-
Sicherheitsexperte: »Firmen sollten sich regelmäßig selbst angreifen, um ihre Cyberresilienz zu testen.«
-
Rainer M. Richter: »Heutige Angriffssysteme aus der Cloud sind für jeden Mittelständler erschwinglich.«
-
Bei mehr als 70 aufgedeckten Software-Schwachstellen am Tag kommen die Firmen nicht mehr nach, ihre Systeme vor Cyberangriffen sicher zu machen.
Die deutsche Wirtschaft setzt bei Cybersecurity zu einseitig auf bloße Verteidigungsmaßnahmen und vernachlässigt den Selbstangriff zur Überprüfung der Cyberesilienz. Diesen Vorwurf erhebt Rainer M. Richter, Europa- und Asienchef des Sicherheitsunternehmens Horizon3.ai. Er verweist darauf, dass in der Finanzbranche sogenannte Stresstests durch die Europäische Zentralbank (EZB) seit Jahren durchgeführt werden. »Unternehmen aller Branchen wären gut beraten, sich freiwillig ebenfalls einem regelmäßigen Stresstest zu unterziehen« rät der Sicherheitsexperte.
Beim Stresstest, im Fachjargon »Penetration Test« oder kurz »Pentest« genannt, werden sogenannte White Hat Hacker im Unternehmensauftrag darauf angesetzt, das firmeneigene Computernetzwerk zu knacken, um dadurch Schwachstellen aufzudecken. Rainer M. Richter betont: »Inzwischen benötigt man keine White Hat Hacker mehr, weil es autonome Stresstestplattformen gibt, die aus der Cloud heraus für überschaubares Geld fix und fertig verfügbar sind.
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) schreibt in seinem Lagebericht 2023: »Die Bedrohung durch Cybercrime ist so hoch wie nie zuvor.« Die Statistik des Bundeskriminalamtes (BKA) weist für 2023 knapp 135.000 offiziell gemeldete Fälle von Cyberkriminalität aus – und geht dabei von einem vermuteten Dunkelfeld von 90 Prozent aus. Das entspräche 1,5 Millionen Angriffen im Jahr, also mehr als 4.000 am Tag [1].
Steigende Anforderungen an Cyberresilienz
Rainer M. Richter verweist auf die steigenden Anforderungen an die Wirtschaft in Sachen Cyberresilienz durch eine sich stetig verschärfende EU-Gesetzgebung. Neben spezifischen Sicherheitsauflagen für das Finanzwesen sind zahlreiche weitere Wirtschaftszweige betroffen, die als »Kritische Infrastrukturen« (KRITIS) eingestuft werden, betont der Sicherheitsfachmann. Er nennt beispielhaft die neue NIS2-Richtlinie (Network and Information Security); das deutsche Gesetz zur Umsetzung der EU-Vorgaben (NIS2UmsuCG) soll im Oktober 2024 in Kraft treten und mindestens 30.000 Unternehmen in Deutschland betreffen. Die Cyberrisiken bestehen nicht etwa nur im eigenen Betrieb, sondern ebenso bei Zulieferern und Vertriebspartnern, stellt Rainer M. Richter klar. Er gibt zu bedenken: »Jeder Angriff bei einem Geschäftspartner kann direkt auf alle verbundenen Unternehmen übergreifen. Daher umfasst NIS2 die gesamte Lieferkette.«
Doch auch für Firmen, die nicht unter KRITIS fallen, können Sicherheitslücken fatal sein, betont Rainer M. Richter. Er erklärt: »Fällt ein Unternehmen gleich welcher Branche und Firmengröße einem Cyberangriff zum Opfer, führt das in der Regel nicht nur zu einem beträchtlichen Schaden, sondern löst auch die Frage nach der Verantwortung der Firmenleitung aus. Vorstände und Geschäftsführer, die das Thema Cybersicherheit vernachlässigen, stehen daher mit einem Bein, wenn nicht mit beiden Beinen vor dem Kadi.«
Pentests »für jeden Mittelständler erschwinglich«
Der Sicherheitsfachmann betont, dass autonome Pentests aus der Cloud »für jeden Mittelständler erschwinglich« seien. »Die Kosten skalieren mit der Anzahl der Arbeitsplätze und dem Umfang des Computernetzwerks«, sagt Rainer M. Richter. Die Bedienung ist nach seinen Angaben so einfach, dass das ursprünglich vor allem für die Konzernwelt entwickelte Pentest-Verfahren heutzutage auch im Mittelstand leicht verwendbar sei, ohne externe Hacker beauftragen zu müssen.
