Digitalisierung: Die große Herausforderung für die IT-Sicherheit

Bei der Recherche für diesen Beitrag wurde mir eines klar: Die Digitalisierung und der heute in aller Munde befindliche Begriff „IoT“ wird in vielfältiger Weise verwendet. Meist jedoch nur als Überbegriff für einen Wandel in unserer Gesellschaft in der alles – sowohl im privaten als auch im unternehmerischen Bereich – immer schneller und enger vernetzt wird, ohne sich der Auswirkungen auf Gesellschaft und Sicherheit bewusst zu sein.

Eigentlich sollten wir uns den Begriff „digitale Transformation“ genauer anschauen, denn diese Transformation werden in den nächsten Jahrzehnten vor allem Unternehmen in immer schnelleren Zyklen durchlaufen. Vergleichbar ist die digitale Transformation mit der Industrialisierung im 19. Jahrhundert. Niemand konnte die Auswirkungen auf Gesellschaft und Unternehmen in dieser Zeit vorhersagen.

Wenn ich mir die Landschaft der IT-Sicherheit mit ihren heutigen Problemen anschaue, läuft mir ein Schauer über den Rücken. Schon heute leiden Unternehmen unter…

• Fachkräftemangel in der IT-Sicherheit
• Informationsüberlastung durch die Logfiles, die von IT-Sicherheitssysteme erzeugt werden.
• Schlecht abgestimmte und gewartete SIEM’s (Security Incident and Event Management Tools)
• Mangelndes Bewusstsein bei Mitarbeitern und Führungskräften
• Angreifer, die durch die Massen von Ereignissen verdeckt und getarnt durchschlüpfen.
• Patch-Orgien der Softwarehersteller, um ihre immer neuen Sicherheitsprobleme in den Griff zu bekommen.
• Angreifer, die bessere und ausgefeiltere Angriffe entwickeln.
• Zunehmend komplexere Aufgaben für die IT-Abteilungen
• Blinde Flecken auf Social Engineering, die von Angreifern genutzt werden.
• Gewinn und Ertrag über dem Sicherheitsbedarf

Aber wie sollen Unternehmen im Bereich der IT-Sicherheit konkurrieren (wenn sie es nicht heute schon können), wenn die digitale Transformation die Zahl der Systeme und Anwendungen exponentiell erhöht? Darüber hinaus wird die Komplexität durch die stärkere Vernetzung von Systemen und Transportmedien (verkabelt, drahtlos auf neuen Frequenzen) gefühlt bis ins Unendliche zunehmen.

Wenn ich ein neues Unternehmen für IoT in den Markt bringen will, kann ich meine Marktposition nur durch schnelle Entwicklung, starkes Marketing und Vertrieb erreichen, nicht aber durch IT-Sicherheit in meinem Produkt.

Allein auf der DEF CON 2016 fanden Hacker 47 Schwachstellen in 23 IoT-Geräten. IoT ist Teil der digitalen Transformation und so ist es durchaus denkbar, dass ein kompromittiertes Kühlregal in einem Supermarkt das Sprungbrett ist, mit dem ein Angreifer die gesamte Logistik einer Supermarktkette lähmt.

Utopie? Ich denke nein, geben Sie einfach „IoT hacks“ oder „IoT vulnerabilities“ in Google ein und sehen Sie, was heute möglich ist.

Ein intelligentes Zuhause? Sicherlich werden Unternehmen in Zukunft viele Geräte einsetzen, um Energie zu sparen und „smart“ zu steuern. Da viele jedoch ohne Sicherheitsaspekte konstruiert sind, sind sie oft angreifbar. Bei 30° C Außentemperatur ist es nicht so schön, wenn durch einen harmlosen Angriff auf die Heizungsanlage die Heizung in Ihrem Büro anspringt.

Genug des Pessimismus: Wie kann man sich von der IT-Sicherheitssicht auf die digitale Transformation einstellen?

Wir müssen unsere SOCs und IT-Sicherheitsabteilungen aus technischer Sicht schlanker und aus Sicht von Incident Response agiler machen. Das bedeutet auch, dass wir unter Umständen ein vielschichtiges Setup (Separate IT-Security Departments for Commercial-IT, Process-IT, IoT) benötigen, das die gesamte IT-Sicherheit orchestriert und eng zusammenarbeitet.

Das bedeutet auch, dass zunächst die Informationsflut auf allen Ebenen gestoppt werden muss. Ich kenne Unternehmen, die heute 1,6 Milliarden (!) Events pro Tag überwachen müssen. Mit der Digitalisierung und der weiten Verbreitung von IoT werden diese Zahlen drastisch ansteigen und unsere Reaktionsfähigkeit wird auf die gleiche Weise abnehmen.

Folglich muss die Sicht auf die IT-Sicherheit geändert werden – nämlich die Sicht von der Perimeter-Sicherheit auf die Sicht des Angreifers. Was will er, welche Angriffsvektoren und Techniken setzt er ein? Wir müssen den Lärm und die Fehlalarme in unseren IT-Sicherheits-Kontrollanlagen beseitigen, indem wir mehr auf die Ziele eines Angreifers schauen, weniger auf den äußeren Zaun. Mit der Digitalisierung und dem Einsatz von IoT müssen wir uns jetzt ändern und nicht erst in ferner Zukunft.