Security-Architekturen müssen 2019 neu gedacht werden, warnen Experten. © Pixabay

Die Bedrohungslage wird zunehmend kritisch

Verschiedenste Datenlecks und Cyberangriffe zeigten in den vergangenen Monaten einmal mehr, welche Rolle das Thema Sicherheit für Unternehmen spielen sollte. Nahezu wöchentlich gibt es beispielsweise neue Meldungen über hohe Schäden und Verluste aufgrund von Datendiebstahl. Dabei spielt oft auch der Faktor Mensch als Sicherheitsrisiko eine bedeutende Rolle.

 Sicherheit ist wichtig – ein Grundsatz, der heute eigentlich jedem klar sein sollte. Dennoch kommt es in schöner Regelmäßigkeit zu dramatischen Problemfällen, die der IT in Unternehmen Probleme bereiten. Erst jüngst gab beispielsweise Trend Micro bekannt, im Google Play Store sechs Anwendungen, die auf sensible Daten von WhatsApp, Facebook und Co. zugreifen, gefunden zu haben. Die in den Apps identifizierte Malware nennt sich ANDROIDOS_MOBST­SPY. Die Programme konnten im Jahr 2018 ­heruntergeladen werden und haben Nutzer in mehr als 200 Ländern betroffen.
„Das Geschäftsmodell von Anwendungen wie WhatsApp, Facebook und Co. besteht darin, möglichst viele Daten präzise zu sammeln und diese mitunter weiterzugeben. Wer solche Apps nutzt, sollte sich stets darüber im Klaren sein, dass die Daten nicht missbräuchlich, sondern zwangsweise an andere Stellen übermittelt werden“, sagt Hans Zeger von Arge Daten.

Malware-Trends
Apropos Malware: Die Sicherheitsforscher von Avast haben auf Basis ihrer bisherigen Erfahrungen einige Trends bei Schadsoftware für 2019 prognostiziert. Sie sind unter anderem der Überzeugung, dass sich die Cyber-Gangster mit ihren Ransomware-Angriffen im Jahr 2019 verstärkt auf Unternehmen und Organisationen konzentrieren, da diese – im Gegensatz zu privaten Nutzern – sehr viel höhere Lösegeldsummen zahlen können und dies aufgrund des hohen Werts der gestohlenen Daten auch oft tun.
Sind die Angreifer in ein Netzwerk eingedrungen, starten diese den Angriff meist nicht sofort, sondern beginnen erst damit, alle mit dem Netzwerk verbundenen Geräte zu infizieren. Ist ein Großteil der Geräte infiziert, erhöht sich die Wahrscheinlichkeit, dass das Unternehmen das Lösegeld zahlt. Je mehr Daten betroffen sind, desto höhere Summen können die Angreifer fordern.

Router als Einfallstor
Als „Eintrittskarte“ werden den Forschern zufolge immer häufiger Router missbraucht werden. Unternehmen, die viele vernetzte Geräte im Einsatz haben, sind durch die vermehrt eingesetzten routerbasierten Angriffe besonders bedroht. Cyberkriminelle infizieren in diesem Rahmen zunächst ein Gerät und starten anschließend eine große Anzahl von Kommunikationsbefehlen an einen Command-and-Control-Server – ohne jedoch eine sofortige Aktion durchzuführen. Wurden die Geräte infiziert, können die Malware-Programme im Anschluss den Netzwerkverkehr abhören, digitale Fingerabdrücke vom Netzwerk und allen damit verbundenen Geräten machen, und sie können es dem Command-and-Control-Server ermöglichen, neue Nutzlasten oder Anweisungen an das Gerät zu senden.
Auch fortschrittliche Technologien könnten 2019 im Repertoire der organisierten Cyberkriminalität auftauchen – wie zum Beispiel künstliche Intelligenz, polymorphe IoT-Malware, die ihre Verhaltensweise etwa durch unterschiedliche Verschlüsselung für die Kommunika­tion mit einem Command-and-Control-Server oder durch ein verschiedenartiges Angriffsverhalten pro Gerät ändern kann, oder modulare IoT-Malware, die sich nach der Infizierung einer Vielzahl von IoT-Geräten nach den Wünschen der Angreifer individuell umprogrammieren lässt. „In den vergangenen zwei Jahren haben wir einen massiven Anstieg von Angriffen auf Unternehmensnetzwerke gesehen. Mit neuen Angriffsmethoden der Cyberkrimi­nellen wird sich dieser Trend auch im Jahr 2019 fortsetzen“, prognostiziert Oliver Kunzmann, ­Senior Technical Sales Engineer bei Avast. „Um den Angreifern zuvorzukommen, benötigen Unternehmen ein sicheres Netzwerk mit aktuellstem Schutz. Durch die interne IT-Abteilung oder in Zusammenarbeit mit Managed-Service-Providern sollten Unternehmen umfassende Schutzmaßnahmen ergreifen, um sich auch im neuen Jahr vor den Bedrohungen zu schützen.“

