ORF Magazin Thema: „Kriminalität im Netz explodiert“

Die alarmierenden Ergebnisse aktueller Statistiken zur massiv steigenden Internet-Kriminalität waren Inhalt eines Beitrags im ORF-Magazin „Thema“ im September 2019. Am Beispiel eines Hotels in Kärnten wurde gezeigt, wie Hacker den Betrieb lahmlegen und die Betroffenen zur Verzweiflung bringen können. Joe Pichlmayr, CEO von IKARUS Security Software, stellte dabei im Interview fest: „Es bedarf nur der kriminellen Energie und der Motivation, es zu tun. Cybercrime hat im Lauf der letzten Jahre eine unglaublich arbeitsteilige Spezialisierung erfahren. Sie können sich ähnlich wie in einem Supermarkt alles kaufen.“

Diese bedrohliche Entwicklung stellt viele Unternehmen vor massive Herausforderungen. IT-Systeme sind inzwischen in vielen Bereichen unentbehrlicher Bestandteil der täglichen Routine. Im betroffenen Hotelbetrieb funktionierten weder der Schankautomat oder der Zimmerzugang, noch konnten Abrechnungen vorgenommen werden. Jegliche Störung eines Teilsystems durch Angriffe oder Malware-Infektionen kann weitreichende Auswirkungen verursachen. Durch die steigende Verbreitung und zunehmende Komplexität der IT-Systeme sind die meist historisch gewachsenen Installation bei vielen KMU nicht mehr am aktuellen Stand der Technik. Viele neue Lösungen mit Digitalisierungsansatz erfordern flexible Kommunikation und werden allzu oft ohne sicherheitsrelevante Überlegungen in bestehende Landschaften implementiert. Oft fehlt das nötige Bewusstsein für mögliche Beeinträchtigungen und wichtige Gegenmaßnahmen – bis es zu einem Zwischenfall kommt.

Lesen Sie 5 strategische Schritte, mit denen jedes Unternehmen seinen IST-Stand abgleichen sowie konkrete Best-Practice-Tätigkeiten planen und umsetzen kann:

