Vor zwei Jahren schrieb ich über sieben Mythen zur Cybersicherheit, die Geschäftsrisiken schaffen und dazu führen, dass wohlmeinende Sicherheitsteams sich auf die falschen Dinge konzentrieren.
Damals befanden wir uns am Anfang einer globalen Pandemie, und sowohl unser reales als auch unser digitales Leben veränderte sich rasant – in mancher Hinsicht dauerhaft. Seitdem wurde die Welt wirtschaftlich, politisch und technologisch erschüttert. Der technologische Fortschritt hat sich ausgehend von seinem ohnehin schon schwindelerregenden Tempo noch einmal drastisch beschleunigt. Nationalstaaten, die Cyberkrieg führen, haben die finanziellen Folgen für die Bürgerinnen und Bürger unmittelbar spürbar gemacht. Nach zwei Jahren müssten diese Mythen doch völlig anders aussehen, oder?
Falsch. Wie uns die Redewendung „plus ça change“ in Erinnerung ruft: Je mehr sich die Dinge ändern, desto mehr bleiben sie gleich. Alle sieben ursprünglichen Mythen sind nach wie vor höchst relevant, doch ich möchte sieben weitere Mythen zur Cybersicherheit vorstellen, die auf der Unveränderlichkeit der menschlichen Natur beruhen.
Mythos Nr. 1: Nur eine kleine Anzahl von Social-Media-Konten ist gefälscht.
Viele Unternehmen wissen, dass sie Bots haben. Tatsächlich wissen Social-Media-Unternehmen jedoch oft nicht, wie viele Bots sie wirklich haben – und wollen es auch gar nicht wissen.
Vor einigen Jahren führten wir mit einem sozialen Netzwerk einen Machbarkeitsnachweis durch, der zeigte, dass 98 % der Anmeldungen von automatisierten Bots stammten. Das Unternehmen war sehr stolz auf sein rasantes Wachstum und blickte voller Vorfreude in die Zukunft. Doch wie sich herausstellte, hatte es nur ein Zehntel der Abonnenten, von denen es ausgegangen war.
Wie wichtig diese Erkenntnis ist, zeigt sich im Zuge der Übernahme von Twitter sehr deutlich in der Öffentlichkeit. Der Wert des Unternehmens basiert größtenteils auf der Anzahl seiner Nutzer. Elon Musks Forderung an das Unternehmen, nachzuweisen, dass Spam-Bots und gefälschte Konten weniger als 5 % ausmachen, ist eine berechtigte Erwartung seitens aller Investoren, Werbetreibenden, potenziellen Geschäftspartner und sogar der Nutzer.
Ich schätze, dass der Anteil der Bots auf Twitter eher bei 50 % oder mehr liegt. (Hinweis: Aufgrund späterer Recherchen habe ich diese Schätzung in einem neueren Blogbeitrag revidiert.) Unternehmen sollten verpflichtet sein, zu überprüfen, ob ihre Nutzer Menschen sind, und ihren Bot-Traffic wirksam zu kontrollieren und einzudämmen.
Einfach ausgedrückt: Der Erfolg bösartiger Bots deutet auf ein Sicherheitsversagen hin. Die Abwehr von Bots ist entscheidend, um die Integrität der über diese Websites verbreiteten Informationen zu gewährleisten. Ebenso wichtig sind jedoch präzise Daten, damit Unternehmen fundierte Geschäftsentscheidungen treffen können und auch andere, die mit ihnen Geschäfte tätigen, über eine verlässliche Grundlage verfügen.
Mythos Nr. 2: Bot-Abwehr ist ein internes Do-it-yourself-Projekt.
Wir haben erlebt, wie gute Unternehmen mit großen Budgets und hervorragenden technischen Fachkräften jahrelang gegen Bots gekämpft haben. Wenn wir jedoch den Bot-Traffic in diesen Unternehmen analysieren, erwarten wir zwar ausgeklügelte Bots, die sich weiterentwickelt haben, um ihre Abwehrmaßnahmen zu überwinden – doch das ist schlichtweg nicht der Fall.
Unternehmen bekämpfen Bots, indem sie IP-Adressen, Regionen und autonome Systeme blockieren. Genau hier zeigt sich die Weiterentwicklung des schädlichen Bot-Traffics: Angriffe gehen inzwischen von Hunderttausenden, ja sogar Millionen von IP-Adressen aus. Mit diesen Abwehrmaßnahmen auf Netzwerkebene kommt man jedoch nur begrenzt weit.
Mein Mantra lautet: Clientseitige Signale sind das A und O. Verhaltensbiometrie ist unverzichtbar. Browser und Gerät müssen eingehend geprüft werden. Erst die Gesamtheit all dieser Signale ermöglicht es, nicht nur Bots, sondern auch böswillige Menschen zu identifizieren.
Unternehmen glauben außerdem, sie könnten sich aus dieser Situation heraushelfen, indem sie mehr Personal einstellen. Doch es ist unmöglich, genügend IT-Fachkräfte einzustellen, um ein Problem dieses Ausmaßes zu lösen. Automatisierung lässt sich nur mit Automatisierung wirksam bekämpfen.
