Code auf einem Bildschirm

Was ist IT-Sicherheit?

Unter IT-Sicherheit sind sämtliche Planungen, Maßnahmen und Kontrollen, die dem Schutz der IT dienen, zu verstehen. IT-Schutz hat drei klassische Ziele: Die Vertraulichkeit der Informationen, die Integrität der Informationen und Systeme sowie die Verfügbarkeit der Informationen und Systeme nachhaltig zu bewahren.

01

IT-Sicherheit: eine Definition

Die IT-Sicherheit (IT-Security) bezieht sich auf die Gewährleistung von Sicherheit aller eingesetzten Informationstechniken bzw. -technologien (IT), d.h. aller Hardware- und Softwaresysteme bzw. aller Rechner- und Netzsysteme. Primäres Ziel dieser Techniken ist es, die Sicherheit der Informationsverarbeitung und der Kommunikation, die korrekte Abläufe der Hardwareoperationen und der Software- bzw. Programmsysteme voraussetzt, zu gewährleisten. Von Freiwilligkeit in Bezug auf die Implementierung solcher Sicherheitskonzepte im Geschäftssektor kann keine Rede sein: Laut momentaner Gesetzeslage sind deutsche Unternehmen dazu verpflichtet, in den Aufbau und die Umsetzung von IT-Sicherheitskonzepten zu investieren – Stichwort IT-Compliance.

Neben freiwilligen Richtlinien und einschlägigen Sicherheitsstandards wie ISO 27001, COBIT (Control Objectives for Information and Related Technology) oder ITIL (Information Technology Infrastructure Library) sorgen Gesetze, Normen und Richtlinien dafür, dass sich Unternehmen ihrer Handlungsweisen und Haftungsverpflichtungen im Bereich Informationssicherheit so umfassend wie möglich bewusst sind.

Gesetze zu Datenschutz und Informationssicherheit verfolgen das Ziel, einen verlässlichen Schutz der Unternehmensinformationen in Bezug auf Verfügbarkeit, Vertraulichkeit, Integrität und Authentizität zu schaffen. Die Einhaltung dieser Vorgaben ist zwingende Voraussetzung dafür, dass Unternehmen regelkonform bleiben.

/

02

Warum ist IT-Sicherheit so wichtig?

Unsere Alltagswelt ist durch und durch vernetzt – Themen wie Industrie 4.0 im wirtschaftlichen sowie Smart-Home-Konzepte im privaten Bereich sind längst nicht mehr wegzudenken. Deshalb ist es wohl nicht weiter verwunderlich, dass der Wirtschaftssektor und natürlich auch die Endverbraucher äußerst hohe Erwartungen an die Vertraulichkeit der Telekommunikation haben. Pro Sekunde eines jeden Tages werden unzählige Informationen in Windeseile über die verschiedensten IT-Kanäle und -Knotenpunkte verschickt und empfangen, ähnlich wie die Synapsen im Gehirn dies tun. Nicht auszudenken, was passieren würde, wenn hochsensible Daten wie Firmeninterna oder Zugangscodes für das eigene Zuhause ins Fadenkreuz von Hackern geraten; eine Horrorvorstellung für jedes Unternehmen und jede Privatperson. Daher ist es unabdingbar, insbesondere als Unternehmen, sich gegen IT-Gefahren von außen abzusichern.

03

Welche Angriffsmethoden und Gefahren bedrohen die IT-Sicherheit?

Angenommen, ein Unternehmen fällt einem Sicherheitsproblem innerhalb seiner IT anheim – was sind die unmittelbaren Konsequenzen?

Abläufe der IT-Anwendungen können etwa durch fehlerhafte Hardwarekomponenten wie Prozessoren und Speicher erheblich gestört werden und nicht korrekt verlaufen (dies kann auch durch Fehler in der Systemsoftware oder in Anwendungsprogrammen durch logische und Syntaxfehler geschehen); häufig treten auch Fehler in Netzsystemen auf, die durch Hardwarekomponenten, z. B. Kabel oder Router, oder durch die Netzwerksoftware verursacht werden. Stellt sich ein solches Szenario ein, ist es möglich, dass grundlegende Geschäftsprozesse nicht mehr einwandfrei funktionieren und dadurch erhebliche finanzielle und strukturelle Schäden sowie Imageverluste für das Unternehmen anfallen.

