Gastkommentar: Cybersecurity in 2016 und Prognosen für 2017

Das Jahr 2016 neigt sich dem Ende zu und die Weihnachtszeit steht vor der Tür. Wieder wird ein größerer Anteil der Weihnachtseinkäufe per Online-Shopping erledigt werden und ein neuer Präsident übernimmt in den USA bald das Ruder. In Deutschland stehen die Bundestagswahlen an. 2017 verspricht schon jetzt, ein interessantes Jahr zu werden. Aber vor den Prognosen zu 2017 wollen wir auf wichtige Ereignisse rund um IT-Sicherheit in 2016 zurückschauen. [...]

2015 ereignete sich eine Serie großer Hacks, die Angriffe von Kriminellen und Staaten auf die persönlichen Daten von hunderten Millionen Menschen umfasste. Wir prognostizierten daher für 2016 eine zunehmende Ausbreitung von Multifaktor-Authentifizierung. Es ist jetzt noch zu früh für belastbare Zahlen, aber es gibt Anzeichen für gestiegene Nachfrage.

1. Hack der US-Präsidentschaftswahl
Nie zuvor in der US-Geschichte hat IT-Sicherheit eine so signifikante Rolle in der weltweiten Politik gespielt. Während des US-Wahlkampfes wurde die Öffentlichkeit mit Informationen zu Insider-Kommunikation bombardiert. Diese kamen durch ein gehacktes Netzwerk des Democratic National Committee (DNC) und John Podesta, dem Leiter von Clintons Kampagne, ans Licht.

Wahr oder nicht, die Informationen stützen die Meinung, dass Hillary von Offiziellen der Partei bevorzugt behandelt und dass Bernie Sanders bewusst benachteiligt wurde. Dem DNC und seiner Kandidatin schadeten diese Enthüllungen.

Podesta wurde Opfer eines Phishing-Angriffs, bei dem seine Accounts kompromittiert wurden. Die dadurch erbeutete Insider-Kommunikation ließ Hillary als pro Establishment und elitär aussehen, was bei der Öffentlichkeit schlecht ankam. Wie man es dreht und wendet, fehlende Sicherheitstechnologie wie Multifaktor-Authentifizierung und ein Mangel an Best Practices trugen dazu bei, dass Hillary nicht Präsidentin wurde.

2. Yahoo und Verizon stolpern auf dem Weg zum Altar
Im September gab Yahoo bekannt, dass Daten von 500 Millionen Nutzer-Accounts bei einem der größten Hacks der Geschichte gestohlen wurden. Das Ausmaß des Datenklaus kam erst ans Licht, als ein Hacker die Daten von Millionen von Yahoo Nutzern online verkaufte.

Yahoo schätzt, dass die Ende 2014 gestohlenen Daten Namen, Email-Adressen, Geburtstage, Telefonnummern, Passwörter, Sicherheitsfragen und weitere Informationen umfassen. Nachdem der Hack bekannt wurde, drohte Verizon, sein Kaufangebot von 4,8 Milliarden US-Dollar zurückzuziehen. Yahoo warnte Investoren, dass Verizon nach Wegen sucht, vom Aktienkaufvertrag zurückzutreten oder den Verkauf neu zu verhandeln. 23 Sammelklagen von Verbrauchern sind eine weitere Folge des Hacks.

3. Ransomware ist das neue Schwarz
Nach einer aktuellen Studie ist Ransomware zunehmend das bevorzugte Mittel für Cyber-Erpressung. Es gibt Ransomware zwar schon mehrere Jahre, aber 2016 gibt es einen deutlichen Aufwärtstrend. Beim Ransomware-Angriff verschlüsselt Schadsoftware die Daten auf dem infizierten System. Unternehmen und Verbraucher können nicht mehr auf die Daten zugreifen, und werden aufgefordert, für den Dechiffrierschlüssel zu bezahlen.

Manche „Lösegeldforderungen“ sind enorm. Gut 20 Prozent der von Ransomware betroffenen britischen Firmen gaben an, dass sie zur Zahlung von mehr als 10.000 US -Dollar aufgefordert wurden. Der Großteil der Cyber-Kriminellen scheint aber zu verstehen, dass Firmen kleinere Beträge schneller und leichter aufbringen können. Die Studie zeigt, dass ungefähr die Hälfte der betroffenen Unternehmen das Lösegeld zahlten.

2017: Das kommende Jahr
In dem turbulenten Jahr 2016 spielten Sicherheitslücken eine Schlüsselrolle. Sie gefährdeten Multimilliarden-Dollar-Übernahmen, beeinflussten die US-Präsidentschaftswahl und erleichterten die Erpressung von Unternehmen. Es ist daher ratsam, sich auf alles Mögliche vorzubereiten. Hier ein paar unserer Prognosen:

1. Mehr Ransomware
Nach dem großen Erfolg in 2016 ist ein erneuter Zuwachs bei Ransomware zu befürchten. Als Ergebnis werden Unternehmen wahrscheinlich Budgets einrichten, um ihre Daten bzw. den Zugang dazu zurückzukaufen, falls sie von Ransomware betroffen werden. Solange die Mehrheit von Lösegeldforderungen relativ niedrig bleibt, werden Firmen sie bezahlen. Und diese Unternehmen werden auch keine Strafverfolgungsbehörden einschalten, um Störungen ihres Geschäftsbetriebes und Schandflecken ihrer Marken zu vermeiden.

