HZ214706 · ISSN 1868-5757 · www.itsicherheit-online.com Oktober/November 5/2023 Sichere Infra structure- as-Code-Pipelines: „Die Cloud effi­zient­ nutzen,­heißt­ von­A­bis­Z­zu automatisieren“ Hauke Moritz INKLUSIVE SPECIAL IT-SA 2023 CISO as a Service Risikoanalysten und Sicher- heitsstrategen im Abo-Modell IT-Supply-Chain SBOMs für Cloud-Services Stabil im Business Wie Business-Continuity- und Notfallmanage- ment die Unternehmens-Resilienz stärken

EDITORIAL Liebe Leserin, lieber Leser, viele Unternehmen nutzen weit mehr als nur eine Cloud-Anwendung – Daten und Anwendun- gen sind oft über verschiedene Anbieter und Systeme verteilt. Um die gesamte Infrastruktur zu managen, braucht es ein „Fließband“. Hier kommen sogenannte Infrastructure-as-Code-(IaC)- Pipelines ins Spiel, eine Methode, um Infrastrukturkomponenten mithilfe von Code automatisch bereitzustellen und zu verwalten. Sie verbinden verschiedene Fertigungsschritte miteinander und vereinfachen die Einführung von Produkten. Was es damit genau auf sich hat, beschreibt unser Autor Hauke Moritz ab Seite 14. Im Dezember 2021 wurde eine Sicherheitslücke in der Java-Bibliothek Apache Log4J bekannt. Die meisten IT-Verantwortlichen in den Unternehmen stellten sich daraufhin die Frage, ob auch ihre Systeme betroffen sind. Die Antwort herauszufinden, war jedoch nicht so einfach wie gedacht, da die Transparenz über die in der IT eingesetzten Komponenten fehlte. Das Transparenzproblem betrifft aber nicht nur die lokal betriebene Informationstechnik, sondern besonders auch Cloud- Dienste, die als Software as a Service bereitgestellt werden. Hier ist die Lieferkette oft komplex, da die Unternehmen keine Kenntnis über die in den Diensten verwendeten Komponenten haben. Sie sind daher auf die Informationen der Anbieter angewiesen. Dieses Problem kann jedoch durch eine Software Bill of Materials (SBOM), gelöst werden, die eine Liste der in einem Softwarepro- dukt verwendeten Komponenten enthalten. Diese vom Anbieter zur Verfügung gestellten SBOMs können durch Transparenz einen wichtigen Beitrag zur Verbesserung der Sicherheit in der Liefer- kette leisten (ab Seite 20). Um „as a Service“ geht es auch in einem weiteren Artikel, den ich Ihnen ans Herz legen möchte. Viele Unternehmen können oder wollen sich keinen eigenen Chief-Information-Security-Officer (CISO) leisten. Vor allem kleine und mittlere Unternehmen scheitern oft an den Kosten. In diesem Fall können sie auf die Dienstleistung CISO as a Service zurückgreifen. Die Vorteile liegen auf der Hand: Kostenkontrolle, Experten-Know-how und hohe Flexibilität. Denn externe CISOs arbeiten für viele Unternehmen und haben so Einblick in verschiedene Branchen, IT-Infrastrukturen und Unternehmensgrößen. Zudem sind sie mit einer Vielzahl von Sicherheitsvorfällen und aktuellen Angriffstaktiken vertraut und verfügen somit über Wissen, das sich für den Auftragnehmer posi- tiv auswirkt. Dennoch gibt es einige Punkte, die bei der Suche nach einem Dienstleister unbedingt beachtet werden sollten (ab S. 24). Business-Continuity-Management (BCM) und Notfall- oder Krisenmanagement (NKM) sind zwei Disziplinen, die sich mit der Bewältigung von Störungen und Krisen innerhalb eines Unterneh- mens befassen. BCM ist ein proaktiver Prozess, der die Risiken potenzieller Bedrohungen für eine Organisation identifiziert und wirksame Strategien zur Wiederherstellung der Kerngeschäftspro- zesse im Fall einer Unterbrechung entwickelt. Im Gegensatz dazu konzentriert sich das Notfall- oder Krisenmanagement eher auf die unmittelbare Bewältigung einer aktuellen oder drohenden Krise. Wie sich BCM und NKM ergänzen, beschreibt unser Autor Thomas Joos ab Seite 65. it-sa-SPECIAL Die IT-SICHERHEIT hat die IT-Security-Fachmesse it-sa in Nürnberg zum Anlass genommen, in dieser Ausgabe ein umfangreiches it-sa-Special zu veröffentlichen (ab Seite 33). Darin haben wir die aktuellen Trends aufgegriffen und anschaulich erklärt. Vieles davon werden Sie beim it-sa- Rundgang wiederfinden – im Marktteil können Sie nach schauen, welche Know-how-Träger und Lösungs anbieter auf jeden Fall einen Besuch auf der Messe lohnen. Die IT-SICHERHEIT finden Sie am Stand von DATAKONTEXT in Halle 7, Stand 503. Viel Spaß beim Lesen wünscht Ihnen Sebastian Frank twitter.com/it_sicherheit24 www.itsicherheit-online.com/ newsletter kritis. ihr sicherheits- update. Jetzt Ticket sichern! infos zum programm: www.protekt.de

INHALTSVERZEICHNIS LIEFERKETTEN-SECURITY20 SBOMS FÜR CLOUD- 24 CISO AS A SERVICE 65 STABIL IM BUSINESS AUS DER FORSCHUNG 72 Balanceakt zwischen Datenschutz und Unternehmensgewinn DS-GVO IM ONLINE-MARKETING SECURITY MANAGEMENT SERVICES 65 Wie BCM und NKM gemeinsam die 78 VORSCHAU: Ausblick auf Ausgabe 6 | 2023 Unternehmens-Resilienz stärken STABIL IM BUSINESS 68 Cyber Resilience Act SCHICKSALSSCHLAG FÜR OPEN SOURCE IN EUROPA? BUCHBESPRECHUNG 78 Impressum ADVERTORIALS 13 JEDES ZWEITE UNTERNEHMEN SIEHT DIE EIGENE EXISTENZ DURCH CYBERANGRIFFE BEDROHT 70 Kipker: 26 OT-Sicherheit CYBERSECURITY RECHTSHANDBUCH GEFÄHRDUNGSLAGE BLEIBT KRITISCH IT-SICHERHEIT_5/2023 5

CYBERARK GRÜNDET KI-KOMPE- TENZZENTRUM ZUR ABWEHR FORT- SCHRITTLICHER ATTACKEN CyberArk, ein führendes Unternehmen im Bereich Identity Security, hat ein neues Kompetenzzentrum für künstliche Intelligenz (KI) ins Leben ge- rufen. Dieser Schritt erfolgt im Rahmen der bereits langjährigen Nutzung von KI und Machine Learning in seiner Identity-Security-Plattform. Das Unternehmen verstärkt seine Investitionen in Forschung, Entwicklung und Produktentwicklung, um den Einsatz von generativer KI zur Steigerung der Sicherheit seiner weltweit mehr als 8.000 Kunden weiter voranzutreiben. Das neue Kompetenzzentrum arbeitet eng mit den CyberArk Labs zusammen, die KI bei fortgeschrittenen Angriffen untersuchen, um KI-gestützte Verteidigungsmaßnahmen zu entwickeln. Das Team, be- stehend aus Data Scientists, Software-Architekten und Entwicklern, wird zunächst Möglichkeiten erforschen, wie KI nahtlos in die bestehen- den CyberArk-Produkte integriert werden kann. Darüber hinaus setzt CyberArk seine umfassende langfristige Roadmap fort, die auf KI und Innovationsbereitschaft basiert. n IFS ÜBERNIMMT KI-ANBIETER FALKONRY IFS, ein weltweit führender Anbieter von cloudbasierter Unternehmens- software, gab die Unterzeichnung einer endgültigen Vereinbarung zur Übernahme von Falkonry bekannt. Das in Kalifornien ansässige Unter- nehmen ist auf industrielle KI-Software sowie automatisierte Hochge- schwindigkeitsdatenanalysen für die Fertigungs- und Verteidigungsin- dustrie spezialisiert. Die KI-basierte, selbstlernende Lösung überwacht kontinuierlich große Datenmengen von industriellen Anlagen, Maschi- nen, Systemen und Prozessen, um ungewöhnliches Verhalten und Feh- lerursachen zu erkennen und zu analysieren. Mit der Übernahme von Falkonry wird IFS zum einzigen Anbieter auf dem Markt, der neben füh- renden ERP-, EAM-, FSM- und ESM-Funktionen auch KI-generierte Ano- malieerkennung in sein Portfolio aufnimmt, um die Automatisierung und Optimierung von Prozessen und Workflows voranzutreiben. n CLARANET OPTIMIERT UNTERNEHMENSSTRUKTUR Der Technology Service Provider Claranet hat 2021 das SAP-Beratungs- haus KHETO Consulting GmbH und 2022 die AddOn AG übernommen. Ein Jahr später wurden nun die KHETO Consulting GmbH und die AddOn AG verschmolzen, ein Rechtsformwechsel zur GmbH vorgenommen und der Unternehmensname in Claranet Addon GmbH geändert. Als neuer Geschäftsführer der Claranet Addon GmbH wurde Sebastian Vögel be- stellt, der das Unternehmen gemeinsam mit Philipp Schlenkermann als Prokurist leitet. Die Umstrukturierung hat keinen Einfluss auf Rechtsbe- ziehungen gegenüber Dritten wie Vertragspartnern, Arbeitnehmern oder öffentlichen Stellen. Die Claranet Addon GmbH bündelt drei Kompetenzschwerpunkte, die sowohl die eigenen als auch die Kunden der Claranet DACH Gruppe bei ihrer Weiterentwicklung unterstützen. Im SAP-Bereich stehen Kunden eine Vielzahl von Services zur Verfügung, darunter Managed SAP Basis NEWS | UNTERNEHMEN Services, SAP on Cloud und SAP Business Intelligence Services. Das Kom- petenzcenter Workplace und Collaboration bietet umfassende Unterstüt- zung bei der Modernisierung von IT-Umgebungen. Den dritten Schwer- punkt bildet das Trainingscenter für SAP, Microsoft und Cloud. n EASY AKTIVES MITGLIED DER BSI CYBER-SICHERHEITS-ALLIANZ Der DMS-Anbieter easy ist der Allianz für Cyber-Sicherheit des Bundes- amts für Sicherheit in der Informationstechnik (BSI) beigetraten. Die Mitgliedschaft unterstreicht das kontinuierliche Engagement seitens easy für die Stärkung der Cybersicherheit und den Schutz vor wachsen- den Bedrohungen im digitalen Raum. Durch die Mitgliedschaft erhält easy Zugang zu Schulungen, Materialien und Ressourcen, um das eigene Wissen und die Fähigkeiten im Bereich der Cybersicherheit zu erweitern. Besonders wertvoll ist der Zugang zum hochwertigen Kanal für Cybersi- cherheitswarnungen, den das Nationale IT-Lagezentrum bereitstellt. Die- ser Kanal liefert zeitnah erstklassige Informationen über neu aufgetre- tene Schwachstellen und Bedrohungen. Als Mitglied der Allianz verstärkt easy nicht nur die eigene Sicherheit, sondern trägt auch zur Verbesserung der Cybersicherheit im Allgemeinen bei. n NASUNI UND PRESIDIO BAUEN PARTNERSCHAFT AUS Presidio, ein weltweiter Anbieter für digitale Dienstleistungen und Lösungen, und Nasuni, Anbieter von File Data Services, schließen eine weitreichende Zusammenarbeit. Nasuni optimiert bereits für Kunden die Nutzung der AWS-Cloud und ermöglicht nun mit dem Presidio-Pro- gramm „Proactive Recapture into Savings Management“ (PRISM) seinen Kunden darüber hinaus, Betriebskosten zu reduzieren. Nasuni hat einen Mehrjahresvertrag mit Presidio unterzeichnet, der darauf abzielt, Unter- nehmen die Speicherung, den Schutz und die Verwaltung von Dateida- ten in hybriden Cloud-Umgebungen zu vereinfachen. Nasuni nutzt das komplette PRISM-Programm von Presidio, um seinen Kunden zu ermöglichen, Ausgaben in die Cloud besser zu überwachen und das finanzielle Risiko und die Betriebskosten für Cloud- und Finanz- teams zu reduzieren. Presidio verwaltet die Kostenoptimierung und verwendet proprietäre Data-Science-Modelle, um Cloud-Verpflichtungen automatisch und ohne Risiko für Kunden anzupassen. Mit den Managed Services von Presidio, die sich um die operative Verwaltung von Nasunis Dateidaten-Cloud-Umgebung kümmern, gewinnt das Nasuni-Team Zeit, um sich auf die Verbesserung des Nasuni-Kernprodukts und Innovatio- nen zu konzentrieren. n IT-SICHERHEIT_5/2023 7

nen und gleichzeitig die Netzwerk- und Sicherheitsleistung nachhaltig optimieren. Dabei werden alle KI-Funktionen von einer Reihe fein abge- stimmter KI/ML-Engines unterstützt, die nativ in die Versa-Unified-SASE- Plattform integriert sind und im gesamten Produktportfolio des Unter- nehmens eingesetzt werden. n CYBERSCHUTZ­DURCH GANZHEIT- LICHES PASSWORT-, PASSKEY-, UND PRIVILEGIEN-MANAGEMENT Dass das Passwort- und Zugangsmanagement zwingend nötig ist, um Unternehmen und deren Daten zuverlässig zu schützen, bestätigt der aktuelle Data Breach Index Report von Verizon: Demnach basieren bis zu 74 Prozent der Datenschutzverletzungen auf kompromittierten Zu- gangsdaten. Das Portfolio von Keeper, Anbieter von Zero-Trust- und Zero-Knowledge-Cyber-Security-Lösungen zum Schutz von Passwörtern, Passkeys und privilegiertem Zugang, umfasst Lösungsvarianten für klei- ne Betriebe bis hin zu Konzernen. Die benutzerfreundliche Plattform, die kritische Komponenten der Identitäts- und Zugriffsverwaltung verein- heitlicht, ermöglicht Unternehmen und MSP einen schnellen und zuver- lässigen Umstieg auf die Zero-Trust- und Zero-Knowledge-Technologie. Sie gibt Administratoren die Möglichkeit, die Zugriffsrechte und -level auf sensible Daten und Zugangsdaten individuell zu definieren und zu steu- ern. Grundlage dafür ist eine rollenbasierte Zugriffskontrolle (Role Based Access Control, RBAC), mit der sich der Zugriff mit den geringsten Rech- ten unterstützen und alle Benutzeraktivitäten nachverfolgen lassen. n ÜBERSICHT IM ABO- TARIFDSCHUNGEL Streamingdienste, Handytarife und Bildbear- beitungstools sind aus der digitalen Welt nicht mehr wegzudenken, und Abonnementmodelle haben sich fest etabliert. Diese Modelle sind bei Nutzern beliebt, da sie flexibel abgeschlossen und gekündigt werden können. Doch die Viel- zahl der Anbieter macht es schwer, den Über- blick über die laufenden Kosten zu behalten. Kaspersky löst dieses Problem mit SubsCrab, einer Multiplattform-App für iOS und Android. SubsCrab bietet Zugriff auf über 4.000 Abonne- mentdienste und 11.000 Tarifpläne, ohne eine Begrenzung für die Anzahl der hinzufügbaren Abonnements zu haben. In der kostenlosen Version ermöglicht SubsCrab das manuel- le Hinzufügen und Überwachen aller aktiven Abonnements. Die App bietet eine Kalender- ansicht für fällige Gebühren und ermöglicht das Einrichten von Push- Benachrichtigungen für Zahlungen. Zudem schlägt SubsCrab alternative Dienste vor und stellt Informationen zu interessanten Abonnements be- reit. Die kostenpflichtige Premium-Version bietet erweiterte Funktionen, wie die automatische Erfassung von Abonnements durch das Scannen von E-Mails und die Möglichkeit zur Kategorisierung der Konten. n SubsCrab bietet Zugriff auf über 4.000 Abonne- mentdienste und 11.000 Tarifpläne, ohne eine Begrenzung für die An- zahl der hinzufügbaren Abonnements zu haben. (Quelle: Kaspersky) NEWS | PRODUKTE ERWEITERT CERTIFICATE LIFECYCLE MANAGEMENT IN MULTI-CLOUD-UMGE- BUNGEN DigiCert hat seine Zertifikats-Management-Plattform DigiCert Trust Lifecycle Manager erweitert, um den gesamten Lebenszyklus mehrerer Zertifizierungsstellen, einschließlich Microsoft Certificate Authority und AWS Private Certificate Authority abzudecken. Auch die Integration mit ServiceNow zur Unterstützung bestehender IT-Service-Workflows ist möglich. Der Trust Lifecycle Manager unterstützt darüber hinaus die Re- gistrierung für Microsoft- und AWS-Technologien und bietet Unterneh- men einen einheitlichen Ansatz zur Verwaltung öffentlicher und privater Digital-Trust-Szenarien. Die Anwendungsfälle reichen von biometrischer Authentifizierung, Geräteauthentifizierung oder WLAN/VPN-Bereitstel- lung bis zu Cloud-Workloads und IT-Infrastrukturmanagement. n DATENSICHERHEIT FÜR KRITISCHE INFRASTRUKTUREN Kontron erweitert sein Produktportfolio und hat mit der Vermarktung für die neue Softwarelösung SecureOS zum Schutz vor unberechtigten Fremdzugriffen in Infrastrukturprojekten begonnen. Sie schützt IoT-Lö- sungen vor neuen Bedrohungen aus dem Internet, feindlichen Angriffen auf die Infrastruktur sowie vor der Überwachung durch Dritte. Darüber hinaus ist sie mit den meisten Produktplattformen von Kontron kombi- nierbar und erweitert das susietec Toolset. Die Lösung erhöht nicht nur die Sicherheitsstandards erheblich, sondern senkt auch die Betriebskos- ten um angeblich mindestens 15 Prozent. Die Lösung umfasst neben SecureOS weitere susietec-Funktionalitäten und soll die kritische Wasser- und Abwasserinfrastruktur von Millionen von Menschen in Mitteleuropa unterstützen. SecureOS bietet dabei de- taillierte Einblicke in den Betriebszustand der Pumpen und gewährleistet eine kontinuierliche Überwachung während des Betriebs bei gleichzei- tigem Schutz vor unbefugten Eingriffen und Überwachung durch Dritte. Intelligente Zusatzfunktionen wie die automatische Notabschaltung ver- hindern, dass die Pumpen beschädigt oder zerstört werden. Im Gegen- satz zu anderen IoT-Lösungen agiert Kontron aus einem neutralen Land heraus und garantiert so höchste Sicherheitsstandards für Infrastruktur- projekte, die auch von staatlichen Stellen anerkannt werden. n SecureOS bietet detaillierte Einblicke in den Betriebszustand von Pumpen und gewährleistet eine kontinuierliche Überwachung während des Betriebs. (Quelle: Kontron) IT-SICHERHEIT_5/2023 9

