Kitabı oxu: «10 Strategien gegen Hackerangriffe»

Vom Hacker zum Cyberkrieger

Philipp Mattes-Draxler

Information als Wert

Bevor die Strategien zur Abwehr von Hackerangriffen vorgestellt werden, ist es sinnvoll, einen Blick in die Vergangenheit zu werfen, um zu verstehen, wie es überhaupt dazu kam, dass wir uns vor Hackern schützen müssen.

Es ist schon bezeichnend, dass die als älteste bekannte Form der Verschlüsselung als „Cäsar-Chiffre“ bekannt ist.[5] Bereits Julius Cäsar verschlüsselte mit einfachen Mitteln Botschaften an seine Heerführer und Kommandanten, sodass nur ein berechtigter Empfänger über die Befehle und geplanten Aktionen am Gefechtsfeld Bescheid wusste. Es kann davon ausgegangen werden, dass er nicht der erste und im Lauf der Geschichte auch sicher nicht der letzte Herrscher und Befehlshaber war, der auf diese Weise dafür Sorge getragen hat, dass seine Geheimnisse auch geheim bleiben. Gerade das berühmte Beispiel der „Enigma“, einer Maschine zur Verschlüsselung des Nachrichtenverkehrs der Wehrmacht im zweiten Weltkrieg, zeigt, mit welchem Aufwand Informationsschutz und Kryptoanalyse betrieben wurde bzw. immer noch betrieben wird.

Informationsschutz im Sinne von Geheimnisschutz hat also bereits eine lange Geschichte und gewinnt heute insofern an Bedeutung, als die Informationsverarbeitung unsere wirtschaftlichen, politischen und sozialen Interaktionsprozesse immer mehr durchdringt. Als Beispiel sei hier die Diskussion rund um die Ende-zu-Ende-Verschlüsselung bzw. die Sicherheit von Messangerdiensten wie WhatsApp und ähnlichen angeführt.[6]

Bewegt man sich in der digitalen Welt, wird landläufig vom „Cyberraum“ gesprochen. Der Cyberraum umfasst dabei alle weltweit über das Internet hinweg erreichbaren Informationsstrukturen. Betrachtet man nun die Sicherheitsaspekte im Cyberraum, so spricht man von „Cybersecurity“. Dies schließt klassischerweise alle möglichen Arten und Ausprägungen von Informationssicherheit und IT-Sicherheit in der digitalen Welt mit ein, im Besonderen auch die Informationssicherheit von Organisationen und Unternehmen im geschäftlichen Umfeld.

Obwohl die Begriffe „Cybersecurity“ und „Informationssicherheit“ oft synonym verwendet werden und es sehr viele Schnittstellen gibt, besteht doch ein wichtiger Unterschied zwischen den beiden Konzepten. Informationssicherheit umfasst den Schutz von Daten unabhängig von der Art der Daten (auch analoge Daten), während sich Cybersecurity ausschließlich mit dem Schutz von Daten in digitaler Form beschäftigt. Im Rahmen dieses Buches werden sowohl Maßnahmen für die Cybersecurity als auch übergreifende Maßnahmen im Rahmen von Informationssicherheit dargestellt.

Cybercrime

Die starke Durchdringung des Cyberraums und die damit einhergehenden Gefahren und Bedrohungen haben längst auch unser Privatleben erreicht. Cyberkriminelle nutzen die stetig wachsenden technischen Möglichkeiten, um Informationen zu stehlen und sich finanziell zu bereichern.

+Geht Cybercrime uns alle an?

Während sich Cyberkriminelle im geschäftlichen Umfeld vornehmlich auf die Schädigung von Unternehmen fokussieren, werden im privaten Umfeld alle Individuen zu potenziellen Opfern. Ob es sich bei den Tätern aber immer um klassische Hacker handelt, wie sie aus den Medien bekannt sind, kann gerne am Ende der ersten Strategie selbst beurteilt werden (siehe Kapitel 1).

Eine allgemein gültige Definition des weit gefassten Begriffs „Cybercrime“ gibt es nicht.[7] In der Regel werden darunter alle Straftaten, die unter Ausnutzung des Internets bzw. von Informations- und Kommunikationstechnik (IKT) begangen werden, verstanden. Die österreichischen Sicherheitsbehörden unterscheiden darüber hinaus zwischen Cybercrime im engeren Sinn und Cybercrime im weiteren Sinn.

Cybercrime im engeren Sinn meint jene Straftaten, bei denen Angriffe auf Daten oder Computersysteme unter Ausnutzung von verschiedenen Techniken begangen werden (z. B. Datenbeschädigung, Hacking oder Angriffe auf die Verfügbarkeit von Daten).

Im weiteren Sinn werden unter Cybercrime aber auch Straftaten verstanden, bei denen die Informations- und Kommunikationstechnik zur Planung, Vorbereitung und Ausführung von herkömmlichen Kriminaldelikten eingesetzt wird (z. B. Betrugsdelikte, Kinderpornografie, Cybergrooming[8] oder Cybermobbing).

Es zeigt sich also, dass die Bezeichnung „Cybercrime“ für nahezu alle Ausprägungen von Kriminalität verwendet wird – denn wie unsere Interaktionsprozesse vielfach im Cyberraum stattfinden, so spielen sich auch kriminelle Interaktionsprozesse vermehrt dort ab.

Als Beispiele für kriminelle Interaktionen im Cyberraum können diverse „Darknet“-Chats ebenso angeführt werden wie Umschlagplätze im digitalen Raum für den Handel von Drogen, Waffen und anderen illegalen Waren. Dabei handelt es sich vornehmlich um Chat-Gruppen bzw. Online-Dienste, die unter Wahrung der Anonymität und mit besonderen Formen der Verschlüsselung erreichbar sind und sich daher auch besonders dafür eignen, der Strafverfolgung zu entgehen. Per se ist diesen Technologien, welche die Möglichkeit der Anonymisierung im Internet erst ermöglichen, aber nichts vorzuwerfen, denn sie eignen sich ebenfalls dazu, die Freiheiten der Meinungsäußerung oder journalistische Tätigkeiten in Regime-Staaten zu unterstützen.

+Betrug bleibt Betrug

Weit weniger abstrakt sind Cyberbetrugsdelikte. Sei es, sich Passwörtern zu ermächtigen, mit falschen Social-Media-Profilen Vertrauensstellungen zu erreichen oder schlicht Konto- bzw. Kreditkarteninformationen zu entwenden und die Opfer so finanziell zu schädigen. Hier wird von „Social-Engineering-Angriffen“ gesprochen. Gemeint sind damit neue, moderne Formen des Trickbetrugs, wie z. B. des sogenannten Enkeltricks.

Dass diese Form des Betrugs aber nicht neu ist, zeigt beispielsweise der Film „Catch me if you can“. Hier spielt Leonardo di Caprio einen erfolgreichen Scheckkartenbetrüger in den 1960er Jahren, der das Scheckkartensystem ausnutzt, um sich persönlich zu bereichern. Auch die Ära des „Phone Phreaking“ in den 1970er bis Mitte der 1990er Jahre stellt ein gutes Beispiel für Trickbetrug dar: Hierbei konnten unter Ausnutzung der Eigenschaften der analogen Telefonie Ferngespräche und andere gebührenpflichtige Dienste „gratis“ in Anspruch genommen werden – auf Kosten diverser Firmenkonten, von denen diese Gebühren durch Telefonfirmen abgebucht wurden.[9]

Die Beispiele zeigen, dass sich Betrüger immer neue Maschen ausdenken und im Gleichklang mit dem technischen Fortschritt neue Möglichkeiten finden, finanzielle Vorteile unter Ausnutzung oder zumindest unter Abstützung auf die modernen Techniken zu erlangen.

