Prävention und Reaktion Sichtbarkeit wirksam nutzen für Sicherheit und Resilienz

Anbieter zum Thema

Recorded Future

CrowdStrike GmbH

Mondoo GmbH

Controlware GmbH

Securepoint GmbH

mehr weniger

WatchGuard Technologies GmbH

weniger

Was zählt, ist Handlungsfähigkeit. Sichtbarkeit hilft, Konten schnell zu sperren, Geräte zu isolieren und E‑Mails zu stoppen. Damit Stress, Aufwand und Kosten sinken, braucht es gute Vorbereitung, klare Zuständigkeiten und sinnvolle Automatisierung.

„Houston, wir haben ein Problem!“ Die stetig wachsende Datenmenge ist längst zum Nebelmeer geworden. In diesem Nebel ist es zwar möglich, jeden Schritt von Cyberkriminellen genau zu verfolgen und bei direkten Angriffen quasi zuzuschauen. Doch herrscht bei Analysten Hektik: Playbooks fehlen, Mitarbeitende werden ohne klare Anweisungen nach Hause geschickt. Wurden sie richtig vorbereitet?

Daten gibt es also im Überfluss. Doch wird es in der immer komplexer werdenden IT-Welt von heute immer schwieriger, Unternehmensdaten richtig und nachhaltig zu schützen. Neue Technologien wie Cloud und Software as a Service (SaaS) verändern das Risikoprofil: In vielen Unternehmen laufen zahlreiche SaaS‑Dienste parallel. Technisch sind sie integrierbar, praktisch aber oft nur teilweise angebunden. Dadurch sind im Laufe der Zeit Silos und Lücken in Prozessen entstanden, die es anzupassen gilt. Hinzu kommen immer mehr Identitäten und Endpunkte, die überwacht werden müssen. Und neue Bereiche werden in Unternehmen entwickelt, die miteinander vernetzt werden, wie es bei OT und IoT der Fall ist. Zwar hat laut BSI die Resilienz in deutschen KMU zugenommen, doch bleibt sie eine große Herausforderung. Häufig überschätzen KMU nach wie vor, wie gut oder angemessen sie auf Cyberbedrohungen vorbereitet sind.

Nils Rogmann, Head of Competence Center bei Controlware, erklärt: „Aus unserer Sicht werden Security-Teams gerade bei SIEM-Systemen (Security Information and Event Management) teilweise mit so vielen Log-Dateien und Informationen aus unterschiedlichsten Quellen und Security-Disziplinen konfrontiert, dass es kaum noch möglich ist, die wirklich sicherheitsrelevanten Events als solche zu identifizieren.“ Klassische SIEM-Tools reichen also nicht mehr aus. Sie erzeugen oft Daten-Silos und stoßen sowohl an finanzielle als auch an technische Grenzen. „Viele Security-Teams, denen operative Sicherheit wichtig ist, haben sich in den letzten Jahren von den klassischen SIEM-Lösungen abgewandt“, so Rogmann weiter.

Milliardenschäden durch Cyberangriffe

Auch die menschliche Komponente ist entscheidend. Der Austausch ist oft zu wenig oder fehlt ganz, und IT-Teams arbeiten isoliert vom Rest der Organisation. Repetitive Prozesse sind unzureichend automatisiert und stehlen den Mitarbeitenden noch zu viel Zeit. Abgesehen davon müssen Unternehmen oft mit begrenzten Budgets und undeutlichen Rechtsrahmen kämpfen – spürbare Sicherheit bleibt aus. Laut dem Report „Wirtschaftsschutz 2025“ von Bitkom erlitten in diesem Jahr mindestens 87 Prozent der befragten Unternehmen einen Cyberangriff. Hochgerechnet ergibt das einen Schaden von bis zu 289,2 Milliarden Euro im Jahr 2025. Was bleibt nun also als mögliche Lösung?

