Menü
Ein Beitrag von Adacor

IT-Sicherheit: Der Bericht zur Lage der Nation

Bericht zur Lage

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) resümiert, denn zur Prävention zukünftiger Gefahren gehört die Betrachtung vergangener Ereignisse. Deshalb beleuchtet das BSI jährlich die größten Schadensereignisse, die im Zusammenhang mit dem Einsatz von Informations- und Kommunikationstechnik vorkommen, um daraus einen jährlichen Lagebericht zu formulieren. Die einschlägigsten Vorfälle für die Wirtschaft haben wir hier zusammengefasst.

CEO Fraud: Der Mensch wird gelenkt

In Sachen IT-Sicherheit spielt der „Faktor Mensch“ zunehmend eine Rolle. Phishing-Angriffe, bei denen gezielt einzelne Mitarbeiter eines Unternehmens hinters Licht geführt werden, werden zunehmend professioneller. Mit immer ausgefeilteren Methoden des Social Engineerings gelangen Cybererpresser an Unternehmensdaten oder an hohe Geldsummen. So verursachten Banden mit der Betrugsmasche „CEO Fraud“ im Jahr 2017 große Schäden. Bei dieser Variante geben sich die Täter als Führungskräfte des eigenen Unternehmens aus. Sie übernehmen sehr glaubhaft die virtuelle Identität von Abteilungsleitern oder Geschäftsführern und weisen Mitarbeiter im Finanz- und Rechnungswesen telefonisch oder per E-Mail zum Transfer hoher Geldbeträge an. Diesen Betrügereien gehen meist intensive Recherchen voraus, sodass E-Mails mit gefälschten Absendern fehlerfrei und in einem glaubhaften Wording formuliert sind.

WannaCry: Schlechte Noten für Industrie 4.0

Auch durch die zunehmende Vernetzung von Industrie- und Gebrauchsgütern (Stichworte: Industrie 4.0 und Smart Everything) entstehen laut BSI fast täglich neue Sicherheitslücken. Nach Aussagen der staatlichen Sicherheitsexperten bieten die IT-Systeme, die Roboter vernetzen oder den Alltag komfortabler machen, häufig zu viele Angriffsflächen. Das birgt besonders für Industrieunternehmen ein großes Risiko, weil ein durch eine Cyberattacke verursachter Produktionsstillstand immense Kosten verursachen kann. Real geschehen ist dies zum Beispiel im Mai 2017 beim Autohersteller Renault. Da stoppte die Ransomware WannaCry die Bänder in mehreren Werken des französischen Konzerns.
Der Hintergrund: In vielen traditionellen Betrieben, so auch in der Automotive-Branche, laufen viele Systeme noch mit Windows XP. Eben dieses Betriebssystem war Ziel von WannaCry. Windows XP wurde 2001 veröffentlicht und läuft durchaus zuverlässig – vor allem auf älteren Computern und Maschinen, zum Beispiel auf vielen Geldautomaten. Im Januar 2016 hat Microsoft allerdings den Support für das System eingestellt und liefert standardmäßig keine Sicherheitsaktualisierungen mehr. Da lacht das Hackerherz!

Wirtschaftskrimi „Winnti“

Im Dezember 2016 drang eine hochprofessionelle Hacker-Bande – wahrscheinlich aus China oder einem anderen südostasiatischen Land – in die weltweit verzweigten Firmennetze und IT-Systeme des Konzerns Thyssenkrupp ein. Die Cyber-Verbrecher agieren unter dem Codenamen „Winnti“.
Bis zu diesem Zeitpunkt hatte „Winnti“ durch Angriffe auf Gaming-Plattformen, bei denen die Hacker Spielgeld umleiteten und auf dem Schwarzmarkt gegen „harte Dollar“ eintauschten, zweifelhaften Ruhm erlangt. Nun brachten sie die deutsche Industrie ins Schwitzen. Der Konzern brauchte mehrere Monate und die Hilfe externer Spezialisten, um die Schäden zu beseitigen und das Unternehmensnetz neu zu sichern.

