„Digitalisierung ohne IT-Sicherheit – Ein unkalkulierbares Risiko“ lautete das Leitthema einer Veranstaltung des Softwareentwicklers Add-Yet GmbH und des Bundestags. Als einen der Wendepunkte in der IT-Sicherheit führte der Keynote-Speaker Prof. Dr. Patrick Sensburg, Mitglied des Bundestages und Vorsitzender des NSA Untersuchungsausschusses, die Affäre um „Whistleblower“ Edward Snowden im Jahr 2013 auf. Nicht, weil dadurch neue Details bezüglich IT-Spionage bekannt wurden – dass digitale Kommunikation von unterschiedlichsten Marktteilnehmern abgehört wird, ist schon seit längerem bekannt – sondern weil die Thematik durch Edward Snowden ein Gesicht erhielt. Die Aufmerksamkeit, die das Thema erlangte, erhöhte die Sensibilität für IT-Sicherheit.
Nach Angaben des digitalen Branchenverbands Bitkom entsteht der deutschen Industrie durch Hackerangriffe jährlich ein Schaden von rund 51 Milliarden Euro. Viele von Prof. Dr. Sensburg anonymisierte Praxisbeispiele zeigten auf, wie leicht Hacker an ihr Ziel gelangen. So zeigte ein Beispiel, dass Hacker die Daten eines mit hohem Aufwand erstellten Prototyps abfangen und innerhalb eines kurzen Zeitraums bei der Konkurrenz auf einem Messestand ausstellen konnten. In einem weiteren Fall haben Betrüger Firmenmitarbeiter, die zu Überweisung hoher Summen berechtigt sind, via „CEO-Fraud“ ausgespäht und mit fingierten Nachrichten eines real existierenden Vorgesetzten zu Überweisungen ins Ausland aufgefordert. Hochaktuell ist ein Fall, bei dem Firmendaten durch einen Trojaner verschlüsselt werden. Die Entschlüsselung erfolge durch Zahlung eines „Lösegeldes“.
Auffällig sei, dass es zwischen den Branchen erhebliche Unterschiede bezüglich der Wahrnehmung von Gefahren gibt. Während es bei einigen Firmen beispielsweise üblich ist, dass eigenständige Smart Devices vor einem Meeting außerhalb des Konferenzraumes verschlossen werden, kann in anderen Unternehmen wiederum der Außendienstmitarbeiter auf seinem Dienst-Tablet auf zentrale Daten zugreifen – und selbstinstallierte Applikationen nutzen, deren Quellen unbekannt sind. Prof. Dr. Sensburg rät dazu, in solchen Fällen einzugreifen. Er ist der Ansicht, dass insbesondere der deutsche Mittelstand IT-Sicherheit in der Vergangenheit sträflich vernachlässigt hat.
Veraltete Abwehrmechanismen
Auch Wolfgang Straßer, Gründer von Add-Yet, äußert sich besorgt über das aktuelle IT-Sicherheitslevel vieler Firmen bedingt durch IoT und Industrie 4.0. Nicht nur bei KMUs oder dem Mittelstand führten Angriffe erschreckend einfach zum Ziel, sondern auch bei DAX-notierten Konzernen. Dies lege daran, dass IT-Angreifer mit aktuellsten Methoden vorgehen, aber die Unternehmen noch mit Abwehrmechanismen und -tools aus den 90ern arbeiten.
Eine Live-Hacking-Vorführung demonstrierte, wie mit einfachen Mitteln und geringfügigem Zeitaufwand der Onlineauftritt einer Stadt gehackt werden kann. Tobias Elsner, Consultant bei Add-Yet, wies darauf hin, wie sich Betroffene im Fall drohender Gefahr verhalten sollten. Aufgabe der Unternehmen sei es, heterogene Umgebungen, mangelhafte IT-Prozesse, flache Netzwerkstrukturen und fehlende Rollen- und Rechtekonzepte zu beseitigen und ein Informationssicherheitsmanagement aufzusetzen. Erst dann erfolge die Umsetzung spezifischer Sicherheitsmaßnahmen.
Weitere Informationen: www.add-yet.de
Neue Paradigmen in der IT-Sicherheit
Cyber-Attacken nehmen zu, werden zum Teil raffinierter und können Unternehmen Milliarden Euro kosten. Die Digitalisierung vieler Branchen sowie die Themen „Internet of Things“ und „Industrie 4.0“ verschärfen die Notwendigkeit nach wirksamen und praktikablen Sicherheitslösungen.
Unterschätzte Gefahr: Erpressung
Im September 2016 wurde die Handelskette Coop erpresst. Der sogenannte „Marzipan-Erpresser“ drohte dem Kieler Unternehmen damit, vergiftete Marzipanherzen an Schüler zu verteilen und Bomben an Schulen zu zünden, falls er einen angeforderten Millionenbetrag nicht überwiesen bekäme. Erpressungen kommen in Deutschland häufiger als vermutet vor, die wenigsten Fälle gelangen an die Öffentlichkeit. Besonders mittelständische Unternehmen sind gefährdet.