Cybersecurity

Lesen Sie mehr auf erfolgundbusiness.de

CYBERSECURITY

Sicherheit & Cloud

Andreas Weiss erklärt, welche Risiken und Sicherheitsvorteile Unternehmen kennen müssen

Datensicherheit für stabile Geschäftsprozesse

Hans-Wilhem Dünn berichtet über die aktuelle

Lage der Datensicherheit & Data Science

04 06 07

Auch eine Priorität für KMUs

Stephan Schwichtenberg spricht über die Sicherheitslage in KMU

Charly Bettke Digitalisierung und Cybersicherheit fordern Aufmerksamkeit von Unternehmen und Mitarbeitenden.

Wir beleuchten die aktuellen Themen.

IN DIESER AUSGABE

Cyberattacken: Unternehmen sollten

jetzt

den Schutz hochfahren

05

Cloud-Services aus Deutschland Weshalb Sicherheit auch eine Frage des Standortes ist

07

Der Mensch als Sicherheitsrisiko Wie Unternehmen ihre Mitarbeitenden mit Security Awareness Trainings schulen können

Projektmanager: Charly Bettke Business Development Manager: Samantha Wladyko Geschäftsführung: Richard

Båge (CEO), Philipp Colaço (Managing Director), Alexandra Lassas (Content and Production Manager), Henriette Schröder (Sales Director), Designer: Lea Hartmann

Mediaplanet-Kontakt: de.redaktion@mediaplanet.com

Coverbild: Shutterstock

Alle Artikel, die mit “in Zusammenarbeit mit“ gekennzeichnet sind, sind keine neutrale Redaktion der Mediaplanet Verlag Deutschland GmbH.

facebook.com/MediaplanetStories

@Mediaplanet_germany

Please recycle

Windräder, die plötzlich für die Fernwartung nicht mehr erreichbar sind, weil das Satellitennetzwerk ausfällt, oder Produktionshallen, die über mehrere Tage stillstehen, weil die Firmen-IT lahmgelegt ist – die Folgen von Hackerangriffen können für Unternehmen nicht nur teuer werden, sondern sogar existenzbedrohend. Mehr als 200 Milliarden Euro Schaden entstehen der deutschen Wirtschaft jährlich durch Sabotage, Spionage und Datendiebstahl. Praktisch jedes Unternehmen ist davon betroffen, unabhängig von Größe und Branche.

Die Angriffe, auf die sich die Unternehmen einstellen müssen, sind vielfältig.

Besonders häufig wird die IT-Infrastruktur mit sogenannten DDoS-Attacken lahmgelegt. Vereinfacht gesagt, werden so viele Anfragen von außen an die Firmenserver gestellt, dass diese unter der Last zusammenbrechen. Noch gefährlicher ist, wenn Schadsoftware in das Firmennetzwerk eingeschleust wird. Dabei kann es sich um Programme handeln, die gezielt Daten nach außen spielen – und womöglich die Daten im Unternehmen noch verschlüsseln und unbrauchbar machen und ein „Lösegeld“ fordern, sogenannte

Ransomware. Diese beiden Angriffsszenarien zeigen, dass eine Abwehr von Cyberangriffen an zwei Stellen ansetzen sollte: Zum einen braucht es technische Vorkehrungen, die Angriffe unmöglich machen oder zumindest erschweren. Zum anderen muss der Mensch noch stärker in den Mittelpunkt gerückt werden, denn die eigenen Mitarbeiterinnen und Mitarbeiter sind immer noch sehr häufig das Einfallstor für Cyberkriminelle, indem sie in Mails einen vermeintlich harmlosen Anhang öffnen oder auf einen unverfänglichen Link klicken. Dabei werden diese Attacken immer professioneller, weil die Angreifer vorher das Umfeld auskundschaften und dafür sorgen, dass in den Mails Details eingearbeitet sind, die diese glaubwürdig erscheinen lassen. Dazu wird häufig auch Social Engineering genutzt. Dabei besorgen sich die Cyberkriminellen über Telefonanrufe oder Mailanfragen –oder über Kontakte auf Messen und Veranstaltungen – Informationen, die sie dann für die Phishing-Mails oder Angriffe mit Schadprogrammen nutzen. Die Verantwortlichen in den Unternehmen müssen sich gegen Cyberangriffe besser wappnen als bisher, denn mit der wachsenden Bedeutung von digitalen Technologien werden diese auch immer interessanter für Attacken. Ein erfolgreicher Schutz erfordert aber auch Geld. Bisher werden im Durchschnitt weniger als zehn Prozent des IT-Budgets für ITSicherheit ausgegeben. Eigentlich sollten es 20 Prozent sein, empfehlen das Bundesamt für Sicherheit in der Informationstechnologie und Bitkom gleichermaßen. Wenn man sich die möglichen Schäden für das gesamte Unternehmen durch einen erfolgreichen Cyberangriff ansieht, dann dürfte das gut investiertes Geld sein.

Cyberattacken: Vorbereitung auf den Tag X

David Peter-Gumbel Geschäftsführer Conducttr Germany GmbH Krisensimulation Software und Services

Als Herr Maier sein Postfach öffnete, staunte er nicht schlecht: Die Hacker, die vor wenigen Stunden den zentralen E-Mail-Server übernommen hatten, verschickten nun im Namen seines Unternehmens Pressemitteilungen an alle Medien. Man sei gehackt worden und in Verhandlungen mit den Tätern. Die abgeflossenen Daten würde man zurückkaufen, die bezahlte Summe später veröffentlichen. Auch wenn dieses Beispiel einem realen Fall nur stark verkürzt nachempfunden wurde, unterstreicht es zwei wichtige Aspekte:

1. Cyberkriminelle ziehen heute alle Register, um ihre Ziele zu erreichen.

2. Die Bewältigung eines erfolgreichen Cyberangriffs kann nur gemeinsam gelingen.

Besonders in einer Zeit, in der Bedrohungslagen immer komplexer werden, gilt es, im Ernstfall schnell und stra-

tegisch in enger Abstimmung mit den anderen Abteilungen zu reagieren. Für die erfolgreiche Bewältigung müssen regelmäßig mindestens IT, Vorstand, Rechtsabteilung und Kommunikationsverantwortliche an einem Strang ziehen. Tun sie das nicht, können zu den Kosten für einen operativen IT-Ausfall auch rasch Schäden durch Reputationsverlust und verlorene Kunden hinzukommen. Nicht selten übersteigen diese die operativen Kosten deutlich. Schlimmer als Krisen sind also schlecht gemanagte Krisen. Die gute Nachricht: Cyberattacken, ITSicherheitsvorfälle und andere Sondersituationen lassen sich sehr einfach auch bereichsübergreifend trainieren. Im Rahmen von softwarebasierten Krisensimulationen können Unternehmen ihre Mitarbeiter mit nur wenigen Stunden Zeiteinsatz pro Monat ganz praktisch auf den Ernstfall vorbereiten – und zwar mit maßgeschneiderten Szenarien

entsprechend den individuellen Bedürfnissen. Moderne Krisensimulationssysteme ermöglichen die selbst gesteuerte Erstellung und Durchführung eigener Krisentrainings inhouse. Dank dieser Lösungen können Unternehmen den Umgang mit Cyberattacken, IT-Sicherheitsvorfällen und anderen Krisen ganzheitlich betrachten, Schwachstellen im Ablauf rechtzeitig erkennen und sie beheben – noch bevor der Ernstfall Wirklichkeit wird. Die Erfahrung zeigt: auch das bestaufgestellte Unternehmen wird früher oder später von einem schwerwiegenden IT-Sicherheitsvorfall getroffen. Sich auf diesen Tag X vorzubereiten, zahlt sich aus.

Die beste Vorbereitung ist, die Krise schon erlebt zu haben.

Dieser Artikel ist in Zusammenarbeit mit Conducttr entstanden.

Der Grund für die immer stärkere Verbreitung von Homeoffice ist nicht allein durch COVID zu erklären, der Siegeszug der Telearbeit hat auch ein wirtschaftliches Fundament. Teleworker haben laut einer Erhebung von tecla bis zu 7.000 Dollar pro Jahr weniger Kosten im Vergleich zu ihren Onsite Kolleg:innen. Auf Arbeitgeberseite sind sogar bis zu 11.000 Dollar pro Mitarbeiter:in und Jahr. Kein Wunder also, dass die Zahl der Remote-Arbeitenden weltweit kontinuierlich steigt, laut einer Erhebung von Global Workplace Analytics zwischen 2009 und 2020 sogar um 159 Prozent.

Immer mehr Menschen in Telearbeit Fragt man Menschen, die im Homeoffice arbeiten, geben viele an, produktiver zu sein als im Büro, da sie weniger abgelenkt sind. Für Familien ist die Möglichkeit, remote zu arbeiten, auch vielfach eine richtige Entlastung, da sich Beruf und Familie besser vereinbaren lassen. Dabei hilft es vielen schon, wenn ein Unternehmen zeitweise Homeoffice erlaubt und nur punktuell auf Onsite-Präsenz setzt. Eine Prognose von Upwork geht davon aus, dass schon in fünf oder sechs Jahren mehr als 70 Prozent aller Branchen, in denen Homeoffice möglich ist, dies auch anbieten werden.

Auch die Zahl der Cyberangriffe wächst So vielversprechend die Prognosen sind – wo viel Licht ist, ist auch Schatten. Das gilt auch für die IT, denn die Bedrohung durch Malware und Cyberviren hat mit dem Ausbau von Homeoffice und Telearbeit ebenfalls massiv zugenommen. Die Zahl der Cyberangriffe wächst und wächst. Ransomware-Attacken spielen dabei noch immer eine große Rolle, auch werden die Angriffsmethoden der Cyberakteure immer raffinierter und ändern sich schnell.

Remote zu arbeiten, ist nicht nur für viele Mitarbeitende bequem und profitabel, auch Unternehmen sparen einiges an Kosten für Miete und Energie. Allerdings sind durch Homeoffice spezielle Sicherheitsmaßnahmen erforderlich, um die gleichzeitig wachsende Zahl an Viren und Malware zuverlässig abzuwehren.

Mitarbeiter:innen und Unternehmen schützen

Im Homeoffice sind Mitarbeiter:innen besonders anfällig für verschiedene Angriffsformen wie beispielsweise PhishingScams. Noch immer werden unbekannte Links und E-Mail-Anhänge geöffnet – oder von der IT nicht genehmigte Hard- und Software genutzt. Damit Mitarbeiter:innen sicher von zu Hause arbeiten und sowohl selbst vor Datenverlust und Schadsoftware geschützt sind als auch die Sicherheit des Unternehmens nicht gefährden, müssen Arbeitgeber ihre Sicherheitsstrategien und Prozesse anpassen. Mitarbeiter:innen müssen kontinuierlich sensibilisiert und geschult werden. Es muss auch eine ITSicherheitsinfrastruktur geschaffen werden, die verhindert, dass die Cybersicherheit vulnerabel ist. Zudem muss die Implementierung neuer Technologien vorangetrieben werden.

Cybersicherheit mit XDR Durch XDR, Extended Detection and Response, kann die Cybersicherheit für Telearbeitende und Unternehmen effektiv erhöht werden. XDR-Plattformen zentralisieren sicherheitsrelevante Funktionen und Daten aus allen Systemen und Geräten

mithilfe automatisierter, kontextbasierter Analysen und Korrelation. Dies schließt mobile Endgeräte, verschiedene E-MailArchitekturen, Cloud-Anwendungen und Netzwerke ein. Über den gesamten Lebenszyklus von Angriffen hinweg lässt sich mit XDR-Plattformen ein effektives Sicherheitsmanagement gewährleisten, ein hohes Maß an Transparenz und auch Kontrolle ist gegeben.

Cyberangriffe werden mit XDR schnell identifiziert und behoben.