War ein Heiratsschwindler in früheren Jahren darauf angewiesen, seine Zielperson persönlich auszuspähen, so kann er sich mittlerweile von jedem beliebigen Ort aus einen Überblick über seine Opfer auf diversen Dating-Plattformen beschaffen.

Durch das unüberschaubare Angebot im Internet und die vielen E-Mails und Nachrichten in Messenger-Diensten und Social-Media-Kanälen kommt hinzu, dass Anwender zunehmend den Überblick verlieren. Die Vielzahl an Benutzeraccounts, die heutzutage durch Tätigkeiten im Internet in Verwendung sind, verleiten dazu, aus Praktikabilitätsgründen für jedes Benutzerkonto dasselbe Passwort zu verwenden, was es Cyberkriminellen einfach macht. Hat ein Hacker erst einmal Zugang zu einem Passwort erlangt, ist es ihm oftmals ein Leichtes, auch auf weitere Accounts zuzugreifen.

Faktisch macht es keinen Unterschied, ob private Kontoinformationen am Telefon an einen fremden Anrufer weitergegeben oder sie im Zuge eines täuschend echt aussehenden Gewinnspiels per E-Mail oder durch Eingabe auf einer Website preisgegeben werden. Der Effekt bleibt der gleiche, und das ist in der Regel fehlendes Geld auf dem Bankkonto.

+Verschiedene Ausprägungen von Cybercrime

Cybercrime im engeren Sinn zielt darauf ab, Informationswerte in Bezug auf ihre Vertraulichkeit, Verfügbarkeit oder Integrität zu verletzen und so Vorteile zu erlangen.

Diese Vorteile werden wir in Kapitel 1 unter dem Überbegriff „Motivation“ näher erörtert. Denn während ein gewöhnlicher Krimineller in der Regel danach trachtet, finanzielle Vorteile zu erlangen, können andere Motive politische Aktionen oder Machtdemonstrationen sein.

Eine populäre Methode, um als Hacker finanzielle Vorteile zu lukrieren, ist die Erpressung. Dabei sind unterschiedliche Ausprägungen möglich. Die folgenden Beispiele beschreiben mögliche Szenarien.

Im privaten Umfeld erlangt sich ein Angreifer beispielsweise Zugriff auf den Laptop einer Privatperson und erstellt so kompromittierende Fotos mit der Webcam, um damit sein Opfer zu erpressen. Um die Verbreitung des Fotos zu verhindern, zahlt das Opfer den geforderten Betrag an den Angreifer. In einem anderen Fall verschlüsselt ein Angreifer alle Dateien auf der Festplatte einer Person inklusive deren Urlaubsfotos mit einer sogenannten Ransomware. Damit sind alle Dateien auf der Festplatte unbrauchbar. Im besten Fall werden die Daten nach der Überweisung von Lösegeld an den Hacker wieder entschlüsselt. Oftmals sind die Daten aber trotz Bezahlung verloren.

Ransomware-Angriffe sind aber auch im unternehmerischen Umfeld sehr populär und richten hohe Schäden an, wenn alle Dateisysteme inklusive Back-Ups verschlüsselt werden, stehen somit nicht nur die Geschäftskommunikation und Buchhaltung, sondern auch die Produktion still. Angreifer lassen sich fürstlich entlohnen, um Systeme wieder freizugeben. Lösegeldforderungen in der Höhe von zweistelligen Millionenbeträgen sind die Regel. Nicht selten werden diese auch bezahlt, wie das Beispiel von Garmin[10] zeigt. Laut Medienberichten flossen beim Hersteller von Navigations-Empfängern Zahlungen in Millionenhöhe, nachdem Hacker Daten mit Hilfe einer Ransomware verschlüsselt hatten.

Eine andere Art von Angriffen sind verteilte Angriffe, um die Verfügbarkeit von Systemen zu stören. Sogenannte Destributed-Denial-of-Service-Attacken (DDoS) zeichnen sich dadurch aus, dass Systeme und Web-Services innerhalb von kurzer Zeit mit so vielen Anfragen konfrontiert werden, dass dadurch das System überlastet wird und der Service nicht mehr verfügbar ist. Die Angriffe werden gleichzeitig über ein sogenanntes Botnetz orchestriert, wobei die Bots alle möglichen Arten von Endgeräten wie Fernsehern bis hin zum vernetzen Kühlschrank sein können. Damit lassen sich Unternehmen erpressen, die auf ihren Web-Auftritt oder einen Online-Shop angewiesen sind.

Die Bezahlung von Lösegeld wird gemeinhin mit Kryptowährungen realisiert. Das versetzt das Opfer in die Zwangslage, ebenfalls eine Krypto-Wallet[11] besitzen zu müssen, um Überweisungen an die Angreifer vornehmen zu können. Für die Angreifer ist es jedenfalls vorteilhaft, da die Verfolgung von Kryptogeld bis hin zur Realisierung in einen Geldbetrag in regulärer Währung bei Verdacht auf eine Straftat für die Behörden schwierig ist. Gründe dafür sind die Designs von Kryptowährungen und nationale Grenzen.

Der Diebstahl von geistigem Eigentum in Form von Daten und Informationen – also Wirtschafts- oder Industriespionage – ist da schon deutlich „leiser“ und passiert oft unbemerkt. Werden etwa Juwelen aus dem Tresor gestohlen, wird man dies in der Regel sofort bemerken. Erlangt der Angreifer jedoch unbemerkt Zugriff auf wertvolle Daten eines Unternehmens und kopiert diese nur, kann dies auch unbemerkt bleiben. Die Folgen sind aber ebenso verheerend.

Cyberwarfare als neue Disziplin

Alle Entwicklungen, die bisher dargestellt wurden, setzen sich auch im politischen, diplomatischen und militärischen Bereich weiter fort. Es verwundert daher nicht, dass sich die geopolitischen Spannungen auch im Cyberraum weiter fortsetzen.

Obwohl es sicherlich zu weit gegriffen ist, von einem Cyberkrieg oder von Cyber-War zu sprechen, ist Cyberwarfare – also das Setzen von kriegerischen Handlungen im Cyberraum – mittlerweile Realität.

Bei Cyberwarfare geht es darum, realen politischen Auseinandersetzungen mit dem Einsatz bzw. dem Stören von Informations- und Kommunikationstechnologie zusätzlichen Nachdruck zu verleihen.

Das ist aus politischer und diplomatischer Sicht interessant, weil

+die Rückverfolgung der Angriffe und das Benennen des Angreifers, wie auch im Bereich des Cybercrimes, sehr schwer ist,

+der Mitteleinsatz im Gegensatz zu „Kommandoaktionen“ durch Spezialeinsatzkräfte relativ gering ist,

+der Schaden im realen Leben aber je nach Ziel genauso spürbar ist wie nach physischen Interventionen.

Die Art und Weise der Eingriffe in bzw. Angriffe auf Informationssysteme sind dabei höchst unterschiedlich und werden auf die jeweilige Zielsetzung maßgeschneidert. Es folgen dazu einige Beispiele.

Estland: Im April 2007 kam es zu mehrwöchigen, politisch motivierten Cyberangriffen, nachdem ein russisches Denkmal in Tallinn versetzt werden sollte. Es handelte sich dabei durchwegs um Denial-of-Service-Angriffe, die die Verfügbarkeit vieler Webseiten von estnischen Ministerien, Banken und Medien störte.[12] Ob der Auftraggeber tatsächlich die russische Regierung war oder ob pro-russische Aktivisten für die Angriffe verantwortlich waren, ist nicht klar; sie haben jedenfalls zu einem starken Engagement Estlands im Cyberbereich der NATO geführt. So wurde etwa das NATO Cooperative Cyber Defence Centre of Excellence in Tallinn als Cyber-Defence-Kompetenzzentrum aufgestellt.

