrastruktur – geprüft, bevor der Zugang gewährt wird. Außerdem wird der Zugriff für verifizierte Benutzer und Geräte streng begrenzt. Zero-Trust-Initiativen zielen damit auch darauf ab, die Zugangssysteme Phishing-resistenter zu gestalten, die Endbenutzer beim Erkennen von Phishing-Versuchen zu unterstützen und den potenziellen Schaden einer Attacke zu minimieren.

Wirksame Zero-Trust-Strategien beinhalten eine Kombination verschiedener Technologien und Ansätze für eine umfassende Abwehr, darunter Multi-Faktor-Authentifizierung, Identity and Access Management (IAM), Privileged Access Management (PAM) oder Netzwerksegmentierung. Darüber hinaus basiert das Zero-Trust-Konzept auf Governance-Richtlinien wie dem Least-Privilege-Prinzip, dem Motto „Never Trust, Always Verify“ und einem kontinuierlichen Monitoring.

Konkret können Unternehmen verschiedene Sicherheitsmaßnahmen ergreifen: Empfehlenswert ist vor allem die Umsetzung von grundlegenden Zero-Trust-Richtlinien. Dazu zählen etwa eine Step-up-Authentifizierung beim Starten vertraulicher Anwendungen oder eine zwingende Verwendung der Multi-Faktor-Authentifizierung bei Profiländerungen. Prinzipiell spricht dabei viel für die Nutzung von Phishing-resistenten Multifaktor-Authentifizierungs-Verfahren wie FIDO2-Token oder Smartphone-Apps, die auf biometrischen Daten zugreifen. Darüber hinaus ist auch eine Einrichtung automatischer Warnungen bei einem riskanten Benutzerverhalten sinnvoll. Mittels KI-gestützter Lösungen können Erkenntnisse über das Benutzerverhalten in Echtzeit erfasst, analysiert und visualisiert werden. Damit ist es möglich, Abweichungen von der Normalität zu ermitteln, etwa Anmeldungen von ungewöhnlichen Orten aus oder zu unüblichen Zeiten. In diesen Fällen kann dann eine weitere Multi-Faktor-Authentifizierung erforderlich sein.

Von entscheidender Bedeutung ist auch die Sicherung der Endgeräte, die prinzipiell für Phishing und Malware anfällig sind, da der traditionelle Netzwerkperimeter durch die Nutzung von Public-Cloud-Services, Software-as-a-Service (SaaS)-Anwendungen und die Remote-Arbeit an Bedeutung verloren hat. Eine elementare Maßnahme ist dabei der Entzug der lokalen Administratorrechte für Standardanwender, um Angreifern im Fall einer Systemkompromittierung nur eingeschränkte Handlungsmöglichkeiten zu geben. Um das Malware-Infektionsrisiko auf den Endgeräten zu minimieren, ist zudem eine intelligente Anwendungssteuerung erforderlich, die die Ausführung schädlicher Programme verhindert. Hierbei sollte nicht nur eine klassische Software-Blacklist und -Whitelist eingesetzt werden, sondern auch die Möglichkeit bestehen, Anwendungen in einem „eingeschränkten Modus“ auszuführen. So kann der Anwender auch auf Applikationen zugreifen, die nicht explizit vertrauenswürdig oder unbekannt sind. Eingeschränkter Modus bedeutet, dass ein Zugriff auf Unternehmensressourcen, vertrauliche Daten oder das Internet unterbunden wird.

Minimierung der Phishing-Schäden

Awareness-Kampagnen und grundlegende technische Vorkehrungen wie Spam-Filter, die verhindern, dass verdächtige E-Mails in die Posteingänge der Mitarbeiter gelangen, können nicht immer verhindern, dass ein Benutzer Opfer eines Phishings wird. Folglich muss eine Verteidigungsstrategie auch auf eine Minimierung des potenziellen Schadens abzielen, also Seitwärtsbewegungen von Angreifern im Netzwerk verhindern, mit denen sie weitere Systeme und Server kompromittieren und die Zugriffsrechte ausweiten können – bis hin zu Domain-Controllern. Eine wichtige Maßnahme ist hier die Segmentierung des Netzwerks, um bei einem erfolgreichen Phishing die Bewegungsfreiheit des Angreifers innerhalb des Netzwerks einzuschränken und den Zugriff auf vertrauliche Ressourcen zu blockieren. Grundsätzlich sollte immer ein Least-Privilege-Prinzip in der gesamten Infrastruktur durchgesetzt werden, auch im Hinblick auf Anwendungen und Daten.

Insgesamt führt bei der Gefahrenabwehr – gerade auch im Phishing-Kontext – kein Weg an der Nutzung einer Identity-Security-Lösung und der Umsetzung einer Zero-Trust-Strategie vorbei. Mit einer solchen Lösung werden Identitäten sicher authentifiziert und mit den richtigen Berechtigungen autorisiert, sodass sie auf strukturierte Weise Zugang zu kritischen Ressourcen erhalten. Das heißt, es gilt ein Zero-Trust-Prinzip. Damit schaffen Unternehmen auch die Basis, um die Phishing-Risiken zu minimieren. Selbst bei einer erfolgreichen Attacke bleiben so die potenziellen Schäden begrenzt.

Über den Autor: Fabian Hotarek ist Solutions Engineering Manager DACH bei CyberArk.

(ID:49325263)