NEWS | AUS DER SZENE Bitkom-Umfrage bringt Erschreckendes zutage DEUTSCHE WIRTSCHAFT VER- STÄRKT IM VISIER DER ORGANI- SIERTEN KRIMINALITÄT Der wirtschaftliche Schaden für deut- sche Unternehmen durch Angriffe auf die IT übersteigt bereits zum dritten Mal in Folge die 200-Milliarden-Euro- Marke (2022: 203 Milliarden Euro, 2021: 223 Mil- liarden Euro) und zeigt einen anhaltenden Trend auf sehr hohem Niveau. Bemerkenswert ist, dass rund 72 Prozent aller Unternehmen in den letzten zwölf Monaten von analogen und digitalen Angriffen betroffen waren, während es weitere 8 Prozent vermuteten, ohne zwei- felsfreie Beweise dafür vorzulegen. Obwohl die Gesamtzahl der Angriffe im Vergleich zum Vorjahr leicht zurückgegangen ist (84 Prozent beziehungsweise 9 Prozent im Jahr zuvor), ver- zeichneten Angriffe aus dem Bereich der orga- nisierten Kriminalität eine deutliche Zunahme. Ganze 61 Prozent der betroffenen Unterneh- men sehen die Täter in diesem Bereich, was im Vergleich zum Vorjahr einem Anstieg von 10 Prozentpunkten entspricht. Es ist auch beunruhigend zu beobachten, dass Russland und China zunehmend als Ausgangs- punkte für Angriffe auf die deutsche Wirtschaft dienen. 46 Prozent der betroffenen Unterneh- men konnten Angriffe bis nach Russland zurück- verfolgen (2021: 23 Prozent), während 42 Prozent aus China angegriffen wurden (2021: 30 Prozent). Russland steht somit erstmals an der Spitze der Länder, von denen Angriffe auf die deutsche Wirtschaft ausgehen. „Die deutsche Wirtschaft ist ein hochattraktives Angriffsziel für Kriminelle und uns feindlich gesonnene Staaten“, so Bit- kom-Präsident Dr. Ralf Wintergerst. „Die Grenzen zwischen organisierter Kriminalität und staatlich gesteuerten Akteuren sind dabei fließend.“ Die Bedrohung durch Cyberangriffe ist nach wie vor hoch, und erstmals fühlen sich mehr als die Hälfte (52 Prozent) der Unternehmen durch solche Angriffe in ihrer Existenz bedroht. Dies zeigt einen signifikanten Anstieg im Vergleich zu 45 Prozent im Vorjahr und lediglich 9 Prozent vor zwei Jahren. „Digitale Angriffe lassen sich von je- dem Ort der Welt ausführen. Und die Gefahr, von Polizei oder anderen Strafverfolgungsbehörden behelligt zu werden, ist in vielen Ländern gering oder nicht vorhanden“, so Wintergerst. „Der Trend zu Angriffen im digitalen Raum wird sich fortsetzen. Die deutschen Unternehmen müssen ihre IT-Sicherheit mindestens auf jenes Niveau bringen, das für die physische Sicherheit vor Ort längst Standard ist.“ Die Art der Angriffe hat sich ebenfalls verscho- ben, wobei 70 Prozent der Unternehmen in den letzten zwölf Monaten den Diebstahl sensibler Daten oder eine mögliche Gefährdung ihrer Da- ten gemeldet haben – ein Anstieg um 7 Prozent- punkte im Vergleich zum Vorjahr. Weitere 61 Pro- zent der Unternehmen beklagen das Ausspähen digitaler Kommunikation (plus 4 Prozentpunkte) sowie die digitale Sabotage von Systemen oder Betriebsabläufen (plus 8 Prozentpunkte). Auffallend ist auch der Anstieg von Ransomware- Angriffen, von denen knapp ein Viertel (23 Pro- zent) der Unternehmen berichtet. Im Vorjahr lag dieser Anteil noch bei 12 Prozent. Im Gegensatz dazu sind Schäden durch Distributed-Denial-of- Service-(DDoS)-Attacken zurückgegangen und haben nur noch bei 12 Prozent der Unterneh- men Schäden verursacht, während es im Vorjahr noch fast doppelt so viele waren (21 Prozent). Die Studie zeigt auch, dass Cyberangriffe inzwischen für fast drei Viertel (72 Prozent) des gesamten Schadens verantwortlich sind, den die deutsche Wirtschaft durch Datendiebstahl, Sabotage und Industriespionage erleidet. Dies entspricht rund 148 Milliarden Euro und markiert einen deut- lichen Anstieg gegenüber dem Vorjahr, als nur 63 Prozent und somit rund 128 Milliarden Euro den Cyberangriffen zugeordnet werden konnten. Die Studie zeigt, dass die Bedrohung durch Cyberangriffe für die deutsche Wirtschaft weiterhin sehr hoch ist, und Unternehmen ihre IT-Sicherheitsmaßnahmen massiv verstärken müssen, um sich vor dieser Bedrohung zu schützen. n S.M. IT-SICHERHEIT_5/2023 11 . m o c . e b o d a k c o t s - s e g a m I t u a h T : d l i B (Cyber-)Kriminalität verursacht in deutschen Unternehmen jährlich Schäden in Höhe von 206 Milliarden Euro. Diese Schadenssumme resultiert aus Diebstählen von IT-Ausrüstung und Daten sowie aus digitaler und analoger Industriespionage und Sabotage. Dabei richtet die organisierte Kriminalität ihr Augenmerk verstärkt auf die deutsche Wirtschaft – inzwi-schen die stärkste Angreifergruppe. Diese alarmierenden Ergebnisse gehen aus einer Studie im Auftrag des Digitalverbands Bitkom hervor, für die über 1.000 Unternehmen aus verschiedenen Branchen repräsentativ befragt wurden.

– ADVERTORIAL – Jedes zweite Unternehmen sieht die eigene Existenz durch Cyberangriffe bedroht Cyberkriminalität ist eine der größten Bedrohungen für unsere Wirt- schaft und für unsere Gesellschaft. Eine erfolgreiche Cyberattacke kann die IT eines Unternehmens und somit Prozesse, Systeme und den gesamten Geschäftszyklus lahmlegen – und das über Stunden, Tage, Wochen oder Monate. Laut einer aktuellen Befragung des Bitkom gibt fast jedes zweite Unternehmen – 48 Prozent – an, dass ein erfolgreicher Cyberan- griff die eigene Existenz bedrohen könnte. In Deutschland rechnen 63 Prozent der Unternehmen damit, in den kommenden zwölf Mo- naten Opfer von Cyberangriffen zu werden. Eine Mehrheit von 57 Prozent rechnet mit Schwierigkeiten bei der Abwehr. Wenn man sich die zwei Drittel der Unternehmen, die ei- nen Angriff erwarten, genauer anschaut, zeigt sich zudem: 43 Pro- zent geben an, den Angriff erfolgreich abwehren zu können. Was muss getan werden? Zum einen sind die Unternehmen selbst gefordert. Nicht einmal die Hälfte der Unternehmen – nämlich 48 Prozent – investiert nach ei- gener Einschätzung genug in Cybersicherheit. Nur 30 Prozent haben Informationsangebote der Polizei zum Schutz vor Cyberkriminalität genutzt. 41 Prozent räumen sogar ein, das Thema Cyberkriminalität bisher verschlafen zu haben. Es muss dafür gesorgt werden, dass IT-Sicherheit nicht allein Thema der IT-Abteilungen ist. IT-Sicherheit muss auf die Agenda des Top- Managements. Und dort sollten drei Themen ganz oben stehen: ▪ IT-Sicherheit muss mit den notwendigen Ressourcen ausgestattet werden. ▪ Alle Fachkräfte müssen zum Thema IT-Sicherheit geschult werden. ▪ Jedes Unternehmen benötigt einen Notfallplan für Cyberangriffe. Wenn ein Unternehmen erst einmal Opfer eines Angriffs wird, ist es bereits zu spät, sich erstmals mit dieser Frage zu befassen. Je schnel- ler reagiert wird, desto besser stehen die Chancen, größeren Schaden abzuwenden. Weiterbildungen für mehr IT-Sicherheit Die Bitkom Akademie hat aus diesem Grund zahlreiche Workshops und Lehrgänge zur Erhöhung der IT-Sicherheit im Programm. Lernen Sie von führenden Expertinnen und Experten, wie Sie digitale Be- drohungen erkennen, abwehren und Ihr Unternehmen vor Hackern schützen können. Verpassen Sie nicht die Gelegenheit, Ihr IT-Know- how zu stärken und sich in einer zunehmend vernetzten Welt unver- zichtbar zu machen. Unsere Formate bieten wir Ihnen auch gern als individuelle Inhouse-Schulung für Ihr Unternehmen an. n Haben Sie Fragen zu unseren Seminaren und Inhouse-Angebot im Bereich IT-Sicherheit? Dann kontaktieren Sie Steve Schramm: s.schramm@bitkom-service.de Tel.: 030 27576-263 https://bitkom-akademie.de/seminare IT-SICHERHEIT_5/2023 13 ImageFlow - stock.adobe.com

TITEL | CLOUD-INFRASTRUKTUR In der Cloud gelten andere Regeln als auf dem eigenen Betriebsgelände, sowohl in Bezug auf die Einrichtung als auch auf die Sicherheit von IT-Systemen. Unternehmen müssen neue Methoden zur Verwaltung ihrer Cloud-Infrastrukturen nutzen. Mit dem richtigen Ansatz können sie den Prozess der Einrichtung beschleunigen, die Cloud- Umgebungen standardisieren, das Management der Cloud zentralisieren und gleich- zeitig die Sicherheit von Anfang an in den Einrichtungsprozess integrieren. Dadurch lassen sich Kosten senken, das Sicherheitsniveau erhöhen und die Vorteile der Cloud effizienter nutzen. Carl Benz hat das erste Automo- bil in seiner Werkstatt manuell aus vielen Teilen zusammen- gebaut. Auch wenn das damalige Auto aus heutiger Sicht simpel erscheint, war es für den damaligen Stand der Technik hochkomplex. Mit der steigenden Nachfrage wurden neue Ferti- gungsverfahren benötigt, die Henry Ford 1908 mit der Einführung des Fließbandes zur Verfü- gung stellte. Das Konzept, bei dem Standardi- sierung und Automatisierung die Grundpfeiler für eine funktionierende Produktion bilden, hat bis heute Bestand. Ganz ähnlich verhält es sich auch mit der Cloud: Denn Cloud-Umgebungen sind ebenfalls hoch- komplex und stellen Unternehmen vor viele He- rausforderungen. Dazu gehören beispielsweise ihre Heterogenität, die mangelnde Transparenz, weil Monitoring-Tools fehlen, sowie das Ma- nagement mehrerer Diensteanbieter und deren unterschiedlicher Schnittstellen. Gleichzeitig sind Sicherheitsbedenken im Hinblick auf Dateninte- grität und -schutz, Compliance-Anforderungen, die Schwierigkeit der Datenmigration und -in- tegration sowie die Notwendigkeit einer effizi- enten Kostenkontrolle und -optimierung bei der Nutzung von Cloud-Ressourcen und -Services zu berücksichtigen. Mit geeigneten Konzepten, denen Standardisie- rung, Automatisierung und Zentralisierung zu- grunde liegen, können Unternehmen diese Her- ausforderungen meistern und die verschiedenen Cloud-Applikationen automatisiert bereitstellen. Schließlich setzen große Unternehmen deutlich mehr als eine Cloud-Umgebung ein, manche nutzen sogar weit über 1000 Cloud-Infrastruk- turen. Um diese bereitzustellen und zentral zu managen, fehlt ihnen jedoch ein „Fließband“. Die Cloud effi­zient­zu­ nutzen,­heißt­ von­A­bis­Z­ automatisieren­ –­standardisiert­ und­über­alle­ IT-Bereiche­ hinweg.“ i S t o c k . c o m / P h o n l a m a i P h o t o der Cloud, auf die unterschiedliche Anwender zugreifen können. Die Landingzone ermöglicht die Bereitstellung und Nutzung von Apps und Workloads. Zudem finden hier die Security-Vor- gaben eines Unternehmens Beachtung, sodass die bereitgestellte Umgebung von Beginn an ein grundlegendes Sicherheitsniveau erfüllt. Gleich- zeitig fließen geschäftliche Entscheidungen ein, um Kosten zu minimieren und vertragliche Anforderungen zu erfüllen. Da die Landingzo- ne viele Themen bereits standardisiert vorgibt, haben deren Nutzer den Rücken frei und können sich voll und ganz auf ihre eigentliche Aufgabe fokussieren – beispielsweise auf die Entwick- lung von Apps in der Cloud. Eine gut designte Landingzone ist zudem mo- dular aufgebaut, um sie künftig einfach zu er- weitern. Ist sie außerdem skalierbar, lassen sich damit mehrere Cloud-Umgebungen bereitstel- len und verwalten. In der Regel wird dazu ein Infrastructure-as-Code-(IaC)-Tool wie Terraform verwendet. Damit können Unternehmen die gleichen Umgebungen mehrfach bereitstellen, sowie unterschiedliche Cloud-Lösungen an zen- trale Managementsysteme anbinden. Eine Lan- dingzone ist also ein hochkomplexes Konstrukt aus unterschiedlichen Cloud-Services und -An- wendungen, die alle ineinandergreifen müssen, um sie standardisiert bereitzustellen. LANDINGZONE SORGT FÜR STANDARDISIERTE SICHER- HEIT – VON ANFANG AN Die Basis für eine solche automatisierte Bereit- stellung von Cloud-Umgebungen, die bereits per Design unterschiedliche Lösungen und Vorgaben berücksichtigt, bildet die Landingzone. Dabei handelt es sich um eine sichere Umgebung in IAC-PIPELINE – TOOLS VOM FLIESSBAND Im Falle der Cloud gibt es eine Vielzahl an Tools, die sich für ein IT-Management vom Fließband nutzen lassen – sogenannte IaC-Pipelines. Sie verbinden unterschiedliche Fertigungsschritte miteinander und vereinfachen die Bereitstel- lung des fertigen Produktes. Der zu verarbei- IT-SICHERHEIT_5/2023 15

Es­gibt­bereits­Möglichkeiten,­ Applika­tionen­innerhalb­kürzester­ Zeit­automatisiert­und­standardisiert­ in­der­Cloud­bereitstellen.“ ses Compliance-as-Code-Fachwissen ist bislang im Markt noch nicht sehr weit verbreitet, wird aber zunehmend gefordert. Daher ist es ratsam, dass Unternehmen in den Aufbau solcher Fach- kräfte investieren. Der erhöhte Grad an Auto- matisierung, der sich mithilfe dieser Experten realisieren lässt, rechtfertigt die Investitionen in Schulungen und Trainings bei weitem. Darüber hinaus gibt es mittlerweile bereits konzeptionelle Ansätze wie den Rapid Environ- ment Deployer (RED). Sie sorgen dafür, dass die entsprechenden Applikationen, die in die Cloud migriert werden, automatisiert und standardi- siert innerhalb weniger Minuten bereitstehen – inklusive der benötigten Sicherheitsrichtlinien. So wird der strategische Organisationsprozess mit Technologie unterfüttert und damit über- haupt erst ermöglicht. DYNAMISCHE CREDENTIALS FÜR MEHR SICHERHEIT Um auf Cloud-Plattformen zuzugreifen, werden User- oder Service-Accounts angelegt, die in der Regel eine Kombination aus Zugangsschlüssel und -geheimnis verwenden. Eine IaC-Pipeline nutzt diese Accounts, um Cloud-Umgebungen aufzubauen. Damit das funktioniert, benötigen die Accounts weitreichende Rechte, wodurch sich ihr Schutzbedarf massiv erhöht. praktisch keine Möglichkeit zu geben, gültige Zugangsdaten zu stehlen. ANFORDERUNGEN AN EINE IAC­PIPELINE ƒ Zentrale Bereitstellung von Cloud-Umgebungen ƒ Vollständig automatisierbar ƒ Einfach skalierbare Umgebungen durch IaC ƒ Redundante Architektur ƒ Shift-Left-Security für IaC ƒ Sicherheit mittels dynamischer Credentials ƒ Nutzung von Unternehmensidentitäten ƒ Aktueller Zustand immer sichtbar ƒ Drift Prevention ƒ Schutz vor Fremdzugriffen NICHT ABDRIFTEN Oft wird ein einmal erstellter Account nicht mehr geändert, da ja alles reibungslos funktioniert. Das erhöht jedoch das Risiko, dass sensible Zu- gangsdaten über Jahre hinweg unverändert blei- ben und in die falschen Hände gelangen. Eine sicherere Methode besteht darin, für jede neue Nutzung einen eigenen Account zu erstellen, der nach Gebrauch ungültig wird. Es gibt bereits Lösungen, die automatisch Anmeldedaten gene- rieren, aber nur dann, wenn sie benötigt werden. Diese kurzzeitig gültigen Zugangsdaten werden als „dynamische Credentials“ bezeichnet. Eine gute IaC-Pipeline verwendet ausschließlich dynamische Credentials, um Cyberkriminellen Mittels IaC bereitgestellte Cloud-Umgebungen sollten nur durch die Anpassung des IaC-Codes geändert werden dürfen. Allerdings sieht der Alltag oftmals anders aus. Nicht selten ändern Administratoren Einstellungen eines Cloud-Sys- tems, weil dies schneller und einfacher ist. Die gewollte Cloud-Umgebung, definiert durch den IaC-Code, und die Cloud-Realität weichen vonei- nander ab. Man spricht dann von einem Configu- ration Drift. In der Folge lässt sich die Umgebung nicht mehr durch den Code aktualisieren oder neu aufbauen. Eine IaC-Pipeline sollte einen sol- chen Configuration Drift erkennen und sowohl darauf hinweisen als auch Änderungen direkt TITEL | CLOUD-INFRASTRUKTUR durch erneutes Einspielen des Soll-Zustandes zurücksetzen. Eine gute IaC-Pipeline stellt nicht nur Cloud-Um- gebungen bereit, sondern beinhaltet zusätzlich mehrere Stufen, um unternehmenseigene Anfor- derungen an Sicherheit und Kosten zu berück- sichtigen. Unternehmen sind damit in der Lage, standardisierte Cloud-Umgebungen zentral zu verwalten, Zustand und Veränderungen zu über- blicken, sowie fundierte Entscheidungen zu tref- fen. Durch die Integration von Monitoring- und Alarmierungsfunktionen können Unternehmen proaktiv auf mögliche Probleme reagieren, bevor sie zu größeren Störungen führen. Zudem fördert eine solide IaC-Pipeline eine konsistente und wie- derholbare Bereitstellung von Ressourcen. Dies wiederum minimiert das Risiko von menschlichen Fehlern und erhöht die Verfügbarkeit. FAZIT Cloud-Plattformen haben die Geschäftswelt transformiert, indem sie eine agilere, skalierba- rere und flexiblere IT-Infrastruktur ermöglicht haben. Industrielle Konzepte, wie das Fließband, das schon in der Automobilproduktion neue, schnelle Fertigungsverfahren ermöglicht hat, lassen sich auf die Cloud-Bereitstellung anwen- den. Sie helfen Unternehmen bei der Standardi- sierung, Automatisierung und Effizienzsteige- rung. Durch den Einsatz von Cloud-Technologien nutzen Unternehmen diesen „Fließband-Ansatz“, um ihre IT-Prozesse zu straffen und sicherzu- stellen, dass Ressourcen bedarfsgerecht und in vorhersehbarer Qualität bereitgestellt werden. Sie sind dadurch agiler und können schneller auf Marktveränderungen reagieren sowie innova- tive Lösungen schneller auf den Markt bringen. Mit zunehmender Abhängigkeit von Cloud-Res- sourcen und -Services wird die Bedeutung von robusten Bereitstellungsstrategien und -tools immer größer. IaC-Pipelines spielen dabei eine entscheidende Rolle. n HAUKE MORITZ, Solution Manager Cloud Security bei Computacenter (Foto: Bernd Arnold Photography) IT-SICHERHEIT_5/2023 17

Bitkom Akademie Wir qualifizieren die Digitalwirtschaft. Über 150 Seminare kostenfrei Ihr Weiterbildungsanbieter für die digitale Transformation Jährlich über 350 Seminare mit den Schwerpunkten IT-Sicherheit, Datenschutz, Recht & Regulierung, Big Data & KI, Nachhaltigkeit sowie digitale Transformation Alle Formate auch als Inhouse-Schulung buchbar www.bitkom-akademie.de