Die Pentest-Kosten sind zudem ins Verhältnis zu möglichen Schäden aus Cyberangriffen zu setzen, betont der Sicherheitsexperte. Der IT-Branchenverband Bitkom beziffert den jährlichen Gesamtschaden für die deutsche Wirtschaft auf über 223 Milliarden Euro [2]. Rainer M. Richter verdeutlicht die Dramatik: »Cyberkriminalität kostet die Unternehmen in Deutschland in einem Jahr etwa dreimal so viel, wie sie dem Staat an Umsatzsteuer zahlen.«
Überprüfung aller angeschlossenen Geräte und Maschinen
Neben dem niedrigen Kostenniveau und der leichten Einsetzbarkeit stuft er als einen weiteren Vorteil einer Cloud-basierten Pentestplattform ein, dass diese über die Computer hinaus auch die angeschlossenen Maschinen und Geräte in die Prüfung einbezieht. »Wenn Hacker die Kontrolle über die Sicherheitskameras auf dem Werksgelände übernehmen, gefährdet das die Sicherheit der ganzen Firma«, gibt der Europa- und Asienchef von Horizon3.ai ein konkretes Beispiel, wie der Ruf nach mehr Cyberresilienz weit über die Computersysteme der Unternehmen hinausreicht.
Hinzu kommt: Die Zeitspanne zwischen dem Aufdecken einer Sicherheitslücke und der Ausnutzung durch Kriminelle verkürzt sich zusehends. Daher bleibt den Unternehmen immer weniger Zeit, zu prüfen, ob ihre eigenen Computernetzwerke gefährdet sind. »Angesichts der Komplexität heutiger IT-Landschaften ist es für die Firmen im Grunde unmöglich, bei jeder neu aufkommenden Schwachstelle rechtzeitig festzustellen, ob sie potenziell betroffen sind, ganz abgesehen von den damit verbundenen enormen Kosten«, analysiert Rainer M. Richter.
Homeoffice und KI als Treiber von Angriffsszenarien
Die Unternehmen sind über alle Firmengrößen hindurch zu sorglos, mahnt Rainer M. Richter. Die meisten IT-Abteilungen hätten längst den Überblick über alle potenziellen Schwachstellen in ihren Computernetzwerken verloren, sagt der Sicherheitsfachmann. Das sei auch verständlich, »denn die Computer- und Netzwerkkonstellationen werden immer komplexer und die Angriffe immer raffinierter und schneller.« Rainer M. Richter hat vor allem zwei Treiber für die rasch wachsende Cyberkriminalität ausgemacht: Der Trend zum Homeoffice bindet immer mehr zweifelhaft abgesicherte PCs in die Firmenstruktur ein und der Einsatz von künstlicher Intelligenz (KI) macht Cyberangriffe »schneller und gefährlicher als je zuvor.«
Wie Horizon3.ai bei firmenbeauftragten Angriffsszenarien mit seiner eigenen KI-basierten Pentestplattform NodeZero festgestellt hat, gelingt es in der Regel binnen weniger Minuten, die Abwehrsysteme der Unternehmen zu überwinden. NodeZero wendet dabei laut Angaben auch Social-Engineering-Kompetenzen an, nutzt also menschliche Schwächen aus, wenn also beispielsweise ein Mitarbeiter den Namen seines Hundes in den sozialen Netzwerken verrät und diesen gleichzeitig als Passwort für das Firmennetzwerk verwendet. »Es genügt in der Regel eine einzige Schwachstelle, um Angreifern Zugang zur digitalen Infrastruktur eines Unternehmens zu ermöglichen«, gibt der Europa- und Asienchef von Horizon3.ai zu bedenken.
