KMUs im Fadenkreuz von Cyberkriminellen Kann man Sicherheit sehen?

Anbieter zum Thema

Lywand Software GmbH

G DATA CyberDefense AG

sysob IT-Distribution GmbH & Co. KG

WatchGuard Technologies GmbH

Zu der Digitalisierung gehört auch, dass die Vernetzung die weltweite Wirtschaft zu einer gigantischen Angriffsfläche zusammenführt. Wie einfach oder wie schwierig es für Cyberkriminelle ist, sich Zugang zu Unternehmen zu verschaffen, hängt davon ab, wie ausgereift die IT-Security-Maßnahmen sind.

In noch früheren Stadien der Digitalisierung waren für Hacker vornehmlich Ziele, bei denen Angriffe für großes Aufsehen sorgen, interessant. In diese Kategorie fällt zum Beispiel der Angriff auf das Playstation Network im Jahr 2011. Der mehrwöchige Ausfall der Plattform sowie die Tatsache, dass die Hacker persönliche Daten aller 77 Millionen Nutzer entwenden konnten, sorgte weltweit für Schlagzeilen.

Populäre Fälle wie diese trugen dazu bei, dass Großunternehmen, die für Hacker prestigeträchtige Ziele darstellen, in den vergangenen Jahren ihre IT-Sicherheit massiv aufgerüstet haben. In die Infrastrukturen ihrer Ziele ein- und weiter vorzudringen ist im Lauf der Zeit für sie immer schwieriger geworden. Um mit einem Hack Chancen auf Erfolg zu haben, sind eingehende Planung und Koordination, anspruchsvolle Tools und mitunter auch eine Portion Insiderwissen erforderlich. Dies alles verlangt mehr finanzielle Ressourcen, welche nur bereit gestellt werden können, wenn ein Sponsor oder zahlungskräftiger Auftraggeber für den Hack existiert. Es lohnt sich für Cyberkriminelle nicht mehr, ihre Kapazitäten auf prominente Ziele zu konzentrieren. Die Angriffstaktiken, die sie in den vergangenen Jahren eingehend verfeinern konnten, lassen sich mit größeren Erfolgsaussichten auf kleine Betriebe und mittelgroße Unternehmen anwenden.

Digitalisierung macht KMUs zu beliebigen Zielen

KMUs stehen nun an dem Punkt, an denen Konzerne bereits vor zehn bis fünfzehn Jahren standen. Sie haben einen signifikanten Anteil ihrer alltäglichen Datenverarbeitung ins Digitale verlegt. Ihre IT-Sicherheitsmaßnahmen sind jedoch nicht vergleichbar mit denen von Konzernen. Hinzu kommt, dass sie es auf Grund ihrer Größe und geringerer Unternehmenspopularität eher für unwahrscheinlich halten, Ziel eines Angriffs zu werden.

Dies ist jedoch ein Trugschluss. Seit die organisierte Cyberkriminalität prominenten Zielen weitgehend den Rücken gekehrt hat, bestimmen nicht mehr Namen von Rang, sondern schlichtweg Zugänglichkeit eine Rolle für die Auswahl von Zielen. In der Mehrheit der Fälle werden Unternehmen noch nicht einmal bewusst ausgewählt. Dies liegt darin begründet, dass Cyberkriminelle ihre Angriffskampagnen nunmehr breit ausrollen. Derzeit mehren sich Angriffe auf die Software-Lieferkette. Supply Chain Attacks zielen auf bislang unentdeckte Schwachstellen in Software und Services ab. Um diese ausfindig zu machen, kommen Exploit Kits zum Einsatz, die automatisiert nach mehreren Schwachstellen im System suchen. Verbreitet werden Exploit Kits durch Phishing E-Mails, Drive-by Downloads und Malvertising. Sind sie erfolgreich, laden sie die hinterlegte Schadsoftware, beispielsweise Ransomware nach, die Hackern schnell weit reichenden Zugriff auf das IT-System ermöglichen soll. Mit derartigen Angriffskampagnen wählen Cyberkriminelle ihre Opfer beliebig aus und können ihren gesamten Instrumentenkasten auszuspielen, sofern ihre Falle zuschnappt.

Wie sicher kann und muss Infrastruktur sein?

