Sicherheit – aber nicht um jeden Preis Warum Perfektion der größte Feind der Cyber-Sicherheit ist

Anbieter zum Thema

FTAPI Software GmbH

Mimecast Germany GmbH

Je komplexer die IT-Infrastruktur eines Unternehmens ist, desto mehr Sicherheitslücken ergeben sich, die Cyberkriminelle die Möglichkeit bieten, sich illegal Zugriff zu verschaffen. Technisch gesehen, lässt sich jedes System hacken. Aber: Nur, weil es theoretisch möglich ist, stürzen Hacker:innen sich nicht auf jede bestehende Sicherheitslücke.

Welche Folgen die steigenden Cyberrisiken haben können, machte sich 2021 besonders bemerkbar: Während rund ein Viertel aller Arbeitnehmer:innen zumindest gelegentlich von zuhause aus arbeiteten und dadurch das Sicherheitsnetz vieler Unternehmen überspannten, kam es laut Bitkom zu Schäden in Höhe von 223 Milliarden Euro – ein neuer Negativrekord für die deutsche Wirtschaft. Das Problem: Auch die Methoden der Hacker:innen werden immer professioneller. Erstmals liegen organisierte Banden auf Platz eins der Täter:innen, die immerhin für 51 Prozent der Attacken verantwortlich sind – drei Jahre zuvor lag ihr Anteil noch bei 21 Prozent.

Angesichts dessen ist es nicht verwunderlich, dass seitens der Unternehmen schnell der Eindruck entsteht, dass sie keine Chance hätten, sich gegen Cyber-Attacken zur Wehr zu setzen. Einige verfallen sogar in eine regelrechte Schockstarre. Und tatsächlich: Technisch gesehen, lässt sich jedes System hacken – doch es ist wichtig, diese Information in einen größeren Kontext zu setzen. Nur, weil es theoretisch möglich ist, stürzen Hacker:innen sich nicht auf jede bestehende Sicherheitslücke. Stattdessen konzentrieren sie ihre Bemühungen auf jene Ziele, die besonders lohnenswert erscheinen. Das bedeutet, dass Unternehmen keinesfalls versuchen müssen, im Bereich der Cyber Security vollkommene Perfektion anzustreben. Ganz im Gegenteil sogar: Der Versuch, hundertprozentige Sicherheit zu erreichen, kann im schlimmsten Fall sowohl ihre Produktivität als auch ihren Innovationsgeist hemmen.

Potenzielle Gefahren üben hohen Druck aus

Innerhalb der Unternehmen wird nicht selten von allen Seiten an CSOs, CISOs und IT-Führungskräften gezerrt. Dabei wird erwartet, dass sie mit riesigen Informationsmengen jonglieren und in der Lage sind, innerhalb kürzester Zeit Entscheidungen zu treffen, um etwaige Schwachstellen zu beheben, bevor sie zum Problem werden. Laut einer PwC-Umfrage nehmen zwei Drittel von ihnen Angriffe durch Hacker:innen als ernstzunehmende Bedrohung wahr, wobei vor allem die Ausnutzung von Cloud- und IIoT-Lösungen befürchtet wird – trotzdem fehlt es den Verantwortlichen oft an den nötigen Mitteln, um das Risiko zu verringern. Zwar geht mit 56 Prozent mehr als die Hälfte der deutschen Unternehmen davon aus, dass sich die Budgets für Cyber Security erhöhen werden, allerdings geben in diesem Rahmen auch 43 Prozent an, dass es ihnen an spezifischen Sicherheitslösungen fehle. Weit mehr als ein Drittel sagt außerdem, dass die Verantwortlichkeiten nicht klar definiert und die eingesetzten Technologien zum Management von Schwachstellen veraltet seien.

Überwältigt von der Menge an Schwachstellendaten, die unstrukturiert sind und für deren Auswertung viel Zeit benötigt wird, um besser zu verstehen, was als erstes in Angriff genommen werden muss. Und die Herausforderung, dass Cybersecurity-Experten rar und teuer sind, führt dazu, dass Abhilfemaßnahmen nur schwer umzusetzen sind

Dieses Missverhältnis führt bei IT- und Sicherheitsverantwortlichen zu einem enormen Druck. Viele fühlen sich von der schieren Menge der Schwachstellen überfordert. Diese zu kategorisieren und auszuwerten, um zu verstehen, wo als erstes angesetzt werden muss, würde viel Zeit in Anspruch nehmen. Ausgerechnet das ist aber eine wichtige Ressource, über die Unternehmen nicht unbegrenzt verfügen. Das genaue Gegenteil ist der Fall: Cybersecurity-Expert:innen sind rar und deshalb umso teurer, was dazu führt, dass Maßnahmen zur Behebung bestehender Sicherheitslücken oft nur schwer umzusetzen sind. In anderen Fällen werden die Verantwortlichen angesichts der drohenden Gefahren sogar so paranoid, dass sie versuchen, ihre Belange mit aller Kraft durchzusetzen – eine Strategie, die ungefähr so unverhältnismäßig ist, als versuchten sie mit einem Vorschlaghammer eine Nuss zu knacken. Nicht selten zieht dies negative Folgen für andere Unternehmensbereiche nach sich. Da die Sicherheit hier an erster Stelle steht, werden potenzielle Risiken, die mit neuen, innovativen Ideen unweigerlich einhergehen, bereits im Keim erstickt – und damit auch die Motivation vieler Mitarbeiter:innen, die keinen Sinn mehr sehen, sich für Neues einzusetzen. Dies endet in einer Abwärtsspirale, die auch die Konkurrenzfähigkeit eines Unternehmens enorm beeinträchtigen kann.