XDR: Die nächste Stufe in der Security-Evolution

Ein Blick auf die heutige ITLandschaft zeigt einen klaren Trend hin zu dezentralen, cloudbasierten Infrastrukturen. Im Hinblick auf die Cybersicherheit bedeutet dies eine Zunahme der Komplexität der Sicherheit von Netzwerken, insbesondere in Anbetracht der zunehmenden Verbreitung von Remote-Arbeit. Parallel dazu sehen wir die Entwicklung hin zu immer raffinierteren Cyberbedrohungen, welche sich ständig weiterentwickeln, und fast täglich sehen wir in den Medien neue Fälle von RansomwareAngriffen in Verbindung mit Sicherheitsverletzungen und Datendiebstahl. Herkömmliche Antiviren- und FirewallSoftware mag vielleicht vor einigen Jahrzehnten noch ausgereicht haben, aber sie ist für die komplexe, sich schnell verändernde Bedrohungslandschaft von heute nicht ausgelegt. Sicherheitsteams auf der ganzen Welt haben Mühe, mit den rasanten Entwicklungen von Schadsoftware Schritt zu halten. Um das eigene Unternehmen erfolgreich vor Angreifern schützen zu können, bleibt

Sicherheitsexperten keine andere Wahl, als den Angreifern immer einen Schritt voraus sein – und das erfordert fortschrittliche Sicherheitstechnologie.

Die Sicherheitstechnologie der Zukunft trägt den Namen XDR Um die Probleme größerer und schnellerer Bedrohungen sowie zunehmender Komplexität und Angriffsflächen in ITSystemen zu lösen, muss die IT-Sicherheit über den normalen Endpunktschutz hinausgehen. Der Weg in die Zukunft ist eine Weiterentwicklung der bestehenden Technologie der Endpoint Detection and Response: EDR wird zu XDR. XDR ist die Abkürzung für „Extended Detection and Response“ (erweiterte Erkennung und Reaktion) und stellt eine Weiterentwicklung von EDR und die Lösung für die heutigen Sicherheitsherausforderungen dar. Cyberangriffe betreffen in der Regel eine ganze Reihe verschiedener Bereiche innerhalb eines Unternehmens. Die von XDR gebotene Transparenz ist die einzige Möglichkeit, sich einen vollständigen Überblick

Erweiterte Erkennung und Reaktion auf Bedrohungen für alle Ebenen des Netzwerks

darüber zu verschaffen, was wann, wo und wie im Netzwerk passiert. Kontextabhängige Aktionsstränge, die bisher nur auf der Endpunktebene funktionierten, können durch die neue Technologie auf mehreren Ebenen erstellt werden: Cloud, Container, virtuelle Maschinen, IoT, Endpunkte, Server und mehr. KI-gestützte Technologien wie die „SentinelOne Singularity XDR“-Plattform sind in der Lage, Sicherheitsverletzungen nicht nur zu verhindern, sondern auch zu beheben. Die Vorbeugung ist möglich, indem KI-Modelle auf dem Gerät und in der Cloud eingesetzt werden, um dateibasierte Angriffe im Voraus zu erkennen. Mithilfe von verhaltensbasierter KI können selbst bislang unbekannte Varianten und ZeroDay-Exploits erkannt werden. Darüber hinaus ermöglicht die Automatisierung in Verbindung mit leistungsstarker Software umfangreiche Funktionen zur Schadensbehebung. Diese ermöglichen es, alle Phasen des Angriffs zu neutralisieren, sodass sich jedes Gerät stets in einem sicheren Zustand befindet.

Mehr Informationen unter: www.sentinelone.com

Autonome Bedrohungsabwehr durch fortschrittliche KI Mithilfe von KI reduziert XDR die Arbeitsbelastung von Sicherheitsanalysten, indem manuelle Prozesse weitestgehend automatisiert werden. Für jeden Endpunkt, jede Cloud-Workload, alle Container und sogar IoT-Geräte wird Schutz geboten – ganz ohne menschliches Eingreifen. Eine XDR-Plattform wie Singularity kann hoch entwickelte Bedrohungen in kürzester Zeit proaktiv identifizieren, die Produktivität des Sicherheits- oder SOC-Teams steigern und damit auch die Wirtschaftlichkeit erheblich verbessern. XDR ist die logische Weiterentwicklung von EDR und löst auf schnellere und effektivere Weise jedes der Probleme, für die die Produkte vorheriger Generationen gedacht sind –und viele weitere. Es ist eine moderne Technologie, die Threat Hunting in Echtzeit mit automatisierten Analysen und Berichten kombiniert, und das auf allen IT-Ebenen einer Organisation. Nicht zuletzt bietet XDR Unternehmen eine skalierbare, umfassendere Technologie zur Prävention und Erkennung von Bedrohungen und hilft dabei, dem allgegenwärtigen Problem des Expertenmangels mit intelligenter und zuverlässiger Automatisierung zu begegnen.

Dieser Artikel ist in Zusammenarbeit mit SentinelONE entstanden.

Cloud in Deutschland: Digital mehr Geschäft

Wer Software, Rechen- und Speicherressourcen aus der Cloud nutzt, profitiert von neuesten Technologien, reduziert Aufwand und spart Kosten. Indem Provider alle Dienste bedarfsgerecht für eine Vielzahl von Kunden bereitstellen, erzielen sie Skaleneffekte, die sie als Preisvorteile weitergeben. Vorteile, auf die im Jahr 2020 bereits jedes dritte deutsche Unternehmen setzte. Und technologische Möglichkeiten, auf die größere Firmen häufiger zugreifen, wie eine Umfrage des Statistischen Bundesamts zeigt. Abläufe digital optimieren und unterwegs flexibler reagieren – auch in kleinen und mittleren Betrieben kommt die Cloud an. Gerade dann, wenn Firmen sich mobil organisieren wollen. Beispiel Corona: Um im Homeoffice produktiv zu bleiben, Dateien auszutauschen und virtuell zusammenzuarbeiten, hat die Pandemie den Einsatz vorangetrieben.

