- Anzeigen -


Sie sind hier: Home » Fachbeiträge » Grundlagen

Cybersicherheit ist ein schrittweiser Prozess


Unternehmen gehen verstärkt gegen Cyberkriminalität vor: Trotzdem passieren Datenpannen häufig genug, denn Hacker haben inzwischen Methoden entwickelt traditionelle Sicherheitsmaßnahmen zu umgehen
Weniger anfällig für Cybersicherheitspannen zu sein, setzt voraus, dass man die Art der Bedrohungen versteht mit denen eine Firma es zu tun bekommen kann

- Anzeigen -





Unsere zunehmende Abhängigkeit von digitalen Systemen schafft ständig neue Optionen für Hacker. Die jüngsten Änderungen bei der Kreditkarten- und E-Mail-Sicherheit erhöhen eher die Anzahl von Online-Identitätsdiebstählen und anderer Cyberverbrechen. Herkömmliche Maßnahmen reichen längst nicht mehr aus, meint GlobalSign-Gastautorin Shea Drake in ihrem Blogpost, rät aber trotzdem zu einer gewissen Pragmatik und gibt entsprechende Tipps.

IT- Sicherheit
In den nächsten vier Jahren soll die Cyberkriminalität sprunghaft ansteigen. Es wird erwartet, dass sie bis 2021 Schäden von 6 Billionen US-Dollar verursachen wird. Ein beispielloser finanzieller Anreiz für Hacker. Im Visier: Unternehmen aller Größenordnungen. In Cybersicherheit zu investieren ist unumgänglich will man katastrophale Datenverluste, Rufschäden und finanzielle Verluste begrenzen.

Cyberkriminalität - die nächste große Bedrohung
Unsere zunehmende Abhängigkeit von digitalen Systemen schafft ständig neue Optionen für Hacker. Die jüngsten Änderungen bei der Kreditkarten- und E-Mail-Sicherheit erhöhen eher die Anzahl von Online-Identitätsdiebstählen und anderen Cyberverbrechen. Selbst Unternehmen, die viel Zeit und Geld investiert haben, sind nicht davor gefeit selbst Opfer zu werden.

Wahllose Angriffe werden dabei zunehmend seltener. Gezielte Ansätze wie zum Beispiel "Whale Phishing"-Kampagnen, die sich gegen Führungskräfte richten, sind auf dem Vormarsch, auch weil "weichere" Ziele inzwischen besser abgesichert sind.

Herkömmliche Sicherheitsmaßnahmen reichen nicht
Unternehmen gehen verstärkt gegen Cyberkriminalität vor. Trotzdem passieren Datenpannen häufig genug, denn Hacker haben inzwischen Methoden entwickelt traditionelle Sicherheitsmaßnahmen zu umgehen. In einer Umfrage des Better Business Bureau (BBB) haben 93 Prozent der Kleinunternehmen von mindestens einer der sechs häufigsten Gefahren für die Cybersicherheit gehört, und neun von zehn haben zumindest einige Maßnahmen zur Cybersicherheit ergriffen. Darüber hinaus berichtet BakerHostetler, dass 31 Prozent der erfolgreichen Datenmissbräuche durch Phishing-Betrug verursacht werden und weitere 24 Prozent der Datenmissbräuche auf menschliche Fehler zurückzuführen sind. Die Verluste sind beträchtlich. Das BBB berichtet, dass das Durchschnittsunternehmen dabei über 79.000 Dollar verliert.

Welche Verteidigung ist die beste?
Weniger anfällig für Cybersicherheitspannen zu sein, setzt voraus, dass man die Art der Bedrohungen versteht mit denen eine Firma es zu tun bekommen kann. Cybersicherheit ist ein schrittweiser Prozess. Es empfiehlt sich, Sicherheitspraktiken kontinuierlich zu überprüfen und aus Erfolgen wie Fehlern zu lernen.

Mitarbeiterschulung
Richtig geplante Mitarbeiterschulungen sind ein wesentlicher Bestandteil von Unternehmenssicherheit. Es braucht nur eine einzige erfolgreiche Datenpanne, wie z. B. einen Mitarbeiter, der versehentlich Daten über einen Phishing-Betrug weitergibt. Das kann reichen, den Geschäftsbetrieb zum Erliegen zu bringen. Firmen sollten ihre Mitarbeiter darin schulen, gängige Social Engineering-Techniken und übliche Techniken wie Phishing-Betrug, Ransomware und Telefonbetrug zu erkennen.

