IT-Sicherheit

Sobald ein Unternehmen online kommuniziert oder Daten und Informationen digital speichert und übermittelt, muss eine funktionierende IT-Sicherheit gewährleistet sein, um das Unternehmens-Know-how sowie die Daten und Systeme zu schützen.

Die Bedrohung durch Angriffe auf die IT-Infrastruktur wird von vielen Unternehmen unterschätzt, doch die Zahl der Angriffe nimmt zu und ihr Ausmaß wird immer verheerender. Aus diesem Grund ist eine umfassende IT-Sicherheit für Unternehmen unerlässlich.

Lückenlose IT-Sicherheit kann nicht durch einzelne Maßnahmen erreicht werden. Sie erfordert einen ganzheitlichen Security-Ansatz und eine lückenlose Implementierung. Dies setzt jedoch zunächst das Wissen darüber voraus, was IT-Sicherheit genau bedeutet und wie sie im Unternehmen umgesetzt werden kann.

Was ist IT-Sicherheit?

Unter IT-Sicherheit versteht man den Schutz der IT-Infrastruktur vor Schäden, Bedrohungen und Gefahren. Eine IT-Infrastruktur besteht aus Geräten, Cloud-Systemen, Rechenzentren, Netzwerken und sogar einzelnen Dateien. IT-Security gewährleistet somit den lückenlosen Schutz aller Daten sowie der Daten verarbeitenden Systeme und sollte Bestandteil jeder Unternehmensstrategie sein.

Da heute die meisten Systeme mit dem Internet verbunden sind, werden IT-Sicherheit und Cyber-Sicherheit oft gleichgesetzt. Cyber-Security erweitert die IT-Sicherheit auf den gesamten Cyber-Raum und ist damit ein wichtiger Bestandteil eines ganzheitlichen Sicherheitskonzeptes, das Unternehmen zuverlässig vor Cyber-Angriffen schützt.

Warum brauchen Unternehmen IT-Security?

Cyberkriminalität ist eine reale Bedrohung, von der in der Vergangenheit vor allem Großunternehmen betroffen waren. Mittlerweile gerät aber auch der Mittelstand zunehmend ins Visier.  Nach wie vor unterschätzen viele Unternehmen das Risiko eines Angriffs. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat im Jahr 2021 rund 14,8 Millionen Meldungen über Cyber-Angriffe an deutsche Netzbetreiber übermittelt. Die Gefahren, die von IT-Angriffen ausgehen, können grundsätzlich jedes Unternehmen treffen.   

Bereits ein einziger Schadensfall kann Unternehmen teuer zu stehen kommen. Der größte Kostenfaktor entsteht durch Geschäftsausfälle, Betriebsunterbrechungen oder Datenverluste. Laut einer Studie von IBM aus dem Jahr 2022 kostet eine Datenpanne ein Unternehmen durchschnittlich 4,35 Millionen US-Dollar. Im Einzelfall können die Kosten deutlich darüber liegen.  Schon ein kleiner Angriffspunkt kann fatale Folgen haben. Vernetzte Systeme bieten viele Vorteile, können aber auch dazu führen, dass sich ein Schaden unkontrolliert ausbreitet.  

Unternehmen tragen Verantwortung für die Daten ihrer Mitarbeitenden, Stakeholder und Kunden. Deshalb brauchen sie ein lückenloses IT-Sicherheitskonzept. IT-Security-Unternehmen verfügen über langjährige Erfahrung im Bereich der IT-Sicherheit und kennen die Feinheiten der verschiedenen Konzepte und Maßnahmen. Sie schützen das Know-how im Unternehmen sowie alle Systeme und Daten mit ganzheitlichen und individuellen Sicherheitslösungen.

Was sind die Ziele von IT-Sicherheit? 

IT-Sicherheit für Unternehmen hat primär das Ziel, die Kontinuität und den Erfolg der Geschäftstätigkeit zu gewährleisten und das Unternehmen vor wirtschaftlichen Schäden und Reputationsverlust zu schützen. Die Definition von IT-Sicherheit umfasst aber auch alle Maßnahmen, die der Minimierung von Risiken aus Gesetzes- und Compliance-Verletzungen dienen. Dazu gehören beispielsweise Initiativen zum Datenschutz, da der Verlust personenbezogener Daten von Mitarbeitenden oder Kunden erhebliche Bußgelder nach sich ziehen kann.