Was bedeutet dies für KMUs? Sie müssen sich bewusst machen, dass es mittlerweile zu den Alltagsrisiken gehört, Ziel eines ausgereiften digitalen Angriffs zu werden. Daraus folgt die Konsequenz, die für ihre IT-Infrastruktur geeigneten Schutzmaßnahmen ergreifen zu müssen. Da es zahlreiche Angriffsvektoren gibt, die Cyberkriminelle ausnutzen können, stellt dies eine große Herausforderung dar. Auf dem Markt existiert viele Security-Lösungen, die jegliche Bereiche der IT-Infrastruktur abdecken können. Welche davon für die spezifischen Anforderungen ihrer Infrastruktur ausreichend sind, ist für Unternehmen nur schwer zu durchschauen. Sich regelmäßig vergewissern zu müssen, inwieweit ihre Kunden anfällig für Bedrohungen sind, bedeutet einen überaus zeitintensiven Betreuungsaufwand, der nicht selten den vereinbarten Serviceumfang, beziehungsweise Kostenrahmen, übersteigen würde. Bezahlbare IT-Security ist damit mit einem gewissen Restrisiko verbunden.

In Großunternehmen, die wöchentlich hunderte Cyberangriffe erleben, wird dieses Restrisiko ermittelt: In regelmäßigen Abständen lassen sie von Security-Experten mit Pentests auswerten, wie belastbar ihre Sicherheitsmaßnahmen sind. Tauchen in der Auswertung Schwachstellen auf, können diese anschließend behoben werden. Derartige Security-Audits sind für KMUs jedoch

• meist nicht verfügbar, da nicht alle IT-Security-Dienstleister die Expertise besitzen, diese durchzuführen

• in der Regel nicht, oder nur selten erschwinglich

• schwer verständlich, was das Schließen entdeckter Sicherheitslücken erschwert

Inwieweit ihre IT-Sicherheitsmaßnahmen ausreichend sind, bleibt für die Mehrheit kleiner und mittelständischer Betriebe damit unklar. So fehlt ihnen die Möglichkeit, ihre IT-Security zielgerichtet und kosteneffizient zu verbessern und ihr Sicherheitsrisiko möglichst gering zu halten. Einfach ausgedrückt handelt es sich um folgende Entwicklung: Seit Cyberkriminelle ihre Angriffsfläche massiv vergrößert haben, besteht auch ein großer Bedarf an ausgereiften, individuellen IT-Security-Maßnahmen. Ein Erfordernis, das der Markt gegenwärtig nicht zufriedenstellend bedienen kann. Der Fachkräftemangel in der IT-Security macht es auch Dienstleistern schwer, neue, passende Angebote zu entwickeln.

Automatisierung schafft Sichtbarkeit

Der technologische Fortschritt kann diese Lücke indes schließen. IT-Security-Audits, als Grundlage zielgerichteter Security-Maßnahmen, können automatisiert durchgeführt werden. Derartige SaaS-Lösungen durchsuchen eigenständig interne und externe Ressourcen einer Infrastruktur. Großen Mehrwert schaffen Lösungen mit hoher Benutzerfreundlichkeit, die neben der Überprüfung zusätzliche Funktionen bieten: Anstatt einen langen, detailreichen Prüfbericht zu generieren, dessen Auswertung vertiefte Fachkenntnisse und zusätzlichen Zeitaufwand erfordern, liefern sie für Anwender unmittelbar verwertbare Ergebnisse. Sie erstellen eigenständig einen Maßnahmenplan mit konkreten Handlungsanweisungen, beispielsweise die Durchführung eines Softwareupdates oder das Aktivieren eines Add-Ons, um entdeckte Schwachstellen zu schließen. Sofern erforderlich, geben sie konkrete Produktvorschläge. Der detaillierte Prüfbericht bleibt zusätzlich in einer separaten Ansicht verfügbar. Dies bietet insbesondere für IT-Dienstleister Vorteile: Sie können ihren Kunden Security-Audits zu einem erschwinglichen Preis anbieten und auf effiziente Weise deren Sicherheitsmaßnahmen verbessern. Die vollständige Automatisierung von Security-Audits trägt schließlich dazu bei, die Anfälligkeit von KMUs für Cyberangriffe sichtbar und maßgeschneiderte IT-Security-Maßnahmen auf breiter Ebene unmittelbar verfügbar zu machen.

Über den Autor: Tom Haak verfügt über jahrzehntelange Management- und Vertriebserfahrung in der IT-Security-Branche. Als CEO und Mitgründer von Lywand Software arbeitet er zusammen mit seinem Team daran, zuverlässige IT-Sicherheit auf breiter Ebene verfügbar zu machen und IT-Dienstleister in ihrer Beratungsarbeit zu unterstützen.

(ID:49057031)