5 Security-Facts, die Sie überraschen werden

Schluss mit Mythen und Annahmen. Wir sagen Ihnen in Sachen IT-Security Bescheid. [...]

Um kriminellen Hackern und ihren perfiden Machenschaften einen Schritt voraus sein zu können, müssen Unternehmen verstehen, wie die Cyberverbrecher arbeiten. In den folgenden fünf Statements stecken die Gründe für die allermeisten IT-Sicherheitsrisiken und Exploits. Es sind Fakten, die Sie überraschen könnten.

1. JEDES UNTERNEHMEN WIRD GEHACKT

Wenn die Welt vom neuesten Mega-Hack erfährt, gehen viele Menschen wahrscheinlich davon aus, dass das betroffene Unternehmen seine IT-Sicherheit nicht im Griff hat. Stattdessen sollten sie sich bei der nächsten Cyberattacke, bei der Millionen von Datensätzen oder Dollars abfließen, klar machen: Jedes Unternehmen wurde bereits oder wird in der Zukunft gehackt. Dieses eine ist nur das, über das die Medien im Moment berichten. Wenn die Hacker also nicht schon längst im Netzwerk sitzen, könnten sie es schon bald tun. Von militärischen Hochsicherheits-Einrichtungen eventuell einmal abgesehen. Wir sprechen hier insbesondere von kleinen und mittelständischen Unternehmen.

Ich habe noch kein Unternehmen beraten (und es waren schon einige), bei dem ich nicht Spuren eines kriminellen Hackers entdeckt habe. In den meisten Fällen – insbesondere in den letzten zehn Jahren – kommt immer öfter heraus, dass sich ganze Hackergruppen über Jahre unbemerkt Zugang verschafft haben. Mein persönlicher Rekord: Acht verschiedene Black-Hat-Hackergruppen hatten sich in ein Unternehmen geschlichen – einige davon über einen Zeitraum von zehn Jahren.

Dieser spezielle Fall war dabei ganz besonders interessant, denn ich wurde von der Firma ursprünglich engagiert, weil ein Software Patch, das explizit nicht aufgespielt werden sollte, sich immer wieder automatisch installierte. Die Ursache des Problems war scheinbar, dass es den Cyberkriminellen langsam zu blöd wurde, darauf zu warten, dass das Unternehmen seine IT-Sicherheit auf ein ordentliches Niveau bringt – schließlich drangen auch immer weitere Hacker ein. Wenn kriminelle Hacker ein schärferes Bewusstsein für IT Security haben als Sie, ist es an der Zeit, sich Gedanken zu machen.

Als Penetration-Tester in Teilzeit werde ich auch oft damit beauftragt, mich in Unternehmen zu hacken. Das hat niemals länger als eine Stunde gedauert – außer in einem Fall: dort dauerte es drei Stunden. Aber nur weil die Firma mich bereits zuvor engagiert hatte und meinen Empfehlungen von damals gefolgt war. Dabei bin ich nur ein durchschnittlicher Penetration-Tester – es gibt Experten, die um ein Vielfaches schneller sind. Von den Zero-Day-Exploits, die sich in den Schubladen staatlich beauftragter Hacker stapeln, möchte ich gar nicht erst anfangen.

Die Computer dieser Welt sind ziemlich bescheiden abgesichert. Man braucht gar keinen Zero-Day-Exploit, um die meisten davon zu kompromittieren. Meistens reicht es bereits, sich einfach nur ein wenig umzusehen und nach einer geeigneten Schwachstelle Ausschau zu halten. Die meisten Unternehmen machen nicht ansatzweise genug, um Ihre Netzwerke zu schützen. Alle reden zwar ausschweifend über das Thema, aber wenn es dann ganz konkret darum geht, kriminelle Hacker abzuhalten (zum Beispiel mit gewissenhaftem Patch-Management), sind die meisten nicht willens zu tun, was getan werden muss. Noch nicht.

2. FIRMEN WISSEN NICHT, WIE SIE GEHACKT WERDEN

In den letzten fünf Jahren wurde mir erst so richtig bewusst, dass ich noch nie einen IT-Security-Fachmann getroffen habe, der mir aus dem Stegreif sagen konnte, was der gängigste Angriffsvektor für sein Unternehmen ist. Ok, zwanzig Prozent der Mitarbeiter erraten in der Regel die richtige Antwort, aber es gibt keinerlei Daten, die diese Behauptungen untermauern könnten. Das bringt mich zu folgender Frage: Wie will ein Unternehmen überhaupt effektiv gegen Hackerangriffe vorgehen, wenn über den häufigsten Angriffsvektor keine Einigkeit oder Ahnung besteht?

Die größte Security-Bedrohung für das Unternehmen anhand von Daten zu identifizieren ist nicht möglich. Nach Millionen von Dollars und Trillionen von Sicherheitsvorfällen, die in schicken Log-Management-Systemen zusammengetragen werden, könnte man meinen, dass das die einfachste Lösung wäre. Ist es aber nicht. Und dürfte es auch nie werden. Insbesondere, wenn man gar nicht erst danach fragt.