Welche Bereiche umfasst IT-Sicherheit?

IT-Sicherheit für Unternehmen lässt sich in folgende Bereiche einteilen:

Identity & Access Management: Die Zugangsdaten von Mitarbeitenden und Kunden stellen eine besonders begehrte Beute bei Cyberkriminellen dar. Websites wie Have I been pwend? oder Identity Leak Checker, die Milliarden von gestohlenen oder geleakten Zugangsdaten auflisten, machen dies deutlich. Dem Schutz der Konten von Mitarbeitenden und Kunden kommt deshalb eine wichtige Rolle zu. 

Zu den Technologien und Maßnahmen des Identity & Access Managements gehört die Überwachung und Durchsetzung von Passwortrichtlinien. Laut Untersuchungen des Hasso Plattner Instituts gehören „12345“, „passwort“ und „hallo“ zu den beliebtesten Passwörtern in Deutschland. IT-Sicherheitsverantwortliche in Unternehmen müssen daher darauf achten, dass Mitarbeitende und Kunden starke und lange Passwörter verwenden und nicht für mehrere Accounts das gleiche Passwort benutzen.  

Darüber hinaus sollte, wo immer möglich, ein zusätzlicher Schutz durch eine Mehr-Faktor-Authentifizierung (MFA) eingeführt werden. Dabei müssen sich die Anwender*innen mit einem zusätzlichen Code (One-Time Password, OTP) anmelden, der per SMS, Authenticator App oder Hardware-Token zur Verfügung gestellt wird. Alternativ oder ergänzend kommen biometrische Verfahren zum Einsatz, bei denen Fingerabdruck oder Gesichtserkennung zum Identitätsnachweis genutzt werden. Lösungen, die alle Funktionen für das Identity & Access Management bündeln und zur Verfügung stellen, werden häufig als EIAM (Enterprise Identity & Access Management) für die Verwaltung von internen Identitäten bzw. als CIAM (Customer Identity & Access Management) für die Verwaltung von Konten von Kunden bezeichnet.

Endpoint Security: Endgeräte sind das Einfallstor schlechthin für die Verbreitung von Viren und Trojanern. Die IT-Sicherheit in Unternehmen muss daher einen umfassenden Schutz gewährleisten. Für die Basissicherheit sorgen Virenscanner und andere Antivirenlösungen, die mit Hilfe ständig aktualisierter Signaturdatenbanken bekannte Malware zuverlässig erkennen und abwehren.

Bei neuen Bedrohungen oder so genannten Malware-losen Angriffen sind sie jedoch meist überfordert. Um die IT-Sicherheit der Endgeräte zu optimieren, sollten Unternehmen daher auf moderne EDR-Systeme (Endpoint Detection and Response) setzen, die mit Hilfe von Machine Learning und anderen Verfahren der künstlichen Intelligenz verdächtiges Verhalten auch dann erkennen können, wenn der Virenscanner nicht anspringt.

E-Mail Security: Häufig nehmen Angreifer über E-Mails Kontakt zu Mitarbeitenden auf. Diese so genannten Phishing-Mails enthalten meist Links, die auf präparierte Webseiten führen, oder mit Malware verseuchte Anhänge. Klickt der Empfänger auf den Link oder öffnet das Dokument, wird sein Computer infiziert. Phishing ist eine der häufigsten Ursachen für erfolgreiche Cyber-Einbrüche. Allein in den USA hat sich die Zahl der Phishing-Attacken nach Angaben der US-Sicherheitsbehörde FBI von 2019 bis 2021 fast verdreifacht.

Der Abwehr von Phishing-Mails kommt daher eine große Bedeutung zu. Spamfilter sind dabei die erste Verteidigungslinie. Sie klassifizieren E-Mails meist anhand von Blacklists, wobei das Ergebnis durch statistische Lernverfahren wie die Bayes-Klassifikation stetig verbessert wird. Auch Sicherheitsprotokolle wie SPF (Sender Policy Framework), DKIM (Domain Keys Identified Mail) und DMARC (Domain-based Message Authentication, Reporting and Conformance) tragen zur Abwehr von Phishing bei. Mit ihrer Hilfe können beispielsweise gefälschte Absenderadressen (Spoofing) besser erkannt werden. Schließlich kommen auch bei der Phishing-Abwehr zunehmend KI-Verfahren wie Machine Learning zum Einsatz.

