Wie IT-Lieferketten und Insider zur Gefahr werden können

(Source: zVg)

(Source: zVg)

Am 29. und 30. Oktober findet in Zürich das Gohack26 statt, ein Event, das die Cybersecurity-Community zusammenbringt. Nach Workshops und der Live-Bug-Bounty-Challenge sprachen Experten und Expertinnen am Symposium am ersten Veranstaltungstag über die Herausforderungen in der Cybersicherheit. Der Abend mit Vorträgen und Apéro stand unter dem Motto "Lieferketten, Insider, KI: Wenn Vertrauen zur Angriffsfläche wird". Organisiert wurde der Anlass vom Schweizer Security-Unternehmen Gobugfree, mit Unterstützung der Fernfachhochschule Schweiz und BDO Digital.

Gohack26 als Plattform für die Cybersecurity-Szene

Die Gastgeberin Christine Kistler, Co-CEO von Gobugfree, erklärte im Gespräch mit der Redaktion das Ziel der Veranstaltung: "In der Cybersecurity braucht es mehr Austausch. Nicht nur zwischen Experten und Expertinnen, sondern auch zwischen Nachwuchs, KMUs, Enterprise und der Wissenschaft."

Diesen Austausch schätzten und pflegten die Teilnehmenden, nicht nur bei den Vorträgen am Symposium, sondern auch beim Apéro und in den Workshops. "Für mich steht der Community-Aspekt im Vordergrund. Das Event bietet die Gelegenheit, sich zu treffen - und es gibt gratis Pizza", sagte Antoine Neuenschwander, Tech-Lead Bugbounty bei Swisscom im Gespräch. "Eine super Plattform für die Cybersecurity-Szene" nennt Peter Kosel, Gründer und Talent Community Manager von Cyberunity, den Event. 

Zum Start des Symposiums begrüssten Gastgeberin Kistler und Moderator Christoph Lanter die Gäste. Nicht nur Cybersecurity-Experten auf Konferenzen sollten sich mit Insider-Risiken befassen, das Thema müsse auch in KMUs und Grossunternehmen ankommen, betonte Kistler. KI helfe zunehmend beim Erkennen von Schwachstellen und Durchführen von Analysen, gleichzeitig entstünden jedoch auch neue Angriffsflächen und Abhängigkeiten. 

Das Gobugfree-Team mit den Speakern am Symposium. (Source: zVg)

Gobugfree lancierte am Gohack26 eine neue Vulnerability-Management-Plattform, an die KI-Agenten angebunden werden können. Sie helfe ethischen Hackern und den Kunden von Gobugfree, Schwachstellen effizienter zu prüfen. 

Ambivalente Entwicklung für die Cybersicherheit

Roman Hüssy, Co-Head GovCERT beim Bundesamt für Cybersicherheit (BACS), behandelte die Themen Lieferketten, KI und Souveränität. Lieferketten seien bereits seit Jahren ein Thema in der Cybersecurity. Softwarelieferanten und IT-Service-Provider böten noch immer eine Angriffsfläche. Werden sie gehackt, sind oft auch die Daten ihrer Kunden betroffen. Als Kunde könne man sich dagegen nur begrenzt schützen. 

Roman Hüssy sprach über Herausforderungen von Cybersicherheit in Zeiten von KI aus Sicht des BACS. (Source: zVg)

Zu KI-gestützten Angriffen gab Hüssy den Gästen mit, sie sollten sich von den Medienberichten zu hackenden KI-Agenten nicht zu sehr aus der Ruhe bringen lassen. Bisher sei dem BACS kein Fall gemeldet worden, bei dem autonome KI-Agenten jemanden gehackt hätten. Allerdings mache KI das Angreifen einfacher und Angriffe überzeugender. Das BACS sehe jedoch auch Chancen: Für die Analyse von Vorfällen bräuchte das Bundesamt heute weniger Manpower, könne schnellere Voranalysen machen und besser priorisieren. 

