Auf den Worst Case vorbereiten So schützen Sie Ihre IT gegen die digitale Pandemie

Anbieter zum Thema

BT (Germany) GmbH & Co. oHG

FAST LTA GmbH

FTAPI Software GmbH

Mit der COVID-19-Panmdemie kämpfen Unternehmen jetzt seit ca. zwei Jahren. Wann kommt die digitale Pandemie? Unternehmen und Behörden sollten sich jedenfalls schon mal darauf vorbereiten. Sechs Tipps schützen vor Infektionen Ihrer IT.

Im August 2021 hat der IT-Branchenverband Bitkom eine höchst beunruhigende Studie veröffentlicht: Neun von zehn Unternehmen gaben dort an, bereits einem Cyberangriff zum Opfer gefallen zu sein. Erpressung, Systemausfälle und Betriebsstörungen aufgrund solcher Angriffe haben sich seit der letzten Umfrage vor zwei Jahren vervierfacht, jedes zehnte der tausend befragten Unternehmen sieht seine geschäftliche Existenz bedroht. „Die Wucht, mit der Ransomware-Angriffe unsere Wirtschaft erschüttern, ist besorgniserregend und trifft Unternehmen aller Branchen und Größen“, sagt Bitkom-Präsident Achim Berg. Deutschlands Internet-Erklärer Sascha Lobo könnte also recht haben, wenn er in seiner Kolumne auf Spiegel-Online schreibt: „Die nächste Pandemie wird digital sein.“

Security-Insider Podcast – Folge 49

Knallerei mit Todesfällen

Demokratien wanken

Ein Vorgeschmack war die Attacke auf den Software-Anbieter Solarwinds, wo Kriminelle ihr Schadprogramm in den Update-Prozess eines Netzwerk-Management-Tools einschleusten – gleichzeitig bei vermutlich 18.000 Kunden. Gelänge es Angreifern, Schadsoftware zum Beispiel in den Update-Prozess einer verbreiteten Büro-Software zu platzieren, wäre das der Jackpot und der Beginn einer digitalen Pandemie, von der nahezu jeder auf diesem Planeten betroffen wäre.

Eigentlich ging es den Angreifern um die Erpressung von Lösegeld. Doch wenn sich (erfolgreiche) Angriffe häufen, könnten diese das Vertrauen der Bevölkerung in die Wehrhaftigkeit des Staats untergraben und damit in die Demokratie. Es ist kein Geheimnis, dass es Staaten gibt – vor allem autokratisch regierte –, die genau das auszunutzen versuchen, indem sie ein Arsenal an Cyberwaffen aufbauen und auch schon einsetzen, um demokratische Staaten zu destabilisieren.

Große Lücken

Deutschland ist darauf nicht vorbereitet, vor allem nicht öffentliche Einrichtungen. Bundes- und Landesbehörden sind noch relativ gut geschützt, aber bei Behörden auf regionaler und kommunaler Ebene gibt es große Lücken. So stellte ein Sprecher der Technischen Universität Ilmenau kürzlich fest, es habe eine deutliche Zunahme von Hackerangriffen auf die Hochschule gegeben. Und sich davor zu schützen, ginge inzwischen zulasten der Kernaufgaben Forschung und Lehre.

Einfach nur mehr Geld in die IT-Sicherheit zu investieren, ist dafür keine Universallösung – es braucht sinnvolle Konzepte. Was Unternehmen und Organisationen beachten sollten, um ihre Systeme besser schützen zu können, erklären die folgenden Tipps:

Updates einspielen – und genau hinsehen

Nichts Neues für Sie als Sicherheitsprofi, trotzdem kann man es nicht oft genug wiederholen. Veraltete Software öffnet Hackern Tür und Tor. Sie können bekannte Sicherheitslücken einfach ausnutzen, wenn diese nicht gestopft werden. Sicherheitsrelevante Updates sollten deshalb immer so schnell wie möglich installiert werden. Aber nicht ohne vorherige Prüfung – wie ein Blick auf die jüngsten „Supply-Chain-Attacken“ zeigen. Ist die Aktualisierung nicht möglich, etwa weil die Hardware nicht mehr unterstützt wird, sollte die Hardware erneuert oder, wenn auch das nicht möglich ist, vom Rest des Netzwerks isoliert werden.

Das Wichtigste besonders sichern

Fragt man Unternehmen oder eine Behörde, was ihre Kronjuwelen sind, kommen meistens Antworten wie Informationen über Patente oder Produktionsprozesse. Dabei vergessen sie häufig geschäftskritische Abläufe wie Bestellprozesse. Können keine neuen Teile bestellt werden, liegt die Produktion genauso brach, als hätten Hacker diese direkt angegriffen. Bei Backups vernachlässigen manche Unternehmen den Schutz, indem sie diese an einem ungeschützten Ort aufbewahren, wo sie von der Ransomware gleich mitverschlüsselt werden im Falle einer Attacke.

Dazu kommt: In Zeiten zunehmender Cloud-Nutzung ist es gar nicht so einfach zu sagen, wo die Daten liegen. Das macht den Schutz schwieriger. Umso wichtiger ist es daher, einen oder besser mehrere Schutzwälle nach dem Zwiebelprinzip, um die Daten zu bauen. Eine Person bekommt immer nur Zugang zu dem Teil des Datenbestands, den sie in diesem Moment für ihre Arbeit braucht, anstatt auf den ganzen Pool.

