Security-Verantwortliche fühlen sich sicher – ihre Systeme sind es aber nicht

bild cisco anual security report90 Prozent der Sicherheitsverantwortlichen in Unternehmen sind von ihren Sicherheitsvorkehrungen überzeugt. Dies scheint tief zu sitzen, denn nur 60 Prozent gaben an, ihre Systeme regelmäßig zu aktualisieren, und lediglich 10 Prozent der Internet-Explorer-Anwender nutzen die aktuellste Version. Das zeigt der Annual Security Report 2015 [1], der in seiner neuesten Ausgabe sowohl Cybersecurity-Trends als auch die aktuelle Situation der IT-Sicherheit in Unternehmen untersucht.

Unternehmen unterschätzen die Gefahr

Im Rahmen des Reports befragte Cisco Sicherheitsführungskräfte von 1.700 Unternehmen in neun Ländern und analysierte Daten aus 70 Unternehmen sowie mehr als 800.000 Nutzern und Hosts weltweit. Demnach denken drei von vier CISOs, das ihre Sicherheitstools sehr oder extrem effektiv sind, in Deutschland sind es 43 Prozent. Jedoch nutzt weltweit weniger als die Hälfte der Sicherheitsverantwortlichen Standardtools wie Patching und Konfigurationsmanagement, um Anwendungen und Systeme immer auf dem neuesten Stand zu halten. Zum Beispiel sind trotz der bekannten Sicherheitslücke Heartbleed immer noch 56 Prozent aller installierten OpenSSL-Versionen mehr als vier Jahre alt.

Unternehmen sind ständig von Schadprogrammen betroffen. Die Malware versucht, auf dem betroffenen Host unerkannt zu bleiben, um so langfristig Daten auslesen zu können. Dies ist offenbar ein Grund dafür, dass sich IT-Sicherheitsteams deutlich sicherer fühlen als sie es tatsächlich sind.

Angreifer nutzen intelligente, professionelle Methoden

Online-Kriminelle verändern ihre Methoden, damit Angriffe immer schwerer zu entdecken sind. Dies zeigen die von Cisco ermittelten drei Top-Trends.

  • Snowshoe Spam: Bei der inzwischen sehr häufig verwendeten Methode senden Angreifer jeweils geringe Mengen Spam von einer großen Anzahl unterschiedlicher IP-Adressen, um die Erkennung zu vermeiden und kompromittierte Accounts langfristig nutzen zu können.
  • Verschleierte Web Exploits: Da häufig genutzte Exploit Kits in immer kürzeren Zeiträumen von Sicherheitsfirmen entdeckt werden, setzen Online-Kriminelle weniger bekannte Kits ein, um keine Aufmerksamkeit zu erzeugen.
  • Schädliche Kombinationen: Flash Malware kann nun mit JavaScript interagieren, um schädliche Aktivitäten zu verbergen, so dass die Angriffe schwerer zu entdecken und zu analysieren sind.

Anwender sitzen zwischen den Stühlen

Anwender sind nicht nur Ziele, sondern helfen auch häufig unbewusst den Angreifern. Cisco Threat Intelligence Research zeigt für 2014, dass Cyberkriminelle sich heute nicht mehr auf Server und Betriebssysteme konzentrieren, sondern einzelne Nutzer und Hosts gezielt angreifen. Durch Downloads von kompromittierten Seiten stiegen 2014 Silverlight-Angriffe um 228 Prozent, sowie Spam und Malvertising um 250 Prozent im Vergleich zum Vorjahr. Unternehmen sollten daher ihre Mitarbeiter als wichtigen Faktor in ihre Sicherheitsstrategie einbinden. Die Strategie für die IT-Sicherheit sollte dabei primär eine Aufgabe für die Geschäftsführung sein, denn Cybersecurity ist ein Wettbewerbsvorteil gegenüber Mitbewerbern.

»Sicherheit liegt in der Verantwortung eines jeden im Unternehmen, vom Geschäftsführer bis zum individuellen Mitarbeiter«, sagt Klaus Lenßen, Chief Security Officer bei Cisco Deutschland. »CISOs stehen vor der Aufgabe, Unternehmen über das gesamte Angriffskontinuum hinweg zu schützen. Hierzu brauchen sie Werkzeuge und umfassenden Überblick, um eine strategische Verteidigung zu implementieren, die alle Nutzer einbindet und zu ihrer eigenen Sicherheit und damit zur Sicherheit des gesamten Unternehmens beiträgt. Hierzu kann beispielsweise ein »Sicherheitsmanifest«, wie im Cisco Annual Security Report 2015 vorgeschlagen, das die Prinzipien für alle Beteiligten zusammenfasst, beitragen.«

[1] Der Cisco Annual Security Report 2015 analysiert aktuelle Sicherheitsinformationen, die von Cisco-Experten gesammelt wurden. Er bietet branchenweite Einblicke, Trends und wichtige Erkenntnisse für Cybersecurity-Entwicklungen im Jahr 2015. Der Report enthält auch Ergebnisse der Cisco Security Capabilities Benchmark Study. Diese untersucht den Sicherheitsstatus von Unternehmen sowie deren Selbsteinschätzung ihrer Verteidigungsmaßnahmen gegen Cyberangriffe. Ebenfalls diskutiert werden geopolitische Trends, globale Entwicklungen rund um Datenlokalisierung und die Wichtigkeit, Cybersecurity zu einem Vorstandsthema zu machen.