Iran: Im November 2010 wurde bekannt, dass die iranische Urananreicherungsanlage Natanz mehrmalig mit technischen Problemen zu kämpfen hatte. Heute weiß man, dass mehr als 1000 Zentrifugen in Natanz zwischen 2009 und 2010 zerstört wurden.[13] Kern des Problems war eine neuartige Cyberwaffe – Stuxnet –, die speziell für die Steuerungs- und Regelungstechnik der Urananreicherungsanlage programmiert worden war und die Umdrehungsgeschwindigkeit der Zentrifugen manipuliert hatte. Die Schadsoftware Stuxnet war 2010 von Sicherheitsforschern entdeckt worden, weil sie auf anderen Systemen aufgefallen ist.[14] Auch hier ist nicht bekannt, ob US-amerikanische oder israelische Cyberangreifer hinter der Attacke stehen. Der Schaden für das iranische Atomprogramm war jedenfalls enorm.

USA 2016: Während des Wahlkampfs zu den US-amerikanischen Präsidentschaftswahlen wurden E-Mails und Dokumente der demokratischen Partei und speziell jene der Präsidentschaftskandidatin Hillary Clinton zum Nachteil für die Demokraten veröffentlicht. (Ein Effekt, der sich auch während der österreichischen Nationalratswahl 2018 mit Dokumenten der ÖVP wiederholt hat.[15]) Hier wurde später gegen zwölf Mitarbeiter des russischen Militärnachrichtendienstes GRU Anklage erhoben.[16]

USA 2018: Während der US-amerikanischen Midterm-Elections, bei denen die Abgeordneten zum Repräsentantenhaus, ein Drittel des Senats und mehr als die Hälfte aller Gouverneure gewählt wurden, führte die USA einen militärischen Cyberangriff gegen Russland durch, um zu verhindern, dass sogenannte Trolle die Wahl durch Verbreitung von Falschmeldungen in sozialen Netzen beeinflussen. Bei diesen Falschmeldungen handelte es sich in der Regel um Postings und Kommentare in sozialen Netzwerken, Zeitungsartikeln oder Webforen mit dem Ziel, diverse Themen zu propagieren und rassistische und andere gesellschaftliche Konflikte zu schüren.[17]

Aufgrund solcher Entwicklungen erkannte auch das Österreichische Bundesheer die Entstehung des Cyberraum als einen neuen operativen Raum, der, analog zu Land- und Luftraum, gesondert betrachtet werden muss und für den eigene Wirkmechanismen entwickelt werden müssen. Es nimmt daher schon seit Jahren an internationalen Übungen und Testungen im Cyberbereich teil, um seine Cyber-Defence-Fähigkeiten kontinuierlich weiterzuentwickeln.[18]

Trends

Insgesamt kann festgehalten werden, dass die Anzahl an bekannten internetbasierten Straftaten in den unterschiedlichen Ausprägungen stetig zunimmt. 2018 war in Österreich eine Zunahme von 16,8 % gegenüber 2017 zu verzeichnen[19], während die Aufklärungsquote mit 37,4 % relativ niedrig ist und sogar weiter sinkt[20]. Aufgrund der Komplexität der Angriffe, der nationalen Grenzen der Strafverfolgung und auch aus Gründen der datenschutzrechtlichen Vorgaben ergeben diese Zahlen leider die logische Schlussfolgerung.

Ein weiterer beobachteter Trend ist die professionelle Organisation von Cyberkriminellen. Organisierte Cyberkriminelle setzen dabei auf die Teilung der „Produktionsprozesse“. So können neben Schadsoftware auch Zugänge zu Unternehmen, Botnetze und unterschiedliche Angriffe gekauft oder gemietet werden.[21] Der kriminelle Cyberangreifer benötigt daher mittlerweile weniger technische Kompetenz, sondern vielmehr die kriminelle Energie und Kreativität zum Angriff. Die Technik, also die Schadsoftware oder das Botnetz, kauft oder mietet er sich zu.[22]

Parallel zur Professionalisierung von Cybercrime kommt hinzu, dass viele Unternehmer wie Privatpersonen unzureichendes Fachwissen rund um die unzähligen Details zu digitalen Medien aufweisen oder sich zu wenig Kompetenz zutrauen, sodass sie resignieren und Gefahren einfach akzeptieren. Dies sind zusätzliche Faktoren, die Cyberkriminellen und Cyberbetrügern in die Hände spielen. Daher sollten wir uns auch im Umgang mit digitalen Medien – im Cyberraum – entsprechende Kompetenzen aneignen, um uns sicher und selbstbewusst bewegen zu können.

Doch egal, wie kompetent wir uns persönlich gegen Cybercrime wappnen, unser Leben wird immer digitaler und auch die politischen Auseinandersetzungen der Zukunft werden nach und nach digitale Komponenten enthalten. Die „digitale Achillesferse“ unserer Gesellschaft muss daher ebenso gut geschützt werden und das ist eine Aufgabe, die der Staat allein nicht übernehmen kann. Hier sind alle gefordert.

Umso wichtiger ist es, dass auch Ihr Unternehmen mit den nachfolgenden zehn Strategien gegen Hackerangriffe sicher gestaltet wird.

5vgl. The Code Book. The Secret History of Codes and Codebreaking. Simon Singh. Fourth Estate-Verlag. London. 2000. Seite 10.

6vgl. https://www.boxcryptor.com/de/blog/post/encryption-comparison-secure-messaging-apps/ (abgerufen am 15.07.2020).

7vgl. https://bundeskriminalamt.at/306/ (abgerufen am 14.07.2020).

8Unter „Cybergrooming“ wird die Anbahnung von Kontakten/Freundschaften bei Kindern und Jugendlichen im Internet verstanden. Besteht eine vertrauliche Beziehung, wird diese in weiterer Folge sexuell ausgenutzt.

9Mitnick, Kevin; Simon, William: Die Kunst der Täuschung. mitp-Verlag. 2011. Seite 10f.

10https://futurezone.at/digital-life/cyberangriff-garmin-soll-loesegeld-in-millionenhoehe-bezahlt-haben/400990550 (abgerufen am 29.08.2020).

11Eine Krypto-Wallet ist eine Art digitale Geldbörse zur Verwaltung der Kryptowährung.

12vgl. https://www.stratcomcoe.org/download/file/fid/80772 (abgerufen am 18.07.2020).

13https://isis-online.org/uploads/isis-reports/documents/stuxnet_FEP_22Dec2010.pdf ISIS Report. David Albright. Paul Brannan. Christina Walrond. 2010. (abgerufen am 18.07.2020).

14https://www.wired.com/images_blogs/threatlevel/2010/11/w32_stuxnet_dossier.pdf Symantec. 2010. (abgerufen am 18.07.2020).

15vgl. https://www.diepresse.com/5685360/ovp-kein-hacker-in-kinderschuhen (abgerufen am 18.07.2020).

16vgl. https://www.tagesspiegel.de/politik/hackerangriff-auf-hillary-clinton-zwoelf-russische-spione-wegen-wahlkampf-cyberattacke-in-usa-angeklagt/22801132.html (abgerufen am 18.07.2020).

17vgl. https://www.washingtonpost.com/national-security/trump-confirms-cyberattack-on-russian-trolls-to-deter-them-during-2018-midterms/2020/07/11/66a845e8-c2c3-11ea-b178-bb7b05b94af1_story.html (abgerufen am 18.07.2020).