Network Security: Dieses Verfahren hat zum einen zum Ziel, Schwachstellen in der Soft- und Firmware von Netzwerkgeräten zu schließen und zum anderen die Ausbreitung von eingeschleuster Malware zu verhindern oder zumindest zu erschweren. Neben dem Patch- und Update-Management für Netzwerkgeräte wie Switches, Router und Gateways spielt daher die Netzwerksegmentierung eine wichtige Rolle. Dabei werden einzelne Funktionsbereiche des Netzwerks logisch voneinander getrennt, so dass Malware nicht ohne weiteres von einem Bereich in den anderen gelangen kann.

Web Security: Auch Webseiten und Online-Shops sind häufig Ziel von Hackern. Sie müssen daher wirksam geschützt werden. Zu den eingesetzten Technologien und Lösungen zählen Web Application Firewalls (WAF), SSL-Dienste (Secure Socket Layer) sowie die Erkennung und Abwehr von DDoS-Attacken (Distributed Denial of Service). Funktionen wie die Überprüfung des Quellcodes von Webseiten auf Schwachstellen, Malware-Erkennung und die Abwehr von Brute-Force-Attacken, SQL-Injection und Cross-Site-Scripting runden den Funktionsumfang ab.

Server Security: Auch wenn die zentrale IT-Infrastruktur im Rechenzentrum durch Firewalls und andere Maßnahmen gut gegen Eindringlinge von außen geschützt ist, müssen auch die Server auf Sicherheitslücken überprüft und regelmäßig aktualisiert werden. Patch- und Update-Management von Servern sind daher wesentliche Bestandteile der IT-Sicherheit für Unternehmen.

Application Security: Anwendungen sollten von Grund auf sicher designt und entwickelt werden (Security-by-Design). Application Security beginnt daher bereits bei der Entscheidung für eine bestimmte Architektur oder ein bestimmtes Framework. Regelmäßige Code Reviews stellen sicher, dass sich während der Entwicklungsphase möglichst wenig sicherheitsrelevante Probleme einschleichen. Fertige Anwendungen sind regelmäßig auf Schwachstellen zu überprüfen und gegebenenfalls umgehend zu aktualisieren, wenn Sicherheitslücken entdeckt werden.

Cloud Security: Die zunehmende Verbreitung von Cloud Computing und der Einsatz von Cloud-Ressourcen in unternehmenskritischen Bereichen erfordert auch eine umfassende Absicherung dieser Umgebungen. Eine zentrale Rolle kommt dabei dem Cloud Access Security Broker (CASB) zu. Als Vermittler zwischen dem Unternehmensnetzwerk und den Cloud-Ressourcen sorgt er für eine sichere und regelkonforme Kommunikation. Zudem verschafft er IT-Verantwortlichen einen umfassenden Überblick über alle genutzten Cloud-Anwendungen, so dass Schatten-IT und Compliance-Verstöße erkannt und abgestellt werden können. Cloud-übergreifendes Identity & Access Management (IAM) mit Single Sign-On, Data Loss Prevention (DLP), Verschlüsselung und die Bereitstellung von Compliance-Reports sind weitere Funktionalitäten der Cloud Security.

Was sind die größten Schwachstellen in der IT-Sicherheit?