Diese und weitere Vorfälle werfen ein Schlag- licht auf ein bisher oft unterschätztes Problem: Angriffe über die IT-Supply-Chain. Der Begriff „Supply Chain“ (Lieferkette) beschreibt das Netz- werk aus zugelieferten Teilprodukten und Leis- tungen, die zusammen die IT-Infrastruktur einer Organisation bilden. Dies gilt allgemein für alle Produkte und Dienstleistungen, ganz besonders aber im Kontext von Software und Cloud-Diens- ten. In der Cloud-Supply-Chain setzt sich die Lie- ferkette oft wenig transparent aus einer Vielzahl von Lieferanten und Produkten zusammen. WENN VERTRAUEN UNANGEBRACHT IST Die Bandbreite der Produkte, die zur Cloud Sup- ply Chain beitragen, reicht von der zugrunde liegenden Hardware über Betriebssysteme bis zu den Softwarekomponenten des eigentlichen Dienstes. Darüber hinaus sind Software und Komponenten enthalten, die entweder direkt (wie Bibliotheken) oder indirekt (wie Datenban- ken oder andere Cloud-Dienste) integriert wer- den. Diese wiederum sind Teil der Lieferkette, ebenso wie die Produkte, die zu ihrer Entwick- lung beigetragen haben. Es kommt nicht selten vor, dass dieselben Komponenten in verschiede- nen Versionen parallel verwendet werden. Das zentrale Problem im Bereich der IT-Sicher- heit ist folgendes: Den verwendeten Kompo- nenten wird ein erhebliches Maß an Vertrauen entgegengebracht. Bezogene Software und Dienste werden mit privilegierten Rechten be- trieben. Das bedeutet, dass ein Angreifer, der über die Supply-Chain eindringt, diese Privile- gien nutzen kann, um umfassenden Zugriff auf Systeme und Daten zu erlangen. Gleichzeitig ist die Supply-Chain oft undurchsichtig. Benut- zer haben in der Regel keine Kenntnis über die einzelnen Komponenten, die in den von ihnen genutzten Diensten eingesetzt werden, und sind daher auf den Anbieter angewiesen, wenn es um die Sicherheit geht. Dieses Problem tritt besonders stark auf, wenn es um Cloud-Dienste geht, die als Software- as-a-Service bereitgestellt werden. Hier ist die Lieferkette besonders komplex, und die Be- nutzer haben nur sehr begrenzte Einblicke und Einflussmöglichkeiten. Aber auch herkömmliche Software, die lokal betrieben wird, greift immer häufiger auf Cloud-Ressourcen zurück, beispiels- weise über Cloud-APIs. Das Problem der privi- legierten Vertrauensstellung in Verbindung mit mangelnder Transparenz erstreckt sich daher auch in die Tiefe der Supply-Chain. Zwei weitere Beispiele sollen das Problem verdeutlichen: Im Dezember 2021 wurde eine gravierende Si- cherheitslücke in der Java-Bibliothek Apache Log4J bekannt. Dieses Framework wird zur Pro- tokollierung von Ereignissen und zur Verwaltung von Log-Daten in Anwendungen verwendet. Die Sicherheitslücke ermöglichte es Angrei- fern, auf einfache Weise beliebigen Code in den Server einzuschleusen und auszuführen, was zur Übernahme des Systems führte. Besondere Aufmerksamkeit erlangte diese Lücke, da Log4J in zahlreichen Softwareprojekten und Systemen weit verbreitet ist, darunter Webanwendungen, Server, Netzwerkkomponenten und andere Soft- warelösungen. Nach der Entdeckung der Lücke stellten sich vie- le IT-Verantwortliche die Frage, ob ihre Systeme betroffen waren. Die Antwort auf diese schein- bar einfache Frage erwies sich oft als problema- tisch, da die Transparenz über die in der IT ver- wendeten Komponenten fehlte. Dies erschwerte die Umsetzung von Schutzmaßnahmen gegen eine solche Sicherheitslücke praktisch. Ein weiteres Beispiel aus der Vergangenheit ist der sogenannte „Heartbleed-Bug“, der im April 2014 in der weit verbreiteten OpenSSL-Soft- warebibliothek entdeckt wurde. Diese Bibliothek wird zur Implementierung von SSL/TLS-Ver- schlüsselung in vielen Internetdiensten ver- wendet. Der Fehler ermöglichte es Angreifern, vertrauliche Informationen aus dem Speicher eines entfernten Servers auszulesen, ohne sich gegenüber dem Server zu authentifizieren. Konkret konnte ein Angreifer manipulierte „Heartbeat“-Nachrichten senden, die dazu führ- ten, dass der Server einen kleinen Teil seines Speichers zurücksendete, bis zu 64 Kilobyte. Dieser Speicherinhalt konnte sensible Daten wie Passwörter, private Schlüssel und ande- re vertrauliche Informationen enthalten, die normalerweise im Arbeitsspeicher des Servers gespeichert waren. Bei der Untersuchung der Schwachstelle stellte sich heraus, dass der fehlerhafte Teil der Software nur von zwei Open-Source-Entwicklern erstellt worden war und offenbar keine gründliche Codeprüfung stattgefunden hatte. Dennoch wurde diese Soft- ware weitreichend in vielen Anwendungen und www.gfos.com HOSTING ZUVERLÄSSIGKEIT, DIE SIE VERDIENEN: UNSER HOSTING. Die GFOS knownCloud als Ihr Erfolgsgarant. Der persönliche Austausch ist uns wichtig. GFOS Messetermine s t n e v e / s o f g / m o c . s o f g . m o c . e b o d a k c o t s - a n a m i l e v a r T ; . m o c . e b o d a k c o t s - y b n e r e k : d l i B

So private wie nötig, so public wie möglich. secunet – Cloud-Lösungen zu Ende gedacht. Als langjähriger IT-Sicherheitspartner der Bundesrepublik Deutschland gestalten wir schon heute souveräne Cloud-Lösungen ganz nach Ihren Bedürfnissen – on-premise, public oder auch kombiniert als flexible Hybrid Cloud. secunet.com protecting digital infrastructures

SCHWERPUNKT: SICHERHEIT IN UND AUS DER CLOUD Sicherheitsprogramme professionell umzuset- zen und Kosten zu sparen. Hohe Flexibilität Unternehmen, die auf das Modell CISO as a Service setzen, können außerdem von flexib- len Abo-Modellen profitieren und sind nicht an langfristige und gegebenenfalls schwer kündba- re Arbeitsverträge gebunden. Das Modell bietet Flexibilität und ermöglicht es Unternehmen mit einem ausgeprägten Saisongeschäft, bedarfs- gerecht zu steuern und bei Auslastungsspitzen hochzuschrauben. Auch kann ein CISO-as-a-Ser- vice-Modell eine gute Interimslösung sein, bis eine offene Stelle besetzt wurde. Umfassende Erfahrung und Know-how Was gelegentlich als potenzieller Nachteil des CISO-as-a-Service-Modells angesehen wird, erweist sich tatsächlich als eine seiner größ- ten Stärken: Die Experten, die solche Dienste anbieten, arbeiten für eine breite Palette von Unternehmen. Dies bedeutet, dass sie Einblicke in verschiedene Branchen, IT-Infrastrukturen und Unternehmensgrößen haben und mit einer Vielzahl von Sicherheitsvorfällen sowie aktuellen Angriffstaktiken vertraut sind. Aufgrund dieses umfangreichen Erfahrungsschatzes sind sie in der Lage, fundierte Risikobewertungen durchzu- führen und Sicherheitsstrategien abzuleiten. Die Sorge mancher Unternehmen, nicht oberste Priorität zu haben, kann durch entsprechende Service Level Agreements (SLAs) abgemildert werden. Einige Anbieter, die ihre Beratungs- dienste in Kombination mit SOC as a Service (Security Operations Center) anbieten, stellen sogar jedem Kunden einen eigenen Berater aus einem sogenannten Concierge-Security-Team zur Verfügung. Dieser Berater dient als ständi- ger Ansprechpartner für Fragen und fungiert als Sparringspartner und Berater für die Planung, Umsetzung und Verbesserung der IT-Sicher- heitsstrategie. WAS UNTERNEHMEN BEACHTEN SOLLTEN Auf langfristige Partnerschaft setzen Wie zu Beginn erwähnt, ist ein guter CISO ei- ner, der das Unternehmen mit seinen Abteilun- gen, Akteuren und Prozessen genau kennt und versteht. Dazu braucht er das Vertrauen aller Beteiligten. Denn nur so erhält er oder sie tiefe Einblicke und die Informationen, die es wirklich . m o c . e b o d a k c o t s - t u w a h t u N : d l i B braucht: Wo hakt es aktuell? Welche Sicherheits- lücken sind inoffiziell bekannt, wurden intern aber noch nicht kommuniziert? An welchen Stellen werden Sicherheitsmaßnahmen ausge- hebelt, weil sie Arbeitsprozesse erheblich behin- dern, – um nur einige Beispiele zu nennen. Wer auf einen CISO as a Service setzt, sollte sich daher vorher überlegen, wie lange der externe Support eingesetzt werden soll. Die Sicherheits- experten müssen sich mit dem Unternehmen, dessen IT-Infrastruktur und Business-Prozessen vertraut machen, um maßgeschneiderte und belastbare strategische Empfehlungen geben zu können. Geht es beispielsweise lediglich um die Risikobewertung bei der Implementierung einer neuen Technologie, kann eine externe Be- ratungsfirma, die themenzentrisch arbeitet, die bessere Lösung sein. Wer beste Ergebnisse mit dem CISO-as-a-Ser- vice-Modell erreichen möchte, sollte an einer langfristigen Partnerschaft und nicht an einer On-Off-Beziehung interessiert sein. Es kann sinnvoll sein, auf einen Partner zu setzen, der bereits mit weiteren IT-Projekten im Unterneh- men betraut ist. Doch Achtung: Insbesondere bei bestimmten Service-Kombinationen kann es zu Zielkonflikten kommen. Wenn beispielsweise die eingesetzten Netzwerkdienste vom gleichen Anbieter bereitgestellt werden wie der CISO- as-a-Service-Dienst, kann es passieren, dass die Anbieter ihre Kunden weniger auf eigene Unzu- länglichkeiten hinweisen. Das kann absichtlich passieren oder aus eigener Betriebsblindheit. Daher sollten Service-Kombinationen im Voraus und im Hinblick auf die Segregation of Duty, sprich die Funktionstrennung, überprüft werden. Keine Strategie ohne Operations Mit einem CISO holt man sich einen strategi- schen Experten ins Haus. Ein CISO allein löst jedoch nicht die Sicherheitsprobleme. Denn nachdem Risiken erkannt und eine Sicherheits- strategie aufgestellt ist, geht es an die Umset- zung sowie die kontinuierliche Überwachung der Sicherheitsinfrastruktur. Dazu braucht es ein ausreichend großes und qualifiziertes Team. Ist dieses intern nicht verfügbar, können auch hier externe Sicherheitspartner helfen. SOC-as- a-Service-Anbieter bieten Security-Operations- Dienste und fungieren als verlängerte Werkbank der internen Teams. Einige Anbieter kombinieren reaktive SOC-Dienste, wie 24/7 Monitoring und Threat Detection & Response mit proaktiven Be- ratungsdiensten zur langfristigen Verbesserung der Security Posture und bieten Unternehmen so eine Rundum-Unterstützung. Die Verantwortung bleibt beim Unternehmen Die Nutzung eines externen CISO-Dienstes be- deutet nicht, dass Unternehmen die gesamte Verantwortung für die IT-Sicherheit abgeben. Das müssen sich Entscheider und das Manage- ment bewusst machen. Im besten Fall holen sie sich mit einem solchen Dienst einen starken Partner an Bord, der mit unverstelltem und un- voreingenommenem Blick die IT-Infrastruktur analysiert, Risiken identifiziert und Empfehlun- gen gibt, mit welchen Maßnahmen man diese Baustellen möglichst schnell beheben kann. Die Verantwortung liegt jedoch beim Unternehmen. Es muss entscheiden, welche Risiken akzep- tiert und welche mitigiert werden sollen. Umso wichtiger ist es, einen kompetenten Partner zu wählen, auf dessen Einschätzung man vertrauen kann. Logisitik und Scope klären Wenn ein externer Partner wichtige Sicher- heitsaufgaben übernimmt, müssen gleich zu Beginn die Rahmenbedingungen der Kooperati- on geklärt werden. Dazu gehört zum einen eine genaue Definition der Aufgaben, die der externe CISO-Service übernehmen soll. Dies kann im Laufe der Zeit jedoch auch immer wieder ange- passt werden. Außerdem muss genau definiert werden, wie häufig und an wen externe Sicher- heitsberater berichten, beziehungsweise in wel- cher Frequenz Status-Updates und Strategieplä- ne besprochen und erarbeitet werden. Werden die genannten Aspekte berücksichtigt, sind CISO-as-a-Service-Modelle eine wirtschaft- lich und sicherheitstechnisch attraktive Lösung, von der insbesondere kleine und mittlere Unter- nehmen häufig stärker profitieren als von einem eigenen CISO und von einem kompletten inter- nen IT-Sicherheitsteam. n DR. SEBASTIAN SCHMERL, Director Security Services EMEA bei Arctic Wolf IT-SICHERHEIT_5/2023 25

– ADVERTORIAL – die Bedrohungslage durch Ransomware & Co. steigt, scheuen sie das Risiko von Produktionsausfällen durch fehlgeleitete Scans und Patches. Nicht nur die Intervalle, in denen moderne OT-Software aktualisiert werden muss, verkürzen sich, auch Sicherheitssoftware ist davon betroffen. Vor allem Bedrohungsinformationen müssen regelmäßig aktualisiert werden – ein Alptraum für OT-Verantwortliche. IT-Sicherheit im Einklang mit OT-Sicherheit Die Belange der IT-Sicherheitsbeauftragten, den Zugriff von Externen auf die Netzwerke – sei es Office-IT oder -OT – einzuschränken, teilt die OT, nicht aber die Mittel und Wege, die sie dafür aufwenden und beschreiten. Eine bessere Zusammenarbeit muss genau an dieser Stelle ansetzen. In OT/ICS-Netzarchitekturen hat die Verfügbarkeit Vorrang vor der Vertraulichkeit, und bei den meisten Entscheidungsprozessen steht die Produktivität im Vordergrund. Im Zuge des technologischen Fortschritts müssen beide Seiten die entsprechenden Strategien koordinieren und enger zusammenarbeiten, um eine durchgängige Informationssicherheit zu erreichen. Darüber hinaus müssen sich IT-Sicherheitsverantwortliche eingestehen, dass sie in anspruchsvollen OT-Umgebungen mit traditioneller IT-Sicherheitssoftware auf verlorenem Posten stehen. Das Verständnis für größere Anstrengungen bei der Absicherung von OT-Umgebungen vor Cyberbedrohungen ist bei den Unternehmen über die Jahre gewachsen. Dennoch stellt sich die Frage, warum es immer noch zu Vorfällen kommt. Die Antwort liegt im Einsatz von IT-Lösungen anstelle von OT-Cybersicherheitslösungen in der OT-Umgebung. Viele Unternehmen erwägen die Wiederverwendung bereits eingesetzter IT-Lösungen im OT-Bereich. Weitere Gründe sind der Fachkräftemangel in der Cybersicherheit, Konfigurationsfehler, Schatten-OT oder auch veraltete Software, die aus verschiedensten Gründen nicht gepatcht und nicht ausreichend abgesichert ist. Lösungsansatz: OT-Zero Trust Moderne OT-Sicherheitssoftware, die auf dem Zero-Trust-Konzept basiert, mindert die Gefahr, Opfer eines Ransomware-Vorfalls zu werden. OT-native Lösungen wie die von TXOne Networks sind speziell auf die Anforderungen der OT zugeschnitten. Sie verstehen die spezifischen Protokolle und den gewünschten Output dieser Maschinen, um Veränderungen, böswillige Rekonfigurationen und den Missbrauch von OT-Ressourcen zu verhindern. Dafür nehmen sie eine kontinuierliche Überprüfung der OT-Umgebung vor und setzen Zero Trust mit einer gerätezentrierten Perspektive um. Wenn der gesamte OT-Security- Ansatz darauf ausgerichtet ist, dann findet eine kontinuierliche und automatisierte Sicherheitsüberprüfung jedes OT-Geräts statt – und dies während des gesamten Lebenszyklus. n Mehr über das OT-Zero-Trust-Konzept erfahren Sie hier: https://www.txone.com/getting-started/the-ot-zero- trust-handbook/ IT-SICHERHEIT_5/2023 27 Abbildung 1: Cybersicherheitsvorfälle durch LockBit in 2022 in der Übersicht (Quelle TXOne Networks 2023) OT-Betrieb vs. IT-Sicherheit Gründe für die sich zuspitzende Bedrohungslage liegen in der eingangs beschriebenen zunehmenden Komplexität der OT und der mangelnden Transparenz der Sicherheitsfunktionen von Drittanbietern. Daraus entstehen ernsthafte Herausforderungen für die IT-Sicherheit der betroffenen Unternehmen. Die Ergebnisse einer aktuellen Studie zeigen, dass lediglich 6 Prozent der Unternehmen ihre Windows-Geräte zu 100 Prozent durch Endpoint-Security-Lösungen absichern. Und das, obwohl 93 Prozent der Unternehmen mindestens eine OT-Cyber sicher- heitslösung implementiert haben. Auch wenn 85 Prozent planen, ihre OT-Sicherheitskapazitäten in Zukunft zu erweitern, bleibt die Ungewissheit, ob angesichts dieser Zahlen eine lückenlose Überwachung gelingen kann. Die Diskrepanz liegt vor allem in den vielen Geräten, die der IT-Sicherheit unbekannt sind und durch die Vernetzung von IT und OT miteinander kommunizieren. Diese zum Teil kritischen Steuerungen nutzen häufig Betriebssoftware, die sich nur schwer regelmäßig aktualisieren lässt. Noch schwieriger ist es, zeitkritische Patches einzuspielen, beispielsweise wenn CERT-Bund, CISA und vergleichbare Organisationen ihre Schwachstellen- Advisories herausgeben. Industriesteuerungen reagieren empfindlich auf Eingriffe, vor allem, wenn ihre CPUs mit der Verarbeitung von mehrstufigen Produktionsaufträgen beschäftigt sind. Die Komplexität entsteht bereits bei der Ausführung von einfachen Scans der Sicherheitssoftware auf den Geräten. Aus diesem Grund führen viele der Lösungen nur passive Scans durch, die nicht immer zu den gewünschten Ergebnissen führen. Die Herausforderung für die IT-Sicherheitsteams besteht also zusätzlich darin, dass ihnen der Einblick in die Prozesse fehlt, die auf den Geräten ausgeführt werden. Obwohl vielen OT-Verantwortlichen bewusst ist, dass

