Se­cu­ri­ty: An­wen­der im Selbst­zwei­fel

Computerwoche - - Inhalt - Von Man­fred Brem­mer, Re­dak­teur

An­ge­sichts im­mer in­tel­li­gen­te­rer und ag­gres­si­ve­rer Ha­cker-An­grif­fe schwin­det das Ver­trau­en vie­ler Un­ter­neh­men in die ei­ge­nen Si­cher­heits­maß­nah­men.

An­ge­sichts im­mer in­tel­li­gen­te­rer und ag­gres­si­ve­rer Ha­cker-An­grif­fe schwin­det das Ver­trau­en vie­ler Un­ter­neh­men in die ei­ge­nen Si­cher­heits­maß­nah­men. Teil­wei­se ist die Un­si­cher­heit aber auch selbst­ver­schul­det, sagt ein Cis­co-Re­port.

Wie aus dem Cis­co An­nu­al Se­cu­ri­ty Re­port 2016 her­vor­geht, ver­trau­en nur noch 45 Pro­zent (2015: 55 Pro­zent) der Un­ter­neh­men welt­weit auf ih­re ei­ge­nen Si­cher­heits­maß­nah­men. Schuld dar­an sind un­ter an­de­rem die zu­neh­mend in­tel­li­gen­ten, ag­gres­si­ven und län­ger an­dau­ern­den An­grif­fe. So zap­fen Ha­cker im­mer mehr le­gi­ti­me Res­sour­cen für ih­re ef­fek­ti­ven und pro­fi­ta­blen Mal­wa­re-Kam­pa­gnen an. Zu­sätz­lich ge­ra­ten al­lein durch di­rek­te An­grif­fe über Ran­som­ware rund 34 Mil­lio­nen Dol­lar pro Jahr und Kam­pa­gne in die Hän­de von Cy­ber-Kri­mi­nel­len. Da­bei ar­bei­ten sie wei­ter­hin un­ein­ge­schränkt über re­gu­la­to­ri­sche Gren­zen hin­weg.

Teil­wei­se sind die Schwie­rig­kei­ten der Un­ter­neh­men, Cy­ber-An­grif­fe zu ent­de­cken und ih­re Aus­wir­kun­gen zu re­du­zie­ren oder zu be­he­ben, aber auch haus­ge­macht. Ver­al­te­te tech­ni­sche Sys­te­me, or­ga­ni­sa­to­ri­sche Struk­tu­ren und Pro­zes­se er­hö­hen das Ri­si­ko. So sank die Zahl der Un­ter­neh­men, die nach ei­ge­ner Aus­sa­ge ei­ne ak­tu­el­le Si­cher­heits­in­fra­struk­tur be­sit­zen, laut Cis­co-Stu­die von 2014 bis 2015 um zehn Pro­zent. Die Stu­die er­gab au­ßer­dem, dass 92 Pro­zent der In­ter­net-Ge­rä­te be­kann­te Si­cher­heits­lü­cken auf­wei­sen. 31 Pro­zent al­ler un­ter­such­ten Ge­rä­te wer­den nicht mehr vom Her­stel­ler un­ter­stützt oder vom An­bie­ter ge­war­tet.

„2015 sind die IT-In­ves­ti­tio­nen laut Gart­ner stark ge­sun­ken. Da­durch steigt zwangs­läu­fig das Ri­si­ko, denn das be­deu­tet, dass Un­ter­neh­men und Be­hör­den mehr In­fra­struk­tu­ren oh­ne Her­stel­ler-Sup­port und mehr ver­al­te­te Soft­ware ein­set­zen“, kom­men­tiert Klaus Lens­sen, Chief Se­cu­ri­ty Of­fi­cer bei Cis­co Deutsch­land, den Be­fund. „Hier liegt für die Or­ga­ni­sa­tio­nen ein ein­fach zu he­ben­des Po­ten­zi­al, ihr Si­cher­heits­ni­veau zu ver­bes­sern.“

Hand­lungs­be­darf be­steht un­ter an­de­rem auch, weil ei­ne über­wie­gen­de Mehr­heit von Fi­nan­zund Bu­si­ness-Füh­rungs­kräf­ten an­gibt, dass Auf­sichts­be­hör­den und In­ves­to­ren ei­ne hö­he­re Trans­pa­renz über künf­ti­ge Cy­ber­se­cu­ri­ty­Ri­si­ken er­war­ten. Dies führt zu zu­neh­men­den Sor­gen in den Vor­stands­eta­gen.