Sicherheit und Cloud: Risiken und Vorteile kennen Egal ob technologische, rechtliche oder organisatorische Fragen – Hemmnisse wie diese bremsen die Nutzung im Mittelstand

noch aus. Um Bedenken auszuräumen, fehlen Expertise und Kapazitäten. Organisationen wie EuroCloud Deutschland, der Verband der Cloud-Computing-Wirtschaft, bieten Orientierung. Nicht anders beim Thema Sicherheit: Angriffe zielen immer öfter auf Clouds.

Worauf es ankommt: Unternehmen müssen Risiken und Sicherheitsvorteile kennen.

Schließlich lässt sich das Niveau an Schutz, das Cloud-Rechenzentren bieten, nicht im eigenen Serverraum zu vergleichbaren Konditionen erreichen. Egal ob DistributedDenial-of-Service-Attacken, Schadsoftware oder Risiken wie Log4j – Cloud-Services von heute schöpfen auch hier neueste technologische Chancen aus, erkennen Angriffe und wehren sie unter anderem mit Verfahren der künstlichen Intelligenz (KI) automatisch ab.

Trau, schau, wem!

Wertschöpfung und Cloud: Gaia-X setzt Potenziale frei Die Cloud macht KI zudem anderswo attraktiv. So erweckt sie intelligente, datengetriebene Geschäftsmodelle zum Leben. Setzt die Gesamtwirtschaft KI flächendeckend ein, lässt sich, laut Studie vom eco – Verband der Internetwirtschaft, ein Wachstum des Bruttoinlandsprodukts von über 13 Prozent bis 2025 (im Vergleich zu 2019) realisieren, was rund 488 Milliarden Euro entspricht.

Damit Wertschöpfung über Daten, KI und Cloud selbstverständlicher wird, startet Gaia-X: Die dezentrale Dateninfrastruktur löst nicht nur technologische, rechtliche und organisatorische Herausforderungen, sondern auch Sicherheitsbedenken.

Beispiel Datenschutz: Gaia-X wird einen souveränen Datenraum schaffen, um geschäftliche Informationen selbstbestimmt und souverän auszutauschen. So sollen sich ökonomische und innovative Potenziale freisetzen lassen – und das nicht nur in Deutschland, sondern in Europa und der ganzen Welt.

Zero Trust – der Name sagt, um was es geht: Diese Sicherheitsarchitektur basiert auf dem Grundsatz, dass ausnahmslos nichts und niemandem automatisch vertraut wird. Immer mehr Unternehmen setzen auf Zero-Trust-Lösungen, um sich vor Datenmussbrauch und Cyberangriffen zu schützen.

Attacken aus dem World Wide Web gibt es derzeit mehr als genug. Laut einer im August 2022 veröffentlichten Studie, die der Digitalverband Bitkom in Auftrag gegeben hat, entstehen der deutschen Wirtschaft durch Spionage, Sabotage und Diebstahl von Daten und IT-Ausrüstung jährliche Schäden in dreistelliger Milliardenhöhe – für 2022 werden 203 Milliarden Euro Schaden prognostiziert. 9 von 10 Unternehmen werden im Schnitt Opfer einer Cyberattacke und die Angreifer

werden zunehmend professioneller, sie kommen zu 51 Prozent aus dem Umfeld des organisiertenVerbrechens. Noch vor einem Jahr lag dieser Anteil erst bei 29 Prozent.

Was ist Zero Trust?

Doch was ist Zero Trust genau, wie setzen Unternehmen das Konzept um?

Hinter Zero Trust steht die Überzeugung, dass ein Unternehmen weder Mitarbeitenden noch Kunden oder Anwendungen blind vertrauen sollte – und zwar weder innerhalb noch außerhalb der Unternehmensgrenzen. Alles wird kontrolliert und geprüft. Im Wesentlichen basiert diese Lösung auf zwei Säulen: Sensible Daten werden identifiziert und ihr Fluss wird sichtbar gemacht. Zudem wird geklärt, wer wann, wo und wie auf die Daten zu-greift und was dann mit ihnen passiert.

am University of Ontario Institute of Technology ist. Im Jahr 2010 griffen Analysten von Forrester das Konzept wieder auf. Grob skizziert geht „Zero Trust“ auf Abstand vom Konzept des „Trusted Network“ innerhalbdefinierter Grenzen, das lange dominierend war. Stattdessen wird direkt bei den Daten angesetzt. Forrester stellte 2018 ein weiterentwickeltes Framework vor, Zero Trust eXtended / ZTX, mit dem die Sicherheitsarchitekturen von Unternehmen aufgebaut werden konnten.

vertrauenswürdig eingestuft werden, sondern immer einer Prüfung unterliegen. Selbst dann, wenn diese Anfragen innerhalb der Firewall des Unternehmens lokalisiert sind. Man nennt Zero Trust aus diesem Grund auch „perimeterlose Sicherheit“.

Es gibt keine definierte Unternehmensgrenze, innerhalb der nicht geprüft werden muss.

Zahl der Zero-Trust-Anwender wächst

Woher kommt Zero Trust?

Erstmalig tauchte der Begriff 1994 in einer Doktor arbeit auf. Autor war Stephen Paul Marsh, der heute heute Associate Professor für Trust Systems

Wie funktioniert Zero Trust?

Diese Architektur prüft jeden Zugriff auf ein Unternehmensnetzwerk mehrfach –durch adaptive Authentifizierung oder auch Multi-Faktor-Authentifizierung. Auf diese Weise ist die strenge Kontrolle von Anwenderzugriffen und der Schutz vor Datenverlust und Datenmissbrauch möglich.

Remote-Trend verstärkt den Bedarf

Wachsende Bedeutung erhält Zero-TrustSicherheit insbesondere auch durch den starken Trend zur Remote-Arbeit.

Hybride Belegschaften setzen eine Vielzahl von Geräten und Anwendungen ein. Umfassender Schutz sorgt dafür, dass Zugriffsanfragen niemals automatisch als

Laut einer aktuellen Erhebung der USamerikanischen Cyber-SecurityPlattform CyberTalk.org, ebenfalls von August 2022, sind 72 Prozent der befragten Organisationen und Unternehmen entweder dabei, Zero Trust einzuführen oder haben es bereits getan. 90 Prozent gaben an, dass die Förderung von Zero Trust zu ihren wichtigsten IT-Sicherheitsprioritäten gehört.