18vgl. https://www.bundesheer.at/truppendienst/ausgaben/artikel.php?id=1773. 2014. Abwehramt. (abgerufen am 18.07.2020).

19Lagebericht Cybercrime 2018. Bundesministerium für Inneres, Bundeskriminalamt. Digitaldruckerei des BMI. Wien 2019. Seite 17.

20Lagebericht Cybercrime 2018. Bundesministerium für Inneres, Bundeskriminalamt. Digitaldruckerei des BMI. Wien 2019. Seite 38.

21Digging in the deep web. Exploring the dark part of the web. Pierluigi Paganini. Amazon Fulfillment. 2018. Seite 20.

22vgl. https://documents.trendmicro.com/assets/wp/wp-russian-underground-2.0.pdf (abgerufen am 17.07.2020). Seite 9.

1 STRATEGIE 1:
Den Hacker kennen

Philipp Mattes-Draxler

1 STRATEGIE 1: DEN HACKER KENNEN
1.1 WER GREIFT UNS AN?

Die erste Strategie zur Abwehr von Hackerangriffen beschäftigt sich zunächst mit unserem Gegenüber: dem Hacker, oder besser ausgedrückt, dem Akteur, vor dem Unternehmensinformationen geschützt werden sollten.

Dabei ist es fürs Erste unerheblich, wer als Person hinter der Gefahr steckt, denn es gilt zunächst die Systematik zu verstehen, die hinter den Bedrohungen steckt. Vereinfacht wird gerne vom „Hacker“ als Täter gesprochen. Doch wie so oft birgt auch diese Vereinfachung etliche Unschärfen, denn oftmals stehen hinter einem Angriff mehrere Täter, die als Akteursgruppe zusammengefasst werden können. Hinter dem landläufigen Begriff „Hacker“ können sich auch viele unterschiedliche Akteure verbergen. In den weiteren Kapiteln wird der bekannte Begriff „Hacker“ aber als Synonym für die unterschiedlichen Akteure (z. B. Cracker, Scriptkiddie, Hacktivist, staatliche Spione) verwendet.

Das vorliegende Kapitel soll aufzeigen, dass ein Hacker nicht gleich ein Hacker ist, und dass für einen effizienten und effektiven Schutz vor Angriffen entscheidend ist, wer hinter einem potenziellen Angriff stehen kann. Nur durch dieses Wissen können zielgerichtete Schutzmaßnahmen beschlossen und realisiert werden.

Im nachfolgenden Kapitel werden die drei Faktoren im Einzelnen beschrieben, die bei einem erfolgreichen Angriff zusammenspielen müssen. Diese sind:

+Die Motivation eines Hackers.

Jedes Handeln benötigt ein Motiv, so auch das Vorgehen von Cyberkriminellen. Die Motivation der Angreifer ist kein rein technisches Thema und gibt Aufschluss darüber, ob ein Unternehmen ein lohnendes Ziel für einzelne Akteursgruppen darstellt. Die Motivation kann beispielsweise finanzieller oder politischer Natur sein.

+Die Fähigkeiten eines Hackers.

Sie sind entscheidend für die Raffinesse und den technischen Mitteleinsatz, der während eines Angriffs aufgewendet werden kann. Die Fähigkeiten bestimmen die notwendigen Schutzmaßnahmen bzw. Analysetätigkeiten auf der zu verteidigenden Seite. Die Fähigkeiten eines potenziellen Cyberangreifers, welcher ja unbekannt ist, abzuschätzen, ist dabei nicht ganz einfach.

+Die Möglichkeiten, die einem Hacker als Angriffsfläche zur Verfügung stehen. Diese werden durch eine Organisation selbst und den Betrieb ihrer Infrastrukturen geschaffen. Die Kontrolle darüber liegt daher ausschließlich in der Hand des Unternehmens. An dieser Stelle kann es eingreifen und sich (erfolgreich) gegen Angriffe wehren.

1.1.1 Kein Angriff ohne Motiv

Am einfachsten ist es, zunächst die unterschiedlichen Akteure anhand ihrer Motivation zu unterscheiden[23]:

+Cybervandalismus: zielt darauf ab, Schaden anzurichten bzw. Services zu stören. Das Motiv dazu kann ein politisches sein, wie es etwa die Angriffe auf die Webseite des österreichischen Außenministeriums 2016[24] waren, oder auch einfach das Ergebnis von jugendlichem Leichtsinn, wie beim Virus „Loveletter“ aus dem Jahr 2000 vermutet wird.[25]

+Cybercrime: zielt darauf ab, finanziellen Profit zu erzielen bzw. aus ideologischen Gründen kritische Informationen zu erlangen (Informationsdiebstahl). So wird etwa ein Krypto-Trojaner in das Unternehmensnetzwerk eingeschleust, um die Unternehmensdaten zu verschlüsseln. Um die Daten wieder zu entschlüsseln, muss ein bestimmter Betrag an Lösegeld an die Angreifer überwiesen werden. Auch Kreditkarteninformationen stellen ein beliebtes Ziel für Cyberkriminelle zur finanziellen Bereicherung dar.

+Einbruch in das Unternehmensnetzwerk zur weiteren Tatvorbereitung: dient zur Verbesserung der Kenntnisse der IT-Infrastruktur, um Ansätze für zukünftige Angriffe zu gewinnen.

+Cyberspionage, Cybersabotage: Diebstahl von spezifischen, hochwertigen Informationen oder aktives Behindern bzw. Stören einer Organisation. Ende Februar 2018 wurde das deutsche Außen- und Verteidigungsministerium Opfer eines solchen Angriffs. Die Ministerien wurden mutmaßlich von der russischen Gruppierung „APT28“ angegriffen. Die Angreifer schleusten eine Schadsoftware ein und erbeuteten so Daten. Ebenfalls im Jahr 2018 wurde GitHub, ein Online-Dienst für Softwareentwicklung, Ziel einer Cybersabotage. Das Unternehmen wurde unter Anwendung einer DDoS-Attacke (Distributed-Denial-of-Service, siehe auch Kapitel „Vom Hacker zum Cyberkrieger“) konfrontiert. Der Dienst war für einige Zeit nicht erreichbar.[26]

+Cyberconflict/Cyberwarfare: ernsthafte Schädigung einer Organisation oder eines Staates in der Nutzung von Informationen und/oder Infrastrukturen. So wurden beispielsweise 2007 etliche Regierungs- und Verwaltungsstellen Estlands durch einen DDoS-Angriff massiv gestört.[27]

Je nachdem, in welcher Branche eine Organisation tätig ist bzw. wie das Geschäftsmodell aufgebaut ist, lassen sich unterschiedliche Motivationslagen für mögliche Angriffe ableiten. Dadurch ergeben sich in weiterer Konsequenz auch die möglichen Fähigkeiten der Angreifer und die Ausprägung der notwendigen Gegenmaßnahmen.

Ein Unternehmen in der Verteidigungsindustrie wirkt auf manche Angreifer sicherlich interessanter als eine Bank, um dort wertvolle Informationen zu erlangen, während eine Bank für viele ein interessanteres Angriffsziel ist als ein Textilproduzent, um sich bei einem erfolgreichen Angriff finanziell zu bereichern. Aufgrund der variierenden Motive werden sich daher auch die Sicherheitsmaßnahmen entsprechend unterscheiden.