Sicherheit in Unternehmens-IT
Auch vonseiten der Politik wurden die Zeichen der Zeit erkannt. Es gilt, gemeinsam zu handeln, denn auch die „Gegenseite“ schert sich nicht um ­Landesgrenzen. Die EU-Verordnung eIDAS für den sicheren grenzüberschreitenden Datentransfer soll 2019 eine starke Verbreitung erfahren und das IT-Sicherheitsgesetz weitere Branchen und Unternehmen umfassen, erklärt Detlev Henze, Geschäftsführer der TÜV TRUST IT. Doch gleichzeitig würden die Cybergefahren deutlich zunehmen. Deshalb müssten Vermögenswerte besonders geschützt, Architekturen der produk­tionsnahen IT verändert und KI-Lösungen für einen vorausschauenden Schutz entwickelt werden, wie der Fachmann betont (siehe dazu auch den Gastkommentar von Detlev Henze in dieser Ausgabe).
Im Zusammenhang mit Operational Technology (OT) in Produktions- und Industrieanlagen stellt der Experte fest, dass veränderte Architekturen notwendig seien, die eine nahtlose Integration von Business- und Produktions-IT ermöglichen, um durchgängige Sicherheitsprozesse zu etablieren. Zudem erzeuge nicht nur die Industrie 4.0 neue Gefahren, sondern auch herkömmliche Fertigungssysteme und -maschinen, da sie zunehmend IP-Adressen besitzen und webbasiert gesteuert werden. Damit wird aber die Angriffsfläche deutlich erweitert.

Wolkig mit Aussicht auf Datensicherheit
Aber nicht nur im Industrieumfeld, sondern auch in „ganz normalen“ Unternehmen ist ein neuer Umgang mit dem Thema IT-Sicherheit gefordert. Der Grund dafür ist der Siegeszug der Wolke. Wenn Unternehmen komplette Geschäftsprozesse in die Cloud verlagern, lassen sich die erwarteten betriebswirtschaftlichen Ziele laut dem IT-Sicherheitsanbieter NTT Security nur dann erreichen, wenn die Migration von Anfang an durch eine umfassende IT-Security-Strategie abgesichert ist – bei der die Sicherheit der Daten eine entschei­dende Rolle spielt. NTT Security konkretisiert die wichtigsten Aktivitäten in fünf Schritten.

1. Daten identifizieren und klassifizieren.
Zu Beginn müssen Unternehmen ermitteln, welche Applikationen und Daten bei der Migration vom eigenen Rechenzentrum zu einem Cloud-Provider übertragen werden sollen. Dabei ist beispielsweise zu klären, um welche Art von Daten es sich handelt und ob personenbezogene Daten involviert sind, denn dann gelten die strengen Vorschriften der DSGVO. In welchen Applikationen werden die Daten von wem und wie genutzt? Werden sie nur gelesen oder auch weiterverar­beitet? Aufgrund dieser Informationen wird das Security-Modell aufgebaut.

