Cybersicherheit in einer sich wandelnden Bedrohungslage

Die Annahmen, die die Unternehmenssicherheit zwei Jahrzehnte lang geprägt haben, gelten nicht mehr. Es gibt keinen Netzwerkrand mehr zu verteidigen: Mitarbeitende arbeiten von zu Hause, Anwendungen laufen im Rechenzentrum eines anderen, und Daten wandern zwischen Diensten, die die Organisation nicht besitzt. Sicherheit, die um einen Perimeter herum gebaut ist, schützt eine Form, die es nicht mehr gibt.

Identität ist der neue Perimeter

Wenn Anwendungen von überall erreichbar sind, werden die Zugangsdaten zur eigentlichen Kontrolle. Die überwiegende Mehrheit der Einbrüche beginnt nicht mit einem raffinierten Exploit, sondern mit einem gültigen Login in den falschen Händen — abgephisht, aus einem anderen Leak wiederverwendet oder beim Austritt einfach nie entzogen.

Das ordnet die Prioritätenliste neu. Multi-Faktor-Authentifizierung auf jedem Konto, das etwas Sensibles erreichen kann, ist die wirksamste Einzelmaßnahme, die den meisten Organisationen offensteht — und sie ist in sehr vielen von ihnen nach wie vor unvollständig ausgerollt. Zu prüfen, wer tatsächlich Zugriff hat, und zu entfernen, was nicht mehr gebraucht wird, ist unspektakulär und durchweg wirksam.

Dritte sind Teil Ihrer Angriffsfläche

Moderne Systeme werden zusammengesetzt, nicht gebaut. Jede Integration, jedes Plug-in und jeder Managed Service ist ein Weg in Ihre Umgebung, den Sie nicht vollständig kontrollieren. Angreifer wissen das genau: Einen Lieferanten zu kompromittieren erreicht mitunter Hunderte seiner Kunden auf einmal.

Das bedeutet nicht, auf Dritte zu verzichten — das ist nicht möglich. Es bedeutet zu wissen, wer Zugriff auf was hat, Nachweise über deren Sicherheitsniveau zu verlangen statt Zusicherungen, und eine Verbindung schnell trennen zu können, wenn etwas schiefgeht.

Die unspektakuläre Baseline

Die meisten erfolgreichen Angriffe brauchen keine neuen Techniken. Sie brauchen eine Lücke in den Grundlagen. Eine belastbare Baseline sieht so aus:

Patchen nach einem Plan, den Sie wirklich einhalten. Ein unvollkommener Patch-Prozess, der jeden Monat läuft, schlägt einen idealen, der läuft, wenn sich jemand erinnert.

Minimale Rechte, durchgesetzt. „Vorübergehend" erteilte Administratorrechte werden gern dauerhaft. Konten sollten den Zugriff haben, den die Rolle braucht, und nichts darüber hinaus.

Backups, die schon zurückgespielt wurden. Ein Backup, das niemand getestet hat, ist eine Hypothese. Die Reaktion auf Ransomware hängt vollständig davon ab, ob die Wiederherstellung funktioniert — und das erfährt man entweder in einer Übung oder in der Krise.

Logging, das Sie durchsuchen können. Bei einem Vorfall lautet die Frage, was der Angreifer berührt hat und wann. Ohne aufbewahrte, durchsuchbare Logs hat diese Frage keine Antwort, und die Untersuchung wird zum Rätselraten.

Planen Sie die Reaktion, bevor Sie sie brauchen

Der Unterschied zwischen einem Vorfall und einer Katastrophe ist meist Vorbereitung, nicht Verhinderung. Wer wird um zwei Uhr nachts angerufen. Wer darf das Abschalten eines Produktivsystems genehmigen. Was wird Kunden mitgeteilt, und von wem. Welche Behörde muss innerhalb welcher Frist informiert werden — in der EU ist dieses Fenster kurz.

Organisationen, die das geübt haben, erholen sich in Tagen. Organisationen, die es während eines Vorfalls herausfinden, brauchen Wochen — und die Kosten dieses Unterschieds sind selten technisch.

Sicherheit als Eigenschaft des Systems

Sicherheit, die am Ende eines Projekts hinzugefügt wird, ist teuer und lückenhaft. Von Anfang an eingebaut — in den Umgang mit Identität, in die Segmentierung von Daten, in die Art des Deployments — ist sie weit günstiger und deutlich wirksamer. Die Bedrohungslage wird sich weiter verändern. Die Disziplin, die ihr gewachsen ist, nicht.