Das IT-Sicherheitsgesetz, die EU-Richtlinie zur Cybersicherheit - das Thema IT-Security beschäftigt Europa.
Die EU-Cybersicherheitsrichtlinie soll im Sommer 2015 verabschiedet und anschließend in die nationale Gesetzgebung implementiert werden
Unternehmen sollten ihre IT-Sicherheitskonzepte den kommenden Anforderungen rechtzeitig anpassen
Öffentlich gemachte Cyberattacken könnten künftig zu Vertrauensverlust und Imageschäden führen
Die EU-Richtlinie zur Cybersicherheit ist in den Medien derzeit omnipräsent. Kein Wunder: die Regierungen Deutschlands und Frankreichs - aber auch anderer EU-Mitgliedsstaaten - verweisen immer wieder nach Brüssel, wenn es um Policies für mehr Sicherheit in der digitalen Welt geht. Daran ändert auch das jüngst beschlossene IT-Sicherheitsgesetz nicht viel. Einheitliche Standards auf dem europäischen Binnenmarkt liegen im Kompetenzbereich der EU, daher erscheint es nur logisch, dass sie um eine entsprechende Gesetzgebung bemüht sein sollte.
IT-Sicherheit ist derzeit in aller Munde. Trotz des kürzlich beschlossenen IT-Sicherheitsgesetzes fehlen in Europa weiterhin einheitliche Cybersecurity-Standards. Foto: wk1003mike / shutterstock.com
Das IT-Sicherheitsgesetz und die EU
Seit März 2013 brütet die EU bereits über dem Vorschlag für eine sogenannte EU-Cybersicherheitsrichtlinie - nun scheint es langsam ernst zu werden. Bis zum Sommer 2015 soll eine Entscheidung getroffen werden. Die Herausforderung dabei ist die Vielzahl der individuellen Besonderheiten in den Mitgliedsstaaten. Dort warten Regierungen gebannt auf die Richtlinie denn nach ihrer Verabschiedung gilt es für die EU-Mitglieder, sie in die nationale Gesetzgebung zu implementieren. Vorher besitzt die Richtlinie zur Cybersicherheit keine rechtliche Gültigkeit.
Gesetzliche Verpflichtungen auf EU-Ebene werden also noch etwas auf sich warten lassen, denn es ist eine Übergangsfrist von zwei Jahren geplant. Dieser Zeitraum ist für die Regierungen üblich und wird von einigen Ländern gerne auch etwas ausgedehnt. Bevor die Uhr überhaupt anfängt zu ticken, müssen sich EU-Kommissare und Regierungen der Mitgliedsstaaten zunächst auf einen Entwurf einigen, um diesen anschließend dem Europäischen Parlament vorzulegen. Momentan sind die Sitzungen zwischen Kommission und Rat für den Juli dieses Jahres angesetzt. Doch selbst wenn alle Akteure großen Einigungswillen an den Tag legen und das Parlament eilig prüft und zustimmt - die Verabschiedung der Richtlinie wird sich voraussichtlich über den Sommer hinaus ziehen. Das gerade im Bundestag beschlossene IT-Sicherheitsgesetz wird dann sicherlich ebenfalls nochmals diskutiert werden, denn dann kommt die europäische Perspektive hinzu.
Unternehmen in der Pflicht
Organisationen sollten aber bedenken, dass die Anpassung ebenfalls Zeit beanspruchen wird. Die grundlegende Agenda des Gesetzes wird sich dennoch sehr wahrscheinlich nicht ändern. Deshalb ist es für Unternehmen an der Zeit, ihre IT-Sicherheitskonzepte anzupassen. Auf folgende Punkte sollten sich Firmen vorbereiten.