Lieferketten zu prüfen ist schwierig, aber wichtig

Stefan Lüders, CISO und Head of the CSIRT am Cern, vertiefte das Thema Lieferketten weiter. Die Mitarbeitenden des Kernforschungszentrums in Genf würden regelmässig Software herunterladen und kaufen. Den Überblick über all die Software im ganzen Unternehmen zu behalten, sei eine zentrale Herausforderung. Denn wenn die eingesetzte Software nicht überprüft wurde, könnte sie zur Angriffsfläche werden. Jede Library, die teilweise automatisch aus dem Internet heruntergeladen und für Softwareupdates in Software integriert wird, könnte potenziell eine Schwachstelle sein. Das Ziel sei es, alle Software und alle Geräte mit Software-Komponenten zu überblicken. Mit "Vertrauen ist gut, überprüfen ist besser" schloss er seinen Vortrag. 

Stefan Lüders sprach von IT-Lieferketten und deren Gefahren. (Source: zVg)

Management gegen Insider-Angriffe

Silvan Schellenberg, Head CISO Switzerland Office der UBS, kam auf Risiken durch Insider und deren Zugriffsberechtigungen zu sprechen. Er schilderte einen Vorfall vor 25 Jahren, als ein Mitarbeiter bei UBS Painewebber in den USA es schaffte, mithilfe einer Malware Daten auf über 1000 Servern zu löschen. Anhand dieser Geschichte zeigte Schellenberg auf, wie die Grossbank ihre Prozesse im Umgang mit Insidern optimierte und wo er noch Verbesserungsbedarf sieht. Heute habe man nicht mehr die flache Infrastruktur oder die weitreichenden Adminrechte ohne Monitoring wie vor 25 Jahren. Doch einiges sei trotzdem gleich geblieben: Die Technik an sich sei noch immer nicht die Gefahr, sondern der Missbrauch von Vertrauen.

Silvan Schellenberg zeigte anhand einer wahren Geschichte, wie man sich vor Insiderrisiken schützen sollte. (Source: zVg)

Dem schloss sich auch Michael Platen, Gründer und Chairman von Aequivalent, in der Paneldiskussion mit Bernhard Tellenbach, Leiter Cyberdefence bei Armasuisse, an. Um Insiderrisiken zu minimieren, seien Background-Checks von Personen mit sensiblen Positionen sehr wichtig. Man sollte verstehen, was die Menschen motiviert. 

Schellenberg regte an, für KI-Agenten dasselbe Management der "Persönlichkeiten" einzuführen wie für menschliche Mitarbeitende. Auf den richtigen Umgang mit KI-Agenten richtete Sina Wulfmeyer, Chief Data Officer und DPO bei Unique AI, ihr Augenmerk. KI-Agenten könne man als neue Insider im Unternehmen verstehen. Je nach Zugriffsrechten könnten sie zu Risikofaktoren werden. Vor allem in hochregulierten Industrien wie im Banking sei der richtige Umgang mit den KI-Agenten zentral und biete neue Herausforderungen. Was ein Agent dürfen sollte und was nicht und wer bei einem Vorfall verantwortlich ist, seien ungeklärte Fragen. 

Am Gohack26 Symposium schien der Austausch zwischen Experten, Verwaltung, Forschung und Nachwuchs gelungen zu sein. Am Apéro nach den Vorträgen wurde weiter über Lieferketten, über digitale Souveränität und Ethical Hacking diskutiert. "Was ich mitnehme, ist die Awareness für die Gefahren, die nicht sichtbar sind. Vor allem für uns, die angehenden Experten, ist das Lernen über diese Themen sehr wichtig", sagte Mohammad Khan, Intern bei Swisscom, im Gespräch. 

Auch 2025 trafen sich IT-, OT- und IoT-Experten zum Gohack25. Mehr dazu lesen Sie hier. 

Und: Wenn Sie mehr zu Cybercrime und Cybersecurity lesen möchten, melden Sie sich hier für den Newsletter von Swisscybersecurity.net an. Auf dem Portal gibt es täglich News über aktuelle Bedrohungen und neue Abwehrstrategien.