Cybersicherheit praktisch
Die Implementierung neuer Cybersicherheitsroutinen hilft ein Unternehmen insgesamt widerstandsfähiger zu werden:

>> Lesen Sie regelmäßig Schwachstellenberichte wie National Vulnerability Database oder CERT Vulnerability Notes Database.
>> Verwenden Sie Google Alerts oder RSS-Feeds, um sich über nationale Sicherheitsverletzungen zu informieren.
>> Verfolgen Sie Angriffe, die erfolgreich vereitelt werden konnten und geben Sie wichtige Sicherheitsinformationen intern weiter.
>> Fordern Sie Zwei-Faktor-Authentifizierung und stärkere Passwörter.
>> Verwenden Sie Verschlüsselungssoftware, um sich vor gängigen Viren zu schützen.
>> Erwägen Sie externe Unterstützung um eine Risikobewertung durchführen zu lassen.
>> Analysieren Sie die Sicherheitspraktiken aller externen Anbieter, mit denen Sie zusammenarbeiten.

Totale Sicherheit kann es nicht geben
Letztendlich kann sich keine Firma vollständig vor Datenmissbrauch schützen. Phishing-Attacken treffen selbst technisch versierte und gut geschulte Personen. Hacker suchen ständig nach neuen Wegen und es ist unmöglich, jede Sicherheitslücke im selben Tempo zu beheben, mit der Cyberkriminalität voranschreitet. Intrusionen sind bekanntermaßen schwierig zu erkennen - die durchschnittliche Erkennungszeit beträgt 146 Tage und mehr.

Welche Schutzmaßnahmen sind die richtigen?
Anstatt sich nur auf herkömmliche Maßnahmen zum Schutz vor einer Sicherheitsbedrohung zu verlassen, sollten Firmen ihre Ansätze überdenken. Das BBB etwa empfiehlt Risikomanagement statt Risikominimierung. Und um sicherzustellen, dass ein Unternehmen bestmöglichen Service für sein Geld bekommt sollte man die Kosteneffizienz verschiedener Dienste berechnen.

Das Verhindern eines Datenverlustes ist ebenso wichtig wie die Risikoeinschätzung. Nur 35 Prozent der Unternehmen können drei Monate profitabel bleiben, wenn wichtige Daten bei einer Datenpanne verloren gegangen sind. Das Vertrauen seiner Kunden zu verlieren, kann sogar noch teurer werden.

Es gibt verschiedene Schritte um auf Vorfälle zu reagieren und die Wiederherstellung zu ermöglichen. Als Erstes sollte niemand davon ausgehen, nicht Ziel eines Angriffs zu werden. Alle Unternehmen sind potenzielle Ziele.

In einem Report des SANS Analyst Program gaben nur 9 Prozent der direkt mit der Vorfallreaktion Befassten an, dass ihre Verfahren "sehr effektiv" gewesen sind. Die Hauptursachen: zu wenig Zeit die Maßnahmen zu testen und zu wenig Budget für die nötigen Tools. 61 Prozent der Befragten gaben an, dass ihr Unternehmen allein zwischen 2012 und 2014 mindestens einen größeren Vorfall erlebt hätte. Darunter Datenmissbrauch, nicht autorisierte Zugriffe, DOS-Angriffe oder Malware-Infektionen. Und diese Zahl wird voraussichtlich weiter steigen. Selbst bei Unternehmen mit weniger als 100 Mitarbeitern, blieb der Anteil derer, die einen kritischen Vorfall erlebten, konstant bei 61 Prozent.

Schnelles Handeln und regelmäßige Vorkehrungen: Eine Fallstudie
Jordan Drake, IT-Manager in einem kleinen Unternehmen in Salt Lake City, Utah, verfügte über einen Notfallplan als eine mit CryptoLocker verseuchte PDF-Datei, den Computer eines Mitarbeiters angriff. CryptoLocker verschlüsselt Dateien auf einem Desktop. Nach Zahlung der Lösegeldsumme erhält man möglicherweise ein Passwort zum Entschlüsseln der Dateien oder eben nicht...Drake hatte Vorkehrungen getroffen, da er wusste, dass Mitarbeiter oft PDF-Dateien von ihren Kunden bekommen, aber ein falscher Klick würde reichen. Was auch genauso passierte.

In diesem Fall hatte der Computer nur Zugriff auf die Konten dieser einen Abteilung und die wurde sofort vom Netzwerk getrennt. Drake wurde benachrichtigt, und was die kleine Firma möglicherweise riesige Datenverluste gekostet und finanziellen Schaden angerichtet hätte, kostete so einen Angestellten einen Tag Arbeit. Die vorhandenen Systeme waren so konfiguriert, dass sie Daten zu bestimmten Zeiten in einem Cloud-Managementsystem gesichert wurde. So gingen nur geringe Datenmengen verloren, die nach der vollständigen Wiederherstellung des Computers nicht mehr verfügbar waren. Die richtige Planung konnte hier den Schaden begrenzen.

