IT-SICHERHEIT 2-2024

Online-Schulungen IT-Sicherheit 2024 Themen Referenten Termine Informationssicherheit beim Einsatz von KI für IT, OT und im produzierenden Umfeld Alexander Jaber CISO und Consulting Exzellenz für Informationssicherheit Alexander Jaber Betriebssystem Windows härten und absichern – Eine Schritt für Schritt Anleitung KI-Abwehrmechanismen in ein Unternehmens-ISMS integrieren – Eine praxisorientierte Blaupause KI im Kontext der Cybersecurity Tobias Elsner Alexander Jaber Alexander Jaber Incident-Response-Maßnahmen – Auf Sicherheitsvorfälle optimal reagieren Tobias Elsner Thomas Wallutis Praxisfall: Herausforderungen und Bewältigung eines Cyberangriffes – vom Angriff bis zur Abwicklung KI-Blaupause – Standardszenarien für Angriff und Verteidigung Tobias Baader Jürgen Kreuz Einführung Notfallmanagement nach BSI-Standard 200-4 Tobias Baader IT-Sicherheit von M365 – Sicheres Design und sichere Konfiguration Das NIS2 Umsetzungsgesetz (NIS2UmsuCG): Was Unternehmen jetzt beachten müssen Physische Sicherheit für IT-Profis: Vom Konzept zur Umsetzung Quickwins für IT-Sicherheit: Mental-Tool-Box für Sofortmaßnahmen zur Risikoreduzierung Jeweils von 10:00 Uhr bis 14:30 Uhr I online Änderungen bei Terminen bleiben vorbehalten. Eric Soldierer Tobias Baader Dirk Seeburg Alexander Jaber Alexander Jaber 16.05.2024 11.07.2024 24.09.2024 23.05.2024 01.08.2024 11.09.2024 29.05.2024 13.11.2024 05.06.2024 09.07.2024 04.09.2024 06.06.2024 23.07.2024 03.09.2024 10.06.2024 16.12.2024 11.06.2024 12.09.2024 14.11.2024 12.06.2024 08.07.2024 01.10.2024 13.06.2024 10.09.2024 19.11.2024 19.06.2024 25.09.2024 04.11.2024 19.06.2024 17.09.2024 12.11.2024 18.07.2024 02.10.2024 11.11.2024 25.07.2024 19.09.2024 21.11.2024 Jetzt anmelden für nur 349,– € zzgl. MwSt.: www.datakontext.com/it-sicherheit-seminare 10 % Rabatt für + Abonnenten

Liebe Leserinnen, liebe Leser, letztes Jahr wurde bekannt, dass eine chinesische Hackergruppe namens Storm-0558 in den Besitz eines sensiblen Signaturschlüssels von Microsoft gelangt war. Das Unternehmen ver- folgte den Angriff zurück und stellte fest, „dass ein Absturz des Consumer-Signing-Systems zu einem Schnappschuss des abgestürzten Prozesses führte“. Dieser „Crash Dump“ sollte eigentlich keine vertraulichen Informationen enthalten. Laut Microsoft war das jedoch nicht der Fall. Stattdessen enthielt der Dump Schlüsselmaterial und wurde aus dem iso- lierten Produktionsnetzwerk in die mit dem Internet verbundene Debugging-Umgebung verschoben. Dort konnten Cyberangreifer ihn erbeuten, nachdem sie den Firmenaccount eines Microsoft-Ingenieurs kompromittiert hatten. Der Fall zeigt exemplarisch, wie sensi- bel IT-Diagnosedateien sind, da sie eine wahre Fundgrube für Hacker sein können. Unser Autor Dr. Stephen Fedtke schildert ab Seite 20, welche Lehren Unternehmen aus dem Crash-Dump-Hack von Microsoft ziehen können. Nach einem erfolgreichen Cyberangriff ist eine schnelle Reaktion entscheidend, um Schaden abzuwenden. Hierfür müssen verschiedene Stellen im Unternehmen zusammen- arbeiten, besonders der IT-Fachstab und der Krisenstab – eine komplexe Aufgabe, die eine gute Kommunikation, definierte Prozesse und nicht zuletzt gegenseitiges Verständnis er- fordert, meinen unsere Autoren und zeigen, welche Herausforderungen es bei der Zusam- menarbeit gibt und wie praktische Lösungsansätze dafür aussehen (ab Seite 29). Bard, ChatGPT und Copilot sind mittlerweile vielen Anwendern ein Begriff – aber haben Sie schon einmal von WormGPT und FraudGPT gehört? Dabei handelt es sich um speziell trainierte künstliche Intelligenzen, die eigens dafür entwickelt wurden, Phishing-E-Mails und Angriffssoftware zu generieren. Die Kosten für den Nutzer sind überschaubar: 60 Euro im Monat wollen die Cyberkriminellen dafür haben. Künstliche Intelligenz (KI) ist ein ech- ter Gamechanger und revolutioniert Bedrohungen wie Deepfakes, Phishing und Social Engineering – wie genau erläutert unser Artikel ab Seite 15. Auf der „hellen“ Seite ist KI aber ebenfalls ein Wendepunkt: Unternehmen können in allen Geschäftsbereichen von den Vorteilen profitieren, wenn sie die Herausforderungen pro- aktiv angehen und die Möglichkeiten nutzen, die Digitalisierung, Automatisierung und Prozessoptimierung bieten. Die KI-Revolution ist dabei nicht nur eine Chance, sondern eine Notwendigkeit, um in der Zukunft bestehen zu können. In unserer neuen Artikel serie „Die KI-Revolution“ beleuchtet unser Autorenteam die verschiedenen Arten von KI und analysiert, welche davon sicher und verantwortungsbewusst einsetzbar sind. Den ersten Teil „Chefsache künstliche Intelligenz“ lesen Sie in dieser Ausgabe ab S. 24. Eine These des Beitrags: Es reicht nicht aus, die Verantwortung für künstliche Intelligenz in die Hände der IT- und Sicherheitsabteilungen zu legen. Das Thema erfordert vielmehr die engagierte Mitwirkung der gesamten Unternehmensführung. Die Autoren blicken deshalb über den Tellerrand der IT-Sicherheit hinaus und beschrieben grundlegende Herausforderungen und wie sich Unternehmen angesichts der KI neu erfinden können. Viel Spaß bei der Lektüre wünscht Ihnen Sebastian Frank EDITORIAL twitter.com/it_sicherheit24 www.itsicherheit-online.com/ newsletter IT-SICHERHEIT_2/2024 3

20 CYBERBEDROHUNG DURCH DATENDIEBSTAHL AUS IT-DIAGNOSEDATEIEN LEARNINGS AUS DEM MICROSOFT CRASH-DUMP-HACK 3 6 EDITORIAL NEWS SCHWERPUNKT: SICHERHEIT IN UND AUS DER CLOUD 10 Welche Einstellungen und Dienste Unternehmen unbedingt nutzen sollten AZURE-VMS SICHER BETREIBEN CYBERSICHERHEIT 15 Deepfakes, Phishing und Social Engineering mithilfe von WormGPT und FraudGPT: WIE CYBER KRIMINELLE UND DER EINSATZ VON KI UNSERE SICHERHEIT BEDROHEN 18 Passwortsicherheit VIER WEGE WIE HACKER DURCH SOCIAL ENGINEERING DIE MFA UMGEHEN SECURITY MANAGEMENT 24 Die KI-Revolution: Auswirkungen erkennen, Unternehmen neu denken CHEFSACHE KÜNSTLICHE INTELLIGENZ 29 Herausforderungen und Lösungen für die Koordination zwischen IT-Fachstab und Krisenstab GRUNDLAGEN FÜR DAS KRISENMANAGEMENT 32 Überblick über die aktualisierte Fassung ISO/IEC 27001:2022 34 Industrielle Cybersicherheit WIE GEHT OT-SICHERHEIT OHNE EIGENE FACHKRÄFTE IN ZEITEN VON NIS-2? 38 Change-Management-Methoden unterstützen bei Cybersicherheit RAUS AUS DER OPFER-STARRE 40 Definition und Abgrenzung CYBERSICHERHEIT, IT-SICHERHEIT UND INFORMATIONSSICHERHEIT 20 Cyberbedrohung durch Datendiebstahl 44 Ansätze und Abhängigkeiten aus IT-Diagnosedateien LEARNINGS AUS DEM MICROSOFT CRASH- DUMP-HACK WETTRÜSTEN FÜR EINE SICHERE SOFTWARE-SUPPLY-CHAIN 4 IT-SICHERHEIT_2/2024

INHALTSVERZEICHNIS SICHER BETREIBEN10 AZURE-VMS 29 GRUNDLAGEN FÜR DAS KRISENMANAGEMENT 44 WETTRÜSTEN FÜR EINE SICHERE SOFTWARE-SUPPLY-CHAIN SECURITY MANAGEMENT SERVICE 46 Zutrittssteuerung und Besuchermanagement 58 VORSCHAU: Ausblick auf Ausgabe 3 | 2024 für die Sicherheit kritischer Infrastrukturen KEIN ZUTRITT FÜR UNBEFUGTE 58 Impressum AUS DER FORSCHUNG ADVERTORIALS 48 Mehr Schutz vor Angriffen MODERN ENDPOINT SECURITY RECHT 54 Steigerung der Cybersicherheit durch den Digital Operational Resilience Act (DORA) NEUE ÄRA DER DIGITALEN WIDERSTANDSFÄHIGKEIT FÜR FINANZUNTERNEHMEN 13 Cybersecurity auf Applikationsebene DIE SCHWACHSTELLE FAST JEDER IT-SICHERHEITSSTRATEGIE 14 SO SCHÜTZEN UNTERNEHMEN IHREN E-MAIL-VERKEHR VOR CYBERATTACKEN IT-SICHERHEIT_2/2024 5

NEWS | UNTERNEHMEN COHESITY ERWEITERT KI-LÖSUNGEN DURCH PARTNERSCHAFT MIT NVIDIA Cohesity arbeitet jetzt mit NVIDIA zusammen. Die Partner wollen Unter- nehmen dabei unterstützen, das Potenzial von generativer KI und Daten sicher zu erschließen. Dabei kommen die kürzlich angekündigten NVIDIA NIM-Microservices zum Einsatz. Darüber hinaus wird NVIDIA AI Enterpri- se in die Cohesity Gaia Plattform integriert. Diese Plattform vereint meh- rere zum Patent angemeldete KI-Fähigkeiten und -Technologien und wird NVIDIA NIM und andere Technologien als gehärtete Multi-Cloud- Datenplattform der Enterprise-Klasse bereitstellen. Weiterhin beteiligt sich NVIDIA als Investor an Cohesity. Durch die Integration von Cohesity Gaia mit NVIDIA AI Enterprise erhalten Kunden direkten Zugang zu den neuesten KI-Funktionen für effizientere Prozesse. Außerdem erhalten sie mehr Einblick in Sicherheitsrisiken und können laut Hersteller den Wert ihrer Daten besser einschätzen. „Generative KI bedeutet einen Paradigmenwechsel in Sachen Compu- ting-Plattform, der Unternehmen ganz neue Potenziale für mehr Pro- duktivität eröffnet“, sagt Jensen Huang, Gründer und CEO von NVIDIA. „Wir arbeiten mit Cohesity zusammen, um es Unternehmen zu ermögli- chen, einen größeren Nutzen aus ihren Daten zu ziehen, ohne die Sicher- heit oder die Flexibilität der Verwaltung zu beeinträchtigen.“ n J.P. MORGAN INVESTIERT 36 MILLIONEN IN EYE SECURITY Eye Security will den deutschen Mittelstand vor Cybersicherheitsrisiken schützen. Dazu erhält das Start-up eine Finanzierung in Höhe von 36 Mil- lionen unter der Führung von J.P. Morgan Growth Equity Partners. Mit dem Geld will das Unternehmen die Marktstellung in Deutschland, in den Niederlanden und in Belgien ausbauen sowie die Expansion in weitere europäische Länder vorantreiben. Das Unternehmen Eye Security wurde 2020 von einem Team niederländischer Geheimdienst- und Sicherheits- experten mit der Mission gegründet, den europäischen Mittelstand vor Cyberattacken zu schützen. „Unsere Reise begann mit der Vision, die eskalie- renden Cyber-Risiken zu bekämpfen, mit denen Un- ternehmen täglich konfrontiert sind", sagt Job Kuij- pers, CEO von Eye Security. „Wir freuen uns, unsere Mission auf ganz Europa auszuweiten und unseren Kunden und strategischen Partnern die Gewissheit zu geben, dass sie mit einem führenden Unterneh- men im Bereich Cybersicherheit und Versicherung zusammenarbeiten.“ n Job Kuijpers, CEO von Eye Security (Bild: Eye Securtiy) DATEV KAUFT B4VALUE.NET Die DATEV übernimmt die Mehrheit an dem Netzwerkspezialisten b4value.net GmbH. Der Nürnberger IT-Dienstleister sieht in der Kompe- tenz und Technologie des Unternehmens die Möglichkeit, seine Aktivi- täten rund um die sichere Übermittlung von Geschäftsdokumenten und -daten um die technologische Basis eines spezialisierten Netzwerks zu erweitern. Die Übertragung der Geschäftsanteile erfolgt in zwei Schrit- 6 IT-SICHERHEIT_2/2024 ten. Im ersten Schritt übernimmt die DATEV Beteiligungen GmbH, eine hundertprozentige Tochtergesellschaft der DATEV eG, eine qualifizier- te Mehrheit von 75 Prozent mit wirtschaftlicher Wirkung zum 1. Januar 2024. Der Vertrag sieht vor, dass die DATEV Beteiligungen GmbH nach Ablauf von drei Jahren auch die restlichen 25 Prozent übernimmt und DATEV dann alleiniger Anteilseigner ist. Über den Kaufpreis wurde Still- schweigen vereinbart. Für DATEV ist die Beteiligung eine Investition in die zukünftigen Anfor- derungen digital transformierter Unternehmen. Insbesondere im Hin- blick auf die Entwicklung der E-Rechnungspflicht in Deutschland und die zu einem späteren Zeitpunkt zu erwartende Meldepflicht von steuer- relevanten Rechnungsdaten will der IT-Dienstleister von der Infrastruk- tur von b4value.net profitieren. Mit dem TRAFFIQX-Netzwerk betreibt b4value.net eine etablierte und bewährte Plattform für den sicheren elektronischen Dokumenten- und Datenaustausch im europäischen Raum. n KASPERSKY IST PARTNER VON UNITED INNOVATIONS Kaspersky ist seit dem Januar 2024 Unterstützer und Technologiepartner von United Innovations, einem Netzwerk zur Förderung des Innovations- standortes Europa der gemeinnützigen Gesellschaft zur Förderung des Forschungstransfers e.V. (GFFT). Im Fokus von United Innovations stehen die Bereiche Software, agile Unternehmensführung, Cybersicherheit und Industrie. Zu den gemeinsamen Aktivitäten gehören Fachvorträge von Kaspersky-Experten sowie die Veröffentlichung einer Sonderausgabe der Technologiezeitschrift Security Survey. Das internationale Netzwerk United Innovations verbindet Anwender, Technologieanbieter, Berater, Start-ups und Wissenschaftler, um Syner- gien zu ermöglichen, Qualität zu steigern und Kosten zu senken. Hierzu sollen das jeweilige Innovationspotenzial identifiziert, vorhandene Me- thoden und Technologien evaluiert sowie innovationsfördernde Prozesse etabliert werden. n HORNETSECURITY ÜBERNIMMT VADE Die Hornetsecurity Gruppe („Hornetsecurity“) gibt bekannt, dass Vade, ein französischer Anbieter im Bereich E-Mail-Sicherheit, mit täglich mehr als 2,5 Milliarden analysierten Nachrichten, der Gruppe beigetreten ist. Angesichts der rasant zunehmenden Nutzung von cloudbasierten Busi- nesslösungen und Kollaborationsdiensten in Kombination mit einer sich entwickelnden Cybersicherheitsumgebung und vielfältigen Cyberbedro- hungen benötigen Unternehmen jeder Größe flexible und anpassungsfä- hige Cloud-Lösungen, um sich vor Cyberangriffen jeder Art zu schützen. Durch den Zusammenschluss von Hornetsecurity und Vade profitieren Kunden und Partner in allen Märkten von einem umfangreicheren Pro- duktangebot, das Hornetsecurity als global führenden Anbieter cloud- basierter Cybersicherheitsdienste positioniert. n