Petya/NotPetya: Kein Erpresser, sondern ein Randalierer

Der Trojaner Petya/NotPetya wiederum verbreitete sich über das Update einer Buchhaltungssoftware – eine fatale Liaison. Nicht nur, dass Petya/NotPetya Unternehmensnetzwerke lahmlegte, der Trojaner diente auch dazu, Informationen auszuspähen oder Geschäfts- und Verwaltungsprozesse zu sabotieren.
Hierzu erklärt BSI-Präsident Arne Schönbohm: „Der Lagebericht des BSI macht deutlich, welche teils immensen Auswirkungen Cyber-Angriffe wie WannaCry, Petya/NotPetya oder der Ausfall hunderttausender Router für Unternehmen und Bürger in Deutschland haben können und dass es notwendig ist, Informationssicherheit als unabdingbare Voraussetzung einer erfolgreichen Digitalisierung zu verstehen.“

Gefährdung der Wirtschaft

Besonders Wirtschaftsunternehmen, die als Träger von speziellem technologischen Know-how gelten und Auslandsaktivitäten verfolgen, sind laut BSI interessante Ziele für Cyber-Spionage. Das BSI stellt fest, dass die meisten Angriffe auf Unternehmen oft nach „bewährten“ Methoden geschehen; viele Gefahren sind bereits im privaten Bereich bekannt, Angriffsmethoden werden dort erprobt und kommen dann oft auf höherem Niveau im Business-Zusammenhang zum Einsatz.
Dabei rücken verstärkt die Mitglieder von Advanced Persistent Threat (APT)-Gruppen in den Fokus, die vermutlich Anweisungen und Unterstützung von fremden Staatsregierungen erhalten. Während bekanntere Gruppen wie APT28 und APT29 ihre Angriffe offenbar auf staatliche Einrichtungen oder Regierungsorganisationen konzentrieren, verzeichnete das BSI zunehmend Angriffe von anderen Gruppen auf deutsche Unternehmen, die umfangreiche Auslandstätigkeiten ausüben oder international verflochten sind.
Erstmals veröffentlichte das BSI Zahlen zu meldepflichtigen Vorfällen mit kritischem Störpotenzial: Bis Juni 2017 waren das insgesamt 34, davon 18 aus der Informationstechnik- und Telekommunikationsbranche, elf aus dem Sektor Energie, drei aus dem Sektor Wasser und zwei aus dem Bereich Ernährung. Laut BSI verhinderte die Eilmeldung eines Mineralöl-Unternehmens die Ausbreitung von Schadcode, der auf Raffinerien zielte.

Image

Eine Erfolgsstory: Wie Cloud Computing Unternehmen zu Siegern macht

IT Quarterly kurz ITQ heißt das neue IT-Fachmagazin rund um die Themen Hosting, Digitalisierung und Management.

Das Magazin jetzt kostenlos und ohne Registrierung downloaden

Wie können Unternehmen sich schützen?

Das BSI spricht für Unternehmen verschiedene Empfehlungen aus: Um zu vermeiden, dass Täter an technologische oder marktoperative Informationen internationale tätiger Unternehmen gelangen, müsse das Sicherheitsniveau aller Unternehmensstandorte weltweit an den Standard des Hauptstandorts angeglichen werden. Alternativ könne eine klare Trennung der Netzwerke und Domänen einen Schutz darstellen. Zudem sei ein kontinuierliches Netzwerk-Monitoring unersetzlich, um eine erfolgte Kompromittierung schnell zu entdecken.
Cyber-Angriffswellen durch Ransomware wie WannaCry oder Schadware wie NotPetya/ExPetr machen deutlich, wie anfällig selbst kritische Geschäftsprozesse in Unternehmen und Institutionen sind. Dass nicht nur einzelne Rechner, sondern zunehmend ganze Unternehmensnetzwerke zusammenbrechen, ist für Unternehmen existenzgefährdend.