1.1.2 Kein Angriff ohne die notwendige Fähigkeit

Nun liegt es auf der Hand, dass es zum Verfolgen der unterschiedlichen Motivationen auch unterschiedliche technische Fähigkeiten, aber auch Ressourcen bzw. Organisation benötigt. Daher ist es zweckmäßig, Hacker auch nach ihren Fähigkeiten zu unterscheiden:

+Skript Kiddies: bezeichnet wenig technisch versierte Angreifer, die vor allem vorgefertigte Tools – also gebrauchsfertige Lösungen und vorgefertigte Automatismen bzw. schriftliche Anleitungen verwenden. Sie sind hauptsächlich im Bereich des Cybervandalismus einzuordnen, wobei erfolgreiche Versuche oftmals unzureichendem Perimeterschutz[28] oder nicht vorhandenen Basissicherheitsmaßnahmen geschuldet sind.

+Cyberkriminelle: sind vornehmlich finanziell motivierte Akteure, die durchaus technisch versiert auftreten oder soweit organisiert sind, dass sie ihre Angriffe technisch professionell gestalten. Wenn sie selbst nicht über das notwendige Know-how verfügen, ihre Angriffe zu gestalten, kaufen sie die Expertise zu. Cyberkriminelle zeichnen sich jedenfalls dadurch aus, dass sie im ersten Moment keinen offensichtlichen Schaden bzw. keine Rufschädigung beabsichtigen, sondern alle Mittel zum Zweck der finanziellen Bereicherung einsetzen. Wenn dadurch Sachschaden entsteht, wie etwa durch den Einsatz von Ransomware, oder es zu Rufschädigung durch die Veröffentlichung von Informationen kommt, weil eine Erpressung nicht erfolgreich war, nehmen sie den Schaden in Kauf.

+Insider: hierbei handelt es sich um interne Mitarbeiter, die dem Unternehmen/der Organisation angehören und externe Mitarbeiter, die eine Vertrauensstellung in der Organisation einnehmen. Insider benötigen im Normalfall keine besonders ausgeprägten technischen Fähigkeiten, weil sie über ihre bereits bestehende Vertrauensstellung viel Schaden anrichten können.

+Staatliche Angreifer oder staatlich gesponserte Angreifer: verfügen nicht nur über exzellente technische Fähigkeiten, sondern auch über die notwendigen Ressourcen, Angriffe langfristig bzw. mehrphasig zu gestalten. Dabei können physische Angriffe mit virtuellen Angriffen kombiniert werden oder/und es kann nach erfolgreicher Infiltration über mehrere Schichten hinweg operativ gearbeitet werden. Wenn Angriffstechniken entdeckt werden, ist es auch möglich, die Vorgehensweisen und eingesetzten Tools zu wechseln. Ebenfalls ist es möglich, Angriffe durch das Nachbauen von Infrastrukturen und durch gezieltes Erforschen von Schwachstellen der eingesetzten Komponenten vorzubereiten.

Diese Einteilung ist zwar nur sehr grob, lässt aber einen Rückschluss darauf zu, wie komplex ein zu erwartender Angriff sein kann. Der Umstand, dass mittlerweile ein breites Repertoire an Beispielen zu durchgeführten Angriffen vorliegt und dieses auch stetig wächst, wirft kein gutes Licht auf die Zukunft. Diese Beispiele können jedoch maßgeblich dafür genutzt werden, um daraus den optimalen Einsatz von Sicherheitsmaßnahmen abzuleiten.

Zudem empfiehlt es sich, zu recherchieren, welche Angriffe andere Unternehmen in ähnlichen Branchen zu erleiden hatten, welche Motivation und welche Fähigkeiten hinter diesen Angriffen steckten und wie diese Unternehmen damit umgegangen sind.

1.1.3 Erst die Angriffsfläche ermöglicht den Angriff

Damit Bedrohungsakteure gegenüber einem Unternehmen oder einer Organisation letztlich kriminell, politisch, radikal oder terroristisch motiviert vorgehen können, benötigen sie zuallererst eine Angriffsfläche, um den Angriff überhaupt zu ermöglichen.

Die Möglichkeiten zum Angreifen werden durch das jeweilige Unternehmen bzw. die Organisation und ihre betriebene Infrastruktur selbst geschaffen. Dabei besteht ein natürliches Spannungsfeld zwischen dem Betreiben von digitalen Services und dem Exponieren von Angriffsflächen des Unternehmens im Cyberraum. Als Faustregel gilt: Je digitaler das Geschäftsmodell einer Organisation ist, desto verwundbarer ist es im Cyberraum.

Es ist daher naheliegend, dass ein geordneter IT-Betrieb mit gut strukturierten Prozessen weitaus weniger angreifbar ist als eine komplex aufgebaute Organisation, die unzureichend organisiert ist und deren Prozesse kaum überblickt werden können.

!

Praxistipp:

Angriffsfläche verkleinern

Disziplinen wie Schwachstellenmanagement zum Identifizieren von aktuellen Lücken in IT-Systemen, Patch-Management (siehe Kapitel 6.5) zum geordneten Schließen dieser Lücken und Change-Management zum Überwachen und Verwalten der Software- und Konfigurationsstände bewirken eine Verkleinerung der Angriffsfläche. Sie ermöglichen eine konsequente Überwachung von bekannten Lücken und sind daher auch geeignete Maßnahmen in einem Informationssicherheitsprogramm.

Über das Ausgestalten der IT-Infrastruktur und das Gestalten des IT-Betriebes bzw. einer effektiven IT-Betriebsführung kann also wesentlich zur Verminderung der Möglichkeiten des Angreifers beigetragen werden. Umso verwunderlicher mag es erscheinen, dass es zu so vielen erfolgreichen Angriffen kommt, wenn doch offensichtlich das Setzen einiger Sicherheitsmaßnahmen davor schützt.

Die Wahrheit ist, dass mit sehr wenigen Maßnahmen bereits ein guter Basisschutz erzielt werden kann. Allerdings ist der Schutz vor einem Angriff umso schwieriger, je motivierter der Angreifer ist, genau in dieses bestimmte Unternehmen einzudringen. Eine gewisse Rest-Angriffsfläche bleibt darüber hinaus in nahezu allen Fällen bestehen.

1.2 SIND WIR VOR DEM ANGREIFER SICHER?

Mithilfe der Analyse der Motivation und der Fähigkeiten der Angreifer sowie der möglichen Angriffsflächen im Unternehmen lässt sich rasch klären, ob die bisher gesetzten Sicherheitsmaßnahmen ausreichend sind. Aus diesen Analyseergebnissen lässt sich eine bedrohungsorientierte Verteidigungsstrategie ableiten, die letztlich in ein Informationssicherheitsprogramm zur Umsetzung von zusätzlichen Sicherheitsmaßnahmen mündet.

!

Praxistipp:

Clustern von Sicherheitsmaßnahmen

Es gibt dazu zwar keine allgemein gültige Vorgehensweise, aber eine geübte Praxis ist es, sich gedanklich an Domänen von bestehenden Cybersecurity-Frameworks zu orientieren. Dazu eignen sich etwa die Domänen „Identify“, „Protect“, „Detect“, „Respond“ und „Recover“ aus dem NIST-Cybersecurity-Framework[29].

Dazu können bestehende Sicherheitsmaßnahmen und Themen zu den einzelnen Werte-Gruppen (Assets)[30], wie etwa (End-)Geräte, Applikationen, Netzwerk, Daten und Mitarbeiter, geclustert werden. So erhält man eine erste Übersicht der bestehenden Maßnahmen, die das Unternehmen derzeit vor Angriffen schützen.

Auf Basis der Analyse der Motivation und der Fähigkeiten des Angreifers lässt sich auch eine Art Profil der zu erwartenden Bedrohungen ableiten. Damit lässt sich in Kombination mit den möglichen Angriffsflächen prüfen, ob die geclusterten Maßnahmen adäquat sind, um die Bedrohung zu verhindern bzw. darauf zu reagieren, sollte ein Angriff erfolgreich durchgeführt worden sein.

