Cybersecurity ist heutzutage in aller Munde. Doch was genau verbirgt sich hinter diesem Begriff und warum sollte diesem Thema besondere Aufmerksamkeit gewidmet werden? Wir haben uns mit einem Spezialisten dar\u00fcber unterhalten und genauer nachgefragt \u2013 ein Interview mit Thorsten Urbanski, Head of Communications and Public Relations DACH von ESET<\/a>.<\/strong><\/p>\n <\/p>\n Status quo: Digitalisierung und Cybersecurity; welchen Anforderungen und Risiken sehen sich Unternehmen gegen\u00fcber und wie haben sich diese im Laufe der Zeit ver\u00e4ndert?<\/strong><\/p>\n Ein Aspekt der Digitalisierung ist sicher unsere ver\u00e4nderte Kommunikation. Heute haben wir neben E-Mail und Messenger alle m\u00f6glichen Formen von digitalen, mobilen Kommunikationsdiensten und -anbietern. Das bedeutet im Umkehrschluss, dass unsere Daten ebenso mobil sind. F\u00fcr einen l\u00fcckenlosen Schutz bedeutet dies eine grosse Herausforderung.<\/p>\n Ein weiterer Aspekt, welcher aufgrund der Digitalisierung zugenommen hat, ist, dass jeder Datensatz und ausnahmslos jede Unternehmung f\u00fcr Kriminelle von Interesse ist. Egal ob Grosskonzern oder kleines bis mittelst\u00e4ndisches Unternehmen \u2013 ein Datensatz, zum Beispiel mit Kundenadressen, Konstruktionspl\u00e4nen oder Strategiepapieren, kann heutzutage problemlos zu Geld gemacht werden. Doch nicht nur die Daten an sich k\u00f6nnen das Ziel von kriminellen Cyberangriffen sein, auch eine Serverstruktur kann \u00fcbernommen und f\u00fcr weitere Angriffe genutzt werden. Das an sich sind keine neuen \u00abGesch\u00e4ftsmodelle\u00bb von Cyberkriminellen, dennoch hat das Ausmass von solchen Angriffen heutzutage nichts mehr mit dem zu tun, was wir uns landl\u00e4ufig unter einem \u00abHackerangriff\u00bb vorstellen m\u00f6gen.<\/p>\n Kriminelle Organisationen sind aufgebaut wie jedes andere Business; mit Zust\u00e4ndigkeitsbereichen, Marketingengagements, R\u00fcckgaberechten, all das, was wir beispielsweise t\u00e4glich im Online-Handel nutzen und vorfinden \u2013 nur, dass diese Dienstleistungen im Darknet angeboten werden. Dort sind pers\u00f6nliche Daten wie zum Beispiel F\u00fchrerscheindaten, ID-Cards oder kriminelle Dienstleistungen verk\u00e4uflich, ebenso wie konkrete Angriffe auf Server. Es werden auch sogenannte \u00abKits\u00bb angeboten, sprich Computer-Sch\u00e4dlinge, die fertig programmiert sind und die der K\u00e4ufer umgehend streuen kann. Das ist fast so, als w\u00fcrde man sich vornehmen, selber eine Trockenwand in der Wohnung hochzuziehen, und s\u00e4mtliche Bauteile fix und fertig im Baumarkt daf\u00fcr einkaufen. T\u00e4glich werden ungef\u00e4hr 400000 neue Computer-Sch\u00e4dlinge hergestellt. Das sollte man sich als Unternehmer heute bewusst machen.<\/p>\n K\u00f6nnen Sie eine Aussage dar\u00fcber machen, ob es typische Sicherheits-Schwachstellen gibt, \u00fcber welche die meisten Angriffe laufen?