Sicher ist, dass die fortschreitende Entwicklung neuer Technologien mit einem wachsenden Bedarf an Lösungen und neuen Cybersicherheitsansätzen Hand in Hand geht, um die sich exponentiell ausweitende Angriffsfläche zu verringern, im »Smart Building« genauso wie in »Smart Cities« oder Industriewerken.

Cyberangriffe häuften sich in den letzten Wochen und Monaten. Supermärkte, öffentliche Behörden, Unis und sogar Abfallservices wurden zu Opfern solcher Attacken. Neben Medien, die darüber berichteten, gab es auch zahlreiche Studien, die auf ein Zunehmen von Cyberattacken hindeuten. Zuletzt veröffentlichte das BKA einen Lagebericht in Bezug auf Cybercrime im Jahr 2020. Daraus ist zu entnehmen, dass es allein im letzten Jahr einen Anstieg von 8 Prozent gab. Auch ist bekannt, dass nicht nur Großunternehmen zu Opfern werden, sondern auch immer häufiger klein- und mittelständische Organisationen. Keine Industrie scheint unattraktiv für Cyberkriminelle. Hinzu kommt, dass die fortschreitende Digitalisierung Hacker kreativer werden lässt und diese auch stets neue oder nicht verschlossene Sicherheitslücken ausnutzen.

»Doch nicht allein die Digitalisierung kann als Quelle allen Übels ausgemacht werden, sondern auch die Nachlässigkeit der Unternehmen, nachzurüsten und Mitarbeiter hinreichend zu schulen, vereinfacht Hackern den Zugang zu Firmennetzwerken. Cybersicherheitsmaßnahmen scheinen nach wie vor eher als eine Art Empfehlung gesehen zu werden«, behauptet Uwe Gries, Country Manager DACH von Stormshield, dem Cybersecurity-Hersteller, der Teil des Airbus-Konzerns ist.

Smart everything. Mit Blick auf die Zukunft, die nicht nur »digitaler«, sondern auch »smarter« gestaltet werden soll, fragt man sich, wie beides miteinander nach dem Prinzip der Security by Design vereinbar sein soll. Denn die »Smart everything«-Technologien halten zusätzlich zur Digitalisierung immer mehr Einzug auch in kritische Infrastrukturen und schaffen bei mangelnder Absicherung zusätzliche Einfallstore für Angreifer. Dies angesichts der Tatsache, dass viele Bereiche, wie zum Beispiel der Energie-, Finanz-, Gesundheits- und Verwaltungssektor, sowohl bei der Digitalisierung als auch bei der Implementierung von Sicherheitsmaßnahmen weiterhin Defizite aufweisen. Bedenkt man nun, dass es bereits Weiterentwicklungsansätze gibt, Städte in »Smart Cities« mit Smart Grids, Infrastrukturen 4.0 und E-Verwaltungen umzuwandeln, muss man sich vermehrt mit dem Thema Cybersicherheit auseinandersetzen. Der Grund ist einfach: Mitmenschen erachtet man für »smart« auch deshalb, weil sie in der Lage sind, Risiken abzuwägen, diese proaktiv zu meiden oder zu begrenzen und im Fall der Fälle prompt zu reagieren. Die »Smartisierung« aller Infrastrukturen sollte nach dem gleichen Prinzip erfolgen und von vornherein von adäquaten Sicherheitsmaßnahmen begleitet werden.

KRITIS. Einige der zurückliegenden Attacken zeigten deutlich, dass gerade die kritischen Infrastrukturen (KRITIS) stärker geschützt werden müssen, da genau diese fundamental für das Funktionieren einer Gesellschaft sind. Zu den KRITIS gehören unter anderem der Energie-, der Verwaltungs-, der Gesundheitssektor, sowie die Lebensmittel- und die Pharmaindustrie. Ebendiese gilt es so abzusichern, dass deren Angriffsfläche auf ein vertretbares Minimum reduziert wird.