Mithilfe dieser Überprüfung lässt sich relativ rasch und überblicksartig beurteilen, wie die Sicherheitssituation aktuell zu bewerten ist und ob bzw. wie dringend zusätzliche Sicherheitsmaßnahmen zu implementieren sind, um sich vor den zu erwarteten Bedrohungen zu schützen. Darüber hinaus können so bestimmte Bereiche für ein mögliches nachfolgendes Informationssicherheitsprojekt bzw. Cybersecurity-Projekt bereits zu Beginn priorisiert werden.

Obwohl diese Vorgehensweise letztlich eine gewisse Unschärfe mit sich bringt, bietet sie gerade in Zusammenschau mit bereits erfolgten Angriffen in ähnlichen Branchen einen guten Einstieg in das Thema, um rasch erste Ergebnisse zu erhalten und sich mit der Bedrohung im Cyberraum auseinanderzusetzen. Darüber hinaus lassen sich für nachfolgende Diskussionen mit Stakeholdern und Mitarbeitern Beispiele entwickeln, die den Weg zu einem Informationssicherheitsprojekt aufzeigen und alle Involvierten dahingehend sensibilisieren sollen.

23vgl. Improving Cybersecurity and Mission Assurance via Cyber Preparedness (Cyber Prep) Levels. Deb Bodeau. Richard Graubart. Jennifer Fabius Greene. The MITRE Corporation. 2009. Seite 3ff.

24vgl. https://www.diepresse.com/5124955/aussenministerium-wehrte-cyberattacke-aus-ausland-ab (abgerufen am 20.07.2020).

25vgl. https://www.spiegel.de/netzwelt/web/i-love-you-prozess-onel-de-guzman-ist-frei-a-89973.html (abgerufen am 20.07.2020).

26vgl. https://www.psw-group.de/blog/hackerangriffe-2018/6673 (abgerufen am 01.08.2020).

27vgl. https://www.security-insider.de/was-ist-cyberwar-a-672813/ (abgerufen am 06.08.2020).

28Schutz des Unternehmensgeländes.

29vgl. https://www.nist.gov/cyberframework (abgerufen am 24.07.2020).

30Ein Asset bezeichnet hier Informations- oder Vermögenswerte eines Unternehmens.

2 STRATEGIE 2:
Security ist Chefsache

Erik Rusek

2 STRATEGIE 2: SECURITY IST CHEFSACHE

Cybersecurity bzw. Informationssicherheit als Managementaufgabe klingt im ersten Moment nach Geheimhaltung und Sicherheitsstufen. In der Praxis wird darunter jedoch die Verantwortung des Managements zum Schutz der Werte (siehe Kapitel 5.2.2 und Kapitel 6.1) der Organisation verstanden.

Natürlich ist das Management nicht auf sich allein gestellt. Informationssicherheit ist grundsätzlich ein Thema, das alle Mitarbeiter und Partner einer Organisation betrifft. So müssen beispielswiese die Sicherheitsvorgaben und -richtlinien von allen eingehalten werden. Informationssicherheit kann nur effektiv und effizient umgesetzt werden, wenn alle Stakeholder und agierenden Personen in der Organisation die gesetzten Sicherheitsziele erreichen wollen.

Funktionieren kann Informationssicherheit aber nur, wenn das Management die notwendige Basis und Kultur schafft, die Vorgaben und Prozesse lenkt und die Einhaltung durch die Mitarbeiter fordert und diese auch selbst vorlebt.

2.1 COMMITMENT

Nicht nur die Erreichung der wirtschaftlichen Ziele ist Aufgabe des Managements, sondern auch der dazu notwendige Schutz der Informationen und Werte, der Organisation.

Die operative Implementierung von Schutzmaßnahmen obliegt dabei üblicherweise den entsprechenden Fachbereichen wie dem Security-Team, der IT-Abteilung oder einer einzelnen Rolle. Diese kann beispielsweise der Chief Information Security Officer (CISO) oder der Informationssicherheitsbeauftragte (ISB) sein.

Die Letztverantwortung für Agenden der Informationssicherheit, also den Schutz der Unternehmenswerte vor Missbrauch, Verlust oder Manipulation, liegt jedoch beim Top-Management. Das inkludiert das Vorgeben einer Informationssicherheitspolitik und entsprechender Informationssicherheitsziele, deren Erreichung und Einhaltung sowie die kontinuierliche Verbesserung von Sicherheitsmaßnahmen.

Wurden im Unternehmen bereits die Beschaffung und Implementierung von sicherheitsrelevanter Hard- und Software, wie beispielsweise Security-Incident-and-Event-Management-Systemen oder Managed-Detection-and-Response-Lösungen, vorgegeben? Wird die Schaffung von Prozessen zur Berechtigungsfreigabe und Risikobewertung gefördert?

Das sind sehr gute Ansätze zur Erhöhung der Informationssicherheit, die regelmäßig auf Effektivität geprüft und gegebenenfalls erweitert werden müssen. Es bedarf aber auch der notwendigen Ressourcen und Erfahrung, die erforderlichen Maßnahmen umzusetzen und zu betreiben. Die Managementverantwortung inkludiert das Bereitstellen von dafür notwendigen finanziellen sowie personellen Ressourcen zur Implementierung und Aufrechterhaltung effektiver Informationssicherheitsmaßnahmen.

Dabei geht es aber nicht nur um notwendige Ressourcen für die Fachabteilung Informationssicherheit, sondern auch um Ressourcen in allen anderen Fachbereichen, denn effektive und effiziente Maßnahmen können nur interdisziplinär geschaffen werden. So ist es beispielsweise effizient, Prozesse im Rahmen des Mitarbeiterlebenszyklus, wie etwa den Ein- oder Austritt von Mitarbeitern, durch die Personalabteilung erstellen und verwalten zu lassen. Informationssicherheitsrelevante Aspekte werden von den Security-Experten beigesteuert.

2.2 VORBILDWIRKUNG

Ein wesentlicher und häufig vernachlässigter Aspekt der Managementverantwortung ist die Vorbildwirkung.

Gewinnen Mitarbeiter den Eindruck, dass das Management zwar Vorgaben zur Informationssicherheit macht, aber ständig Ausnahmen für sich selbst schafft, reduziert das die Wertigkeit des Themas bei den Mitarbeitern. Diese werden in weiterer Folge beginnen, Vorgaben und Richtlinien sukzessive zu ignorieren bzw. zu umgehen. Ein Beispiel für eine negative Vorbildwirkung wäre, dass das Management im Zuge einer Ausnahmeregelung Apps, die gemäß Unternehmensrichtlinie nicht am Smartphone installiert werden dürfen bzw. können, bei sich installieren lässt. In einem anderen Beispiel ist in einer Richtlinie des Unternehmens festgelegt, dass Geräte und Dokumente außerhalb des Betriebsgeländes nicht unbeaufsichtigt zurückgelassen werden dürfen. Der Geschäftsführer lässt beim gemeinsamen Mittagessen mit dem Kunden seinen Laptop sowie sämtliche Unterlagen in dessen Besprechungsraum zurück. Werden Mitarbeiter darauf aufmerksam, werden sie das unter Umständen beim nächsten Mal ähnlich handhaben.

Ausnahmeregelungen und mangelnde Vorbildwirkung führen zu fehlendem Verständnis für Informationssicherheitsmaßnahmen und gesteigerter Unzufriedenheit bei den Mitarbeitern. Die Folge ist eine reduzierte Beachtung des Themas Informationssicherheit und somit ein niedrigeres Sicherheitsbewusstsein, was im weiteren Verlauf zu einem erhöhten Risiko von Sicherheitsvorfällen führt.

