Drei Schritte

Wie sich Firmen auf Cyber-Angriffe vorbereiten können

24.06.2015 von Olaf Riedel
Risiken im Netz verändern sich ständig. Unternehmen müssen vorsorgen – mit einer ausgereiften Internetsicherheit.

Hacker sind cleverer als jemals zuvor: Sie wissen genau, wo sich die Achillesferse von Unternehmen in Bezug auf ihre Informationssicherheit befindet - Menschen und Prozesse eingeschlossen - und sie haben Zeit! Laut der aktuellen Global Information Security Survey von Ernst & Young steigt für viele Unternehmen die Bedrohung durch externe Angreifer mehr und mehr.

Firmen müssen über die neuesten Technologien verfügen - nur so herrscht "Waffengleichheit" mit den potenziellen Angreifern.
Foto: Nmedia, Fotolia.de

53 Prozent der Firmen fürchten laut den Studienergebnissen einen Angriff durch kriminelle Vereinigungen, 46 Prozent sehen in sogenannten Hacktivisten - das sind politisch motivierte Hacker - eine erhebliche Gefahrenquelle, 43 Prozent betrachten einzelne, allein agierende Hacker als Risiko und 27 Prozent stufen staatlich finanzierte Angreifer als besonders bedrohlich ein. Nach wie vor stellen auch die eigenen Mitarbeiter eine Risikoquelle dar: 57 Prozent der Unternehmen nennen die eigenen Angestellten als Gefahrenquelle.
In Bezug auf das Thema Internetsicherheit mangelt es Unternehmen auch häufig an einem angemessenen Budget und den geforderten fachlichen Fähigkeiten. Das Kompetenzprofil ändert sich von Jahr zu Jahr und der Bedarf an neuen Skills wächst, um die Sicherheitsmaßnahmen in sämtlichen Bereichen des Unternehmens zu verankern.

Externe und interne Einflüsse und Gefahren
Foto: Ernst & Young

Drei Phasen auf dem Weg zu einer ausgereiften Cybersecurity

In der ersten Phase aktivieren Unternehmen ihre Informationssicherheit. In der nächsten Phase geht es darum, die bestehenden Maßnahmen an die digitalen und wirtschaftlichen Veränderungen anzupassen, damit sie ihre Wirkung nicht verlieren. Sind die ersten beiden Etappen abgeschlossen, heißt es antizipieren. Dafür müssen Unternehmen zunächst definieren, was ihr heiligstes Gut ist. Was möchten sie am meisten schützen? Wo sind sie besonders verwundbar? Und wie können sie auf mögliche Angriffe reagieren?

1. Phase: Aktivieren

Unternehmen, deren Niveau an Internetsicherheit in Phase 1 zu verorten ist, weisen in der Regel drei typische Defizite auf: Zunächst ist die Cybersecurity noch nicht ganzheitlich in die Organisation integriert. Sie wird vielmehr als ein Kostenfaktor betrachtet, den es soweit als möglich zu begrenzen gilt. Zweitens beschränken sich Unternehmen an dieser Stelle lediglich darauf, die aktuell als Bedrohung wahrgenommenen Risiken abzusichern, statt sich auch auf mögliche zukünftige Risiken einzustellen. Außerdem sind die Herangehensweise und alle Prozesse rund um Cybersicherheit sehr statisch. Unternehmen müssen jedoch agil auf Veränderungen reagieren können.

Sechs Maßnahmen, die jedes Unternehmen "aktivieren" sollte:

Anzeichen für einen Cyber-Angriff
Woran Sie einen Angriff erkennen
Nach Analysen von McAfee weisen vor allem acht Indikatoren darauf hin, dass ein Unternehmensnetz in die Schusslinie von Hackern geraten ist. Hans-Peter Bauer, Vice President Zentraleuropa bei McAfee, stellt sie vor.
Interne Hosts kommunizieren mit bösartigen oder unbekannten Zieladressen
In jedem Fall verdächtig ist, wenn ein Host-Rechner auf externe Systeme zugreift, deren IP-Adressen auf "Schwarzen Listen" von IT-Sicherheitsfirmen zu finden sind. Vorsicht ist auch dann geboten, wenn Rechner häufig Verbindungen zu Systemen in Ländern aufbauen, zu denen ein Unternehmen keine geschäftlichen Beziehungen unterhält. Dabei kann es sich um den Versuch handeln, Daten aus dem Unternehmen hinauszuschmuggeln.
Interne Hosts kommunizieren mit externen Hosts über ungewöhnliche Ports
Auffällig ist beispielsweise, wenn interne Rechner über Port 80 eine SSH-Verbindung (Secure Shell) zu einem System außerhalb des Firmennetzes aufbauen. SSH nutzt normalerweise Port 22 (TCP). Port 80 ist dagegen die Standardschnittstelle für HTTP-Datenverkehr, also den Zugriff auf das Internet. Wenn ein Host einen ungewöhnlichen Port verwendet, kann dies ein Indiz dafür sein, dass ein Angreifer das System unter seine Kontrolle gebracht hat. Um IT-Sicherheitssysteme zu täuschen, tarnt ein Hacker dann die Kommunikation mit seinem Command-and-Control-Server (C&C) als Anwendung, die jedoch nicht den Standard-Port verwendet.
Öffentlich zugängliche Hosts oder Hosts in entmilitarisierten Zonen (DMZ) kommunizieren mit internen Hosts
Mithilfe solcher Hosts kann es Angreifern gelingen, gewissermaßen "huckepack" in ein Unternehmensnetz einzudringen, Daten zu stehlen oder IT-Systeme zu infizieren.
Warnungen von Malware-Scannern außerhalb der Geschäftszeiten
Verdächtig ist, wenn Antiviren-Programme in der Nacht oder am Wochenende Alarm schlagen, also außerhalb der normalen Arbeitszeiten. Solche Vorkommnisse deuten auf einen Angriff auf einen Host-Rechner hin.
Verdächtige Netzwerk-Scans
Führt ein interner Host-Rechner Scans des Netzwerks durch und nimmt er anschließend Verbindung zu anderen Rechnern im Firmennetz auf, sollten bei Administratoren die Alarmglocken schrillen. Denn dieses Verhalten deutet auf einen Angreifer hin, der sich durch das Netzwerk "hangelt". Vielen Firewalls und Intrusion-Prevention-Systemen (IPS) entgehen solche Aktionen, wie sie nicht entsprechend konfiguriert sind.
Häufung identischer verdächtiger Ereignisse
Ein klassischer Hinweis auf Angriffe ist, wenn mehrere sicherheitsrelevante Events innerhalb kurzer Zeit auftreten. Das können mehrere Alarmereignisse auf einem einzelnen Host sein, aber auch Events auf mehreren Rechnern im selben Subnetz. Ein Beispiel sind Fehler beim Authentifizieren.
Schnelle Re-Infektion mit Malware
Nach dem Scannen mit einer Antiviren-Software und dem Beseitigen eventuell vorhandener Schadsoftware sollte ein IT-System eigentlich längere Zeit "sauber" bleiben. Wird ein System jedoch innerhalb weniger Minuten erneut von Malware befallen, deutet dies beispielsweise auf die Aktivitäten eines Rootkit hin.
Dubiose Log-in-Versuche eines Nutzers
Eigenartig ist, wenn derselbe User innerhalb kurzer Zeit von unterschiedlichen Orten aus Log-in-Versuche in ein Firmennetz startet oder wenn solche Aktionen von Systemen mit unterschiedlichen IP-Adressen aus erfolgen. Eine Erklärung ist, dass die Account-Daten des Nutzers in falsche Hände gefallen sind. Denkbar ist allerdings auch, dass sich ein illoyaler oder ehemaliger Mitarbeiter Zugang zu verwertbaren Daten verschaffen will.

