„Die größten Schwachstellen sind Komplexität und Halbwissen“

Christian Garske: Die Zahlen von Bitkom sind nur die Spitze des Eisbergs. In Wahrheit dürfte der Schaden für die Wirtschaft noch deutlich höher sein. Die Gründe dafür sind vielfältig. Zum einen gibt es heute wesentlich mehr Schadsoftware. So werden pro Tag etwa 320.000 neue Varianten in Umlauf gebracht. Insgesamt sind wir mittlerweile bei weit mehr als 1,3 Milliarden verschiedenen Tools, mit denen Schaden angerichtet werden kann. Zum anderen können die Tools jetzt auch mehr. Dass die Angreifer sich professionalisieren, haben wir schon die letzten zwei Jahre gesehen. Der Unterschied: Während wir es früher eher mit Einzeltätern oder kleineren Gruppen zu tun hatten, finden heute die Angriffe organisiert statt, auch im staatlichen Auftrag einzelner Nationen.

Christian Garske: Emotet ist ein Makrovirus, der typischerweise über E-Mails distribuiert wird. Das Perfide an diesem Virus ist, er schneidet Kontakte mit und kann Inhalte interpretieren. Damit wird der Nutzer gezielt und individuell angesprochen. Das heißt, die Nachrichten kommen von den bekannten Kontakten und zitieren sogar E-Mails des Empfängers. Dadurch wird der eigene Alarmmodus erst einmal ausgeschaltet. Das im Zusammenhang mit Emotet etablierte Dynamit-Phishing hat sich als besonders erfolgreich erwiesen. Deshalb gehört es mittlerweile zum Repertoire anderer Krimineller, die mit ähnlicher Malware wie etwa Qakbot angreifen.

Christian Garske: Die größten Schwachstellen sind Komplexität und Halbwissen. Komplexität haben wir nicht nur in der Fachlichkeit, sondern auch in den technischen Strukturen. Die Skills, die man braucht, um mit der Masse an Technologien und Schadsoftware umzugehen, sind oft nicht ausreichend verfügbar. Es fehlt auch häufig an Strukturvorgaben innerhalb des Unternehmens, also an einem Managementsystem für Informationssicherheit, das die Risiken ständig im Blick hat und rechtzeitig gegensteuert.

Christian Garske: Für Unternehmen, die mit personenbezogenen Daten arbeiten, gilt das gleiche wie für alle anderen. Sie müssen sich überlegen, wie eine angemessene Schutzstrategie aussieht und wie hoch die Hürden sein sollten, damit ein angemessenes Schutzlevel erreicht werden kann. Was ich jeder Privatperson rate, ist, sparsam im Umgang mit den eigenen Daten zu sein. Denn überall, wo ich Daten eingebe, können diese potenziell verloren gehen. Wenn es sachliche Gründe dafür gibt, seine Daten preiszugeben, muss ich schauen, wer das Gegenüber ist. Bestelle ich also online in einem Shop, der ein Trusted-Siegel aufweist oder bei einem Anbieter, von dem ich noch nie gehört habe.

Christian Garske: Viele Unternehmen haben zwar in den vergangenen Jahren bereits Schritte unternommen, ihre IT besser zu schützen. Die meisten deutschen Unternehmen sind aber noch immer nicht auf dem Niveau, auf dem sie eigentlich sein müssten. Diese Defizite fallen in der Krise noch deutlicher ins Gewicht, wenn Unternehmen kurzfristig auch noch völlig neue Wege gehen müssen. Die Situation war ja so, dass plötzlich tausende Unternehmen innerhalb kürzester Zeit ihre Mitarbeitenden ins Homeoffice schicken mussten, ohne dass sie sich fachgerecht auf die neuen Rahmenbedingungen einstellen konnten. Fahren Unternehmen ihre IT-Kapazitäten zudem noch krisenbedingt herunter, wird es sehr schnell sehr gefährlich.

Christian Garske: Das würde ich so nicht sagen. Die Unternehmen mussten zuerst dafür sorgen, dass der Betrieb lebensfähig ist und weitergehen kann. Das ist auch erst einmal okay. Denn wenn es brennt, greife ich auch als erstes zu einem Feuerlöscher und überarbeite nicht gleich mein Brandschutzkonzept. Fatal wäre es aber, wenn ich mir dann, nachdem das Feuer gelöscht ist, das Brandschutzkonzept nicht vornehme. Wenn ich nicht rechtzeitig nachsteuere, ist es nur eine Frage der Zeit, bis etwas schiefgeht.

