Warum die Security-Abteilung zum grössten Feind der Firma werden kann

Der erste Tag von T-Systems digitalem Event "Accelerate Digital Now" hat sich ganz der Migration von Unternehmensdaten in die Cloud gewidmet. An Tag zwei lag der Fokus auf dem Thema Cybersersecurity. In mehreren Paneldiskussionen sprachen Spezialistinnen und Spezialisten darüber, worin die aktuellen Herausforderungen für IT-Abteilungen liegen und warum Cybersecurity nicht nur ein Problem der IT-Abteilung ist.

Cyberkriminelle arbeiten mit einem hybriden Modell

Hacker und IT-Security Consultant Linus Neumann bezeichnete IT-Security als "das perfekte Desaster". Laut Neumann sind viele Unternehmen nach wie vor verwundbar, da sie nicht damit rechnen, gehackt zu werden. Sollte dieser Fall dann eintreffen, könnten sie nicht schnell und adäquat reagieren und verschlimmerten die Situation häufig noch. "Man kann eine Katastrophe nicht verhindern, nachdem sie eingetreten ist", gab Neumann zu bedenken.

Die Angriffsmethoden der Hacker sind laut Neumann meistens die gleichen, denn "Unternehmen üben keinen grossen evolutionären Druck auf Cyberkriminelle aus". Laut dem Consultant setzen die momentan gefürchteten Cybercrime-Gruppen auf ein hybrides Angriffsmodell. Sie starten dabei mit einem grossflächig angelegten Angriff - beispielsweise per Phishing-Mails. Sobald eines oder mehrere Unternehmen angebissen haben, gehen die Hacker zu einer präziser abgestimmten Angriffsmethode über. "Das primäre Ziel sollte es also sein, von diesen grossflächigen Attacken verschont zu bleiben", sagte Neumann.

Als Grund weshalb viele Unternehmen nicht auf einen Cyberangriff vorbereitet sind, obwohl die nötigen Präventionsmassnahmen häufig nicht besonders kostspielig seien, nannte Neumann die Komplexität der Unternehmens-IT. Häufig hätten Firmen bereits genug damit zu kämpfen, eine IT-Lösung zu implementieren.

Dass der Faktor Mensch in der IT-Security eine zentrale Rolle spielt, ist unbestritten. Aus einer technischen perspektive seien die meisten Security-Probleme heute gelöst. Aber: "Solange wir die Benutzer und die Benutzeroberfläche nicht als Teil der IT-Security betrachten, werden nie alle Probleme verschwinden."

Thomas Tschersich, Pierre-Alain Graf, Theresa Payton und Moderator Tim Feldner. (v.l., Source: Screenshot)

Die IT-Security-Abteilung als grösster Feind

Darüber, dass IT-Security nicht nur ein Problem der IT-Abteilung ist, waren sich die ehemalige CIO des Weissen Hauses Theresa Payton, der CTO/CSO der Deutschen Telekom Security Thomas Tschersich und Pierre-Alain Graf, SVP Global Security Business bei Hitachi ABB Power Grids, einig. Während ihrer Panel-Diskussion, thematisierten die drei Spezialisten insbesondere die Wichtigkeit der Zusammenarbeit von IT- und OT-Teams. "Cyberkriminelle gehen immer den Weg des geringsten Widerstands. Wenn dieser über ein OT-System führt, dann dringen sie so ins Unternehmen ein", sagte Tschersich.

Laut dem CTO/CSO werden IT- und besonders IT-Security-Abteilungen in vielen Unternehmen als "Road Blocks" gesehen - "und sie sehen sich auch selbst so". Mit einer solchen Einstellung werde man schnell zum grössten Feind innerhalb der Firma. IT-Security-Teams müssten in einer Art und Weise mit anderen Abteilungen kommunizieren, so dass diese den Wert und die Vorteile geplanter Massnahmen verstünden.

Um das Verständnis für die jeweilige Arbeit der anderen Abteilung zu erhalten, schlug Payton vor, dass die Mitarbeitenden innerhalb der IT- und OT-Teams rotieren sollten. "Es ist eine veraltete Sichtweise, dass IT und OT physisch und systematisch getrennt sind", sagte sie. Die ehemalige CIO des Weissen Hauses gab zu bedenken, dass man Cyberkriminelle - egal in welcher Abteilung - nur dann schlagen kann, wenn man mit Technologien Arbeitet, die auch wirklich praktikabel sind und den Menschen in den Mittelpunkt stellen.

"Manche Security-Challenges wurden von den Sicherheitsexperten selbst geschaffen", ergänzte der CTO/CSO der Deutschen Telekom Security, Tschersich. Als Beispiel nannte er komplexe Passwörter, die jede Woche wieder geändert werden. "Das kann sich keiner merken und jeder hat sich die Passwörter einfach aufgeschrieben und mit einem Post-it an den Computer geklebt", sagte er. So wäre es für jeden Besucher ein leichtes Spiel ins System zu gelangen.

Dass viele Regeln, die lange für besonders "gute" Passwörter galten nicht mehr stimmen, gibt sogar Bill Burr, der Vater des starken Passworts, selbst zu. Aber wie muss ein Passwort sein, damit es sicher und sinnvoll ist? Mehr dazu lesen Sie hier.

Cybersecurity-Spezialistin Keren Elazari (Source: Screenshot)

"Hacker werden immer dreister"

"Clevere Hacker brechen nicht ein, sie loggen sich ein." Dieser Satz steht auf einem T-Shirt, der Cybersecurity-Spezialistin Keren Elazari, wie sie während der abschliessenden Paneldiskussion des Events verriet. Wenn es nach Elazari geht, gehören Passwörter bald ganz der Vergangenheit an. "Wir müssen unsere Sichtweise bezüglich Authentifizierungsmöglichkeiten ändern." Gerade für OT-Systeme machten Passwörter keinen Sinn. "Warum braucht eine Maschine ein Passwort, um sich einzuloggen?", fragte die Security-Spezialistin. "Es gibt so viele bessere Möglichkeiten für eine Maschine, sich zu identifizieren."

Laut Elazari machten Cyberkriminelle im vergangenen Jahr keine Corona-Pause - ganz im Gegenteil. Die Tatsache, dass Personen aus ganz unterschiedlichen Berufsgruppen und Abteilungen plötzlich aus dem Homeoffice arbeiten mussten, bot Cyberkriminellen eine grössere Angriffsfläche. Denn Plötzlich wurden zuhause viel mehr Geräte verwendet. Dazu auch solche, auf denen sich sensible Unternehmensdaten befinden. "Hacker werden immer dreister", sagte Elazari. Es habe in letzter Zeit um einiges mehr Angriffe auf kritische Infrastrukturen gegeben. Als Beispiele nannte sie Cyberattacken auf Krankenhäuser, Pharmaunternehmen oder den Versuch von Hackern, in das Wasseraufbereitungssystem einer Kleinstadt in Florida zu gelangen.

Auch während dieser Diskussionsrunde kam die Zusammenarbeit von IT und OT zur Sprache. Wie Elazari sagte, hätte ein Vorfall wie in Florida verhindert werden können. "Im Iran gab es in letzter Zeit viele Attacken auf Wasserversorgungsanlagen. Davon hätte man lernen können." Auch OT-Abteilungen müssten sich, ähnlich wie Cybersecurity-Spezialisten, international austauschen. Das passiere bisher jedoch wenig bis gar nicht.