IT-RECHT | KÜNSTLICHE INTELLIGENZ Innovieren bestehender Produkte und Dienstleistungen Beispiel: Predictive-Maintenance-as-a-Service (PMaaS) bei Industrie-4.0-Anwendungen In diesem Kontext bieten externe Anbieter die Möglich- keit der vorausschauenden Wartung als Dienstleistung an. Dies erlaubt kleineren Industrieunternehmen, ihre Wartungsanforderungen an Dritte zu übertragen und sich auf ihre Hauptkompetenzen zu fokussieren. Durch die Nutzung von „Predictive Maintenance as a Service (PMaaS)“ können Hersteller nicht nur Betriebskosten reduzieren, sondern auch die Laufzeit ihrer Anlagen ver- längern. Dank des Ansatzes „Software as a Service (SaaS)“ und der Gewährleistung bestimmter industrieller Verfüg- barkeiten können maßgeschneiderte Service-Level-Ver- einbarungen (SLAs) abgeschlossen werden. Diese verla- gern insgesamt das Investitionsrisiko vom Hersteller auf den PMaaS-Anbieter. Hierdurch können Hersteller Wett- bewerbsvorteile gegenüber ihrer Konkurrenz generieren. Bei der Suche nach sinnvollen Use-Cases kann zudem eine KI-Reifegradanalyse dienlich sein. Hier wird eine Inventur bereits bestehender KI-Assets vorgenommen. Das „AI Maturity Level“ gibt Aufschluss darüber, welche technischen Synergien genutzt werden können. Sie stellt sich aber auch als Gap-Analyse dar, auf deren Grundlage evaluiert werden kann, welche Ressourcen noch fehlen und benötigt werden. Sobald ein Anwendungsfall identifiziert wurde, ist es wichtig, ihn zu priorisieren und sicherzustellen, dass die Zustimmung der beteiligten Parteien gegeben ist. HÜRDEN BEI DER IMPLEMENTIE- RUNG VON KI IM UNTERNEHMEN In der Praxis misslingt bei KI-Projekten häufig die Über- führung von Prototypen aus der Pilotphase in den Pro- duktivbetrieb. Wenn das KI-Projekt am „Proof of Con- cept“ scheitert, kann dies viele Ursache haben. Häufig entsteht ein Verschleiß durch falsche Arbeitsteilung. Bei- spielsweise sind Data Scientists hervorragend befähigt, KI-Modelle und deren Performance zu optimieren. Sie verfügen jedoch oftmals nicht über die erforderliche Ex- pertise, KI-Modelle auch produktiv zu betreiben. Dafür ist zusätzliches Know-how in den Bereichen Software- und Data-Engineering erforderlich. Damit KI-Use-Cases Compliance-konform entwickelt und marktreif lanciert werden können, bedarf es zudem projektphasenübergreifend einer abgestimmten Legal Governance, um später nicht an der Schlussfreigabe zu scheitern. Als Beispiel sei hier insbesondere der Artifi- cial Intelligence Act (AIA) angeführt, der horizontal, also sektorenübergreifend, einen Rechtsrahmen für „trust- worhty AI“ schaffen will. Das Gesetz befindet sich aktuell im Trilog. Es ist zu erwarten, dass die Einigung zwischen EU-Parlament, EU-Kommission und EU-Rat über die finale Fassung der Verordnung noch Ende dieses Jahres erreicht werden kann. Da der AIA voraussichtlich eine Umsetzungsfrist von zwei Jahren vorsehen wird, werden die gesetzlichen Anforderungen wohl erst im Jahr 2026 konkret umzusetzen sein. Damit scheint das Gesetz cura posterior zu sein. Da die Anforderungen aus dem AIA jedoch komplex und vielschichtig sind und KI-Projekte eine längere Vorlaufzeit benötigen, ist es unbedingt an- gezeigt, bereits heute adäquate Vorkehrungen treffen. Für bestimmte KI-Anwendungen, die durch den AIA als hochrisikoreich klassifiziert werden, müssen nach Er- wägungsgrund (ErwG.) 46 AIA Informationen darüber bereitgehalten werden, wie diese Systeme entwickelt wurden und wie sie während ihres Lebenszyklus funkti- onieren. Dies erfordert die Führung von Aufzeichnungen und die Verfügbarkeit einer technischen Dokumenta- tion, die alle relevanten Informationen enthält, damit die Einhaltung der einschlägigen Anforderungen durch das KI-System beurteilt werden kann. Diese Informatio- nen sollten die allgemeinen Merkmale, Fähigkeiten und Grenzen des Systems, die verwendeten Algorithmen, Daten, Trainings-, Test- und Validierungsverfahren sowie die Dokumentation des einschlägigen Risikomanage- mentsystems umfassen. Fehlen dafür adäquate Metho- den, kann eine Compliance der KI-Modelle nicht ge- währleistet werden. Auch lassen sich die Betriebskosten des KI-Projektes dann nur unzulänglich bemessen. KI-LIFECYCLE-MANAGEMENT MITHILFE VON MACHINE- LEARNING-OPERATIONS Der gesamte Lebenszyklus von KI-Anwendungen lässt sich mithilfe von „Machine Learning Operations“ (MLOps) abbilden und managen. Dabei handelt es sich um ein technisch-organisatorisches Tool, welches drei Fachbereiche miteinander verzahnt: ƒ Maschinelles Lernen ƒ Software-Engineering und ƒ Data Engineering. Es erleichtert also die interdisziplinäre Teamarbeit zwi- schen Data Scientists, Softwareentwicklern und Deve- lopment-and-Operations-(DevOps)-Teams. Dies ermög- licht eine verschleißfreie Entwicklung von KI-Modellen in deren Produktionsumgebungen. Auch kann MLOps durch integrierte Compliance-Prozesse in den unter- schiedlichen Projektphasen bei der Einhaltung von ge- setzlichen Anforderungen helfen. Auf diese Weise lassen sich die Modelle schnell und rechtssicher bereitstellen. Damit sind Unternehmen in der Lage, ihren KI-Use- IT-SICHERHEIT_5/2023 IT-SICHERHEIT_5/2023 29 29

IT-RECHT | KÜNSTLICHE INTELLIGENZ ningsdaten der KI weiterverarbeitet werden. In diesen Konstellationen liegt eine Zweckänderung vor, die nur in sehr engen Grenzen gestattet ist. Aus diesem Grund be- darf es bereits vor der Eingabe von Daten in die KI einer präzisen Festlegung des Verarbeitungszwecks. Selbstler- nende Algorithmen zeichnen sich aber dadurch aus, dass sich die Zwecke der Verarbeitung parallel zur Weiterent- wicklung des KI-Systems dynamisch verändern können. Diese autonomen, adaptiven Änderungen sind kaum sicher vorhersehbar. Das ist der tiefere Grund dafür, dass die Verarbeitungszwecke nicht vor Beginn der Datenver- arbeitung monolithisch festgelegt werden können. Zudem ist die Nutzung und Weiterentwicklung von KI auf den Zugang zu Daten in hoher Qualität und Men- ge angewiesen. Fehlende oder minderqualitative Daten sind eine praktische Herausforderung. Dies konfligiert mit dem Grundsatz der Datenminimierung nach Art. 5 Abs. 1 lit. c DSGVO. Danach müssen personenbezogene Daten unter anderem auf das für den konkreten Zweck einer Verarbeitung notwendige Maß beschränkt sein. Oftmals lässt sich in der Praxis das Spannungsverhältnis zu den Artt. 5 Abs. 1 lit. b und c DSGVO auflösen, indem der Umfang der genutzten personenbezogenen Trai- ningsdaten reduziert wird. Dies lässt sich auch bewerk- stelligen, ohne die Qualität der KI-Systeme zu beein- trächtigen. Hierfür werden nicht relevante Daten (teils unter großem Aufwand) herausgefiltert oder anonymi- siert. Zusätzlich kann auf synthetische Trainingsdaten, die auch über Drittanbieter zugekauft werden können oder auf datenschutzfreundliche Trainingsmethoden wie „föderales Lernen“, zurückgegriffen werden. Hier- durch lassen sich der Umfang der verarbeiteten Daten und die Rückschlüsse auf einzelne Betroffene reduzie- ren. Bezogen auf den Datenschutz ist an vielen Stellen also eine pragmatische und risikoorientierte Vorgehens- weise angezeigt. Hochrisiko-KI nach dem AIA muss ein neues Trainings- datenregime beachten. Insbesondere die Anforderungen an die Daten-Governance, die faktisch ein Trainingsda- tenregime darstellen, sind eine besondere Herausforde- rung. So schreibt Art. 10 Abs. 3 AIA vor, dass Trainings-, Validierungs- und Testdatensätze fehlerfrei und vollstän- dig sein müssen. Es ist praktisch unmöglich, die riesigen Datenmengen auf Fehlerfreiheit zu untersuchen. Diesem Umstand trägt glücklicherweise eine Änderung im Par- lamentsentwurf Rechnung, die aller Voraussicht nach im finalen Verordnungstext enthalten sein wird. Nach Art. 10 Abs. 3 AIA-ÄndV-P müssen die Trainingsdaten- sätze und gegebenenfalls die Validierungs- und Testda- tensätze einschließlich der Kennzeichnungen, relevant, hinreichend repräsentativ und angemessen auf Fehler überprüft und im Hinblick auf den beabsichtigten Zweck so vollständig wie möglich sein. IT-SICHERHEIT_5/2023 31 m o e.c b o d k.a c er - sto H. Bra u genuinen Kompetenzbereich projektbegleitender juristi- scher Consultants. Trainingsdatenset und Data Governance Hier sind zunächst datenschutzrechtliche Spannungen zu betrachten. Der Einsatz von KI dient häufig dazu, Er- kenntnisse zu gewinnen, die aus Sekundärverarbeitungen herrühren. Dieser Umstand birgt Konfliktpotenzial mit dem Datenschutzrecht. Personenbezogene Daten dürfen nach Art. 5 Abs. 1 lit. b DSGVO nur im Rahmen von vor der Verarbeitung festgelegter, eindeutiger und legitimer Zwecke verarbeitet werden. Jede darüber hinausgehende Verarbeitung bedarf einer separaten Rechtsgrundlage. Dies wird virulent, wenn personenbezogene Daten im Anschluss an die ursprüngliche Verarbeitung als Trai-

www.itsicherheit-online.com Heft im Heft Expo&Congress it-sa 2023 Von DevOps zu DevSecOps Microgateways als Wegbereiter für sichere Softwareentwicklung Mobile-Device- Management Die zehn wichtigsten Heraus- forderungen meistern Marküberblick Relevante Hersteller/Dienst- leister und ihre Angebote

Inhalt 34 Editorial Anbieter 52 Top-Cyberschutz durch All-in-one-Ansatz 54 Sicherheit für Ihre IT-Infra struktur: Schützen Sie Ihr Unternehmen vor digitalen Bedrohungen 56 Kleine und mittlere Unternehmen sind bevorzugte Ziele für Cyberkriminalität 58 Proaktiv gegen Cyberattacken 60 Sicherheitskritische Ereignisse mit Argusaugen überwachen 62 Warum Applikations- und API-Sicherheit verschärfte Aufmerksamkeit erfordern Airlock bringt Top-Themen auf die it-sa 36 Was die Besucher dieses Jahr auf der it-sa erwartet Spitzen-Know-how und Lösungen in konzentrierter Form 40 Sicherheitsgetriebene Digitalisierung: Self-Service für Identity- und Access- Management IT-Security – Schutzschild und Treiber der Digitalisierung 42 So schützen sich mittelständische Unternehmen vor Cyberangriffen Cybersicherheit für das kleine Budget 44 Mit Zero Trust und NAC zur effizienten Sicherheitsstrategie Cyberkriminalität: Mittelstand im Fadenkreuz der Angreifer 46 Neue Studie: IT-Sicherheit im Mittelstand Drei Erkenntnisse, die Unternehmen schützen könnten 48 Wie Mobile-Device-Management Sicher heitsrisiken für Unternehmen reduziert Damit mobile Geräte nicht zum trojanischen Pferd werden 50 Wie Microgateways den Boden für Sicherheit in der Softwareentwicklung bereiten Von DevOps zu DevSecOps SPECIAL_5/2023 IT-SA 2023 35

◀ Die Eingangshalle der it-sa. (Bild: NürnbergMesse/Thomas Geiger) immer wieder die Aufmerksamkeit eines breiten Publikums auf sich ziehen. Ein besonders drängendes Thema, dem sich die „it-sa in- sights“ widmen, ist der Fachkräftemangel in der IT-Sicher- heitsbranche. Mehrere Panels unter dem Motto „Women in Cybersecurity“ werden sich mit Fragen zur Förderung von Frauen in der IT-Sicherheit beschäftigen. Expertinnen aus IT- Sicherheitsunternehmen, Behörden und Forschungseinrich- tungen werden über Ausbildungsformate, -strategien und den Beitrag von Diversität zur Unternehmensstrategie sprechen. Preis für bestes Cybersecurity-Start-up Der ATHENE Startup Award UP@it-sa würdigt erfolgreiche Neugründungen und aussichtsreiche junge Unternehmen im Bereich IT-Sicherheit und Datenschutz. Innovative Produkte und attraktive Geschäftsmodelle stehen dabei im Mittelpunkt. Zu den Highlights zählt dieses Jahr etwa eine Enclavation- Technologie, die für ein Höchstmaß an Anwendungssicherheit und Datenschutz sorgen soll. Ein anderes Unternehmen prä- Unsere Kunden vergessen gerne, dass wir für sie da sind. Ihre Cyberangreifer nicht. Lassen Sie Cyberangreifer einfach gegen eine unsichtbare Wand laufen! Wehren Sie hochentwickelte und persistente Malware- und Phishing-Angriffe effektiv ab und verhindern Sie, dass Cyberkriminelle sensible Daten stehlen, Systeme lahmlegen, Konten plündern oder Lösegeld erpressen. Mit der patentierten Email Security von Retarus sichern Sie Ihr Unternehmen, Ihre Anwender und Daten zuverlässig gegen alle bekannten Cybergefahren und deren Folgen ab. Als Cloud-Gateway nahtlos integrierbar in jedes E-Mail-System. Egal, ob Cloud, Hybrid oder On-Premises. retarus.de MAKING A VISIBLE DIFFERENCE IN COMMUNICATION. Anzeige HALLE 7 STAND 109 Besuchen Sie Retarus am noris-Stand auf der diesjährigen it-sa in Nürnberg. sentiert eine Technologie für Quantencomputer, die einige ak-tuelle, mathematisch basierte Verschlüsselungstechnologien in Frage stellen werden. Das Start-up-Unternehmen entwi-ckelt Systeme zum Quantenschlüsselaustausch (Quantum Key Distribution, QKD), die auf verschränkten Photonen basieren. Der Pitch der insgesamt fünf Unternehmen um den begehrten Preis als bestes Cybersecurity-Start-up aus dem DACH-Raum findet am 11. Oktober statt. Der Award wird jährlich auf der it-sa Expo&Congress vergeben.Weitere Informationen zum ATHENE Startup Award UP23@it-sa: www.itsa365.de/up-awardZu den weiteren Preisverleihungen zählt unter anderem der IBCRM Resilience Award, der vorbildhafte Beispiele der engen Verzahnung von Informations- und IT-Sicherheit, Da-tenschutz, Business Continuity Management und anderen Disziplinen würdigt.Congress@it-sa mit Jahrestagung von IT-SicherheitsbeauftragtenParallel zur Messe bündelt Congress@it-sa fast 50 Know-ledge-Angebote und Workshops von Ausstellern. Auch in diesem Jahr findet die Jahrestagung der IT-Sicherheitsbe-auftragten in Ländern und Kommunen unter dem Dach des

Impressionen von der it-sa 2022. (NuernbergMesse/Frank Boxler) ▶ blicke in das Cyber-Profiling, spricht über die Zukunft des Social Engineering und darüber, wie Unternehmen eine menschliche Firewall aufbauen. Die Special Keynote findet am dritten Mes- setag im internationalen Forum statt. Mehr zum Vortrag erfahren Sie im Interview mit Mark T. Hofmann: www. itsa365/interview-keynote Attraktive Beteiligungs- möglichkeiten im Rahmen der it-sa 365 Weiterhin bietet die Messe auch etwas für alle, die zu Hause bleiben müssen: Über die digitale Plattform it-sa365, auf der sich mittlerweile rund 10.000 Mitglieder regelmäßig in- formieren und austauschen, wird die it-sa parallel zur Ver- anstaltung vor Ort online erlebbar. So werden Vorträge aus der Reihe „it-sa insights“ live ins Internet übertragen, und die User können an Live-Interviews mit Ausstellern teilnehmen. Das Angebot wird über „it-sa@home“ als eigener Programm- punkt auf der Plattform gebündelt. Insgesamt verspricht die it-sa Expo&Congress 2023 er- neut ein spannendes und informatives Event zu werden, das die aktuellen Entwicklungen und Herausforderungen in der IT-Sicherheitsbranche umfassend beleuchtet und einen um- fangreichen Rahmen für Networking und Wissensaustausch bietet. n S.M. Anzeige Wir sind IT-Sicherheit! Besuchen Sie uns auf der it-sa 2023. Halle 7 Stand 503

IT-Sicherheit durch Self-Service für Identity- und Access-Management Ein universelles Eintrittsticket für die digitale Unterneh- menswelt – das ist das Wesen des Identity-Managements. Es befasst sich mit der Verwaltung von Mitarbeiteridentitäten und ihren Zugriffsrechten – ein entscheidender Baustein, um Datenschutz und Compliance zu gewährleisten. Ganz gleich, ob über unterschiedliche Konten oder Ordner: Jeder Zugriff wird digital erfasst und nachvollziehbar gemacht – ein Sys- tem, das auf klaren Rollen und Regeln basiert. Doch in vielen Organisationen werden diese Prozesse noch manuell von der IT verwaltet. Laufzettel und Ticketan- fragen sind an der Tagesordnung, während die Dokumen- tation oft in Excel-Tabellen stattfindet. Diese Brüche im Sys- tem und die Hektik bei spontanen Abstimmungen erhöhen das Risiko von Angriffen und schaffen Intransparenz – ein Alptraum bei Audits. Es geht allerdings auch einfacher. Mit einer Software, die Mitarbeitern Self-Service anbietet, ergeben sich zahlreiche Vorteile. Durch aktive Teilnahme am Identity-Management schaffen Unternehmen ein Bewusstsein für IT-Sicherheit und gewinnen die Belegschaft als Verbündete für die Sicher- heitsstrategie. Die IT-Administration wiederum profitiert von weniger Anfragen, da die Selbstbedienung das Identitätsma- nagement erleichtert. Und das Beste: Durch automatisierte Zu- weisungen und Überwachung behalten Unternehmen stets den Überblick. passenden Durchwahlnummer beim Helpdesk? Der Schein von Sicherheit bei dieser Methode trügt leider auch. Viele Unternehmen verlagern die Aufgabe des Password Reset daher an sogenannte Key-User, die vor Ort von den Hil- fesuchenden kontaktiert werden. Dass gerade nach Urlaubs- zeiten Anfragen zum Password Reset stark ansteigen und dort Kapazitäten im Fachbereich binden, wird oftmals in Kauf ge- nommen. Nicht zu vergessen: Auch solche Vorgänge sind nur sehr eingeschränkt auditierbar. Self-Service als Wegbereiter der Digitalisierung? Diese Lösungen bieten Unternehmen und Mitarbeitern gleichermaßen zahlreiche Vorteile. Doch sind sie der Schlüs- sel zur sicherheitsgetriebenen Digitalisierung? Als wichtigste Voraussetzung für den Erfolg gilt Einfachheit. Ein einfaches, verständliches Tool, das nahtlos in den Arbeitsalltag inte- griert werden kann – ohne zusätzlichen Aufwand – steigert die Akzeptanz dank niedriger Hürden. Eine starke Akzeptanz wiederum ist der Schlüssel für den Erfolg einer Digitalisie- rungsstrategie. Beispiel: Password Reset Es ist ein altbekanntes Szenario: Nach dem Urlaub kehren Mitarbeiter zurück und haben ihr Passwort vergessen. Die He- rausforderung: Wie authentifiziert man sie zuverlässig? Bei großen Unternehmen mit vielen Standorten ist persönliche Bekanntschaft oft Fehlanzeige. Dennoch müssen die Identitä- ten bestätigt werden. Da der Helpdesk in der Regel nicht an allen Standorten vor- handen oder sogar komplett ausgelagert ist, besteht für Mit- arbeitende nur in Ausnahmefällen die Möglichkeit, persönlich mit einem Ausweis vorbeizukommen. Außerdem sind solche Prozesse schwer zu auditieren. Das gelegentlich noch prakti- zierte Zufaxen oder der E-Mail-Versand einer Ausweiskopie ist vor allem unsicher, aber auch umständlich. Ein Anruf mit der Eine einfache Lösung bieten Softwarelösungen, die einen Self-Service für das Zurücksetzen von Passwörtern rund um die Uhr ermöglichen. Ein sicherer Schritt in Richtung Digitali- sierung, der sich auch finanziell auszahlt. Fazit: Self-Service für mehr Sicherheit und Effizienz Self-Service ist ein Wegbereiter für die digitale Zukunft. Er schafft eine solide Grundlage für IT-Sicherheit und fun- giert gleichzeitig als Motor für Innovationen. Indem Un- ternehmen auf Self-Service-Lösungen setzen, schaffen sie Raum für ihre IT-Experten. Denn wenn die Mitarbeiter sich nicht mehr um jeden Schritt des Identitätsmanagements kümmern müssen, stehen wertvolle Ressourcen für weite- re Projekte zur Verfügung. n Franziska Weiß ist Head of Sales bei BAYOOSOFT. Julia Pfeffinger ist Content Marketing Managerin bei BAYOONET. SPECIAL_5/2023 IT-SA 2023 41 T E N O O Y A B : d l i B

