Security News Podcast: Folge 31

Hallo und herzlich willkommen! Schön, dass Sie wieder dabei sind!

Cybergefahren gehören zu den größten Unternehmensrisiken, das wissen wir. Doch wie sieht das eigene Cyberrisiko aus? Welche neuen oder verschärften Risiken im Cyberraum gibt es? Der Security News Podcast und Marktplatz IT-Sicherheit klären auf!

Jetzt reinhören, abonnieren und mit Sicherheit immer gut informiert sein, in weniger als zehn Minuten!

BSI-Aufruf zur security.txt

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) und die Allianz für Cyber-Sicherheit (ACS) rufen Webseitenbetreiber dazu auf, eine security.txt einzurichten, um damit einen einfachen, aber wirksamen Beitrag zur eigenen IT-Sicherheit zu leisten.

Zum Hintergrund: Nur 1,8 Prozent der Webseitenbetreiber in Deutschland stellen bislang eine security.txt bereit. Das zeigen Messungen des Bundesamts für Sicherheit in der Informationstechnik (BSI) im Rahmen des Cyberdome-Projekts. Dabei ist der Aufwand gering, der Nutzen für die IT-Sicherheit eines Unternehmens jedoch erheblich: Die security.txt nach RFC 9116 gibt Sicherheitsforschenden, CERTs und anderen Meldenden einen eindeutig auffindbaren Kontakt, über den sie entdeckte Schwachstellen sicher übermitteln können. Fehlt dieser Kontakt, gehen Hinweise auf Sicherheitslücken häufig verzögert, an der falschen Stelle oder gar nicht ein.

Wer die security.txt bereitstellt, unterstützt aktiv die Erhöhung der IT-Sicherheit. So entsteht dadurch im Cyberdome-Kontext ein partizipativer Prozess: Unternehmen stellen eine security.txt zur Verfügung, der Cyberdome scannt Webseiten und teilt Erkenntnisse direkt mit dem richtigen Kontakt, damit erkannte Mängel zeitnah behoben werden. Am Ende geht es darum, Deutschland als Cybernation resilienter zu machen.

Den Link zu dem entsprechenden Informationsflyer gibt es in den Shownotes.

ENISA stärkt Rolle im CVE-Programm

Unter anderem die NATO-Kommunikations- und Informationsagentur (NCIA) schließt sich den CVE Numbering Authorities (CNAs) unter dem ENISA-Root an.

Das CVE Programm ist ein internationaler Standardkatalog für öffentlich bekannte Cybersecurity-Schwachstellen. Es vergibt weltweit eindeutige Kennungen (CVE-IDs), damit IT-Sicherheitsexperten und Unternehmen exakt über dieselbe Sicherheitslücke sprechen und Gegenmaßnahmen koordinieren können.

Die Rolle der ENISA im CVE-Programm gewinnt durch die strategische Einbindung wichtiger Akteure im globalen Ökosystem des Schwachstellenmanagements und die Überführung bestehender CNAs unter das ENISA-Root-Netzwerk stetig an Bedeutung. Aktuell gehören 20 CNAs zum ENISA-Root-Netzwerk, davon 12 direkt von der ENISA und 8 von MITRE Root zu ENISA Root.

Die Aufnahme neuer CNAs aus verschiedenen Sektoren, darunter CSIRTs, Anbieter und Lieferanten, internationale Allianzen und Sicherheitsforschungsorganisationen, unterstützt die Ziele des CVE-Programms, die globale Beteiligung auszuweiten, die Vielfalt der teilnehmenden Organisationen zu vergrößern, die Qualität zu verbessern und die operative Kapazität zu erhöhen.

Sie finden den Link zu CVE in den Shownotes.

NIS-2-Umsetzung in der Praxis

NIS-2 ist in der Wirtschaft angekommen, aber die praktische Umsetzung bleibt für viele Unternehmen anspruchsvoll. Das zeigt ein aktuelles Stimmungsbild des eco – Verband der Internetwirtschaft unter 38 Unternehmen aus dem eco-Umfeld. Die größten Herausforderungen bei der Umsetzung sehen die Befragten bei Dokumentationspflichten, Meldeprozessen mit 24-/72-Stunden-Regelungen sowie Risikoanalyse und Risikomanagement.

Das eco Stimmungsbild gibt einen Einblick in Unternehmen, die über eco Kanäle erreicht wurden und sich bereits mit NIS-2 und Cybersicherheit befassen. Selbst in diesem Umfeld wird ein deutlicher Unterstützungsbedarf sichtbar. Über ein Drittel der bereits beim BSI registrierten Unternehmen bewertet den Registrierungsprozess als „sehr kompliziert“, 53 Prozent als „in Ordnung“.

