Die Grundlagen der Cyber-Sicherheit – eine globale Herausforderung

Der aufgrund der Kontaktbeschränkungen alternativlose Umzug der Mitarbeiter ins Home-Office sowie die vielerorts stattfindende Hauruck-Digitalisierung hat die Türen für Cyber-Kriminelle weit geöffnet und die Risiken für Unternehmen drastisch erhöht. Sie müssen zunehmend komplexere IT-Umgebungen managen und mit den neuen, raffinierten Taktiken der Hacker lernen umzugehen.

Wie schnell Cyber-Kriminelle auf neue Situationen reagieren und ihre Strategien dementsprechend anpassen, zeigt eine repräsentative Studie des Bundesamts für Sicherheit in der Informationstechnik (BSI). Unter anderem arbeiten die Angreifer in Pandemiezeiten mit breit gestreuten E-Mail-Spamwellen mit vermeintlichen Corona-Informationen.

Großunternehmen waren dem BSI zufolge bislang besonders häufig von Cyber-Attacken betroffen. Etwa ein Viertel der Opfer der Hacker erlitten existenzbedrohende oder sehr schwere Schäden – besonders Kleinstunternehmen.
War der Umzug der Mitarbeiter vom Büro ins Home-Office durch Corona zwar lediglich auch der Not geboren, möchten viele Betriebe allerdings auch in der Post-Corona-Ära flexiblere Arbeitsmodelle etablieren oder ihre Angestellten sogar vollends remote arbeiten lassen. Aus diesem Grund wurden Digitalisierungsprojekte weiter vorangetrieben, allerdings – den Recherchen des BSI zufolge – unter mangelnder Berücksichtigung der IT-Sicherheit.

So setzt nur die Hälfte der befragten Unternehmen auf VPN-Sicherheit oder Mehrfaktor-Authentifizierung. Ebenso wenig seien Verschlüsselung oder Mobile Device Management ein Thema. Dabei stellen gerade die privaten IT-Endgeräte eine große Angriffsfläche dar.  Ähnlich wie Menschen eine Ansteckung mit dem Coronavirus verhindern können, helfen intelligente Hygiene-Praktiken dabei, Systeme, Netzwerke und Anwendungen vor Angriffen zu schützen.

Passwort-Management

Richtiges Passwortmanagement ist eine echte Herausforderung. Wie die Studie von Sailpoint, „The Cybersecurity Pandora’s Box of Remote Work“, von 2020 belegt, ist es für viele üblich geworden, Passwörter mit anderen zu teilen. Nahezu jeder Zweite hat seine Kontozugangsdaten seit über sechs Monaten nicht geändert. Die gute Nachricht: Der Trend geht hin zur passwortlosen Authentifizierung. Wer allerdings Stand heute auf Kennwörter zurückgreifen muss, sollte die grundlegenden Regeln zur Passwort-Hygiene befolgen:

• Keine Wiederverwendung von Passwörtern über mehrere Konten hinweg: Leider greifen viele für berufliche und private Konten immer noch auf die gleichen Kennwörter zurück – ein fataler Fehler. Denn haben sich Betrüger einmal Zugang zu Geschäftskonten verschafft, könnten sie auch auf private Accounts zugreifen.
• Regelmäßiges Zurücksetzen der Zugangsdaten: Passwörter sollten mindestens alle drei Monate geändert werden – so lästig das auch sein mag.
• Keine Standard-Passwörter nutzen: Wer auf Kennwörter wie 12345 setzt, schützt seine Konten nicht ausreichend vor Missbrauch und Datendiebstahl. Sichere Kennwörter zeichnen sich durch Komplexität aus. Sie sind nicht leicht zu merken, sondern bestehen vielmehr aus einer zufälligen Aneinanderreihung aus Groß- und Kleinbuchstaben, Sonderzeichen und Zahlen.

Multi-Faktor-Authentifizierung

Die Multi-Faktor-Authentifizierung fungiert als zweite Sicherheitsebene und erschwert es Angreifern, Online-Konten zu kompromittieren. Dieser Sicherheitsansatz hat sich mittlerweile als eine der besten Möglichkeiten zum Schutz von Geschäfts- und Kundendaten erwiesen und sollte überall dort eingesetzt werden, wo Privilegien erhöht sind.