Verstöße gegen Sicherheitsvorgaben können zwar mit Konsequenzen geahndet werden, um eine bewusstere Einhaltung der Vorgaben zu erzielen. Deutlich effizienter und wirksamer ist es aber, mit guter Vorbildwirkung und positivem Beispiel voranzugehen.

!

Praxistipp:

Das Management zum Vorbild

Mitglieder des Managements sollten beispielsweise an Informationssicherheitstrainings aktiv und aufmerksam teilnehmen, Diskussionen zur Informationssicherheit fördern, die Sicherheitsalarmierung von Mitarbeitern positiv und lobend hervorheben sowie Risiken regelmäßig kommunizieren und vor allem die Sicherheitsvorgaben selbst einhalten.

Das Management hat es in der Hand, die Wichtigkeit des Themas Security zu definieren und die Relevanz zu fördern oder zu reduzieren.

2.3 PLANUNG UND LENKUNG

Neben der Bereitstellung von Ressourcen und der Vorbildwirkung ist eine wesentliche Aufgabe des Managements, steuernd in die Informationssicherheit einzugreifen.

Dies inkludiert keinesfalls, täglich operative Sicherheitsmaßnahmen durchzuführen oder zu kontrollieren, sondern vielmehr, Sicherheitsziele sowie eine entsprechende Strategie vorzugeben und die grundsätzliche Kontrolle des Zustandes der Informationssicherheit zu übernehmen.

2.3.1 Sicherheitsziele & Risikopolitik

Aus den Zielen der Informationssicherheit leiten sich die generellen Vorgaben zur Informationssicherheit, und wie diesen den Geschäftsbetrieb unterstützen sollen, ab. Üblicherweise basieren diese auf Schutzzielen, zu deren drei bekanntesten Vertraulichkeit, Integrität und Verfügbarkeit zählen.

Die Ziele der Informationssicherheit sollten die Geschäftsziele unterstützen und entsprechend mit diesen abgestimmt sein. Geplante strategische Veränderungen sollten ebenso bei der Planung der Informationssicherheitsstrategie und deren Maßnahmen berücksichtigt werden.

Bei der Planung und Umsetzung von Maßnahmen zum Schutz von (Informations-)Werten des Unternehmens sollte im Idealfall risikoorientiert vorgegangen werden. Zu diesem Zweck sollten die Geschäftsprozesse in der Organisation unter Beachtung relevanter Cybersecurity-Bedrohungen im Rahmen einer Risikoanalyse evaluiert werden. Ziel ist es, IT- und Informationssicherheitsrisiken zu identifizieren und zu bewerten.

Mögliche Bedrohungen können aus unterschiedlichen Quellen, wie beispielsweise dem Gefährdungskatalog des BSI[31], bezogen werden. Zur Bewertung der Eintrittswahrscheinlichkeit und der Auswirkung sowie des daraus resultierenden Risikogrades gibt es verschiedene Ansätze. Details zur Risikoanalyse sowie der Identifikation von Bedrohungen werden in Kapitel 3 behandelt.

Die Risikoanalyse ermöglicht in weiterer Folge das risikoorientierte Planen und Implementieren von Informationssicherheitsmaßnahmen. Somit wird sichergestellt, dass die Maßnahmen auch nach Kritikalität und Risiko priorisiert und in angemessener Form umgesetzt werden können. Gegebenenfalls resultiert die Analyse auch in der Akzeptanz verschiedener Risiken.

2.3.2 Management-Review und Reporting

Zur Schaffung einer Entscheidungsgrundlage für das Management bedarf es eines entsprechenden Berichtswesens, in dessen Rahmen relevante Sicherheitsaspekte regelmäßig aufgezeigt werden. Das Resultat der Risikoanalyse sowie dokumentierte Sicherheitsvorfälle und bereits gesetzte Maßnahmen stellen eine Basis für einen regelmäßigen Managementbericht dar.

Gibt es bereits definierte Berichtszyklen und -inhalte aus anderen Unternehmensbereichen, kann der Themenschwerpunkt Informationssicherheit auf dieser Basis in das Berichtswesen eingearbeitet werden. Es kann so auf bewährte Abläufe und Prozesse zurückgegriffen werden.

Ein qualitativ hochwertiger Bericht zeichnet sich dadurch aus, dass er das Management im Wesentlichen über die aktuelle Lage der Informationssicherheit informiert und eine Entscheidungsgrundlage für den Umgang mit Informationssicherheitsthemen darstellt. In einer möglichen Variante werden dabei vorhandene Risiken und deren qualifiziertes oder quantifiziertes Risiko sowie mögliche Maßnahmen zur Risikoreduktion inklusive Kosten aufgezeigt. In weiterer Folge ist es die Aufgabe des Managements, zu entscheiden, wie weiter vorzugehen ist.

So wird beispielsweise das Risiko eines unbefugten Zugriffes auf ein Kern-IT-System in einer Organisation und die daraus resultierende Offenlegung der darin befindlichen Informationen bewertet. Es obliegt dem Management, unter Berücksichtigung des Risikogrades potenzieller Maßnahmen sowie deren Kosten über die Umsetzung der vorgeschlagenen Maßnahmen zu entscheiden oder das Risiko zu akzeptieren.

Im Zuge dieses Management-Reviews ist es zudem die Aufgabe des Managements, die Angemessenheit geplanter Maßnahmen kritisch zu hinterfragen. So sollten Informationssicherheitsmaßnahmen hinsichtlich des Kosten-Nutzen-Faktors abgewogen werden, um die Proportionalität der Maßnahmen zu gewährleisten.

Um die Erstellung eines entsprechenden Berichtes sicherzustellen, sollten darüber hinaus klare Verantwortlichkeiten definiert werden, die je nach Komplexität und Größe der Organisation variieren können. Relevante Rollen der Informationssicherheit, welche dazu herangezogen werden können, werden in Kapitel 5.1 detailliert erläutert.

Cybersecurity ist Chefsache. Das inkludiert die Verantwortung des Managements, relevante Informationen zu Risiken und Sicherheitsmaßnahmen einzufordern. Das Management jeder Organisation benötigt Informationen zur aktuellen Bedrohungslage und zu den derzeitigen Schutzmaßnahmen. Somit kann das verbleibende Risiko, wie z. B., dass ein Produktionsstandort lahmgelegt wird, Intellectual Property gestohlen wird oder das Unternehmen erpresst wird, abgeschätzt und notwendige Entscheidungen getroffen werden.

2.3.3 Rollen und Ressourcen

Es ist klare Aufgabe des Managements, die notwendigen Rollen im Rahmen des Informationssicherheits-Managements zu schaffen und zu besetzen. Dadurch wird sichergestellt, dass die benötigten Fachkräfte für die effektive und effiziente Umsetzung von Informationssicherheitsmaßnahmen verfügbar sind.

Cybersecurity ist ein sehr vielschichtiges und breites Themengebiet, welches nicht durch vorhandene Personen anderer Fachbereiche als „Nebenjob“ abgearbeitet werden kann. Es bedarf der Aufmerksamkeit gezielt geschulter Mitarbeiter. Darüber hinaus braucht es auch das Commitment des Managements. Nur so kann ein effektiver und effizienter Schutz der Werte einer Organisation sichergestellt werden.

31BSI, https://www.bsi.bund.de/DE/Themen/ITGrundschutz/ITGrundschutzKompendium/elementare_gefaehrdungen/elementare_Gefaehrungen_Uebersicht_node.html, September 2019 (abgerufen am 27.09.2019).