Vom Sammeln zum Handeln

„Der Fokus muss auf die Vermeidung von offenen Flanken und Schwachstellen gelegt werden“, stellt Matthias Canisius, Head of Sales bei Mondoo, fest. Es werden zu viele einzelne Sicherheitstools genutzt, die zu weit hinten in einer Reaktionskette greifen, nämlich erst dann, wenn der Angriff schon geschehen ist. Canisius führt weiter aus, dass IT-Sicherheit mittlerweile „vermehrt als Reaktion auf etwas bereits Laufendes oder Geschehenes“ verstanden wird. Stattdessen sollten vor allem kritische Systeme zeitnah gepatcht werden, Fehlkonfigurationen wie z. B. ein Türcode mit „1234“ sollten schnell behoben sein, und auch auf Compliance sollten Unternehmen achten, bevor es zu spät ist. Michael Chalvatzis, Senior Director DACH & Eastern Europe bei Recorded Future, betont außerdem, dass auch Threat Intelligence ein „zentraler Faktor“ sei, um „operative, finanzielle sowie regulatorische Schäden zu minimieren“. Wichtig hierbei sei vor allem Automatisierung und die Integration der Threat Intelligence in eine ganzheitliche Herangehensweise. Chalvatzis nennt automatisierte Security-Workflows, Verknüpfungen interner Daten mit externen Erkenntnissen und Echtzeit-Threat-Intelligence als grundlegende Maßnahmen, um „echte Bedrohungen in den Vordergrund zu rücken und die Zeit für die Bearbeitung von Fehlalarmen zu verkürzen“.

Moderne Threat Intelligence mit Unterstützung von KI

Unterstützt werden soll das ganze von KI. Neben Recorded Future zeigt zum Beispiel auch Crowdstrike, in welchem Maß KI bei Threat Intelligence und Security Operation Center (SOC) entlasten und beschleunigen kann. Der Sicherheitshersteller plant ein vollautomatisches SOC, bestehend aus unterschiedlichen KI-Agenten, die Daten sammeln, analysieren, priorisieren und entsprechende Handlungsempfehlungen aussprechen und wenn möglich selbst ausführen können. Dabei wird der Fokus unter anderem darauf gelegt, dass die proaktiven Maßnahmen automatisch mit „Human-in-the-loop“ ausgeführt werden, während reaktive Maßnahmen weiterhin manuell und durch menschliche Hände stattfinden. Ein modernes SOC würde demnach nur durch die Kombination von Agenten und Menschen funktionieren. Auch Controlware setzt hier an und unterstützt IT-/Security-Teams mit moderner EDR/XDR-Technologie (Endpoint/Extended Detection and Response). Mit EDR/XDR ist es möglich, Muster zu erkennen und bei Anomalien schnell einzudämmen. Mit darauf aufbauenden Managed SOC-Leistungen, wie Incident-Analyse und Threat Hunting, lassen sich Bedrohungen frühzeitig erkennen und bewerten. Hierdurch können – im Sinne von Detection and Response – passende Gegenmaßnahmen eingeleitet oder konkrete Handlungsempfehlungen ausgesprochen werden, erklärt Rogmann. Ihm zufolge ist als präventive Maßnahme insbesondere das Vulnerability-Management von zentraler Bedeutung. Dabei geht es um die „IT-Basis-Hygiene“, also darum, das komplette Netzwerk mit allen Geräten und Endpunkten im Blick zu behalten und zu inventarisieren.

Entscheidend ist jedoch nicht nur die Darstellung des Netzwerks. Wie Canisius sagt, ist es wichtig, „einen detaillierten Kontext einzubeziehen und mögliche Assets sowie die damit einhergehenden Schwachstellen zu identifizieren und vor allen Dingen zu priorisieren“. Sichtbarkeit bringt nur dann Handeln sollte also immer mitgedacht werden, dabei spielen auch Mitarbeiterschulungen eine Rolle. Awareness-Schulungen sollten von Tag eins an mitgemacht werden, unterstreicht Rogmann. Zugleich ergänzt er, dass sich mit präventiven Technologien und Maßnahmen im besten Fall Situationen vermeiden lassen, in denen Nutzer mit einer Bedrohung konfrontiert werden, wie etwa durch einen infizierten Link.