„Un­ter­neh­men und Be­hör­den set­zen mehr In­fra­struk­tu­ren oh­ne Her­stel­lerSup­port und mehr ver­al­te­te Soft­ware ein.“

Klaus Lens­sen, Chief Se­cu­ri­ty Of­fi­cer bei Cis­co Deutsch­land

Die wich­tigs­ten Er­geb­nis­se der Stu­die

Ge­rin­ge­res Ver­trau­en, hö­he­re Trans­pa­renz­an­for­de­run­gen: We­ni­ger als die Hälf­te der be­frag­ten Un­ter­neh­men ver­trau­en auf ih­re Fä­hig­kei­ten, das Aus­maß ei­nes Si­cher­heits­vor­falls in ih­rem Netz zu be­stim­men und den Scha­den zu be­he­ben. Aber ei­ne über­wie­gen­de Mehr­heit von Fi­nanz- und Bu­si­ness-Füh­rungs­kräf­ten sagt, dass Auf­sichts­be­hör­den und In­ves­to­ren ei­ne hö­he­re Trans­pa­renz über künf­ti­ge Cy­ber­se­cu­ri­ty-Ri­si­ken er­war­ten. Dies führt zu wach­sen­den Sor­gen in den Vor­stands­eta­gen.

Ver­al­te­te In­fra­struk­tur: Von 2014 bis 2015 sank die Zahl der Un­ter­neh­men, die nach ei­ge­ner Aus­sa­ge ei­ne ak­tu­el­le Si­cher­heits-In­fra­struk­tur be­sit­zen, um zehn Pro­zent. Die Stu­die er­gab, dass 92 Pro­zent der In­ter­net-Ge­rä­te be­kann­te Si­cher­heits­lü­cken auf­wei­sen. 31 Pro­zent al­ler un­ter­such­ten Ge­rä­te wer­den nicht mehr vom Her­stel­ler un­ter­stützt oder vom An­bie­ter ge­war­tet.

Klei­ne und mit­tel­stän­di­sche Un­ter­neh­men als mög­li­che Schwach­stel­le: Im­mer mehr gro­ße Un­ter­neh­men über­prü­fen ih­re Lie­fer­ket­te und Part­ner­schaf­ten mit klei­nen Fir­men. Da­bei er­ken­nen sie, dass die­se nur un­zu­rei­chend Tools und Pro­zes­se zum Schutz vor Be­dro­hun­gen ein­set­zen. Zum Bei­spiel sank von 2014 bis 2015 der An­teil klei­ner und mit­tel­stän­di­scher Un­ter­neh­men, die Web Se­cu­ri­ty nut­zen, um mehr als zehn Pro­zent­punk­te. Dies weist auf mög­li­che Ri­si­ken für die gro­ßen Un­ter­neh­men auf­grund struk­tu­rel­ler Schwach­stel­len bei ih­ren Part­nern hin.

Mehr Out­sour­cing: Auf­grund des Fach­kräf­te­man­gels er­ken­nen Un­ter­neh­men al­ler Grö­ßen zu­neh­mend den Wert von Out­sour­cing-Di­ens­ten für die Er­hö­hung der Si­cher­heit. Dies um­fasst Be­ra­tung, Si­cher­heits­über­prü­fun­gen und die Re­ak­ti­on auf Vor­fäl­le. Klei­ne und mit­tel­stän­di­sche Un­ter­neh­men ver­fü­gen oft nicht über die Ka­pa­zi­tä­ten für ei­nen ef­fek­ti­ven Schutz. Sie ver­bes­sern ih­ren Si­cher­heits­an­satz zum Teil durch Out­sour­cing. Die­se Lö­sung wird be­reits zu 23 Pro­zent ge­nutzt, im Ver­gleich zu 14 Pro­zent im Vor­jahr.