70 neue Schwachstellen pro Tag
Der größte Teil der Wirtschaft sei sich der Bedrohungslage bewusst, ist Rainer M. Richter sicher, setze aber auf die falschen Abwehrmaßnahmen. »Viele Unternehmen haben 20 bis 40 separate Sicherheitssysteme zur Abwehr von Cyberangriffen gleichzeitig laufen, wissen jedoch kaum, wie gut diese zusammen funktionieren«, sagt Richter. Er verweist auf Recherchen des Bundesamtes für Sicherheit in der Informationstechnologie (BSI), wonach jeden Monat durchschnittlich mehr als 2.000 sogenannter Vulnerabilities (Verletzlichkeiten) in Softwareprodukten zu verzeichnen seien, von denen das Amt 15 Prozent als »kritisch« einstuft. »Angesichts von täglich knapp 70 neuen potenziellen Einfallstoren für Hacker ist im Grunde jeden Tag ein Stress- sprich Penetrationtest zu empfehlen, auf jeden Fall aber einmal pro Woche«, rät der Fachmann.
Viele Unternehmen verließen sich auf Vulnerability Scanner, um Schwachstellen aufzudecken, doch das damit verbundene Sicherheitsgefühl sei trügerisch, meint Rainer M. Richter. Die Scanner fänden zwar viele Lücken und schätzten auch das damit verbundene Risiko ein – aber nicht für das jeweilige Unternehmen. »Keine IT-Abteilung ist angesichts der Flut an bekanntwerdenden Sicherheitslücken in der Lage, alle zu stopfen«, sagt Rainer M. Richter. Vielmehr komme es darauf an, sich auf diejenigen zu konzentrieren, von denen man selbst betroffen ist. »Diese Fokussierung ist nur mit systematischen simulierten Angriffen auf die eigene Firma möglich, weil nur dabei die jeweils tatsächlich relevanten Schwachstellen zutage treten«, betont Rainer M. Richter.
Der Sicherheitsexperte zitiert aus dem BSI-Lagebericht zur IT-Sicherheit in Deutschland, in dem es heißt: »Bei Cyberangriffen mit Ransomware beobachtet das BSI eine Verlagerung der Attacken: Nicht mehr nur große, zahlungskräftige Unternehmen stehen im Mittelpunkt, sondern zunehmend auch kleine und mittlere Organisationen sowie staatliche Institutionen und Kommunen. Insbesondere von erfolgreichen Cyberangriffen auf Kommunalverwaltungen und kommunale Betriebe sind die Bürgerinnen und Bürger unseres Landes oft auch unmittelbar betroffen: So kann es dazu kommen, dass bürgernahe Dienstleistungen eine Zeit lang nicht zur Verfügung stehen oder persönliche Daten in die Hände Krimineller gelangen.« [3]
[1] https://www.bka.de/DE/AktuelleInformationen/StatistikenLagebilder/PolizeilicheKriminalstatistik/PKS2023/Polizeiliche_Kriminalstatistik_2023/Polizeiliche_Kriminalstatistik_2023.html
Artikel zu „Pentest“
ADN und Enginsight bieten All-In-One-Security für Systemhäuser und Service Provider. Cyberangriffe sind zum Geschäftsrisiko Nummer eins geworden. Gleichzeitig steigen die gesetzlichen Anforderungen an Unternehmen stetig. Mit der All-In-One-Security-Plattform von Enginsight bietet ADN seinen Partnerunternehmen und deren Kunden aus dem Mittelstand ab sofort die richtige Antwort auf diese Herausforderungen. Laut dem Allianz Risk Barometer 2023…
So segensreich das Internet mit all seinen verbindenden Elementen und Technologien ist, so risikoreich gestaltet sich seine Nutzung für Unternehmen. Denn überall dort, wo unternehmenseigene IT-Netzwerke Zugang gewähren oder eine Verbindung nach außen bereitstellen, besteht die Gefahr unerlaubter Zugriffe. Um die eigenen Daten zu schützen, benötigen Unternehmen deshalb eine möglichst umfassende IT-Sicherheitsstrategie zur Abwehr…
Der Kundensupport und Kundenkontakt spielen im Online-Bereich eine immer wichtiger werdende Rolle. Moderne Self-Service- und Kundenservice-Supportfunktionen bietet die vielseitige Zendesk-Plattform. Mit der Plattform ist es möglich, mit den Kunden des Unternehmens per Telefon, Chat, E-Mail, Social Media in Kontakt zu treten. Wie funktioniert aber die Zendesk-Plattform und welche Vorteile bietet die Zendesk WhatsApp-Integration. Die…