Der zusätzliche Aufwand für die Umsetzung von NIS-2 ist spürbar: Rund 15 Prozent der Antwortenden schätzen ihn als sehr hoch ein, jeweils rund 38 Prozent als hoch oder mittel. Kein Unternehmen gab an, dass durch NIS-2 kein zusätzlicher Aufwand entsteht.

Knapp 18 Prozent der teilnehmenden Unternehmen geben an, die NIS-2-Anforderungen bereits vollständig umgesetzt zu haben. Rund 36 Prozent befinden sich planmäßig in der Umsetzung, weitere knapp 18 Prozent berichten von Verzögerungen. Als besonders herausfordernd bewerten die Unternehmen vor allem Nachweispflichten und Audits mit rund 26 Prozent der Nennungen, das Meldewesen mit rund 25 Prozent sowie Risikoanalyse und Risikomanagement mit rund 21 Prozent.

Den Link zu den Ergebnissen gibt es in den Shownotes.

Risiko durch hybride Angriffe

Bei hybriden Auseinandersetzungen greifen staatliche Akteure, die oft im Verborgenen bleiben, mit Hilfe von klassischen analogen Mitteln oder Cyberattacken Wirtschaft, Verwaltung oder Infrastrukturen oder weitere Einrichtungen an. Die Angriffe können beispielsweise in Form von Brand- oder Sprengstoffanschlägen erfolgen, werden seit einigen Jahren aber zunehmend durch Cyberattacken oder auch mit Drohnen durchgeführt.

18 Prozent der Unternehmen halten eine ernsthafte Krise in Folge solcher Angriffe für äußerst wahrscheinlich, gut zwei Drittel (69 Prozent) halten es für eher wahrscheinlich. Nur 5 Prozent der Unternehmen halten ein solches Szenario für eher unwahrscheinlich, 3 Prozent für äußerst unwahrscheinlich. Das sind Ergebnisse einer aktuellen repräsentativen Befragung von Bitkom.

Drei Viertel (75 Prozent) der Unternehmen gehen davon aus, dass die politischen Spannungen zwischen Russland und der Nato oder den USA und Iran die Gefahr analoger und digitaler Angriffe auf Deutschland erhöhen. Nur ein Drittel (33 Prozent) sieht Deutschland aktuell gut auf Cyberangriffe vorbereitet.

Sie finden einen Link zur Umfrage in den Shownotes.

CSA-Initiative gegen katastrophale KI-Risiken

Die Cloud Security Alliance (CSA) hat neue Initiativen angekündigt, die Unternehmen bei der Vorbereitung auf die nächste Generation von KI-Sicherheitsherausforderungen unterstützen sollen, darunter das Projekt „Catastrophic Risk Annex“, eine neue Initiative zur Entwicklung auditierbarer Kontrollen zur Minderung katastrophaler KI-Risiken.

Die Initiative gilt als wichtiger Schritt, um Organisationen dabei zu helfen, immer leistungsfähigere KI-Systeme verantwortungsvoll zu entwickeln, einzusetzen und zu steuern und gleichzeitig die Widerstandsfähigkeit gegenüber neu auftretenden Risiken zu stärken.

Die CSA erklärt dazu: „Da KI-Systeme immer autonomer und leistungsfähiger werden, benötigen Unternehmen praxisnahe Rahmenbedingungen, die sie umsetzen können – und nicht nur theoretische Risikodiskussionen“

Sie finden einen Link zum „Catastrophic Risk Annex“ in den Shownotes.

– Diese Folge wird Ihnen präsentiert von Marktplatz IT-Sicherheit und dem Angebot Cyber Risk Score (CRS)

Transparente Bewertung von Cyberrisiken auf einen Blick

Die zunehmende Digitalisierung vergrößert die Angriffsfläche für Unternehmen. KMU kapitulieren häufig vor „Alarmmüdigkeit“, also der Überforderung durch technische Schwachstellen-Metriken ohne geschäftlichen Kontext. Um Cyberrisiken greifbar und priorisierbar zu machen, hat das Institut für Internet-Sicherheit eine neue Webapplikation entwickelt. Eine Simulation für den Cyber Risk Score (CRS).

Sie finden den Link zu diesem Angebot von Marktplatz IT-Sicherheit sowie alle anderen Links zu dieser Folge in den Show-Notes zu diesem Podcast.

Das war es für heute.

Ich freue mich, wenn wir uns bald wieder hören und auf wichtigen Events sehen, besuchen Sie den Marktplatz IT-Sicherheit und abonnieren Sie diesen Podcast und die anderen Formate auf dem Marktplatz IT-Sicherheit! Hier werden Sie mit Sicherheit gut informiert! Das war Oliver Schonschek, der News-Analyst vom Marktplatz IT-Sicherheit