Cyberkriminelle verschaffen sich vor allem über folgende Einfallstore Zugang zur Unternehmens-IT:

- Verhalten der Nutzer*innen: Leichtsinn und Fahrlässigkeit, aber auch zeitlicher und sozialer Druck verleiten Mitarbeitende häufig zu riskanten Handlungen. Je nach Statistik sind 70 bis 90 Prozent aller erfolgreichen Angriffe auf menschliches Versagen zurückzuführen. Die zunehmende Verbreitung hybrider Arbeitsmodelle hat diesen Trend noch verstärkt. Zum einen verhalten sich viele Anwender*innen im Home-Office leichtsinniger, zum anderen fehlt ihnen der direkte Kontakt zu Kolleg*innen und Support, so dass ihnen in kritischen Situationen die Unterstützung fehlt. Laut dem HP Wolf Security Report „Out of Sight & Out of Mind“ haben 74 Prozent der befragten IT-Verantwortlichen beobachtet, dass Mitarbeiter*innen in den letzten zwei Jahren häufiger auf Phishing-Links geklickt haben als zuvor. Fast drei Viertel derjenigen, die bösartige E-Mails im Home-Office geöffnet oder beinahe geöffnet haben, haben die IT-Abteilung nicht über den Vorfall informiert.  

- Zero-Day-Exploits: Schwachstellen in Soft- und Firmware, für die es noch keine Sicherheitspatches gibt, stellen ebenfalls ein erhebliches Risiko dar. Gelingt es Angreifern, diese auszunutzen, ist das Unternehmen nahezu schutzlos. Die Sicherheitsexperten von Mandiant haben im vergangenen Jahr fast dreimal so viele tatsächlich ausgenutzte Zero-Day-Exploits identifiziert wie im Jahr 2020.  

- Privileged Accounts: Konten mit erweiterten Administrationsrechten sind für Cyberkriminelle besonders wertvoll, da sie sich damit ungehindert im Unternehmensnetzwerk ausbreiten, Server übernehmen und umkonfigurieren können.

- Supply-Chain-Angriffe: Bei sogenannten Supply-Chain-Attacken greifen Hacker nicht das Unternehmen direkt an, sondern die Lieferanten von Software, Hardware und Dienstleistungen. Über ein Update werden die manipulierten Lösungen dann in die Anwenderunternehmen eingeschleust. Laut der europäischen Sicherheitsbehörde ENISA hat sich die Zahl der Supply-Chain-Attacken im vergangenen Jahr vervierfacht. Zu den bekanntesten Angriffen dieser Art zählen die Kompromittierung der IT-Management- und Monitoring-Plattform SolarWinds Orion sowie der IT-Management-Services von Kaseya.

Welche Angriffsmethoden gibt es?

Die Sicherheitsrisiken im IT-Bereich werden immer vielfältiger, denn mit der fortschreitenden Digitalisierung und Vernetzung nehmen auch die Angriffspunkte für Hacker zu.  In den meisten Unternehmen wird eine Vielzahl von Geräten, Schnittstellen und Programmen von unterschiedlichen Mitarbeitenden genutzt. Insbesondere heterogene IT-Landschaften und die damit verbundenen Lücken zwischen verschiedenen Systemen stellen ein Sicherheitsrisiko dar.  

Neben Angriffen von außen kann auch ein mangelndes Sicherheitsbewusstsein der Mitarbeitenden die Sicherheit von Daten und Systemen gefährden. Wer sich zuverlässig schützen will, sollte die größten Gefahren für die IT-Infrastruktur in Unternehmen kennen:

- Malware über Phishing-Mails: Ein Großteil aller Angriffe auf die IT-Sicherheit erfolgt über Phishing-Mails mit manipulierten Links oder Anhängen. Phishing-Mails sind kein neues Phänomen, werden aber immer raffinierter eingesetzt und sind teilweise kaum von echten Nachrichten zu unterscheiden. Ziel ist es, an Unternehmensdaten und Zugänge zu gelangen oder Malware zu verbreiten. Die Methode des Phishings gehört zum so genannten „Social Engineering“ und setzt auf Sicherheitslücken, die durch menschliches Verhalten entstehen.  Phishing-Mails können massenhaft an verschiedene Unternehmen versendet werden oder sich gezielt an ein einzelnes Unternehmen richten.  

- Datei-Downloads : Auch beim Download von Dateien aus externen Quellen besteht die Gefahr, Opfer von Malware-Angriffen zu werden. Die Angriffsvarianten reichen von gefälschten Updates, URL-Weiterleitungen und DNS-Manipulationen bis hin zu gefälschten Treibern und Systemtools.