Die nun von der ANSSI (französisches Pendant zum hiesigen BSI) erteilte Zuverlässigkeitsgarantie eröffnet Betreibern vitaler Bedeutung sowie den wesentlichen (EE) und wichtigen (IE) Einrichtungen die Möglichkeit, von Cybersicherheitslösungen zu profitieren, die ihre Sicherheitsanforderungen erfüllen. Katalogbild. Quelle: 123rf.com, Autor: writestudio. Lizenz: SAB Communications Das SNS-Angebot von Stormshield ist die erste und einzige Produktlinie aus »verschlüsselnden Firewalls«,…
Bei der Auswahl eines Security Information and Event Managements (SIEM) ist es ähnlich wie bei der Bestellung eines Eisbechers in der Gelateria. Die einen mögen es fruchtig, die anderen cremig, wieder andere vegan. Die persönlichen Vorlieben sind vielfältig. Aber fast alle haben eine Lieblingssorte, zu der sie im Zweifelsfall greifen.
»Angespannt bis kritisch« ist laut des neuesten Berichts des Bundesamts für Sicherheit in der Informationstechnik (BSI) die Lage der IT-Sicherheit in Deutschland. Damit sieht das BSI die Situation so kritisch wie bislang noch nie. Die Hauptursache ist nach Angaben des Bundesamts in der anhaltenden Digitalisierung und der zunehmenden Vernetzung in sämtlichen Bereichen – in Gesellschaft,…
Generative KI hat im vergangenen Jahr die Schlagzeilen bestimmt. Kein Wunder also, dass auch 2024 ganz im Zeichen künstlicher Intelligenz stehen wird. Markus Eisele, Developer Strategist bei Red Hat, wagt einen Ausblick darauf, wie und wo die Zukunftstechnologie Entwicklerinnen und Entwickler im kommenden Jahr begegnen und ihre Produktivität verbessern wird. Der Blick in die…
Physische Penetrationstests, kurz Pentests, werden oft übersehen, wenn es um Sicherheit geht, obwohl physische Sicherheitsvorfälle sowohl 2021 als auch 2022 um je 28 Prozent anstiegen. Sicherheitsfachleute erhalten in der neuen ISACA-Ressource, Physical Penetration Testing: The Most Overlooked Aspect of Security, tiefere Einblicke. Die Ressource gibt einen Überblick über physische Pentests, die Bedeutung der physischen Sicherheit…
Sicherheit ist ein wichtiges Thema für jedes Unternehmen, das im digitalen Zeitalter erfolgreich sein will. Doch die Anforderungen an die IT-Sicherheit werden immer komplexer und vielfältiger. Es reicht nicht mehr aus, einzelne Sicherheitslösungen für verschiedene Bereiche wie Netzwerk, Endgeräte, Cloud oder Anwendungen zu nutzen. Diese Lösungen sind oft nicht miteinander kompatibel, erfordern viel Verwaltungsaufwand und…
Die Ergebnisse des »Software Vulnerability Snapshot«-Berichts unterstreichen, dass beim Thema sichere Softwareentwicklung in vielen Unternehmen weiterhin Handlungsbedarf besteht: 95 % aller Anwendungen weisen zum Teil schwerwiegende Sicherheitslücken auf [1]. Die gesammelten Daten des Reports basieren auf rund 4.000 Sicherheitstests wie Penetrationstests, Dynamic Application Security Testing (DAST) und Mobile Application Security Testing (MAST). Bei diesen Tests…
Viele Unternehmen haben die Relevanz von Cybersecurity erkannt. Denn grundsätzlich kann heute jedes Unternehmen zum Ziel eines Cyberangriffs werden – etwa durch Ransomware, die im Rahmen eines Erpressungsversuchs Unternehmensdaten verschlüsselt. Gerade diese Form von Cyberangriffen wird in der Regel breit gestreut: Statt ein spezifisches Unternehmen ins Visier zu nehmen, warten die Angreifer einfach ab, in…
Wie können kleine und große Unternehmen beim Thema Sicherheit und Compliance auf dem Laufenden bleiben, angesichts der immer neuen Bedrohungen und Vorschriften? Von Pen-Tests über Social Engineering bis zu Sicherheitsarchitekturen für Unternehmen bewerten spezialisierte Security-Anbieter die aktuelle Infrastruktur und erstellen einen Aktionsplan, um einen klaren Weg vorzugeben, wie sie Compliance erreichen und ihre Sicherheitslandschaft verbessern können.