Das wird sich auszahlen. Denn der Verlust, der durch Datenschutzverstöße entsteht, kann durch Zero Trust erheblich reduziert werden.

Text Miriam Rauh

Andreas Weiss Direktor bei EuroCloud Deutschland_eco e. V., dem Verband der Cloud-Computing-Wirtschaft

ILLUSTRATION: STUDIO LH

Sicherheit ist auch eine Frage des Standortes

Ein Plädoyer für die "Cloud von hier"

Cloud-Services aus Deutschland sind im Aufwind. Kriterien wie Datenschutz und Datensicherheit, aber auch der Wunsch nach erreichbaren Ansprechpartnern vor Ort werden immer wichtiger und beflügeln den Trend zu einer souveränen "Cloud von hier".

AJe mehr der Geschäftserfolg und die Existenz eines Unternehmens von verfügbaren und sicheren IT-Systemen abhängen, desto wichtiger wird der Stellenwert der IT-Compliance.

merikanische Konzerne prägen nicht nur unseren Geschmack für Cola und Burger, sondern auch unsere Vorstellung von einer „echten Cloud“. Die großen Hyperscaler AWS, Microsoft und Google sind zum Synonym für flexible IT-Ressourcen aus dem Internet geworden. Kein Wunder, machen sie es Unternehmen doch leicht, ihre digitalen Innovationen voranzutreiben. Doch wenn es um den zuverlässigen Betrieb von geschäftskritischen Systemen geht, rücken andere Kriterien immer mehr in den Vordergrund.

Unternehmen wünschen sich einen verlässlichen Schutz für ihr intellektuelles Eigentum, sichere Lieferketten und eine vertrauensvolle Zusammenarbeit mit Partnern und Dienstleistern. Hier haben lokale Cloud-Provider die Nase vorn. Sie punkten aber nicht nur beim Datenschutz und der besseren Erreichbarkeit. Sie bieten auch noch andere Vorteile, mit denen sie gerade für viele Unternehmen zu einer echten Alternative werden.

Zukunftsfähiger Datenschutz

Nachdem der Europäische Gerichtshof 2020 das „Privacy Shield”-Datenschutzabkommen für ungültig erklärt hat, gehören die USA nicht mehr zu den “sicheren Drittländern”. Selbst wenn die Daten in EU-Rechenzentren gespeichert werden, kann nach einer aktuellen Entscheidung der Vergabekammer Baden-Württemberg

eine datenschutzrechtlich unzulässige Übermittlung von Daten vorliegen, wenn der Cloud-Provider seinen primären Sitz in den USA hat. Es ist völlig offen, wann hierfür eine neue Regelung gefunden wird und wie lange diese dann rechtlich Bestand haben wird. Deshalb sind Unternehmen mit einem lokalen CloudProvider beim Datenschutz bis auf Weiteres auf der zuverlässigeren Seite.

Datensouveränität und Rechtssicherheit

Die Standortfrage spielt nicht nur beim Datenschutz eine Rolle. Es geht auch um den Schutz vor extraterritorialen Datenzugriffen. Selbst eine Datenspeicherung im EU-Raum kann solche Zugriffe nicht zwangsläufig verhindern, wie der US CLOUD Act zeigt. Mehr Rechtssicherheit bieten Cloud-Provider, die nicht nur ihre Rechenzentren, sondern auch ihren Firmensitz in Deutschland haben. Nicht zuletzt erleichtert ein allgemeiner Gerichtsstand in Deutschland auch die rechtliche Klärung von Konflikten.

Datenhoheit ist aber nicht nur eine Frage des Standortes. Wenn Unternehmen jederzeit die Kontrolle über ihre Daten behalten wollen, müssen sie auch dafür sorgen, dass sie vor den Zugriffen unberechtigter Dritter geschützt sind. Hier geht es um Themen wie Identitäts- und Zugriffsmanagement sowie Verschlüsselung, aber auch generelle Maßnahmen, mit der die Verfügbarkeit und Sicherheit der Daten gewährleistet werden können.

Compliance first geht nur mit SecurityFirst

Je mehr der Geschäftserfolg und die Existenz eines Unternehmens von verfügbaren und sicheren IT-Systemen abhängen, desto wichtiger wird der Stellenwert der IT-Compliance. Diese setzt voraus, dass alle relevanten IT-Systeme nach aktuellen Standards vor Sicherheitsverletzungen, Ausfällen und Verlust geschützt sind – auch in der Cloud. Eine “Compliance first“-Strategie bedeutet somit immer auch eine „Security-First“-Strategie.

Je nach Unternehmen und Branche müssen unterschiedliche regulatorische Vorgaben auch auf IT-Ebene umgesetzt werden. Die Verantwortung dafür liegt beim Management des Unternehmens. Daran ändert auch ein Wechsel in die Cloud nichts.

Geteilte Verantwortung in der Cloud

Die Vorstellung, dass in der Cloud die Verantwortung für den Schutz und die Sicherheit der Daten automatisch auf den Cloud-Provider übergeht, hält sich hartnäckig. Deshalb kann man es nicht oft genug betonen: Beim Thema Sicherheit gilt in der Cloud das Prinzip der geteilten Verantwortung. Cloud-Provider sind für die Sicherheit der Infrastrukturen verantwortlich, die sie selbst administrieren und dem Kunden als Service zur Verfügung stellen. Für alles, was der Kunde in der Cloud verwaltet, ist er auch selbst verantwortlich. Je nach Cloud-Service sind das Betriebssysteme, Datenbanken, Anwendungen und Daten, aber auch die Verwaltung der Zugangsberechtigungen und der Security-Systeme.