Mythos Nr. 3: Der Fokus sollte immer auf einer mysteriösen neuen Bedrohung liegen, die sich am Horizont abzeichnet.
Wir alle in der Sicherheitsbranche, der Technologiepresse und der Unternehmens-PR teilen die Sorge vor Bedrohungsakteuren, die ständig neue Methoden entwickeln und uns immer einen Schritt voraus sind. Doch in vielerlei Hinsicht sind die Angriffe nach wie vor dieselben und werden lediglich geringfügig angepasst.
Die meisten Bots, die wir heute beobachten, weisen denselben Entwicklungsstand auf wie vor fünf Jahren. Sie kommen lediglich aus anderen Quellen. Credential Stuffing funktioniert trotz Zwei-Faktor-Authentifizierung und/oder CAPTCHA nach wie vor. Solange der ursprüngliche Angriffsvektor erfolgreich bleibt, werden Angreifer keine neuen Angriffsvektoren entwickeln. Sie müssen lediglich einen Weg finden, neue Abwehrmaßnahmen zu umgehen.
Unternehmen müssen neu auftretende Bedrohungen berücksichtigen und versuchen, sich darauf vorzubereiten. Gleichzeitig muss die Branche jedoch auch weiterhin die Bedrohungen des vergangenen Jahres eindämmen.
Mythos Nr. 4: Die Verwaltung mehrerer Clouds ist eine schwierige Herausforderung, für die kaum verfügbare Fachkräfte benötigt werden.
Die Nutzung mehrerer Clouds ist heute für viele, wenn nicht sogar die meisten Unternehmen Realität. Ob aufgrund einer Übernahme, der Integration mit einem Partner oder einfach, um die besten Funktionen verschiedener Anbieter zu nutzen – Multi-Cloud wird uns dauerhaft begleiten.
Wenn ich Unternehmen jedoch frage, ob sie mehrere Clouds nutzen, höre ich immer wieder sinngemäß die Antwort: „Ja, leider.“ Unternehmen, die cloudübergreifend arbeiten, tun dies mitunter nur widerwillig und nutzen nicht die Chance, das Beste aus allen Welten herauszuholen.
Heutzutage gibt es keinen Grund mehr, warum die Verwaltung und Absicherung Ihrer IT-Landschaft über mehrere Clouds hinweg mühsam sein sollte. Cloud-Anbieter haben Interoperabilität in ihre Strategien integriert, und es gibt viele weitere Anbieter, deren Lösungen darauf ausgelegt sind, den Integrationsaufwand zu beseitigen, ihre Funktionen cloudübergreifend zu abstrahieren und über eine einfache, einheitliche Benutzeroberfläche bereitzustellen.
Mythos Nr. 5: Es reicht aus, die Architektur und Geräte des Unternehmens abzusichern.
Sicherheitsteams konzentrieren sich auf die Infrastruktur des Unternehmens, seine Server, Computer und Desktop-PCs – also auf alles innerhalb der Organisation. Was sie dabei weitgehend außer Acht lassen, sind die Heimnetzwerke aller Beschäftigten des Unternehmens.
Ein Angreifer könnte den CEO ins Visier nehmen, um Einblicke in Fusionen und Übernahmen oder andere strategische Informationen zu erhalten. Diese zu Geld zu machen, ist jedoch nicht so einfach wie bei einem Angriff auf einen Mitarbeiter der Kreditorenbuchhaltung oder einen IT-Administrator. In einer Zeit, in der die Arbeit im Homeoffice verbreiteter ist als je zuvor, entwickeln sich Heimnetzwerke zu einem neuen Schlupfloch für Cyberkriminelle.
Mythos Nr. 6: Sie können Ihren Mitarbeitern vertrauen.
Insider-Bedrohungen sind allein deshalb enorm im Vorteil, weil es in der menschlichen Natur liegt, von den Menschen in unserem Umfeld das Beste anzunehmen. Tatsache ist jedoch, dass man keine 50 oder 100 Mitarbeiter einstellen kann, ohne das sehr reale Risiko einzugehen, sich ein oder zwei schwarze Schafe ins Haus zu holen.
Unzufriedene Mitarbeiter hinterlassen nicht nur schlechte Bewertungen auf Glassdoor. Sie können vertrauliche Dateien auf einen USB-Stick kopieren und damit einfach das Unternehmen verlassen. Es besteht sogar zunehmend die Sorge, dass sie Schadsoftware im System hinterlassen könnten.
Ich vertrete schon lange die Theorie, dass Insider wahrscheinlich auch hinter vielen Ransomware-Angriffen stecken. Ein IT-Administrator kann problemlos eine falsche Identität im Darknet erstellen, dieser Identität Zugriff auf das System gewähren, um Schadsoftware zu installieren, und anschließend Lösegeld fordern – und sich dann dafür einsetzen, dass das Unternehmen das Lösegeld einfach zahlt. Wichtig ist, dass ich dafür bislang noch keine Belege gesehen habe, aber der Anreiz ist zweifellos vorhanden.