Sich mit Cybersecurity zu beschäftigen, ist in manchen Unternehmen eine eher ungeliebte Aufgabe. Dabei haben IT-Administratoren und -Administratorinnen in vielen Fällen schon eine recht gute Vorstellung davon, woran es in ihrem Unternehmen hapert und wie die eigene IT prinzipiell auf den Prüfstand zu stellen wäre, damit Sicherheitslücken identifiziert und abgemildert oder gar ausgemerzt werden können.…
Was wird 2022 der IT-Welt bringen? Microsoft-Experte Bert Skorupski von Quest Software hat einige der wesentlichen, zusammenhängenden Trends identifiziert. Darunter die steigende Nutzung von Cloud-Plattformen und Service-Providern, eine Verschärfung des IT-Fachkräftemangels und eine Intensivierung von Ransomware-Attacken. Oder Kryptowährungen auf bitcoin loophole oder öl profit Mangel an IT-Ressourcen und IT-Spezialisten »2022 werden sich Unternehmen mehr als je zuvor…
Checkmarx Application Security Platform vereint ein breites Set integrierter Application-Security-Funktionalitäten mit vielen flexiblen Integrationsoptionen – und stellt so die Weichen für eine schnellere und sichere Software-Entwicklung. Checkmarx, Anbieter entwicklerzentrierter Application-Security-Testing-Lösungen, gibt den Launch der Checkmarx Application Security Platform bekannt – einer neuen Lösung, die CISOs, AppSec-Teams und Entwicklern dabei hilft, den steigenden und zunehmend…
Ein umfassender Sicherheitstest einzelner Rechner oder Netzwerke schützt Unternehmen vor Hacker-Angriffen. Fast jeder fünfte IT-Verantwortliche kann mit dem Begriff »Penetrationstest« nichts anfangen – das brachte eine Untersuchung des TÜV Rheinlands ans Licht, dessen Security-Experten dieses Ergebnis als »erschreckend« bezeichneten. Bei einem solchen »Pentest« versuchen »Hacker« im Auftrag eines Unternehmens, möglichst tief und auf…
Die Gefahr Opfer einer Cyberattacke zu werden nimmt stetig zu – das untermauert der neueste OverWatch-Report von CrowdStrike. Allein im vergangenen Jahr beobachteten die Threat Hunter 60 Prozent mehr Angriffsversuche als im Vorjahreszeitraum. Aber nicht nur die Zahl der Angriffsversuche ist gestiegen – der Report zeigt außerdem auf, dass sich E-Crime-Angreifer dreimal schneller als noch…
Immer mehr IT-Abteilungen vertrauen auf Penetrationstests oder Bug-Bounty-Programme und simulieren Cyberattacken, um ihre Mitarbeiter zu sensibilisieren. Grund dafür ist der explosionsartige Anstieg von Cyberbedrohungen. Egal ob man nun die Sicherheitsmaßnahmen oder die digitalen Reflexe der Angestellten prüfen möchte: Die Simulation von Cyberattacken trägt zu einer erhöhten Wahrnehmung von Cyberrisiken bei. Kennen Sie Jeremy aus dem…
Der Schutz Kritischer Infrastrukturen (KRITIS) vor Cyberangriffen ist eine besonders heikle Aufgabe, da bei erfolgreichen Cyberangriffen darauf nicht nur die öffentliche Ordnung bedroht ist und gravierende Störungen von vielen Lebensbereichen eintreten werden, sondern auch ganz konkret Menschenleben in Gefahr sind. Wenn Strom plötzlich nicht mehr so fließt, wie es die Menschen und Unternehmen gewohnt sind,…