- Social Media-Seiten : Social Media Seiten werden als Bedrohung oft unterschätzt, obwohl sie ein idealer Ort für Betrüger sind. Malware wird beispielsweise in Form von Links platziert oder per Direktnachricht verschickt. Darüber hinaus bietet Social Media ein ideales Umfeld für Hacker, die gezielt nach Informationen über die Mitarbeitenden eines Unternehmens suchen. Diese Informationen werden dann häufig für personalisierte Phishing-Angriffe genutzt. 

- Bring Your Own Device (BYOD): Die Nutzung privater Geräte birgt ein erhöhtes Sicherheitsrisiko, da die Grenzen zwischen privaten und Unternehmensdaten verschwimmen. Gerade in Zeiten, in denen Homeoffice immer mehr an Bedeutung gewinnt, steigt die Zahl der ungesicherten Angriffspunkte. Wird ein privates Endgerät in das Unternehmensnetzwerk eingebunden, müssen besondere Sicherheitsvorkehrungen in Form von Zugriffsbeschränkungen und Datenverschlüsselung getroffen werden. Zudem sollten die Mitarbeitenden im sicheren Umgang mit Geräten und Daten geschult werden.

- Ungepatchte Computer : Es ist notwendig, Systeme und Programme stets auf dem aktuellen Stand zu halten und Patches der Systemhersteller schnellstmöglich einzuspielen. Patches sind Korrekturen, die Fehler beheben oder Sicherheitslücken schließen. Viele Angreifer nutzen keine aufwendigen Verfahren, um unbekannte Sicherheitslücken aufzuspüren, sondern zielen auf bekannte Schwachstellen. Sie setzen darauf, dass Unternehmen zu lange brauchen, um bestehende Sicherheitslücken zu schließen und haben damit allzu oft Erfolg. 

Mit welchen Maßnahmen kann die IT-Sicherheit verbessert werden? 

Folgende Maßnahmen können die IT-Sicherheit im Unternehmen verbessern: 

- Penetration Testing: Ein IT-Sicherheitsmanagement ist nur so gut wie seine schwächste Stelle. Unternehmen sollten daher ihre IT-Umgebung regelmäßig von einem Managed Security Service Provider auf mögliche Sicherheitslücken überprüfen lassen. Dabei stehen nicht nur Software, Server und Netzwerk auf dem Prüfstand, sondern auch das Verhalten der Mitarbeitenden. Mittels Phishing und Social Engineering versuchen die Tester beispielsweise, Mitarbeitende zu riskantem Verhalten zu verleiten. 

- Aufbau eines Security Operations Centers (SOC): Im SOC laufen die Informationen aller Systeme wie Logfiles und Alarme zusammen. Sie werden von Sicherheitsexperten ausgewertet, die bei erkannten Sicherheitslücken oder Angriffen sofort Gegenmaßnahmen einleiten. Um ein SOC rund um die Uhr betreiben zu können, fehlt es vor allem kleinen und mittleren Unternehmen an Personal und Know-how. Sie können die Leistungen aber in Form von Managed Security Services einkaufen. 

- Nutzung des Zero-Trust-Prinzips: Traditionelle Sicherheitskonzepte prüfen die Identität und Berechtigungen von Nutzer*innen, Applikationen und Systemen in der Regel nur beim ersten Zugriff auf Firmenressourcen. Sind diese einmal verifiziert, können sie sich weitgehend ungehindert im Netzwerk bewegen. Besonders gefährlich ist diese Vorgehensweise bei Privileged Accounts, die nach der Autorisierung ungehinderten Zugriff auf eine Vielzahl von Systemen haben und diese auch umkonfigurieren können. Zero Trust kehrt diese Logik um. Jedem Zugriff wird zunächst misstraut, unabhängig davon, ob er von außerhalb oder innerhalb des Unternehmensnetzwerks erfolgt. Art und Umfang der Autorisierung sind kontextabhängig und richten sich nach Ort und Zeit der Zugriffsanfrage sowie nach den angeforderten Rechten.