AKTIONSPLAN FÜR KMU: SO ENTWICKELN SIE EINEN IT-NOTFALLPLAN Ein Cybervorfall stellt eine stressige Situation dar. Es ist wichtig, im Vorfeld einige Schlüsselfragen zu klären, um für den Ernstfall gut vorbereitet zu sein und rasch handeln zu können: Welche Daten sind geschäftskritisch? Stellen Sie sicher, dass diese Daten ausreichend geschützt sind, und erstellen Sie regelmäßige Sicherungskopien. Wen muss ich im Fall eines Zwischenfalls schnell kontaktieren? Erstellen Sie eine Liste der wichtigsten Kontakte, wie Partner, Zulieferer, Banken, IT-Dienstleister und Incident Response-Services. Was sind Anzeichen für einen Cybervorfall? Mögliche Alarmzeichen für einen Cybervorfall können sein: langsame Computer, häufige Abstürze oder ungewöhnliches Verhalten. Wenn Benutzer nicht mehr auf Konten oder Dokumente zugreifen können oder Lösegeldforderungen auftauchen, sollten Sie umgehend reagieren. Wie bereite ich mich auf den Ernstfall vor? ƒ Führen Sie regelmäßige interne Notfallübungen durch wie das vorübergehende Abschalten von IT-Systemen und die Wiederherstellung von Daten aus Backups. ƒ Stellen Sie sicher, dass Informationen zu Aktionsplänen und zur Notfallkommunikation offline verfügbar sind. ƒ Bereiten Sie ein Kommunikationssystem vor, über das Schlüsselpersonen sofort und sicher kommunizieren können, beispielsweise einen unabhängigen Messenger-Dienst. ƒ Erstellen Sie Vorlagen für die Krisenkommunikation, die sofort einsatzbereit sind. setzt sein könnte. Dieses Hintergrundwissen kann auch bei der Bewertung der Effektivität einer Sicherheitslösung helfen. Kostenlose Programme stehen zur Verfügung, jedoch ist der Funktionsumfang in der Regel begrenzt im Vergleich zu kos- tenpflichtiger Software. Bei der Auswahl einer Lösung sollte auf Ergebnisse unabhängiger Tests geachtet werden. Die ge- wählte Software sollte immer von der offiziellen Website des Entwicklers heruntergeladen werden. n (1) Die neue Cyberresilienz-Studie von Kaspersky gibt es hier kostenfrei zum Download: kas.pr/cyberresilienz Waldemar Bergstreiser ist General Manager DACH bei Kaspersky. SPECIAL_5/2023 IT-SA 2023 43 Auch kostengünstige Maßnahmen steigern die Cybersicherheit in klei- nen und mittleren Unternehmen effektiv. (Quelle: Kaspersky) nem Cloud-Service und auf einer alternativen Hardware zu er- stellen. Dadurch haben Sie auch dann Zugriff auf Kopien Ihrer Daten, wenn Ransomware Ihre Originaldaten verschlüsselt. Darüber hinaus ist es hilfreich, die Initiative „NO MORE RANSOM“ zu kennen. Auf ihrer Website finden Sie weitere wichtige Ratschläge und kostenfreie Entschlüsselungstools, die im Notfall als letzte Maßnahme genutzt werden können: www.nomoreransom.org/de Cybersicherheitsbewusstsein der Belegschaft schärfen Die meisten Cybervorfälle sind direkt oder indirekt auf menschliche Fehler zurückzuführen. Es ist daher ratsam, Vorkehrungen zu treffen, um sicherzustellen, dass Mitarbei- ter keine Software eigenständig installieren können. Die Ver- wendung von Standardkonten ohne Administratorrechte ver- hindert, dass Mitarbeiter unbeabsichtigt schädliche Software installieren, die sich als legitime Anwendung ausgibt. Zusätzlich sollten Maßnahmen ergriffen werden, um das Bewusstsein der Mitarbeiter für Cybersicherheit zu stärken. Regelmäßige Schulungen, die nahtlos in den Arbeitsalltag in- tegriert werden können, beispielsweise über eine interaktive Online-Plattform, bieten dem Team die Gelegenheit, gängige Bedrohungen kennenzulernen und sich das richtige Verhal- ten anzueignen. Immer wachsam bleiben Es ist aufschlussreich, den Energieverbrauch aller IT-Ge- räte im Unternehmen im Auge zu behalten. Wenn ein Gerät unerwartet langsamer wird, überhitzt oder im Leerlauf unge- wöhnlich viel Lärm verursacht, könnte dies auf eine Mining- Malware hinweisen, welche die Ressourcen des Prozessors und der Grafikkarte überlastet. Daher ist es empfehlenswert, eine Sicherheitslösung zu verwenden, die nicht nur Schadpro- gramme, sondern auch potenziell unerwünschte Installatio- nen erkennen kann. Wichtig ist auch, die relevanten Nachrichten zur Cybersi- cherheit zu verfolgen. Dies hilft dabei, über mögliche Angrif- fe informiert zu sein, denen das eigene Unternehmen ausge-

Kleine und mittelständische Unternehmen (KMU) spielen eine entscheidende Rolle in der deutschen Industrie und tra- gen maßgeblich zur Innovationskraft, Reputation und Wettbe- werbsfähigkeit bei. Oftmals sind sie Weltmarktführer in spe- zialisierten Nischen oder Produkten und zeichnen sich durch hohe Qualität aus. Die digitale Transformation bietet diesen Unternehmen die Möglichkeit, ihre Geschäftsprozesse zu op- timieren, neue Märkte zu erschließen, Kundenbeziehungen zu vertiefen und innovative Geschäftsmodelle zu entwickeln. Die Digitalisierung erfordert jedoch auch im Mittelstand eine An- passung der IT-Infrastruktur, Qualifikationen der Mitarbeiter und Unternehmenskultur an die neuen Anforderungen. KMU sehen sich dabei mit verschiedenen Herausforderungen kon- frontiert, darunter Fachkräftemangel, hohe Investitionskos- ten und mangelnde Standardisierung. Die Cyberresilienz bezieht sich auf die Fähigkeit eines Un- ternehmens, sich gegen Cyberangriffe zu schützen, diese rasch zu erkennen und angemessen darauf zu reagieren. Eine hohe Cyberresilienz erhöht nicht nur die Sicherheit des Unterneh- mens selbst, sondern auch die seiner Kunden und Partner in der Lieferkette. Daher müssen KMU ihre IT-Sicherheitsmaß- nahmen kontinuierlich überprüfen und anpassen, um sich vor den immer raffinierteren und gezielteren Angriffen der Cy- berkriminellen zu schützen. Erhöhte Resilienz dank Zero Trust Eine Zero-Trust-Strategie ist ein Konzept in der IT-Sicher- heit, bei dem keinem Gerät oder Benutzer standardmäßig ver- traut wird, bevor eine sichere Authentifizierung für den Netz- werkzugang durchgeführt wurde. Dieses Konzept folgt dem Prinzip „Nie vertrauen, immer überprüfen“. Um eine Zero-Trust-Strategie umzusetzen, kann Secure Defined Perimeter (SDP) verwendet werden. SDP ist eine praktische Anwendung des Zero-Trust-Ansatzes, bei der die Identität und der Sicherheitsstatus aller Teilnehmer im Netz- werk überprüft werden. Nur autorisierten Nutzern oder Ge- räten wird Zugang zu den benötigten Diensten gewährt. SDP ermöglicht eine flexible, sichere und benutzerorientierte Kom- munikation mit Cloud-Ressourcen, ohne dass ein Virtual Pri- vate Network (VPN) oder eine Firewall erforderlich ist. Zusätzlich kann SDP als Ergänzung zu einer bestehenden Network-Access-Control-(NAC)-Lösung verwendet werden, die die Zugriffskontrolle basierend auf den Identitäten der Endgeräte und deren Sicherheitsstatus im lokalen Netzwerk ermöglicht. Übersicht, Kontrolle und Compliance durch NAC Network Access Control erfüllt im Wesentlichen zwei Hauptanforderungen: Erstens schafft NAC eine umfassende Übersicht darüber, welche Geräte sich im Unternehmensnetzwerk befinden und wo sie angeschlossen sind. Dabei spielt die Art der Endgeräte, wie beispielsweise Computer, Drucker, Produktionssysteme, Geldautomaten, medizinische Geräte, Tablets, Smartphones oder Kühlschränke, keine Rolle. Diese Übersicht verhindert, dass unbekannte oder nicht autorisierte Systeme einfach über WLAN oder ungeschützte Netzwerkdosen auf das Netzwerk zugreifen können. Dadurch wird sichergestellt, dass im Netz- werk nur bekannte und autorisierte Systeme betrieben wer- den können. Zweitens beinhaltet die Compliance-Funktion von NAC die Überprüfung der bereits im Netzwerk befindlichen Endgerä- te, um sicherzustellen, dass sie den Sicherheitsanforderungen und individuellen Sicherheitsrichtlinien des Unternehmens entsprechen. Dies betrifft normalerweise Aspekte wie den Status von Antivirenprogrammen, Desktop-Firewalls oder die Aktualität von Sicherheitspatches. Das Ziel besteht darin, im eigenen Netzwerk nur Endgeräte und Software zuzulassen, die alle erwarteten Anforderungen erfüllen und somit den definierten Sicherheitsrichtlinien entsprechen. Falls ein Gerät diesen Überprüfungen nicht standhält, werden entsprechen- de Gegenmaßnahmen ergriffen, wie beispielsweise die vorü- bergehende Isolierung des betroffenen Geräts und dessen Si- cherheitswiederherstellung. Darüber hinaus können geeignete NAC-Lösungen in Kom- bination mit Identity- und Access-Management (IAM) ver- wendet werden, um eine eindeutige Identifizierung und Rol- lenzuweisung von Benutzern und Geräten sicherzustellen. Zero Trust lohnt sich Laut einer Studie von Statista haben weltweit 72 Pro- zent der Organisationen bereits eine Zero-Trust-Strategie eingeführt oder befinden sich in diesem Prozess. Zusätz- lich berichten 90 Prozent der Organisationen, die Zero Trust implementieren, von einer signifikanten Verbesserung ih- rer Sicherheitslage. Zero Trust bietet auch die Möglichkeit, die Kosten für Sicherheitsvorfälle zu reduzieren. Eine Studie von Forrester Research schätzt, dass Unternehmen mit einer Zero-Trust-Architektur 50 Prozent weniger Sicherheitsvor- fälle erleben und etwa 40 Prozent weniger Zeit für die Behe- bung solcher Vorfälle benötigen. Die Zero-Trust-Strategie ist daher nicht bloß ein theore- tisches Konzept, sondern eine zwingende Notwendigkeit für Unternehmen, die ihre Daten und Ressourcen, einschließlich derjenigen in der Cloud, effektiv schützen möchten. Durch die Kombination von Secure Defined Perimeter (SDP) für die Cloud und Network Access Control für lokale Netzwerke können Un- ternehmen einen umfassenden und detaillierten Zugriffs- schutz für alle Endgeräte und Benutzer gewährleisten. n Sabine Kuch, freie Redakteurin für Unternehmen im Bereich IT & Technologie, unter anderem für die macmon secure GmbH SPECIAL_5/2023 IT-SA 2023 45

nach wie vor die Grundlage für die Mehrheit der Unter- nehmen. Unternehmen, die eine klare IT-Sicherheitsstrategie verfolgen, setzen darüber hi- naus auf weiterentwickelte und komplexere Lösungen. Dies ist nicht überraschend, da Unternehmen im Rah- men ihrer Sicherheitsstra- tegie auf mehrschichtige Schutzmaßnahmen setzen. Eine robuste IT-Sicherheitsinfrastruktur kann heutzutage nicht mehr allein auf singulären Sicherheitsmaßnahmen be- ruhen. Dies resultiert nicht nur aus der zunehmenden Raffi- nesse der Angriffsmethoden von Cyberkriminellen, sondern auch aus Veränderungen in der Unternehmensstruktur, wie etwa der Einführung von Cloud-Infrastrukturen oder der zu- nehmenden Nutzung von Remote-Arbeit. Diese Entwicklun- gen erfordern eine Anpassung der IT-Sicherheitsmaßnah- men, um effektiv gegen Bedrohungen gewappnet zu sein. Es ist daher von entscheidender Bedeutung, dass Unternehmen ihre Sicherheitsstrategien überdenken und die Bedeutung von mehrschichtigen Sicherheitsmaßnahmen erkennen, um sich wirksamer vor Cyberbedrohungen zu schützen. Investition in IT-Sicherheit muss nicht aufwendig sein Effektive IT-Sicherheit muss nicht zwingend kostenin- tensiv und komplex sein. Wenn Unternehmen aufgrund feh- lender Expertise oder begrenzter Budgets an ihre Grenzen stoßen, können sie die Option cloudbasierter Endpoint-Secu- rity-Lösungen in Erwägung ziehen. Die Vorteile dieser Lösun- gen liegen auf der Hand: Sie ermöglichen es Unternehmen, ihre IT-Sicherheit rasch auf ein höheres Niveau zu heben, ohne umfangreiche Ressourcen für die Verwaltung oder In- frastruktur bereitstellen zu müssen. Dennoch reicht allein die Einführung neuer Sicherheits- technologien nicht aus. Der Mensch bleibt das schwächste Glied in der Kette der IT-Sicherheit. Gezielte Schulungsmaß- nahmen und Sensibilisierungskampagnen sind wirkungsvol- le Instrumente, um das Sicherheitsbewusstsein der Mitarbei- ter zu stärken und die Risiken zu minimieren. n Nicolas Lachaise ist Midmarket Lead bei DriveLock SE. SPECIAL_5/2023 IT-SA 2023 47 sender IT-Sicherheitsmaßnahmen an. Dabei vernachlässigen sie jedoch die verheerenden Schäden, die durch erfolgreiche Cyber angriffe oder Sicherheitsverletzungen entstehen kön- nen. Vor allem erfolgreiche Cyberangriffe sind kostspielig: Fast die Hälfte der betroffenen Unternehmen sah sich mit steigen- den internen Kosten für die Behebung der Sicherheitsproble- me konfrontiert. Unternehmen ohne klare IT-Sicherheits- strategie und Notfallpläne wurden besonders hart getroffen. Tatsächlich gaben 61 Prozent der Unternehmen, die gelegent- lich proaktiv ihre IT-Sicherheit verbessern, und sogar 75 Pro- zent derjenigen, die nur im Falle eines Sicherheitsvorfalls handeln, an, zusätzliche interne Kosten tragen zu müssen. Bei 29 Prozent der Unternehmen entstanden zudem externe Kos- ten zur Bewältigung der Folgen. Neben den finanziellen Auswirkungen sind auch nicht monetär bewertbare Schäden zu berücksichtigen. Zum Bei- spiel haben 31 Prozent der von Cyberkriminalität betroffenen Unternehmen geschäftskritische Informationen verloren, wo- bei Ransomware-Angriffe eine wesentliche Rolle spielten. Bei solchen Angriffen werden Daten verschlüsselt und Lösegeld gefordert. Ohne eine angemessene Wiederherstellungsstra- tegie können diese Daten unwiederbringlich verloren gehen. Ein weiteres Problem stellt der Datenabfluss dar. Wenn sensible Daten in die Hände von Cyberkriminellen geraten, können Datenschutzverletzungen zu Bußgeldern führen. Si- cherheitsvorfälle haben also nicht nur direkte Kosten, son- dern auch indirekte Auswirkungen, insbesondere wenn das Kundenvertrauen durch den Verlust von Daten beeinträchtigt wird. Eine Investition in IT-Sicherheit ist zweifellos die weit- aus klügere Alternative. Erkenntnis 3: Der Mittelstand setzt noch immer nur auf Security-Klassiker Die Betrachtung der Relevanz verschiedener Sicherheits- vorkehrungen verdeutlicht, dass nach wie vor – in ähnlicher Weise wie bereits 2019 – drei zentrale Bereiche der Cyber- sicherheit im Mittelpunkt stehen: E-Mail-Sicherheit, Antivi- ren-Software und Firewalls. Diese Security-Klassiker bilden