Unternehmen, die das nicht aus eigener Kraft leisten können, profitieren von einem Cloud-Provider, der nicht nur die Infrastruktur managen kann, sondern auch die benötigten Sicherheitslösungen. Dienstleister, die wie Cronon eine lange Tradition im hochverfügbaren und sicheren Hosten von Unternehmensanwendungen haben, verfügen in der Regel auch über umfangreiches Security-Knowhow und die passenden Managed Security Services. Vom Patch-Management über Firewall- und VPN-Services bis zum DDoS-Schutz können die meisten Sicherheitsanforderungen abgedeckt und alle Maßnahmen gut aufeinander abgestimmt werden. Darüber hinaus können lokale Cloud-Provider oft flexibler agieren als globale Hyperscaler und schon auf Infrastruktur- und Netzwerkebene individuelle Sicherheitsmaßnahmen umsetzen.

Mehr Vielfalt in einer „Cloud von hier“

Je mehr Workloads in die Cloud wandern, desto vielfältiger werden auch die Anforderungen. Unterschiedliche CloudPlattformen für unterschiedliche Projekte nutzen und trotzdem alle Services bei einem Dienstleister bündeln – auch das geht mit einer „Cloud von hier“. Hiesige Cloud-Provider haben meist mehr als nur einen Cloud-Typ im Angebot. Von Public Cloud über Virtual Private Cloud bis zur Managed Private Cloud ist alles möglich, ebenso hybride Lösungen mit BareMetal-Servern sowie Container-Plattformen mit Managed Kubernetes. Wenn sie dann auch noch die Sicherheitsrichtlinien des Unternehmens einheitlich über alle Plattformen hinweg umsetzen und managen können, halten sie den ITTeams der Kunden den Rücken frei und schaffen Freiräume für neue Projekte.

Datensicherheit

WHans-Wilhelm Dünn Präsident Cyber-Sicherheitsrat Deutschland e. V.

eltweit werden jährlich mehr als 50 Zettabyte Datenvolumen generiert. Oder anders gesagt: In den vergangenen 60 Sekunden seit Lektürebeginn dieses Artikels wurden weltweit 42 Millionen WhatsApp-Nachrichten verschickt, 500 Stunden Videomaterial auf YouTube veröffentlicht und knapp 7.000 Pakete via Amazon versendet. Wo wir gehen und stehen, produzieren wir Daten – als Privatperson, Arbeitnehmer, Konsument oder Publikum. Ein Großteil wird von amerikanischen Techfirmen verarbeitet, die ihr Geschäftsmodell auf Daten aufbauen: Daten als Grundlage für Werbeplatzierungen, um Trends in der Nachfrage, Bedürfnisse und Eigenschaften von Zielgruppen zu analysieren, als Grundlage für Innovationen oder um Geschäftsrisiken zu reduzieren. Unternehmen, die Nutzerdaten nicht auswerten, wirken aus der Zeit gefallen und sehen sich mit einem Wettbewerbsnachteil konfrontiert. Datensicherheit ist in diesem Zusammenhang nicht nur eine gesetzliche Vorgabe, sondern auch Grundlage für stabile und vertrauenswürdige Geschäftsprozesse.

Nur mit validen Daten ist eine verlässliche Nutzung möglich. Angesichts einer rasanten Zunahme der Komplexität von Systemen und der Vermischung von privater und geschäftlicher Kommunikation auf Endgeräten zeigen sich große Risiken im Bereich der Datenverarbeitung.

Die Zunahme von Ransomware-Attacken illustriert, dass Datenverlust, Datenmanipulation und der damit einhergehende Reputationsverlust wirkungsvolle Druckmittel sind, um Lösegeld von betroffenen Unternehmen zu erpressen. Deutschland gehört weltweit zu den Top-5-Ländern, die von Ransomware-Attacken betroffen sind. Laut einer aktuellen Sophos-Studie waren im vergangenen Jahr 67 Prozent der Unternehmen in Deutschland mit Erpressungssoftware konfrontiert. Pro Fall entstehen dabei Kosten von durchschnittlich 1,6 Millionen Euro, wozu weitere Kosten durch Umsatzeinbußen und Betriebsunterbrechungen kommen.

Datensicherheit ist eine Grundlage für stabile Geschäftsprozesse.

Mit diesen und weiteren Herausforderungen beschäftigt sich Data Science. Hauptanliegen ist es, aus der Masse an vorliegenden Daten Wissen zu generieren, um Handlungsempfehlungen, Innovationen und Entscheidungsgrundlagen für geschäftliche Weichenstellungen abzuleiten. Inzwischen wird dies auch von externen Anbietern unter dem Namen Data Science as a Service angeboten, um beispielsweise kleinen und mittelständischen Unternehmen zu helfen, den Bereich Big Data für sich und die eigene Geschäftswelt zu nutzen. Angesichts der Zunahme des Datenvolumens und der damit einhergehenden Relevanz ist dies eine Möglichkeit, Antworten für die Zukunftsfähigkeit von Unternehmen zu entwickeln.

Mit Transparenz und Professionalität für Cybersicherheit

Unsere Welt wird immer komplexer, aber eine Sache bleibt konstant: Kaspersky setzt sich dafür ein, Kunden auf der ganzen Welt vor Cyberbedrohungen zu schützen – mit Transparenz, Professionalität sowie den besten Lösungen und Services.

25

Jahre Erfahrung in Cybersecurity

Neben der technologischen Schutzkomponente sind wir bei Kaspersky besonders auf unsere Threat Intelligence stolz, die auf 25 Jahren Erfahrung in der Suche, Erkennung und Bekämpfung von Cyberbedrohungen sowie auf globalen Daten beruht. Bedrohungsakteure weltweit nutzen unsichere Zeiten, um Kampagnen gegen Unternehmen aller Größen und Branchen aufzusetzen, und passen dafür ihre Methoden an. Mit

Threat Intelligence gewinnen Unternehmen umfassende Einblicke in die Bedrohungslandschaft und können so Risiken antizipieren.

Kostenfreien Zugang zu Kaspersky

Threat Intelligence anfordern

Deshalb bietet Kaspersky derzeit Unternehmen und Organisationen einen kostenfreien Zugang zum Kaspersky

Threat Intelligence-Resource Hub.