ARMIS ERWIRBT CTCI Armis gibt die Übernahme des KI-Cybersecurity-Unternehmens CTCI (Cyber Threat Cognitive Intelligence) bekannt, das sich auf KI-gestützte Technologien zur Erkennung von Bedrohungen und Angriffen speziali- siert hat. Im Rahmen einer privaten Transaktion hat Armis die gesamte Technologie und die Mitarbeiter von CTCI übernommen und wird die Technologie von CTCI in Armis Centrix integrieren. „CTCI hat einen großen Erfahrungsschatz im Bereich künstliche Intelli- genz und verfügt über umfassendes Fachwissen was Threat Intelligence und nationale Sicherheit angeht. Zudem besitzt es ein umfassendes globales Netzwerk von Honeypots, die als Früh- warnsystem dienen, um Indikatoren für bevor- stehende Angriffe und Exploits zu identifizieren“, erklärt Nadir Izrael, CTO und Mitbegründer von Armis. „Bisher waren Sicherheitslösungen reaktiv und traten erst in Aktion, wenn ein Angriff statt- fand. Mit der erweiterten Fähigkeit zur prädik- tiven Analyse in Kombination mit KI werden die Funktio nen von Armis Centrix im Bereich Threat Hunting entscheidend weiterentwickelt.“ Nadir Izrael, CTO und Mitbegründer von Armis (Bild: Armis) Das KI-Unternehmen CTCI wurde 2020 von CEO Andrew Grealy und CTO Michael Freeman gegründet. Zusammen verfügen sie über mehr als 50 Jahre Erfahrung in der Cybersicherheit und arbeiten mit Regierungen und Großunternehmen zusammen, um Risiken und Gefahren zu vermei- den. CTCI hat Sicherheitsteams dabei unterstützt, proaktiver zu sein, um Sicherheitsverletzungen zu verhindern, Schwachstellen zu priorisieren, Angriffe zu erkennen und festzustellen, ob Unternehmen auf der ganzen Welt gefährdet sind. n EPERI UND SITS GROUP KOOPERIEREN eperi und die Swiss IT Security Group (SITS Group) haben Ende Januar 2024 eine strategische Partnerschaft geschlossen. Beide Unternehmen verfügen über Lösungen und langjährige Erfahrung in den Bereichen der Datenverschlüsselung und Cloud-Anwendungen. Das gemeinsame An- gebot bietet Kunden bestmöglichen Schutz und Compliance für wichtige Daten – On-Premises und in Cloud-Speichern. Im Rahmen der Partnerschaft kombinieren die SITS Group und eperi zwei Lösungen: fideAS file enterprise der SITS Group und das eperi Gateway. fideAS file enterprise bietet eine unternehmensweite Ver- schlüsselung auf beliebigen On-Premises-Datenablageorten, wäh- rend das eperi Gateway eine unternehmensweite Verschlüsselung auf verschiedenen Cloud-Datenablageorten sicherstellt und darüber hinaus die sichere Kollaboration ermöglicht. Dieses Paket gewährleis- tet einen umfassenden Datenschutz unabhängig davon, wo die Daten gespeichert sind. Mit der Lösungskombination behalten Kunden die Kontrolle über ihre Daten und erreichen die bestmögliche Sicherheit an sämtlichen Speicherorten. Beide Anwendungen integrieren sich in die bestehende Arbeitsumgebung der Unternehmen und arbeiten trans- parent sowie im Hintergrund. Das ermöglicht es den Anwendern, ihre gewohnten Arbeitsabläufe beizubehalten, ohne sich an neue Prozesse anpassen zu müssen. n NEWS | UNTERNEHMEN WERTH IT GMBH UND NTT DATA BUSINESS SOLUTIONS AG KÜNDIGEN PARTNERSCHAFT AN Die Werth IT GmbH, ein Unternehmen im Bereich SAP-Security, gibt die strategische Partnerschaft mit dem IT-Diensleister NTT Data Business Solutions AG. Ziel der Zusammenarbeit ist die Entwicklung sowie Bereit- stellung von Lösungen und Dienstleistungen zur Stärkung der digitalen Sicherheit von Unternehmen. Gemeinsam werden beide Unternehmen dabei unterstützen, den sich wandelnden Cyberbedrohungen stets einen Schritt voraus zu sein. Durch die Kombination des technischen Know- hows von Werth im Bereich SAP-Security mit der Beratungs- und Im- plementierungserfahrung von NTT Data Business Solutions wolle man Lösungen entwickeln, die genau auf die spezifischen Anforderungen der Kunden zugeschnitten sind. Ein wesentlicher Bestandteil der Partnerschaft ist der Einsatz des Daten- sensors WerthAuditor, einer SAP-Security-Lösung, die SAP-Systeme auf Sicherheitsrisiken und Schwachstellen prüft und bereits 2013 vom Bundesministerium für Wirtschaft und Energie mit dem Sonderpreis für Sicherheit in Unternehmen ausgezeichnet wurde. Die Werth-Lösung bietet Unternehmen ein Dashboard und Monitoring-Features, die es ermöglichen, Cyberbedrohungen in Echtzeit zu erkennen und unverzüg- lich darauf zu reagieren. Mithilfe der Software können Unternehmen ihre SAP-Systeme härten und vor Cyberbedrohungen schützen. n GENUA UND ADVA NETWORK SECURITY ARBEITEN ZUSAMMEN Der deutsche IT-Sicherheitsspezialist genua und die ebenfalls deutsche Adva Network Security sind eine langfristige strategische Kooperation eingegangen. Die beiden Unternehmen kombinieren ihre Expertise bei hochsicheren Metro- und VPN-Netzwerken, um für Kunden mit hohem Schutzbedarf ein integriertes Angebot zu schaffen, das höchste IT-Sicher- heit und Leistungsfähigkeit gewährleistet. Dabei bringt genua seine Er- fahrung in der sicheren Layer-3-Vernetzung ein, während Adva Network Security seine Ethernet-Zugangstechnik mit Layer-2-Verschlüsselung bei- steuert. Diese Kombination resul- tiert in einer gemeinsamen Lösung für große EU-/NATO-Kommunika- tionsinfrastrukturen, die vom Bun- desamt für Sicherheit in der Infor- mationstechnik für die Übertragung von Daten der Geheimhaltungsgra- de VS-NfD (Verschluss sachen – Nur für den Dienstgebrauch) sowie EU/ NATO Restricted zugelassen ist. Mit ihrer Kooperation zielen beide Unternehmen vor allem auf den regulierten Markt, wie Behörden, KRITIS-Unternehmen oder Gesund- heitswesen. n Marc Tesch, Geschäftsführer der genua GmbH, über die strategische Zusammenarbeit mit Adva Network Security: „Durch die Partnerschaft erweitern wir unsere vertrieblichen und technologischen Fähigkeiten im Angebot von zugelassenen Layer-2- Verschlüsselungskomponenten.“ (Bild: genua) IT-SICHERHEIT_2/2024 7

NEWS | PRODUKTE ONTINUE OPTIMIERT INCIDENT- MANAGEMENT Ontinue, Anbieter von Managed Extended Detection and Response (MXDR), erweitert seine ION Managed Security Operations Services. Neue Automatisierungs- und Reporting-Funktionen ermöglichen eine schnel- lere und präzisere Erkennung von Vorfällen und erhöhen die Transparenz durch einheitliche Entscheidungslogiken. Zudem werden interne Teams entlastet und bestehende SecOps-Workflows gestärkt. Zu den neuen Funktionen gehört die intelligente Automatisierung mit ION Automate. Unternehmen können Einsatz- und Eskalationsregeln für das Incident-Management definieren, die neben dem Schweregrad des Vorfalls auch Faktoren wie Tageszeit, Geografie oder Asset-Typ berück- sichtigen. ION Automate führt auf Basis dieser Regeln vorautorisierte Aktionen aus. Vorfälle können auch automatisch an Teams zur Genehmi- gung weitergeleitet werden, bevor Maßnahmen ergriffen werden. Auf diese Weise werden manuelle Eingriffe reduziert und eine effiziente Be- arbeitung von Sicherheitsvorfällen gewährleistet. Die intelligente Auto- matisierung mit ION Automate wird im zweiten Quartal 2024 eingeführt. Darüber hinaus stehen laut Hersteller mit ION IQ nun auch KI-gestützte Berichte zur Verfügung. Für jeden gelösten Vorfall liefert ION automa- tisch eine Zusammenfassung des Vorfalls und abschließende Kommen- tare. Mit ION IQ, der firmeneigenen KI von Ontinue, wird diese Funktion erheblich erweitert. ION IQ durchsucht alle Notizen, betroffenen Assets und Aktivitäten für einen bestimmten Incident – einschließlich der au- tomatisierten Aktionen – und erstellt eine konsistente und leicht lesbare Zusammenfassung. n VENAFI FIREFLY NUN MIT SPIFFE- UNTERSTÜTZUNG Venafi stellt die Secure-Production-Identity-Framework-For-Everyone- (SPIFFE)-Unterstützng für Venafi Firefly vor. Dabei handelt es sich um den branchenweit ersten leichtgewichtigen Workload-Identitätsvermittler, der speziell für die Unterstützung moderner, hochgradig verteilter cloud- nativer Workloads entwickelt wurde. In Cloud-Architekturen gewinnt die Identität von Workloads zunehmend an Bedeutung. Moderne Anwen- dungen benötigen daher automatisierte Methoden, um schnell skalier- bare und diverse Workloads abzusichern, selbst wenn sie nur temporär existieren. Dank der Integration des Open-Source-Frameworks für Identi- tätsstandards, SPIFFE, ist Unternehmen nun eine nahtlose Sicherung und Verwaltung von Workload-Identitäten in dynamischen Entwicklungsum- gebungen wie Kubernetes möglich. Dadurch wird die Innovationsfähig- keit nicht beeinträchtigt. Im Gegensatz zu anderen „Secrets-Managern“ und Legacy-PKIs, die moderne, dezentrale Ansätze nicht unterstützen können, lassen sich Workloads in dynamischen Multi-Cloud-Umgebungen authentifizieren. Dabei werden kurzlebige, überprüfbare Identitäten von der Control Plane verwaltet, was eine einfache und zuverlässige gegenseitige Authenti- fizierung ermöglicht. Als Ergebnis können Sicherheits- und Plattform- teams die Identitäten von Workloads über alle Umgebungen hinweg ef- fektiv schützen und gleichzeitig die betriebliche Komplexität und Kosten erheblich reduzieren. n 8 IT-SICHERHEIT_2/2024 TENABLE ERWEITERT GENERATIVE KI-FUNKTIONEN Tenable kündigt Erweiterungen für ExposureAI an, die generativen KI-Funktionen und -Services innerhalb der Tenable One Exposure-Ma- nagement-Plattform. Die neuen Funktionen ermöglichen es Kunden, relevante Angriffspfade schnell zusammenzufassen, Fragen an einen KI-Assistenten zu stellen und konkrete Handlungsempfehlungen für fundierte Risikomanagement-Entscheidungen zu erhalten. Die auf gene- rativer KI basierenden Such- und Chat-Anwendungen der Plattform wer- den von Google Cloud unterstützt – einschließlich der Gemini-Modelle in Vertex AI. Diese neuen KI-Funktionen ermöglichen es praktisch jedem Mitglied des Sicherheitsteams, die komplexesten Angriffspfade über ver- schiedene Schwachstellen hinweg nachzuvollziehen und zu adressieren – und Angreifern einen Schritt vorauszubleiben. Mit der Attack Path Summary können Sicherheitsexperten nun über eine Single-Pane-of-Glass-Ansicht eine Zusammenfassung jedes Angriffs- pfads abrufen, die umfassende Beschreibungen des gesamten Pfads bie- tet und Hinweise darauf gibt, wie ein Angreifer einen offenen Angriffs- pfad innerhalb der Unternehmensumgebung ausnutzen könnte. Zudem können Benutzer nun mit dem KI-Assistenten von Tenable geziel- te Fragen zum zusammengefassten Angriffspfad sowie zu den einzelnen Knotenpunkten entlang des Pfads stellen. Fragen wie: Was kannst du mir zu diesem Asset sagen? Wie viele Domain-Admins haben Zugriff auf die- ses Asset? Welchen Patch kann ich einspielen, um die Schwachstelle in diesem Angriffspfad zu beheben? Wie viele Angriffspfade werden durch diesen Patch blockiert? n MICROSOFT COPILOT FOR SECURITY MIT NEUEN FUNKTIONEN Die generative KI-Lösung Microsoft Copilot for Security ist allgemein verfügbar. Sie hilft Sicherheits- und IT-Experten dabei, leicht überseh- bare Risiken zu erkennen, schneller zu handeln und die Teamkompetenz zu stärken. Weltweit sind vier Millionen Stellen im Bereich der Cybersicherheit of- fen. Copilot kann dazu beitragen, diese Lücke zu schließen, indem es Mitarbeitende im Bereich Sicherheit besser qualifiziert und die Hürde für Neueinsteiger in diesem Bereich senkt. Copilot liefert laut Microsoft indi- viduelle Erkenntnisse, die auf umfangreichen Daten und Bedrohungsin- formationen beruhen, einschließlich der 78 Billionen Sicherheitssignale, die Microsoft täglich verarbeitet. Die Neuigkeiten im Überblick: Copilot for Security pay-as-you-go: Microsoft führt ein Pay-as-you- go-Lizenzmodell ein, das Copilot for Security für eine größere Anzahl von Unternehmen zugänglich macht. Neue Funktionen von Copilot for Security: Mit der allgemeinen Ver- fügbarkeit werden unter anderem benutzerdefinierte Promptbooks, Wissensdatenbank-Integrationen oder auch Microsoft Entra Audit- Protokolle und Diagnoseprotokolle erhältlich.

Globale Verfügbarkeit und breites Ökosystem: Copilot for Security kann weltweit Eingabeaufforderungen in acht Sprachen verstehen und beantworten. Die Produktoberfläche ist dabei in 25 Sprachen lokalisiert. KI-Nutzung entdecken, schützen und steuern: Microsoft bietet seinen Kunden mehr Transparenz, Schutz und Kontrolle über ihre KI- Anwendungen, unabhängig davon, ob sie Microsoft Copilot oder gene- rative KI-Apps von Drittanbietern nutzen. Microsoft Security Exposure Management ist eine neue, einheitli- che Lösung zur Verwaltung der Sicherheitslage und der Angriffsfläche innerhalb der Unified Security Operations Platform, die Einblicke in die gesamten Ressourcen gewährt und zu priorisierende Sicherheitsinitia- tiven zur kontinuierlichen Verbesserung empfiehlt. n BSI ERWEITERT MINDESTSTANDARD FÜR WEBBROWSER AUF MOBILE PLATTFORMEN Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat den Mindeststandard für Webbrowser in der neuen Version 3.0 veröffentlicht. Wesentlich erweitert gegenüber der Vorgängerversion hat sich der An- wendungsbereich: Die neue Version gilt erstmals auch für Webbrowser auf mobilen Plattformen („mobile Browser“) der Bundesverwaltung. Der Mindeststandard enthält entsprechende Hinweise und Ergänzungen, die die technischen Besonderheiten mobiler Betriebssysteme berücksichti- gen. So sind die Anforderungen sowohl auf Arbeitsplatzrechnern als auch auf mobilen Plattformen anwendbar. Zusammen mit dem Mindeststandard hat das BSI auch die zugehöri- ge Browser-Abgleichstabelle aktualisiert. Diese dient als Arbeitshilfe für Anwenderinnen und Anwender in der Bundesverwaltung. Sie beschreibt für die dort am häufigsten eingesetzten Webbrowser, wie die Mindest- standard-Anforderungen umgesetzt werden können. Grundsätzlich kann aber jeder Webbrowser zum Einsatz kommen, mit dem der Mindeststan- dard erfüllt werden kann. Der erstmals 2017 nach § 8 Abs. 1 BSIG veröf- fentlichte Mindeststandard für sichere Webbrowser richtet sich in erster Linie an IT-Verantwortliche, IT-Betriebspersonal und Informationssicher- heitsbeauftragte der Bundesverwaltung. Er kann aber auch Ländern, Kommunen sowie der Wirtschaft und Verbraucherinnen und Verbrau- chern als Orientierung dienen. n GOOGLE CLOUD STELLT NEUE RISIKOMANAGEMENT-LÖSUNG FÜR DIE MULTI CLOUD VOR Google Cloud führt Security Command Center Enterprise (SCC Enterprise) ein, die branchenweit erste Cloud-Risikomanagementlösung, die Cloud- Sicherheit mit den Sicherheitsprozessen im Unternehmen verbindet. SCC Enterprise basiert auf dem Know-how von Mandiant. Im Gegensatz zu aktuellen Cloud-Native-Application-(CNAPP)-Lösungen, die von den allgemeinen Sicherheitsabläufen des Unternehmens abgekoppelt sind, kann SCC Enterprise unter anderem die Silos von Tools, Teams und Daten NEWS | PRODUKTE miteinander verbinden, die Cloud-Sicherheit und Sicherheitsabläufe in einer Organisation voneinander trennen. Auf diese Weise können Unter- nehmen sicherheitsrelevante Probleme in der Cloud schneller finden und beheben. SCC Enterprise priorisiert auch das Cloud-Risikomanagement, indem es die entscheidenden Reaktionsfähigkeiten moderner SecOps mit den Bedrohungsdaten von Mandiant integriert. Dadurch können Unternehmen Probleme identifizieren und die Verantwortung für die Si- cherheit ihrer Multicloud-Umgebungen übernehmen. n BITDEFENDER AKTUALISIERT CHATBOT-DIENST SCAMIO Der Stand-Alone-Chatbot-Dienst Scamio von Bitdefender ist ab sofort auch mit Chatbot und Menüführung in deutscher Sprache verfügbar. Bitdefender Scamio ist ein persönlicher Chatbot zum Erkennen von Betrugsversuchen, der durch die Analyse von E-Mails, Textnachrichten, Bildern, einzelnen Links und sogar QR-Codes Hinweise zu potenziel- len Betrugsversuchen bietet. Die Benutzer geben fragwürdige Inhalte einfach in Scamio ein und beschreiben im Dialog, wie sie diese erhalten haben. Scamio gibt in Sekundenschnelle ein Urteil ab und empfiehlt das weitere Vorgehen (z. B. „löschen“ und/oder „Kontakt blockieren“) sowie Präventivmaßnahmen zum Schutz vor zukünftigen Betrugsversuchen dieser Art. n KNOWBE4 STELLT PLATTFORM MIT KI-AGENTEN VOR Der Awareness-Anbieter KnowBe4 macht seine KI-native Plattform Arti- ficial Intelligence Defense Agents (AIDA) öffentlich. Sie ermöglicht einen langfristigen Kulturwandel und reduziert menschliche Risiken. AIDA schützt Benutzer vor dem bösartigen Einsatz von KI durch Cyberkriminel- le. Die Lösung ermöglicht es Unternehmen, die dynamische Auswahl von Sicherheitsschulungen und -tests zu automatisieren, um den Nutzern eine individuellere Lernerfahrung auf der Grundlage ihrer spezifischen Bedürfnisse zu bieten. „Bei KnowBe4 nutzen wir KI seit fast sechs Jahren, und wir erforschen und ermöglichen die Nutzung in allem, was wir tun, um unseren Kunden zu helfen, ihre Organisationen besser zu schützen“, sagt Stu Sjouwerman, CEO von KnowBe4. „Indem wir die Fähigkeiten von AIDA erheblich erweitern, definieren wir den Erfolg von Unternehmen durch die Macht der KI neu. Durch die Verwendung von Hyper-Personalisie- rung und die Einbeziehung von Benutzern mit genau zugeschnittenen Schulungen und Simulationen passt sich AIDA in Echtzeit an, um Mit- arbeiter auf die Bewältigung von KI-gesteuerten Social-Engineering- Angriffen vorzubereiten.“ n IT-SICHERHEIT_2/2024 9