nicht zeitnah erhalten, neigen sie oft dazu, eigene Lösungen zu suchen. Dies kann zur Entstehung von Schatten-IT führen – ein Phänomen, bei dem Mitarbeiter eigenständig auf Tech- nologien und Dienste zurückgreifen, ohne die IT-Abteilung einzubeziehen. Um diese Gefahr zu minimieren, sollten Un- ternehmen Maßnahmen ergreifen: Vereinfachung der Ressourcenverteilung: Es ist wich- tig, dass benötigte Ressourcen wie Apps, Inhalte und Zugriffs- berechtigungen leicht zugänglich sind. Die IT-Abteilung sollte sicherstellen, dass Teams unkompliziert auf diese Ressourcen zugreifen können. Verwaltung von Dateien und Anwendungen: Dateien und Anwendungen sollten auf der Grundlage der Verzeich- nisgruppen des Benutzers verwaltet werden. Dies stellt si- cher, dass die richtigen Personen Zugriff auf die benötigten Ressourcen haben. Blockierung nicht vertrauenswürdiger Apps: Unter- nehmen sollten Maßnahmen ergreifen, um die Installation von nicht vertrauenswürdigen oder unsicheren Apps auf den Geräten der Mitarbeiter zu verhindern. Dies minimiert das Ri- siko von Sicherheitsverletzungen. Bereitstellung vertrauenswürdiger Apps: Um sicherzu- stellen, dass Mitarbeiter sicher auf Unternehmensdaten zu- greifen können, sollten vertrauenswürdige Apps bereitgestellt werden. Einschränkung des Datenzugriffs: Der Zugriff auf Un- ternehmensserver sollte ausschließlich für verwaltete Geräte erlaubt sein. Dadurch wird verhindert, dass nicht autorisierte Geräte auf Unternehmensdaten zugreifen können. 5. Malware Selbst bei Verzicht auf das Herunterladen von Drittanbie- ter-Apps können mobile Geräte anfällig für Malware sein. IT- Administratoren sollten Antiviren- oder Endpoint-Detection- and-Response-(EDR)-Apps installieren und regelmäßig Geräte scannen, um bösartige Inhalte zu erkennen und zu entfernen. 6. Weitere webbasierte Bedrohungen Sicherheitsrichtlinien für das Senden und Empfangen von E-Mails über mobile Geräte sollten implementiert werden, um webbasierte Bedrohungen zu minimieren. Dazu gehören etwa die Begrenzung der Verwendung von HTML in E-Mails, die Vorgabe, dass geschäftliche Dateianhänge nur mit vertrau- enswürdigen Anwendungen geöffnet werden dürfen und das Blockieren bösartiger Domänen und URLs. 7. Nicht behobene Sicherheitslücken Hacker suchen gezielt nach Sicherheitslücken in Betriebs- systemen (OS) und Apps, um diese auszunutzen. Um das Un- ternehmensnetzwerk zu schützen, ist es ratsam, regelmäßig App- und OS-Updates zu überprüfen und zeitnah zu testen. Diese Updates sollten dann zu einem geeigneten Zeitpunkt verteilt werden, um zu gewährleisten, dass die Geräte, die auf Unternehmensdaten zugreifen, immer auf dem neuesten Stand sind und bekannte Sicherheitslücken behoben werden. Zusätzlich ist es empfehlenswert, Mechanismen zur automati- schen Erkennung von veralteten – möglicherweise durch Jail- break oder Rooting manipulierten – Geräten zu implementie- ren. Das stellt sicher, dass Ihre Daten keinen Sicherheitsrisiken durch solche Geräte ausgesetzt werden. 8. Zero-Day-Schwachstellen Vorbeugende Sicherheitsmaßnahmen, wie die Konfigura- tion von Sicherheitsrichtlinien für Geräte, sind der beste Schutz gegen Zero-Day-Angriffe. Mobile-Device-Management-Tools können bei der Konfiguration von Sicherheitsrichtlinien und -beschränkungen für Geräte helfen und schaffen eine zusätz- liche Sicherheitsebene für Unternehmensdaten. Das schützt sowohl die Geräte als auch die Daten besser vor Angriffen. 9. Smarte Geräte Internet-of-Things-(IoT)-Geräte werden inzwischen in vielen Unternehmen eingesetzt. Allerdings bringen diese Ge- räte auch diverse inhärente Sicherheitsschwachstellen mit sich, die Bedrohungsakteuren völlig neue Angriffsmöglich- keiten bieten. IT-Administratoren sollten diese Geräte zentral verwalten und sicherheitsrelevante Maßnahmen umsetzen. 10. Compliance Um die Sicherheit mobiler Endgeräte zu gewährleisten, ist es wichtig, diese in Echtzeit zu überwachen, um sicherzustel- len, dass sie stets den Unternehmens- und Industriestandards entsprechen. Dafür können die Geräte mit vorgeschriebenen Passwortrichtlinien und Datenverschlüsselung ausgestattet werden, um die Compliance auch dann zu wahren, wenn sich die Daten im Ruhezustand befinden. Die Umsetzung stand- ortbezogener Compliance kann durch das Tracking der Geräte und die Anwendung unterschiedlicher Sicherheitseinstellun- gen je nach Standort erreicht werden. Im Fall von verlorenen oder gestohlenen Geräten ist es möglich, diese zu orten und Unternehmensdaten aus der Ferne zu löschen, um sicher- zustellen, dass sensible Informationen nicht in die falschen Hände gelangen. Mobile Endgeräte sind in der Geschäftswelt unverzicht- bar, bergen jedoch massive Sicherheitsrisiken. Mobile Device Management (MDM) erweist sich als ideales Instrument, um die beschriebenen Herausforderungen umfassend zu adres- sieren. n Jürgen Rinelli, Senior Software Consultant für die ManageEngine-Lösungen bei der MicroNova AG. SPECIAL_5/2023 IT-SA 2023 49

meter. Hier wird der gesamte Datenverkehr überwacht, und potenziell gefährlicher Verkehr wird blockiert. Bei Zero-Trust- Architekturen wird die Überwachung und Blockierung von Verkehr nicht mehr am Perimeter durchgeführt, sondern di- rekt von den Diensten selbst. Anders ausgedrückt, jeder Dienst prüft seinen eigenen Datenverkehr und erlaubt nur den als sicher erkannten Verkehr. Dies reduziert die Komplexität des Sicherheitssystems und macht es überschaubarer. Die Imple- mentierung einer Zero-Trust-Architektur erfordert Technolo- gien, die denen am Perimeter ähneln, jedoch in kleinerem und ressourcenschonendem Maßstab. Aus dieser Anforderung he- raus entstand die Idee der Microgateways. Microgateways als Enabler für DevSecOps Die Stärke von Zero Trust liegt darin, Ressourcen und Si- cherheitsmaßnahmen überall verteilen und an die Anforde- rungen anzupassen zu können. Sicherheit ist also nicht mehr nur an einem einzigen Ort konzentriert. Aber hier liegt auch eine große Herausforderung, denn nicht alles kann einfach überall verteilt werden. Eine solche Herausforderung betrifft etwa das Identitäts- und Zugangsmanagement (IAM): Um Be- nutzern ein nahtloses Single-Sign-on-Erlebnis zu bieten, ist es am besten, zentrale Authentifizierungs- und Identitätsma- nagementdienste zu verwenden. In diesem Kontext fungiert das Edge Gateway als eine Art Wächter für Sicherheitsrichtlinien. Die eigentlichen Entschei- dungen darüber, wer auf welche Ressourcen zugreifen darf, werden jedoch von einem zentralen IAM-Dienst getroffen. Die Prüfung der Identität der Benutzer und die Autorisierung, was sie tun dürfen, erfolgen durch die einzelnen Dienste und Res- sourcen selbst. Das zentrale Gateway bleibt wichtig Das Aufstellen eines Edge Gateways vor den Microgate- ways ist keine technische Notwendigkeit, sondern eine Ent- scheidung im Designprozess. Diese Entscheidung basiert dar- auf, dass bestimmte Aufgaben besser auf einem sogenannten Edge-orientierten Gerät erledigt werden können, während andere eng mit einem bestimmten Service verbunden sind. Das Edge-orientierte Gateway hat deshalb eine eher generi- sche Konfiguration. Dadurch wird die einfache und reibungs- lose Integration neuer Dienste ermöglicht, die von den einzel- nen Microgateway-Instanzen geschützt werden. Mit anderen Worten, es dient als eine Art zentrale Schnittstelle, die es er- leichtert, neue Dienste in das System aufzunehmen und sie effektiv zu schützen. Das Microgateway macht DevOps- zu DevSecOps-Teams Das Aufgabengebiet für die Integration von Funktionen, wie das Hinzufügen von Ausnahmeregelungen oder das Um- leiten von URLs, liegt normalerweise beim Microgateway. Dieses Gateway ist eine schlanke Sicherheitskomponente, die einen bestimmten Dienst schützt. In einer Zero-Trust-Archi- tektur sorgt jede Dienstinstanz nicht nur für ihren eigenen Schutz vor unerwünschtem Datenverkehr, sondern überprüft auch jede Anfrage, um sicherzustellen, dass nur ordnungsge- mäß authentifizierte Benutzer Zugriff auf die entsprechenden Dienste und Daten haben. Die Entscheidung, ob ein Dienst oder eine Anwendung für externe Anfragen geöffnet wird, kann nach wie vor am Netzwerkperimeter getroffen werden. Das Microgateway wird vom DevOps-Team des geschütz- ten Dienstes verwaltet und unterstützt auf vielfältige Weise: ƒ Agilität: Mehrere unabhängige Entwicklungsteams profitieren von der bestehenden Infrastruktur. Da die Konfiguration des Microgateways vom Entwick- lungsteam gewartet wird, erfordert eine neue Service- version wenig bis keine Koordinierung mit dem Gate- way- Administrator. ƒ Skalierbarkeit und Verfügbarkeit: Microgateways wer- den direkt mit ihren Services eingerichtet und ska- lieren mit ihnen. Die Funktionen der Microgateways stellen sicher, dass Session-Informationen unabhängig davon zur Verfügung stehen, welche Microgateway- Instanz die Anfrage bearbeitet. ƒ Time-to-Market: Microgateways erzwingen die Au- thentifizierung, bevor der Zugriff auf den Dienst er- laubt wird. Das beseitigt die Notwendigkeit, diese Funktionen in jeden einzelnen Dienst einzuarbeiten. Da diese kritischen Sicherheitsaufgaben von der stan- dardisierten Infrastrukturkomponente übernommen werden, können die Entwickler mehr Zeit in Business- Features investieren. ƒ Maßgeschneiderte Sicherheit: Microgateways haben einen sehr geringen Ressourcenverbrauch, sodass Ent- wickler sie während des gesamten Entwicklungspro- zesses verwenden können. Dies stellt sicher, dass der Dienst gut mit dem Microgateway funktioniert und er- möglicht es den Entwicklern, Filterregeln für optimale Sicherheit zu konfigurieren. Integrationsschwierigkei- ten und Sicherheitsprobleme werden viel früher im Entwicklungszyklus erkannt, lange bevor der Dienst live geht. Microgateways sind somit ein wichtiges Werkzeug, um den Weg der DevOps-Teams bei der Umsetzung von Zero- Trust-Architekturen zu unterstützen und so zu DevSecOps- Teams zu werden. n Gernot Bekk-Huber, Senior Product Marketing Manager bei der Ergon Informatik AG Erfahren Sie mehr zu diesem Thema auf dem „Cutting Edge Applikations- und API-Sicherheit“-Kongress auf der it-sa 2023. Mehr Informationen und Anmeldung unter https://www.airlock.com/itsa SPECIAL_5/2023 IT-SA 2023 51

– ADVERTORIAL – Effektive Cybersicherheit durch mehr- dimensionales Schutzkonzept Kaspersky. Denn: Unternehmen können sich auf über 25 Jahre Expertise verlassen, und Partner können sich durch unser TI-Angebot vom Wettbewerb differenzieren sowie ihre Kunden best- möglich schützen. n [1] https://securelist.com/corporate-threat-predictions-2023 [2] kas.pr/cyberresilienz [3] https://www.kaspersky.com/blog/msp-report-2021/ Die Professionalisierung von Cyberkriminalität erfordert ein mehrdimensionales Schutzkonzept, bei dem sich innovative Abwehrtechnologien, vorbeugende Maßnahmen und menschliche Expertise sinnvoll ergänzen. Hier erfahren Sie mehr über den All-in-one-Cyberschutz von Kaspersky: kas.pr/all-in-1 SPECIAL_5/2023 IT-SA 2023 53 fänden sich quasi noch unter der Aufmerksamkeitsschwelle der Cyberkriminellen. Das stimmt allerdings immer weniger, je mehr die Angreifer ihre Methoden perfektionieren. Nach einer aktuellen Studie von Kaspersky hat über ein Viertel der befragten Unternehmen in Deutschland zwischen 100 und 500 Mitar-beitern bereits einen Cybervorfall erlebt.[2] Deshalb brauchen auch KMU dringend einen umfassenden proaktiven Cyberschutz. Unternehmen, die über kein eigenes Sicherheitsteam verfügen, sollten die Auslagerung von Cybersicherheit, inklusive der Erkennung und Reaktion auf Vorfälle, an externe Sicherheitsanbieter in Betracht ziehen. Dies erweist sich oft als kosteneffizienteste Lösung, da sie so die Sicherheits- und Einstellungs-budgets entlasten und gleichzeitig Cyberbedrohungen zuverlässiger und schneller aufdecken – was wiederum die möglichen Folgeschäden erheblich reduziert.Immer mehr Unternehmen setzen dabei auf Managed Security Provider. Können solche MSP-Dienste über einen Experten vor Ort bezogen werden?Genau, immer mehr Unternehmen wenden sich an Managed Service Provider (MSP) und Managed Security Service Provider (MSSP), um ihre digitale Transformation effektiv zu managen. Laut der MSP Market Focus Studie 2021[3] von Kaspersky haben sowohl MSP als auch MSSP ihren Kundenstamm seit 2019 um 91 Prozent bzw. 81 Prozent vergrößert – und dieser Trend setzt sich aktuell fort. Um eine starke Cybersicherheit zu gewährleisten, müssen MSP einen ganzheitlichen Ansatz verfolgen und eng mit einem vertrauenswürdigen Cybersicherheitsanbieter zusammen-arbeiten. Dabei sollten sie besonderes Augenmerk auf dessen Technolo-gie, Fachwissen und spezifische Ressourcen legen. Wir selbst verfügen über ein gut ausgebautes Netzwerk erfahrener Partner, die regelmäßig geschult und zertifiziert werden. Dabei profitieren Partner wie Kunden von der führenden TI sowie der umfassenden Lösungskompetenz von

– ADVERTORIAL – Sichern auch Sie Ihr Unternehmen mit dem BAYOOSOFT Access Manager Warten Sie nicht länger, um Ihr Unternehmen vor digitalen Bedrohungen zu schützen. Der BAYOOSOFT Access Manager ist die ideale Lösung für umfassende IT-Sicherheit und Zugriffsmanagement. Kontaktieren Sie uns gern direkt – und gemeinsam finden wir die passende Lösung, um Ihr Unternehmen vor digitalen Bedrohungen zu schützen. Noch unsicher? Auf unserer Website accessmanager.net können Sie den Access Manager 30 Tage lang kostenlos testen. Sie haben gerade keine Zeit, sich umfassend mit dem BAYOOSOFT Access Manager zu beschäftigen? Unsere Expert:innen stellen Ihnen die Soft- ware gerne vor. Vereinbaren Sie einfach einen Termin auf unserer Website oder kontaktieren Sie uns direkt unter info@bayoosoft.com. n SPECIAL_5/2023 IT-SA 2023 55 ƒMit dem Self-Service-Portal wird die Berechtigungsverwaltung in die Hände der Nutzer:innen gelegt. Das browserbasierte Interface ist intuitiv gestaltet und leicht zu bedienen: Ob zeitliche Befristungen, Profile oder die Zuordnung von Datenverantwortlichen – passen Sie das Berechti-gungsmanagement kinderleicht und sicher an Ihre Infrastruktur an.Der IT-Lead bei ETECTURE machte die Erfahrung, dass „[…] die Option, stets den Überblick über die aktuellen Berechtigungen auf den eigenen Ordner zu haben, sowie die Möglichkeit, selbst proaktiv Berechtigungen bei Veränderungen in der Teamstruktur zu setzen, sehr gut aufgenom-men wurde.“ ƒDer BAYOOSOFT Access Manager arbeitet voll automatisiert, rund um die Uhr. Manuelle Eingriffe gehören der Vergangenheit an, und die IT wird massiv entlastet. Das System überprüft kontinuierlich die Berech-tigungsstrukturen und korrigiert automatisch die technische Umge-bung. Dabei wird natürlich alles auditsicher dokumentiert.Berechtigungen werden am Universitätsklinikum Leipzig zuverlässig durch den BAYOOSOFT Access Manager verwaltet. „Mithilfe des BAYOOSOFT Access Managers konnten wir die über viele Jahre gewachsenen Struktu-ren unseres Fileservers in den Zustand der Compliance zu geltenden Anfor-derungen überführen“, berichtet der Abteilungsleiter Systemmanagement. ƒWenn wir sagen, alles wird dokumentiert, dann meinen wir das auch so. Berufen Sie sich auf unsere daten- und userzentrierten Auswertun-gen, profitieren Sie von der transparenten Darstellung der Berechti-gungssituation, die auch technische Laien verwenden können, oder verfolgen Sie alle Aktionen im Audit-Trail.„Alle Aktivitäten sind nun entsprechend dokumentiert und der Prozess der Rechtevergabe ist standardisiert“, bestätigt ein Senior Manager im Bereich Infrastructure Architecture der Andritz AG.Sie wollen mehr erfahren?Dann sprechen Sie uns an unserem Stand 7A-120 auf der it-sa an! Wir freuen uns darauf, uns mit Ihnen auszutauschen!

ferketten hat durch externe Ereignisse, Markteingriffe und geopolitische Spannungen zugenommen. Dies erfordert eine Anpassung der Lieferket- tenstrategien an die veränderten Rahmenbedingungen. KMU sind ein wichtiger Bestandteil der deutschen Industrie und tragen maßgeblich zu ihrer Innovationskraft, Reputation und Wettbewerbsfä- higkeit bei. Häufig sind sie Weltmarktführer, spezialisiert auf bestimmte Nischen oder Produkte und bieten hohe Qualität. Die digitale Transfor- mation eröffnet Unternehmen viele Chancen, ihre Geschäftsprozesse zu optimieren, neue Märkte zu erschließen, ihre Kundenbeziehungen zu vertiefen und neue Geschäftsmodelle zu entwickeln. Die Digitalisierung erfordert jedoch im Mittelstand auch eine Anpassung der IT-Infrastruktur, der Mitarbeiterqualifikationen und der Unternehmenskultur an die neuen Anforderungen. KMU stehen dabei vor verschiedenen Herausforderun- gen, beispielsweise fehlendes Fachpersonal, hohe Investitionskosten oder mangelnde Standardisierung. Die Cyberresilienz bezeichnet die Fähigkeit eines Unternehmens, sich gegen Cyberangriffe zu schützen, diese schnell zu erkennen und ange- messen darauf zu reagieren. Eine hohe Resilienz erhöht nicht nur die Sicherheit des Unternehmens selbst, sondern auch die seiner Kunden und Partner in der Lieferkette. KMU müssen daher ihre IT-Sicherheitsmaßnah- men kontinuierlich überprüfen und anpassen, um sich vor den immer raf- finierteren und gezielteren Angriffen der Cyberkriminellen zu schützen. Erhöhte Resilienz dank Zero Trust Eine Zero-Trust-Strategie ist ein IT-Sicherheitskonzept, das darauf basiert, keinem Gerät und keinem Benutzer zu vertrauen, bevor nicht eine sichere Authentifizierung vor dem Zugang zum Netzwerk stattgefunden hat. Die- ses Konzept folgt dem Grundsatz: „Never trust, always verify“. Eine Zero- Trust-Strategie kann für den Zugriff auf Unternehmensressourcen in der Cloud durch Secure Defined Perimeter (SDP) implementiert werden. SDP ist eine praktische Umsetzung des Zero-Trust-Modells, das die Identität und den Sicherheitsstatus aller Teilnehmer im Netzwerk überprüft und nur autorisierten Nutzern oder Geräten Zugriff auf die benötigten Services gewährt. SDP ermöglicht eine flexible, sichere und benutzergesteuer- te Kommunikation mit den Cloud-Ressourcen, ohne dass ein VPN oder eine Firewall benötigt wird. SDP kann eine bestehende Network-Access- Control-(NAC-)Lösung ergänzen, die die Zugriffssteuerung auf Basis der Identität und des Sicherheitsstatus von Endgeräten im lokalen Netzwerk ermöglicht. Überblick, Kontrolle und Compliance durch NAC NAC erfüllt grundlegend zwei Anforderungen: zum einen einen vollständi- gen Überblick, welche Geräte sich im (Unternehmens-)Netzwerk befinden und wo sie angeschlossen sind. Die Art der Endgeräte wie Clients, Dru- cker, Produktionssysteme, Geldautomaten, medizinische Geräte, Tablets, Smartphones oder Kühlschränke spielt dabei keine Rolle. Durch diese Übersicht wird verhindert, dass fremde oder unbekannte Systeme einfach über WLAN oder eine freie Netzwerkdose Zugriff auf das Netzwerk be- kommen. Dadurch können im Netzwerk nur noch eigene und dafür zuge- lassene Systeme betrieben werden. Die zweite Anforderung ist die sogenannte Compliance-Funktion. Dies ist die Überprüfung, ob die Endgeräte, die sich bereits im Netzwerk befinden, den Sicherheitsanforderungen oder den individuellen Sicherheitsricht- – ADVERTORIAL – linien des Unternehmens entsprechen. Das betrifft in der Regel Eigen- schaften wie den Status eines Antivirenprogramms oder einer Desk- top-Firewall, oder ob die neuesten Patches installiert sind. Ziel ist es, im eigenen Netzwerk nur Endgeräte und Software zu betreiben, die alle er- warteten Anforderungen erfüllen und damit den definierten Sicherheits- richtlinien entsprechen. Hält ein IT- oder OT-Netzwerk der Überprüfung nicht stand, werden entsprechende Gegenmaßnahmen eingeleitet. Dazu gehört das virtuelle Verschieben von Geräten in Quarantäne und deren „Heilung“. Geeignete NAC-Lösungen können auch mit Identity Access Ma- nagement (IAM) kombiniert werden, um eine eindeutige Identifizierung und Rollenzuweisung von Nutzern und Geräten zu gewährleisten. Dazu Christian Bücker, Business Director macmon secure: „Unsere NAC-Lösung ermöglicht es Unternehmen, ihre spezifischen Richtlinien für den Zugriff auf die Unternehmensinfrastruktur sowohl für benutzerorientierte Endgeräte als auch für IoT-Geräte zu implemen- tieren. Durch SDP haben wir diesen Schutz auf die Cloud ausgeweitet. Durch unsere Herstellerunabhän- gigkeit und viele Technologiepart- nerschaften bieten wir umfassende Sicherheit für lokale und virtuelle Netz- werke und sind bei unseren Kunden im Fokus ihrer IT- und OT-Sicherheitsstrategie.“ Zero Trust lohnt sich Laut einer Studie von Statista haben 72 Prozent der Organisationen welt- weit entweder bereits eine Zero-Trust-Strategie eingeführt oder sind ge- rade dabei, dies zu tun. Zudem berichten 90 Prozent der Organisationen, die Zero Trust vorantreiben, von einer Verbesserung ihrer Sicherheit. Zero Trust kann auch die Kosten für Sicherheitsvorfälle senken: Eine Studie von Forrester Research schätzt, dass Unternehmen mit einer Zero-Trust- Architektur 50 Prozent weniger Sicherheitsvorfälle haben und 40 Prozent weniger Zeit für deren Behebung benötigen. Eine Zero-Trust-Strategie ist also nicht nur ein Konzept, sondern eine Not- wendigkeit für Unternehmen, die ihre Daten und Ressourcen auch in der Cloud schützen wollen. Durch die Kombination von SDP für die Cloud und NAC für lokale Netzwerke kann sie einen umfassenden und granularen Zugriffsschutz für alle Endgeräte und Nutzer gewährleisten. n www.macmon.eu SPECIAL_5/2023 IT-SA 2023 57

