Die dunkle Seite der IT Wie sich die Risiken von Schatten-IT eindämmen lassen

Anbieter zum Thema

G DATA CyberDefense AG

WatchGuard Technologies GmbH

mibeca GmbH – Mike Bergmann Akademie

Schatten-IT beschäftigt die Verantwortlichen in Unternehmen nun schon seit vielen Jahren – Tendenz zunehmend. Wie kann DNS-Security konkret dabei helfen, die Herausforderung Schatten-IT nachhaltig in den Griff zu bekommen?

Das Phänomen der Schatten-IT ist ein leidiges Thema in vielen Unternehmen. So existieren dort oft parallele, inoffizielle Zweitsysteme, die vor allem in Fachabteilungen neben der eigentlichen IT-Infrastruktur ein Eigenleben führen. Was sind nun die Gründe und wichtigsten Treiber für diese Entwicklung? Oft ist die Nutzung entsprechender Systeme der Bequemlichkeit der Mitarbeitenden geschuldet: Es geht schneller und ist einfacher, auf vertraute Anwendungen zurückzugreifen – anstatt die offiziell im Unternehmen genehmigten Applikationen zu verwenden. Dies ermöglicht in vielen Fällen ein effizienteres Arbeiten. Beispielsweise nutzen manche Angestellte ihre privaten Smartphones auch für Firmenzwecke (BYOD) oder teilen Daten über Cloud-Ressourcen wie Dropbox. Ein weiteres Beispiel: Obwohl das Unternehmen über ein CRM-System verfügt, sind manche Mitarbeitende damit derart überfordert, dass sie ihre Kontakte und Aktionen weiterhin in den gewohnten Excel-Listen verwalten. So entsteht ein unkontrollierter IT-Wildwuchs aus privaten Geräten, Software-Tools und Insellösungen, die nicht von der zentralen IT verwaltet, kontrolliert und abgesichert werden.

Schatten-IT birgt enorme Sicherheitsrisiken

Die größte Herausforderung solcher Strukturen liegt auf Seiten der IT-Sicherheit: So entspricht die verwendete Hard- und Software in den wenigsten Fällen den unternehmensinternen Sicherheitsrichtlinien, die für die offiziell eingesetzten Technologien gelten. Die Systeme weisen häufig massive Schwachstellen auf, von denen die arglosen Anwender nichts wissen. Dies kann als willkommenes Einfallstor für böswillige Hacker und Cyber-Kriminelle dienen. Dadurch wird nicht nur die Sicherheit der Prozesse, sondern auch die Business-Kontinuität und im Extremfall sogar die Existenz des Unternehmens gefährdet. Dies gilt insbesondere dann, wenn Malware oder Ransomware bestimmte Geschäftsabläufe oder ganze Abteilungen komplett lahmlegen.

Dabei sind nicht nur die firmeninternen Prozesse und Systeme, sondern vor allem die Daten einem kritischen Sicherheitsrisiko ausgesetzt. Dies ist vor allem bei der sorglosen Nutzung von Filesharing-Diensten wie Dropbox oder anderen Freeware-Lösungen für den Austausch großer Datenmengen der Fall: Dadurch können unter Umständen vertrauliche oder datenschutzrechtlich sensible Informationen in die Hände des Dienstanbieters gelangen. Dieses Risiko besteht insbesondere dann, wenn die Daten nicht zusätzlich verschlüsselt werden. Dies gefährdet nicht nur die Datenintegrität des Unternehmens, sondern kann auch rechtliche Konsequenzen haben. Denn nach den geltenden Compliance-Richtlinien wie etwa der europäischen Datenschutz-Grundverordnung (DSGVO) sind Unternehmen zur ordnungsgemäßen Verarbeitung von personenbezogenen Daten verpflichtet. Gehen Daten durch ein Sicherheitsleck verloren, müssen die Verantwortlichen im Unternehmen – unter Umständen sogar persönlich – dafür haften. Je nach Organisationsstruktur trifft es hier die Geschäftsführung, den Finanzvorstand, den CIO oder auch den Compliance-Beauftragten.