Kaspersky Threat Intelligence hilft dabei, komplexe Bedrohungen in Unternehmen aufzudecken, indem sie proaktive Techniken zur Bedrohungssuche

einsetzt, die von unseren hoch qualifizierten Sicherheitsexperten entwickelt werden. Unser Global Research and Analysis Team besteht aus mehr als 40 internationalen Sicherheitsexperten und ist weltweit anerkannt. Der leistungsstarke Service unterstützt die Suche in verschiedenen Datenquellen in einer einzigen Benutzeroberfläche. Durch eine Echtzeitsuche können Kunden Informationen aus allen Datenbanken abrufen. Hierzu zählen APT-, Crimeware-, ICSund Digital Footprint IntelligenceBerichte, Profile bestimmter Akteure sowie Quellen des Dark Web, Surface Web und validierte OSINT IoCs. Der für Sie kostenfreie Zugang wird zunächst für einen Monat gewährt. Nutzen Sie noch heute unser Angebot und fordern Sie unter dem Shortlink kas.pr/threat-intelligence Ihren Zugang zu Kaspersky Threat Intelligence (TI) an. Mission: eine sichere digitale Welt Kasperskys Mission ist es, eine sichere digitale Welt zu schaffen. Wir engagieren uns sowohl global als auch lokal für Cybersicherheit und arbeiten daher mit internationalen Strafverfolgungs- und Regierungs-

ISD 2022: Strategien für verschärfte IT-Sicherheitsrisiken

Am 29. und 30. September 2022 kehren die Internet Security Days (ISD) zurück ins Phantasialand bei Köln. Der eco – Verband der Internetwirtschaft e. V. und die heise Academ laden IT-Sicherheitsexpert:innen, Sicherheitsverantwortliche und Anwenderunternehmen dazu ein, sich im Rahmen der 12. ISD über aktuelle Bedrohungen und Sicherheitsstrategien auszutauschen. Zu den vier Schwerpunktthemen an zwei Tagen erwarten die Teilnehmenden 40 spannende Vorträge, Workshops und PanelDiskussionen, die das gesamte Spektrum der Cybersicherheit abbilden. Keynotes halten unter anderem Arne Schönbohm und Felix Lindner. Zu den Panels, Vorträgen und Workshops erwarten die Veranstalter rund 250 Personen vor Ort. Der Donnerstag, 29. September steht unter dem Motto „Cybercrime – The show goes on“ und „Secure World – Sicherheit für eine vernetzte Welt.“ Weiter geht’s am Freitag, 30. September mit „Vertrauen im Internet – Trust me if you can“ und „Am Anfang war die Sicherheit – ein Wunschtraum?“. Keynotes halten Arne Schönbohm, Präsident des Bundesamts für Sicherheit in der Informationstechnik, und Felix Lindner von der Recurity Labs GmbH.

Weitere Informationen und Anmeldemöglichkeit unter go.eco.de/ISD-22-IT-ZOOM

Leser erhalten mit dem Code ISD22-Partner-15 einen Rabatt auf den Ticketpreis.

organisationen wie INTERPOL im Kampf gegen Cyberkriminalität zusammen. Darüber hinaus setzen wir uns seit vielen Jahren für die Schaffung von Cybersicherheitsbewusstsein ein. Wir sensibilisieren, schulen und unterstützen Verbraucher, Unternehmen und öffentliche Organisationen weltweit, denn mehr als 80 Prozent aller Cybervorfälle lassen sich auf menschliche Fehler zurückführen.

Sicher in sozialen Medien Wir laden Sie deshalb zu einem Online-Training ein: Im Rahmen der Kaspersky Automated Security Awareness Platform (ASAP) können Sie derzeit kostenfrei an einem Kurs rund um den sicheren Umgang mit sozialen Medien und Social Engineering teilnehmen (kas.pr/asap-some). Lernen Sie in nur 20 Minuten, wie Sie sich sicher in sozialen Medien bewegen.

Haben Sie weitere Fragen? Kaspersky steht Ihnen jederzeit als verlässlicher und transparenter Ansprechpartner zur Seite.

https://kas.pr/vertrauen

FOTO: KASPERSKY

Text Hans-Wilhelm Dünn

IT-Sicherheit in KMU

– hin zu Cloud-Lösungen und weg von E-Mails

ONORDRHEIN-WESTFALENS

GRÖSSTE KONGRESSMESSE

FÜR DIE DIGITALE TRANSFORMATION IM MITTELSTAND

Experte: Stephan Schwichtenberg

Sprecher der Fachgruppe IT-Sicherheit des Bundesverbands IT-Mittelstand e. V. (BITMi) und Geschäftsführer der pi-lar GmbH

ftmals unterschätzen kleine und mittelständische Unternehmen (KMU) die Bedrohung, die Cyberangriffe für sie darstellen, dabei könnte diese laut dem Allianz Risk Barometer 2022 kaum größer sein. Denn dieses zeigt: Cybervorfälle sind das Top-Geschäftsrisiko für Unternehmen weltweit. „KMU ohne IT-Expertise sind durch einen Mangel an IT-Sicherheitsfachkräften oft besonders gefährdet“, weiß Stephan Schwichtenberg, Sprecher der Fachgruppe IT-Sicherheit des Bundesverbands IT-Mittelstand e. V. (BITMi) und Geschäftsführer der pi-lar GmbH. „Unternehmer sehen in der Absicherung der IT-Systeme oft Aufwand und Kosten ohne unmittelbaren Gewinn. Daher erhält sie nicht die nötige Priorität.“ Auf technischer Ebene sind KMU durch den Einsatz von Altsystemen sowie die fehlende Verschlüsselung und Sicherung von Daten besonders verwundbar. Das ergab eine Erhebung des Cyber-Versicherers IDVS. Da viele KMU nicht die Kapazitäten haben, ihre Daten inhouse zu sichern und ihre IT-Infrastruktur auf einem eigenen abgesicherten Server zu hosten, empfiehlt Schwichtenberg Cloud-Lösungen. „Das Unternehmen muss sich seiner Anforderungen an die Sicherheit von System und Daten bewusst sein und den CloudAnbieter entsprechend wählen. Hier lohnt es sich, einen verantwortlichen Mitarbeiter zu bestimmen und entsprechend fortzubilden.“ Oft sind aber nicht technische Schwachstellen, sondern