• Umfassende Planung & vollständige Dokumentation
  Erfassen Sie lückenlos alle vorhandenen IT-Systeme in Ihrem Unternehmen – eigene sowie externe von Dritten. Die groben Aufgaben und einzelnen Teilfunktionen für Ihren Geschäftsablauf sollen dabei nach Priorität und Auswirkung festgehalten werden. Schon beim Einkauf und der Beauftragung von neuen Systemen oder ganzen Anlagen soll der IT-Beauftragte oder der externe IT-Dienstleister von Beginn an mit einbezogen werden. IT-Sicherheit von allen Systemen – Zutrittssystemen, Videoüberwachung, Schankanlagen, Abrechnungssystemen, Haussteuerung usw. – ist am effizientesten umsetzbar, wenn diese bereit bei der Implementation integriert wird. Verlangen Sie von Ihren PartnerInnen und Zuliefernden schon in der Angebotsphase entsprechende Sicherheits-Konzepte für den gesamten Lebenszyklus des Systems.
• Umsetzung von Sicherheitszonen & Segmentierung
  Verschiedene Systeme in Ihrem Unternehmen haben unterschiedliche Aufgaben und daher auch andere, differenzierte Sicherheitsanforderungen. Teilsysteme mit hoher Priorität sollen in einem IT-Netzwerk ausreichend getrennt werden, um mögliche negative Auswirkungen einzugrenzen. Die Einteilung erfolgt nach vorher identifizierter Prozesswichtigkeit und den davon abgeleiteten Anforderungen. Die Umsetzung kann nach dem Zwiebelprinzip mit Schichten von innen nach außen realisiert sein. Im Kern befindet sich z.B. ein besonders wichtiges Zutrittssystem oder eine komplexe Maschinensteuerung, die vielleicht auch physikalisch isoliert ist. In einer zweiten Ebene sind auch ablaufrelevante Systeme, wie Planungs-, Logistik- oder andere höhere Steuersysteme zu finden. Auf der letzten Stufe sind immer deutlich getrennt von den darunterliegenden Schichten die allgemeinen Büro- oder auch Gästenetzwerke zu finden.
• Zugriffskontrollen nach dem Prinzip „Least Privilege“
  Gewachsene Netzwerke unterscheiden oft nicht zwischen verschiedenen Risiken und Anforderungen einzelner Teilsysteme. Um mögliche Gefahren und Beeinträchtigungen effektiv zu begrenzen, hilft nur eine Segmentierung und Einschränkung auf die wirklich nötigen Kommunikationsarten. Zwischen den einzelnen Bereichen sollen z.B. über eine Firewall nur die absolut notwendigen Zugriffe von intern vertrauenswürdigen Quellen erlaubt sein. Dadurch können sich Malware oder Hacker von allgemeinen Systemen, z.B. einem durch Web-Surfen infiziertem Bürorechner, nicht uneingeschränkt ausbreiten. Auch hierbei findet das Zwiebelprinzip Anwendung – interne Systeme greifen nur auf die nächsthöhere Ebene zu, nicht weiter. „Unsichere“ Systeme (z.B. ein Büro-Netzwerk, in dem im Internet gesurft wird) sollen sich nicht unkontrolliert auf wichtige interne Systeme (z.B. Zutritts- oder Steuerungssysteme) verbinden können.
• Laufende Updates & Kontrolle
  Alle vorhandenen IT-Systeme sollen regelmäßig und zeitnah mit Updates versorgt werden – auch jene von Drittherstellern. Kontrollieren Sie mögliche externe Zugänge von PartnerInnen und Dienstleistenden auf Rechtmäßigkeit, um möglichst keine Hintertüren offen zu lassen. Die Gesamtlandschaft soll in angemessenen Abständen (z.B. ein bis zwei mal pro Jahr) vollständig einer Überprüfung ausgesetzt sein, um festzustellen, ob alle Systeme erfasst und Regeln noch den Anforderungen entsprechen. Nötige Nachbesserungen können ein Ergebnis von solchen Untersuchungen, die die Risikominimierung unterstützen und die Betriebssicherheit erhöhen. Setzen Sie dabei auf kompetente Dienstleister und sparen Sie nicht an der falschen Stelle.
• Backup & Wiederherstellung
  Erstellen Sie für jedes System nach Dringlichkeit eine zeitliche angepasste Backupstrategie sowie einen Wiederherstellungsplan. Dabei soll nicht nur die Software, sondern auch mögliche Ausfälle der Hardware berücksichtigt werden – wo können z.B. Ersatzteile besorgt werden? Einzelne Vorgänge bei den Wiederherstellungen müssen wie Feuerübungen regelmäßig geprobt werden – nur dann ist sichergestellt, dass sie im Fehlerfall wirklich funktionieren. Für besonders wichtige Systeme sollen entsprechende Redundanzen oder mehrfache Sicherungen existieren. Berücksichtigen Sie bitte auch die Verfügbarkeit der MitarbeiterInnen oder Dienstleistenden, die Sie bei Bedarf unterstützen und die technischen Prozesse steuern und überwachen können.

IT-Sicherheit, und somit die Sicherstellung der Funktion ihres Unternehmens, ist ein stetiger Prozess und keine einmalige Umsetzung. Joe Pichlmayr geht davon aus, „dass solche Angriffe mit kriminellem Hintergrund in Zukunft noch stärker zunehmen werden. Durch die Einführung immer neuer und zusätzlicher Funktionalitäten gilt es, hierbei das IT-Gesamtsystem Ihres Unternehmens vollständig zu betrachten.“ Neben einer guten Schulung der MitarbeiterInnen für aktuelle Gefahren wie Phishing oder Ransomware sind für Erhaltung der IT-Sicherheit kompetente PartnerInnen äußerst wichtig. IKARUS als spezialisiertes österreichisches Security-Unternehmen unterstützt Sie sehr gerne!

Linktipps:

ISIS12 – InformationsSicherheitsmanagementSystem in 12 Schritten

IKARUS mail.security mit ATP: Schutz vor Ransomware, Spam und gezielten Angriffen

Malware Intrusion: 5 Schritte, wenn die eigene Website gehackt wurde