Compliance bereits in der Entwicklung

Auf ins DACH-Universum: Partnerprogramm PLANET Mondoo

SecOps statt Silos

Canisius sieht noch ein weiteres Problem: „Die Herausforderung liegt darin, dass diejenigen, die das Problem entdecken – die Mitarbeitenden der Security-Abteilung – in der Regel nicht diejenigen sind, die für die Behebung des Problems verantwortlich sind.“ Die Aufgaben des „Fixens“ liegen in der Regel bei Operations- oder Plattform-Teams, so der Experte. Als mögliche Lösung integriert Mondoo beispielsweise seine Plattform direkt in bestehende Kunden‑Workflows. Mondoo überwacht die Kundenumgebung kontinuierlich, priorisiert Sicherheitsbefunde nach Risiko und Kontext und eröffnet im ITSM (IT-Service-Management) des Kunden automatisch Tickets mit klaren Handlungsanweisungen in verständlicher Sprache. Die Tickets werden den zuständigen Teams zugewiesen, der Fortschritt wird nachverfolgt und die Behebung durch eine erneute Prüfung verifiziert.

Auch für die verstärkte Vernetzung von OT und IT spielt die Kommunikation eine große Rolle. Für IT-Security-Teams sind OT-Umgebungen häufig eine Art Black Box, wie Rogmann erklärt. Durch passende OT-Security-Sensorik – idealerweise in Kombination mit einem klassischen Schwachstellen-Management – kann deutlich mehr Sichtbarkeit und Transparenz geschaffen werden. Die Folgen eines solchen Ausfalls können sehr kostspielig werden. Deswegen ist es wichtig zu wissen, welche Systeme das Unternehmen hat, wem diese gehören und wie man diese schützt. Wer ist erreichbar, wenn Feiertag ist oder es drei Uhr nachts zu einem Notfall kommt? „Ein SOC wird erst dann effektiv, wenn man die unterschiedlichen Disziplinen miteinander kombiniert“, so Rogmann. Die starke Zunahme an Security-Silos – etwa für IT, OT und Cloud – sei laut Rogmann besonders herausfordernd.

Unternehmen brauchen mehr Resilienz

Resilienz ist das Schlagwort. Ein Unternehmen muss vorsorgen, wie Canisius es benennt: „Da kann man den Begriff ‚Vor-Sorge‘ ruhig einmal wörtlich nehmen: Aktiv Handeln, bevor wir uns sorgen müssen.“ Größere Schäden und Kosten müssen von Anfang an minimiert werden. Darunter fallen Basics wie unter anderem eine sinnvolle, funktionierende Netzwerksegmentierung und Update-Mechanismen. Rogmann spricht davon, erst einmal „Mauern aufzuziehen, damit das SOC schon so ein bisschen weniger Aufwand hat“. Darüber hinaus sei vor allem die Reihenfolge der Investments wichtig.

Dabei braucht es allerdings auch ein SOC, denn Unternehmen werden nie komplett verhindern können, das es zu einem Vorfall kommt. Viele IT-Teams fühlen sich heutzutage eher wie eine Feuerwehr. Der Level-1-Support ist durch Anfragen überlastet, und es werden sehr viele Telemetriedaten gesammelt, mit denen sich intern aber oft keiner auskennt. Unternehmen sind besorgt um ihre Daten und wollen wissen, wo sie verteilt werden, dass manchmal vergessen wird, den Blick ins Hier zu richten. Laut IT-Lagebericht 2025 des BSI würden Unternehmen und politische sowie politiknahe Organisationen die Bedrohungslage noch zu gering schätzen, um eine flächendeckende Resilienz aufzubauen. Notwendig sei „eine gesamtgesellschaftliche Steigerung der Präventionsfähigkeiten durch ein wirksames Angriffsflächenmanagement“.

(ID:50626880)