Gesundes Misstrauen ist Pflicht Zero Trust für ERP-Systeme?

Anbieter zum Thema

Syntax Systems GmbH & Co. KG

Fsas Technologies GmbH

Ein Zero Trust-Framework kann den Schutz für geschäftskritische Systeme wie ERP erhöhen. Warum IT-Verantwortliche dafür nicht nur technische Aspekte beachten müssen – und wie sie es schaffen, die Balance zwischen Sicherheit und Praktikabilität zu halten.

Das Fazit des vom Bundesamt für Sicherheit in der Informationstechnik (BSI) herausgegebenen Berichts zur Lage der IT-Sicherheit in Deutschland 2023 ist eindeutig und besorgniserregend: Die Bedrohung im Cyberraum ist so hoch wie nie zuvor. Dass Angriffe auf Unternehmen immer öfter zum Ziel führen, hängt nicht zuletzt mit der neuen, flexibleren Arbeitswelt zusammen. Denn Konzepte wie BYOD und Remote Work bedingen dezentrale, Cloud-basierte IT-Infrastrukturen, die viele potenzielle Angriffspunkte bieten. Um das Risiko einer erfolgreichen Attacke auch in diesem Umfeld zu minimieren, setzen CI(S)Os zunehmend auf Zero Trust-Frameworks.

Neue Studie von Onapsis

ERP-Systeme gezielt im Visier von Ransomware-Akteuren

ERP-Systeme sind ein attraktives Ziel

Auch wenn sie selten Ziel eines neuen (Zero Day)Exploits werden, stehen ERP-Systeme bei Cyberkriminellen ganz oben auf der Liste lukrativer Ziele. Das hat gleich mehrere Gründe: Erstens stand bei der Entwicklung der meisten heute eingesetzten ERP-Lösungen nicht Sicherheit, sondern Funktionalität im Fokus. „Built-in“ Security-Konzepte, die wirksame Schutzmaßnahmen von Anfang an vorsehen, sind daher eher die Ausnahme.

Zweitens sind ERP-Systeme praktisch nie offline, denn um mit ihnen alle unternehmensweiten Businessprozesse abbilden und steuern zu können, müssen sie rund um die Uhr erreichbar sein. Das erschwert regelmäßige Patches und sicherheitsrelevante Updates.

Und drittens ist der wirtschaftliche Schaden, den ein erfolgreicher Angriff anrichtet, bei ERP-Systemen besonders groß. Denn wenn das digitale Rückgrat aller unternehmensweiten Geschäftsprozesse ausfällt, steht alles still. Daher ist die Wahrscheinlichkeit, dass Unternehmen bei einer erfolgreichen Ransomware-Attacke Lösegeld bezahlen, besonders hoch.

Neues eBook „Zero Trust Modelle für die hybride Arbeitswelt“

Das richtige Vertrauen an jedem Standort

Effektiver Schutz durch Zero-Trust-Frameworks

Ein Zero-Trust-Framework umfasst eine Reihe von Leitprinzipien für Prozesse, Systemdesign und den laufenden Betrieb, die die Sicherheitslage verbessern sollen. Das dahinterstehende Prinzip ist vergleichsweise simpel: Man geht davon aus, dass Aktivitäten von Nutzern, Geräten und Anwendungen grundsätzlich nicht automatisch vertrauenswürdig sind, nur weil sie innerhalb des unternehmenseigenen Netzwerks stattfinden.

Die Überprüfung von Anfragen und die Autorisierung von Zugriffen erfolgen in einem solchen Framework mithilfe verschiedener technologischer Ansätze und Maßnahmen. So muss ein Nutzer beispielsweise vor dem ersten Login in das ERP-System mit seinem Endgerät eine Sicherheitshürde nehmen, etwa durch die Abfrage biometrischer Daten oder in Form einer Multi-Faktor-Authentifizierung (MFA). Zusätzlichen Schutz bieten die Überwachung von Aktivitäten auf Endgeräten mittels Endpoint Detection and Response (EDR) inkl. Schwachstellenmanagement, ein effektiver Home-Office Internetschutz mit einer Cloud Proxy Lösungund ein Security Information & Event Management (SIEM), bei dem alle sicherheitsrelevanten Events, Logfiles und Alarme zusammenlaufen und ausgewertet werden Dann wird im Security Operations Center (SOC) zum Beispiel direkt ein Alarm ausgelöst, wenn es einen Login-Versuch von einem bisher unbekannten Endgerät oder über einem fremden Standort gibt, und das rund um die Uhr an 365 Tagen im Jahr.

Die menschliche Komponente

Eine Übersicht über aller sicherheitsrelevanten Vorgänge ist auch deshalb wichtig, weil Kriminelle für eine Ransomware-Attacke in den allermeisten Fällen die größte Schwachstelle im System auszunutzen – den Anwender. Laut einer Studie der Stanford University gehen 88 Prozent erfolgreicher Cyberattacken auf menschliches Fehlverhalten zurück, eine Erhebung des Cybersecurity-Spezialisten Cybint beziffert den Wert sogar auf 95 Prozent. Hat sich der Angreifer beispielsweise nach einem erfolgreichen Phishing-Versuch die Zugangsdaten beschafft und ist unbemerkt ins interne Netzwerk gelangt, kann er anschließend in Ruhe den eigentlichen Schlag gegen das ERP-System vorbereiten.

Um ein solches Eindringen generell zu verhindern oder den möglichen Schaden zumindest möglichst gering zu halten, umfasst eine erfolgreichen Zero-Trust-Strategie neben präventiven Maßnahmen wie Least Privilege Networking auch Kontrollmechanismen, die verdächtiges User-Verhalten erkennen und melden. Wenn jemand zum Beispiel aktiv prüft, auf welche Dateisysteme er zugreifen darf, obwohl er diese für seine Aufgaben gar nicht benötigt, ist das ein suspekter Vorgang, der im SOC registriert und überprüft werden sollte. Durch schnelles Handeln kann dann unter Umständen Schlimmeres verhindert werden.

Onapsis-Studie zeigt Gefahren auf

Ransomware-Attacken haben meist ERP-Systeme im Visier

Sicherheit vs. Praktikabilität

Der Schutz der IT-Systeme ist wichtig. Gleichzeitig muss ein gutes Zero-Trust-Framework immer eine sinnvolle Balance zwischen effektiven Vorsichtsmaßnahmen und einer praktikablen Nutzung herstellen. Es darf nicht dazu führen, dass Prozesse für die User unnötig verkompliziert werden.

Möchte ein Benutzer auf sensible ERP-Daten und -Dokumente wie Rechnungen, Lieferscheine oder Ähnliches zugreifen, sind hohe Sicherheitshürden wie die Überprüfung eines definierten Security-Scores und eine MFA durchaus sinnvoll und unerlässlich. Will er aber lediglich die Abwesenheitsnotiz für seine Mailadresse ändern, führen hohe verpflichtende Security-Maßnahmen mit deutlichem Mehraufwand des Anwenders schnell zu Frust.

Damit sinnvolle Sicherheitsmaßnahmen nicht zulasten der Benutzerfreundlichkeit gehen, sollten Unternehmen im Sinne eines Risiko-Assessments situativ orientierte Sicherheitshürden etablieren und User-Feedback unter Einhaltung der Sicherheitsstrategie individuelle Best Practices entwickeln. Dann entsteht ein Framework für gesundes Misstrauen, das die IT-Systeme effektiv schützt, ohne die Nerven der Angestellten unnötig zu strapazieren.

Über den Autor: Sven Altenhofen ist Global Director Design, Architecture & Security bei Syntax.

(ID:50184627)