Mehr als 99 Prozent der Cyberangriffe zielen auf eine menschliche Interaktion ab und nicht auf die Sicherheitssysteme von Unternehmen. Michael Heuer, VP DACH bei Proofpoint, spricht im Interview über die aktuelle Bedrohungslandschaft. [...]
Welche Security-Bedrohungen sind Ihrer Meinung nach derzeit die gefährlichsten, bzw. welchen müsste man besondere Aufmerksamkeit schenken?
Es ist wichtig, sich zu vergegenwärtigen, dass Cyberkriminelle verstärkt auf Menschen abzielen. Das Versenden betrügerischer E-Mails, das Stehlen von Anmeldeinformationen und Phishing mittels ausgefeilter Social-Engineering-Techniken ist wesentlich einfacher und weitaus profitabler als die Entwicklung eines teuren, zeitaufwändigen technik-basierten Exploits, der zudem nur eine gewisse Zeit genutzt werden kann, bis die Sicherheitslücke geschlossen wurde. In unserem Faktor Human Factor Report haben wir das analysiert und sind zu dem Ergebnis gekommen, dass heute mehr als 99 Prozent der Cyberangriffe auf eine menschliche Interaktion setzen und den Benutzer damit zur letzten Verteidigungslinie machen.
Das vorausgeschickt sehen wir drei große Bedrohungstrends. Erstens, Business E-Mail Compromise (BEC), die so genannte Chefmasche, weist immer mehr Varianten auf. BEC ist schwer zu entdecken und verursacht im Schadensfall zudem extreme Kosten – das FBI nennt hier weltweit 26,2 Milliarden Dollar Verlust durch BEC zwischen Juni 2016 und Juli 2019. Allein der Kreditversicherer Euler Hermes berichtet von mehr als 165 Millionen Euro gemeldetem Schaden in den Jahren 2015 bis 2019 – nur für Deutschland, Tendenz steigend.
Zweitens, das Kapern von Cloud Accounts wie Office 365. Unsere Analysen zeigen, dass innerhalb von sechs Monaten 85 Prozent der untersuchten Unternehmen auf diese Weise angegriffen wurden. 45 Prozent berichteten dabei von kompromittierten Accounts.
Ein dritter Trend ist die zunehmende Komplexität der Angriffe, die oft in mehreren Stufen ausgerollt werden. Die alleinige Fokussierung auf den Angreifer von außen funktioniert in all diesen Szenarien nicht mehr. Es ist von wesentlicher Bedeutung, ein Verständnis dafür zu entwickeln, welche Personen ins Visier der Cyberkriminellen geraten sind und auffälliges Verhalten der eigenen Accounts zu überwachen, um potenzielle Account-Übernahmen schnell identifizieren und stoppen zu können.
Wie soll eine den aktuellen Bedrohungen gemäße Security-Strategie von Unternehmen aussehen? Welche Punkte müssen dabei besonders hervorgehoben werden?
Die heutige Bedrohungslandschaft wird ganz wesentlich von Social Engineering bestimmt. Der Trend hin zur Cloud verschärft das Problem zusätzlich. Im Gegensatz dazu fokussiert sich die IT-Sicherheit bei ihrer Verteidigungsstrategie noch viel zu oft nur auf die Netzwerksicherheit. Wenn man die IT-Ausgaben für Cybersecurity betrachtet, fließen laut Veröffentlichungen des Marktforschungsunternehmens Gartner noch immer mehr als 60 Prozent der Ausgaben in die Netzwerksicherheit, weitere 19 Prozent in die Endpoint-Sicherheit. Unserer Ansicht nach muss der Mensch auch beim Schutz im Fokus stehen. Das Unternehmen muss verstehen, auf wen die Cyberkriminellen abzielen, beziehungsweise wer aufgrund von Zugriffsrechten und Verhaltensweisen ein besonderes Risiko für das Unternehmen darstellt. Indem man Angriffe mit Faktoren hinsichtlich einer risikobehafteten Arbeitsweise und dem Zugriff auf sensible Daten und Systeme in Bezug setzt, erhält man die VAPs (Very Attacked People) des Unternehmens. Vielleicht müssen nicht alle Mitarbeiter des Unternehmens unter strengsten Sicherheitsauflagen arbeiten – bei den VAPs sind diese aber mit Sicherheit angebracht, um das Risiko für das Unternehmen insgesamt zu senken.
