Den Angreifer kennen, bevor er zuschlägt

Doch wie sollen sich Unternehmen verteidigen? Sicher ist eines: Bei Übungen wie "Lükex" geht es in erster Linie um die Absicherung kritischer Infrastrukturen und die Abwehr von Cyber-Attacken von außen. Der Aufbau von Know-How, solchen Angriffen angemessen begegnen zu können, ist aber ebenso gefragt - in der Politik wie in der Wirtschaft. Im Fußball macht dieser Tage die richtige Mischung aus Defensive und Offensive die Musik - im Umgang mit den neuen Angriffsformen ist es genauso. Wolfgang Kandek, CTO des Security-Service-Providers Qualys, erwartet etwa, dass sich Sicherheitsexperten großer Unternehmen künftig gezielter mit internationalen "Untergrundforen", die oftmals in russischer oder chinesischer Sprache betrieben würden, beschäftigten, um drohende Angriffe frühzeitig zu kennen. "Konzerne, die kritische IT-Infrastrukturen betreiben, werden ihre Topleute zudem verstärkt mit der Analyse bekannter Advanced Persistent Threats beauftragen, um erfolgreiche Angriffsvektoren besser verstehen zu lernen", prognostiziert Kandek im COMPUTERWOCHE-Gespräch.

Dass diese Analyse nötig ist, sieht auch das von RSA, dem Security-Dienstleister innerhalb der EMC Corporation, gesponserte "Security for Business Innovation Council" (SBIC) so. Das SBIC ist ein Zusammenschluss von 17 Chief Information Security Officers aus Großunternehmen wie eBay, BP, SAP, Nokia und T-Mobile USA, die regelmäßig Sicherheitskonzepte diskutieren und Empfehlungen für die Branche aussprechen. Im jüngsten SBIC-Report "Getting Ahead of Advanced Threats" vom Januar diesen Jahres heißt es: "Die meisten Unternehmen wissen nicht genug über die aktuelle Bedrohungslage sowie ihre eigenen Stärken und Schwächen bei der IT-Sicherheit, um sich angemessen verteidigen zu können." Weil die Muster der neuesten Angriffstechniken nicht ausreichend analysiert würden, könnten auch keine entsprechenden Abwehrmechanismen entwickelt werden.