SCHWERPUNKT: SICHERHEIT IN UND AUS DER CLOUD Welche Einstellungen und Dienste Unternehmen unbedingt nutzen sollten AZURE-VMS SICHER BETREIBEN Setzen Unternehmen virtuelle Maschinen (VMs) in Azure ein, stehen diese überall dort zur Verfügung, wo ihre Workloads benötigt werden. Neben dem Betrieb von Azure-VMs direkt in der Cloud ist es auch möglich, die VMs über Azure Stack HCI im lokalen Rechenzentrum zu betreiben. Parallel dazu können Unternehmen ihre lokalen Hyper-VMs hochverfügbar in die Cloud replizieren. Die Einsatzgebiete sind vielfältig und bieten zahlreiche Möglich- keiten, VMs sicher, performant, skalierbar und überall verfügbar zu betreiben. Eine wichtige Rolle spielen dabei natürlich die Sicherheits einstellungen. Microsoft bietet hier Funktionen direkt in den Einstellungen von Azure-VMs und parallel dazu zusätzliche Dienste, mit denen VMs hoch effizient abgesichert werden können. Einen Überblick geben wir in diesem Artikel. m o c . e b o d a k c o t s - o . l l l l e c i t n o m : 10 IT-SICHERHEIT_2/2024 d l i B

SCHWERPUNKT: SICHERHEIT IN UND AUS DER CLOUD Bereits bei der Erstellung einer VM können wichtige Sicher- heitsoptionen festgelegt wer- den. Im Bereich „Netzwerk“ kann man bei- spielsweise einstellen, dass der Server Teil einer Network Security Group (NSG) ist. NSGs bieten eine zentrale Komponente zur Absicherung von Azure-VMs durch die Definition und Durch- setzung von Zugriffsregeln für eingehenden und ausgehenden Datenverkehr. Die Gruppen ermöglichen eine detaillierte Kontrolle darüber, welche Art von Verkehr zu einer VM zugelassen oder von ihr blockiert wird, indem Regeln auf der Grundlage von IP-Adressen, Ports und Pro- tokollen angewendet werden. Dies erhöht die Sicherheit, indem der Netzwerkzugriff einge- schränkt und somit das Risiko von Netzwerk- angriffen verringert wird. Weitere wichtige Einstellungen betreffen die standardmäßig geöffneten Ports des Servers und die Zuweisung öffentlicher IP-Adressen. Beides sollte gut überlegt sein, denn nicht jede Azure-VM muss aus dem Internet erreichbar sein. Generell sollten nur die notwendigen Ports geöffnet werden, wie es auch bei Servern im ei- genen Rechenzentrum der Fall ist. AZURE SECURITY CENTER, ADVISOR UND DEFENDER FÜR DIE CLOUD NUTZEN Sobald die Azure-VM erstellt ist, sollte in der Ver- waltung der VM der Menüpunkt „Einstellungen -> Advisor Empfehlungen“ aufgerufen werden. Hier fasst das Portal nach einem ersten Scan Empfehlungen für die Azure-VM zusammen. Neben der Verbesserung von Sicherheit, Perfor- mance und Zuverlässigkeit finden sich hier auch Optimierungen für die Kosten. Einstellungen, die der Advisor an dieser Stelle empfiehlt, sollten nach Möglichkeit umgesetzt oder zumindest deutlich geprüft werden. (s. Abb. 1) Der nächste Schritt ist der Wechsel zu „Security -> Security Center“. Hier sind weitere Sicher- heitsempfehlungen zu finden, die für Azure-VMs umsetzbar sind. Besonders hilfreich ist hier der Microsoft Defender for Cloud. Im Fenster können über die Schaltfläche „Alle Empfehlungen in De- fender for Cloud anzeigen“ Tipps angezeigt wer- den, wie sich die Sicherheit der VM verbessern lässt. Mit einem Klick auf die jeweilige Empfeh- lung zeigt das Portal spezifische Optimierungen an (s. Abb. 2). Abb. 1: Überprüfung der Optimierungsempfehlungen für VMs im Azure Advisor (Bild: Thomas Joos) Abb. 2: Defender for Cloud bietet wichtige Empfehlungen zur Verbesserung der Sicherheit von Azure- Ressourcen, einschließlich Azure-VMs. (Bild: Thomas Joos) IT-SICHERHEIT_2/2024 11 VMS UND VOLUMES VERSCHLÜSSELNÜber „Datenträger“ sollte für jeden Datenträ-ger überprüft werden, ob dieser verschlüsselt ist. Dies ist für Azure-VMs elementar. Gene-rell sollten alle Datenträger in der Cloud immer verschlüsselt sein. Das ist unter „Eigenschaf-ten“ ersichtlich, wenn man im Portal auf einen Datenträger klickt. Für mehr Sicherheit ist es an dieser Stelle auch möglich, den Schlüssel für die Verschlüsselung nicht von Azure erstellen zu lassen, sondern eigene Schlüssel zu verwen-den. Die dafür notwendige Konfiguration zeigt Microsoft in der Dokumentation (https://learn.microsoft.com/de-de/azure/virtual-machines/disk-encryption).NETZWERK- UND FIREWALL-EINSTELLUN-GEN ANPASSENÜber den Menüpunkt „Netzwerk -> Netzwerk-einstellungen“ lassen sich die angehängten Netzwerkschnittstellen anpassen. Hier können Admins auch Portregeln definieren. An dieser Stelle ist es wichtig, den Zugriff nur auf die Ports zu beschränken, die für die Workloads des Ser-vers notwendig sind. Wichtig sind hier vor allem die Regeln für eingehende Ports. Falls Network Security Groups zum Einsatz kommen, können auch deren Sicherheitseinstellungen über den Link zur NSG optimiert werden (s. Abb. 3). Über einen Klick auf den Namen der NSG kann genau gesteuert werden, von welchen Ports

SCHWERPUNKT: SICHERHEIT IN UND AUS DER CLOUD Abb. 3: Anpassen der Portregeln und Einstellungen der NSG (Bild: Thomas Joos) Abb. 4: Azure hilft bei der Installation von Updates in VMs. (Bild: Thomas Joos) und Protokollen auf eine Azure-VM zugegriffen werden darf. Es ist sehr empfehlenswert, diese Regeln genau zu studieren und so fein wie mög- lich zu steuern. AUTOMATISIERUNG UND INSTALLATION VON UPDATES Die Installation von Sicherheitsupdates spielt bei Azure-VMs eine mindestens genauso wichti- ge Rolle wie bei lokal betriebenen Servern. Über den Menüpunkt „Aktionen -> Updates“ können die verfügbaren Updates angezeigt werden. Mit „Auf Updates prüfen“ scannt die Umgebung die Azure-VM auf fehlende Updates und zeigt diese im Fenster an. Ein Klick auf den Link „Einmaliges Update“ startet einen Assistenten, der bei der Aktualisierung der VM hilft. Dies ist bei mehreren VMs hilfreich, da so mehrere Server gleichzeitig im Fenster aktualisiert werden können (s. Abb. 4). Durch die Auswahl von „Jetzt aktivieren“ unter „Regelmäßige Überprüfung“ auf der Übersichts- seite der Updates kann die Überprüfung auf feh- lende Updates und deren Installation automati- siert werden. AZURE BASTION SCHÜTZT VMS VOR EXTERNEN ZU- GRIFFEN Sollen VMs von außen erreichbar sein, ist es möglich, ihnen eine externe und öffentlich zu- gängliche IP-Adresse zuzuweisen. Das ist jedoch beim Einsatz von mehreren VMs selten sinnvoll, da hier jede VM einen externen Zugriff erhält Besser ist an dieser Stelle die Verwendung von Azure Bastion. Über den Link „Verbinden -> Bastion Host“ kann festgelegt werden, dass der Zugriff auf die VM nicht direkt von außen erfolgt, 12 IT-SICHERHEIT_2/2024 linien“ Sicherheitseinstellungen automatisiert auf Objekte der Ressourcengruppe übertragen werden. Dies gilt natürlich auch für Azure-VMs. Nach einem Klick auf die vorhandenen Richtli- nien werden die verschiedenen Einstellungen angezeigt und durch einen Klick auf die Einstel- lungen weitere Informationen zu den Auswir- kungen dargestellt. Wenn die Policy einer Res- sourcengruppe und deren Objekten zugewiesen wurde, zeigt das Portal an dieser Stelle an, wel- che Objekte nicht Policy-konform sind, also die Einstellungen nicht umsetzen. FAZIT Es gibt viele Möglichkeiten, VMs in Azure besser abzusichern. Neben den in diesem Artikel vor- gestellten gibt es zahlreiche weitere, welche die Sicherheit deutlich erhöhen. Beispiele sind die Verwendung von Just-in-Time für administrati- ve Berechtigungen, das Arbeiten mit einge- schränkten Berechtigungen und dem Azure- Rollenmodell oder auch die Überwachung mit dem Azure Monitor. In jedem Fall ist es mehr als sinnvoll, sich ausführlich mit den verschiedenen Sicherheitsoptionen für VMs in Azure auseinan- derzusetzen. n sondern sich Benutzer oder externe Serverdiens- te zunächst mit dem Bastion Host verbinden, der die Anfragen weiterleitet. Insbesondere RDP- und SSH-Zugriffe können so wesentlich sicherer realisiert werden. Als voll- ständig verwalteter PaaS-Dienst (Platform as a Service) bietet Azure Bastion einen sicheren, zen- tralen Einstiegspunkt in die Azure-Umgebung, wodurch das Risiko von Brute-Force-Angriffen oder anderen Netzwerkbedrohungen reduziert wird. Durch die Nutzung von Azure Bastion ent- fällt die Konfiguration von Jump-Servern oder lokalen VPN-Lösungen, wodurch die Komplexi- tät der Netzwerkinfrastruktur verringert und die Verwaltung der Zugriffssicherheit vereinfacht wird. Der Dienst fügt sich nahtlos in bestehen- de Sicherheits- und Managementstrategien ein, indem er eine zusätzliche Sicherheits- und Kontrollschicht für den Fernzugriff auf virtuelle Maschinen hinzufügt. UNGENUTZTE VMS AUTOMATISCH BEENDEN Nicht jede Azure-VM wird ständig benötigt. In diesem Fall sollten die VMs heruntergefahren werden. Das spart Kosten und erhöht die Sicher- heit, da heruntergefahrene Server natürlich nicht angegriffen werden können. Die Optionen dazu finden sich unten unter „Vorgänge -> Automa- tisch herunterfahren“. Hier lässt sich steuern, zu welcher Uhrzeit eine VM heruntergefahren wer- den soll. Das System benachrichtigt die Nutzer vor dem Shutdown. RICHTLINIEN SCHÜTZEN VMS In der Verwaltung der Ressourcengruppe, in der sich die Azure-VM befindet, können über „Richt- THOMAS JOOS ist freier Journalist.

– ADVERTORIAL – Cybersecurity auf Applikationsebene Die Schwachstelle fast jeder IT-Sicherheitsstrategie Zero Trust, Microsegmentierung oder Software Defined Networks gelten zunehmend als Allheilmittel für die Absicherung von IT-Systemen. Dabei geraten elementare Grundlagen wie Asset & Application Management, ein IT-Security-Management- System oder der Aufbau echter Security-Kompetenz gänzlich aus dem Sichtfeld: eine gefährliche Schwachstelle. Von Ralf Kempf, CTO Pathlock Deutschland GmbH Mit Blick auf die Applikationsebene und ihre Geschäfts- anwendungen lehnen sich Verantwortliche bei der Frage der Anwendungssicherheit oftmals entspannt zurück – man habe doch alles ordentlich beim Outsourcer in der Cloud, inklusive Firewall. Gleichzeitig fürchten sie die klassischen Angriffssze- narien wie Ransomware, Krypto-Trojaner oder gestohlene Identitäten. Nicht auszudenken, wenn Angreifer – wie unlängst bei Microsoft gesche- hen – einen Generalschlüssel stehlen, in diesem Fall für die Azure Cloud. Ein Super-GAU der IT-Sicherheit. Im übertragenen Sinn besitzen Kriminelle dann den Generalschlüssel für alle Wohnungen der Welt, die sie jederzeit unbemerkt betreten und dort massiven Schaden anrichten können. Blindes Vertrauen in die Infrastruktur und das Identity & Account Management der großen Hyperscaler kann zu schwerwiegenden Sicherheitslücken führen. Dann geht es nicht mehr nur um Daten, sondern um „Denial of Service“. Löst die Cloud alle Probleme? Um diesen neuen Gefahren zu begegnen, brauchen Unternehmen eine umfassende Bestandsaufnahme. Zunächst die Gretchenfrage: Cloud oder On-Premises? Das Mantra lautet oft, die Cloud löse alle Probleme – und es gibt fraglos sehr gute Szenarien für Cloud-Anwendungen, aber auch hier kommt es darauf an, sie mit einer ganzheitlichen Sichtweise auf das IT-System umzusetzen. . m o c . e b o d a k c o t s - c o d h t a p : d l i B Dies gilt schon aufgrund der Schnittstellen zwischen Infrastruktur, Ap- plikationen und Operations-Technology, besonders wenn wichtige Kom- ponenten in eine Cloud ausgelagert werden. Dann lohnt ein Blick auf die moderne Zugriffssteuerung. Vieles wird einfacher, weil man etwa eine Microsoft-ID übergreifend nutzt, man kann sie dann aber auch übergrei- fend missbrauchen. Hier ist das Schwachstellenmanagement noch dünn und die Bedrohungserkennung unzureichend. Wie sollten Unternehmen sich also aufstellen? Mithilfe von Regelwerken (zum Beispiel NIST Framework oder DSAG-Prüfleitfaden) kann die IT- Sicherheit bereits um ein Vielfaches verbessert werden. Die Methodik: Identifiziere deine Assets und Technologien, erstelle eine realistische Risikoeinschätzung. Schütze die Systeme, spiele Patches ein, wirf die Standard-User raus. Etabliere schließlich ein System, das diese Dinge überwacht – und zwar rund um die Uhr. Ganzheitliche IT-Strategie für mehr Cloud-Sicherheit Ganz pragmatisch gesehen ist aber vor allem die ganzheitliche Betrach- tung entscheidend. Ist die Basis nicht sicher, wird es in der Cloud nicht besser. Dabei helfen Best Practices für Konfiguration, Betrieb, Überwa- chung und das Notfall-Feedback. Es müssen alle Komponenten in die un- ternehmensweite Sicherheitsstrategie integriert werden. Statt blindem Vertrauen in die Cloud ist weiterhin jeder selbst für die Bedrohungs- und Angriffserkennung zuständig. Entscheidend ist, dafür ausgewiesene Fachleute oder kompetente externe Partner zu haben. n Weitere Informationen zur ganzheitlichen Absi- cherung von hybriden IT-Landschaften finden Sie auf www.pathlock.de. Über den QR-Code gelangen Sie direkt zur Aufzeichnung des Webinars „Cybersecurity auf Applikationsebene“. IT-SICHERHEIT_2/2024 13