Weitaus fataler jedoch als eine schadhafte Soft- oder Hardware sind gezielte Cyber-Angriffe. Hacker machen es sich zur Aufgabe, sich in fremde Endpoints, Clouds und Betriebssysteme einzuschleusen und empfindliche Daten zu stehlen und die Betroffenen z. B. damit zu erpressen (Stichwort Ransomware). Die vergangenen Jahre haben gezeigt, dass Cyberkriminelle immer gewiefter werden und immer neue Angriffsmöglichkeiten entwickeln. Sie sind heute meist professionell organisiert und arbeiten mit modernster Technik. Häufige Angriffsmethoden solcher Hacker sind:

Botnetze

Cyberkriminelle binden fremde Computersysteme gerne in Botnetze ein – dabei handelt es sich um einen Zusammenschluss aus kompromittierten PCs und anderen vernetzten Geräten, die sie aus der Ferne wie Roboter steuern und für ihre Zwecke missbrauchen können. Die Endpoints werden dafür mit Schadsoftware infiziert. Ein beliebtes Einsatzgebiet für Botnetze sind etwa Distributed-Denial-of-Service-Angriffe (DDoS).

Advanced Persistent Threats (APTs)

Darunter versteht man zielgerichtete Cyberangriffe, die auf ausgewählte Opfer oder Opfergruppen abgestimmt sind und mit äußerst fortgeschrittenen, technisch ausgeklügelten Methoden arbeiten. Angreifer verschaffen sich dauerhaften Zugriff zu einem Netzwerk und weiten diesen dann Schritt für Schritt (oft, ohne dass der Betroffene es gleich merkt) auf andere Systeme aus. Dafür schleusen Cyberkriminelle meist eigens programmierte Schadsoftware ein.

Schadsoftware/Malware

Unter den Begriff Schadsoftware/Malware fallen alle Arten von Computerprogrammen, die unerwünschte oder schädliche Aktionen in einem System ausführen; zum Beispiel Viren, Würmer und Trojaner wie etwa Emotet. Je nach Schadsoftware können Netzwerke und Betriebssysteme auf diese Weise komplett lahmgelegt werden.

Ransomware

Ransomware ist Schadsoftware, die ein System verschlüsselt und den Zugriff auf die Daten nur dann wieder freigibt, wenn das Opfer ein Lösegeld (engl. „ransom“) zahlt. Diese Form der Malware ist seit einigen Jahren besonders beliebt. Bekannte Beispiele sind die Kryptotrojaner WannaCry und Petya. Häufige Verbreitungswege für Ransomware sind Spam-Mails, Phishing und Drive-by-Exploits. Letztere nutzen gezielt Schwachstellen in Browsern, Browser-Plug-ins oder Betriebssystemen aus.

Spam und Phishing

Spam bezeichnet unerwünschte E-Mails und ist ein beliebtes Mittel, um Schadsoftware zu verbreiten. Phishing-Mails sind hingegen eine besondere Art von Spam, die den Anwender dazu bewegen, eine bestimmte Aktion auszuführen – zum Beispiel Log-in- oder sogar Bankdaten preiszugeben oder Malware zu installieren.

04

Wie sieht die aktuelle Gefahrenlage der IT-Sicherheit für Unternehmen aus?

Das Risiko, Opfer von Cyberkriminalität zu werden, ist für Unternehmen extrem hoch, wenn nicht sogar allgegenwärtig. Hundertprozentige Sicherheit ist in der digitalen Welt mehr oder weniger eine Illusion. Und genau deshalb ist IT-Sicherheit nicht nur ein technisches Problem; vielmehr ist sie als Teil des Risikomanagements eines jeden Unternehmens anzusehen und auch dementsprechend zu behandeln. Daher lässt sich auch der wachsende Trend in der IT beobachten, dass zahlreiche Unternehmen viel Geld in den Schutz vor Cyberattacken investieren – oftmals ist es jedoch so, dass Unsicherheit über die richtige Herangehensweise an das Thema IT-Security besteht. Welchen Anbietern von Schutzprogrammen kann man trauen, wer hält auch, was er verspricht? Die Auswahl ist groß und wächst beständig weiter.

