Weniger Komplexität, mehr Effizienz Security Tools – Leistungsfähigkeit vs. Benutzerfreundlichkeit

Anbieter zum Thema

Securepoint GmbH

WatchGuard Technologies GmbH

Insider Research

Moderne Cybersecurity-Tools bieten zahllose Features, doch der Aufwand, echte Angriffe zu erkennen, variiert massiv. Wir zeigen, wie Sie durch optimierte Kombinationen von Technologie, Expertise und Prozessen unnötige Komplexität vermeiden und Sicherheitsmaßnahmen effizienter sowie benutzerfreundlicher gestalten

Kennen Sie das? Sie kaufen ein neues Auto oder eine Spielekonsole und die Ausstattung bietet Ihnen alle Möglichkeiten oder sogar noch viel mehr, als Sie sich wünschen oder brauchen? Und im Alltagseinsatz stellen Sie dann fest, dass Sie weder die Zeit noch das Wissen haben, um wirklich alles zu verwenden, was das neue Gerät bietet? Oder die Art und Weise, wie die Ausstattung konzipiert ist, macht die Anwendung übermäßig komplex und zeitaufwändig? Das, was Sie so im privaten Bereich kennen, gibt es auch im Business-Umfeld. So toll es ist, wenn Sicherheitsanwendungen oder -Software viele Features und Optionen bieten – Fakt ist, dass heutzutage oft die Leistungsfähigkeit im Fokus steht und die Benutzerfreundlichkeit darunter leidet.

Beliebte Klassiker

In diese Tools investieren Security-Experten

Das Ergebnis allein zählt nicht – auch der Weg dorthin ist entscheidend

Vor vielen Jahren habe ich auf einem Projekt einer Regierungsorganisation mitgearbeitet, die erste Sandboxing-Technologien evaluierte. Es wurden eigene Tests durchgeführt, um zu sehen, wie gut die einzelnen Lösungen unbekannte Angriffe erkennen. Die Ergebnisse waren in Bezug auf Erkennungsleistung und Ergebnisse recht vergleichbar, so dass alle Lösungen ziemlich gleichwertig eingestuft wurden. Für mich war das überraschend, so dass ich die Methodik genauer unter die Lupe nahm.

Dabei stellte ich fest, dass man zwar die Leistung der Tools zur Erkennung von Cybersicherheitsvorfällen getestet hatte, sich aber keine Gedanken über den Aufwand gemacht hatte, der nötig war, um die Ergebnisse zu erzielen. Außerdem hatte ein ganzes Team an den Tests gearbeitet. In Wirklichkeit muss ein Mitarbeitender für IT-Sicherheit diese Aufgaben in der Regel allein bewältigen – und sie sind nur ein Teil der Aufgaben. Darüber hinaus wurden Aspekte wie das Verhältnis zwischen echten und falschen Positivmeldungen von Cybersicherheitsvorfällen nicht berücksichtigt. Dabei hängt die Zeit zur Erkennung von echten Cyberangriffen immer auch davon ab, durch wie viel unerwünschtes Nebenrauschen man sich kämpfen muss.

So erreichten die verschiedenen Technologien im Test zwar alle das angestrebte Ziel, unbekannte Cyber-Angriffe zu erkennen. Doch der damit verbundene Aufwand war sehr unterschiedlich. Meine Beobachtungen waren im Detail folgende:

Support-Ende Windows 10, Azure & Co

Diese Produkte mustert Microsoft 2026 aus

Beobachtung 1: Detection-Aufwand und Ergebnisse sind zwei Paar Stiefel

Beim Einsatz verschiedener Tools zur Erkennung von Cybersicherheitsvorfällen werden Sie feststellen, dass die Ergebnisse ziemlich ähnlich ausfallen. Doch der Aufwand, mit dem die Ergebnisse erzielt werden, ist sehr unterschiedlich und hängt auch davon ab, welche Vorkenntnisse und Expertise Ihr Inhouse-Team mitbringt.

Wenn ein Sicherheitsteam sein Cybersicherheits-Tool testet, bewertet es nicht nur dessen Features, sondern auch seine eigenen Kenntnisse und technischen Fähigkeiten. Wichtig ist, dass alle Tests die tatsächliche Nutzung und die Expertise der Mitarbeitenden widerspiegeln.