Tipps zur IT-Sicherheit: So können sich Unternehmen schützen

Die folgenden Tipps helfen, die Informationssicherheit im Unternehmen zu verbessern:

- Mitarbeitende schulen: Security Awareness Trainings sind ein wesentlicher Bestandteil jeder nachhaltigen IT-Sicherheitsstrategie. Wenn die Anwender*innen wissen, auf was sie achten müssen und welche Folgen leichtsinniges Verhalten haben kann, sinkt die Gefahr erfolgreicher Einbrüche deutlich. Das Wissen und Verhalten der Anwender*innen lässt sich zum Beispiel über ein Quiz überprüfen, in dem die Teilnehmenden Phishing-Mails erkennen oder Fragen beantworten, was sie beispielsweise mit einem gefundenen USB-Stick machen würden.  

Im Rahmen von Penetrationstests kann auch ein realer Angriff simuliert werden. Dabei erhalten die Mitarbeitenden eine „echte“ Phishing-Mail oder finden einen präparierten USB-Stick auf dem Parkplatz. Hier ist bei der Auswertung und dem Feedback sehr sensibel vorzugehen. Allzu leicht fühlen sich die Betroffenen sonst vorgeführt. Eine gute Fehlerkultur und wertschätzendes Feedback sind hier sehr wichtig. 

Darüber hinaus sollte den Mitarbeitern in Form von Life-Hacking-Veranstaltungen immer wieder vor Augen geführt werden, welche Folgen unbedachtes Verhalten haben kann. Regelmäßigkeit ist ohnehin eines der wichtigsten Elemente einer Security-Awareness-Strategie. Eine einmalige Schulung nützt wenig, da die Informationen schnell in Vergessenheit geraten. 

Auch Notfallpläne und Notfallübungen, wie sie z.B. bei Bränden oder anderen Schadensereignissen üblich und vorgeschrieben sind, tragen zu mehr Sicherheit bei. Ein gut sichtbarer Aushang mit Notfallnummern und den drei wichtigsten Schritten bei einer erkannten Cyberattacke kann Betroffenen helfen, in der Stresssituation eines erfolgreichen Angriffs Ruhe zu bewahren und die richtigen Maßnahmen zu ergreifen. 

- IT-Sicherheitsmanagement konsolidieren: IT-Abteilungen sind häufig noch in funktionale Bereiche wie Server-, Netzwerk-, Storage- und Applikationsmanagement, Softwareentwicklung und Anwendungsbetrieb aufgeteilt. Die mangelnde Kommunikation zwischen diesen Silos führt nicht nur zu Leistungseinbußen und höheren Kosten, sondern erschwert auch das IT-Sicherheitsmanagement. Denn oft werden einzelne, scheinbar harmlose Ereignisse und Unregelmäßigkeiten erst im Zusammenhang als Bedrohung erkannt. Unternehmen sollten daher Informationen aus allen Systemen und Bereichen in einem Security Information and Events Management (SIEM) zusammenführen. 

- Hilfe suchen: Gerade kleine und mittlere Unternehmen sind mit den Anforderungen an eine moderne Cyber-Abwehr überfordert. Sie profitieren daher besonders von Managed Security Services. Aber auch Großunternehmen profitieren von der Spezialisierung der Managed Security Service Provider. Sie verfügen über spezialisiertes Know-how, das Anwenderunternehmen kaum selbst aufbauen oder einkaufen können. Da sie viele Kunden betreuen, können sie Skaleneffekte nutzen und so effizienter und kostengünstiger arbeiten.  

- Risiken minimieren: Heute stellt sich nicht mehr die Frage, ob ein Unternehmen gehackt wird, sondern nur noch wann. Neben der Abwehr von Cyber-Angriffen sollten Informationssicherheitsverantwortliche daher immer auch die Schadensbegrenzung und -behebung im Blick haben. Dazu gehören beispielsweise Backup und Restore sowie Konzepte für Disaster Recovery und Business Continuity. Verbleibende Risiken können durch eine Cyber-Versicherung abgedeckt werden. Eine solche Versicherung hat zudem einen direkten positiven Einfluss auf das IT-Sicherheitsniveau, da vor Abschluss der Police der Reifegrad des Unternehmens eingehend geprüft wird. Schließen die Verantwortlichen die in diesem Audit aufgedeckten Sicherheitslücken, erhöht sich nicht nur die IT-Sicherheit, auch die Konditionen der Cyberversicherung können sich verbessern. 

Letzte Suche

Beliebte Suchen

Quicklinks