Der tiefste Burggraben nützt nichts, wenn das Tor nicht bewacht wird. Ganz ähnlich sieht es mit der IT-Security von Unternehmen aus. Selbst die besten technischen Maßnahmen sind verschenktes Geld, wenn menschliche Eigenschaften wie Hilfsbereitschaft, Vertrauen oder Angst von Cyberkriminellen ausgenutzt werden, um an wertvolle Daten zu gelangen. Die Dezentralisierung des Arbeitsalltages verschärft die Lage zusätzlich, da der klassische Flurfunk wegfällt und verdächtige Vorkommnisse seltener besprochen werden. Was also tun? Die Antwort lautet: Für mehr Sensibilisierung sorgen! Um die Schwachstelle Nr. 1, den Menschen, in einen zuverlässigen Schutzschild zu verwandeln, braucht es Aufklärungsarbeit – und die kann sogar Spaß machen.

Mit Security Awareness Trainings gegen Cyberattacken wappnen Stumpfes Herunterbeten und Ermahnungen waren schon zu Schulzeiten kein Garant für Lernerfolge. Daher müssen auch beim Thema IT-Security andere, kreativere Wege eingeschlagen werden, die sowohl praxisorientiert als auch unterhaltsam sind. Denn die Phishing-Betrugsmaschen strotzen ihrerseits nur so vor Kreativität. Ob per Mail oder Anruf – schon zu häufig sind gutgläubige Mitarbeitende auf sie hereingefallen und haben arglos Zugangsdaten preisgegeben oder Schadsoftware installiert.

Mit individuellen Schulungen, die sich genau am Wissensstand der Teilnehmenden orientieren, können Unternehmen den Grundstein für ein erhöhtes Sicherheitsbewusstsein bei ihren Teams legen.

stellen, sondern die Mitarbeitenden selbst Hauptangriffspunkt von Cyberangriffen. Phishing-Attacken haben sich laut der Anti Phishing Working Group im Laufe des Jahres 2021 fast verdoppelt und sind leider allzu oft erfolgreich. „Der Schwachstelle Mensch versuchen Unternehmen oft durch Schulungen entgegenzuwirken. Genauso effektiv wäre allerdings ein organisatorisches Umdenken“, sagt Schwichtenberg. „In vielen Unternehmen

Unternehmer sehen in der Absicherung der ITSysteme oft Aufwand und Kosten ohne unmittelbaren Gewinn. Daher erhält sie nicht die nötige Priorität.

gibt es nur eine begrenzte Anzahl an Mitarbeitenden, die z. B. tatsächlich E-MailKontakt zu Externen wie etwa Zulieferern haben. Hier kann die Angriffsfläche um ein Vielfaches verkleinert werden“, erklärt er. „Denn wenn nur einige wenige für die Außenkommunikation verantwortlich sind, kann die restliche Belegschaft ausschließlich über einen internen Chat kommunizieren und als Phishing-Ziel ausgeschlossen werden.“ Mit dem richtigen Ansatz und einem Auge für den Mehrwert, den IT-Sicherheit bringt, ist diese also auch für KMU keine unüberwindbare Hürde.

Der DIGITAL FUTUREcongress ist die überregionale Kongressmesse rund um die Digitalisierung für den Mittelstand und richtet sich im Herbst 2022 als hybrides Format mit entsprechenden Trends und aktuellen Technologien dann bereits zum 3. Mal an die 1. und 2. Führungsebene von KMU, aber auch größeren Unternehmen. Unter dem Motto “Rethink your Business Model” liegt der Fokus insbesondere auf den Top-Themen New Hybrid Work, PIM (Product Information Management) sowie der Entwicklung neuer Geschäftsmodelle.

Tageskarten sind mit dem 50%-Rabattcode DFC22ES5012 erhältlich unter:

Tickets

IT-Security Awareness

Warum das beste Sicherheitskonzept nur durch den Menschen perfektioniert werden kann.

Die ALSO Deutschland GmbH bietet herstellerunabhängige Trainings an, bei denen bis zu 25 Personen innerhalb von 2,5 Stunden umfassend aufgeklärt werden. Was ist Social Engineering? Welche Verantwortung tragen Anwender? Wie erkenne ich Phishing? Diese und viele weitere Fragen werden gemeinsam bearbeitet. Weitere Informationen dazu gibt es auf also.de/security-awareness

Die Antwort lautet: Für mehr Sensibilisierung sorgen! Um die Schwachstelle Nr. 1, den Menschen, in einen zuverlässigen Schutzschild zu verwandeln, braucht es Aufklärungsarbeit –und die kann sogar Spaß machen.

Als besonders spannende und realitätsnahe Maßnahme hat die ALSO Deutschland GmbH einen Security Escape Room entwickelt. Hier können Spieler selbst erleben, wie einfach Hacker und Betrüger es unter Umständen haben. Als Mitglied einer White-Hat-Hacker-Gruppe werden sie beauftragt, einen Penetrationstest in einem Unternehmen durchzuführen. Ihre Aufgabe ist es, die Zielperson zu identifizieren, sich Zugang zum Netzwerk zu verschaffen und die geheimen Unterlagen zu entwenden.

Next-Level-Maßnahmen für Security Awareness am ALSO Stand auf der it-sa

Neben dem ALSO Security Escape Room 2.0 wird auf der it-sa vom 25. bis 27. Oktober der herstellerübergreifende ALSO Security Circle präsentiert. Das ganzheitliche Security-Konzept deckt zehn relevante Sicherheitsthemen (unter anderem Security & System Management, Data Security, Endpoint & Network Security und Backup) ab und verknüpft sie sinnvoll und flexibel miteinander, um daraus einen individuellen Plan für die IT-Sicherheit zu entwickeln.

Isabel Weyerts Verbandsreferentin Presseund Öffentlichkeitsarbeit des BITMi

Dieser Artikel ist in Zusammenarbeit mit ALSO entstanden.