Angriffe auf die kritische Infrastruktur Phishing-sichere MFA – für KRITIS unabdingbar

Anbieter zum Thema

SCHNEIDER ELECTRIC GMBH

Infinigate Deutschland GmbH

sysob IT-Distribution GmbH & Co. KG

Datenmissbrauch und Cyberkrieg: Die Einführung einer Multi-Faktor-Authentifizierung (MFA) ist eine wichtige Maßnahme, um unbefugten Zugriff auf sensible Daten zu verhindern – wenn man die für das eigene Unternehmen passende Methode wählt.

IT-Sicherheit hat bei kritischer Infrastruktur einen besonderen Stellenwert – quasi per Gesetz. Denn KRITIS-Betreiber werden mit dem IT-Sicherheitsgesetz 2.0 besonders in die Pflicht genommen. So sind sie beispielsweise verpflichtet, ihre IT-Systeme immer auf den neusten Stand der Technik zu bringen, um Störungen zu verhindern. Was genau der neuste Stand ist, wird dabei vom Bundesamt für Sicherheit in der Informationstechnik, BSI, definiert und muss über Sicherheitsaudits, Prüfungen und Zertifizierungen wie ISO27001 nachgewiesen werden.

Aber auch andere Gesetzesinitiativen, die auf Bereiche der kritischen Infrastruktur abzielen, haben ein besonderes Augenmerk auf die IT-Sicherheit. Bestes Beispiel: Das Krankenhauszukunftsgesetz. 4,3 Milliarden Euro an Fördergeldern stellen Bund und Länder für die Digitalisierung des Gesundheitswesens zur Verfügung – unter bestimmten Bedingungen. Eine davon: 15 Prozent der Fördermittel müssen zweckgebunden für die Verbesserung der Informationssicherheit eingesetzt werden. Und weil die Belegschaft und im Kliniksektor auch die Patientinnen und Patienten immer noch das größte Einfallstor für Cyberkriminelle sind, ist es ratsam, eine Phishing-sichere Multi-Faktor-Authentifizierung, kurz MFA, als elementaren Aspekt der IT-Sicherheit im Gesundheitswesen zu betrachten.

KRITIS im Visier

Dieser kleine Exkurs in die Welt der Gesundheitsversorgung ist aber auch deshalb spannend, weil er aufzeigt, was in Branchen passiert, die bisher wenig Digitalerfahrung sammeln durften, in denen dann aber wie mit dem KHZG ein Digitalkatalysator zündet. Ein anderes Beispiel ist die Energiewende, die – wenn sie denn so funktionieren soll, wie es sich die Bundesregierung vorstellt – nur über ein Mehr an Dezentralität gestaltet werden kann. Die dafür benötigten vielen kleineren dezentralen Energieerzeuger müssen dann allerdings irgendwie vernetzt werden, um eine bundesweite Versorgungssicherheit zu sichern. Stichwort Smart Grid mit vielen kleinen, untereinander vernetzten Schaltzentralen auf verschiedensten Ebenen der Stromversorgung.

Beide Beispiele zeigen die Herausforderungen, die insbesondere Einrichtungen der kritischen Infrastruktur mit der IT-Sicherheit haben. Denn letztendlich sind sie von großer Bedeutung für das staatliche Gemeinwesen und ein Ausfall hätte gravierende Versorgungsengpässe oder eine Störung der öffentlichen Sicherheit zur Folge. Mit einem höheren Digitalisierungsgrad geraten jedoch genau diese KRITIS-Strukturen nun aber zunehmend ins Visier von Cyberkriminellen, weshalb gerade im Gesundheitswesen oder der Energieversorgung Phishing, Malware und Ransomware-Attacken deutlich zunehmen, wie aktuelle Studien zeigen.

Monetär und politisch motivierte Angriffe

Dass KRITIS-Strukturen wie Krankenhäuser und Energieversorger so derart ins Visier von Cyberkriminalität rücken, liegt vor allem auch daran, dass die Angriffe nicht nur monetär getrieben sind. Auch politisch motivierte Angriffe auf kritische Infrastrukturen nehmen zu, sind sie doch ein gutes Druckmittel zum Durchsetzen eigener Interessen. Doch egal, mit welcher Motivation ein Angriff gestartet wird, es sind immer noch die Mitarbeitenden, die das größte Sicherheitsrisiko darstellen.

