Der jährliche Blick in die IT-Security-Glaskugel Wie aussagekräftig sind Security-Vorhersagen?

Ende 2022 war es wieder soweit: IT-Sicherheitsanbieter verschiedenster Couleur wagten den Blick in die Glaskugel und formulierten ihre IT-Security-Trends für die kommenden Monate. Meist verhallen diese Ansagen innerhalb kürzester Zeit. Dabei ist es besonders interessant, die jeweiligen Hypothesen mit einem entsprechenden Abstand mit der Realität abzugleichen.

Am Beispiel des Security-Ausblicks 2022 des WatchGuard Threat Labs soll gezeigt werden, wieviel Wahrheitsgehalt tatsächlich in solchen Vorhersagen steckt.

Vorhersage 1: Staatlich initiierte Smartphone-Angriffe inspirieren die cyberkriminelle Unterwelt

Diese Aussage war relativ naheliegend. Geheimdienste und staatlich geförderte Hackergruppen arbeiten schon seit langem mit Handy-Spyware wie etwa „Pegasus“ von der NSO Group, mit der sich unbemerkt Daten und Informationen abgreifen lassen. Dass unabhängige Cyberkriminelle hieraus lernen und selbst auf „Mobile Malware“ setzen würden, war dementsprechend nur eine Frage der Zeit. War jedoch 2022 bereits das Jahr, in dem sich Handy-Malware bei den „privaten“ Angreifern durchsetzt?

Hierauf lässt sich mit einem eindeutigen „Ja“ antworten. Proofpoint etwa stellte bereits Anfang 2022 fest, dass die Zahl der auf „Mobile Malware“ basierenden Angriffe zugenommen hatte, im Februar um etwa 500 Prozent. Die meisten Attacken zielten darauf ab, Benutzernamen und Kennwörter für E-Mail- oder Bankkonten zu erbeuten. Auch eine neue auf Mobilgeräte ausgerichtete Spyware namens „Predator“, die vom Unternehmen Cytrox vertrieben wird, gewann im vergangenen Jahr an Bedeutung und nahm vor allem Journalisten und Aktivisten ins Visier. Schätzungsweise waren mehrere Zehntausend Android-Smartphones von ihr infiziert. Etliche weitere Auswertungen lassen ähnliche Schlüsse zu, so dass davon ausgegangen werden kann, dass sich der Siegeszug von „Mobile Malware“ weiter fortsetzt.

Vorhersage 2: Hacks im Weltraum machen Schlagzeilen

Was im ersten Moment noch eher nach Science-Fiction klang, ist längst keine Zukunftsmusik mehr. Cyber-Attacken auf Kommunikationssatelliten sind technisch möglich – fraglich war nur, ob 2022 das Jahr sein würde, in dem ein solches Szenario erstmals für größeres Aufsehen sorgen würde. Da es bereits 2021 zu – zeitlich begrenzten und wenig erfolgreichen – Störangriffen auf US-Satelliten gekommen war, lag die Wahrscheinlichkeit hoch.

Inzwischen steht fest, dass diese Prognose nicht zu voreilig für 2022 getroffen wurde. Am prominentesten war hierbei gewiss die Störung der Viasat-Infrastruktur durch russische Hacker, nur wenige Stunden vor dem Einmarsch in die Ukraine. Zwar richtete sich der Angriff mit Wiper-Malware auf die Bodenkommunikation, doch ohne diese werden auch die Satelliten im All funktionsunfähig. Ein wesentlich günstigeres und für Cyberkriminelle praxistauglicheres Beispiel lieferte zudem Lennert Wouters auf den Security-Konferenzen Black Hat und DEFCON. Mit einem für lediglich 25 Dollar hergestellten Modchip gelang es ihm, den Boot-Vorgang einer Starlink-Bodenstation zu unterbrechen und eigene Firmware darauf zu installieren. Im Anschluss konnte er die Kommunikation zu den eigentlichen Satelliten ganz einfach analysieren und beeinflussen. Hersteller SpaceX belohnte das Finden der Sicherheitslücke mit einem Job-Angebot.

Vorhersage 3: Spear-Smishing überflutet Messenger-Plattformen

Beim sogenannten Smishing handelt es sich um eine Variante der bekannten Phishing- bzw. Spear-Phishing-Attacken, bei der statt E-Mails mobile Kurznachrichtendienste im Fokus stehen. Während es Angreifer bisher vor allem auf die klassische SMS-Nachricht abgesehen hatten, wurde für 2022 prognostiziert, dass auch zunehmend Messenger-Apps wie WhatsApp oder Slack ins Blickfeld geraten. Aufgrund der Verbindung zu sozialen und beruflichen Netzwerken sowie der Möglichkeit, mithilfe von Profilbildern und Co. legitime Konten zu imitieren, ist die Gefahr hierbei ungleich größer als bei SMS.

