Cybersecurity – Alter Bekannter im neuen Gewand
18.10.2016
Grundsätzlich handelt es sich bei »Cybersecurity«, »Cybersicherheit«, »Cyberabwehr« etc. um keine neuen Themenfelder, sondern um einen Trend, die komplexe Bezeichnungsvielfalt im Informationssicherheits-Bereich für Nicht-ITler zu vereinfachen und besser greifbar zu machen. Letztlich steht die Wahrung der Schutzziele Verfügbarkeit, Vertraulichkeit und Integrität der Informationen einer Institution im Zentrum. Das Wort »Cyber« bezieht sich hierbei auf die Herkunft der Angriffe bzw. die Wege, welche Angreifer nutzen – den direkten oder indirekten Anschluss an das Internet.
Cyberangriffe sind somit gezielte Angriffe über das Internet, welche die Verfügbarkeit, Vertraulichkeit und/ oder Integrität von Informationen einer Institution verletzen wollen. Ihr Ziel ist es beispielsweise, die Ausfälle der eingesetzten Technik (Verfügbarkeit) zu provozieren, unrechtmäßig nicht für die Öffentlichkeit bestimmte Daten (Vertraulichkeit) offenzulegen sowie unberechtigt und unbemerkt Änderung von Daten (Integrität) vorzunehmen.
Arten von Cyberangriffen:
Der Klassiker – Zielen und Feuer: Im Fokus steht ein definiertes Ziel, das der Angreifer mit seinen verfügbaren Mitteln erreichen möchte, beispielsweise der Einbruch in Kundendatenbanken, das Lahmlegen von Firmenwebseiten sowie Softwaresystemen oder die mutwillige Zerstörung von computergestützten Systemen. Hierfür analysiert er zunächst sein Opfer, führt seinen Angriff durch und zieht sich anschließend zurück. Zu den zahlreichen Schwachstellen, die ein Angreifer hierfür nutzt, zählen u. a. Sicherheitslücken in der Software und Hardware, mangelhafte Berechtigungskonzepte (Nichtbeachtung des Least-Privilige-Ansatzes) und ein fehlendes Risikobewusstsein seitens der Verantwortlichen und Mitarbeiter.
Das Geduldsspiel – Überwachung im Inneren: Als Erweiterung zur »klassischen« Angriffsart wird der Eindringling nach erfolgtem Einbruch nicht sofort tätig, sondern versucht unbemerkt zu bleiben und sich durch Schadsoftware (z. B. Trojaner) auf den IT-Systemen des Opfers einzunisten. Dadurch erhält er die Möglichkeit, z. B. Informationen aus der Kommunikation der Mitarbeiter, der Eingabe von Passwörtern oder anderen wertvollen Informationsquellen zu erhalten. Diese werden zu gegebener Zeit an den Angreifer geliefert. Begünstigt wird der Erfolg dieses Angriffes z. B. durch fehlendes Monitoring.
Die Manipulation – Mach was ich will: Ergänzend zu den beschriebenen Angriffsarten gibt es Eindringlinge, welche Informationen nicht nur passiv abziehen, sondern das Opfer dahingehend manipulieren, Aktionen durchzuführen, die im Sinne des Angreifers sind. Diese Herangehensweise baut auf den obigen Angriffsarten auf und streut bewusst Fehl- bzw. Falschinformationen in die Daten und Kommunikation des Opfers ein, indem z. B. einzelne Strategiepapiere, Kennzahlen-dokumente o. ä. manipuliert werden, die wiederum als Entscheidungsgrundlage der Unternehmensführung dienen und so zu einer fatalen Fehlentscheidung führen können. Begünstigt werden diese Angriff durch fehlende Mittel zur Überprüfung der Authentizität oder Integrität von Informationen.
Schutz vor Cyberangriffen:Obwohl der Wunsch nach einem hundertprozentigen Schutz vor Angriffen nachvollziehbar ist, kann keine bekannte Technologie diesen gewährleisten. Hierfür müsste sie in der Lage sein, sich auf die Kreativität und Intelligenz, die ein Angreifer mitbringt, einzustellen. Dennoch gibt es Möglichkeiten, das eigene Schutzniveau soweit zu erhöhen, dass es kaum einem Angreifer gelingt, die Ressourcen für die Überwindung dieser Sicherheitsmaßnahme aufzubringen. Hierzu zählen:
- Speziallösungen der Sicherheitshersteller im Bereich Firewall, Endpoint-Protection, SIEM, Data-Loss/ Leakage-Prevention
- Authentifizierte und verschlüsselte Kommunikation und Speicherung der Daten
- Sensibilisierung und Schulung der Mitarbeiter
- Einrichtung und Aufrechterhaltung eines kontinuierlichen Sicherheitsniveaus über ISMS, IT-Grundschutz etc.
- Gezielte Überprüfung hochkritischer Bereiche über Schwachstellentests
- Gezielte »Härtung« einzelner Systeme