In meiner früheren Karriere war ich bei einem Beratungsunternehmen für Cybersicherheit beschäftigt, das sich damals auf Incident Response (IR) konzentrierte und über eine im Entstehen begriffene EDR-Technologie verfügte. Das neue EDR-Produkt war das Ergebnis einer Kombination aus maßgeschneiderten Incident Response- und Forensik-Lösungen, die das Team in der Praxis entwickelt hatte. Wir erkannten schnell, dass die technischen Kenntnisse, die für die Nutzung vieler der Funktionen erforderlich waren, die meisten Sicherheitsmitarbeitenden oder -Teams überfordern würden. Das Tool war zu technikfixiert und zu detailliert.

Deswegen entwickelten wir eine abgespeckte Version der Lösung, die den Umfang der gesammelten und auszuwertenden Informationen um das 20-fache reduzierte und nur die häufigsten Muster des Eindringens in einen Endpunkt überwachte. Für einige war dies eine gut brauchbare Version, aber für andere war sie trotz der reduzierten Menge an Sicherheitsdaten immer noch zu technisch, um sie schnell und einfach zu verstehen und richtig damit umzugehen. Um dieses Problem zu beheben, beschlossen wir, einen ergebnisorientierten Managed Service anzubieten.

Schwachstellen-Analyse

Diese SCA-Tools sollten Entwickler kennen

Beobachtung Nr. 2: Fähigkeiten und Expertise müssen mit der Technologie zusammenpassen

Vielleicht entscheiden Sie sich aus finanziellen Gründen dafür, kein eigenes Personal für Cybersicherheit einzustellen. Stattdessen nehmen Sie einen ergebnisorientierten Service in Anspruch. Auch in diesem Fall müssen Fähigkeiten und Technologie übereinstimmen, damit Ihr Unternehmen davon profitieren kann.

Nun entwickelt sich die Welt der Technologie ständig weiter, insbesondere im Bereich der Cybersicherheit. Aus EDR wurde XDR und aus XDR wiederum SDR. Mit jeder Weiterentwicklung wächst der Umfang des technischen Wissens und damit auch die Fähigkeiten, die erforderlich sind, um den gewünschten Nutzen daraus zu ziehen. Fragt man jedoch die meisten Unternehmen, so sind die Mean Time To Detect/Triage/Respond die gängigste Erfolgskennzahlen.

Beobachtung Nr. 3: Die richtigen Kennzahlen in Betracht ziehen

Welche anderen Kennzahlen sollten Unternehmen also in Betracht ziehen, wenn sie die Eignung einer Cybersicherheitstechnologie für ihr Unternehmen bewerten?

Bei der Arbeit mit dem SOC-Team in meinem letzten Unternehmen konzentrierten wir uns auf das WIE, also den Weg, und nicht nur auf das WAS, sprich das Ergebnis. So kannten wir beispielsweise die Basiswerte für die wichtigsten Phasen unseres Incident-Handling und untersuchten kontinuierlich, welche Faktoren darauf Einfluss hatten und welche ihnen widersprachen. Je nach Phase ergab sich folgendes Bild:

Erkennungsphase: In der Regel wirkt sich die Gesamtzahl der generierten Warnmeldungen oder Alerts darauf aus, wie schnell ein sicherheitsrelevanter Vorfall erkannt wird. Deswegen hängt viel davon ab, wie intelligent diese aggregiert werden bzw. wie hoch der Anteil der False Positives ist. Entscheidend ist auch, wie viel Tuning bei der Einrichtung erforderlich ist, um die Alerts in Zukunft auf einem akzeptablen Niveau zu halten – oder wie viel Prozent der Bedrohungen ohne menschliches Zutun erkannt und eliminiert werden können. Außerdem ist wichtig zu wissen, wie hoch der Prozentsatz der Warnungen ist, die zusätzlich manuell von Menschen überprüft werden müssen.

