Gefinkelt und versiert

Sensible Daten sind die Kronjuwelen jedes Unternehmens. »In einem Gebäude kommen wertvolle Güter in einen Safe. Für die anderen werden Sicherheitszonen eingerichtet. Das muss auch für Daten gelten«, fordert Thomas Masicek, Chief Security Officer bei T-Systems. Kleinunternehmen und KMUs sind sich vielfach des Risikos nicht bewusst, sehen Cybercrime zu eingeschränkt. Wenn aber das Produktionssys­tem ausfällt oder mit manipulierten falschen Steuerungsdaten arbeitet, kann das existenzgefährdend sein.

Cyberwelt

Seit 2014 ist ein sehr starker Anstieg von Cyber-Angriffen festzustellen. Laut Thomas Masicek werden diese immer gefinkelter, versierter und professioneller. »Die meisten Attacken erfolgen in Form von Phishing-Mails, die zu Milliarden im Umlauf sind. Für den Laien sind sie nicht mehr erkennbar.« Sogar bei T-Systems mit seinem hohen Awareness-Level haben sich Mitarbeiter bereits Schadsoftware eingefangen. Die Absende-Adresse ist heute kein Indiz mehr. Dafür sind sie zu professionell erstellt.

Phishing-Mails sind laut Masicek zumeist am eingebetteten Link erkennbar. »Es handelt sich um sehr ähnlich lautende Namen, zum Beispiel  T-System statt T-Systems.« Die Lösung für Unternehmen: Alle ähnlich klingenden domain-Namen registrieren. Sehr wichtig ist laut T-Systems, die Erkennungsmöglichkeiten zu etablieren. Bisher fehlen sie bei den meisten Unternehmen. Ein Angriff wird erst dann transparent, wenn ein Service nicht mehr zur Verfügung steht, ein Server nicht mehr läuft oder Daten nicht mehr abrufbar sind. Mit den Advanced-Cyber-Defense-Diensten von T-Systems können professionelle Angriffe erkannt und Abwehrmaßnahmen zeitnah eingeleitet werden.

Vermeidbares Lehrgeld

Das Thema Informationssicherheit wird meist erst dann aktuell, wenn ein Unternehmen Opfer eines Cybercrime-Angriffes wurde. Hundertprozentigen Schutz gibt es nicht, aber eine umfassende Cybersecurity erhöht den Sicherheitslevel. »Ich muss nur vier bis fünf Prozent vom IT-Budget dafür aufwenden«, informiert Masicek. »KMUs müssen rein theoretisch dieselben Maßnahmen etablieren wie größere Unternehmen. Denn es gibt dort idente Komponenten wie Betriebssteuerungssysteme, Office-IT, Clients und Smartphones. KMUs haben aber meist nur eine Firewall, einen Virenscanner und vielleicht einen Spamfilter beim Provider.« Diese Einzelmaßnahmen sind aber nur eine sportliche Herausforderung für geübte Hacker.

Cybersecurity

Rund drei Viertel der Cyber-Attacken gelten KMUs. Laut T-Systems gibt es zwei Schutzwege. KMUs können Daten in der Cloud durch ein vertraglich geregeltes und durch technische Maßnahmen ergänztes Vertrauensverhältnis zum Dienstleister schützen. Know-how kann auch in Form von Audits oder Assessments erworben werden. Das empfiehlt Masicek vor allem größeren KMUs. T-Systems führt unter anderem Vulnerability Assessments durch, damit der Kunde einen regelmäßigen Überblick über aktuell existierende Risiken erhält.

Cyber Security Assessment prüft das bestehende Cyber-Sicherheitsmanagement, Penetration Testing simuliert eine gezielte Attacke, Threat Detection liefert Informationen über relevante Angreifer und ihr Vorgehen, bei Clean Pipe Business aus der Cloud wird am Firmenstandort ein spezieller Router installiert, der die verschlüsselten Daten über eine gesicherte Verbindung zur Cloud-Security-Serviceplattform der Telekom leitet, wo sie mit allen zur Verfügung stehenden Verfahren geprüft wird. Durch diese Maßnahmen können KMUs erfassen, wo sie stehen, wo sich ihre Schwachpunkte befinden und wo sie investieren sollten.

Speziell im Bereich Investition sieht Thomas Masicek Handlungsbedarf für KMUs. »Sie investieren viel Geld in technische Lösungen, die aber Inselsysteme sind oder sich überschneiden, damit nicht wirksam sind beziehungsweise sich sogar negativ beeinflussen.« KMUs fehlt meist das erforderliche Fachwissen. Es nutzt nichts, wenn in der Meldung steht: Achtung, Alarm, am Server X ist Malware 08154711 identifiziert. T-Systems bietet daher Abstraktionslayer, die in einem lesbaren Format erklären, was zu tun ist, etwa dass auf den Server X der Patch Y einzuspielen ist oder am Server B der Parameter A ausgeschaltet werden muss.

»Apple hat es gut vorgemacht. Die Systeme sind intuitiv und jeder kann damit umgehen. Das muss auch in der IT-Sicherheitsbranche Stück für Stück etabliert werden. Daneben muss es natürlich weiterhin Lösungen für Spezialisten geben«, fordert Masicek und verweist auf die Forschung bei T-Systems. Das Unternehmen ist etwa eingebunden in das österreichische Sicherheitsforschungsprogramm Kiras, mit dem neue Lösungen und Konzepte für KMUs rund um Cybersecurity entwickelt werden.

Fehlender Überblick

Eine Herausforderung ist die Wahl der passenden Software-Lösung. Masicek rät jedem KMU zu einem Tag Consulting. T-Systems bietet dieses Service ebenso wie einige andere Unternehmen in Österreich, die auf Security-Consulting spezialisiert sind, an.

Der Quick Check von T-Systems, bei dem Organisation und Technik evaluiert werden, dauert einen Tag. Darauf wird ein Sicherheitskonzept aufgebaut. Rund die Hälfte der T-Systems Kunden arbeitet mit dieser Struktur. Die anderen 50 % haben eine Outsourcing-Partnerschaft und legen ihre Daten im T-Center ab, wo sie durch State-of-the-Art-Absicherungen geschützt sind – etwa mit redundanten Firewall-Konzepten, flächendeckendem zentralen Login, Intrusion-Detection-Systemen, jährlichen Audits und mehr. Egal welche Partnerschaft – für Masicek ist es wichtig, die Bedrohungen aufzuzeigen.

Heute geht es bereits um die Sicherheit für den Menschen. Das Internet of Things schreitet voran. Es kann passieren, dass die Steuerung des KFZ von außen übernommen wird. Eine Alarmanlage, die am Internet hängt, ist für professionelle Diebe kein Problem mehr – die neue Welt von Cybercrime.