Gewohnheitstier. Als solches bezeichnet ein bekanntes Sprichwort den Menschen. Und gewöhnt haben wir uns schon längst, ob gewollt oder nicht, an das Wissen, dass wir alle - Privatleute wie Unternehmen - von Geheimdiensten weltweit überwacht und ausspioniert werden - mit teils kriminellen Methoden. 16 Monate nach Beginn der Snowden-Veröffentlichungen hat sich die große öffentliche Aufregung gelegt, nur die obligatorische wöchentliche neue Information aus dem Kosmos der Geheimdienste lässt einige Journalisten und Mediennutzer ab und an kurz die Augenbrauen hochziehen.
Foto: James Thew - Fotolia.com
Technologie braucht Sicherheit
Gewöhnt haben sich deshalb auch viele Unternehmen an die Erkenntnis, dass sie die völlige Sicherheit ihrer Systeme und Daten niemals werden erreichen können. Ob es aber gleich die "Kapitulation der IT-Sicherheit" sein muss, die Chaos-Computer-Club-Sprecher Frank Rieger auf dem Bonner Dialog für Cybersicherheit ausrief? Sicherlich nicht: Viele Anwender wollen zumindest versuchen, sich bestmöglich zu schützen. Schon allein deshalb, damit die Geheimdienste wenigstens etwas Gegenwind spüren. Aber das ist nicht der einzige Grund: "Je technologischer viele Unternehmen werden, desto mehr digitale Daten und mögliche Angriffspunkte müssen sie schützen", kommentiert Ruggero Contu, Analyst beim Marktforschungsunternehmen Gartner.
So ist es kein Wunder, dass Anwender weltweit im vergangenen Jahr Gartner-Erhebungen zufolge satte 20 Milliarden Dollar für Sicherheitssoftware ausgegeben haben, fast eine Milliarde mehr als noch 2012. Und der Trend zeigt auch für das laufende Jahr weiter steil nach oben. Contu beobachtet insbesondere eine Entwicklung: "Auffällig ist die Demokratisierung von Sicherheitsrisiken, weil Schadsoftware und zugehörige Infrastruktur durch die Untergrundwirtschaft immer leichter zugänglich werden. Jeder kann heute gezielte Angriffe initiieren. Durch diese Allgegenwärtigkeit von Bedrohungen realisieren Unternehmen nun, dass ihre traditionellen Sicherheitsbemühungen Lücken aufweisen und überdacht werden müssen."
Wer früh erkennt, schützt besser
Betrachtet man die gefährlichsten Bedrohungen der vergangenen Monate, stößt man unweigerlich auf viele alte Bekannte: DDoS, Social Engineering, Phishing, Hacking, Identitätsdiebstahl und - als "Königsdisziplin" sozusagen - auf Multivektorangriffe, die mehrere oder gleich alle dieser Methoden miteinander kombinieren. Die Angreifer - unter ihnen längst nicht nur Geheimdienstler - werden zunehmend professioneller und haben heute einen Reifegrad erreicht, der seinesgleichen sucht. "Die erfolgreichsten Angriffe sind in der Regel eine Kombination aus mehreren Vektoren und damit auch umso schwerer zu entdecken", erklärt Dror-John Röcher, Berater für IT-Sicherheit bei Computacenter. Es sei daher zunehmend wichtig, Attacken rechtzeitig zu erkennen, um sie abwehren zu können. "Die Prävention heute ist schon gut, aber in der Detektion müssen wir besser werden", weist Röcher darauf hin, dass gerade viele mittelständische Unternehmen nach wie vor nicht wissen, wann und wie sie unter digitalen Beschuss geraten.
Um diese Erkenntnis in die Fläche zu tragen, startete Bundesinnenminister Thomas de Maizière kürzlich den erneuten Versuch, ein IT-Sicherheitsgesetz auf die Straße zu bringen - inklusive Meldepflicht. Wer Opfer eines Cyberangriffs wird, soll diese Information bald an öffentliche Stellen weitergeben müssen - in anonymisierter Form. Dadurch würden die Unternehmen angehalten, ihre Erkennungssysteme zu überarbeiten und besser auf die Aktivitäten innerhalb ihrer Netze zu achten. "Sie müssen eine Sensorik aufbauen, um Vorfälle schnell und rechtzeitig zu erkennen - deshalb ist die Meldepflicht wirklich hilfreich", meint auch Röcher.
Einen Schritt weiter sind indes viele Großunternehmen, die sich bereits mit dem Aufbau eines Information Security Management Systems (ISMS) beschäftigen. Hier wird Security nicht mehr nur als rein technisches Thema, sondern als Business-Enabler gesehen, ohne das kritische Geschäftsprozesse nicht länger realisierbar sind. Oliver Schonschek, Experton Group Research Fellow, blickt voraus: "Die IT-Sicherheit wird sich im kommenden Jahr zu einer Identitäts- und Informationssicherheit wandeln müssen. Sicherheitskonzepte alleine auf der Ebene von Geräten oder Anwendungen haben ausgedient. Die massenhaften Fälle von Identitäts- und Datendiebstahl der letzten Monate zeigen dies eindrücklich." Er betont aber auch, dass viele Manager nach wie vor noch zu reaktiv handelten, wenn es um IT-Sicherheitsrisiken gehe. Ein branchenübergreifendes IT-Sicherheitsgesetz könnte auch dies bald ändern.
"Revival des Endpoint"
Und was erwartet die Hersteller? Hier sind auf absehbare Zeit neue Ideen gefragt. "Wenn ich heute ein Security-Startup gründen würde - von denen es meiner Meinung in Deutschland zu wenige gibt -, dann würde ich mich um den Endpunkt und um die Automation einer technischen Analyse von Vorfällen kümmern", sagt Computacenter-Experte Röcher. Seiner Meinung nach stünde die Branche sogar vor "einem Revival des Endpoint", weil insbesondere kritische Infrastrukturen und Industrieanlagen nur mithilfe von Whitelisting-Lösungen wirklich abgesichert werden könnten. "Sobald sich die Ernüchterung über das Antivirus-Thema gelegt hat, sind Forschungsprojekte wie Microvisor-Virtualisierung, die jeden Prozess in einer eigenen Sandbox verarbeiten, auf dem Vormarsch", so Röcher. Was die technische Analyse von Sicherheitsvorfällen angeht, kann er sich überdies gut neue Player und Produkte für Instant Response vorstellen. Hierbei handelt es sich um Systeme, die schnell herausfinden, wo sich eine bestimmte Malware im Netz befindet und was sie bereits "angestellt" hat.