Ve­rän­der­te Ser­ver-Ak­ti­vi­tä­ten: On­li­ne-Kri­mi­nel­le nut­zen bei ih­ren An­grif­fen im­mer häu­fi­ger kom­pro­mit­tier­te Ser­ver, et­wa für Word­Press, so­wie Platt­for­men für so­zia­le Me­di­en. Zum Bei­spiel stieg die Zahl der von Kri­mi­nel­len ver­wen­de­ten Word­Press-Do­mä­nen von Fe­bru­ar bis Ok­to­ber 2015 um 221 Pro­zent.

Brow­ser-ba­sier­te Da­ten­lecks: Ge­fähr­li­che Brow­ser-Er­wei­te­run­gen wer­den von Se­cu­ri­ty­Teams häu­fig als ge­rin­ge Be­dro­hung ge­se­hen, je­doch bil­den sie ei­ne mög­li­che Ur­sa­che für gro­ße Da­ten­lecks. Mehr als 85 Pro­zent der Un­ter­neh­men sind da­von be­trof­fen. Dar­auf ba­sie­ren­de Ad­wa­re und Mal­ver­ti­sing führ­ten be­reits zu Vor­fäl­len, da die Soft­ware nicht re­gel­mä­ßig ak­tua­li­siert wur­de.

Der blin­de Fleck DNS (Do­main Na­me Sys­tem): Fast 92 Pro­zent der be­kann­ten Mal­wa­re nutzt DNS als wich­ti­ge Funk­ti­on. Sie ist häu­fig ein „to­ter Win­kel“für die Se­cu­ri­ty-Teams. Denn DNS-Ex­per­ten ar­bei­ten ty­pi­scher­wei­se in an­de­ren IT-Ab­tei­lun­gen in­ner­halb des Un­ter­neh­mens und tau­schen sich nur sel­ten mit den Si­cher­heits­kol­le­gen aus.

Zu lang­sa­me Er­ken­nung: Nach Schät­zun­gen be­trägt die Zeit bis zur Ent­de­ckung ei­nes Cy­ber-Ver­bre­chens welt­weit in al­len Un­ter­neh­men zwi­schen 100 und 200 Ta­gen. Dies ist nicht ak­zep­ta­bel. Cis­co hat die­se Zeit­span­ne durch sei­ne Lö­sun­gen im ei­ge­nen Netz­werk so­wie als Ser­vice für sei­ne Kun­den in den letz­ten sechs Mo­na­ten wei­ter ver­kürzt, von 46 auf 17,5 St­un­den. Die Re­du­zie­rung der Zeit zur Ent­de­ckung von An­grif­fen mi­ni­miert nach­weis­lich den Scha­den durch Cy­ber-An­grif­fe und senkt die Ri­si­ken so­wie die Aus­wir­kun­gen für Kun­den und In­fra­struk­tu­ren welt­weit.

Ver­trau­en ist wich­tig: Im­mer mehr Un­ter­neh­men set­zen Di­gi­ta­li­sie­rungs­stra­te­gi­en für ih­ren Be­trieb um. Die Kom­bi­na­ti­on aus der stei­gen­den Zahl von Da­ten, Ge­rä­ten, Sensoren und Di­ens­ten er­zeugt neue An­for­de­run­gen an Her­stel­ler in Sa­chen Trans­pa­renz, Ver­trau­en und Zu­ver­läs­sig­keit ge­gen­über Kun­den.

Newspapers in German

Newspapers from Germany

© PressReader. All rights reserved.