2. Phase: Anpassen

Internetsicherheit ist ein Thema, das das gesamte Unternehmen angeht - von der Entwicklung neuer Prozesse über die Eröffnung von Betriebsstätten bis hin zur Einführung neuer Produkte. Ändern sich Geschäftsprozesse, sollte das Unternehmen diese sofort auf den Aspekt der Internetsicherheit hin analysieren und neue Anforderungen direkt in die Prozesse integrieren.
Auf diese Weise ist die Sicherheit kontinuierlich auf dem neusten Stand. Die Internetsicherheit des Unternehmens ist in dieser zweiten Phase flexibel und wird ständig nachjustiert.

Fünf Schritte, wie ein Unternehmen von der ersten in die zweite Phase übergehen kann:

Mobile Security – wie sich deutsche Unternehmen schützen

Eine große Mehrheit der Befragten setzt ein MDM-System ein oder plant dies.

Weniger als ein Drittel der Unternehmen glaubt an einen ausreichenden Schutz durch einschlägige Sicherheitsmaßnahmen.

Neben der Sensibilisierung der Mitarbeiter sehen Unternehmen vor allem die IT-Anbieter in der Pflicht, für mehr Sicherheit zu sorgen.

3. Phase: Antizipieren

In der dritten Phase sind Unternehmen in der Lage potenzielle Risiken zu beobachten, sie vorherzusehen und schnell zu reagieren. Die Voraussetzung dafür ist, dass die Führungsebene Internetgefahren und Risiken als wichtiges Business-Thema akzeptiert. Daneben wissen die Unternehmen, was für sie besonders schützenswert ist, und können das Wissen darum in die Geschäftsprozesse integrieren.

Seine Umwelt bewusst wahrzunehmen, ist wichtig, um die Einflüsse der Umgebung auf das eigene Unternehmen einschätzen zu können. Zuletzt entscheidet ein auf Routinen basierender Umgang mit Internetsicherheit über das erfolgreiche Vorhersehen und Abwenden von Risiken. Dazu machen die Unternehmen Testläufe ihrer Reaktionsmaßnahmen auf die verschiedenen Angriffsszenarien.

Fünf Maßnahmen, wie Unternehmen die dritte Phase erreichen:

Mobile Security – die größten Defizite der Unternehmen

Mit Datenschutz und Datensicherheit kennen sich die Befragten laut eigenen Angaben aus. Doch es fehlt an spezifischen Kenntnissen zu mobilen Apps.

Funktionalität ist das entscheidende Auswahlkriterium bei der App-Auswahl.

Mehr als die Hälfte der befragten Unternehmen weist kein explizites Budget für IT-Security aus.

In den Sicherheitskonzepten der Unternehmen spielen mobile Aspekte häufig keine Rolle.

Fazit

Unternehmen müssen ihre Internetsicherheit kontinuierlich überprüfen und verbessern, um für neue Angriffsmethoden oder Gefahrentypen gewappnet zu sein. Dafür müssen sie über die neuesten Technologien verfügen. Nur so herrscht "Waffengleichheit" mit den potenziellen Angreifern. Die meisten Unternehmen beschäftigen sich jedoch aktuell noch zu stark mit der gegenwärtigen Situation, statt in die Zukunft zu blicken und ihre Internetsicherheit vorausschauend weiterzuentwickeln. Hier gilt es anzusetzen, um sich wirkungsvoll gegen Angriffe zu schützen und so dafür zu sorgen, dass das Business störungsfrei operieren und sich erfolgreich entwickeln kann.