2. Das Schutzniveau für jeden Arbeitsschritt im Workflow festlegen.
Auf Basis der Klassifikation und der Risikobewertung der Daten müssen für jeden Arbeitsschritt in der Workload das Schutzniveau und die Schutzklasse festgelegt werden. Wird Verschlüsselung benötigt, und wenn ja, wann: während der Übertragung, bei der Speicherung, auf Feldebene? Werden Pseudonymisierung oder Tokens benötigt? Wo sollen die Encryption-Keys aufbewahrt werden: On-Premises, direkt beim Cloud-Provider oder bei einem separaten Cloud-Provider?

3. Regeln für die Zugriffskontrolle definieren.
Um ein hohes Schutzniveau erzielen zu können, dürfen die Daten zu keinem Zeitpunkt im Verlauf eines Geschäftsprozesses ungeschützt zugänglich sein. Zudem muss sichergestellt sein, dass Kopien gespeicherter oder archivierter Daten während der Verarbeitung ebenso geschützt sind wie die Originale und dass diese Kopien, wenn sie nicht mehr benötigt werden, gelöscht werden. Abhängig von Rollen im Unternehmen werden Zugriffsberechtigungen vergeben, und deren Einhaltung wird überwacht, sodass niemand Unbefugter Daten lesen, kopieren, ändern oder löschen kann.

4. Alle Datenzugriffe in Log-Files aufzeichnen.
Unternehmen müssen Regeln zur Vergabe von Zugriffsberechtigungen mit einem umfassenden Log-Management verknüpfen. Zugriffsprotokolle erfassen und speichern alle Datenaktivitäten. Diese Aufzeichnungen und die Auswertung aller Datenzugriffe sowie anderer sicherheitsrelevanter Ereignisse sind Voraussetzung für ein lückenloses IT-Sicherheits-Monitoring. Die Analyse der Log-Files ermöglicht einerseits, außergewöhnliche Ereignisse zu erkennen und deren Ursachen zu ermitteln, und sie unterstützt Unternehmen andererseits bei der Nachvollziehbarkeit aller Aktivitäten bei Security-Audits.

5. Lebenszyklus der Daten beachten.
Die Aufbewahrungspflicht von Daten ist in der Finanzdienstleistungs-, Medizintechnik-, chemisch-pharmazeutischen und in anderen Branchen im Detail reglementiert. Der Schutz personenbezogener Daten über deren gesamten Lebenszyklus ist in der DSGVO geregelt – egal, ob sich die Daten im eigenen Rechenzentrum oder in der Cloud befinden. Für Unternehmen bedeutet das: Sie müssen dauerhaft die vollständige Kontrolle über personenbezogene Daten behalten, von der Erfassung über die Verarbeitung bis zur Archivierung. Das gilt für Individual- und Standard-Applikationen, egal, ob sie sich On-Premises oder in der Cloud befinden.