Die Pflicht zur Einführung von angemessenen, technischen und organisatorischen Maßnahmen für mehr IT-Sicherheit; da der angestrebte Schutzzweck deutlich angehoben wird, muss auch bei den "angemessenen" Maßnahmen nachgebessert werden
Die Pflicht zur Durchführung eines Sicherheits-Audits
Eine Meldepflicht bei Sicherheitsvorfällen gegenüber den zuständigen Behörden - in Deutschland wäre das das Bundesamt für Sicherheit in der Informationstechnik (BSI); im Zuge dieser gestärkten Rolle soll beim BSI sowohl finanziell als auch personell aufgestockt werden; wichtig: die zuständigen Behörden können gemeldete Sicherheitsvorfälle öffentlich machen
Unternehmen mit "kritischem" Tätigkeitsfeld sind künftig verpflichtet, Sicherheitsvorfälle dem Bundesamt für Sicherheit in der Informationstechnik zu melden. Foto: BSI
Hiervon betroffen sind in erster Linie Unternehmen, deren Tätigkeit für den Staat und die Bevölkerung als "kritisch" eingestuft werden. Darunter fallen nach derzeitigem Stand: Energieversorger, Verkehrsunternehmen, Kreditinstitute, Börsen, Clearing-Stellen sowie Unternehmen aus dem Bereich Medizinversorgung. Im erweiterten Bereich sind darüber hinaus auch Unternehmen aus den Bereichen elektronischer Geschäftsverkehr, Online-Payment, soziale Netzwerke, Suchmaschinen, Cloud-Computing-Services sowie App-Stores zu finden. Wer konkret betroffen sein wird, steht indes noch nicht fest - im IT-Sicherheitsgesetz ist die Rede von rund 2000 Unternehmen. Die Aufstockung von Behörden wird in jedem Fall zu einer stärkeren Präsenz staatlicher Normen und Regularien bei der IT-Sicherheit führen.
Offene Fragen bestehen derzeit bei der Ausgestaltung der Meldepflicht und der Abgrenzung, welche Unternehmen in den Bereich "kritische Infrastrukturen" fallen. Sicher ist hingegen, dass es Strafen für diejenigen geben wird, die der Meldepflicht nicht nachkommen. Das IT-Sicherheitsgesetz sieht in einem solchen Fall eine Geldstrafe von bis zu 100.000 Euro vor. Eine aktuelle Bitkom-Studie geht von Kosten im Umfang von circa 1,1 Milliarden Euro aus.
Einbettung ins Security-Konzept
Das bedeutet für Unternehmen: führen sie sich das grundsätzliche Ziel der EU vor Augen und ergreifen Sie aktiv Maßnahmen. Besonders die von der EU-Kommission vorgesehenen Punkte "Widerstandsfähigkeit gegenüber Cyberangriffen" und "drastische Eindämmung der Cyberkriminalität" sind sicherlich im Sinne aller Akteure, denn digitale Infrastrukturen und Daten sind in Gefahr und Cyberangriffe bittere Alltagsrealität. Laut einer aktuellen Studie von Frost & Sullivan geht aus Sicht von IT-Security-Experten die größte Gefahr von Phishing- und Malware-Angriffen aus. Social Engineering steht dabei an erster Stelle und wird von 54 Prozent der knapp 14.000 Studien-Teilnehmer als "sehr häufig benutzte Angriffstechnik" bezeichnet. Genau hier sind viele Unternehmen verwundbar.
Firmen müssen ihre Netzwerke und IT-Systeme entsprechend schützen, um bestmöglich für Cyberangriffe gerüstet zu sein. Arbeitsprozesse und Kommunikationswege sollten auf die Meldepflicht vorbereitet und entsprechend gesichert werden. Sämtliche Vorgänge in einer Organisation sind auf Schwachstellen zu überprüfen. Der technische, zeitliche und monetäre Aufwand für die nötigen Veränderungen muss kalkuliert werden - eventuell macht es auch Sinn externe Berater hinzuzuziehen.
Um die umfangreichen Sicherheits-Optimierungen der IT-Infrastrukturen umsetzen zu können sind unterstützende Lösungen unabdingbar: Anti-Malware, Patch-Management, Zwei-Faktor-Authentifizierung bei Remote-Zugriff, Verschlüsselung und Change Audits, aber auch Schulungen von Anwendern, Kunden und Geschäftspartnern sind schnell umsetzbare Maßnahmen auf die leider allzu häufig verzichtet wird. Immer wichtiger werden in diesem Zusammenhang auch die Logfile-Analyse und SIEM (Security Information and Event Management) als zentrale Monitoring-Instanz, die auch kleinste Veränderungen erkennt und aktiv vor Vorfällen warnt. Damit hingegen eine Logfile-Analyse umfangreiche Informationen liefern kann, muss die Software-Lösung einerseits Schnittstellen besitzen, andererseits aber auch detaillierte Logfiles erzeugen.