Das BSI empfiehlt daher

  • Netzwerke zu segmentieren,
  • lokale Administratorenkonten auf Rechnern zu deaktivieren oder zumindest mit rechnerspezifischen Passwörtern zu versehen,
  • lokalen Administratoren keine Log-in-Möglichkeit über das Netzwerk auf anderen Rechnern zu gewähren,
  • direkte Verbindungen zwischen Arbeitsplatzsystemen generell zu unterbinden. Stattdessen sollten Daten mittels eigens dafür eingerichteten und gesicherten Fileservern mit sicheren Schnittstellen ausgetauscht werden.

Das BSI fordert aber auch Anbieter von Software-Produkten auf, ihre Update-Mechanismen besser zu pflegen und weist Diensteanbieter an, die Sicherheit ihrer Webseiten zu garantieren. Auch weist das BSI darauf hin, Systeme immer „auf dem aktuellen Patchstand“ zu halten. Es empfiehlt privaten Usern, sich bei den Herstellern der genutzten Software-Produkte zu informieren, welche Services diese anbieten. Kommerzielle Nutzer sollten laut BSI in den IT-Dienstleistungsverträgen entsprechende Klauseln für schnellstmögliches Testen und Patchen vermerken – eine Methode, die Adacor mit seinen Kunden bereits seit längerer Zeit verfolgt.

Nächste politische Schritte

Als nationale Cyber-Sicherheitsbehörde muss sich das BSI natürlich auch die Frage stellen, wie Politik und Gesetzgebung für mehr Sicherheit im Netz sorgen können und Wirtschaft und Bürgerinnen und Bürger schützen will.
So betont das BSI in seinem Bericht, den Sie hier im Original nachlesen können, dass es sich eindeutig zum Verschlüsselungsstandort Deutschland bekennt. Neben einer „Charta zur Stärkung der vertrauenswürdigen Kommunikation“ will die Behörde mit ihrer „Fokusgruppe Verschlüsselung“ den Einsatz der Kryptographie weiter stärken. 2018 will das BSI in einem sogenannten „Speed-Dating“ alle deutschen Unternehmen zusammenbringen, die einen Beitrag zu Verschlüsselungsprodukten liefern können. Dabei fordert das BSI das Prinzip des „need to share“ ein: Zum Schutz aller und der allgemeinen IT-Sicherheit müssten Know-how und Information weitgehend geteilt werden.

, ,

Die besten IT-News per E-Mail

Immer als Erster über brandaktuelle IT-Themen informiert sein!

Datenschutzhinweise


Weitere Artikel zum Thema lesen

Verschlüsselungsverfahren im Überblick

IT Security

Verschlüsselungsverfahren im Überblick

E-Mail-Verschlüsselung lohnt sich, wenn man sensible Daten digital übertragen möchte.

weiter lesen

Das Betriebsteam – Unsere Teams im Fokus

Cloud, Hosting, IT Security

Das Betriebsteam – Unsere Teams im Fokus

Da der Hosting-Betrieb das Kerngeschäft der ADACOR ist, gilt der Betrieb als Herzstück der ADACOR und ist zudem der größte Unternehmensbereich. In diesem Beitrag...

weiter lesen

Public-Key-Verfahren (PGP) einfach erklärt

Hosting, IT Security

Public-Key-Verfahren (PGP) einfach erklärt

Verschlüsselung wie im Mittelalter - Dokumente hinter Schloss und Riegel bringen.

weiter lesen


Neueste Nachrichten von Adacor

Biz & Trends

Bei uns erhalten Bewerber schnelles Feedback

Adacor hat sich eine hohe Wertschätzung von Mitarbeitern und Bewerbern auf die Fahne geschrieben, so ist es selbstverständlich, dass Bewerber schon nach wenigen Tagen...

weiter lesen

Cloud, Hosting

Kostenvergleich: Inhouse vs Cloud

Bei der Entscheidung ob Cloud oder In-House-Lösung müssen neben der Kostenfrage, auch Qualität und Leistung analysiert werden.

weiter lesen

Biz & Trends, IT-News

IT-Branche im stetigen Wandel

Mutige Experimente, neue Ideen und viel Innovationskraft machen die IT-Branche aus, wir haben die aktuellsten Trends zusammengestellt.

weiter lesen