Mythos Nr. 7: Unsere größten Cyberbedrohungen gehen von staatlichen Akteuren aus, die es auf die Infrastruktur abgesehen haben.
Als die Colonial Pipeline vor einem Jahr angegriffen wurde und sich dadurch lange Schlangen an den Tankstellen bildeten, die den Verbrauchern an der Ostküste Unannehmlichkeiten bereiteten, sorgte dies international für großes Aufsehen.
Dennoch wird kaum oder gar nicht darüber gesprochen, dass jedes Jahr Millionen von Amerikanern online betrogen werden. Viele von ihnen sind ältere Menschen, die von ihren Ersparnissen für den Ruhestand leben. Dies stellt eine enorme Bedrohung für unser soziales Sicherungsnetz dar und kann verheerende Folgen für die Betroffenen und ihre Familien haben – weitaus schlimmere, als in einer Schlange warten und mehr für Benzin bezahlen zu müssen.
Ich habe jahrelang bei den Strafverfolgungsbehörden Cyberkriminalität untersucht – meist mit frustrierenden Ergebnissen –, und dieses Thema liegt mir sehr am Herzen. Angriffe auf unsere Infrastruktur sind ein wichtiges und sehr reales Problem, doch wenn man sich die Geschichten dieser Opfer anhört, wird deutlich, dass der weitverbreitete Cyberbetrug mehr Aufmerksamkeit erhalten sollte, als dies derzeit der Fall ist.
Wenn Sie mehr über die Verwaltung und Abwehr von Bots, die Erkennung und Eindämmung von Bedrohungen oder die Implementierung von Zero Trust in Ihrem Unternehmen erfahren möchten, finden Sie hier einige weiterführende Leseempfehlungen:
- Bot-Management: Lösungen für App-Sicherheit und -Schutz
- Distributed Cloud Bot Defense
- E-Book: Automatisierte Bedrohungen erkennen und abwehren
- F5 Distributed Cloud Services
- Mit Zero Trust Ihr Unternehmen beim Umstieg auf Remote-Arbeit absichern
- So implementieren Sie ein Zero-Trust-Sicherheitsmodell
_____
Von Dan Woods, Global Head of Intelligence bei F5
Über den Autor
Ähnliche Blogbeiträge
F5 und Equinix bündeln ihre Kräfte, um die sichere Anwendungsbereitstellung in Multicloud-Umgebungen zu vereinfachen
F5 und Equinix ermöglichen es Unternehmen, sich weltweit sicher und zuverlässig mit ihren Partnern zu vernetzen.
API-Sicherheitsrisiken und -herausforderungen
Erfahren Sie, warum APIs für die moderne App-Entwicklung unverzichtbar sind und wie Sie sie vor den häufigsten Sicherheitslücken schützen. Profitieren Sie von Expertentipps und direkt umsetzbaren Strategien.
Ein Meilenstein für die Community Impact Grants von F5
F5 feiert das fünfjährige Bestehen seines innovativen Community Impact Grant-Programms, das gemeinnützige Organisationen, bei denen sich F5-Mitarbeitende ehrenamtlich engagieren, mit Fördermitteln in Höhe von 5.000 US-Dollar unterstützt.
Mit moderner, anpassungsfähiger und sicherer Gesundheits-IT Leben retten
Die IT-Investitionen im Gesundheitswesen tragen dazu bei, die schnellsten Wege zu einer besseren Versorgung zu finden, indem sie die medizinische Betreuung näher an die Patientinnen und Patienten bringen. Viele Gesundheitsunternehmen nutzen riesige Mengen an klinischen und anderen Gesundheitsdaten, um Entwicklungen zu verfolgen und übergreifende Trends in der gesamten Gesundheitslandschaft zu erkennen. Gleichzeitig nähern sie sich einer möglichst präzisen, individuell zugeschnittenen Versorgung an.
Verbesserung der Benutzer- und Administrationserfahrung durch sicheren hybriden Zugriff
Diese Kombination aus BIG-IP Access Policy Manager und Azure Active Directory ermöglicht Identitätsföderation, zentralisierten Benutzerzugriff (über Single Sign-on) und erhöhte Anwendungssicherheit (durch Multi-Faktor-Authentifizierung) für geschäftskritische Anwendungen sowie cloudbasierte und SaaS-Anwendungen. Dieser Ansatz vereinfacht die Einrichtung und Bereitstellung, reduziert den Verwaltungsaufwand und verbessert die gesamte Administration.
Das Internet der Sicherheitsdinge
Nein, das ist keine Tirade über die Sicherheit des IoT. Es ist eine Geschichte über Veränderung – genauer gesagt über Veränderung und ihre Auswirkungen auf die Sicherheit. Veränderung ist allgegenwärtig. Es gibt unzählige Axiome und Sprichwörter über Veränderung, also ist es ...