Verluste minimieren – einige Tipps
Leider erkennt man den wahren Wert eines Notfallplans erst bei einem Datenschutzvorfall. Trotzdem kann man sich auf den Ernstfall vorbereiten und die potenziellen Verluste begrenzen.

>> Benennen Sie auf jeden Fall einen Verantwortlichen für den Notfallplan und definieren Sie klare Rollen gegebenenfalls mit Hilfe externer Berater.

>> Führen Sie detaillierte Protokolle darüber, was wie auf den Systemen läuft. Im Falle einer Datenpanne lässt sich so nachvollziehen, worauf zugegriffen, was gestohlen oder zurückgelassen wurde. Es ist wichtig, nicht nur zu identifizieren, wie und wo der Datenmissbrauch stattgefunden hat. Es wäre bedauerlich, eine Hintertür zu übersehen, die der Angreifer hinterlassen hat, um zu einem späteren Zeitpunkt zurückzukommen, um das zu nehmen, was er beim ersten Mal übergangen hat.

>> Sie müssen wissen, wen Sie bei einer Datenpanne alarmieren müssen und wann, auch wenn der anfängliche Angriff vorüber ist und die Schwachstelle gepatcht wurde.

>> Transparenz ist wichtig und Vorfälle sollte man nicht unter den Teppich kehren. Achten Sie darauf, Führungskräfte, Benutzer, betroffene Kunden usw. zu verständigen. Überarbeiten sie sonst den bisherigen Notfallplan und aktualisieren ihn. Werfen Sie einen ehrlichen, genauen Blick darauf, was in diesem Prozess richtig und falsch gelaufen ist, und nutzen Sie diese Informationen, um den Plan in Zukunft zu verbessern.

>> Arbeiten Sie mit qualifizierten Experten innerhalb und außerhalb Ihres Unternehmens zusammen und halten Sie sich über die Entwicklungen in der Branche auf dem Laufenden. Vorausschauendes Planen mag teuer erscheinen, ist aber sicherlich die bessere Alternative.

Über die Autorin
Shea Drake ist Technikfan und Expertin für Entwicklung, Wachstum und Cybersicherheit von Unternehmen. Sie lebt in Utah, USA. Wenn sie nicht über Technologie schreibt, ist sie begeisterte Fotografin, die gerne reist. Dieser Blog-Artikel wurde für GlobalSign von einer Gastautorin geschrieben, um Lesern eine breitere Vielfalt an Inhalten anzubieten. Die in diesem Beitrag ausgedrückten Meinungen sind nur die des Autors und geben nicht unbedingt die Sicht von GlobalSign wieder.
(GlobalSign: ra)

eingetragen: 10.02.18
Newsletterlauf: 21.03.18


GlobalSign: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

- Anzeigen -





Kostenloser IT SecCity-Newsletter
Ihr IT SecCity-Newsletter hier >>>>>>

- Anzeigen -


Meldungen: Grundlagen

  • Große Zahl ungesicherter IoT-Geräte

    DDoS-Angriffe haben sich in den letzten sechs Monaten nahezu verdoppelt. Laut einer Studie von Corero Network Security entspricht das einem monatlichen Mittel von 237 Angriffsversuchen. Einer der Gründe für den Anstieg liegt in der hohen Zahl einfach zu übernehmenden IoT-Geräten, die zumeist nur unzureichend geschützt sind. Diese "smarten" Geräte eignen sich dann ganz vorzüglich um zu einem Teil eines riesigen Botnets zu werden. Dieses Problem wird sich weiter verschärfen. Dazu muss man nur an die unzähligen Gadgets für Endverbraucher denken, die etwa in der Weihnachtszeit über die physischen und virtuellen Ladentische gewandert sind. Diese Geräte sind eines der vordringlichen Ziele für die Übernahme durch Hacker. Neben den Bedenken, die man im Hinblick auf die Sicherheit der Privatsphäre und vertraulicher Daten hegen kann gibt es noch eine ganze Reihe von weiteren ernsthaften Gefahren, die mit diesen Geräten verbunden sind. Hacker machen sich unsichere IoT-Geräte zunutze um riesige Bot-Netze aufzubauen und DDoS-Attacken zu lancieren. Unsichere IoT-Devices waren in einigen der größten DDoS-Angriffe auf Online-Plattformen innerhalb der letzten Jahre beteiligt. Es spielt bei DDoS-Angriffen keine Rolle, wie groß ein Unternehmen ist. Gefährdet sind alle. Und sollten entsprechend Sorge tragen, was die Sicherheit ihrer Geräte, Daten und Netzwerke anbelangt.