2. Technologien, die man im Auge behalten sollte:

Multifaktor-Authentifizierung: Wir glauben weiterhin, dass Zweifaktor-Authentifizierung immer häufiger in allen Branchen eingesetzt werden wird. Es ist eine grundlegende Technologie, die effektive Probleme löst, die zu groß geworden sind, um sie weiter zu ignorieren.
Granulares Management von Privilegien: Natürlich ist es Plan A, Hacker aus dem eigenen Netzwerk auszusperren. Aber das ist nicht immer möglich. Daher brauchen Organisationen einen Plan B für den Fall, dass Perimeter-Technologien überwunden werden. Die meisten Sicherheitsexperten sehen heutzutage Privilege Management als essentielles zweites Schutz-Layer an. Einfach gesagt verhindert Privileged Identity Management (PIM), dass Hacker auf alles zugreifen können, nachdem sie Zugriff auf ein Netzwerk erlangt haben. Der Schlüssel liegt darin, bestimmten Mitarbeitern nur Zugriff auf bestimmte Informationen zu gewähren.
Zugriff nach dem Least-Privilege-Prinzip: Eine Komponente von PIM ist Least Privilege Access. Das bedeutet, dass jede Person mit Zugriff auf das Netzwerk gerade über so viele Zugriffsrechte verfügt, wie für normales Funktionieren erforderlich sind – dem niedrigsten Level von Rechten, die ein Anwender haben kann, um seine Aufgaben zu erledigen.
Bitcoin: Von dem Hack Anfang August, bei dem 120.000 Bitcoins im Wert von 65 Millionen US-Dollar gestohlen wurden, hat sich die Cryptowährung schnell erholt. Sie wird zudem immer populärer. Wir schätzen, dass einige zusätzliche Sicherheitsmaßnahmen bei den Bitcoin-Börsen eingeführt werden. In diesem Zusammenhang möchten wir auf die schnell voranschreitende Kommerzialisierung der Blockchain-Technologie hinweisen. Sie verlässt den Bereich der Währung und kommt in Produktion, Finanzen, Versand und Entertainment zur Anwendung.

3. Die neuen EU-Datenschutz-Grundverordnung (DSGVO)
Der endgültige Inhalt der neuen EU-Datenschutz-Grundverordnung steht fest. Die neue Verordnung soll Anfang 2018 in Kraft treten und das Datenschutzrecht innerhalb Europas vereinheitlichen. Damit gibt es keine datenschutzrechtlichen „Rückzugsräume“ mehr innerhalb Europas. Der Einzelne soll zudem mehr Kontrolle über seine Daten bekommen.

Jeder Nutzer hat zukünftig das Recht zu erfahren, welche Daten über ihn gesammelt werden. Unternehmen müssen also Tools einführen, die automatisierte Antworten auf dementsprechende Anfragen ermöglichen. Nutzer müssen künftig auch noch ausführlicher darüber informiert werden, wenn ihre Daten gehackt wurden. Für Unternehmen heißt das, dass sie Hacks kaum noch unter den Teppich kehren können und den Unmut der Nutzer stärker zu spüren bekommen: 57 Prozent der deutschen Verbraucher beenden sehr wahrscheinlich die Geschäftsbeziehung, wenn ein Unternehmen gehackt wird.

Auch US-Firmen müssen sich fortan an die DSGVO halten, wenn sie ihre Dienste auf dem europäischen Markt anbieten wollen. Diesen Unternehmen stehen somit große Anpassungsprozesse oder der Rückzug vom Markt bevor. Auch höhere Bußgelder sind möglich, denn anders als bislang wird die Höchstsumme für Bußgelder bei Datenschutzverstößen nicht mehr in starren Werten angegeben. Stattdessen können künftig Bußgelder in Höhe von bis zu vier Prozent der Jahresumsätze des Unternehmens verhängt werden. So drohen bei Verstößen gegen das Datenschutzrecht schnell Bußgelder in Millionen- oder gar Milliardenhöhe.

In der zweijährigen Übergangszeit sollten Unternehmen neue datenschutzrechtliche Prozesse etablieren. Denn tritt die DSGVO dann in Kraft, drohen schlecht vorbereiteten Unternehmen Bußgelder für die verspätete Einführung der neuen Vorgaben.

Es sollte ein interessantes Jahr werden.
*Michael Neumayr ist Regional Sales Director Zentraleuropa bei Centrify.