Video-Tipp #70: Microsoft Copilot for Security

So funktioniert Microsoft Copilot für Security

Triage-Phase: Der größte Teil der Zeit eines SOC-Analysten entfällt auf den Bereich zwischen der grundlegenden Triage und der Eindämmung bis hin zur vollständigen Triage, die für die Behebung und Wiederherstellung erforderlich ist. Die Frage, die man sich stellen muss, lautet: Wie viele Beweise benötige ich, um den Angriff sicher zu verstehen und zu erkennen, was der Gegner tun könnte? Das hört sich einfach an, doch die Anzahl der beobachtbaren Daten (Indikatoren für Kompromittierung und Verhalten - IoCs & IoBs) nimmt stetig zu. Das bedeutet, dass man in der Regel eine Menge Konsolensprünge machen muss, um den Angriff mit Sicherheit zu erkennen und zu verifizieren, ob er in der eigenen Umgebung tatsächlich funktioniert hat und was der Angreifer getan hat.

Zu diesem Prozess gibt es immer noch Fragen wie zum Beispiel:

• Wie viel von einer Sicherheitsverletzung ist sichtbar, wie viele Konsolen und wie viele Datenübertragungen sind dafür erforderlich?

• Kann dieser Prozess vereinfacht oder reduziert werden?

• Wie viel von einem Angriff muss man sehen, um darauf vertrauen zu können, dass eine Reaktion mit wenig oder idealerweise ohne menschliches Eingreifen möglich ist?

• Sind 20 Prozent, 50 Prozent oder sogar 75 Prozent eines Angriffs sichtbar?

Reaktionsphase: Die Reaktion bzw. Wiederherstellung nach einem Angriff kann sehr unterschiedlich aussehen. In der Regel lautet die erste Frage, die man sich stellen muss: Sind die erforderlichen forensischen Beweise tatsächlich vorhanden, oder wurden sie aus Kostengründen bereits vor Tagen oder Wochen gelöscht? Doch bei der Frage bleibt es nicht, es kommen noch weitere hinzu: Wenn die Daten vorhanden sind, wie einfach sind sie abrufbar? Versteht das Inhouse-Team, wie damit umgegangen werden muss oder ist es notwendig, externe Unterstützung und Expertise einzukaufen? Ist es ratsam, künftig eigene forensische Tools zu installieren? Wie stellt man sicher, dass die Bedrohung in Zukunft nicht erfolgreich wieder zurückkommt? Sind dafür die notwendige Expertise und Tools intern vorhanden oder müssen sie als Service eingekauft werden? Sind alle Angriffe oder bösartigen Aktivitäten erkannt und entsprechende erforderliche Maßnahmen zur Eindämmung der Bedrohungen ergriffen worden? Fragen über Fragen, die zeigen, dass die richtige Reaktion nicht einfach ist und ein sorgfältiges Abwägen von Aufwand, Erfahrung, Fähigkeiten, Kapazitäten und den richtigen Tools erfordert.

Security-Insider Podcast – Folge 86

Backdoor in xz-Tools erschüttert die IT-Welt

Fazit

Einige CISOs, die ich kenne, arbeiten nach der Prämisse, dass für jede neue Technologie, die eingeführt wird, zwei alte abgeschafft werden sollten. Was würde passieren, wenn wir versuchen, ein ähnliches Prinzip auf die operativen Aspekte der Cybersicherheit anzuwenden? Müsste man dann für jede neue Technologie die Zeit halbieren, die für die Ausführung einer bestimmten Aufgabe benötigt wird? Ich denke, dass letzteres sehr viel schwieriger umzusetzen ist, vor allem, weil Cybersicherheit immer komplexer wird. Wenn das Management von Cybersicherheit effizienter werden soll, muss man sich überlegen, was automatisiert werden kann, was besser in Form von externer Dienstleistung eingekauft wird und was entsprechend der Expertise der eigenen Mitarbeitenden manuell und selbst erledigt werden kann. Und dabei spielt das Thema Anwenderfreundlichkeit von Cybersecurity-Lösungen genauso eine entscheidende Rolle wie die Expertise und die Kapazitäten der eigenen Mitarbeitenden.

Über den Autor: Reiner Dresbach ist Regional Vice President Central Europe bei Cybereason.

(ID:50317915)