Auch deshalb kommt der Multi-Faktor-Authentifizierung mittlerweile eine so große Bedeutung zu. Sie vermittelt Sicherheit, weil Personen einen Verifizierungsprozess in mehreren Stufen durchlaufen müssen. Am häufigsten ist dabei die Kombination aus Login-Credentials, also einem Nutzernamen und Passwort, sowie einem weiteren Faktor, der in einer zweiten Stufe abgefragt wird. Dazu erhalten Nutzer häufig einen Bestätigungscode auf ein gesondertes Gerät, etwa dem Handy, und müssen diesen wiederum auf der Website oder in der App eingeben. Alternativ werden auch biometrische Merkmale abgefragt oder ein Sensor einer Chipkarte beziehungsweise USB-Token angepingt, um die physische Verortung zu bestätigen.

„Wissen“ ist das schwächste Element

Die einzelnen Faktoren haben dabei unterschiedliche Sicherheitsniveaus. Passwörter und Sicherheitsfragen, der Wissens-Faktor, ist das schwächste Element, gefolgt vom Besitz-Faktor, die Hardwarekomponenten wie Handys, weil beide schnell auch in falsche Hände geraten können. Sicherer ist da der Inhärenz-Faktor, also biometrische Merkmale wie etwa der Fingerabdruck.

Betreiber kritischer Infrastruktur sollten bei der Auswahl der MFA-Dienste deshalb einen Schritt weiter gehen. Ein höheres Sicherheitsniveau bietet die MFA beispielsweise dann, wenn sie für den Login auf die Authentifizierungs­schnittstelle des Endgeräts setzt, also neben der biometrischen Login-Funktion des Geräts auch den nur für das lokale Gerät gültigen PIN umfasst, auch bekannt als Same Device MFA. Ein so konzipierter Dienst hält nicht nur die Kosten bei gestohlenen oder verlorenen Geräten in Grenzen, sondern erleichtert auch das On- und Offboarding der Mitarbeitenden deutlich.

Vorsicht bei Implementierung und Akzeptanz

Bei der Entscheidung für eine MFA-Lösung gibt es jedoch gerade auch mit Blick auf die Implementierungsgeschwindigkeit große Unterschiede. Fällt die Wahl beispielsweise auf 2/MFA-Lösungen wie Security Tokens und physische TAN-Generatoren, müssen sich die Verantwortlichen auf lange Implementierungszeiten einstellen. Vom Kauf der Geräte bis zur letztendlichen Nutzung vergehen oftmals Wochen. Hinzu kommt der organisatorische Aufwand bei Verlust oder Diebstahl der Geräte.

Zudem steigt der Arbeitsaufwand für IT-Adminstratoren, wenn sie weitere Geräte verwalten müssen. Die anvisierte Lösung sollte innerhalb kürzester Zeit implementiert werden können. Für eine Phishing-sichere SaaS-basierte MFA wie der von IDEE liegt die Zeit vom Rollout bis zur Nutzung beispielsweise bei 15 Minuten statt einiger Wochen – für das gesamte Unternehmen.

Und dann müssen natürlich auch immer noch die eigentlichen User „mitziehen“. Viele MFA-Methoden sind umständlich in der Anwendung: User müssen einen USB-Token oder ihr Mobiltelefon hervorholen und mit ihrem Endgerät verbinden, um sich zu authentifizieren. Die Benutzeroberfläche und Bedienung der Authentifizierungslösung sollten so einfach und verständlich wie möglich sein. Bei einer Same Device MFA beispielsweise müssen User nur ihre Geräte entsperren – keine Push-Nachricht, keine QR-Codes, keine Passwörter oder Einmalpasswörter sind notwendig. Mit einer solchen UX ist es ein Leichtes, MFA bei allen Usern durchzusetzen – und gleichzeitig eine hohe Akzeptanz zu garantieren.

Fazit

Es ist davon auszugehen, dass Angriffe auf die kritische Infrastruktur in der Zukunft eher zu- denn abnehmen werden – und Phishing wird einen großen Teil davon ausmachen, schließlich gehören menschliche Fehler zu den größten Gefahrenquellen für die IT-Sicherheit von Unternehmen.

Haben Organisationen erst einmal eine Phishing-sichere MFA implementiert, die zudem von ihren Mitarbeitenden akzeptiert wird, gehören Phishing-Angriffe der Vergangenheit an. Entscheider müssen deshalb in puncto MFA umdenken: Hauptsache, eine funktionierende MFA zu haben, ist nicht mehr genug, sie muss auch vor Phishing schützen. Die kritische Infrastruktur könnte hier zum Vorbild werden, weil die Digitalisierung gerade erst an Fahrt aufnimmt und viele Prozesse komplett neu und dann gleich „richtig“ gestaltet werden können. Die aktuelle Bedrohungslage im Gesundheitswesen und der Energieversorgung zeigt, wie wichtig hier der richtige Schutz ist.

Über den Autor: Al Lakhani ist CEO der IDEE GmbH.

(ID:49704463)