– ADVERTORIAL – SPECIAL_5/2023 IT-SA 2023 59 Lösungen zu setzen. Zum einen fallen keine Schäden beziehungsweise Kosten durch erfolgreiche Cyberattacken an. Zum anderen zielen prä-ventive Maßnahmen darauf ab, jeglichen Angriff außen vor zu lassen. Im Idealfall wird eine schadhafte Aktion so früh verhindert, dass das Ent-decken und Reagieren gar nicht mehr nötig sind. Denn Letztere binden Ressourcen und erfordert Monitoring und Reaktion. Diese Faktoren verdeutlichen jeder für sich, wie wichtig die Rolle von IT-Sicherheit für Unternehmen ist – für den wirtschaftlichen Betrieb, den Erfolg im internationalen Wettbewerb sowie den Schutz von geistigem Eigentum und wertvollen Daten. Die DriveLock-Lösungen schützen di-gitale Arbeitswelten konsequent und schaffen dabei Synergien aus den folgenden Komponenten: ƒData & Endpoint Protection ƒData Loss Prevention ƒData Encryption ƒSecurity Awareness ƒRisk & Vulnerability Management ƒSecurity Configuration Management DriveLock arbeitet nach dem Prinzip „never trust, always verify“ und lie-fert Schutzmechanismen wie USB-Port-Kontrolle, Multi-Faktor-Authenti-fizierung, Verschlüsselung von Daten am Speicherort sowie während des Transfers oder Security-Awareness-Trainings für Mitarbeitende. Dies wird flankiert von Lösungen wie einer intelligenten Applikationskontrolle, die beispielsweise nur vorher zugelassene Programme und Dienste erlaubt. Auf diese Weise wird Schadsoftware – egal ob neue oder alte Varianten und ganz gleich, über welchen Weg sie ins System gekommen ist – nicht ausgeführt und kann keinen Schaden anrichten. Zudem sind die DriveLock-Lösungen Device Control und Application Con-trol nach Common Criteria EAL3+ zertifiziert: Diese international aner-kannte Zertifizierung attestiert die hohe Vertrauenswürdigkeit und den Sicherheitsstandard des DriveLock Agents.Mit all diesen Komponenten bietet DriveLock kompromisslose IT-Sicher-heit, um Organisationen, Menschen und Dienste vor Cyberrisiken der digitalisierten Welt zu schützen und digitales Arbeiten für alle sicher zu gestalten. nKontakt: info@drivelock.com von Sicherheitsmaßnahmen. Unternehmen sollten ihre Belegschaft konti-nuierlich und anlassbezogen für die Risiken sensibilisieren. Was heißt das konkret? Nutzt jemand beispielsweise einen mobilen Datenträger, kann eine Pop-up-Meldung ad hoc über mögliche Risiken aufklären. Insgesamt gilt: Unternehmen sollten sich nicht auf singuläre Security-Maßnahmen verlassen, sondern auf eine mehrschichtige Strategie set-zen, die verschiedene präventive Maßnahmen vereint. Laut der aktuellen Studie von Bitkom entstehen der deutschen Wirtschaft jährlich 206 Mil-liarden Euro Schaden durch den Diebstahl von IT-Ausrüstung und Daten sowie zunehmend auch durch digitale Industriespionage und Sabotage. Wirtschaftlicher Erfolg geht daher immer mehr mit effektivem Schutz einher.IT-Sicherheit als Enabler für Digitalisierung Für eine starke Position im internationalen Wettbewerb ist konsequenter Cyberschutz die Basis jeglicher Digitalisierungsmaßnahmen. IT-Sicher-heit muss ressourcenschonend, einfach verfügbar und unkompliziert zu managen sein – und damit Enabler, nicht Verhinderer wichtiger Digitali-sierungsprojekte. Diese Kriterien sind vor allem für KMU, also die breite Masse an Unternehmen, ausschlaggebend, da für sie der Mangel an Fach-personal, Know-how und Budget eine größere Belastung darstellt.Für diese zahlreichen Hidden Champions im deutschen Mittelstand und gegen den Anstieg von Cyberkriminalität bieten lokale Cybersecurity-An-bieter aus Deutschland oder der EU wertvolle Vorteile gegenüber inter-nationalen Mitbewerbern in den Bereichen Datenschutz und Souveräni-tät. So unterstützt beispielsweise der deutsche Spezialist für innovative IT-Sicherheitslösungen DriveLock mit seinen Lösungen die Umsetzung von Richtlinien wie die Datenschutz-Grundverordnung (DSGVO), Anfor-derungen aus NIS2 oder den branchenspezifischen Sicherheitsstandards für Krankenhäuser (B3S). Das erleichtert es Unternehmen, auch lokale Compliance-Vorgaben u. Ä. einzuhalten sowie ihre geschäftskritischen Innovationen zu schützen. Effektiver Cyberschutz: Schnell verfügbar, einfach zu managen und made in GermanyOfferieren die Anbieter ihre Lösungen aus einer europäischen oder deut-schen Cloud heraus, sind kleine und mittlere Unternehmen in der Lage, maximal effektive Sicherheit und Know-how mit minimalem Ressourcen-aufwand zu beziehen. Cloudbasierte Sicherheitslösungen können auf Knopfdruck bereitgestellt werden, sind kosteneffizient und einfach ska-lierbar. Die Migration einer gesamten Unternehmens-IT von On-Premises in die Cloud ist bei spezialisierten Security-Anbietern wie DriveLock meis-tens innerhalb weniger Stunden abgeschlossen, und Endgeräte sind um-gehend abgesichert. Letzteres ist essenziell in Zeiten von Homeoffice und Mobile Work. Der digitale Arbeitsplatz wird zunehmend zu einem festen Bestandteil der Arbeitswelt und ist mitunter ein wichtiger Faktor im Wett-bewerb um Talente. Neben der schnellen Verfügbarkeit und Skalierbarkeit hat Security aus der Cloud noch zahlreiche weitere Vorteile. Unternehmen werten ihre IT-Sicherheit im Handumdrehen auf, ohne viele Mittel für Ver-waltung, Infrastruktur oder Hardware bereitstellen zu müssen. Über die bereits genannten Vorteile hinaus liegt die besondere Stärke der DriveLock-Lösungen im präventiven Ansatz. Vor allem für Unternehmen mit wenig Ressourcen ist es wichtig, auf vorbeugende Cybersecurity-

Vorbereitung ist die beste Verteidigung Cybersecurity-Lösungen für digitale Unternehmen Unsere Lösungen Identity and Access Management Security Information and Event Management Endpoint Security | Netzwerksicherheit | Datensicherheit www.manageengine.com/cybersecurity-solutions.html

– ADVERTORIAL – Airlock lädt alle Messebesucher der it-sa in Halle 7A an den Stand 116 zu Live-Hacking-Sessions mit Florian Hansemann ein. Für das körperliche Wohl und ein wenig Abwechslung sorgt dabei der hauseigene ­Barista,­der­Besuchern­ein­Milchschaum-Selfie­auf­ dem Kaffee zaubert. Kongress Termin: Mittwoch, 1. Oktober 2023 Zeit: 10.00 bis 12.00 Uhr oder 14.00 bis 16.00 Uhr; Sie haben die Wahl, welchen Termin Sie bevorzugen. Ort: Kongresszentrum Messe Nürnberg im Raum Riga, NCC Ost auf Ebene 2 Weitere Informationen zum Kongress und zum Messeauftritt finden Sie unter: www.airlock.com/itsa SPECIAL_5/2023 IT-SA 2023 63 protect4use eine starke Authentifizierung ermöglicht und gleichzeitig höchste Sicherheits- und Datenschutzstandards gewährleistet, ohne die Benutzererfahrung zu beeinträchtigen.Im weiteren Verlauf präsentiert Florian Hansemann von HanseSecure eine aktuelle Risikoeinschätzung für Unternehmen im Kubernetes-Umfeld. Marc Bütikofer, Head of Innovation Security Solutions bei Airlock, gibt wertvolle Empfehlungen und stellt ganzheitliche Lösungsansätze vor, um den Herausforderungen der Applikations- und API-Security im Container-Umfeld proaktiv zu begegnen. Wie sich Unternehmen in der aktuellen Bedrohungslage mit einem Security Operations Center (SOC) und Threat Detection schützen und welche Services sich daraus ergeben, erläutert terreActive zum Ab-schluss des Kongressteils. Die Teilnehmer erfahren hier, wie sie nach dem Baukastensystem ihre Cyber Defense aufbauen können. nHinweis: Einen ausführlichen Fachbeitrag zum Thema Microgate-ways, einer Schlüsseltechnologie für die Sicherung von APIs in ­Kubernetes-Umgebungen,­finden­Sie­ab­Seite­50­in­dieser­Ausgabe.DevSecOps-Konzept besonders geeignet ist. Aber weder DevSecOps, noch containerbasiertes Identitäts- und Zugriffsmanagement, das ebenfalls für die Sicherheit von APIs und Webanwendungen essenziell ist, haben sich bisher im gebotenen Maße durchgesetzt. Unternehmen müssen zwischen getrennten Sicherheitslösungen für Webanwendungen und API oder einer integrierten Lösung wählen. Hierbei herrscht oft Unsicherheit darüber, welcher Weg der richtige ist.Kongress gibt OrientierungEs ist von entscheidender Bedeutung, das Bewusstsein deutscher Unter-nehmen für die essenziellen Themen des API-Managements, der API-Si-cherheit und deren Verbindung zur Sicherheit von Web-Anwendungen zu schärfen. Dies ist die Schlüsselmission der Beiträge im Kongress-Teil des Airlock-Auftritts auf der it-sa.Nach einer inspirierenden Einführung von Thomas Kohl, Senior Business Development Manager Deutschland & International bei Airlock, zeigt Simon Hülsbömer, Senior Project Manager Research Studienprojekte in der Marktforschung von CIO, CSO und Computerwoche, wie deutsche Un-ternehmen bereits auf diese Veränderungen reagiert haben. Er erläutert, welchen Stand sie bei Identity- und Access-Management (IAM) als Service erreicht haben und welche Schritte als nächstes geplant sind.Ein unverzichtbarer Aspekt des Zugriffsmanagements ist eine robuste Authentifizierung. In diesem Kontext erklärt secunet, wie die Lösung

SECURITY MANAGEMENT | BCM Wie BCM und NKM gemeinsam die Unternehmens-Resilienz stärken STABIL IM BUSINESS BCM ist ein proaktiver Prozess, der die Risiken potenzieller Bedro- hungen für eine Organisation identifiziert und wirksame Strategien entwi- ckelt, um die Kerngeschäftsprozesse im Falle einer Unterbrechung wiederherzustellen. Es umfasst in der Regel Risikobewertungen, eine Geschäftsauswirkungsanalyse (Business Impact Analysis, BIA) und die Erstellung von Geschäfts- kontinuitätsplänen (Business Continuity Plans, BCP). Die Hauptziele des BCM sind die Wieder- herstellung der Geschäftstätigkeit in einem ak- zeptablen Zeitraum, die Minimierung finanzieller Verluste und die Vermeidung von Reputations- . m o c . e b o d a k c o t s - r e t e P : d l i B verlusten. Bei der Implementierung hilft zum Beispiel der modernisierte BSI-Standard 200-4. Im Gegensatz dazu konzentriert sich das Not- fall- oder Krisenmanagement eher auf die unmittelbare Bewältigung einer aktuellen oder in Zukunft drohenden Krise. Es beinhal- tet die Entwicklung von Prozessen und Plänen zur effektiven Bewältigung und Milderung der Auswirkungen von Krisen, sobald diese eintre- ten. Das Krisenmanagement konzentriert sich auf Aspekte wie Kommunikation, Notfallhilfe, Sicherheit und die Wiederherstellung des Nor- malbetriebs nach einer Krise. STÄRKUNG DER KATA- STROPHENVOR- BEREITUNG DURCH PARALLELEN EINSATZ VON BCM UND NKM Die Bedeutung der parallelen Umsetzung von BCM und NKM liegt in der Stärkung der Wider- standsfähigkeit eines Unternehmens gegenüber unerwarteten Ereignissen und Katastrophen. Wenn Unternehmen beide Ansätze kombinie- ren, können sie sich nicht nur besser auf mög- liche Katastrophenereignisse vorbereiten, son- IT-SICHERHEIT_5/2023 65 Business Continuity Management (BCM) und Notfall- oder Krisenmanagement (NKM) sind zwei wichtige Disziplinen, die sich mit der Bewältigung von Störungen und Krisen innerhalb einer Organisation befassen. Obwohl sie eng miteinander verbunden sind, haben sie unterschiedliche Schwerpunkte und Rollen. Richtig kombiniert, stärken sie die Widerstandsfähigkeit eines Unternehmens gegenüber unerwarteten Ereignissen.

Online-Schulungen IT-Sicherheit 2023 Thema Referent/in Termine Das NIS2 Umsetzungsgesetz (NIS2UmsuCG): Was Unternehmen jetzt beachten müssen Tobias Baader Dirk Seeburg 17.10.2023 14.11.2023 05.12.2023 Praxisfall: Herausforderungen und Bewältigung eines Cyberangriffes – vom Angriff bis zur Abwicklung Tobias Baader 07.11.2023 Incident-Response-Maßnahmen – Auf Sicherheitsvorfälle optimal reagieren Tobias Elsner Thomas Wallutis 13.11.2023 Betriebssystem Windows härten und absichern – Eine Schritt für Schritt Anleitung Tobias Elsner 14.11.2023 Netzwerk-Sicherheit – Aufbau von sicheren IT-Netzwerken Tobias Elsner 15.11.2023 IT-Sicherheit von M365 – Sicheres Design und sichere Konfiguration Eric Soldierer 16.11.2023 Die ersten 100 Tage als CISO – Das müssen Sie umgesetzt haben Alexander Jaber 21.11.2023 ISO 27001 et al.: Betrachtung aus Kosten-/ Nutzen-Perspektive Tobias Baader 22.11.2023 Einführung Notfallmanagement nach BSI-Standard 200-4 Tobias Baader 30.11.2023 Jeweils von 10:00 Uhr bis 14:30 Uhr I online Änderungen bei Terminen bleiben vorbehalten. Jetzt anmelden für nur 349,– € zzgl. MwSt.: www.datakontext.com/it-sicherheit-seminare Kompakt lernen IT-Sicherheit im Fokus

