Kommentar BSI-Lagebericht: Gefahr erkannt, doch nicht gebannt

Kommentar BSI-Lagebericht

Der gerade erschienene BSI-Lagebericht zeichnet ein düsteres Bild: Stetig neue Sicherheitslücken in Software, Datendiebstähle, KI-unterstützte Desinformationskampagnen und vor allem Ransomware sorgen für Schäden in Milliardenhöhe. Vor diesem Hintergrund empfiehlt der IT-Sicherheitshersteller ESET, dass Organisation schleunigst mit einem klaren Sicherheitsplan ihre IT-Security gezielt verbessern sollten. Denn Zahlen aus ESETs Cloud-Sandboxing-Lösung LiveGuard bestätigen die wachsende Bedrohung: Eines von 192 Samples, das in der Cloud-Sandbox eingeht, ist der Kategorie Zero-Day-Malware zuzuordnen.

Selbst wenn die IT-Budgets bereits ausgeschöpft sind, sollten Behörden und Unternehmen die eigenen Angriffsflächen ermittelt und dann gezielt in Lösungen investieren, die den erforderlichen Stand der IT-Security-Technik entsprechen. Ansonsten droht ein Flickenteppich der eigenen IT-Sicherheitsarchitektur: Die Gefahr ist erkannt, aber nicht gebannt.

BSI-Lagebericht: IT-Sicherheit ist ständig im Wandel

Es reicht nicht mehr aus, den Status quo lediglich durch kleinere Anpassungen verbessern zu wollen. IT-Sicherheit muss endlich als Prozess verstanden werden, den es regelmäßig zu hinterfragen und anzupassen gilt. Ein Zero Trust Reifegradmodell gibt hier Verantwortlichen eine sehr gute Orientierung und zeigt, welche Technologien eingesetzt werden sollten.

„IT-Security-Budgets sind in den letzten Jahren zum Glück gestiegen, werden aber immer noch für nicht mehr zeitgemäße Lösungen ausgegeben. Viele Unternehmen denken, das die Kombination aus Virenschutz, Firewall und Backup-Lösungen ausreicht und dem Stand der Technik entspricht. Ein Trugschluss, der vielen Organisation bereits teuer zu stehen gekommen ist“, erklärt Thorsten Urbanski, ESET Sicherheitsexperte.

Wichtig ist, dass Organisationen Sicherheitstechnologien vertrauen, die auf dem aktuellen Stand der Technik sind. Nur dann lassen sicher Cyberangriffe jeglicher Form abwehren. Auch der Blick nach vorne zeigt den „langen Arm“ der Stand der Technik in der IT-Sicherheit. Denn die Europäische Union hat mit der NIS-2-Richtlinie (Network and Information Security 2) das Security-Level von KRITIS-Unternehmen deutlich angehoben. Spätestens am 17. Oktober 2024 müssen Organisationen das aus NIS-2 abgeleitete nationale Recht umgesetzt haben.

Was ist der Stand der Technik?

Gesetze, die die Sicherheit von Unternehmen regeln, berufen sich häufig auf den Stand der Technik. Dabei handelt es sich um einen sogenannten unbestimmten Rechtsbegriff. Hiermit hat der Gesetzgeber einen Platzhalter geschaffen, der auch zukünftige Technologien in Regelungen miteinbezieht. Das bedeutet: IT-Verantwortliche müssen sich regelmäßig zum aktuellen Stand informieren und ihn in ihren Unternehmen durchsetzen, um ein hohes Schutzniveau zu erreichen.

Althergebrachtes hat ausgedient

Vormals aktuelle und richtige Methoden und Praktiken können heute bereits nicht mehr zielführend oder – im schlimmsten Fall – wirkungslos sein. In puncto Ransomware beispielsweise galten regelmäßige Backups lange als beste Gegenmaßnahme. Neue Erpressersoftware hingegen macht Backups nutzlos, da sie sich erst nach ein paar Monaten aktiviert.

Um vor solchen Angriffen sicher zu sein, bedarf es vielmehr Sicherheitslösungen, die aktiv werden, bevor es zu einer Ransomware-Infektion kommt: Eine Cloud-Sandbox führt unbekannte Software (aus z. B. E-Mail-Anhängen) in einer gesicherten Umgebung aus. Malware wird von ihren Zielsystemen separiert, bevor sie Schaden anrichten kann. Eine EDR-Lösung hilft, Ransomware-Infektionen zu erkennen, bevor sie sich verbreiten.