Die Bedrohungslage ist so hoch wie nie zuvor. Zu diesem Schluss kam das deutsche Bundesamt für Sicherheit in der Informationstechnik (BSI) in seinem Lagebericht zur IT-Sicherheit/Cybersecurity in Deutschland 2022. Auch Österreich ist keine Insel der Seligen.
Eine Besserung der Cybersecurity-Lage ist auch im neuen Jahr nicht in Sicht, im Gegenteil. Thomas Bruse, SVP bei GBS (DIGITALL) stellt vor, mit welchen Gefahren, Folgen und Entwicklungen IT-Sicherheitsexperten und Unternehmen im Jahr 2023 rechnen müssen.
1. Ransomware leicht gemacht
Schon 2022 waren Ransomware-Attacken die größte Bedrohung der Cybersecurity. Und in diesem Jahr werden solche Attacken weiter zunehmen, dank Ransomware-as-a-Service und der breiten Verfügbarkeit von Hacking-Tools im Dark Web. Gleichzeitig werden wir dadurch einen neuen Cybersecurity-Trend beobachten können: Ransomware-Removal-Services. Denn viele Organisationen verfügen selbst nicht über das Wissen, die Fähigkeiten und Ressourcen, um sich aus dieser misslichen Lage bestmöglich zu befreien und benötigen in Sachen Cybersecurity externe Hilfe.
2. Deepfakes als neues Angriffsmittel
Große Wahlen stehen in über 70 Ländern in diesem Jahr an. In Deutschland dürfen die Bürger beispielsweise in vier Bundesländern (Bayern, Berlin, Bremen, Hessen) ihr Kreuzchen machen. In Österreich stehen Niederösterreich, Kärnten und Salzburg auf der Liste. Nicht, dass die heimischen Landtage jetzt global auch nur die geringste Bedeutung hätten, staatlich unterstützte Hacker könnten aber trotzdem versuchen, die Wahlen zu beeinflussen, zu manipulieren oder gar zu sabotieren. Wenn auch nur dazu, um zusätzliche Unsicherheiten zu schüren.
Deepfakes – gefälschte Medieninhalte – könnten dabei als Waffe eingesetzt werden, um Desinformationen zu streuen und die Wahl in eine bestimmte Richtung zu lenken. Wie überzeugend Deepfakes heute sind, haben wir im letzten Jahr erlebt. Und auch Unternehmen müssen sich bewusst machen, dass ihre Mitarbeiter jederzeit Ziel eines Deepfake-Angriffes werden könnten. Denn die entsprechende Software ist heute nicht nur weit ausgereift, sondern auch leichter denn je zu finden.
3. Internet of Things oder Internet of Insecurity?
Laut Gartner sollen in diesem Jahr 43 Millionen IoT-Geräte im Einsatz sein. Der Druck, die Wettbewerber zu schlagen und neue Geräte vor ihnen auf den Markt zu bringen, lässt den Anbietern und Herstellern wenig Zeit, sich um die Sicherheit dieser Geräte zu kümmern. Aber selbst wenn keine sensiblen Daten auf den Geräten selbst gespeichert sind, können Kriminelle sie dennoch nutzen, um ihre Opfer zu beobachten, Informationen über sie zu sammeln und sich Zugang zu weiteren Geräten und Netzwerken zu verschaffen.
Da sich derartige Vorfälle häufen und immer mehr Sicherheitslücken bekannt werden, arbeiten Gesetzgeber weltweit daran, die Sicherheitsanforderungen für Cloud-Netzwerke, smarte Geräte, Authentifizierungs- und Zugangsbeschränkungen zu verschärfen.
4. Der Mensch ist und bleibt das größte Risiko
Der Wandel der Arbeitswelt hin zu mehr Flexibilität und Homeoffice mag in vielerlei Hinsicht vorteilhaft sein. Nicht aber im Hinblick auf die IT-Sicherheit, denn zu Hause fehlen bestimmte Kontrollmechanismen und die Aufmerksamkeit für Gefahren ist niedriger. Erhält man eine E-Mail, die einen stutzen lässt, ist kein Sitznachbar da, der mal einen kurzen Blick darauf werfen könnte.
Laut Weltwirtschaftsforum lassen sich 95 Prozent aller Cybersecurity-Probleme auf menschliche Fehler zurückführen. Daher müssen Unternehmen auch 2023 ihre Mitarbeiter kontinuierlich schulen, auf (neue) Angriffsarten vorbereiten und einfache Möglichkeiten bieten, um Verdächtiges zu melden.
5. Weniger Komplexität für mehr Sicherheit
Der Fokus bei Cloud-Investitionen wird sich in diesem Jahr in Richtung Governance und Sicherheit ausweiten – Unternehmen werden nach mehr Transparenz und Kontrolle über ihre Security-Tools streben und nur mit Providern zusammenarbeiten, die ein hohes Sicherheitsniveau garantieren können. Gleichzeitig werden sie aber auch die Anzahl dieser Anbieter verringern, gerade im Hinblick auf Angriffe auf die Software-Lieferkette. So spricht das BSI hierbei von einer „neuen, besonders beunruhigenden Bedrohung“.
Die Verringerung der Komplexität (und des Aufwands) durch die Konsolidierung von Betriebs- und Sicherheitssystemen und die Auswahl ausschließlich sicherheitszertifizierter Anbieter kann dieses Risiko verringern und für mehr Transparenz sorgen.
6. Cybersecurity im Fokus der Aufsichtsbehörden
Im letzten Jahr hat die EU den sogenannten Cyber Resilience Act vorgestellt, der die Sicherheit von Hardware- und Softwareprodukten gewährleisten soll. Dafür werden Provider ihre auf dem europäischen Markt angebotenen Lösungen künftig hinsichtlich ihrer Sicherheit akkreditieren müssen.
Noch ist der Cyber Resilience Act nicht verabschiedet. Er zeigt aber, dass die Aufsichtsbehörden endlich die Bedeutung von Cybersecurity verstehen und Hersteller entsprechend in die Pflicht nehmen werden. Man kann daher erwarten, in diesem Jahr und in den folgenden weitere IT-Sicherheitsgesetze auf lokaler und internationaler Ebene in Kraft treten werden.
Im Grunde muss jedes Unternehmen 2023 damit rechnen, Ziel eines Cyberangriffs zu werden. Wer sich mit dieser Realität auseinandersetzt, ist allerdings in der Lage, Gegenmaßnahmen zu ergreifen, das Risiko zu verringern und sich, seine Mitarbeiter, Kunden und Partner bestmöglich zu schützen.
Dr. Thomas Bruse, SVP bei DIGITALLs Tochterfirma GBS. GBS ist ein anerkannter Anbieter von E-Mail- und Collaboration-Sicherheitslösungen in Deutschland mit fast 30 Jahren Erfahrung in den Bereichen Datenschutz, Produktivität und Compliance.