– ADVERTORIAL – So schützen Unternehmen ihren E-Mail- Verkehr vor Cyberattacken Die Retarus Secure Email Platform sichert E-Mail-Kommunikation wirkungsvoll gegen Spam, Zero-Day-Exploits oder Business E-Mail Compromise ab. Ob Spam, Malware oder Phishing durch Business E-Mail Compromise – die Angriffsmethoden von Cyberkri- minellen sind nicht nur vielfältig. Die Angreifer gehen immer gezielter vor und kombinieren häufig verschiedene Methoden miteinander. Dadurch lassen sich die Angriffe mit herkömmlichen E-Mail-Sicherheitslösungen wesentlich schwieriger erkennen. Umso wichtiger ist es, dass Unternehmen bei ihrer Abwehrstrategie einen ganzheitlichen Ansatz verfolgen. Retarus bietet hierfür eine cloud- basierte Komplettlösung für Business-E-Mail aus einer Hand, mit der Unternehmen für alle Eventualitäten gerüstet sind. Social Engineering CEO Fraud ist mittlerweile eine der häufigsten Formen des Cyberbetrugs. Ziel sind Unternehmen jeder Größe. Mit Retarus CxO Fraud Detection erkennen Unternehmen gefälschte Absenderadressen, die für solche An- griffe verwendet werden, und entlarven Betrugsversuche. Umfangreiche Algorithmen erkennen dabei „From-Spoofing“ und „Domain-Spoofing“ und identifizieren zuverlässig gefälschte Absenderadressen. Verdächtige Nachrichten werden nicht sofort zugestellt, sondern zunächst in einer Quarantäne isoliert. Zero-Day-Attacken Einen hundertprozentigen Schutz vor Angriffen gibt es nie, denn wenn bisher unbekannte Bedrohungen wie Ransomware zum ersten Mal auftauchen, werden sie oft nicht sofort herausgefiltert und können sich unbemerkt im Unternehmensnetzwerk verbreiten. Retarus bietet für solche Fälle unter anderem ein effektives Sandboxing an: Dabei werden Anhänge in einer virtuellen, sicheren Testumgebung ausgeführt und auf ungewöhnliches Verhalten überprüft, bevor die E-Mail zugestellt wird. Als infiziert eingestufte E-Mails werden je nach Konfiguration automatisch gelöscht oder in die Quarantäne verschoben. Zusätzlichen Schutz bietet 14 IT-SICHERHEIT_2/2024 die patentierte Retarus Patient Zero Detection, die nicht nur Malware und Phishing-Links in bereits zugestellten E-Mails erkennt, sondern die be- troffenen Nachrichten auch gleich automatisch verschiebt oder löscht. Angriffswellen aus bestimmten Ländern Aus Compliance-Gründen – wie aufgrund aktueller politischer Ereignisse – kann es notwendig sein, alle Nachrichten aus bestimmten Regionen oder Ländern präventiv und unabhängig vom Inhalt zu isolieren. Mit der Retarus Predelivery Logic können IT-Verantwortliche den gesamten E-Mail-Verkehr auf Basis selbst definierter Regelwerke analysieren und gegebenenfalls blockieren, bevor er die Unternehmensinfrastruktur erreicht. So ist es beispielsweise möglich, E-Mails gezielt auf Basis ihres Herkunftslands (GeoIP) zu bearbeiten. . m o c . e b o d a k c o t s - n o g a r 2 : d l i B Trotz Cyberangriff weiterhin per E-Mail erreichbar Für den Fall, dass die IT-Infrastruktur dennoch einmal ausfällt, bietet Retarus eine Lösung für E-Mail Continuity, mit der die Mitarbeiter jeder- zeit unterbrechungsfrei weiter kommunizieren können. Tritt das Krisen- szenario ein, können die E-Mails über einen externen, vom primären E-Mail-System unabhängigen sicheren Webmail-Service geleitet werden. Dieser steht als Failover-Dienst mit provisionierten Postfächern perma- nent im Hintergrund bereit. So sind die Mitarbeiter auch im Krisenfall über ihre bekannten Adressen erreichbar und haben Zugriff auf den bis- herigen E-Mail-Verkehr und gespeicherte Kontaktdaten. n www.retarus.de

CYBERSICHERHEIT | KI Deepfakes, Phishing und Social Engineering mithilfe von WormGPT und FraudGPT: WIE CYBER KRIMINELLE UND DER EINSATZ VON KI UNSERE SICHERHEIT BEDROHEN Der Global Risk Report des Weltwirtschafsforums wählte KI-gepowerte Informationsmanipulation zum größten Risiko des Jahres, weil generative künstliche Intelligenz (KI) durch Deepfakes, Fake News und ultra personalisierte Wahlwerbung die Demokratie gefährden kann. Doch KI hat noch viel mehr Risiken. Gerade in der IT-Sicherheit. Im Militär sind es Täuschungsoperationen, in der Politik geschickte Desinformation und in der IT- und Unternehmenssicherheit „Deepfakes“, „Phishing“ und „Social Engineering“. Auch hier hat generative KI das Potenzial, ein Game- changer zu sein und diese Bedrohungen zu revolutionieren. Denn KI ermöglicht es Cyberkriminellen, Angriffe schneller, zielgerichteter und überzeugender als je zuvor zu gestalten. IT-SICHERHEIT_2/2024 15 . m o c . e b o d a k c o t s - a e d h s e r f : i d l i B

CYBERSICHERHEIT | KI P hishing, der Versuch über digita- le Täuschungsmanöver, bei de- nen Angreifer durch gefälschte E-Mails, Nachrichten oder Websites versuchen, an persönliche Daten zu gelangen, ist keine neue Bedrohung. Doch unter dem Einfluss fortschrittlicher KI-Technologien erfahren diese Angriffe eine beunruhigende Evolution. Cyber- kriminelle setzen auf KI, um ihre Methoden zu verfeinern und die Sicherheitsbarrieren von Einzelpersonen sowie Unternehmen mit er- schreckender Präzision zu durchbrechen. Die Verwendung von KI steigert die Effektivi- tät dieser Angriffe enorm. Sprachmodelle und maschinelles Lernen ermöglichen es Angreifern, täuschend echte Inhalte zu kreieren, die indivi- duell auf potenzielle Opfer zugeschnitten sind. Von der perfekten Nachahmung des Schreibstils vertrauter Kontakte bis hin zur personalisierten Ansprache – wofür Menschen früher Wochen und Monate brauchten, kann KI auf Knopfdruck glaubwürdige Inhalte erzeugen, die passgenau auf Zielpersonen zugeschnitten sind. Und nicht nur das: KI kann auch täuschend echt wirkende Phishing-Websites erstellen. Fortge- schrittene Algorithmen analysieren echte Web- seiten und lernen, deren Design und Funktiona- lität zu kopieren. Das Ergebnis: Phishing-Seiten, die selbst Experten täuschen können. Diese werden dann als Köder in Phishing-Kampagnen verwendet, um an kritische Daten wie Login- Informationen oder Finanzdetails zu gelangen. DIE ROLLE VON LARGE LANGUAGE MODELS Eine besonders beunruhigende Entwicklung ist der Einsatz von Large Language Models (LLMs) in der Cyberkriminalität. Dank ihrer multimo- dalen Fähigkeiten können diese Modelle nicht nur Text generieren, sondern auch coden und aus einfachen Skizzen oder Mockups voll funk- tionsfähige Webseiten erstellen. Ein Screens- hot der Login-Seite einer Bank reicht aus, und das LLM kann eine täuschend echte Kopie für Phishing-Zwecke erstellen. Diese Fähigkeit, mit minimalen Vorgaben überzeugende Fälschun- gen zu erschaffen, öffnet Cyberkriminellen neue Wege, ihre Fallen noch raffinierter und schwerer erkennbar zu gestalten. Es ist ein Wettrüsten zwischen Sicherheitsex- perten und Cyberkriminellen, bei dem die KI 16 IT-SICHERHEIT_2/2024 eine zentrale Rolle spielt – sowohl als Werkzeug für innovative Sicherheitslösungen als auch als Waffe in den Händen von Angreifern. Die digi- tale Welt steht vor der Herausforderung, sich gegen diese neuen, intelligenten Bedrohungen zu wappnen. KI: DER GAMECHANGER IM SOCIAL ENGINEERING Social Engineering, die psychologische Mani- pulation von Menschen, um sie zur Preisgabe vertraulicher Informationen zu bewegen, ist keine neue Praxis. Doch generative KI revolutio- niert diese Gleichung wie keine Technologie zu- vor. Cyberkriminelle verfeinern ihre Techniken, indem sie die Tiefen menschlicher Psychologie mit der Rechenkraft der KI verbinden. Im Kern geht es beim Social Engineering um die Ausnut- zung menschlicher Schwächen. Es beruht auf Täuschung, Vertrauensmissbrauch und Manipu- lation, um Menschen dazu zu bringen, sensible Informationen preiszugeben oder Aktionen auszuführen. Die wahre Stärke KI-gestützter Social-Enginee- ring-Angriffe liegt in ihrer Fähigkeit, mensch- liche Verhaltensmuster präzise zu analysie- ren, zu verstehen und nachzuahmen. Durch die Evaluierung von Daten, die aus öffentli- chen Quellen wie Social-Media-Profilen und Online-Aktivitäten gewonnen werden, können KI-Systeme hochpersonalisierte Angriffsstra- tegien entwickeln. Diese Erkenntnisse werden genutzt, um gezielte Angriffe zu orchestrieren, die genau auf die psychologischen Schwach- stellen der Zielpersonen zugeschnitten sind. Die Fähigkeit der KI, komplexe Verhaltensmus- ter zu entschlüsseln, ermöglicht es Angreifern, ihre Strategien so zu kalibrieren, dass sie maxi- malen Schaden anrichten. Diese Personalisierung erreicht einen neuen Höhepunkt mit der Integration generativer KI- Technologien. Deepfakes, also mithilfe von KI generierte oder manipulierte Bilder, Ton- oder Videodateien, in denen reale Menschen Dinge sagen und tun, die sie nie getan haben, sind das beste Beispiel dafür. Cyberkriminelle können damit täuschend echte Audio- oder Videoinhalte erzeugen, die vertraute Personen nachahmen, um ihre Opfer so zu manipulieren, dass sie ver- trauliche Informationen preisgeben oder Hand- lungen ausführen, die sie unter normalen Um- ständen niemals in Erwägung ziehen würden. REALE ANGRIFFE KI-Angriffe sind keine Zukunftsmusik, sondern reale und alltägliche Herausforderungen. Be- reits im Frühjahr 2023 fanden Forscher zum Bei- spiel das „Fox8-Netzwerk“ auf „X“, bestehend aus mindestens 1.140 automatisiert betriebenen Accounts. Ihre Nachrichten waren nachweislich mit einem populären LLM designt und sollten andere Nutzer auf speziell gebaute Webseiten umleiten. Dort lauerten gleich mehrere Gefah- ren: Malware, die ihre Rechner infizierte und Crypto-Wallets leerte, oder aber Betrugsma- schen mit Kryptowährung. Kurze Zeit später fanden Analysten in den dunk- leren Bereichen des Internets speziell trainierte KIs, wie „WormGPT“ oder „FraudGPT“, die eigens dafür designt, trainiert und verkauft wurden, um Phishing- und Betrugs-E-Mails in verschie- denen Sprachen zu verfassen. Dafür wollten die Anbieter gerade einmal 60 Euro im Monat. Ein anderes LLM, genannt „DarkBert“, soll angeblich ausschließlich mit kriminellen Daten aus dem Darknet trainiert worden sein. Damit wäre er der ultimative Ratgeber, Coach und eine potente Waffe für entschlossene Kriminelle. Und was für textbasierte Phishing-E-Mails gilt, gilt natürlich auch für Malware: LLMs, die coden können, können auch speziell zum Erstellen von Angriffssoftware benutzt und trainiert werden. Erst im Februar 2024 sperrte ein bekannter KI- Anbieter mehreren Klienten die Nutzung ihrer Accounts, weil sie offenbar zu geheimdienstlich organisierten Hackern gehörten und sich Teile ihrer Angriffssoftware mithilfe von LLMs zu- sammenbauten. Noch viel größere Wellen schlugen Deepfake- Attacken. Mit diesen KI-generierten Stimmen oder Videos werden aber nicht nur Politiker, Militärs, Journalisten und Wahlen angegriffen. Cyberkriminelle und Betrüger klonen zum Bei- spiel massenhaft Stimmen, um sie in persona- lisierten WhatsApp-Nachrichten an Verwandte zu schicken. Eingebettet in Unfall- oder Verhaf- tungsszenarien sollen Angehörige so dazu ge- bracht werden, Geld zu überweisen. Welche Dimensionen Deepfake-Angriffe anneh- men können, zeigten Cyberkriminelle in Hong- kong im Januar 2024. Mithilfe von Phishing- mails und elaboriertem KI-gepowerten Social Engineering schafften sie es, die Finanzabtei-

CYBERSICHERHEIT | KI steht, keine Sicherheits- und Krisenprotokolle etabliert sind und Strategien nicht an das KI- Zeitalter angepasst werden. Mensch und Technik müssen zusammen gedacht und umgesetzt werden. Maßnahmen der Mitarbeiterschulung und Sensibilisierung stehen an erster Stelle. Dazu gehört die Aufklärung über aktuelle Be- drohungen und der Umgang mit entsprechen- der Software. Erkennungssoftware, digitale Wasserzeichen oder Bild-Scrambler werden zur Grundausstattung gehören. Doch ihre Ergebnis- se müssen richtig interpretiert werden. Je mehr KI im Einsatz ist, desto besser müssen Risiko- tests sein. Kommt es zu einem Angriff, braucht es klare Aktions- und Verhaltensprotokolle. Wie sollen Mitarbeiter reagieren, wenn sie eine Phishing- mail bekommen oder ein Deepfake auftaucht? Spezialisierte Trainings und Übungen sind essenziell, ebenso wie der Umschwung vom Erkennen zur aktiven Abwehr und Reaktion. Idealerweise wird Angriffen durch proaktive Cybersicherheit und strategische Kommunika- tion entgegengewirkt. Das „Deepfake Detection and Response Framework“ und das „Tri-Level Phishing Defense Strategy“ im Überblick (Bild: KPMG) lung eines multinationalen Konzerns in einem Deepfake-Video-Meeting zur Überweisung von 25 Millionen US-Dollar zu bewegen. Vorausge- gangen waren täuschend echt nachgeahmte E-Mails und eben ein Deepfake-Video des CEOs. Laut Angaben der Polizei von Hongkong war dies nur einer von mindestens sieben ähnlichen Fällen innerhalb weniger Monate. WARUM FALLEN MENSCHEN AUF KI REIN? Bei Deepfakes, Phishing und Social Engineering geht es nicht (nur) um Codes und IT, es geht um Menschen, ihre Wahrnehmung und Psychologie. Geschickt nutzen Angreifer hier KI, um ihre Opfer besser zu verstehen, genauer auf sie eingehen zu können und die richtigen Hebel und Knöpfe zu drücken. Ein Deepfake des CEOs hilft wenig, wenn er nicht eine realistische, für den einzel- nen Mitarbeiter glaubwürdige und ansprechen- de Botschaft hat. Die schönsten Versprechungen von Phishingmails bringen wenig, wenn sie an den Interessen, Nöten, Ängsten und Wünschen der Leser vorbeigehen. Die Opfer wiederum sind schlicht nicht auf sol- che Angriffe vorbereitet. „Seeing is believing“ – auch wenn dieses Motto nie wirklich stimmte, ist es immer noch die Grundprogrammierung des menschlichen Gehirns. Weder das Gehirn noch das Mindset der meisten Menschen sind darauf vorbereitet oder dafür sensibilisiert, dass das Video ihres Vorgesetzten eben auch eine gewitzte Fälschung sein kann. Wie so ein Ablauf konkret aussehen kann, zeigt das von den Autoren dieses Beitrags entwickelte „Deepfake Detection and Response Framework" sowie die „Tri-Level Phishing Defense Strategy“ (siehe Abbildung). n Und noch ein weiteres Verhaltensmuster spielt Angreifern bei KI-Angriffen in die Hände: Studien zeigen, dass Menschen KI-generierte Inhalte nicht etwa grundlegend ablehnen oder ihnen gegenüber besonders skeptisch sind. Solange sie ihre Denkmuster, Verhaltensweisen, Interessen ansprechen und dabei „menschlich“ erscheinen, reagieren Menschen auf Deepfakes zum Bespiel kaum anders als auf andere Videos und liken, teilen und klicken munter drauf los. WAS TUN? Deepfakes, optimiertes Phishing und Social Engineering erhalten durch KI einen Turbo- Booster. Was können wir dagegen tun? Die gute Nachricht: Wir sind nicht hilflos. Um sich vor KI-Bedrohungen zu schützen, braucht es ein ganzheitliches Konzept und eine 360-Grad- Abwehr. IT-Software-Lösungen, wie zum Bei- spiel KI-unterstützte Spam-Filter oder Deepf- ake-Erkennungssoftware, sind ein wichtiger Bestandteil; doch auch sie bringen wenig, wenn kein Problem- und Sicherheitsbewusstsein be- MARVIN STEVES ist Senior Consultant, Consulting – Cyber Security bei der KPMG AG Wirtschaftsprüfungsgesellschaft. DR. CHRISTOPHER NEHRING ist Wissenschaftler, Analyst und Journalist. Er arbeitet zu den Themen Desinformation und KI für die Konrad-Adenauer-Stiftung. IT-SICHERHEIT_2/2024 17

