Was ist Cyber-Security?
Cyber-Security umfasst die Gesamtheit aller Maßnahmen im Rahmen von IT-Sicherheit, um Computer, Handys, Netzwerke, elektronische Infrastruktur und Geräte, vertrauliche Daten, geheime Dateien und digitale Kommunikation im Internet gegen Cyber-Angriffe durch Schadsoftware, also beispielsweise Malware, Ransomware oder Viren, zu schützen.
Da heutzutage so gut wie alle Unternehmen durch die voranschreitende Digitalisierung Berührungspunkte mit dem Internet haben, ist IT-Sicherheit inzwischen ein Must-Have und sollte von Management und Mitarbeitern, ob in Konzern oder KMU, ernst genommen und akribisch umgesetzt werden.
Je nach Unternehmenstyp bzw. dessen Wirtschaftssektor wurden deshalb auch auf Gesetzes-Ebene Richtlinien und Zertifizierungsrahmen erlassen – u.a. durch das Europäische Parlament oder das Bundesamt für Sicherheit in der Informationstechnik. Diese für die Sicherheit relevanten Rechtsnormen nehmen Unternehmen in die gesetzliche Pflicht, die eigene Infrastruktur beispielsweise vor Spyware durch Verschlüsselung, Access Management oder zielgerichtete IT-Governance zu schützen.
Fehlende Cyber-Security stellt für jedes Unternehmen, das sich den Fortschritt der Digitalisierung zu Nutzen machen will, ein erhebliches Sicherheitsrisiko dar. Laut eines Berichts der University of North Georgia werden seit 2013 täglich 2645 Datensätze pro Minute gestohlen. Die Dunkelziffer liegt dabei vermutlich sehr viel höher. Die Webseite https://threatmap.checkpoint.com bildet live unterschiedliche Cyber-Angriffe weltweit ab und gibt deren Zahl mit 40 bis 60 Millionen pro Tag an.
Um Cyber-Gefahren erfolgreich abwehren zu können, ist es zunächst wichtig zu wissen, welche Arten von Übergriffen es überhaupt gibt. Im Folgenden werden daher kurz fünf der häufigsten Sicherheits-Bedrohungen beschrieben:
Malware
Malware ist ein Sammelbegriff für unterschiedliche Arten von Schadsoftware, darunter Viren, Spyware, Ransomware oder Würmer. Im allgemeinen nutzt Malware bekannte und unbekannte Schwachstellen in einem Netzwerk aus, um sich Zugriff auf die dahinterliegende, kritische Infrastruktur zu verschaffen. Das heißt z.B. auf Datenbanken mit vertraulichen Kundendaten oder eigentlich verschlüsselte Firmen-Informationen, Computer von Mitarbeitern oder auch Source-Code-Repositories von (Unternehmens-) Software.
Ransomware
Ransomware ist eine spezielle Art der Malware, die besonders in den letzten Jahren stark an Verbreitung gewonnen hat. Ransomware-Angriffe sorgen dafür, dass alle System bzw. Daten und Dateien in einem Unternehmensnetzwerk Stück für Stück verschlüsselt werden. Nur der Angreifer kann diese von ihm verschlüsselten Daten wieder entschlüsseln, was er als Druckmittel nutzt, um betroffene Unternehmen zu erpressen. Entweder zahlt das Management das geforderte Lösegeld oder die Daten bleiben verschlüsselt. Je nachdem, welche Daten betroffen sind, kann ein solcher Ransomware-Angriff den Stillstand der Geschäftstätigkeit zur Folge haben.
SQL-Injections
Fast alle Unternehmen generieren Daten, die es auch verwalten muss. Hierfür werden oftmals bekannte Datenbank-Systeme verwendet, die meistens über die Structured Query Language (SQL) anzusprechen und zu bedienen sind. Sogenannte SQL-Injections bezeichnen einen Angriff über Phishing-E-Mails, der darauf abzielt, einen Datenbank-Server mit korrupten SQL-Abfragen zu füttern und auf diese Weise eigentlich nicht zugängliche Informationen einer Datenbank abzugreifen. So werden auf Unternehmens-Webseiten häufig Suchfelder intern in SQL-Abfragen umgewandelt und durch eine Datenbank gejagt. Werden diese SQL-Abfragen aber nicht korrekt implementiert, kann ein Angreifer die Suchfelder zu nutzen, um der Datenbank so gut wie alle Informationen zu entlocken.
Man-in-the-Middle
Man-in-the-Middle-Angriffe (MitM) beschreiben eine Cyber-Attacke, bei der sich der Angreifer zwischen die digitale Kommunikation zweier Systeme schaltet und dadurch den kompletten Austausch aufzeichnen oder sogar verändern kann, ohne dass die Systeme etwas davon merken.
Zero-Day-Eyploits
Bei Zero-Day-Angriffen handelt es sich um das Eindringen über bisher nicht öffentlich bekannte Schwachstellen einer Software, die erstmalig ausgenutzt werden und – in Unkenntnis des Problems – von keinem Anti-Malware-Tool abgewehrt werden können. Ein solides Cyber-Security-Konzept ist aber in der Lage, betroffene Systeme in Unternehmensnetzwerken zeitnah zu isolieren und so das Ausmaß des Schadens einzugrenzen.