ursprünglichen Form könnte der CRA verhee- rende Auswirkungen haben: Softwarehersteller würden einem enormen Haftungsrisiko aus- gesetzt sein, da sie Kunden mit bestehenden Verträgen zwar kontrollieren könnten, aber nicht diejenigen, die Open-Source-Software frei he- runterladen und verwenden. Zudem könnten Juristen Schadensszenarien konstruieren und kleinere Hersteller durch Abmahnungen aus dem Markt drängen. Die Konsequenz könnte sein, dass Unternehmen ihre Open-Source-Akti- vitäten einstellen und zu proprietärer, geschlos- sener Software übergehen. Dies wäre nicht nur das Ende von Open Source in Europa, sondern auch eine erhebliche Schwä- chung für kleine und mittlere Unternehmen. Open-Source-Projekte tragen jährlich zwischen 65 und 95 Milliarden Euro zur EU-Wirtschaft bei, und ein solcher Schlag würde ein riesiges Loch in die Branche reißen. Die Vielfalt in der europäi- schen Softwareindustrie wäre bedroht, während die IT-Giganten ihre Marktdominanz weiter aus- bauen würden. Was in Deutschland und Europa über Jahre hinweg mühsam mit Fördermitteln und Steuergeldern aufgebaut wurde, könnte auf einen Schlag verloren gehen. Wenn es nicht gelingt, eine unabhängige IT-Infrastruktur zu erhalten, könnte der Traum von digitaler Souve- ränität in Europa zunichte gemacht werden. In diesem Fall wäre es sogar sinnvoll, sich an den USA zu orientieren, wo Open Source-Entwickler selbst bei kommerziellen Produkten nicht haft- bar gemacht werden können. Es ist bedauerlich, dass die Vorteile von Open Source in diesem Zusammenhang noch betont werden müssen. Vor nicht allzu langer Zeit hat die deutsche Bundesregierung im Koalitions- vertrag ihre Unterstützung für den Open-Sour- ce-Sektor bekundet. Auch Projekte wie Gaia-X haben die Hoffnung genährt, dass sich der Markt auf dem Weg zu einer starken europäi- schen IT-Infrastruktur befindet. Millionen wur- den investiert, und nun könnte alles umsonst gewesen sein. WIE DAS OPEN-SOURCE- SCHICKSAL NOCH POSITIV BEEINFLUSST WERDEN KANN Aber es gibt noch Hoffnung. Der Gesetzesent- wurf für den Cyber Resilience Act hat bereits ver- schiedene Änderungen durchlaufen. Das Europä- ische Parlament, insbesondere der Ausschuss für SECURITY MANAGEMENT | OPEN SOURCE RICO BARTH, Vorstandsmitglied Open Source Business Alliance und Geschäfts- führer KIX Service Software (Bild: One Moment Pictures) IT-SICHERHEIT_5/2023 69 Industrie, Forschung und Energie (ITRE) sowie der Ausschuss für Binnenmarkt und Verbrau-cherschutz (IMCO), hat sich mit dem CRA befasst. Während der ITRE an den meisten Punkten festgehalten hat, hat sich der IMCO positiver zum Thema Open Source positioniert. Weitere Verhandlungen zwischen dem Parlament, der Kommission und dem Rat der Europäischen Uni-on stehen unmittelbar bevor.Die Open Source Business Alliance hat bereits Verbesserungsvorschläge zu verschiedenen Punkten formuliert, insbesondere zum Ent-wicklungsmodell. Nach der aktuellen Formulie-rung würde die Entscheidung, ob ein Open-Source-Produkt als kommerziell eingestuft wird, auch die Entwicklung berücksichtigen. Da Open- Source-Software aus vielen Komponen-ten besteht, deren Entwicklung oft bereits Jahre zurückliegt und ohne Beteiligung des Anbieters stattfand, sollte dieser Teil aus dem Gesetzes-entwurf gestrichen werden.Auch die Formulierung zum Thema „Entwick-lung durch eine Organisation“ sollte überdacht werden. Die EU betrachtet die kommerzielle Nutzung als erfüllt, wenn eine Software nur von einer einzelnen Organisation oder Community entwickelt und gewartet wird – wie es bei vielen Projekten der Fall ist. Große Unterneh-men könnten diese Vorgabe umgehen, indem sie Tochterunternehmen einbeziehen, während kleinere und mittlere Unternehmen diese Option nicht haben. Die OSBA argumentiert daher, dass dieser Satz nicht in die endgültige Fassung auf-genommen werden sollte.Ein weiterer umstrittener Punkt betrifft die Ent-wickler selbst. Gemäß der aktuellen Version des CRA würde Software als kommerziell eingestuft, sobald Entwickler für ihre Arbeit entlohnt wer-den. Diese Regelung berücksichtigt nicht die Re-alitäten der Open-Source-Entwicklung: Auf der einen Seite engagieren sich etliche Entwickler in ihrer Freizeit ehrenamtlich in verschiedenen Open-Source-Projekten. Andererseits profitieren auch viele Unternehmen von der Unterstützung Ehrenamtlicher und revanchieren sich durch die Förderung derer Projekte. Diese Wechsel-wirkung ist ein integraler Bestandteil von Open Source und wäre ebenso vom CRA gefährdet, weil viele Personen ihre ehrenamtlichen Aktivi-täten einstellen würden.Nach aktuellem Stand des CRA würden auch regelmäßige Spenden an Open-Source-Akteure diese auf einen kommerziellen Stand heben. Dies betrifft sowohl einzelne Entwickler als auch große Stiftungen wie die Linux- oder Eclipse-Foundation. Diese Organisationen sind auf Spen-den angewiesen, um Stabilität und Sicherheit in ihrer Planung zu gewährleisten. Viele Unterneh-men nutzen die Software, die auf diese Weise entsteht. Für sie würde der CRA zusätzliche Pro-bleme schaffen.Die OSBA kritisiert auch die Formulierung im Zu-sammenhang mit Package Managern. Die ITRE-Version des CRA sieht vor, dass „die meisten“ Package Manager als Vertreiber gelten, wenn sie Open-Source-Software hosten. Die Version des Europäischen Rats ist hier spezifischer und be-sagt, dass sie nur zu kommerziellen Aktivitäten beitragen, wenn die Software durch ihr Angebot auf dem Markt erhältlich wird. Beide Formulie-rungen bieten Interpretationsspielraum, aber die Letztere klärt das Thema zumindest etwas genauer.Es bleibt zu hoffen, dass die Gespräche letzt-endlich zu positiven Ergebnissen für die Open-Source-Gemeinschaft führen werden. Wenn die aktuellen Vorgaben beibehalten werden, würden nicht nur zahlreiche Existenzen bedroht, sondern es käme auch zu einem erheblichen Rückschritt für Europa. In einer Zeit, in der ein starker und souveräner Binnenmarkt dringend benötigt wird, um nicht den Anschluss an den Rest der Welt zu verlieren, wäre das äußerst bedauerlich. Obwohl es eine Übergangszeit von mehreren Jahren gäbe, wäre dies kaum mehr als eine Galgenfrist. n

der Europäischen Union, Israel, der Volksrepu- blik China, Japan, der Russischen Föderation, Südkorea, den Vereinigten Staaten und Indien. Das Buch schließt mit einem neuen Kapitel 23, das technisch-organisatorische Best Practices für ausgewählte Anwendungsszenarien der Cybersicherheit vorstellt. INHALTSÜBERSICHT ƒ Grundlagen und Strukturen ƒ Verfassungsrechtliche Rahmenbedingungen ƒ Technische Grundlagen und Schlüsselbegriffe ƒ Stand der Technik ƒ Normen und Standards, Zertifizierung ƒ Branchenübergreifende rechtliche Vorgaben ƒ Datenschutz und Datensicherheit ƒ Corporate Governance und Compliance ƒ Vertragsrecht ƒ Haftungsrecht ƒ Gewerblicher Rechtsschutz ƒ Urheberrecht ƒ Arbeitsrecht und Cybersicherheit ƒ Prozessuale Fragestellungen ƒ Cybersicherheit in der Verwaltung ƒ Gesundheit und Sozialwesen ƒ Gefahrenabwehr und Strafverfolgung ƒ Nachrichtendienstrecht ƒ IT-Sicherheitsforschung ƒ Neue Technologien und Verbraucherschutz ƒ Desinformation ƒ Internationale Regulierung der Cybersicher- heit inkl. Länderberichte ƒ Völkerrecht und Cyberwarfare ƒ Praktische Anwendungsszenarient Der Kommentar wendet sich an IT-Sicherheits- berater und -verantwortliche, CISOs, Zertifi- zierer, Behörden, Gerichte, Forschungseinrich- tungen, Syndikusanwälte und Rechtsanwälte sowie Compliance-Verantwortliche. n Das Rechtshandbuch ist die erste Anlaufstelle für die betriebliche Praxis, da es die wesentli- chen, mit dem Themenkomplex der Cybersi- cherheit verbundenen Rechtsfragen aufgreift und umsetzungsgerechte Lösungsvorschläge liefert. Dabei legt die Darstellung besonderen Wert auf Interdisziplinarität und spricht so- wohl Juristinnen und Juristen als auch Techni- kerinnen und Techniker sowie Ingenieurinnen und Ingenieure an. KOMPLETT AKTUALI- SIERTE UND INHALTLICH DEUTLICH ERWEITERTE NEUAUFLAGE Die zweite Auflage dieses Rechtshandbuchs zur Cybersicherheit reflektiert die stark ge- wachsene Bedeutung und Komplexität dieses Themas seit der ersten Auflage im Jahr 2020. Die Aktualisierung und Vertiefung der beste- henden Kapitel war ein wesentliches Ziel, aber zusätzlich wurden neue Inhalte hinzugefügt, um die Vielschichtigkeit der Cybersicherheit besser abzudecken. Ein neuer Abschnitt zu den verfassungsrechtlichen Grundlagen von Cyber- sicherheit (Kapitel 2) wurde hinzugefügt. Das Kapitel 4, das den „Stand der Technik“ behan- delt, blieb erhalten, wurde aber um ein neues Kapitel zu Normen und Standards sowie zur Zertifizierung (Kapitel 5) erweitert. Das Kapitel zu kritischen Infrastrukturen (Kapitel 14) wur- de komplett aktualisiert und auf den Stand des IT-Sicherheitsgesetzes 2.0 gebracht. Ein neuer Abschnitt zur Verwaltung (Kapitel 15) stellt die komplexe Behörden- und Zuständig- keitsstruktur für Cybersicherheit in der EU so- wie auf Bund-, Landes- und Kommunalebene vor. Das ebenfalls neue Kapitel 16 widmet sich der Datenverarbeitung im Gesundheits- und Sozialsektor und behandelt auch die IT-Sicher- heitsanforderungen an Arztpraxen und Ge- sundheitseinrichtungen unterhalb der Schwel- lenwerte für kritische Infrastrukturen. Das Kapitel 20 enthält Ausführungen zu neuen Technologien und dem Verbraucherschutz wie sichere digitale Identitäten, IoT-Aktualisier- barkeit, Verbraucherkennzeichnungen und Desinformation. Das Kapitel zum internationa- len regulatorischen Rahmen der Cybersicher- heit (Kapitel 21) wurde erweitert und enthält aktuelle Länderberichte zur Cybersicherheit in IT-SICHERHEIT_5/2023 71 Kipker, Cybersecurity C.H.BECK, 2. Auflage, 2023 LIX, 1147 S., Hardcover (Leinen) € 179,- ISBN 978-3-406-79263-2 ƒ disziplinenübergreifende Erläuterung aller wichtigen Aspekte in einem Band ƒ verständlich, problemorientiert und systematisch aufbereitet ƒ unerlässliches Hilfsmittel in der täglichen Beratungsarbeit

AUS DER FORSCHUNG | DS-GVO METHODIK DER STUDIE Für diese Studie wurde eine Onlineum- frage durchgeführt, bei der den Teilneh- mern Fragen zum Datenschutz und zum technischen Wissen gestellt wurden. Es galt festzustellen, wie sich das Daten- schutzbewusstsein der Teilnehmer (ge- messen am Internet Users Information Privacy Concerns – IUIPC Score) auf ihre Fähigkeit auswirkt, Werbeanzeigen im Internet zu identifizieren. Die Umfrage wurde so gestaltet, dass die Teilnehmer eine bestimmte Aufga- be in einer Onlineumgebung erfüllen mussten. Das Hauptziel war es, heraus- zufinden, ob die Teilnehmer in der Lage sind, die Unternehmen oder Personen hinter einer Werbeanzeige zu erken- nen, damit sie ihre Datenschutzrechte ausüben können. Jeder Teilnehmer sah zwei verschiedene Werbeanzeigen: Eine wurde auf einer festen Webseite ange- zeigt, die für alle gleich war, und die an- dere auf einer Webseite mit sich ständig ändernden Inhalten. Die Anweisung lautete: „Identifizieren Sie den Urheber der Werbeanzeige.“ Wenn die Teilneh- mer nach zwei Minuten keine signifi- kanten Fortschritte gemacht hatten, er- hielten sie einen allgemeinen Hinweis. Insgesamt nahmen 30 Teilnehmer aus verschiedenen beruflichen Hintergrün- den an der Studie teil (Tabelle 1). Anzahl der Teilnehmer Betätigungsfeld 8 8 6 1 1 1 1 1 1 1 1 Betriebswirtschaft, Volks- wirtschaft, Handel Sonstiges, z. B. Rechtswis- senschaften und Tourismus Bildung, Pädagogik Werbung, Marketing Computer, EDV, IT Baugewerbe Kultur Ingenieurwesen Medizin Naturwissenschaften Politik Tabelle 1: Verteilung der Studienteilnehmer nach Betätigungsfeld IT-SICHERHEIT_5/2023 73 ellen Vorlieben und Gewohnheiten der Nutzer zu präsentieren. Die umfangreiche Daten-sammlung im Rahmen von OBA hat jedoch Datenschutzbedenken aufgeworfen, insbe-sondere in Bezug auf die DS-GVO.SPANNUNGSFELD DES DATENSCHUTZ-BEWUSSTSEINSDatenverarbeiter haben einen starken Anreiz, eine umfangreiche Sammlung und Verarbei-tung persönlicher Daten durchzuführen, um personalisierte Werbung zu ermöglichen. Eine höhere Sensibilisierung der Nutzer für den Datenschutz und ihre damit verbunde-nen Rechte könnte jedoch nachteilig für diese Datenverarbeiter sein. Aus diesem Grund ha-ben sie begrenztes Interesse daran, das Da-tenschutzbewusstsein der Nutzer zu fördern oder die Umsetzung rechtlicher Maßnahmen, die ihre Tätigkeiten einschränken könnten, zu erleichtern. Obwohl Lösungsansätze wie da-tenschutzbewusste Frameworks für gezielte Werbung existieren, sind diese oft komplex und kostenintensiv.Erstmals wurde nun in einer Studie des Insti-tuts für Internet-Sicherheit – if(is) die Bezie-hung zwischen dem Datenschutzbewusstsein der Nutzer, ihren technischen Kenntnissen und ihrem Wissen über die DS-GVO untersucht. Die Studie konzentrierte sich insbesondere auf den praktischen Einfluss der DS-GVO im Kon-text des OBA. Dabei wurde eine Online-Um-frage durchgeführt, um das Wissen der Nutzer über die DS-GVO sowie ihre individuellen technischen Kenntnisse zu erfassen. In diesem Rahmen wurden drei Hypothesen aufgestellt und untersucht:1. Es wurde erwartet, dass ein höheres Wissen über die DS-GVO sich positiv auf die Fähig-keit der Nutzer auswirkt, den Werbetrei-benden in personalisierten Anzeigen zu identifizieren.2. Ein verbessertes technisches Know-how sollte diese Fähigkeit ebenfalls positiv be-einflussen.3. Das Datenschutzbewusstsein der Nutzer wurde als ein weiterer positiver Einflussfak-tor auf die Identifizierung des Werbetrei-benden angenommen.Der Schutz persönlicher sensibler Daten ist ein fundamentales Menschenrecht, das jedem In-dividuum zusteht. Die DS-GVO ist der rechtliche Rahmen in Europa, der sicherstellen soll, dass dieses Recht gewahrt wird. Jedoch ist es von entscheidender Bedeutung, dass alle Nutzer ein angemessenes Bewusstsein für Datenschutz entwickeln, um gleichermaßen von diesen Vorschriften zu profitieren. Dies bedeutet, dass die Nutzer selbst aktiv werden müssen und sich das erforderliche Wissen aneignen müssen. Obwohl die DS-GVO gleiche Rechte für alle vor-sieht, wird dennoch erwartet, dass die Nutzer eigenständig Maßnahmen ergreifen, um ihre persönlichen Daten zu schützen. Dies wirft eine interessante Frage auf: Wie kann die Erwartung an individuelle Eigenverantwortung mit den festgelegten rechtlichen Rahmenbedingungen in Einklang gebracht werden? Diese Thematik gewinnt vor dem Hintergrund sich wandelnder Nutzererfahrungen zunehmend an Bedeutung.Zusammengefasst zeigt sich, dass die DS-GVO den Nutzern zwar theoretisch umfassende Kon-trolle über ihre Daten gewährt, jedoch nicht ihre volle Wirkung entfalten kann, da viele Nutzer ihre Rechte nicht kennen. Die vorliegende Studie belegt beispielsweise, dass Nutzer oft über-rascht sind, in welchem Ausmaß ihre Online-Browsing-Historie für gezielte Werbung genutzt wird.PERSONALISIERUNG: DIE ZUKUNFT DER ONLINE-WERBUNGDie Personalisierung von Werbung für defi-nierte Zielgruppen hat das Online-Marketing zu einem führenden Instrument gemacht, das voraussichtlich bis 2024 rund 65 Prozent der weltweiten Werbeausgaben von fast 700 Milli-arden US-Dollar ausmachen wird. Derzeit liegt der Schwerpunkt im Online-Marketing entwe-der auf einzelnen Personen oder auf Gruppen. Hierfür werden umfassende Verhaltensdaten von potenziellen Käufern erfasst, ein Prozess, der als Online Behavioral Advertising (OBA) be-kannt ist. Dies ermöglicht es, werbliche Inhalte an das Internetverhalten, die Interaktionen auf Websites, Suchanfragen und soziale Medien der Nutzer anzupassen und personalisierte Werbung bereitzustellen. Um dies zu erreichen, werden individuelle Nutzerprofile erstellt, um relevante Werbebotschaften entsprechend den individu-

AUS DER FORSCHUNG | DS-GVO DSGVO-Wissen Tech. Kompetenz IUIPC-Score Geschlecht Alter 0,06 0,27 -0,1 0,2 0,27 0,23 Tabelle 3: Korrelationen von Geschlecht und Alter in Bezug auf das Wissen über die DS-GVO, technische Kompetenz und den IUIPC-Score. Für den IUIPC-Score ergab sich eine Korrelation von 0,23. Das bedeutet, dass jüngere Teilnehmer einen niedrigeren IUIPC-Score hatten als ältere. Dies deutet darauf hin, dass mit zunehmen-dem Alter das Bewusstsein und die Bedenken hinsichtlich Datenschutzfragen zunehmen. Es könnte sein, dass ältere Menschen aufgrund ihrer Lebenserfahrung und möglicherweise persönlicher Erfahrungen sensibler für Daten-schutzfragen sind, was sich auch auf ihr Wissen über die DS-GVO auswirkt.Die Untersuchung der altersspezifischen Zusam-menhänge ergab interessante Ergebnisse, wie sie in Tabelle 3 dargestellt sind. Die Korrelatio-nen zwischen dem Alter und den verschiedenen Variablen lagen zwischen 0,2 für die technische Kompetenz und 0,27 für das Wissen über die DS-GVO. Diese Korrelationen waren deutlich stärker als die Korrelationen mit dem Geschlecht.In Bezug auf das Wissen über die DS-GVO er-gab sich eine Korrelation von 0,27. Das bedeu-tet, dass jüngere Teilnehmer im Vergleich zu älteren weniger über die DS-GVO wussten. Es ist besorgniserregend, dass gerade die jüngere Generation Jahre nach Inkrafttreten der DS-GVO weniger über ihre Datenschutzrechte informiert ist. Dies könnte dazu führen, dass die durch die DS-GVO gewährten Rechte nicht angemessen wahrgenommen werden.Die Korrelation zwischen Alter und technischer Kompetenz betrug 0,20. Dies bedeutet, dass jüngere Teilnehmer vergleichsweise weniger Wissen über Web-Technologien hatten als äl-tere Teilnehmer. Dies ist überraschend, da man annehmen könnte, dass diejenigen, die mit digitalen Medien aufgewachsen sind, ein höhe-res technisches Verständnis haben. Es scheint, dass bei jüngeren Teilnehmern möglicherweise weniger Interesse an der technischen Umset-zung und Nutzung digitaler Anwendungen und Dienste besteht.WIESO NUTZER KEINE MOTIVATION HABEN, SICH MEHR MIT DEM DATEN-SCHUTZ AUSEINANDER ZUSETZENEs wird deutlich, dass allein der rechtliche Rah-men nicht ausreicht, um Nutzern bei der treffen-den Wahl des Datenschutzes zu helfen, obwohl er eine notwendige Voraussetzung ist. Während Informationen über die DS-GVO verfügbar sind, beeinflussen sie das Verhalten der Nutzer nicht maßgeblich, da ihr Hauptinteresse beim Besuch einer Website darauf gerichtet ist, Informatio-nen zu erhalten oder Produkte zu kaufen. Um wirksame Datenschutzentscheidungen zu tref-fen, müssen Nutzer nicht nur ihre Rechte gemäß der DS-GVO kennen, sondern auch wissen, wie sie diese in die Praxis umsetzen können.Daher ist es wichtig, den Nutzern die Möglich-keit zu geben, sich in rechtlichen Fragen besser

Der neue Themenguide IT-Sicherheit Wir bedanken uns bei unseren Partnern: Jetzt teilnehmen und Firmenpartner werden: wolfgang.scharf@datakontext.com www.itsicherheit-online.com Bild: comauthor - stock.adobe.com

. m o c . e b o d a k c o t s - f f o k n e d o r o G © Nelelena Verantwortliche für IT-Sicherheit direkt erreichen ▪ Newsletter ▪ Content- Marketing ▪ Webinare & Webkonferenzen Schreiben Sie uns: wolfgang.scharf@datakontext.com www.itsicherheit-online.com | www.kes.info IT-SICHERHEIT_5/2023 79