Whitelisting

Whitelisting ist eine der am wenigsten genutzten IT-Hygienetechniken – zu Unrecht. Denn auf diese Weise kann nicht autorisierte Software, wie Malware oder Ransomware, ganz erkannt und an der Ausführung gehindert werden. Auf der Whitelist stehen ausschließlich die Anwendungen, die vom Benutzer oder Administrator eine Berechtigung zur Ausführung erhalten haben.

Privilegierte Nutzerkonten einschränken

Je weitreichender die Rechte eines Nutzers, desto attraktiver ist sein Account als Angriffsziel. Privilegierte Accounts weisen Hackern den direkten Weg zu den wertvollsten Daten eines Unternehmens. Tendenziell wächst über die Jahre der Personenkreis, der Zugriff auf geschäftskritische Daten hat, wobei der Schutz dieser Accounts oftmals zu wünschen übriglässt. Wer den Zugriff nicht dringend benötigt, sollte nur eingeschränkte Rechte erhalten.

Getrennte WiFi-Netzwerke

Unternehmen sollten unbedingt ein dediziertes WiFi-Netzwerk für Gäste einrichten, das von ihrem Firmennetzwerk getrennt ist. Es gibt keine Möglichkeit, den Gastzugang sicher zu verwalten, sodass nur Endgeräte, die von den IT-Teams erfasst sind, im Firmen-WiFi erlaubt sein sollten.

Verstärkte Endgeräte-Hygiene

Wechseln Unternehmensgeräte die Umgebung steigt die Gefahr, dass IT-Teams trotz Management- und Sicherheitsagenten wenig Einblick haben, wie diese Devices konfiguriert, gepatcht und abgesichert werden. Darüber hinaus verfügen Heimnetzwerke nicht über die gleichen Netzwerkkontrollen wie Unternehmensnetzwerke. Umso wichtiger sind Endgerätesicherheit und -hygiene. Neben der Benutzer- und VPN-Authentifizierung sollte die Identifizierung und Kategorisierung unternehmenseigener und privater Endgeräte ganz oben auf der Agenda stehen. Auf diese Weise können spezifische Sicherheitsrichtlinien auf BYOD-Geräte angewendet und deren Verhalten überwacht werden.

Fakt ist: Ohne eine gute Cyber-Hygiene können auch die leistungsfähigsten Tools nicht ausreichend Schutz bieten. Vielen Unternehmen sind die Grundlagen der IT-Hygiene bekannt. Wie kann es also kommen, dass es immer wieder zu gravierenden Sicherheitsverletzungen kommt? Hier spielt menschliches Fehlverhalten eine entscheidende Rolle. Denn um die Resilienz auf Dauer zu optimieren, ist es nicht nur wichtig, die Regeln zu kennen, sondern insbesondere, diese einzuhalten. An einer Sensibilisierung und Schulung der Mitarbeiter führt daher kein Weg vorbei. Darüber hinaus sollten Sicherheitsrichtlinien erstellt werden, die speziell für Remote-Mitarbeiter konzipiert sind. Hierzu zählt sowohl eine Auflistung der Tools und Lösungen, die verwendet werden dürfen, als auch eine Schritt-für-Schritt-Anleitung im Fall einer Kompromittierung.

Angriffsvektoren identifizieren

Doch Unternehmen können ihr Netzwerk auch selbst auch Herz und Nieren testen, indem sie die Rolle des Hackers einnehmen und zu automatisierten Lösungen zur Simulation von Attacken greifen. Tools zur Breach and Attack Simulation (BAS) zeichnen diese Scheinangriffe kontinuierlich und minutiös auf, sodass IT-Teams potenzielle Schwachstellen erkennen können. Die Lösung simuliert und priorisiert die Angriffspfade, die geschäftskritische Systeme gefährden und bietet kontextabhängige Abhilfemöglichkeiten.

Manuelle Tests sind längst nicht effektiv genug, da das Netzwerk einem ständigen Wandel unterliegt. BAS-Lösungen gehen weit über manuelle Penetrationstests hinaus und hilft dabei, alle vorhandenen Angriffsvektoren zu identifizieren, einschließlich derer, die in vielen Fällen aus dem Raster klassischer Schutzmaßnahmen fallen. Unternehmen können auf diese Weise eine kontinuierliche Verbesserung der Sicherheitslage erreichen.

Tilman Epha, Sales Director DACH bei XMCyber

XMCyber