Sind wir vor Cyberattacken gut genug geschützt?

Artikel von Peter Neuhauser

• 56 Mio. • 6 Minuten Lesezeit

class="article-body" style="font-size: 17px; text-align: start; line-height: 26px; margin: 0px; max-height: 100%; overflow-y: hidden;"

Bundeswehrsoldaten bereiten sich in Kooperation mit Unternehmen und Soldaten aus Singapur während einer Übung auf Hackerangriffe des gegnerischen Teams vor.© Domenic Driessen

Die Anzahl, die Intensität, aber auch die Qualität von Cyberangriffen auf Unternehmen oder staatliche Umgebungen befinden sich auf einem hohen Level – und sie nehmen weiter zu. Geopolitische Ereignisse wie die Krisen in Osteuropa und im Nahen Osten wirken hier als Verstärker. Diejenigen, die für die IT-Sicherheit in Unternehmen und Behörden verantwortlich sind, müssen sich mit der Frage auseinandersetzen, ob und wie gut sie gegen Cyberattacken geschützt sind. Dabei hängt das Maß an Sicherheit von mehreren Faktoren ab: Von der Art der Bedrohung, den getroffenen Sicherheitsmaßnahmen, aber auch dem Faktor Mensch. Zur allgemeinen Bedrohungslage muss festgestellt werden, dass sich die Cybersecurity-Landschaft in ständiger Bewegung befindet und die Bedrohungen immer komplexer werden.

Die gegenwärtigen Bedrohungen lassen sich in fünf Kategorien einteilen:

1. DDoS (Distributed Denial of Service): DDoS-Angriffe sind Überlastungsangriffe auf Netzwerke, Server oder Computer mit dem Ziel, deren Dienste durch massenweise Nutzung auszubremsen oder zu sabotieren.

2. Social Engineering, Phishing und Identitätsdiebstahl: Beim sogenannten Social Engineering nutzt der Angreifer das weiterhin schwächste Glied in jedem IT-Ökosystem, den Anwender. Durch gezielte Manipulation der Person, häufig unterstützt durch Phishing-Kampagnen, wird diese verleitet, dem Angreifer Informationen zur Verfügung zu stellen, die dieser wiederum nutzt, um in einen Computer oder gleich in ein ganzes Unternehmensnetzwerk einzudringen, um sich dort auszubreiten.

3. Malware und Ransomware: Malware ist eigens präparierte Software, deren Zweck es ist, in Systeme einzudringen, um dort Informationen zu stehlen oder Daten zu manipulieren. Die hierbei gefährlichste Unterform Ransomware verschlüsselt in den gekaperten Systemen die Daten, um den legalen Zugriff darauf zu verhindern – und im Anschluss gegen die Zahlung von Lösegeld freizupressen. Häufig geht Ransomware inzwischen einher mit dem Verkauf der Daten in kriminellen Marktplätzen (Extortion).

4. Schwachstellen (Vulnerabilities): Über Schwachstellen in Software oder in Systemen verschaffen sich Angreifer Zugang hierzu, um Daten zu stehlen oder zu manipulieren.

5. Lieferkettenangriffe (Supply Chain Attacks): Bei Lieferkettenangriffen verschafft sich der Angreifer keinen Zugang zu den Unternehmensnetzwerken, sondern er manipuliert die Lieferkette von Software- oder Komponentenlieferanten. Der Endkunde setzt im Vertrauen auf die Integrität seines Lieferanten diese befallenen Komponenten schon vom Ladentisch her ein.

Angriffe passieren in der Regel nicht losgelöst durch einzelne der beschriebenen Vektoren, sondern in Kombination dieser Vektoren – das bedeutet, die Angriffsszenarien sind inzwischen nahezu immer hybrid. Die Angreifer können im Einzelfall jederzeit zwischen den Methoden variieren.