  • A fool with a tool

    Unternehmen stehen heute vielfältige Sicherheitslösungen zur Verfügung. Doch ein Sammelsurium aus technischen Einzelmaßnahmen kann nur bedingt gegen Angriffe schützen. Vielmehr benötigen Unternehmen eine Informationssicherheitsstrategie, gestützt auf Prozesse und Tools die es einem Unternehmen ermöglichen, Informationssicherheit effizient und effektiv zu managen. Der Schlüssel zum Erfolg wird dabei im richtigen Mix aus Menschen und deren Fähigkeiten, Prozessen und Tools liegen. Nur so wird es Unternehmen gelingen proaktiv zu agieren und durch Antizipation zukünftiger Bedrohungen und entsprechender Vorbereitung die richtigen Maßnahmen zum Schutz ihrer sensiblen Daten zu treffen.

  • Was ist Certificate Transparency?

    Möglicherweise haben Sie schon vor einigen Jahren von Certificate Transparency (CT) gehört, als Google die Anforderung für alle Extended Validation (EV) SSL/TLS-Zertifikate ankündigte, die nach dem 1. Januar 2015 ausgestellt worden sind. Seitdem hat Google die Anforderung auf alle Arten von SSL-Zertifikaten ausgedehnt und zuletzt eine Frist bis zum April 2018 gesetzt. Zertifikaten, die nicht CT-qualifiziert sind und die nach diesem Datum ausgestellt werden, wird in Chrome nicht vertraut. GlobalSign hat im Hintergrund bereits daran gearbeitet, dass alle Zertifikate mit CT ausgestattet werden - Extended Validation (EV) seit 2015, Domain Validated (DV) seit August 2016 und Organisation Validated (OV) ab Oktober 2017 - GlobalSign-Kunden sind damit für den Fristablauf seitens Google gerüstet.

  • Wo ist der Authentifizierungsprozess fehlbar?

    Ich habe den größten Teil meines beruflichen Lebens damit verbracht Authentifizierungslösungen zu programmieren, zu implementieren, weiterzuentwickeln und zu patentieren. Daher nehme ich mir das Recht heraus zu sagen, letzten Endes funktioniert Authentifizierung einfach nicht. Mit "funktionieren" im engeren Sinne meine ich, dass es zu 100Prozent garantiert ist, dass es sich tatsächlich um eine vertrauenswürdige Identität handelt, wenn eine Benutzeridentität von einer Authentifizierungslösung an den betreffenden Partner weitergeleitet wird. Und genau das lässt sich nicht garantieren. Es lässt sich belegen, dass und wie der eigentliche Validierungsprozess innerhalb der Authentisierung funktioniert. Das bedeutet, wir verifizieren mathematisch und empirisch, dass die von einem Authentifizierungsmechanismus zusammengestellte Entität mit den Werten übereinstimmt, die in der Datenbank des akzeptierenden Dritten gespeichert sind, also "matched". Das kann ein Passwort sein, ein Einmal-Passwort, OTP, X.509-basierte Verschlüsselung, biometrische Merkmale, mobile Push-Werte oder eine Gesichtserkennung. In einem Satz: Der Authentisierungsprozess lässt sich validieren und damit auch, dass das technische System korrekt arbeitet.

  • Rollende Sicherheitslücken

    Viele Fahrzeuge sind heutzutage längst zu rollenden Computern geworden, denn bereits jetzt stecken in der Software eines modernen Oberklasse-PKW etwa 100 Millionen Codezeilen. Zum Vergleich: Die Flugsoftware einer Boeing 787 Dreamliner kommt mit etwa 14 Millionen Zeilen aus. Die Erwartungen an das zukünftige autonom fahrende Auto sind vielzählig: Mehr Sicherheit auf den Straßen, mehr Komfort, beispielsweise durch selbstständiges Einparken, die Nutzung eines Autopiloten im Stau oder komplett fahrerlose Roboterautos, welche im Car-Sharing-Verfahren neue Infrastrukturmöglichkeiten bieten könnten. Dem gegenüber stehen die Ängste: Bei Technikfehlern nur noch ein hilfloser Passagier an Board zu sein oder Opfer eines Hacker-Angriffs zu werden.