Was in diesem Rahmen nicht vertretbar ist, zeigt das Beispiel vom Hackerangriff auf das US-Unternehmen Colonial Pipeline, deutlich. Nicht nur das betroffene Land hat über schwerwiegende Folgen zu klagen, sondern ein solcher Vorfall bewirkt oft Veränderungen auf globaler Ebene: In diesem Fall stiegen weltweit die Ölpreise. Darüber hinaus wird deutlich, dass man die von einer solchen Attacke angerichteten Schäden oftmals nicht innerhalb weniger Minuten/Stunden beheben kann, wodurch die Kosten für die Wiederinstandsetzung exponentiell wachsen. Absicherungsmaßnahmen, wie Lösungen, die auch vom Internet abgekoppelte Netzwerke und Arbeitsstationen in Echtzeit vor verdächtigem Verhalten (wie eine plötzliche Chiffrierung oder Übermittlung von protokollwidrigen Befehlen) schützen, wären hier genauso bedeutsam gewesen wie verhaltensbasiertes Firewalling. Und dies für ein Bruchteil der durch die Attacke entstandenen Schäden.

Öffentliche Hand. Ein weiterer Bereich, der zu dem Konzept »Smart City« und zumindest teilweise zu den KRITIS gehört, ist die öffentliche Hand, ein weiteres beliebtes Ziel von Cyberkriminellen. Gerade in den letzten Monaten fielen Behörden, öffentliche Einrichtungen und Krankenhäuser immer wieder Cyberattacken zum Opfer. Nicht nur die entstandenen Schäden variierten, sondern auch der jeweilige Zeitraum bis wieder alles »normal« funktionierte. Die verantwortlichen Hacker kamen durch ihre Angriffe nicht nur an sensible Daten, auch legten sie die gesamten Systeme lahm, sodass der Arbeitsalltag vieler Behörden beeinträchtigt wurde. »Gerade Organisationen der öffentlichen Hand, deren Zuverlässigkeit das Maß des Vertrauens der Bürger besonders im Hinblick auf die Handhabung von Personendaten und auf die effiziente Erbringung der Dienstleistungen ausmacht, dürfen sich nicht mit weniger als der hundertprozentigen Wahrung der Souveränität über ihre Daten und Infrastrukturen zufriedengeben.

Dazu gehören strikte Zero-Trust-Modelle zwecks Bestimmung der Zugriffe auf Daten und Ressourcen und Segmentierungsstrategien, die verhindern sollen, dass sich Attacken horizontal verbreiten«, fährt Gries fort. Auch hier würden die Kosten von Security-by-Design-Konzepten und entsprechenden Lösungen deutlich geringer ausfallen als die Kosten zur Schadensbehebung.

»Als ein auf Cybersecurity für kritische Infrastrukturen und Industrieumgebungen spezialisiertes europäisches Unternehmen, können wir nicht oft genug beteuern, dass Cybersicherheitsmaßnahmen schon längst nicht mehr als nur eine Empfehlung betrachtet werden können. Die erfolgreiche Weiterentwicklung aller erwähnten Segmente sollte ausschließlich auf einer soliden Verteidigungslinie aufbauen,« fügt Gries abschließend hinzu.

Illustration: © hvostik /shutterstock.com

662 Artikel zu „Security by Design“

NEWS | DIGITALISIERUNG | FAVORITEN DER REDAKTION | INDUSTRIE 4.0 | INTERNET DER DINGE | IT-SECURITY | KOMMENTAR | STRATEGIEN

Keine mobile Sicherheit ohne Security by Design

7. Juni 2019

Bei der Softwareentwicklung von Desktop-, Web- und Mobil-Anwendungen kommt niemand mehr an Security by Design vorbei. Software muss von Grund auf und von Anfang an sicher sein. Nur so ist sie optimal vor Cyberattacken, Datenmanipulation und Datendiebstahl geschützt. Die Anzahl von Cyberattacken steigt weiter rasant und die Angriffe werden zunehmend komplexer. Statt im Nachhinein immer…