Dieser hybriden Angriffsmaschinerie kann nur mit einem Mix aus Sicherheitsvorkehrungen begegnet werden. Und es ist selbstverständlich unerlässlich, ein aus mehreren Verteidigungslinien bestehendes Netz an technischen Maßnahmen verfügbar zu haben, das die einzelnen Komponenten einer Unternehmens-IT adäquat schützt. Hier gibt es sicher keine Patentlösung, weil die IT-Architekturen je nach Unternehmen variieren. Der IT-Grundschutz des BSI liefert aber einen umfangreichen Werkzeugkasten an Grundlagen und Methoden, der auf die jeweiligen Bedürfnisse adaptiert werden kann.

Sicherheitsbewusstsein ist ein entscheidender Faktor

In Deutschland wird immer stärkerer Wert auf institutionelle Sicherheit gelegt. Die sogenannte KRITIS-Rechtsverordnung – und hoffentlich bald auch NIS2 – regelt den Schutz kritischer Infrastrukturen, in die zum Zwecke der nationalen Cyberabwehr per se stärker zu investieren ist. Man sollte sich aber immer bewusst sein, dass genau solche Infrastrukturen das primäre Ziel von Cyberakteuren sind, deren Absicht nicht die Gewinnmaximierung, sondern die Störung der öffentlichen Ordnung ist.

Weil der Mensch nach wie vor das schwächste Glied in der Verteidigungskette ist, kommt der Schaffung von Bewusstsein (Awareness) in Organisationen eine immer größer werdende Bedeutung zu. Sicherheitsbewusstsein ist ein immer entscheidenderer Faktor, um Cyberangriffe zu verhindern oder deren Wirkung zumindest abzuschwächen. In der Wahl der Methoden zur Bewusstseinsschärfung darf es eigentlich keine Einschränkungen mehr geben, weil davon auszugehen ist, dass die Angreifer immer stärker diesen für sie bequemen Weg gehen, um sich Zugriff auf Daten oder Systeme zu verschaffen. Alle sollten sich darüber im Klaren sein, dass die Angreifer keinerlei Rücksicht auf mögliche Befindlichkeiten innerhalb ihres Angriffsziels nehmen.

Ein weiteres Instrument im Werkzeugkasten der Verteidigung sind die Vernetzung und der Zusammenschluss in Allianzen. Es ist davon auszugehen, dass die Angreifer äußerst gut vernetzt sind. Aufseiten der Unternehmen und Behörden ist immer noch zu verspüren, dass erfolgreiche Cyberangriffe Scham oder Verlustängste auslösen. Ein offener Umgang mit solchen Ereignissen – gern im sicheren Raum mit Gleichgesinnten – ist jedoch die weitaus bessere Methode als deren Totschweigen. Einer erfolgreich angegriffenen Firma kann eigentlich nichts Schlimmeres widerfahren, als die Veröffentlichung des Angriffs auf den sattsam bekannten Kanälen der Cyberakteure.

Nachholbedarf bei den Anbietern

Zu solchen Netzwerken gehören nicht nur die Unternehmen und Behörden, die mit ihren IT-Angeboten an der vordersten Front stehen, sondern auch die Hersteller von Security-Lösungen und die gewerbsmäßigen Anbieter von Sicherheitsdienstleistungen. Es sind schließlich die täglich fließenden Daten der Kundinnen und Kunden in die Telemetrie-Systeme dieser Unternehmen, welche die ständige Aktualisierung von Security-Lösungen gewährleisten und diese dadurch wertvoll machen. Leider kommt es noch viel zu häufig vor, dass die Anbieter nur die Nutzung ihrer Systeme im Fokus haben und nicht den Austausch von Bedrohungsinformationen mit ihren Kunden. Hier besteht Nachholbedarf.

Alle bisher aufgezeigten Maßnahmen erhöhen die Resilienz durch verbesserte Prozesse, Technologien und Visibilität. Schließlich geht es schon lange nicht mehr darum, erfolgreiche Angriffe völlig zu verhindern. Jeder sollte sich bewusst sein, dass es Wunschdenken ist, für alle Zeiten vor Einschlägen gefeit zu sein. „Assume Breach“ ist hier das Schlagwort – proaktive Maßnahmen zur Verteidigung bekommen immer stärkere Bedeutung. Positiv zu vermerken ist hier die Entwicklung bei zumindest einigen Spielern auf dem Spielfeld, Dienstleistungen und Lösungen anzubieten, die den Kunden in die Lage versetzen, im Fall des Falles schnell auf adäquate Unterstützung zurückgreifen zu können.