Die hier aufgezählten Angriffsarten sind bei Weitem nicht vollständig. Cyber-Kriminelle entwickeln ihre Schadsoftware und Angriffsmethoden täglich weiter, um Gegenmaßnahmen der Cyber-Security wie Anti-Malware-Software, Cloud Security, Incident Response oder neue Verschlüsselungs-Techniken zu umgehen.
Wie funktioniert Cyber-Security?
Natürlich können Security-Maßnahmen nie einen hundertprozentigen Schutz gegen Cyber-Angriffe gewährleisten. Allerdings erlaubt ein konsequent auf die Abwehr von Malware, Ransomware, Spyware oder Viren ausgerichtetes Konzept, sehr viele Schwachstellen in einem Unternehmens-Netzwerk von vornherein ausschließen. Sofern sie bekannt sind. Dabei sollte das digitale Sicherheitskonzept die fünf Grundsätze der Informationssicherheit beachten, die definieren wie Daten, Dateien und andere Informationen benutzt, verarbeitet, transferiert und gespeichert werden sollen.
Availability
Um Computer-Angriffe abzuwehren meint Availability oder Verfügbarkeit von Daten, dass bestimmte Informationen innerhalb eines Unternehmens jederzeit für autorisierte Personen über definierte Zugänge verfügbar sein müssen.
Integrity
Auch die Integrität der Daten sollte kontinuierlich gewährleistet sein. Diese Forderung bedeutet, dass im Rahmen der digitalen Sicherheit gegeben sein muss, dass Daten aus der unternehmenseigenen IT-Infrastruktur nicht korrupt sind bzw. nicht von Unbefugten oder bei einer Datenübertragung verändert wurden.
Confidentiality
Der Grundsatz der Vertraulichkeit definiert, dass Daten nur den Personen oder Systemen zur Verfügung gestellt werden, die für die Einsicht oder Verarbeitung autorisiert sind. Ein Sicherheitskonzept sollte daher genau definieren, welche Personen auf welche sensible Daten Zugriff haben, damit alle Dateien und Computer im Unternehmen ausreichend geschützt sind.
Authentication
Daten müssen durch Zugriffskontrollen wie zum Beispiel 2-Faktor-Authentifizierung vor Schadsoftware geschützt sein. Zusätzlich sollten die Rechte auf Datenzugriff durch Benutzer-Gruppen und -Rollen segmentiert werden. Solche Kontrollen regeln die Authentifizierung des Benutzers und definieren, wer welche Daten lesen, schreiben und/oder verarbeiten darf.
Non-Repudiation
Bei einem Datentransfer muss gewährleistet sein, dass Sender und Empfänger auch tatsächlich die korrekten Daten übermitteln, und dass der Transfer vollständig und erfolgreich abgewickelt ist. Der Grundsatz der Non-Repudiation oder Nachweisbarkeit stellt sicher, dass keine Partei leugnen kann, eine Nachricht mit Hilfe von Verschlüsselung und/oder digitalen Signaturen gesendet oder empfangen bzw. eine Information genehmigt zu haben. Auch die Echtheit einer Unterschrift kann eindeutig festgestellt und damit nicht bestritten werden.
Damit Unternehmen Cyber-Security erfolgreich implementieren können, gibt es eine Vielzahl an Leitfäden und Frameworks, die Organisationen helfen, ein sinnvolles Konzept zu erarbeiten und umzusetzen. Fünf der wichtigsten Frameworks weltweit sind Cyber Essentials (Plus), ISO/IEC 27000-Reihe, COBIT, NIST und MITRE ATTQ&C.
Vorteile durch Cyber-Security.
Oftmals scheuen sich Unternehmen, Maßnahmen für Informationssicherheit zu ergreifen, da deren Umsetzung zeit- und kostenaufwändig sein kann, sehr tief in die Unternehmensprozesse implementiert werden muss und unter Umständen eine Restrukturierung bestehender Abläufe mit sich bringt. Die ökonomischen Vorteile von Cyber Security übersteigen allerdings deutlich den Aufwand für deren Implementierung.
Vermeiden von Kosten durch Cyber-Angriffe
Bei Angriffen – u.a. über Malware, Ransomware, mit Viren infizierte Software auf Computer oder DDoS-Attacken also den Versand von Spam-E-Mails an E-Mail-Adressen im Unternehmen – entstehen allein für die Reparatur betroffener Systeme und die Wiederherstellung ihrer Funktionstüchtigkeit teilweise enorme Kosten. Ganz zu schweigen von weiteren materiellen Verlusten durch den Diebstahl von Daten und geistigem Eigentum.
Mit gut geplanter und durchdachter Cyber-Security können sich Unternehmen gegen zahlreiche automatisierte Angriffe durch Malicious Software absichern. Darüber hinaus ist es möglich, erfolgreiche Security Breaches frühzeitig zu erkennen, einzugrenzen und somit ihre geschäftsschädigenden Auswirkungen abzumildern. Je nachdem wie umfangreich das Konzept ist, können Backups und Recovery-Strategien den Status Quo zeitnah wiederherstellen und so Ausfallzeiten und -kosten minimieren.