CYBERSICHERHEIT | MFA Passwortsicherheit VIER WEGE WIE HACKER DURCH SOCIAL ENGINEERING DIE MFA UMGEHEN In Bezug auf die Zugangssicherheit ist eine Empfehlung besonders wichtig: die Multi-Faktor- Authentifizierung (MFA). Da Passwörter allein oft von Hackern geknackt werden können, bietet MFA einen unverzichtbaren Schutz. Doch auch diese Methode ist nicht hundertprozen- tig sicher. Angreifer finden oft Wege, sie zu umgehen – und das passiert häufiger, als viele denken. Das Stichwort heißt „Social Engineering“. Wer hier die wichtigsten Techniken kennt, ist deutlich weniger anfällig. Wenn ein Passwort kom- promittiert wird, stehen Hackern mehrere Mög- lichkeiten zur Verfügung, um den zusätzlichen Schutz von MFA auszuhebeln. Bevor wir auf vier Social-Engineering-Taktiken eingehen, die Ha- cker erfolgreich einsetzen, um MFA zu umge- hen, hier eine Grundsatzempfehlung: Auch mit MFA bleibt ein starkes Passwort ein wichtiger Teil einer mehrschichtigen Verteidigung. 1. ADVERSARY-IN-THE- MIDDLE-(AITM)-ANGRIFFE Bei AITM-Angriffen werden Benutzer getäuscht, sodass sie glauben, sie würden sich bei einem echten Netzwerk, einer echten Anwendung oder einer echten Website anmelden. In Wirklichkeit 18 IT-SICHERHEIT_2/2024 geben sie jedoch ihre Daten an einen betrüge- rischen Doppelgänger weiter. Auf diese Weise können Hacker Passwörter abfangen und Sicher- heitsmaßnahmen, einschließlich MFA-Anfra- gen, manipulieren. Beispielsweise könnte eine Spear-Phishing-E-Mail im Posteingang eines Mitarbeiters auftauchen, die sich als vertrauens- würdige Quelle ausgibt. Wenn der Mitarbeiter auf den Link in der E-Mail klickt, wird er auf eine gefälschte Website weitergeleitet, auf der die Hacker seine Anmeldedaten sammeln. Obwohl MFA diese Angriffe idealerweise ver- hindern sollte, indem sie einen zusätzlichen Au- thentifizierungsfaktor erfordert, können Hacker eine Technik namens „2FA pass-on“ anwenden. Nachdem das Opfer seine Anmeldedaten auf der gefälschten Website eingegeben hat, gibt der Angreifer dieselben Daten sofort auf der echten Website ein. Dadurch wird eine legitime MFA- Anfrage ausgelöst, die das Opfer vorhersehbar und bereitwillig akzeptiert, wodurch es dem An- greifer unwissentlich vollen Zugriff gewährt. Das ist eine häufige Taktik von Bedrohungs- gruppen wie Storm-1167, die dafür bekannt sind, gefälschte Microsoft-Authentifizierungsseiten zu erstellen, um Anmeldedaten zu sammeln. Sie fertigen auch eine zweite Phishing-Seite an, die den MFA-Schritt des Microsoft-Anmel- devorgangs imitiert und das Opfer auffordert, seinen MFA-Code einzugeben und den Angrei- fern Zugriff zu gewähren. Von dort aus erhalten sie Zugriff auf ein legitimes E-Mail-Konto und können es als Plattform für einen mehrstufigen Phishing-Angriff nutzen.

CYBERSICHERHEIT | MFA Bedrohungsgruppe LAPSUS$ detailliert beschrie- ben wurden. Der Bericht erläutert, wie LAPSUS$ umfangreiche Social-Engineering-Kampagnen durchführt, um in den Zielunternehmen Fuß zu fassen. Eine ihrer bevorzugten Techniken be- steht darin, Benutzer mit SIM-Swapping-Atta- cken anzugreifen, MFA-Eingabeaufforderungen zu bombardieren und die Anmeldedaten der Zielperson durch Social Engineering am Help- desk zurückzusetzen. TROTZ MFA: DESHALB IST PASSWORTSICHERHEIT IMMER NOCH WICHTIG Die vier genannten Angriffsarten sind natür- lich keine vollständige Liste von Möglichkei- ten, um MFA zu umgehen. Es gibt noch einige andere Methoden, wie die Kompromittierung von Endpunkten, der Export von generierten Tokens, der Missbrauch von Single Sign-on (SSO) und das Ausnutzen ungepatchter technischer Schwachstellen. Es ist wichtig zu verstehen, dass die Einführung von MFA nicht bedeutet, dass Unternehmen die Sicherheit von Passwörtern vollständig ignorieren können. Die Kompromittierung von Konten beginnt oft mit schwachen oder gefährdeten Passwörtern. Wenn ein Angreifer ein gültiges Passwort erhält, kann er versuchen, den MFA-Mechanismus zu umgehen. Selbst ein starkes Passwort bietet keinen Schutz, wenn es durch eine Sicherheits- verletzung oder die Wiederverwendung eines Passworts kompromittiert wurde. Und für die meisten Unternehmen ist es keine praktikable Option, vollständig auf Passwörter zu verzichten. Mit einschlägigen Tools lassen sich robuste Active-Directory-Passwortrichtlinien durch- setzen, um schwache Passwörter zu eliminie- ren und kontinuierlich nach kompromittierten Passwörtern zu suchen, die durch Sicher- heitsverletzungen, die Wiederverwendung von Kennwörtern oder den Verkauf nach einer Phishing-Attacke entstanden sind. Dadurch wird sichergestellt, dass MFA – wie beabsich- tigt – als zusätzliche Sicherheitsebene dient und nicht gefährlicherweise blind als Allheil- mittel angesehen wird. n THN/SF nes Uber-Vertragspartners durch SMS-Phishing kompromittiert [1]. Dann setzten sie den Authen- tifizierungsprozess von einem von ihnen kont- rollierten Rechner aus fort und forderten sofort einen MFA-Code an. Danach gaben sie sich auf Slack als Mitglied des Uber-Sicherheitsteams aus und überzeugten den Auftragnehmer, die MFA-Push-Benachrichtigung auf seinem Tele- fon zu akzeptieren. 3. ANGRIFFE AUF SERVICEDESKS Angreifer geben sich oft am Helpdesk als Mit- arbeiter aus, die ihr Passwort vergessen haben, um Zugang zu erhalten. Wenn die Mitarbeiter des Servicedesks keine geeigneten Sicherheits- verfahren anwenden, können sie den Hackern ungewollt Zugang zum Unternehmensnetz- werk gewähren. Ein aktuelles Beispiel hierfür war ein Angriff auf MGM Resorts, bei dem die Hacker den Servicedesk kontaktierten, um ein Passwort zurückzusetzen, was ihnen ermög- lichte, sich einzuloggen und einen Ransomware- Angriff zu starten. Hacker versuchen auch, die MFA zu umgehen, indem sie die Wiederherstellungs- und Backup- Verfahren des Unternehmens ausnutzen. Zum Beispiel kontaktiert die Hackergruppe 0ktapus den Servicedesk und gibt vor, dass ihr Telefon nicht funktioniert oder verloren gegangen ist. Dann fordern sie die Registrierung eines neuen MFA-Authentifizierungsgeräts, das sie kontrol- lieren. Dadurch können sie den Wiederherstel- lungsprozess des Unternehmens ausnutzen, um sich einen Link zum Zurücksetzen des Pass- worts an das kompromittierte Gerät schicken zu lassen. 4. SIM-AUSTAUSCH Cyberkriminelle wissen, dass MFA oft auf Mobil- telefone als Authentifizierungsmittel angewie- sen ist. Sie können es mit einer Technik namens „SIM-Swap“ ausnutzen, bei der Hacker einen Dienstanbieter dazu verleiten, die Dienste der Zielperson auf eine von ihnen kontrollierte SIM- Karte zu übertragen. Auf diese Weise können sie den Mobilfunkdienst und die Telefonnum- mer übernehmen, wodurch sie MFA-Anfragen abfangen und unbefugten Zugriff auf Konten erhalten können. 2. MFA-PROMPT-BOMBING Diese Taktik nutzt die Push-Benachrichtigungs- funktion in modernen Authentifizierungsan- wendungen aus. Nachdem die Angreifer ein Passwort erlangt haben, versuchen sie sich anzumelden, was eine MFA-Aufforderung an das Gerät des legitimen Benutzers sendet. Sie setzen darauf, dass der Benutzer entweder die Aufforderung für echt hält und sie akzeptiert oder dass er von den ständigen Aufforderun- gen frustriert ist und eine akzeptiert, um die Benachrichtigungen zu stoppen. Diese Technik, bekannt als „MFA-Prompt-Bombing“, stellt eine erhebliche Bedrohung dar. In einem bemerkenswerten Vorfall haben Ha- cker der Gruppe 0ktapus die Anmeldedaten ei- Microsoft veröffentlichte nach einem Vorfall im Jahr 2022 einen Bericht, in dem die Taktiken der Literatur [1] https://www.bleepingcomputer.com/news/security/what-the- uber-hack-can-teach-us-about-navigating-it-security/ IT-SICHERHEIT_2/2024 19 . m o c . e b o d a k c o t s - T A R E E W A H T : d l i B

Der Diebstahl eines Open ID Si- gning Key für das Azure Active Directory aus einem Crash- Dump direkt im Microsoft Entwicklungs- und Support-Center in den USA hat alle IT-, Sicher- heits- und Revisions-Verantwortlichen wach- gerüttelt. Durch die Erbeutung dieses „Gene- ralschlüssels“ für Exchange Online konnten die Hacker der chinesischen Storm-0558-Gruppe im Mai 2023 Angriffe auf 25 Organisationen ausüben [1]. Allein aus dem US-Außenministeri- um haben sie rund 60.000 E-Mails gestohlen [2]. „GOLDGRUBE“ IT-DIAGNOSEDATEN Warum sind die Inhalte von Dumps, Logs und Traces eine begehrte Beute, sozusagen eine Goldgrube für alle Cyberkriminellen? In Dumps (engl. crash dump) wird der gesamte Speicher zum Zeitpunkt eines Computerabsturzes festge- halten (Speicherauszug). So enthalten sie neben technischen Daten auch Passwörter, User-IDs, Schlüssel, IP-Adressen, Firmengeheimnisse oder personenbezogene Daten – versteckt einge- lagert und in hohem Umfang. Dumps in den Händen von Hackern sind daher eine wertvolle „Steilvorlage“ für einen lautlosen, erfolgreichen Angriff – sie sind ein Kronjuwel im Darknet. Logs werden permanent erzeugt und archiviert. In Logfiles, also Protokolldaten, findet man zum Beispiel IP-Adressen, aber auch personenbezo- gene Daten, wie Mitarbeiter- und Kundennamen sowie deren User-IDs. Traces schneiden den Netzwerkverkehr mit. Sie sind wie Dumps binär codiert und enthalten die übertragenen Daten, die sogenannte „Payload“, sowie die IP-Adressen von Sender und Emp- fänger. In der Payload können neben Nutzdaten auch Kommunikationsdaten wie Keys und Zerti- fikate vorhanden sein. IT-Diagnosedaten fallen kontinuierlich im IT-Be- trieb an, intern im Unternehmen oder extern bei ITK-Dienstleistern. Ihre „interessanten“ Inhalte sind somit für alle Beschäftigten des IT-Betriebs und gegebenenfalls der Softwareentwicklung zugänglich. Bei unzureichendem Schutz sind sie ebenso für Hacker und Cyberkriminelle einseh- bar, die in die Systeme einbrechen und oft sogar gezielt nach Dumps suchen, um sie nach ver- wertbaren Sicherheitsinformationen auszuwer- SECURITY MANAGEMENT | IT-DIAGNOSEDATEN ten und auszubeuten. So geschehen im Support bei Microsoft. Hier sind die Mitarbeiter über das Internet vernetzt und damit für Hacker erreich- bar. So konnten die chinesischen Hacker den Account des Microsoft-Ingenieurs übernehmen, in das System eindringen und den Schlüssel aus dem Crash-Dump extrahieren. OHNE ANONYMISIERUNG Regelmäßig schicken IT-Betriebe die IT-Dia- gnosedaten für die Fehler- und Problembe- hebung an die entsprechenden Support- und Entwicklungszentren der Software-Anbieter. Der Versand der mehrere Gigabyte großen Diagnosedateien an den Support der Herstel- ler erfolgt typischerweise im Rahmen eines Trouble-Tickets. Die Datei wird für den Transfer in der Regel verschlüsselt. Vor Ort werden die Dateien jedoch entschlüsselt, abgespeichert und verarbeitet. Was mit den IT-Diagnosedaten ge- nau passiert, weiß niemand, auch könnten „Son- derverwertungen“ niemals festgestellt werden. Wenn sie nicht vom Absender vor dem Upload anonymisiert wurden, sind die darin enthaltenen sensiblen Daten für jedermann frei zugänglich, sowohl für Mitarbeiter des Anbieters als auch für Cyberkriminelle. SICHERHEITSLÜCKE NACH CWE VON MITRE Aus diesem Grund gehören Dumps und Logs zu den anerkannten IT-Sicherheitsrisiken gemäß der Common Weakness Enumeration (CWE) von MITRE. Dies ist unter anderem in CWE-200 [3] und CWE-528 dokumentiert. CWE-528 klassifi- ziert zum Beispiel bereits herumliegende Dump- dateien als Risiko: „The product generates a core dump file in a directory, archive, or other resour- ce that is stored, transferred, or otherwise made accessible to unauthorized actors” [4]. CWE-200 war 2021 sogar in den Top 25 Most Dangerous Software Weaknesses als schwerwiegende Si- cherheitslücke gelistet. Die Definition der Top 25 lautet: „This list demonstrates the currently most common and impactful software weak- nesses. Often easy to find and exploit, these can lead to exploitable vulnerabilities that allow ad- versaries to completely take over a system, steal data, or prevent applications from working“ [5]. Die Sicherheitsrisiken für IT-Diagnosedaten be- stehen im Übrigen unabhängig von der IT-Be- triebsform – intern auf eigenen Servern ebenso wie extern bei Cloud- und Hosting-Dienstleis- tern sowie im Support-Center des Anbieters. Bei Cloud- und Hosting-Einbindung ist die Situation noch komplexer, da externe Administratoren der Provider über den Upload der IT-Diagnosedaten und damit über die Weitergabe der Daten ihrer Kunden entscheiden. AUCH FÜR IT-DIAGNOSE- DATEN GELTEN REGULATO- RISCHE ANFORDERUNGEN IT-Diagnosedaten erhöhen signifikant das IT- Sicherheitsrisiko im Sinne einer unbemerkten Kompromittierung und missbräuchlichen Nut- zung von IT-Systemen. Darüber hinaus drohen den Verantwortlichen für die jeweiligen Daten und Systeme Haftungs- und Schadensrisiken. Insgesamt handelt es sich um klassische Scha- densfälle (Eigen- und Drittschäden etc.) oder um Verstöße gegen Gesetze und neue Compliance- Anforderungen im Sicherheitsbereich. Bei- spiele hierfür sind das IT-Sicherheitsgesetz 2.0 (IT-SIG 2.0) beziehungsweise die kommende NIS-2-Verordnung, die neue EU-Verordnung für die Finanzwirtschaft DORA, das BSI-Gesetz (BSIG) oder die EU-Datenschutzgrundverordnung (DS- GVO), jeweils verbunden mit möglichen Bußgel- dern und Strafen. Zur Erhöhung des Cybersicherheitsniveaus in der EU wird aktuell für „kritische“ beziehungsweise „wesentliche und wichtige Einrichtungen“ die EU-Richtlinie 2022/2555 Network and Infor- mation Security 2 (NIS-2), in deutsches Recht umgesetzt. Zieldatum ist der 17. Oktober 2024. Zur Beherrschung der Sicherheitsrisiken fordert NIS-2 unter anderem „geeignete und verhältnis- mäßige technische, operative und organisatori- sche Maßnahmen“ „unter Berücksichtigung des Stands der Technik“ zu ergreifen [6]. Speziell für den Finanzsektor ist im Januar 2023 die EU-Verordnung Digital Operational Resilience Act (DORA) in Kraft getreten, die ab dem 17. Janu- ar 2025 verpflichtend umgesetzt werden muss. Es gilt für Finanzinstitute, „operative Integrität und Betriebszuverlässigkeit aufzubauen, zu ge- währleisten und zu überprüfen“ mit dem Ziel, „die Sicherheit der Netzwerk- und Informations- systeme zu gewährleisten“ [7]. Datensicherheit fordert Artikel 9 (Schutz und Prävention), Ab- satz 2 der DORA-Verordnung: „… hohe Standards IT-SICHERHEIT_2/2024 21 . m o c . e b o d a k c o t s - s n e v N y e g r e S i : d l i B