Christian Garske: Die Konsequenz ist, es entsteht ein Schaden. Denn die Eintrittswahrscheinlichkeit von Schäden durch Cyberkriminalität ist in den letzten Jahren massiv gestiegen. Die Folgen: Entweder steht die Produktion still oder ich habe auf die Daten und das Wissen meines Unternehmens keinen Zugriff mehr. Und wenn ich dann das Lösegeld nicht zahle, bietet der Angreifer im schlimmsten Fall meine Daten einem Konkurrenten zum Kauf an. Die strategische Frage, die sich ein Unternehmen stellen muss, ist, wie wahrscheinlich ist es, dass so ein Ereignis eintritt. Nach der Wahrscheinlichkeit bemisst sich, wieviel ich für die Absicherung dieses Risikos investieren muss.

Christian Garske: Nein, eine einfache Formel gibt es nicht, weil Unternehmen unterschiedliche Märkte besetzen. Jedes Unternehmen muss für sich definieren, wo es steht. Eine Faustregel: Je abhängiger ein Unternehmen von der digitalen Technologie ist, desto mehr muss es für IT-Sicherheit ausgeben.

Christian Garske: Da bin ich skeptisch, aber nicht, was eine sinnvolle Überprüfung von IT-Produkten betrifft. Wenn es hier einen guten Standard gäbe, wäre das ein wichtiger Schritt nach vorne. Ich denke aber nicht, dass dieses neu aufgesetzte Sicherheitssiegel zielführend ist. Denn die Vorgaben werden in der Praxis nicht überprüft. Es ist kein konkreter, technischer Nachweis erforderlich, um das Siegel zu erhalten. Es ist auch kein regelmäßiges Audit vorgesehen. Überspitzt gesagt: Das Siegel bestätigt nur, dass die Sicherheit des zertifizierten IT-Produkts theoretisch möglich ist.

Christian Garske: Das IT-Sicherheitsgesetz wurde aufgesetzt, weil es Angriffe gibt, deren Auswirkungen von gesellschaftlicher Relevanz sind wie zum Beispiel bei Energieversorgern oder im medizinischen Bereich. Jetzt wurden die Schwellwerte gesenkt, ab welcher Größe ein Unternehmen in diesen Sektoren zur kritischen Infrastruktur zählt und weitere Sektoren aufgenommen, zum Beispiel Rüstungsbetriebe und der Bereich Entsorgung. Zu den Unternehmen mit erheblicher volkswirtschaftlicher Bedeutung in Deutschland gehören Unternehmen wie die Automobil-, Chemie- und Pharmaindustrie mit ihren Zulieferketten. Auch sie unterliegen nun den besonderen Vorschriften in der IT-Sicherheit.

Christian Garske: Auf der einen Seite hängt die IT Security stark an der allgemeinen technologischen Entwicklung, denn jede Technologie kann Schwächen haben und missbraucht werden. Der Security-Spezialist muss alle diese neuen Technologien verstehen und deren Schwachpunkte erkennen. Auf der anderen Seite wird uns das Thema Künstliche Intelligenz verstärkt begleiten. Viele Bereiche, wie zum Beispiel die Anomalie-Detektion, werden sich mit KI lösen lassen. Dadurch, dass wir mit immer größeren Datenmengen konfrontiert sind, geht das auch gar nicht anders.

Christian Garske: Wir versuchen in dem Projekt, die Grenzen des bereits heute technisch Machbaren ein Stück weiter zu verschieben. Es geht vor allem darum, zum einen den Pentest so weit wie möglich zu automatisieren. Auf der anderen Seite geht es aber auch darum, mehr Kontext-Informationen zu integrieren und auszuwerten. Im Rahmen des Forschungsprojekts entwickelt einer unserer Partner einen Honeypot, der aufzeichnet, wie sich die Umgebung verhält. Wenn wir solche Informationen miteinbauen können, würden sich weitere Möglichkeiten eröffnen, mit diesem Kontext-Wissen Angriffe abzuwehren. Wir wollen es den Angreifern immer schwerer machen, noch eine Lücke in den IT-Systemen zu finden.

Christian Garske: Richtig, das ist so ein Hase-Igel-Spiel. Wenn die IT-Sicherheitsexperten aber anfangen würden, die Füße hochzulegen, hätten wir verloren. Eine einzelne Einheit kann es aber auch nicht alleine schaffen. Die IT Security lebt davon, dass auf der einen Seite die eigenen Skills stark entwickelt werden und das auch dauerhaft, auf der anderen Seite aber auch die Vernetzung zu anderen sucht. Deswegen sind die Security Communities, wie es sie zwischen den Unternehmen gibt, enorm wichtig. Ansonsten hätten es die Angreifer viel leichter.