Inzwischen werden auch Cyber-Security-Defense-Dienste oder sogenannte Retainer-Services angeboten, und sind auch erschwinglich. Hier wird gemeinsam zwischen den Unternehmen oder Behörden und den Dienstleistern regelmäßig anhand der echten Kundenumgebung der Ernstfall geübt – basierend auf Szenarien, die tatsächlich schon geschehen sind. Ergänzen kann man solche Maßnahmen noch um sogenannte „Breach & Attack Simulation“-Lösungen, die mithilfe automatisierter Tools und Techniken reale Cyberangriffe simulieren.

Angreifer und Verteidiger haben dieselben Werkzeuge

Der hier beschriebene Wettstreit zwischen Angreifern und Verteidigern ist ein nicht endender Prozess. Die technologische Entwicklung, die eigentlich völlig anderen Zwecken dienen sollte, wird natürlich auch in diesem Bereich verwendet. Künstliche Intelligenz und das maschinelle Lernen werden sowohl von Verteidigern als auch von Angreifern eingesetzt.

Während diese Technologien helfen können, Bedrohungen schneller zu erkennen, können sie auch von Angreifern genutzt werden, um raffiniertere Angriffe zu starten. Die Ressourcen aufseiten der Verteidiger sind leider häufig deutlich endlicher als die aufseiten der Angreifer. Daher ist es bedeutsam, dass diese Methoden – ergänzt um ein möglichst optimales Maß an Automatisierung bei der Vorfallserkennung und Vorfallsreaktion – Einzug in die IT-Security der Unternehmen halten. Darüber hinaus müssen neue Prinzipien wie zum Beispiel Zero Trust in die Cyber-Security-Strategien der nächsten Jahre integriert werden.

Kommen wir zum Schluss noch einmal zum Faktor Mensch – dieses Mal allerdings nicht als schwächstes Glied, sondern als Säule der Verteidigung der Kronjuwelen einer Organisation: Es gibt nicht den einzigen und richtigen Zeitpunkt, die Entscheidung zu treffen, ob man in eigenes Personal investiert, um die Cyberabwehr zu bestreiten, oder ob man sich hier der Möglichkeiten des Marktes bedient – wichtig ist nur, dass es geschieht.

Wissen, wie Angreifer ticken

Diese Entscheidung basiert sicherlich auf vielen individuellen Faktoren. Hat sich ein Unternehmen entschieden, hier auf eigenes Personal zu setzen, müssen die organisatorischen und personellen Maßnahmen ergriffen werden, um dieses Personal in die Lage zu versetzen, die notwendigen Maßnahmen auch durchsetzen zu können. Eine Verankerung der Cybersicherheit direkt unterhalb der Geschäftsführung ist eigentlich alternativlos, um die erforderliche Organisationsgewalt ausüben zu können.

Ebenso unerlässlich ist während der Personalauswahl die Berücksichtigung der definitiv sehr spezifischen Anforderungen an das Wissen und an die Soft Skills der Beschäftigten. Ein moderner „Cyber-Warrior“ muss wissen und verinnerlichen, wie die Angreifer ticken. Hierfür bedarf es eines hohes technisches Verständnisses, einer ausgeprägte Resilienz sowie Neugier und Enthusiasmus. Cybersicherheit ist kein „Nine-to-five-Job“.

Berücksichtigt man all diese Faktoren ist die Antwort auf die Frage, ob wir gut genug geschützt sind, differenziert: In einigen Bereichen sind erhebliche Fortschritte erzielt worden, aber das Risiko bleibt hoch, und eine hundertprozentige Sicherheit gibt es nicht. Umso wichtiger ist es, dass sowohl Institutionen als auch Einzelpersonen kontinuierlich in ihre Cyberabwehr investieren und sich der neuesten Bedrohungen bewusst sind.

Peter Neuhauser ist Bereichsleiter für die operative IT-SecAurity im IT-Systemhaus der Bundesagentur für Arbeit (BA).

Mehr für Sie

A