SECURITY MANAGEMENT | IT-DIAGNOSEDATEN in Bezug auf die Verfügbarkeit, Authentizität, In- tegrität und Vertraulichkeit von Daten aufrecht- zuerhalten, unabhängig davon, ob diese Daten gespeichert sind oder gerade verwendet oder übermittelt werden.“ In Absatz 3 werden die IKT- Lösungen hierfür benannt: „Um die in Absatz 2 genannten Ziele zu erreichen, greifen Finanzun- ternehmen auf IKT-Lösungen und -Prozesse zu- rück, die gemäß Artikel 4 angemessen sind“. ANONYMISIERUNG NACH „STAND DER TECHNIK“ Was bedeuten diese Regulierungen für das Risi- komanagement von sicherheitsgefährdeten IT- Diagnosedaten? Die sensiblen Daten in Dumps, Logs und Traces müssen geschützt werden! Eine „angemessene“ technische Maßnahme nach „Stand der Technik“ ist die automatisierte und lokale Anonymisierung. Sie verhindert den Zugriff auf die sicherheitskritischen Daten, wie etwa den Master Key bei Microsoft. Auch schützt sie personenbezogene, datenschutzrelevante Informationen. Durch eine neue Generation von Anonymisie- rungsalgorithmen kann man beide Datengat- tungen in einer Weise neutralisieren, dass sie weder erkennbar noch verwendbar sind. Die IT-Diagnosedateien behalten jedoch ihren tech- nischen Wert für die Analyse von Problemen und die Fehlerbehebung. VERSAND PERSONEN- BEZOGENER DATEN IN DUMPS, LOGS UND TRACES Aber nicht nur sicherheitsrelevante Daten bieten eine Angriffsfläche in Dumps, Logs und Traces. Eine zweite Kategorie sensibler Daten bereitet ebenfalls Rechts- und Datensicherheitsproble- me: die personenbezogenen Daten. Namen und alle Arten von Informationen über Mitarbeiter, Kunden und Kontakte, die in den IT-Systemen von Firmen, Behörden und Institutionen ver- arbeitet werden, können in IT-Diagnosedaten gespeichert sein. Bei Dumps kann es sich um ein riesiges Reservoir an datenschutzrelevanten Daten handeln, die sich im Moment des System- absturzes zufälligerweise im Speicher befinden und in die oft gigabytegroßen Dateien eingela- gert werden. Mehrere zehntausend Datensätze sind keine Ausnahme – in einem einzigen Dump! Wenn diese geheim zu haltenden und zu schüt- zenden personenbezogenen Daten per Datei- Upload auf die Reise zu den Software-Sup- 22 IT-SICHERHEIT_2/2024 portzentren in Europa, USA, China oder Indien geschickt werden, liegt ein Verstoß gegen die DSGVO vor. Denn diese Datenüberschüsse dür- fen mangels Zweckbindung und Notwendigkeit nicht an Dritte weitergegeben werden und sind damit rechtswidrig [8]. Die hohen Bußgelder für Unternehmen bei Verstößen gegen die DSGVO sind allgemein bekannt. Im Übrigen deckt der zwischen der EU und den USA am 10. Juli 2023 vereinbarte Angemessen- heitsbeschluss, als Antwort auf Schrems-II, nicht die nachgelagerte Weitergabe der Daten aus den USA nach Indien und China ab, wenn dort die Labore und Entwickler sitzen. Ferner gilt das Ab- kommen nur für Hersteller, die hier gelistet sind: www.dataprivacyframework.gov/list. POTENZIAL FÜR MASSENKLAGEN Beginnend mit dem Urteil des Europäischen Ge- richtshofs (EuGH) am 4. Mai 2023 [9] zeichnet sich für Unternehmen oder deren Auftragsverarbei- ter eine weitere Bedrohung ab: Schadensersatz- ansprüche von Personen, denen ein immate- rieller Schaden durch einen Verstoß gegen die DSGVO entstanden ist, gemäß Art. 82 DSGVO. Auf der Grundlage mehrerer Urteile des EuGH [10] kann die Situation und das rechtliche Risiko wie folgt charakterisiert werden: Immaterielle Schäden ohne Erheblichkeitsschwelle, das heißt auch Bagatellschäden, wie etwa die bloße Angst vor Missbrauch, können in einer Klage vorge- tragen werden und haben vor Gericht Aussicht auf Erfolg. Diese zivilrechtlichen Haftungsrisiken können kumulieren, wenn sich viele Personen zu Massenklagen zusammenschließen und Ju- risten das kommerziell nutzen [11]. Eine wichtige Rolle spielt dabei, inwieweit das Unternehmen nachweisen kann, dass es Sicherheitsmaßnah- men zum Schutz der Daten getroffen hat. Das Unternehmen hätte sozusagen die Beweislast. Im Fall von IT-Diagnosedaten würde die Nach- weispflicht durch eine dokumentierte Anonymi- sierung potenziell erfüllt werden. CYBERVERSICHERUNG UND IT-REVISION IN DER RISIKOPRÜFUNG Wer bereitet sich bereits auf die „heraufzie- hende Gewitterfront“ vor? Es sind die Cyber-, IT-Haftpflicht und D&O-Versicherungen. Sie haben das breite Gefahren- und Schadenspo- tenzial bereits erkannt. Es findet Niederschlag in den Obliegenheiten der Risikoprüfung und der Einordnung von Anonymisierung als „Stand der Technik“. Aber auch die IT-Revisoren und Audi- toren handeln bereits proaktiv und nehmen die Risiken rund um IT-Diagnosedaten in Form spe- zieller Prüfkataloge in das Audit des IT-Betriebs auf. n Literatur [1] Knop, D.: Gestohlener Microsoft-Schlüssel stammte aus einem Crash-Dump, 2023, heise online; www.heise.de/news/ Gestohlener-Microsoft-Schluessel-stammte-aus-einem-Crash- Dump-9297240.html; Zugriff am 17.03.2023. [2] Steevens, P.: 60.000 geklaute Regierungsmails: Erste Zahlen nach Microsofts Cloud-Key-Debakel, 2023, heise online; https:// www.heise.de/news/60-000-geklaute-Regierungsmails-Erste- Zahlen-nach-Microsofts-Cloud-Key-Debakel-9321044.html?wt_ mc=nl.%20red.security.security-nl.2023-10-02.link.link; Zugriff am 21.03.2024. [3] Common Weakness Enumeration: CWE-200: Exposure of sensitive Information to an Unauthorized Actor, 2023; https://cwe.mitre.org/data/definitions/200.html; Zugriff am 21.03.2024. [4] Common Weakness Enumeration: CWE-528: Exposure of Core Dump File to an Unauthorized Control Sphere, 2024; https:// cwe.mitre.org/data/definitions/200.html; Zugriff am 21.03.2024. [5] Common Weakness Enumeration: CWE Top 25 Most Dangerous Software Weaknesses, 2023; https://cwe.mitre.org/top25; Zugriff am 21.03.2024. [6] vgl. NIS-2-Richtlinie (Richtlinie 2022/2555), Artikel 21, Absatz 1, https://eur-lex.europa.eu/legal-content/DE/ TXT/?uri=CELEX%3A32022L2555 [7] vgl. EU-Verordnung Digital Operational Resilience Act (DORA) (Verordnung (EU) 2022/2554), Artikel 3, Absatz 1, https://eur-lex. europa.eu/eli/reg/2022/2554/oj [8] vgl. Datenschutz-Grundverordnung, (Verordnung (EU) 2016/679), Grundsätze für die Verarbeitung personenbezogener Daten, Artikel 5, Absatz 2 und 3 [9] vgl. EuGH, Urteil vom 04.05.2023 – C-300/21, GRUR-RS 2023, 8972 [10] vgl. EuGH, Urteil vom 21.12.2023 – C-667/21., EuGH, Urteil vom 14.12.2023 – C-340/21, BeckRS, 2023, 35786, EuGH, Urteil vom 14.12.2023 – C-456/22, EuGH Urt. v. 14.12.2023 – C-456/22, GRUR-RS 2023, 35767 [11] Vgl. Malek, Paul, LL.M., Rechtsanwalt, Clyde & Co Europe LLP, Spittka, Jan: Datenschutzrechtliche Haftungsrisiken nach Cyber-Vorfällen im Spiegel aktueller EuGH-Rechtsprechung, in: VersicherungsPraxis 2/2024, S. 3–6. DR. STEPHEN FEDTKE ist Wirtschaftsingenieur und CTO von ENTERPRISE-IT-SECURITY.COM.

SECURITY MANAGEMENT | KÜNSTLICHE INTELLIGENZ Die Welt befindet sich durch aktuelle geopolitische, wirtschaftliche und gesellschaftliche Turbulenzen im Wandel. Unternehmen und deren Führungskräfte dürfen nicht nur die zur Lösung herbeigerufene Digitalisierung und künstliche Intelligenz (KI) der IT-Abteilung über- lassen, sondern es ist eine fundamentale und radikale Neuausrichtung der Wirtschaft und Unternehmensführung im Zusammenhang mit KI erforderlich. Eine isolierte Betrachtungs- weise des eigenen Unternehmens ist zudem nicht mehr zeitgemäß und die Implementie- rung von KI erfordert einen tiefergehenden strategischen Ansatz, die über das reine Tech- nologiemanagement hinausgeht. Im ersten Teil unserer Serie „Die KI-Revolution“ blicken unsere Autoren deshalb über den Tellerrand der IT-Sicherheit hinaus und beschreiben, wie sich Unternehmen angesichts künstlicher Intelligenz neu erfinden können. Unsere Welt befindet sich in ei- nem Umbruch menschheitsge- schichtlichen Ausmaßes [1] und wir spüren derzeit die Auswirkungen, die damit auf geopolitischer, wirtschaftlicher, gesellschaft- licher und auch auf ganz persönlicher Ebene ein- hergehen. Aus Sicht von Unternehmenslenkern nimmt die Komplexität unternehmerischen Han- delns enorm zu, das Tempo neuer Entwicklun- gen ebenso, nicht nur im Bereich Technologie. Eine Standortbestimmung mithilfe einer Kombi- nation aus der Stacey-Matrix, einem Modell für Managementstrategien unter Unsicherheit, und dem Cynefin-Framework, einem Modell für kon- textabhängige Entscheidungen und Problemlö- sungen, verdeutlicht die Situation grafisch (siehe Abbildung 1). Auf der y-Achse wird das „WAS“ und auf der x-Achse das „WIE“ dargestellt. Wir befinden uns in der Grafik rechts oben im Bereich „Chaos“. Es gibt weder ein einheitliches Verständ- nis darüber, WAS genau angesichts der Vielzahl von Problemen zu tun ist, noch WIE es, zum Bei- spiel mithilfe von KI, erreicht werden kann. Viele Manager und Managerinnen beschreiben uns dementsprechend ein Gefühl, fast nur noch „mit dem Feuerlöscher unterwegs“ zu sein, getrieben von den lautesten Rufen im Unter- nehmen und stets damit beschäftigt, nach der stärksten Rauchentwicklung Ausschau zu halten. ES GEHT UM WEIT MEHR ALS KI Um gezielt etwas verändern zu können, ist es zunächst wichtig zu verstehen, wie es über- haupt so weit kommen konnte. Wir wollen da- her im Folgenden vier grundlegende Entwick- E L· L A D : d l i B lungen skizzieren, die allesamt erheblichen Einfluss auf die Unternehmensführung im Allge- meinen und somit auch auf mögliche Lösungen unter Einbeziehung von KI haben: 1. Strategisches Arbeiten weicht operativer Hektik und wird damit immer kurzsichtiger: Im (inter-)nationalen Spannungsfeld zwischen Wirtschaft und Politik werden Beschlussfassun- gen auch im Vorstand immer schwieriger. Die Halbwertszeit von Strategien schmilzt ange- sichts ständig neuer politischer Entwicklungen nur so dahin. Unternehmen haben ihre Strategie zudem nicht mehr nur in der eigenen Hand. 2. Es wächst das Bewusstsein: Wir können das Leben und unsere Umwelt nicht kontrollie- ren. Da hilft es auch nicht, sich gegenseitig die Schuld zuzuweisen. Die Corona-Pandemie oder der Russland-Krieg gegen die Ukraine sind nur zwei aktuelle Beispiele, die uns sehr eindrücklich und schmerzlich vor Augen führen: Kontrolle ist eine Illusion [2]. Die Folge(n)? „Kohärenzverlust“ [3]. So nennen Soziologen dieses Phänomen und meinen damit den Verlust von Verstehbarkeit, Handhabbarkeit und Sinnhaftigkeit, der wiederum zu Unsicher- heit und damit zu Angst und dem Gefühl ver- minderter Selbstwirksamkeit führt. Produktivität und Innovationsfähigkeit leiden. Eine Abwärts- spirale wird in Gang gesetzt, von der Menschen auf allen Hierarchieebenen betroffen sind. 3. Das „Maschinen-Paradigma“ von Unter- nehmen mit seinen starren Strukturen er- schwert zunehmend die Anpassung an die ver- änderten Rahmenbedingungen. Es geht um das hierarchische Ordnungsprinzip, das uns seit der neolithischen Revolution vor rund 12.000 Jahren begleitet. Es hat uns in Form von Unternehmen in den letzten knapp 500 Jahren den heutigen Abbildung 1: Standortbestimmung (Stacey meets Cynefin) (Quelle: Autoren, in Anlehnung an https:// digitaleneuordnung.de/ blog/stacey-matrix/) IT-SICHERHEIT_2/2024 25

SECURITY MANAGEMENT | KÜNSTLICHE INTELLIGENZ Wohlstand beschert. Aber es trägt nicht mehr [4]. Die typische pyramidenförmige Aufbauorgani- sation eines Unternehmens kann den heutigen Anforderungen nicht mehr gerecht werden [5]. Das wirft ganz grundsätzliche und so noch nie dagewesene Fragen auf, beispielsweise zur Ge- staltung von Führung und Zusammenarbeit. 4. Der Kampf zwischen Ideologie und Empi- rie [6]: Mit unserer Art zu wirtschaften zerstören wir den einzigen Planeten, den wir zum Leben haben und der zufällig die Rahmenbedingungen aufweist, die menschliches Leben überhaupt möglich machen (Empirie). Und dann feiern wir noch diejenigen, denen es am effizientesten ge- lingt, diesen Planeten zu plündern. Wenige ge- winnen, wir alle verlieren! Doch ökologische As- pekte spielen in unserer gewohnten Denkweise des Neoliberalismus bisher keine Rolle (Ideolo- gie). Und selbst wenn, werden die Vorgaben zum Schutz der Umwelt oft als hinderlich und als läs- tiger Kostenfaktor angesehen, der lediglich die Wettbewerbsfähigkeit verschlechtert. DAS PROBLEM IM UMGANG MIT DEN GENANNTEN HE RAUSFORDERUNGEN Gerade die beiden letztgenannten Herausforde- rungen geraten in der operativen Hektik – eben- so wie in der Diskussion um den Einsatz von KI und Cybersicherheit – fatalerweise schnell aus dem Blick. Denn wie sieht die reflexartige Reakti- on aus, wenn die Unternehmensführung, wie wir sie kennen, so deutlich an ihre Grenzen stößt? Die Entscheider versuchen, die vermeintliche Kontrolle zurückzugewinnen und gleichzeitig – durch mehr vom Gleichen – bessere Ergebnis- se zu erzielen. Mehr Umsatzwachstum, weniger Kosten – mehr Gewinn. Das ist jedenfalls die Hoffnung der Wirtschaft. Dazu mehr digitalisie- ren, mehr KI. Damit steht das Rezept für wieder steigende Wettbewerbsfähigkeit, und wir holen auf gegenüber den USA und China. So lautet das bekannte Narrativ. Nur leider greift das zu kurz und obendrein stimmt es nicht mehr. Denn um es mit Albert Einstein zu sagen: „Probleme kann man niemals mit derselben Denkweise lösen, durch die sie entstanden sind.“ Genau aus diesem Grund müssen wir Wirtschaft und Unternehmensführung im Zusammenhang mit KI fundamental um- und radikal neu denken. Es genügt nicht, die Verantwortung für künstli- che Intelligenz lediglich in die Hände der IT- und 26 IT-SICHERHEIT_2/2024 Sicherheitsabteilungen zu legen. Vielmehr erfor- dert dieses Thema das engagierte Mitwirken der gesamten Unternehmensführung. WIE ERFINDEN UNTER- NEHMEN SICH NEU? Vor diesem Hintergrund ist die Frage nach dem Einsatz und der Rolle von KI eine sehr grundsätz- liche und potenziell weitaus folgenreichere als jede bisherige Einführung einer neuen Software. Wir sprechen hier von der industriellen Revo- lution x.0, die alles bisher Dagewesene weit in den Schatten stellen kann. Wir stehen am Scheideweg: Wird KI die oben genannten Entwicklungen und damit auch die Zerstörung unserer Existenzgrundlage noch weiter beschleunigen? Oder kann sie uns helfen, eine nachhaltig lebenswerte Welt zu schaffen? Dieser Mammutaufgabe müssen sich Unter- nehmen und ihre Führungsriege im Zuge der KI-Frage stellen, gerade weil die Antworten mitunter weit über die eigene Firma hinausrei- chen und eine ethische sowie gesellschaftliche Dimension beinhalten. Umso wichtiger ist es, dass wir uns mit drei zentralen Fragen auseinandersetzen, die KI vor diesem Hintergrund aufwirft: Wie gehen Entscheider mit diesen vier zentralen Herausforderungen um (Kontroll- und Kohärenzverlust, Kapitalismus versus Ökologie, Anachronismus des hierarchi- schen Ordnungsprinzips)? Wie stellen Unternehmen sich Unterneh- men noch besser und sicherer für die Zu- kunft auf? Was müssen Unternehmen dann tun? AUS DER NOT EINE TUGEND MACHEN „Wie gehen Entscheider mit den vier zentralen Herausforderungen um?“ Beginnen wir mit der ersten Frage: Einige Unter- nehmen und Branchen folgen bereits mit hoher Geschwindigkeit dem alten Narrativ und sind gerade dabei, mithilfe von KI Fakten zu schaffen, die sich möglicherweise nicht mehr rückgängig machen lassen. Mit dem vorrangigen Ziel der Wettbewerbsfähigkeit hoffen sie darauf, mit- tels KI die heutige Komplexität beherrschbar zu machen. Allen voran die Automobilindustrie mit ihren Projekten zum autonomen Fahren oder zu KI-Laboren [7] sowie die Rüstungsindustrie, zum Beispiel mit KI-gesteuerten Drohnen und Kampf- flugzeugen. Doch Vorsicht vor den Geistern, die wir da rufen: Starke KI ist nicht kontrollierbar [8]. Damit wird unsere Welt noch komplexer und auf absehbare Zeit völlig unbeherrschbar – eine schier unlösbare Aufgabe, nicht nur für CIOs, CISOs, CTOs. Hinzu kommt, dass Überlegungen zu ethischen und gesellschaftlichen Dimensionen oft nicht angemessen berücksichtigt werden: Sie werden unter vermeintlichen Zeit- und Wettbewerbs- druck schnell zur Nebensache oder gar ganz dem vermeintlichen Fortschritt geopfert. Diese Unternehmen experimentieren bereits mit dem WIE, ohne dass das WAS hinreichend geklärt ist. Die vorherrschende Denkweise birgt noch ein weiteres Risiko: Wenn KI nur als eine Art Software betrachtet wird, die Mitarbeitende teilweise oder gar ganz ersetzen und somit Effizienzgewinne bringen kann, scheint die Implementierung ledig- lich kompliziert. Unter dieser Prämisse wirkt es ausreichend, die Verantwortung für die Imple- Abbildung 2: Wirtschaft und Unternehmensführung am Scheideweg (Bild: DALL·E)