Security Trends 2015
1. Exploit-Bekämpfung reduziert die Einfallstore für Kriminelle. Cyberkriminelle hatten in den vergangenen Jahren mehr oder weniger leichtes Spiel mit Microsoft Windows. Glücklicherweise hat der Konzern Exploits in letzter Zeit gezielt bekämpft, so dass Attacken immer schwieriger werden. Allerdings gibt es eine Kehrseite der Medaille, da viele Malwareentwickler sich nun wieder den Social-Engineering-Techniken zuwenden oder auf Nicht-Microsoft-Plattformen abzielen.
2. Internet-of-Things-Attacken haben sich von Machbarkeitsstudien zu Mainstream-Risiken entwickelt. 2014 mussten wir immer häufiger feststellen, dass Hersteller von Internet-of-Things-Geräten es oftmals verschlafen haben, grundlegende Sicherheitsstandards zu implementieren. Entsprechend sind Attacken auf diese Geräte absehbar und werden zudem umfassende Folgen haben. Die IT-Sicherheitsindustrie muss sich weiterentwickeln, um für dieses neue Thema Antworten zu finden.
3. Verschlüsselung ist mittlerweile Standard, aber darüber sind nicht alle glücklich. Dank häufig auftauchender Schlagzeilen in Sachen Spionagesoftware und Datenbankeinbrüchen hat sich die Verschlüsselung aller Daten schon fast zum Standard entwickelt. Das geht allerdings gerade großen Organisationen wie Strafverfolgungsbehörden oder Geheimdiensten gegen den Strich, da sie befürchten, dass diese „Heimlichtuerei“ die allgemeine Sicherheit gefährdet.
4. Sicherheitsrelevante Programmierfehler in weit verbreiteter Software blieben jahrelang unter dem Radar. „Heartbleed“ und „Shellshock” machen deutlich, dass weit mehr unsichere Code-Zeilen im Umlauf sind, als gedacht und sie werden seit vielen Jahren unbemerkt von einer großen Anzahl Computersystemen genutzt,. Entsprechend hat sich auch das Augenmerk der Hacker auf diese eher unauffälligen Programme gerichtet und 2015 sind vermehrt Attacken in diesem Bereich zu erwarten.
5. Gesetzliche Neuregelungen bringen mehr Verantwortung bei der Offenlegung von Daten und Haftung mit sich – vor allem in Europa. Die Mühlen der Gesetze mahlen im Vergleich zur Technologieentwicklung sehr langsam, aber dennoch treten 2015 einige gesetzliche Neuerungen in Kraft, die lange auf sich warten ließen. Es ist wahrscheinlich, dass diese Änderungen auch in anderen Bereichen mit einer progressiveren Datenschutzregulierung einhergehen.
6. Kriminelle schießen sich auf mobile Zahlungssysteme ein, halten aber gleichzeitig noch eine Weile an traditionellen Finanzbetrügereien fest. Nach der Ankündigung von Apple Pay waren mobile Zahlungssysteme eines der Topthemen der vergangenen Monate. Wie immer, wenn neue Systeme an den Start gehen, werden die Cyberkriminellen nach Lücken Ausschau halten. Da das aber aufgrund einiger sehr positiver Absicherungen nicht ganz einfach sein wird, dürfen wir davon ausgehen, dass die klassischen Onlinegaunereien mit Kreditkarten noch eine Weile weitergehen. Sie sind das bei weitem einfacherer für Betrug zu nutzen.
7. Die Lücke zwischen Sicherheitsaufgaben und geschultem Personal klafft immer weiter auseinander. Im gleichen Rahmen, wie Technologie immer mehr in unser tägliches Leben Einzug hält und einer der Stützpfeiler für die globale Wirtschaft wird, kommt das fehlende Know-how in Sachen Cybersicherheit zum Vorschein. Diese bedenkliche Entwicklung wird sowohl von Regierungen, als auch der Industrie konstatiert. Das Besetzen der nötigen Stellen kann Jahre dauern und ist somit ein echter Sicherheitsfaktor.