Aufklärung als zentrales Element der Vorbeugung

Um nun der Ausbreitung von Schatten-IT-Strukturen entgegenzuwirken und entsprechende negative Auswirkungen für das Unternehmen einzudämmen, kommen verschiedenste Maßnahmen in Betracht: Als probates Mittel dient hier zunächst ein hinreichendes Maß an Aufklärung. So sollten die Mitarbeitenden der Fachbereiche in enger Zusammenarbeit mit der IT-Abteilung und einem Vertreter der Geschäftsführung gezielt für das Thema Datensicherheit und die entsprechenden Compliance-Anforderungen sensibilisiert werden. Dabei müssen die IT-Verantwortlichen in der Lage sein, den Anwendern eine nutzerfreundliche und gleichzeitig hochsichere Umgebung zur Verfügung zu stellen. So kommen Letztere erst gar nicht in Versuchung, auf zweifelhafte – aber sehr effiziente und einfach zu handhabende – Schatten-IT-Systeme auszuweichen. Sinnvoll ist es auch, das Personal zur konstruktiven Mitarbeit in puncto IT-Optimierung ins Boot zu holen. Beispielsweise können Angestellte dazu aufgefordert werden, eigene Verbesserungsvorschläge für IT-Anwendungen und die Hardware-Ausstattung einzubringen. Sofern diese den Compliance-Richtlinien und Performance-Anforderungen entsprechen, können sie durchaus Teil der unternehmensweiten IT-Architektur werden.

Neben einer offenen Kommunikation und einem konstruktiven Dialog zwischen der IT-Abteilung und den Anwendern in den Fachbereichen sind zudem Maßnahmen auf technischer Ebene zu empfehlen. So sollten professionelle Tools eingesetzt werden, um Schatten-IT-Aktivitäten effektiv aufzuspüren. Dazu zählt beispielsweise auch die Implementierung eines Früherkennungssystems, das die Prozesse lückenlos überwacht. Geradezu prädestiniert hierfür ist eine Lösung auf Basis von DNS-Security. DNS (Domain Name System) -Systeme verbinden Clients mit Web-Adressen. Gibt ein User beispielsweise eine URL ein, startet der Server zur Erkennung des Hostnamens eine DNS-Anfrage. Der DNS-Server informiert im Anschluss den DNS-Client über die IP-Adressen, welche die angeforderte URL hosten.

DNS als Einfallstor für Cyber-Angriffe

Das DNS fungiert in IT-Systemen als wunder Punkt und öffnet Tor und Tür für Cyber-Angriffe. Kriminelle Hacker haben dies längst erkannt und nutzen die Schwachstelle, um in fremde Netzwerke einzudringen, Informationen zu stehlen, Daten zu verschlüsseln oder im Extremfall diese zu eliminieren. Daher muss das DNS in besonderer Weise geschützt werden. Und nicht nur das. Zusätzlich lässt sich das System aktiv zur Verteidigung einsetzen. Denn es ist in der Lage, die Absicht des gesamten IP-Verkehrs lückenlos zu erkennen. Daher leistet das System wertvolle Dienste als erste Verteidigungslinie (First Line of Defense) gegen Cyber-Attacken. Aufgrund des transparenten Überblicks über die gesamte Netzwerkaktivität und der zentralen Rolle als verbindendes Element zwischen Nutzer, Webinhalten und Browser eignet sich das DNS optimal als wirksames Verteidigungsbollwerk. Darüber hinaus bietet das System Funktionen zur Erkennung von Anomalien sowie vorausschauende Sicherheits-Features zur Blockierung verdächtiger Verbindungen.

Das DNS-basierte Monitoring von Traffic- und Netzwerkdaten trägt dazu bei, das Verhalten der Nutzer besser nachzuvollziehen. Dadurch lassen sich Schatten-IT-Strukturen präzise erkennen und Gegenmaßnahmen einleiten. So haben bereits viele Unternehmen die Wirksamkeit von DNS-Security erkannt und nutzen das System, um gegen entsprechende Aktivitäten vorzugehen. Daher fungiert die Technologie mittlerweile als bevorzugte Lösung zur Entdeckung und Eindämmung von Schatten-IT. Dies bestätigt auch der DNS Threat Report 2022 von EfficientIP: Demnach erachten 51 Prozent der befragten Unternehmen DNS als genauso wichtig für die Erkennung wie Firewalls, die Deep Packet Inspection (DPI) nutzen.

Fazit

Schatten-IT-Strukturen sind eine ernst zu nehmende Herausforderung für die IT-Sicherheit. Um wirksam dagegen vorzugehen, ist Unternehmen eine zweigleisige Strategie zu empfehlen: Zum einen ist umfassende Aufklärungsarbeit gefragt. Damit werden Mitarbeitende überzeugt, sich an die sicherheitskonforme Nutzung der IT-Systeme zu halten. Die zweite Säule der Strategie bilden technische Lösungen wie etwa DNS-Security. Diese sind geeignet, um Schatten-IT-Aktivitäten verlässlich aufzuspüren und bilden die Basis für effektive Gegenmaßnahmen.

Über den Autor: Rocco Koll trägt die Verantwortung für das Management und das strategische Wachstum bei Efficient IP, dem Spezialisten für Netzwerkautomatisierung und IT-Sicherheit.

(ID:48751047)