3 STRATEGIE 3:
Schutz der Kronjuwelen

Peter Kleebauer

3 STRATEGIE 3: SCHUTZ DER KRONJUWELEN

Cybersecurity ist in den meisten Unternehmen als wesentliche Herausforderung angekommen. Absolute Sicherheit erreicht man aber auch bei der Umsetzung vollumfänglicher Maßnahmen nicht, da jedes komplexe System auch Fehler birgt. Jedes Unternehmen sollte daher für seine Produkte, Prozesse und Lieferketten, insbesondere für die sogenannten „Kronjuwelen“[32], ein risikoorientiertes Cybersecurity-Management bzw. Informationssicherheits-Managementsystem[33] aufbauen, das über den gesamten Lebenszyklus und die ganze Lieferkette verlässlich und nachvollziehbar funktioniert.

Zu den wichtigsten Eckpfeilern der nachhaltigen Umsetzung von Cybersecurity sollte in diesem Zusammenhang neben den entsprechenden Sicherheitsprozessen auch eine funktionierende Sicherheitsorganisation gehören. Nur wenn die Verantwortlichkeiten für die ständige Verbesserung der Sicherheitsmaßnahmen sowie eine kontinuierliche Risikoanalyse definiert und nicht nur „nebenbei“ betrieben werden, wird ein hohes Sicherheitsniveau auch langfristig erhalten bleiben.

Ein hohes oder auch niedriges Sicherheitsniveau ist jedoch nicht immer auf den ersten Blick ersichtlich. Es lässt sich weder an Produkteigenschaften noch an Kennzahlen wie Informationssicherheitsvorfällen, der Anzahl an Firewalls oder allein auf Basis von Zertifizierungen festmachen. Wie kann also festgestellt werden, ob die in einem Unternehmen eingesetzten Good-Practice-Maßnahmen ausreichen?

Zur Beantwortung dieser Frage müssen zuvor zwei weitere grundlegende Fragen thematisiert werden:

1.Was möchte ich im Unternehmen schützen?

2.Welchen Bedrohungen ist mein Unternehmen ausgesetzt?

Erst auf Basis der Antworten zu diesen Fragen lassen sich die ergriffenen Maßnahmen hinsichtlich Angemessenheit bewerten und gegebenenfalls vorhandene Risiken aufzeigen.

3.1 ÜBERSICHT ZUR VORGANGSWEISE

Die nachfolgend beschriebene Methodik gliedert sich im Wesentlichen in drei aufeinander folgende Arbeitsschritte, die in einem regelmäßigen Prozess wiederkehrend durchgeführt werden sollten.

ABBILDUNG 1:

SCHEMATISCHE DARSTELLUNG DES PROZESSES

1.Identifikation von Informationswerten

Zur Identifikation von schützenswerten Informationswerten (siehe auch Kapitel 5.2.2 und Kapitel 6.1), den sogenannten „Kronjuwelen“, müssen die vorhandenen Informationswerte im Unternehmen erhoben und strukturiert werden.

2.Identifikation des Schutzbedarfs

Für die erhobenen und strukturierten Informationswerte ist der jeweilige Schutzbedarf zu bestimmen. Dieser Schutzbedarf bildet den Vergleichswert (Soll-Wert) bei der Durchführung der Risikoanalyse hinsichtlich der Notwendigkeit von zusätzlichen Maßnahmen.

3.Identifikation von Maßnahmen

Sofern identifizierte Risiken aufgrund des definierten Schutzbedarfs nicht akzeptiert werden können, müssen zusätzliche Maßnahmen zur Behandlung dieser Risiken ergriffen werden.

3.2 IDENTIFIKATION VON INFORMATIONSWERTEN

Der Begriff „Informationswert“ wird, insbesondere auch in Abhängigkeit von der jeweiligen Branche eines Unternehmens, unterschiedlich definiert. Im Wesentlichen sind damit alle Informationen (und Daten) in digitaler und analoger (haptischer) Form gemeint, die zur Ausübung bzw. Durchführung von bestimmten Geschäftsprozessen erforderlich sind.

3.2.1 Herangehensweise: Top-down und Bottom-up

Zur Identifikation der tatsächlichen Informationswerte werden in der Praxis zwei grundsätzliche Herangehensweisen oder auch die Kombination aus den beiden herangezogen:

1.Top-down-Ansatz: Auf Basis der vorhandenen Geschäftsprozesse werden die zur Ausführung dieser Prozesse erforderlichen primären Assets (Informationswerte) und unterstützende Assets (Verarbeitungssysteme) durch die Prozessverantwortlichen im Unternehmen identifiziert.

2.Bottom-up-Ansatz: Im Rahmen von unterschiedlichen Workshops werden gemeinsam mit ausgewählten Führungskräften (z. B. Fachbereichsleiter) aller Fachbereiche relevante Informationswerte des Unternehmens bzw. des jeweiligen Fachbereichs identifiziert.

Beide Herangehensweisen bringen Vor- und Nachteile für die Durchführung und den damit verbundenen Aufwand, aber auch für die Qualität und das Ergebnis dieses Arbeitsschritts. Beim Top-down-Ansatz wird eine umfassende Erhebung aller Informationswerte anhand der Geschäftsprozesse durchgeführt, womit jedoch auch die Komplexität dieses Ansatzes steigt. Wenn alle logischen und technischen Informationswerte erfasst werden, besteht die Gefahr, dass die Ergebnisse aufgrund der Datenmenge und der Komplexität nicht handhabbar sind.

Die erhobenen Informationen können jedoch auch für andere Prozesse bzw. Vorgaben wie beispielsweise für die Erhebung von Verarbeitungstätigkeiten gemäß Artikel 30 DSGVO oder für die Erstellung von Business-Continuity-Plänen im Rahmen des Business-Continuity-Managements herangezogen werden.

Aufgrund der fehlenden Vergleichbarkeit zwischen den Geschäftsprozessen bzw. auch zwischen den Fachbereichen werden in der Praxis häufig ähnliche Informationswerte mehrmals oder unterschiedlich (z. B. hinsichtlich des Detailierungsgrades oder Benennung des Wertes) erfasst. Daher sollte eine nachgelagerte Harmonisierung bzw. Qualitätssicherung der erfassten Werte sichergestellt oder die Erfassung durch eine zentrale Person (z. B. Risikomanager oder Prozessmanager) begleitet werden.

Der Schwerpunkt beim Bottom-up-Ansatz liegt in der Identifikation und Betrachtung von relevanten Informationswerten. Hierbei wird auf die vollständige Erfassung und Dokumentation aller verarbeiteten Informationen zu den Geschäftsprozessen verzichtet, wodurch der Aufwand deutlich reduziert wird.

Gleichzeitig entwickeln die Führungskräfte beim Bottom-up-Ansatz im Rahmen der Workshops ein fundiertes Verständnis für die Klassifizierung von Informationswerten, was auch als positiver Multiplikator innerhalb der jeweiligen Fachbereiche für das Verständnis einer Informationsklassifikation genutzt werden kann.

Welche (tatsächliche) Vorgangsweise am besten für ein Unternehmen geeignet ist, hängt somit von mehreren Faktoren ab, wie beispielsweise

+der Qualität der vorhandenen Prozessdokumentation bzw. etablierter Rollen zur Prozessverwaltung (Process-Owner),

+dem Einsatz der Prozessdokumentation zu unterschiedlichen Verwendungszwecken (z. B. Datenschutz),

+der Art und Weise der Datenverarbeitung (Gefährdung, der das Unternehmen ausgesetzt ist) bzw. der Kategorien von Informationswerten,

+der Art und dem Umfang der eingesetzten Systeme zur Verarbeitung der betroffenen Informationswerte,

+der nachgelagerten Methodik zur Identifikation von möglichen Risiken (z. B. Grundschutz-Ansatz vs. Risikoanalyse).