8. Breite “Serviceoffensive” für Attacken und Exploit-Kits, um mobile Plattformen anzugreifen. In den letzten Jahren hat sich ein neuer Trend bei den Cyberkriminellen durchgesetzt: das zur Verfügung stellen von Malwarepaketen, die keinerlei technisches Wissen voraussetzen und per Klick aktiviert werden können. Der rasante Anstieg bei mobilen Plattformen und der damit verbundene Austausch sensitiver Daten werden dazu führen, dass wir 2015 viele dieser Kits für Smartphone-Angriffe sehen werden. Gleiches gilt für Plattformen, die sich mit dem Internet of Things beschäftigen.
9. Die Lücke zwischen ICS/SCADA und Sicherheit in der realen Welt wächst weiter. Systeme wie Industrial Control Systems (ICS) und Supervisory Control and Data Acquisition (SCADA) hinken in Sachen Sicherheit üblicherweise zehn oder mehr Jahre hinter dem Mainstream her. Wir gehen davon aus, dass innerhalb der nächsten Jahre einige besorgniserregende Lücken aufgedeckt werden, die von Hackern auf breiter Front ausgenutzt werden.
10. Flexiblere Rootkit- und Bot-Fähigkeiten eröffnen neue Angriffsvektoren. Die Technologiesparte befindet sich zurzeit in einem grundlegenden Veränderungsprozess, in dessen Rahmen nun Plattformen und Protokolle abgeändert werden, die jahrelang als Standard dienten. Allein die Menge solcher Veränderungen der althergebrachten Technologiestandards wird viele alte Wunden aufreißen und neue Sicherheitslücken schaffen.
IT-Sicherheit wirkt sich auf das Image aus
Das IT-Sicherheitsgesetz ist ein erster Schritt in die richtige Richtung, den Unternehmen ernst nehmen sollten. Nach Inkrafttreten der EU-Richtlinie zur Cybersicherheit werden die momentan noch existierenden, internen und externen Ressourcen Mangelware sein. Eine rechtzeitige, schrittweise Umsetzung ist also empfehlenswert. Sicherheitsvorkehrungen nutzen Organisationen in vielerlei Hinsicht. Schließlich machen sie nicht nur die Angriffsgrundlage von Cyberkriminellen zunichte, sondern bereiten auf kommende Gesetzesinitiativen vor und verhindern durch Sicherheitslecks verursachte, negative Schlagzeilen.
Um frühzeitig Angriffsvektoren zu schließen und auf die Entwicklung der virtuellen Welt zu reagieren, braucht es verschiedene Maßnahmen. Durch den Gesetzgebungsprozess werden die Öffentlichkeit und die Medienwelt für das Thema sensibilisiert. Unternehmen die nicht ausreichend vorbereitet sind und in nächster Zeit Opfer einer Cyberattacke werden, können dann sehr wahrscheinlich mit weit weniger Verständnis seitens der Öffentlichkeit und der Geschäftspartner rechnen als bisher. Sollte es künftig zu größeren Sicherheitsvorfällen kommen, wird außerdem die Presse (und folglich auch die Allgemeinheit) deutlich besser informiert sein und solche Security-Lecks noch deutlich kritischer betrachten - schließlich sind die Gefahren bekannt und es gibt Mittel und Wege, sich vor Cyberattacken zu schützen. Wer die Tatsachen also weiterhin ignoriert, riskiert nicht nur seine wichtigsten Unternehmensdaten und das Vertrauen seiner Kunden, sondern auch sein Image.
Der Lebenszyklus eines Cyberangriffs
Lebenszyklus einer Cyberattacke Die IT-Security-Spezialisten von Palo Alto Networks haben den Lebenszyklus eines Hackerangriffs analysiert. In jeder der sechs Phasen einer Cyberattacke kann ein Unternehmen jedoch gezielt gegensteuern. Welche Maßnahmen und Werkzeuge dazu nötig sind, erfahren Sie hier.