<\/strong><\/p>\n Einer der g\u00e4ngigsten Wege, in Unternehmensstrukturen zu gelangen, ist immer noch per E-Mail \u2013 mit E-Mail-Anh\u00e4ngen, um genau zu sein. Sobald diese manipulierten Attachments ge\u00f6ffnet, in der Cloud oder auch auf der Dropbox abgelegt werden, streuen sie Sch\u00e4dlinge. Eine weitere grosse Schwachstelle sind Passw\u00f6rter. F\u00fcr diesen Fall bietet aber schon eine Zwei-Faktoren-Authentifizierung einen zuverl\u00e4ssigen Schutz an. Andere Beispiele k\u00f6nnen Webseiten sein, die gekapert werden, weil diese schlecht gepflegt sind. Im HealthcareBereich sind WLAN-Systeme, die Patienten oder auch Besuchern zur Verf\u00fcgung gestellt werden, eine Schwachstelle. Meist sind diese nicht separiert vom normalen Krankenhaus-System. Dies erm\u00f6glicht leicht Zugriff auf den eigentlichen Krankenhaus-Server und ist damit eine Eintrittst\u00fcre zum Datenklau. Zur gleichen Zeit ist es ebenso fraglich, ob jeder Mitarbeiter oder auch der CEO Zugang zu allen Daten und Dokumenten haben muss. Mehrschichtig zu denken und zu arbeiten, sprich das System mehrschichtig aufzubauen und zu sichern, ist sinnvoll, um Eingriffe zu verhindern.<\/p>\n Wie kann ein Unternehmen seine gr\u00f6sste Schwachstelle finden und diese konsequent sch\u00fctzen?<\/strong><\/p>\n Durch Sicherheits-Software k\u00f6nnen Schwachstellen analysiert werden, um im Vorfeld herauszufinden, wie hoch die Wahrscheinlichkeit ist, dass dar\u00fcber ein Angriff laufen kann. Ebenso k\u00f6nnte die Angriffsm\u00f6glichkeit auf Basis dessen berechnet werden, dass ich in einer bestimmten Branche t\u00e4tig bin oder eine bestimmte Unternehmensgr\u00f6sse habe. Auch abgewehrte Angriffe k\u00f6nnen im Nachhinein analysiert werden, um Erkenntnisse dar\u00fcber zu gewinnen, wie ein Sch\u00e4dling in das System gelangen konnte. Das Gleiche kann f\u00fcr erfolgreiche Angriffe durchgef\u00fchrt werden. Diese Services k\u00f6nnen bei gr\u00f6sseren Unternehmen bereits in der eigenen ITSicherheit gehandelt werden, aber auch \u00fcber Partner-Services. Meist werden Datenklau-Angriffe jedoch erst viel sp\u00e4ter bemerkt oder gar nicht. IT-Sicherheit sollte nicht in Stein gemeisselt sein, sondern vielmehr ein steter Prozess. Gef\u00e4hrdungspotenziale ver\u00e4ndern sich und dementsprechend muss auch die IT-Sicherheit kontinuierlich angepasst werden. Gerade interne Ver\u00e4nderungen wie neu eingef\u00fchrte Service-Leistungen, ver\u00e4nderte Verkaufsprinzipien oder neue Systeme sollten unweigerlich dazu f\u00fchren, die Sicherheitsarchitektur auf den Pr\u00fcfstand zu stellen. Das ist ein permanenter Prozess, in den ich Mitarbeitende einbeziehe und bei dem ich diese nicht bevormunde, sondern informiere. Es reicht nicht mehr aus, wenn einmal ein Virenschutz und eine Firewall angeschafft wurden. Alle Systeme m\u00fcssen immer auf dem aktuellsten Stand sein und es braucht ganzheitliche Konzepte.<\/p>\n Bei Ihnen klingt das jetzt so einfach. Was ist also das Geheimnis hinter ganzheitlicher Cybersecurity?