Sicherheit – aber nicht um jeden Preis

Für Unternehmen ist es an der Zeit, diesen Teufelskreis zu durchbrechen. Sie müssen erkennen, dass Sicherheit nicht das Wichtigste ist – eine Aussage, die Expert:innen im ersten Moment vielleicht schockieren mag. Tatsache ist jedoch, dass es keinen Sinn macht, nach einer “perfekten” Sicherheitsstrategie zu streben. Zum einen ist dies praktisch quasi unmöglich und zum anderen würde das Potenzial neuer Tools und Technologien gehemmt – aus Angst, diese könnten ein zu großes Risiko bergen. Ein übertriebenes Sicherheitsbedürfnis kann sich also im schlimmsten Fall sogar geschäftsschädigend auswirken. Anstatt nach Perfektion zu streben, sollten Unternehmen also lieber einen pragmatischen Ansatz wählen – und ihre Bemühungen nur auf die Risiken konzentrieren, die für Hacker:innen am wichtigsten sind. Neue Websites, die bisher nur geringe Umsätze erzielen, sind für sie zum Beispiel weniger interessant, weshalb für deren Betreiber:innen keine dringende Notwendigkeit besteht, sie perfekt abzusichern. Genau wie im „echten“ Leben handeln Kriminelle auch im Internet rational und legen ihren Fokus auf jene Ziele, die es ihnen möglichst einfach machen, viel Geld oder viele Daten zu erbeuten.

Doch auch bei etablierten Unternehmen, ist weniger manchmal mehr: In der Zusammenarbeit mit unseren Kund:innen stellte sich zum Beispiel heraus, dass nur drei Sicherheitsprobleme für 50 Prozent der Hackbarkeit verantwortlich sein können. Werden diese drei Schwachstellen adressiert, kann das Risiko also deutlich reduziert werden. 15 Prozent des Risikos ließen sich in diesem Fall allein durch das Patching einer Server-Implementierung eines externen Netzwerks eliminieren. Das Wissen darüber, wie hoch die Gefahr genau ist, die von verschiedenen Schwachstellen ausgeht, ist also essenziell. Anstatt bei dem Versuch, sie alle auszumerzen, viel Zeit und Geld zu verlieren, ist es in den meisten Fällen völlig ausreichend, bei den wenigen anzusetzen, die das größte Risiko darstellen.

Benchmarks helfen, Risiken besser einzuordnen

Um das tatsächliche Risiko einschätzen zu können, spielen Benchmarks für Unternehmen eine wichtige Rolle. Denn nur, wenn sie wissen, wie „hackbar“ andere Player innerhalb der eigenen Branche sind, können sie dafür sorgen, oberhalb des Durchschnitts zu bleiben und dadurch die Wahrscheinlichkeit eines Angriffs zu verringern. Verständlicherweise sehen Sicherheitsexpert:innen überall eine potenzielle Bedrohung, doch es lohnt sich, einen Schritt zurückzutreten, um das große Ganze zu betrachten. Die gute Nachricht ist nämlich, dass viele Unternehmen keinen Grund haben, sich vor Cyber-Angriffen zu fürchten. Zwar nimmt das relative Risiko zu, doch im konkreten Einzelfall ist die Gefahr, gehackt zu werden, meist sehr gering. Außerdem ist es meist nur eine kleine Anzahl von potenziellen Sicherheitslücken, die einen Großteil des Risikos verursachen.

Moderne Tools, die bestehende Sicherheitslücken nicht nur vollautomatisch einschätzen, sondern auch passende Lösungsansätze bieten können, helfen Sicherheitsexpert:innen dabei, ihre Arbeit übersichtlicher und effizienter zu strukturieren. Das nimmt ihnen einerseits den Druck, der sich angesichts der schieren Fülle an Risiken zunehmend potenzierte. Andererseits bekommen sie dadurch die Chance, zu erkennen, welche Gefahren eher theoretischer Natur sind – und welche tatsächlich ein attraktives Einfallstor für Cyber-Kriminelle bieten. Sicherheitsbelange werden dadurch endlich greifbar, ohne dabei die Produktivität und Innovation zu gefährden.

Über den Autor: Aleksander Groshev, CEO des Berliner Unternehmens für Cybersicherheit Autobahn Security, verfügt über eine zehn Jahre lange Erfahrung in der Führung von Startups der Bereiche Cybersicherheit und Produktmanagement. Sein Ziel bei Autobahn Security ist es, marktführende Plattform für die Priorisierung und Behebung von Schwachstellen zu werden. Zuvor arbeitete Groshev unter anderem bei Secucloud und Fincite.

(ID:49599754)