1. Ausspionieren Hacker verwenden oft Phishing-Taktiken oder extrahieren öffentliche Informationen aus dem Social-Media-Profil eines Mitarbeiters oder von Unternehmenswebsites. Diese Informationen verwenden die Cyberkriminellen, um gezielte, scheinbar legitime Anfragen zu versenden, die den Mitarbeiter auf bösartige Links locken oder dazu verleiten sollen einen infizierten Anhang zu öffnen. Die anschließend heruntergeladene Malware verwenden Cyberkriminelle um nach ausnutzbaren Schwachstellen zu suchen. Um den Lebenszyklus zu durchbrechen, können Unternehmen URL-Filter verwenden. Damit werden Angreifer daran gehindert, Social-Media- und Website-Informationen zu manipulieren. Zudem sollten Unternehmen den Netzwerkverkehrsfluss mithilfe von Intrusion-Prevention-Technologien kontrollieren, um Bedrohungen zu erkennen und Port-Scans und Host-Sweeps zu verhindern.
2. Vorbereitung & Auslieferung Angreifer verwenden verschiedene Methoden wie die Einbettung von Intruder-Code in Dateien und E-Mails oder gezielt auf die Interessen des Einzelnen zugeschnittene Nachrichten. Hier können Unternehmen den Zyklus mit einer Firewall durchbrechen. Diese gewähren Einblick in den gesamten Datenverkehr und blockieren alle Hochrisiko-Anwendungen. Kombinierte Maßnahmen zur Bedrohungsabwehr wie IPS, Anti-Malware, Anti-CnC, DNS-Überwachung und Sink Holing sowie Datei- und Content-Blockierung können bekannte Exploits, Malware und eingehende Command-and-control-Kommunikation abwehren. Ergänzt werden können diese Maßnahmen durch eine cloudbasierte Malware-Analyse im Netzwerk.
3. Ausbeutung Angreifer, die Zugriff auf das Netzwerk erlangt haben, könnten den Angriffscode aktivieren und die Zielmaschine unter ihre Kontrolle bringen. Endpunktschutz-Technologien können bekannte wie auch unbekannte Schwachstellen-Exploits blockieren. Sandboxing-Technologie stellt automatisch eine globale Bedrohungserkennung bereit, um Folgeangriffe auf andere Unternehmen zu verhindern. Auch an dieser Stelle kann sich der Zugriff auf eine dynamische Malware-Analyse-Cloud lohnen.
4. Installation Angreifer etablieren privilegierte Operationen und Rootkits, führen Privileg-Eskalation durch und nisten sich dauerhaft ein im Netzwerk des Unternehmens. Unternehmen können Endpunktschutz-Technologien verwenden, um lokale Exploits zu verhindern, die zu Privileg-Eskalation und Passwortdiebstahl führen. Mit einer modernen Firewall lassen sich sichere Zonen mit strikter Benutzerzugriffskontrolle und fortlaufender Überwachung des Datenverkehrs zwischen den Zonen einrichten.
5. Command & control Angreifer richten einen Rückkanal zum Server ein. Auf diese Weise können Daten zwischen infizierten Geräten und dem Server ausgetauscht werden. Es gibt verschiedene Möglichkeiten, um den Angriffszyklus an diesem Punkt zu durchbrechen. Unternehmen können ausgehende Command-and-control-Kommunikation durch Anti-CnC-Signaturen blockieren. URL-Filterung kann die Kommunikation mit bekannten bösartigen URLs verhindern. Outbound-Kommunikation kann zu internen Honey Pots umgeleitet werden, um kompromittierte Hosts zu erkennen und zu blockieren.
6. Aktivitäten am Angriffsziel Angreifer manipulieren das Netzwerk für ihre eigenen Zwecke. Es gibt viele Motive für Cyberangriffe, wie etwa Datenextraktion, Zerstörung von kritischen Infrastrukturen oder Erpressung. Unternehmen mit feingliedriger Anwendungs- und Benutzerüberwachung können Dateiübertragungs-Richtlinien durchsetzen, um bekannte Archivierungs- und Übertragungstaktiken von Hackern zu verhindern. Dies begrenzt die Freiheit der Angreifer, sich mit Tools und Skripten seitlich im Netzwerk zu bewegen.