<\/strong><\/p>\n Ein Unternehmen braucht effektiv eine IT- und Datensicherheitsstrategie sowie entsprechende Guidelines, die besagen, wie welche Daten klassifiziert und gesch\u00fctzt werden. Eine Back-up-Strategie ist ebenso hilfreich und sollte vorliegen.<\/p>\n Sch\u00fctzen ist ein mehrschichtiger Prozess in einem mehrschichtigen System: eine obligatorische Firewall sowie Virenschutz, Gateways f\u00fcr die gesamte EMail-Kommunikation mit Zwei-Faktoren-Authentifizierung, Schutz f\u00fcr virtuelle Umgebungen, Serverstrukturen, genauso f\u00fcr Endpoints, Smart Devices, f\u00fcr Sharepoint-Systeme, Fernseher, die immer wichtiger werden, da diese in Konferenzr\u00e4umen oder B\u00fcros stehen, und zu guter Letzt ein Verschl\u00fcsselungssystem von Daten. Diese Verschl\u00fcsselung sollte bereits ansetzen, bevor die Windows-Oberfl\u00e4che oder \u00c4hnliches hochgefahren wird. Denn verliere ich einen Arbeits-Laptop, sind Firmendaten wie E-Mail-Kommunikation, Excel-Dateien oder Datenbanken nur verschl\u00fcsselt vorhanden und somit wertlos. Denn verschl\u00fcsselte Daten oder auch die Verschl\u00fcsselungsverfahren sind in dieser Form von Kriminellen nicht zu knacken.<\/p>\n Eine weitere Massnahme ist die Frage von Separierungen. Muss alles am selben Netz h\u00e4ngen? Wenn es Bereiche gibt, die de facto nicht abzusichern sind \u2013 das k\u00f6nnen zum Beispiel Industriesysteme oder auch Robotik-Systeme sein \u2013, dann ist daf\u00fcr zu sorgen, dass alle Systeme um diesen Roboter herum sicher gemacht werden.<\/p>\n Ein anderer wichtiger Punkt, wenn es um Sicherheit geht, ist nat\u00fcrlich auch das Bewusstsein der Mitarbeitenden. Diese sollten unbedingt eingebunden und in regelm\u00e4ssigen Abst\u00e4nden geschult werden. Eine Unternehmenskultur zu entwickeln, in welcher der Sicherheitsgedanke verankert ist, w\u00e4re langfristig sicher ratsam. Zugleich sollte die Bedienung der Systeme nat\u00fcrlich und einfach sein. Ansonsten k\u00f6nnen Prozesse verlangsamt oder im schlimmsten Fall die Sicherheitsrichtlinien missachtet werden, sodass wieder neue Sicherheitsl\u00fccken entstehen.<\/p>\n Wenn wir nun auf das Thema Cloud und mobile Daten in Hinblick auf Sicherheit eingehen, treten dann andere Massnahmen in Kraft?<\/strong><\/p>\n Cloud ist nichts anderes als verteilte Rechenzentren. Daten in der Cloud <\/a>m\u00fcssen ebenso gut verschl\u00fcsselt sein wie on-premise. Mit einer Cloud-Anwendung stellt sich jedoch die Frage der Zust\u00e4ndigkeit, nach der rechtlichen Grundlage je nach Standort des Rechenzentrums sowie nach der Kontrolle. Kann ein Unternehmen nachweisen, wo seine Daten sind? Die Ablage von Unternehmens-Daten in der Cloud bietet viel mehr Fl\u00e4che f\u00fcr Angriffe. Aus diesem Grund ist \u00abShared Responsibility\u00bb enorm wichtig. Denn die grosse Bedrohung ist nicht unbedingt immer nur das eigene Unternehmen, sondern auch Partner-Unternehmen, mit denen zusammengearbeitet wird. Daher sollte auch der Sicherheitsstandard eines Providers oder eines Zulieferers hinterfragt werden. Hier empfehle ich, Unternehmensstandards aufzubauen und diese umzusetzen.<\/p>\n