SECURITY MANAGEMENT | KÜNSTLICHE INTELLIGENZ mentierung dem eigenen CIO, CISO, CTO oder externen IT-Beratern zu übertragen – eine Fehl- annahme mit weitreichenden Folgen. Um diese beiden typischen Fallen zu vermei- den und eine bewusste Entscheidung treffen zu können, empfehlen wir Vorständen, Geschäfts- führern und Inhabern in einem ersten Schritt ein einheitliches Verständnis der drei Ws „Wohin? Wozu? Was?“ zu entwickeln. Die Antwort auf diese Fragen sollte dem WIE vorausgehen. In dieser ersten Phase ist es wichtig, sich zu- nächst grundlegend auf Definitionen von generi- schen Begriffen wie „Digitalisierung“ und „KI“ zu einigen und dann zu überlegen, wohin sich das Unternehmen entwickeln und wozu KI dement- sprechend genutzt werden soll. Das ist das not- wendige Minimum. Wer es dabei belässt, bleibt damit beim Prinzip „Weiter so, nur mit KI“ und somit auch in der gewohnten Komfortzone. Wer mehr wachsen und wirklich radikal um- denken möchte, sollte sich auf folgende Fragen einlassen: Wozu wirtschaften wir? Was ist ein Unternehmen? Was macht es besonders? Was ist der Sinn und Zweck der Unternehmenstätig- keit? Welche Beiträge liefert es für wen? Was bedeutet Führung, was Unternehmensführung? Welche Rolle spielt für uns Ethik? Was können wir und andere Unternehmen zur Gesellschaft beitragen? Diese Fragen öffnen den Blick über den Unternehmenshorizont hinaus. Basierend auf dem WAS wird in einem zweiten Schritt das WIE vereinbart: Wie kann KI einge- führt, implementiert und genutzt werden? Auch hier haben Entscheider wieder die Wahl, ob sie in ihren lang erlernten Denk- und Verhaltens- mustern bleiben oder umdenken wollen. Sie können KI zur weiteren Umsatzmaximierung oder Kostenreduktion einsetzen. Für den Fall, dass sie kaum Auswirkungen auf oder durch ihr Umfeld verspüren, kann die Implementierung als kompliziert betrachtet werden. Das wäre dann womöglich ein Fall für den eigenen CIO, CISO, CTO oder für klassische IT-Beratung. Es ist jedoch wichtig, auch hier Überlegungen über den Tellerrand des eigenen Unternehmens hinaus anzustellen. Schließlich ist ein Unter- nehmen ein Teil der Gesellschaft mit Wechsel- wirkungen in beide Richtungen. Selbst kleinere Mittelständler haben in Corona-Zeiten am Bei- spiel von Lieferschwierigkeiten schmerzlich er- fahren müssen, dass eine isolierte Betrachtung des eigenen Handelns nicht mehr zeitgemäß ist. Hier wird schnell klar: Ausschließlich an sich und das eigene Unternehmen zu denken, wird den heutigen Anforderungen nicht mehr gerecht und kann im schlimmsten Fall die Legitimation des Unternehmens in Frage stellen. Damit sind wir in der Regel im Bereich (hoch) komplexer Zusam- menhänge und Wechselwirkungen. Ein ange- messenes WIE entsteht daher mithilfe eines Co- Creation-Ansatzes, bei dem Unsicherheit Schritt für Schritt reduziert wird und Lösungen sich aus einem iterativen Prozess ergeben. So entsteht ein individueller Weg, den kein Berater dieser Welt als schon fertige Strategie vorgeben kann. Stattdessen braucht es Sparringspartner auf Au- genhöhe und einen ergebnisoffenen Dialog. Abbildung 3: Human Business Impact (Bild: Autoren, in Anlehnung an das AQAL-Modell von Ken Wilber [15]) Konkrete Empfehlungen für den Einsatz von KI in Unternehmen sind somit beispielsweise: Ethisches Handeln, das Auswirkungen über das Unternehmen hinaus berücksichtigt KI einzusetzen, um Mitarbeitende von an- spruchslosen Routinejobs zu entlasten und mehr „Human Moments“ [9] zu schaffen, das heißt letztlich auch mehr Freiräume für menschliche Kreativität, Kooperation und Innovation den Einsatz schwacher KI, die ausschließlich mit den individuellen Unternehmensdaten arbeitet und zudem DSGVO-konform ist „Wie können sich Unternehmen noch besser für die Zukunft aufstellen?“ Jede Krise birgt eine Chance und diese hier heißt: Machen wir aus der Not eine Tugend und gestalten gemeinsam unsere (Wirtschafts-) Welt neu, indem wir Organisationen zu adap- tiven Organismen entwickeln! Erkannt hat das zum Beispiel Bill Anderson, der CEO der Bayer AG, der sich gerade entschlossen ans Werk macht, eine solche Entwicklung in die Wege zu leiten [10]. Einholen werden wir die Amerikaner bei KI wohl nicht. Dafür ist ihre Marktmacht heute bereits zu groß. Außerdem steht ihnen weit mehr Geld für die Entwicklung zur Verfügung als in Deutschland oder Europa [11]. Aber anstatt ihnen nachzueifern und uns immer abhängi- ger zu machen, können wir es besser machen. Stellen wir daher nicht die KI, nicht den Umsatz oder die Kosten, sondern den Menschen in den Mittelpunkt. Das hat schon der Manage- ment-Theoretiker Arie de Geus als zentralen Erfolgsfaktor der langlebigsten Unternehmen identifiziert [12]. Darüber hinaus gibt es noch viele weitere Gründe, die jedoch den hiesigen Rahmen sprengen würden. Wie könnte diese Vision von Unternehmen der nächsten Entwicklungsstufe [13] aussehen? Den Menschen in den Mittelpunkt zu stellen, damit sind hier keine Kicker-Tische oder Obstkörbe ge- meint. Sondern es geht darum, in Anlehnung an den Autor und Ökonom Peter Drucker, die Dinge wieder ins rechte Licht zu rücken: das heißt zu- nächst Gewinnerzielung von seinem Schicksal als Selbstzweck zu befreien und wieder zur not- wendigen Nebenbedingung des Wirtschaftens zu machen [14]. IT-SICHERHEIT_2/2024 27

SECURITY MANAGEMENT | KÜNSTLICHE INTELLIGENZ Stattdessen sollte der Mensch mit seiner Ent- wicklung im Mittelpunkt stehen (siehe Abbil- dung 3), der in Kooperation mit anderen Men- schen und Unternehmen (Netzwerk) danach strebt, den Unternehmenszweck, der wiederum eng mit seiner eigenen Motivation verknüpft ist, mit Leben zu füllen. Prozesse, Strukturen, Spielregeln (gegebenenfalls auch KI) unter- stützen das persönliche Wachstum ebenso wie selbstorganisierte Teams und kooperatives Ver- halten zugunsten des Unternehmenszwecks. Kooperation, Co-Creation und das Gefühl von Verbundenheit prägen den Alltag. Es geht da- rum, gemeinsam den Zweck des Unternehmens erfolgreich zu leben; nicht darum zu gewinnen. Um das zu erreichen, empfehlen wir einen ganz- heitlichen Transformationsansatz [15], der neben klassischen Interventionen im Bereich „Struk- turen & Prozesse“ (zum Beispiel KI-Einführung) auch die Bereiche „Mindset“ und „Verhalten“ be- inhaltet. Denn nur aus einem fein abgestimmten Zusammenspiel aller drei Bereiche ergibt sich im Laufe der evolutionären Weiterentwicklung im vierten Bereich eine neue Unternehmenskultur, die sich vom übrigen Wettbewerb abhebt und die Spielregeln unserer Wirtschaft neu definiert. „Was müssen Unternehmen dann tun?“ Es gibt nicht die eine Antwort auf diese Frage. Stattdessen gibt es nur eine jeweils individu- elle Antwort. Unserer Erfahrung nach können unterschiedliche Ansätze und Konzepte aus praktischer Philosophie, positiver Psychologie, Neurowissenschaften, Soziologie sowie Anthro- pologie/Evolution eine solche Entwicklung hin zu der skizzierten Vision sehr gut unterstützen. Da diese Ansätze den Rahmen hier weit über- steigen würden, wollen wir zu guter Letzt mithilfe eines chinesischen Sprichwortes noch etwas Mut machen: „Auch die längste Reise be- ginnt mit dem ersten Schritt, in diesem Fall im Kopf. Denn, was wir uns vorstellen können, kön- nen wir auch erreichen.“ n Literatur [1] Kai Michel, Carel van Schaik, Mensch sein: Von der Evolution für die Zukunft lernen, Rowohlt Buchverlag, 2023 [2] siehe auch: Mo Gawdat, Solve For Happy: Engineer Your Path to Joy, Bluebird, Sept 2016 [3] Chris Dorn, Shi Yan Lu, BEWATER – Ohne Tun ist alles Können nichts: Innerlich stark und entschlossen wie ein Shaolin-Meister, Momanda, 2023 [4] Prof. Dr. Gerald Hüther in „Leaders von morgen“ über das Thema „Selbstorganisation“, Titel des Videos: „Wie Du eine liebevolle Beziehung zu Dir selbst & anderen aufbaust“, www.youtube.com/watch?v=-ogjdYeyVa8, 2023 [5] Gary Hamel, Michele Zanini, Humanocracy: Creating Organizations as Amazing as the People Inside Them, Harvard Business Review Press, 2020 [6] Richard David Precht: Künstliche Intelligenz und der Sinn des Lebens: Ein Essay, Goldmann Verlag, 2020 [7] Sven Gábor Jánszky, Newsletter der 2b AHEAD ThinkTank GmbH, 4. März 2024 [8] Mo Gawdat, Scary Smart: The Future of Artificial Intelligence and How You Can Save Our World, Bluebird, 2022 [9] Edward Hallowell, The Human Moment at Work, Harvard Business Review, 01-02/1999, https://hbr.org/1999/01/the- human-moment-at-work [10] Martin Noé, Die Überflüssigen, Manager Magazin 3/2024 [11] Kirsten Bialdiga, Christina Kyriasoglou, Kommandosache KI, Manager Magazin 2/2024 [12] Arie de Geus, The Living Company, Mcgraw-Hill Professional, 1997 [13] Frederic Laloux, Reinventing Organizations visuell: Ein illustrierter Leitfaden sinnstiftender Formen der Zusammenarbeit, Vahlen, 2016 [14] Peter F. Drucker, Was ist Management: Das Beste aus 50 Jahren, Econ, 2002 [15] AQAL-Modell von Ken Wilber, in: Frederic Laloux, Reinventing Organizations visuell: Ein illustrierter Leitfaden sinnstiftender Formen der Zusammenarbeit, Vahlen, 2016 Der vorliegende Text ist der erste Teil einer Artikelserie über künstliche Intelli- genz. Im zweiten Teil in der nächsten Ausgabe der IT-SICHERHEIT widmen wir uns der Fragestellung: „Welche Arten von KI existieren und welche sind im Kon- text von Unternehmen tatsächlich sicher implementierbar?“ Darin beleuchten wir die verschiedenen Arten künstlicher Intelligenz und analysieren, welche davon im Unternehmenskontext sicher und verantwortungsbewusst einsetzbar sind. MICHAEL THEUMERT als Unternehmer vereint er IT-Exper- tise mit menschlicher Dynamik. Mitgründer des Think & Do Tanks „Human Business Impact”. Schwer- punkt: Sichere und nachhaltige (digitale) Transformation. OLIVER HINZ ist einer der Gründer des Think & Do Tanks „Human Business Impact”. Als Human Greatness Guide und Sparringspartner für Führungskräfte begleitet er seit 20 Jahren Menschen & Organisationen sehr erfolgreich in ihrer Entwicklung. ALEXANDER JABER ist Gründer und CEO der Compliant Business Solutions GmbH. Er ist mehr als 20 Jahre aktiv, Experte sowie Trainer für Informationssicher- heit und Uni-Dozent für Manage- mentsysteme zur Unternehmens- sicherheit. Folgende Themen sind Teil unserer KI-Serie: Unternehmensführung in Zeiten von KI Einführung in die KI und Technologie Prozess-Optimierung durch KI Rechtliche Aspekte beim Einsatz von KI KI-Projekte sicher umsetzen KI im Feld der praktischen Anwendung 28 IT-SICHERHEIT_2/2024 DR. DIETER STEINER ist seit über 30 Jahren als Unterneh- mer und Investor in der IT-Branche mit den Schwerpunkten IT-Security, Datenschutz, digitale Transformati- on, künstliche Intelligenz und Software-Entwicklung tätig. E L· L A D : d l i B

SECURITY MANAGEMENT | KRISENMANAGEMENT Herausforderungen und Lösungen für die Koordination zwischen IT-Fachstab und Krisenstab GRUNDLAGEN FÜR DAS KRISENMANAGEMENT Im Fall einer Cyberattacke ist eine schnelle und effektive Reaktion entscheidend, um Schäden zu minimieren und die Wiederherstellung zu beschleunigen. Das erfordert eine nahtlose Zusammenarbeit zwischen dem spezialisierten Fachstab, der sich mit den tech- nischen Aspekten der Cybersicherheit befasst, und dem übergeordneten Krisenstab, der die gesamte Reaktion der Organisation steuert und dabei Aspekte wie Produktion und Vertrieb, Anlagensicherheit oder Umweltschutz im Blick behalten muss. Dieser Artikel beleuchtet die Herausforderungen, die bei der Koordination dieser beiden Teams auf- treten können, und schlägt praktische Lösungsansätze vor. Nach Jahren mit zumeist nur weni- gen Fällen praktischer Krisenstabs- arbeit haben seit dem Beginn der Corona-Pandemie und dem anschließenden Krieg in der Ukraine die Krisenstäbe oder Taskforces in sehr vielen Unternehmen in hoher Frequenz ge- tagt – gleichzeitig nahmen Cyber attacken weiter zu. Manche Organisationen mussten sogar meh- rere Krisen parallel bearbeiten. HERAUSFORDERUNGEN Dabei haben die Autoren dieses Artikels folgende Herausforderungen beobachtet, die Unterneh- men während eine Krise bewältigen müssen: Kommunikationsbarrieren: Einer der größten Stolpersteine ist die unter- schiedliche Fachsprache, die von IT-Spezialis- ten und Mitgliedern des Krisenstabs verwen- det wird. Während IT-Teams dazu neigen, in technischen Begriffen zu kommunizieren, benötigen Krisenmanagementteams Infor- mationen in einem Format, das die Auswir- kungen auf das Geschäft und die notwendi- gen Entscheidungen klar darstellt. Informationsüberflutung: In der Hitze des Gefechts kann die Menge an technischen Daten überwältigend sein. Die Herausforderung besteht darin, relevante In- formationen zu filtern und sie in „Action able Intelligence“ für den Krisenstab zu überset- zen. Entscheidungsfindung unter Unsicherheit: Cybersicherheitsvorfälle entwickeln sich schnell und sind oft von Unsicherheit geprägt. Die Entscheidungsfindung kann durch unvoll- ständige Informationen behindert werden. Dadurch wird die Koordination erschwert. Rollen- und Verantwortlichkeitskonflikte: Die Abgrenzung der Zuständigkeiten zwi- schen dem Fachstab und dem Krisenstab kann zu Konflikten führen, insbesondere wenn schnelle Entscheidungen getroffen werden müssen. Besonders der letzte Punkt ist von zentraler Be- deutung, denn technische Entscheidungen und Reaktionen sind nur eine Seite der Antwort auf einen Angriff. Die andere Seite sind die überge- ordneten Aspekte wie Kommunikationsstrate- gie und -umsetzung, rechtliche Aspekte oder ein mögliches Akzeptanzproblem im Markt mit einhergehendem Reputationsschaden für das Gesamtunternehmen. LÖSUNGSANSÄTZE Aus den genannten Herausforderungen lassen sich folgende Lösungsansätze ableiten: Integration von Cyberrisikomanagement in die Unternehmenskultur: Die Sensibilisierung und Schulung aller Mitar- beiter im Bereich Cybersicherheit kann dazu beitragen, das Bewusstsein für die Bedeutung IT-SICHERHEIT_2/2024 29 Bild: IRStone - stock.adobe.com