Zunächst muss festgehalten werden, dass Smishing im Jahr 2022 allgemein deutlich zugenommen hat. Für Messenger-Anwendungen finden sich jedoch ebenfalls belastbare Zahlen. Nach Angaben der irischen Polizei nahmen etwa Phishing-Versuche und Betrügereien per WhatsApp um stattliche 2.000 Prozent zu, wobei einige Opfer mehrere Tausend Euro verloren. Außerdem konnten beispielsweise am Vatertag feiertagsspezifische Phishing-Varianten auf WhatsApp sowie eine effektive „Hallo Mama“-Masche beobachtet werden. Die Vermutung, dass Cyberkriminelle zunehmend auf Messenger-Apps setzen, bestätigte sich also voll und ganz.

Vorhersage 4: Ohne Multifaktor-Authentifizierung bieten passwortlose Systeme nicht genügend Schutz

Passwortlose Authentifizierungsmöglichkeiten sind grundsätzlich zu begrüßen, da sie reibungslose Prozesse mit einem Plus an Sicherheit ermöglichen. Für 2022 stand jedoch die Annahme im Raum, dass kennwortlose Lösungen kaum eine Multifaktor-Authentifizierung ersetzen können und Unternehmen wie Microsoft Hackern damit ein Sprungbrett zur Profilierung liefern.

Völlig widerlegen lässt sich diese Vorhersage ein Jahr später nicht – einwandfrei belegen jedoch auch nicht. Zwar gab es bereits 2021 Indizien, dass die These zutreffen könnte, wie etwa eine identifizierte Schwachstelle bei Windows Hello. Doch, soweit nachvollziehbar, bestätigte sie sich noch nicht.

Vorhersage 5: Cyberversicherungen werden teurer und stellen höhere Anforderungen an Versicherte

Aufgrund der sich stetig weiterentwickelnden Bedrohungslandschaft und steigender Risiken durch Cyberangriffe erfreuen sich Cyberversicherungen seit etlichen Jahren zunehmender Beliebtheit. Angesichts der Rahmenbedingungen lag jedoch auch die Annahme nahe, dass diese für ihre Leistungen zunehmend höhere Preise fordern und strengere Sicherheitsmaßnahmen von ihren Kunden erwarten würden.

Diese Prognose bewahrheitete sich eindeutig. Allein in den USA stiegen die durchschnittlichen Kosten für eine Cyberversicherung um 96 Prozent. Zeitgleich ließ sich beobachten, dass Versicherer potentielle Neukunden vor dem Vertragsabschluss wesentlich gründlicher durchleuchten und diese bei unzufriedenstellenden Sicherheitsgrundlagen sogar ablehnen. Anekdotisches Feedback legt zudem nahe, dass auch bei der Verlängerung bestehender Policen nun deutlich höhere Anforderungen gelten. Statt wie bisher wenige, einfache Informationen zur Verfügung zu stellen, sollen nun häufig Kataloge mit hunderten von Fragen beantwortet werden.

Vorhersage 6: Das Zero-Trust-Prinzip erlebt seinen großen Siegeszug

Die Vorteile des Zero-Trust-Modells, bei dem keinem Gerät oder Nutzer pauschal vertraut wird, egal ob außerhalb oder innerhalb des Netzwerks, liegen auf der Hand. Die Tatsache, dass sich alles und jeder authentifizieren muss, sorgt für maximale Sicherheit. Aus diesem Grund war für 2022 davon auszugehen, dass die Mehrheit der Unternehmen das Prinzip auf die eine oder andere Art implementieren würden.

Ob dies tatsächlich eingetreten ist, lässt sich allerdings kaum feststellen. Konkrete, quantitative Untersuchungen hierzu sind praktisch unmöglich, da Unternehmen – verständlicherweise – nur ungern ihre Sicherheitsmaßnahmen für Umfragen preisgeben. Eine 2022 von Okta durchgeführte Studie deutet jedoch zumindest darauf hin, dass die Adaption von Zero-Trust-Konzepten weiter stark voranschreitet. Gut 97 Prozent der befragten Unternehmen hatten demnach bereits die Absicht, ein Zero-Trust-Programm einzuführen. Der Prozentsatz der Unternehmen, die angaben, gerade ein solches Modell zu implementieren, verdoppelte sich des Weiteren im Jahresvergleich 2021/2022 von 24 Prozent auf 55 Prozent.

Es zeigt sich: Zum größten Teil sind die Vorhersagen von vor einem Jahr eingetreten – mal mehr, mal weniger exakt. Und was nicht ist, kann ja noch werden. Insofern lohnt sich in jedem Fall auch ein Blick auf die aktuellen Vorhersagen des WatchGuard Threat Labs für 2023, in denen sich die Analysten von WatchGuard unter anderem dem Metaversum und Künstlicher Intelligenz widmen.

Über den Autor: Corey Nachreiner ist Chief Security Officer (CSO) bei WatchGuard Technologies und gilt als renommierter Experte für IT-Security. Seine umfangreiche Erfahrung im Bereich der Informationssicherheit schlägt sich nicht nur in zahlreichen Fachartikeln nieder, die er in den letzten Jahren für unterschiedlichste Publikationen verfasst hat. Er ist zudem ein gefragter Sprecher auf internationalen Konferenzen von Gartner, Infosec oder RSA, auf denen er regelmäßig aktuelle Fragestellungen rund ums Thema Cybersecurity erörtert.

(ID:48974298)