Sicherheit als Modul
Für die Hersteller bedeuten all diese Veränderungen die Notwendigkeit umzudenken. So vollzog in den vergangenen Monaten beispielsweise der einstige Smartphone-Produzent BlackBerry einen Wandel zum Sicherheitsspezialisten. Anlässlich der Consumer Electronics Show (CES) präsentierte das Unternehmen mit BlackBerry Secure eine Technologie, die es auch Herstellern ohne Security-Expertise leicht machen soll, Geräte im Internet der Dinge sicher zu gestalten. Das soll nicht zuletzt helfen, das Konsumentenvertrauen zurückzu­gewinnen.
„2019 wird das Jahr, in dem Konsumenten anfangen, mit der Geldbörse zu entscheiden und Produkte auszuwählen, die mehr Sicherheit und Privatsphäre versprechen“, meint Alex Thurber, SVP und General Manager für Mobility Solutions bei BlackBerry. Diese Ansicht scheint auch eine vom Unternehmen beauftragte Studie zu stützen, der zufolge 80 Prozent der Nutzer in Großbritannien, Kanada und den USA nicht darauf vertrauen, dass ihre internetfähigen Geräte ihre Daten und ihre Privat­sphäre ausreichend sichern. Mehr als die Hälfte dieser Nutzer würde der Studie zufolge für mehr Sicherheit auch einen – vorzugsweise moderaten – Aufpreis in Kauf nehmen.
Eben da setzt BlackBerry mit Secure an. Das ­Angebot umfasst dabei Technologie und Softwarelizenzierung. Die Pakete versprechen Herstellern diverser Geräte vom Smart Speaker bis hin zum Fitnessarmband die Möglichkeit, ohne große Cybersecurity-Expertise im eigenen Unternehmen Produkte anzubieten, die ein hohes Maß an Sicherheit bieten – und somit eher das Vertrauen von zunehmend sicherheitsbewussten Kunden zu gewinnen.
Mit drei verschiedenen Paketen bietet BlackBerry Lösungen für verschiedene Anforderungen an. Das grundlegende „Secure Enablement Feature Pack“ verspricht Sicherheit für Fertigung und Lifecycle-Management. Das darauf aufbauende „Secure Foundations Feature Pack“ bietet zusätzlich unter anderem ein sicheres Bereitstellen von Verschlüsselungs-Keys. Das „Secure Enterprise Feature Pack“ ist letztlich insbesondere für Geräte gedacht, die in besonders geregelten oder geschützten Bereichen zur Anwendung kommen.
Trotz aller Initiativen, neuen Entwicklungen und dem gestiegenen Bewusstsein auf Kunden- wie Herstellerseite für die Wichtigkeit von IT-Security bleibt die IT-Sicherheit aber auch in Zukunft vor allem eines: ein Katz-und-Maus-Spiel zwischen den Unternehmen und IT-Security-Forschern auf der einen und den Onlinekriminellen auf der anderen Seite. Sicher ist nur, dass man sich nie zu sicher fühlen darf. (TM)
www.trendmicro.com
www.argedaten.at
www.it-tuv.com
www.blackberry.com
www.vmware.com


INFO-BOX
Sicherheit in der Cloud
Der Unternehmenssoftware-Anbieter VMware erzielte vor Kurzem die höchste Produktbewertung in zwei von drei Anwendungsfällen im Gartner-Report „Critical Capabilities for WAN Edge Infrastructure“. Zudem wurde VMware im ersten Gartner Magic Quadrant für WAN-Edge-Infrastruktur als Leader ausgezeichnet. Dieser Bericht bewertet 20 Anbieter und zeichnete VMware in den Kategorien „Fähigkeit zur Umsetzung“ und „Vollständigkeit der Vision“ aus. „Diese Auszeichnung bestätigt, dass VMware NSX SD-WAN by VeloCloud das branchenführende SD-WAN-Angebot ist und dazu beiträgt, die WAN-Transformation bei Kunden und Partnern voranzutreiben“, erklärt Sanjay Uppal, Vice President und General Manager VeloCloud Business Unit, VMware. „VMware NSX SD-WAN ermöglicht beispiellose Transparenz und Kontrolle von Anwendungen in der Cloud, im Rechenzentrum und On-Premises über einen leistungsstarken Richtlinienmechanismus, integriert Sicherheitsdienste in der Cloud und On-Premises mit übergreifender Richtlinienkontrolle und bietet Unter­stützung für Echtzeitanwendungen wie Sprache, Video, VDI und IoT – und ist damit eine attraktive Komplettlösung für Unternehmen in jeder Größe und Branche.“
NSX SD-WAN kombiniert die Wirtschaftlichkeit und Flexibilität eines Echtzeit-Netzwerk-Overlays mit der Bereitstellungsgeschwindigkeit, Skalierbarkeit und Automatisierung von Cloud-Diensten. Das Ökosystem umfasst Branchenführer wie AT&T, AWS, Check Point, Forcepoint, Fortinet, Google Cloud Platform, IBM Security, Macquarie Telecom, MetTel, Microsoft, Palo Alto Networks, Sprint, Symantec, TelePacific, Telstra, Windstream, Zscaler und mehr. Mit NSX SD-WAN können Unternehmen jeder Größe und Branche Anwendungswachstum, Netzwerkagilität und vereinfachte Zweigstellenimplementierungen unterstützen und den Zugriff auf Cloud-Rechenzentren und SaaS-Anwendungen optimieren.