Vermeiden von Reputationsverlust
Je nach Wirtschaftszweig gehört lückenlose Datensicherheit zum Kompetenzausweis von Organisationen ihren Kunden gegenüber beispielsweise im Bankensektor, bei Versicherungen, Behörden oder Praxisverbänden. Transparent nach außen kommunizierbare Maßnahmen der IT-Sicherheit stärken das Vertrauen von Stakeholdern, sind damit ein USP auch im Rahmen der Neukundengewinnung und – notfalls – ein Beweis, alles technisch Mögliche an Prävention geleistet zu haben, falls ein Cyber-Angriff doch einmal gelingen sollte.
Vermeiden hoher Bußgelder
Aus Angst vor einem Reputationsverlust kommt es auch immer wieder vor, dass Unternehmen, die nur sehr wenig für IT-Sicherheit machen, verschweigen, wenn sie Opfer einer Cyber-Attacke geworden sind. Allerdings besteht bei Cyber-Angriffen im Allgemeinen ein öffentliches Interesse, da nur dann effektive Gegenmaßnahmen entwickelt werden können, wenn eine Schwachstelle in einer Software auch bekannt gemacht wird und andere Unternehmen die Möglichkeit haben, diese Schwachstelle zu beheben. Es gibt daher in vielen Ländern gesetzliche Meldepflichten und Mindestanforderungen an die IT-Sicherheitskonzepte eines Unternehmens sowie an den Umgang mit Daten, die bei Versäumnissen sehr schnell sehr teuer werden können. So musste beispielsweise der Fahrdienstvermittler Uber 2018 in den USA eine Strafe von über 148 Millionen Dollar zahlen, weil das Unternehmen seit Oktober 2016 einen Cyberangriff verschwiegen hatte, bei dem die Daten von rund 50 Millionen Fahrgästen und 7 Millionen Fahrern gestohlen wurden.
Am 25. Mai 2018 trat die europaweite Datenschutz-Grundverordnung (DSGVO) in Kraft, welche den Umgang mit personenbezogenen Daten und deren Verarbeitung für Unternehmen definiert. Sollten Unternehmen sich beim Umgang mit personen-bezogenen Daten nicht an die DSGVO halten, können, zusätzlich zum entstandenen finanziellen Schaden durch den Angriff, hohe Strafzahlungen drohen, die sich mitunter auf bis zu 4% des Jahresumsatzes belaufen (Quelle: Manager Magazin). Darüber hinaus gilt in Deutschland bereits seit Juli 2015 das IT-Sicherheitsgesetz, das Unternehmen im Bereich kritischer Infrastruktur aber auch kommerzieller Webangebote, in die Pflicht nimmt, Cyber-Angriffe dem BSI zu melden. Auch hier werden Versäumnisse mit hohen Geldstrafen geahndet. Um solche durch mangelhaftes Daten-Management verursachte Bußgelder zu vermeiden, sollten sich Unternehmen frühzeitig zur Rechtslage informieren und ein angemessenes IT-Sicherheits-Konzept implementieren.
Welche Lösung bietet Lobster?
Lobster bietet über die benutzerfreundliche, No-Code-basierte Datenintegrations-Software Lobster_data eine Vielzahl von Optionen zur Abwehr von Angriffen auf Data Assets – als Standard oder optionale Erweiterung in den verschiedenen Editionen der Software. Zu nennen sind Konfigurationsmöglichkeiten, Kommunikations-Protokolle, Module, Verwaltung von Administrationsrollen und Zugriffsrechten sowie von Mandanten und kontrolliertem Datentransfer. Gegliedert nach den fünf o.g. Grundsätzen für Informationssicherhheit stehen Unternehmen über Lobster_data folgende Sicherheits-Features zum Schutz ihrer Computer zur Verfügung:
Verfügbarkeit
- High Availability Load-Balance-System
- ausfallsicheres Load-Balance-System
- jederzeit gewährleistete Verarbeitung von Daten
- Lobster_data Cloud
- 24/7 oder 8/5 Monitoring
- Betriebsgarantie mit Null-Fehler-Toleranz bei
- Systemerstellung
- Ständige Verfügbarkeit und Sicherung in der Cloud
Integrität
- Datentransfer über alle gängigen Sicherheitsprotokolle AS2 – AS4 – HTTPS – SFTP/OFTP
- verschlüsselte Datenübertragung auch per VPN
- Überwachen des Datentransfers (auch Nachweisbarkeit)
Vertraulichkeit
- Logging von Benutzeraktivitäten
- Anbindung von Systemen per eigener DMZ
Authentizität
- 2-Faktor-Authentifizierung
- LDAP
- Zugriffsrechte, Benutzer, Mandanten
- Portalzugriff für externe Unternehmen
Nachweisbarkeit
- Logging des Datentransfers
- Monitoring des Datentransfers
- Überwachung/Validierung transferierter Daten