Hardware

Ein angemessenes, im Idealfall gut durchdachtes IT-Sicherheitskonzept gegen die gängigsten Angriffe ist erreichbar, wenn sämtliche Kompetenzen der Informations- und Kommunikationstechnik eines Unternehmens auf dem Stand der Technik richtig eingesetzt und die Mitarbeiter in die Absicherung lückenlos eingebunden werden. Gegen Angreifer mit staatlichem Hintergrund oder aus der organisierten Kriminalität fällt der Schutz extrem aufwendig aus. Dies erfordert, dass das Management des Unternehmens umfassend über die Gefahren der IT-Kriminalität sowie die Möglichkeiten von Schutzmaßnahmen aufgeklärt ist und bereit ist, Zeit, Geld und Arbeitskraft in selbige zu investieren.

Abhilfe wird durch spezialisierte Dienstleister mit Erfahrung und maßgeschneiderten Lösungen geschaffen – eine umfangreiche Vorabanalyse des Systems und eine Schulung der involvierten Mitarbeiter ist dabei essenziell.

05

Wie können Unternehmen ihre IT-Sicherheit erhöhen?

Was sind die primären Vorgehensweisen für Unternehmen, um die Sicherheit ihrer IT zu verbessern?

Awareness

Eigentlich selbsterklärend – IT-Sicherheit und Informationssicherheit sind längst nicht nur eine Frage der Technik, denn tatsächlich ist der Mensch die größte Schwachstelle in diesem Konstrukt. Cyberkriminelle nutzen Unwissenheit und Unsicherheit im Umgang mit der IT aus, indem sie sich zum Beispiel mit Social Engineering- oder Phishing-Tricks Zugang zu Netzwerken und Systemen verschaffen. Deshalb ist es wichtig, Mitarbeiter zu schulen und für IT-Risiken und IT-Sicherheit zu sensibilisieren. Empfehlenswert sind Online-Schulungen mit interaktivem Übungsteil. Mitarbeiter können diese eigenständig zu beliebiger Zeit durchführen und erhalten durch die interaktive Komponente direkt Feedback. So stellt sich schnell ein Lerneffekt ein.

Security as a Service (SaaS)

Darunter ist ein Outsourcing-Modell zu verstehen, bei dem das Security-Management an einen externen Dienstleister abgegeben wird – und zwar komplett. Dieser stellt die benötigten Schutzanwendungen bereit und übernimmt Konfiguration und Betrieb der Tools für Unternehmen.

 

Security by Design

Ein Bündel an Prozessen, die ursprünglich aus der Softwareentwicklung stammen und den IT-Schutz als ganzheitliches Konzept verstehen. Bestandteile dessen sind die Konzepterstellung, ein funktionierendes Informationsmanagement, Sicherheit im Entwicklungsprozess und auch hier wieder: umfassende Schulungen für die Mitarbeiter, die sich mit dem Thema auseinandersetzen.

Security Appliances

Wie bereits erwähnt, ist die Auswahl an Sicherheitslösungen wie Firewalls, Viren- und Malware-Scannern, Contentfiltern oder Intrusion Detection Systemen riesig; es gibt sie in verschiedenen Preis- und Leistungsklassen. Zusätzlich hat man die Wahl zwischen spezialisierten Geräten und UTM-Appliances (Unified Thread Management Appliances), wobei Letztere unterschiedliche Funktionen in einem Gerät vereinigen und demnach eher für kleinere bis mittlere Unternehmen ausgelegt sind.

06

IT-Sicherheit: Das müssen Sie wissen

Die gefährlichste Schwachstelle in der IT ist eine lückenhafte und wenig durchdachte IT-Security. Die häufig zu hörende Aussage, dass es keine hundertprozentige Sicherheit gebe, gilt jedoch auch in der IT. Trotzdem muss die IT-Sicherheit so umfassend wie möglich und gemäß regulatorischer Vorgaben ausgelegt sein.

Die Security-as-a-Service-Plattform von Myra unterstützt Sie beim Aufbau eines holistischen Sicherheitskonzeptes. Myra überwacht, analysiert und filtert schädlichen Internet-Traffic bevor virtuelle Angriffe einen realen Schaden anrichten. Unsere zertifizierte Security-as-a-Service-Plattform schützt Ihre digitalen Geschäftsprozesse vor vielfältigen Risiken wie DDoS-Attacken, Bot-Netzwerken und Angriffen auf Datenbanken.