Inwiefern unterscheidet sich der DACH-Markt gegenüber anderen Märkten? Gibt es Unterschiede etwa was Akzeptanz und Bewusstsein anbelangt? Gibt es innerhalb der DACH-Region Unterschiede?
Unser aktueller State of the Phish-Report bringt da einige interessante regionale Unterschiede ans Licht – gerade was das Sicherheitsbewusstsein der Endanwender anbelangt. Wir haben beispielsweise gefragt: »Was ist Phishing?« Im deutschsprachigen Raum haben 66 Prozent die korrekte Antwort gewählt, im Vergleich zu 61 Prozent im globalen Durchschnitt. Auf der anderen Seite wussten nur 23 Prozent der Anwender in der DACH-Region Ransomware richtig zuzuordnen – im Vergleich dazu konnten im weltweiten Durchschnitt 31 Prozent die richtige Antwort geben.
Grundsätzlich aber zeigen unsere Erkenntnisse, dass Unternehmen weltweit im Fadenkreuz cyberkrimineller Aktivitäten stehen – ganz unabhängig von Unternehmensgröße und Branche. 74 Prozent der an der Studie beteiligten deutschen Unternehmen berichten von BEC-Angriffen im Jahr 2019. Mitarbeiter auf allen Ebenen des Unternehmens und aus allen Bereichen können hier zum Risikofaktor werden. Schwache Passwörter aber auch Zugangsdaten, die von mehreren Mitarbeitern gemeinsam benutzt werden, der unbedachte Klick auf einen Phishing-Link oder der Download einer nicht autorisierten Applikation können einen Sicherheitsvorfall auslösen. Um das Risiko zu kontrollieren müssen Unternehmen nicht nur verstehen, wie sie angegriffen werden, sondern auch wer im Unternehmen ins Visier geraten ist und wie gut die Mitarbeiter darauf vorbereitet sind. Die Weiterbildung der Mitarbeiter und die Schulung des Sicherheitsbewusstseins macht oftmals den Unterschied zwischen einem versuchten Cyberangriff – und dessen Erfolg.
Wie sieht Ihre Strategie in der Region aus?
Unsere Strategie besteht aus mehreren Säulen. Da ist zum einen – und das ist die Voraussetzung für alles weitere – die hohe Qualität der Lösungen und Produkte. Um hier stets vorn dran zu bleiben, investieren wir sowohl in Technologie und die Produkte, aber auch in die Beobachtung der Aktivitäten der Cyberkriminellen. Diese Erkenntnisse fließen in die Weiterentwicklung unseres gesamten Portfolios ein. Zum zweiten arbeiten wir sehr eng mit dem Channel zusammen. Hierbei gilt es unsere Partner nicht nur mit der Qualität unseres Angebots zu überzeugen, sondern auch darum, Perspektiven für die gemeinsame Marktentwicklung und gemeinsames Wachstum zu schaffen.
Die dritte Säule ist dann die Zusammenarbeit mit den Kunden. Für uns ist Zusammenarbeit keine Einbahnstraße. Es ist uns wichtig, die Erfahrungen und Wünsche unserer Kunden in die Weiterentwicklung der Technologie, der Services und Produkte einfließen zu lassen.
Wir glauben, dass ein gemeinsames Vorgehen für alle weitaus erfolgreicher ist als nur einmal im Jahr an die Türe der Kunden zu klopfen und auf Verlängerung bestehender Verträge zu spekulieren.
Ist die Vorstandsebene auf dem Laufenden bezüglich der Bedrohungen und ist sie sich der Risiken bewusst? Wie wichtig wäre das?
Wenn ich es direkt sagen kann: Cyberbedrohungen sind heute ein solch großes Risiko für Unternehmen, dass es sich keine Organisation leisten kann, diese zu ignorieren.
Be the first to comment