Vertrauen ist schlecht, Kontrolle ist besser

Wenn auch schon mehr als eine Dekade alt, ist der Zero Trust-Ansatz derzeit der Gold-Standard beim Schutz vor Ransomware-Angriffen. Hier geht es darum, dass die eigene Umgebung grundsätzlich als bereits kompromittiert angesehen wird. Alle AnwenderInnen, jedes Gerät, wird grundsätzlich als nicht vertrauenswürdig eingestuft. Jede Kommunikation und sämtliche Zugriffe auf Daten und Ressourcen muss daher zuerst geprüft werden. Aufgrund des stetigen Wettlaufs zwischen Angreifer und Verteidiger ist Zero Trust dabei eine Reise, kein Endzustand.

Ausweis bitte!

Essenziell ist dabei, dass klar ist, wer Zugriff auf ein System hat und dass es sich auch wirklich um diese Person handelt. Es muss stets sichergestellt sein, dass die Person oder die Maschine, die sich anmeldet, wirklich die ist, für die sie sich ausgibt, aber auch, dass sie die erforderlichen Berechtigungen im System besitzt. Die Zwei-Faktor-Authentifizierung, die wir bei Bankgeschäften gewohnt sind, sollte beim Umgang mit Unternehmensinformationen daher selbstverständlich sein.

Üben, üben, üben

Doch alle diese technisch-organisatorischen Maßnahmen nützen nichts, wenn man sich nicht um die größte Sicherheitslücke kümmert: die Menschen. Wenn Ransomware in die IT eines Unternehmens oder einer Behörde gelangt, hat zumeist vorher ein argloser Mitarbeiter auf einen Link in einer täuschend echten E-Mail geklickt. Trainings sind immens wichtig, um das Bewusstsein für die Bedrohung wach zu halten, damit die Mitarbeiter im Ernstfall wissen, was zu tun ist. Solche Trainings erfreuen sich nicht größter Beliebtheit, weil sie Zeit kosten und oft Basics wiederholt werden, die viele schon kennen. Alternativ dazu können statt Pauschalkursen für alle verschiedene Level geschaffen werden, die das Training auf das Vorwissen der Teilnehmenden abstimmt. Auch die Begrenzung der Lerneinheiten auf etwa eine halbe Stunde hilft dabei, die Akzeptanz zu erhöhen und das Training in handliche Portionen zu packen.

Weil Theorie und Praxis zwei Paar Stiefel sind, gehören zu einem Trainings-Konzept auch unangekündigte Tests, bei denen Fake-Mails an die Mitarbeiter geschickt werden. Wer hier nicht besteht, darf aber nicht öffentlich blamiert werden. Vielmehr geht es darum, das Bewusstsein zu schärfen. So lassen sich auch Mitarbeiter mit besonders gutem Gespür entdecken, die im Rahmen des weiteren Sicherheitskonzepts eingebunden werden können.

Und wenn es die Angreifer trotzdem ins Netz schaffen?

Unter Experten herrscht die einhellige Meinung, dass man sich so gut schützen kann, wie man will. Wenn die Angreifer sich nur ausreichend Mühe geben, werden Sie erfolgreich sein. In diesem Fall tickt die Uhr. Nur wer die Fähigkeit besitzt, Angriffe schnell zu erkennen, wird in der Lage sein, den Schaden einzugrenzen. In Zeiten des Fachkräftemangels, besonders in der IT-Sicherheit, empfiehlt sich hier auf einen qualifizierten Partner zurückzugreifen, um die Systemlandschaft rund um die Uhr beobachten zu können.

Worst Case planen und üben

Hat man alle diese Maßnahmen vorbildlich umgesetzt, heißt das noch lange nicht, dass nichts passiert. Für den Fall der Fälle braucht es einen Business-Continuity-Plan. Dort steht, wie man nach einem Angriff die Website wieder in Gang setzt oder wie man verschlüsselte Daten wieder herstellt. Ein Plan nutzt aber nur etwas, wenn man regelmäßig die Abläufe übt: Wer hat welche Aufgabe, wenn der Worst Case eintritt? Ist das Backup wirklich sicher und lässt es sich problemlos einspielen?

Ein Assessment ist der Anfang

Bevor Sie jetzt voller Elan loslegen, sollten Sie ein Security-Assessment in Erwägung ziehen: Externe Spezialisten können dabei unterstützen, die wichtigsten Informationen zu identifizieren und das Sicherheitskonzept zu aktualisieren. Standards wie ISO 27001 oder der IT-Grundschutz des BSI liefern auch Anhaltspunkte. Sie bilden auch die Grundlage für eine Zertifizierung, wie sie zum Beispiel Automobilzulieferer vorweisen müssen.

Fazit

Um das eigene System zu schützen, müssen Unternehmen und Behörden gleich an mehreren Fronten auf der Hut sein. Neben aktueller Software und Hardware mit regelmäßigen Updates braucht es Personal mit dem entsprechenden Knowhow. Und zwar nicht nur in der IT-Abteilung selbst. Cybersecurity verlangt ganzheitliche Anstrengungen, die sich im Ernstfall auszahlen.

Über den Autor: Christian Knothe ist Head of Security Germany bei BT.

(ID:47923842)