SECURITY MANAGEMENT | KRISENMANAGEMENT und die Anforderungen einer effektiven Kri- senreaktion zu schärfen. Festlegung klarer Rollen und Verantwort- lichkeiten: Eindeutige Richtlinien und ein klar definiertes Command-and-Control-Framework können helfen, Überschneidungen und Konflikte zu vermeiden. Gemeinsame Trainings und Simulationen von Krisenstab und Fachstab: Regelmäßige gemeinsame Trainings und simulierte Cyberattacken können dabei unter- stützen, das Verständnis zwischen den Fach- stäben und dem übergeordneten Krisenstab zu verbessern. Cross-Training fördert ein bes- seres Verständnis der jeweiligen Herausforde- rungen und Arbeitsweisen. Einrichtung von Kommunikations- protokollen: Vordefinierte Kommunikationsprotokolle und -tools können helfen, die Informationsüber- tragung zu standardisieren und Missverständ- nisse zu reduzieren. Klare Richtlinien dafür, welche Informationen wann und in welcher Form geteilt werden, sind essenziell. Klare Kommunikation der Krisenmanage- ment-Ziele durch den Krisenstab: Eine Maßnahme, die über den IT-Sektor hinaus großen Nutzen bringt, ist die Festlegung klarer Ziele, die im jeweiligen Ernstfall durch das Kri- senmanagement erreicht werden sollen. Das hat den Vorteil, dass allen beteiligten Fach- 30 IT-SICHERHEIT_2/2024 experten transparent wird, dass verschiedene Probleme gleichzeitig angegangen werden müssen. So kann zum Beispiel in einem Tech- nologieunternehmen der Schutz des eigenen Know-hows wichtiger sein als die sofortige Wiederaufnahme der Produktion oder in Kran- kenhäusern das Leben und die Gesundheit der Patienten eine höhere Priorität haben als eine forensische Untersuchung. Je klarer die Priori- täten, desto weniger Reibungsverluste. zu reagieren. Zu den wichtigsten Vorteilen der Anwendung der ISO 22361 gehören: 1. Verbesserte Reaktionsfähigkeit auf Krisen: Die Norm bietet einen Rahmen für die Pla- nung, Etablierung, Aufrechterhaltung und kontinuierliche Verbesserung eines Krisenma- nagementprogramms. Dies hilft Organisatio- nen, ihre Reaktionsfähigkeit auf unerwartete Ereignisse zu verbessern. Einsatz von Cyber-Security-Dashboards: 2. Strategische Risikominderung: Visualisierungstools und Dashboards, die Echtzeitinformationen über den Sicherheits- status liefern, können die Informationsauf- nahme und Entscheidungsfindung für die übergeordneten Ziele eines Krisenstabs er- heblich erleichtern. ORIENTIERUNGSHILFE ISO 22361 Mit der ISO 22361:2022 „Sicherheit und Resi- lienz – Krisenmanagement – Leitlinien“ gibt es einen umfassenden Text zum Krisenma- nagement, der Organisationen aller Größen- ordnungen dabei unterstützt, die genannten Herausforderungen zu meisten. Die Norm bietet Leitlinien für die Entwicklung strategi- scher Fähigkeiten im Krisenmanagement auf organisatorischer Ebene und geht damit über die Anforderungen an einen Fachstab hinaus. Der von der Internationalen Organisation für Normung (ISO) herausgegebene Standard zielt darauf ab, Organisationen aller Größen und Ar- ten dabei zu unterstützen, effektiver auf Krisen ISO 22361 unterstützt Organisationen, poten- zielle Krisen und ihre Auswirkungen zu identi- fizieren und zu bewerten, was eine proaktive Risikominderung ermöglicht. 3. Stärkung der Resilienz: Durch die Entwicklung und Implementierung von Krisenmanagementstrategien und -plä- nen können Organisationen ihre Widerstands- fähigkeit gegenüber Unterbrechungen stär- ken und die Erholungszeit nach einem Vorfall verkürzen. 4. Verbesserte Kommunikation: Die Norm legt Wert auf effektive Kommunika- tionsstrategien sowohl intern als auch extern. Das sorgt für klarere Kommunikationswege während einer Krise, was zur Minimierung von Missverständnissen und zur Verbesse- rung der Koordination beiträgt. 5. Einbindung von Stakeholdern: ISO 22361 betont die Bedeutung der Ein- bindung aller relevanten Stakeholder in das Bild: Gorodenkoff - stock.adobe.com

SECURITY MANAGEMENT | KRISENMANAGEMENT Krisenmanagementprogramm, was zu einer verbesserten Zusammenarbeit und Unterstüt- zung führt. Verbesserung des Krisenmanagements, was zu einer kontinuierlichen Leistungssteigerung führt. 6. Einhaltung gesetzlicher und regulatori- 8. Internationale Anerkennung: scher Anforderungen: Die Anwendung der Norm kann Organisatio- nen dabei unterstützen, relevante gesetzliche, regulatorische und vertragliche Anforderun- gen zu erfüllen, insbesondere in Bezug auf Krisenmanagement und Geschäftskontinuität. Da ISO 22361 international anerkannt ist, können Organisationen, die diese Norm im- plementieren und befolgen, ihre Glaubwür- digkeit und ihr Engagement für hervor- ragendes Krisenmanagement gegenüber Kunden, Partnern und Regulierungsbehör- den demons trieren. 7. Kontinuierliche Verbesserung: Die Norm fördert einen zyklischen Prozess der Planung, Durchführung, Überprüfung und Eine Besonderheit der Norm ist ihr Schwerpunkt auf dem Thema „Führen in der Krise“. Dem wird LEITFADEN ZUM KRISEN- MANAGEMENT NACH ISO22361:2022 träger, also alle Personen, die sich in ihren Organisationen, wie zum Beispiel Unternehmen und Organisationen des öffentlichen Rechts, mit der Einführung und Fortentwicklung eines Krisenma- nagement-Systems beschäftigen. Dabei sind insbesondere die Krisenmanage- ment-Verantwortlichen, aber auch Risi- ko- und Business-Continuity-Manager in den Organisationen zu nennen. Zudem bietet der Leitfaden eine Grund- lage für die interne Revision der Orga- nisationen bei der Prüfung des Krisen- managements. Bestellungen sind über den Buchhandel möglich. Der Preis beträgt 29,95 €. Der Leitfaden zum Krisenmanagement ISO 22361 ist als Band 10 in der Schrif- tenreihe der Risk Management Asso- ciation (RMA) erschienen. Er stellt eine detaillierte Anleitung zur Umsetzung der ISO 22361 in der Praxis für alle Or- ganisationen dar. Der Leitfaden basiert neben den praktischen Erfahrungen der Mitglieder der Autorengruppe auf den persönlichen Beobachtungen von Klaus Bockslaff während der Verhandlungen der Norm in der ISO-Arbeitsgruppe. Das Werk ist für alle Organisationen – unabhängig von ihrer Größe und den regulatorischen Anforderungen an ein Krisenmanagement (Stufenmodell) – nutzbar und enthält praktische Tipps als Umsetzungsideen. Als Mitglied der Schweizer Delegation in der zuständigen Arbeitsgruppe der ISO hat Klaus Bockslaff, Autor und Gründer der Verismo GmbH, an den Arbeiten zur Erstellung der neuen ISO 22361 mitge- wirkt und die dabei gewonnenen Er- kenntnisse in den Leitfaden einfließen lassen. Zudem enthält der Leitfaden ein Stufenmodell für die Umsetzung des Krisenmanagements. Im Wesentlichen richtet sich der Leit- faden an strategische Entscheidungs- beispielsweise durch Abschnitte zur Auswahl und Ausbildung geeigneter Personen und zur strukturierten Entscheidungsfindung Rechnung getragen. Indem sie die ISO 22361 Norm umsetzen, kön- nen Organisationen nicht nur ihre Fähigkeit verbessern, auf Krisensituationen zu reagieren, sondern auch das Vertrauen ihrer Stakeholder stärken und langfristig nachhaltigen Erfolg si- chern. Bei der Umsetzung dieser Norm hilft auch der praxisorientierte Leitfaden der Risk Manage- ment Association (RMA). Das von Experten auf diesem Gebiet verfasste Dokument listet Schritt für Schritt die Maßnahmen auf, die zum Aufbau einer funktionsfähigen Krisenorganisation not- wendig sind (siehe Kasten). FAZIT Die Koordination zwischen Fachstab und Krisen- stab bei einer Cyberattacke ist eine komplexe Aufgabe, die klare Kommunikation, vordefi- nierte Protokolle und ein tiefes gegenseitiges Verständnis erfordert. Durch die Umsetzung der vorgeschlagenen Lösungsansätze unter Berück- sichtigung der Norm ISO 22361 können Organisa- tionen ihre Resilienz gegenüber Cyberbedrohun- gen stärken und eine effektive Reaktion im Fall eines Angriffs sicherstellen. n PETER MARKOVITZ ist Senior Consultant für Notfall- und Krisenmanagement und PECB Certified ISO/IEC 27001 Lead Auditor bei der Verismo GmbH. DR. PETRA SONNE-NEUBACHER ist Chemikerin mit langjähriger Industrieerfahrung und seit 2007 geschäftsführende Gesellschafterin der PSN Wirtschaftsberatung. IT-SICHERHEIT_2/2024 31

SECURITY MANAGEMENT | NORMEN UND STANDARDS Überblick über die aktualisierte Fassung ISO/IEC 27001:2022 Mit der aktualisierten Fassung der ISO/IEC 27002 wurden die darin enthaltenen Be- schreibungen der Best-Practice-Maßnahmen zur Informationssicherheit an den aktu- ellen Stand der Technik angepasst. Dadurch musste auch die Anforderungsnorm ISO/ IEC 27001 aktualisiert werden. Alle erteilten Zertifikate müssen bis Ende Oktober 2025 auf die revidierte ISO/IEC 27001:2022 angepasst sein. Unser Autor erörtert wesentliche antizipierte Neuerungen und ihre Bedeutung für Informationssicherheitsbeauftragte und für den Betrieb von Informationssicherheits-Managementsystemen. ISO/IEC 27001 ist ein Standard für Informa- tionssicherheits-Managementsysteme (ISMS). Sie definiert Anforderungen an ein ISMS. Durch die Aktualisierung der ISO/IEC 27002 mussten auch in der ISO/IEC 27001 zwei Bereiche angepasst werden: einerseits der Abschnitt 6.1.3 „Information Security Risk Treat- ment“ Abs. c, der auf die Anwendung des An- hang A verweist, und andererseits der Anhang A selbst, der eine Auflistung der Best-Practice- Maßnahmen aus ISO/IEC 27002 umfasst. RISIKOBEHANDLUNG Aber das Wichtigste vorab: Es ist keine neue Anforderung in der ISO/IEC 27001 hinzugekom- men. Neuerungen in Abschnitt 6.1.3 „Informati- on Security Risk Treatment“ sind die Klarstel- lung, dass der Anhang normativ (verbindlich) ist, die einzelnen Maßnahmen im Anhang 32 IT-SICHERHEIT_2/2024 A jedoch nicht verbindlich sind, sowie eine Umformulierung von „Maßnahmenzielen“ zu „Maßnahmenzweck“. Abschnitt 6.1.3 c enthält eine verbindliche An- forderung, die eigenen über den Prozess der Risikoanalyse und -behandlung hergeleiteten Sicherheitsmaßnahmen mit der Liste der Best- Practice-Sicherheitsmaßnahmen im Anhang A abzugleichen. Ziel ist es, sicherzustellen, dass die anwendende Organisation keine wesentlichen Maßnahmen – und damit Risiken – übersieht. Da es sich dabei um eine verbindliche Anforde- rung handelt („shall“), ist auch der Anhang A ver- bindlich (normativ). mithilfe von Risikoanalysen hergeleitet. Dies führte zu zwei praktischen Problemen: Die nicht erschöpfende Liste an Sicherheits- maßnahmen im Anhang A wurde als „ver- bindlich“ verstanden – was nicht der Fall ist – und damit wurden gegebenenfalls im Einzelfall unnötige Maßnahmen umgesetzt. Durch das Re-Engineering der Risikoanaly- sen wurden nur genau die Maßnahmen des Anhangs A und ihre zugehörigen Risiken iden- tifiziert – darüber hinausgehende individuelle Risiken der anwendenden Organisation blie- ben aber häufig unerkannt. Die Umsetzung in einem Informationssicher- heits-Managementsystem geschah jedoch oft „andersherum“: Die Maßnahmen des Anhangs A wurden als verbindlich verstanden und dann Daher ist nun durch zwei klarstellende Bemer- kungen zu Abschnitt 6.1.3 c herausgearbeitet worden, dass es sich bei den Maßnahmen in Anhang A lediglich um „eine mögliche Liste“ . m o c . e b o d a k c o t s - a k n n A i : d l i B

SECURITY MANAGEMENT | NORMEN UND STANDARDS und nicht um eine „umfassende Liste“ an Best- Practice-Maßnahmen handelt, welche daher nicht verbindlich und auch nicht erschöpfend ist. Weiterhin verwendet die neue Version der ISO/ IEC 27002 statt des Begriffs „Maßnahmenziele (Control Objectives)“ den Begriff „Maßnahmen- zweck (Purpose)“. Daher wurde in Abschnitt 6.1.3 und den zugehörigen Bemerkungen der Begriff „Maßnahmenziel“ (bzw. „Control Objective“) ebenfalls entfernt. NEUERUNGEN IN ANHANG A Die zweite wesentliche Änderung betrifft den Anhang A der ISO/IEC 27001. Dieser erfährt – analog zur neuen ISO/IEC 27002 – eine grund- legende strukturelle Überarbeitung. So gibt es statt der bisherigen 114 Maßnahmen in 14 Be- reichen künftig nur noch 93 Maßnahmen – aufgeteilt in die vier Bereiche organisatorischer (37 Maßnahmen), personeller (8 Maßnahmen), physischer (14 Maßnahmen) und technischer Maßnahmen (34 Maßnahmen). Dabei wurden die Bezeichnungen und der Text von Maßnahmen unverändert aus der aktua- lisierten ISO/IEC 27002 übernommen. So um- fasst auch der aktualisierte Anhang A der ISO/ IEC 27001 elf neue Maßnahmen (Übersetzung des Autors – die offizielle DIN-Übersetzung kann abweichen): 5.7 Bedrohungs-Aufklärung (Threat Intelligence) 5.23 Informationssicherheit bei der Nutzung von Cloud-Diensten (Information security for use of cloud services) 5.30 Bereitschaft der Informations- und Kommunikationstechnik zur Gewährleistung der Geschäftskontinuität (ICT Readiness for business continuity) 7.4 Überwachung der physischen Sicherheit (Physical security monitoring) 8.9 Konfigurationsmanagement (Configurationmanagement) 8.10 Löschung von Informationen (Information deletion) 8.11 Datenmaskierung (Data masking) 8.12 Verhinderung des unautorisierten Infor- mationsabflusses (Data leakage prevention) 8.16 Überwachungsaktivitäten (Monitoring activities) 8.23 Web-Filter (Web filtering) 8.28 Sichere Programmierung (Secure coding) Bei bisher korrekter Anwendung der ISO/ IEC 27001 ist die einzige praktische Folge der Aktualisierung, dass man das sogenannte „State- ment of Applicability“ aktualisieren muss. Denn zunächst stellen, wie bereits ausgeführt, die Maßnahmen des Anhangs A ja keine verbindli- chen Anforderungen dar, die beispielsweise im Rahmen einer Zertifizierung umzusetzen wären. Anwender der ISO/IEC 27001 müssen jedoch ihre eigenen ermittelten Maßnahmen zur Behand- lung von Informationssicherheitsrisiken mit den Maßnahmen des Anhangs A abgleichen. Da die- ser grundlegend überarbeitet wurde und neue Maßnahmen hinzugekommen sind, ist auch die- ser Abgleich zu aktualisieren. Das Ergebnis dieses Abgleichs wird im „State- ment of Applicability“ dokumentiert. Darüber hinaus enthält es weiterhin alle Sicherheits- maßnahmen, die zwar nicht Bestandteil des Anhangs A sind, jedoch über den Prozess der Ri- sikoanalyse und -behandlung als relevant identi- fiziert wurden. Daher sollte ein Abgleich der be- reits dokumentierten ermittelten Maßnahmen mit den neu hinzugekommenen Maßnahmen ohne großen Aufwand möglich sein – Mapping- Tabellen in Anhang B der ISO/IEC 27002:2022 erleichtern das. AUFWAND FÜR DEN UMSTIEG Unter der Prämisse, dass die ISO/IEC 27001 bisher korrekt angewendet wurde, beschränken sich die Tätigkeiten zum Umstieg auf die aktualisier- te Version auf Anpassungen der Dokumentation des „Statement of Applicability“, die in der Regel innerhalb weniger Tage zu bewerkstelligen sein sollten. Dies muss auch so sein, bedenkt man, dass eine überarbeitete Liste an möglichen Maßnahmen zur Informationssicherheit keine Auswirkun- gen auf die bestehende Risikolandschaft oder den Risikoappetit einer Organisation haben. Neue Maßnahmen werden nicht allein deshalb benötigt, weil sie in einer aktualisierten Liste möglicher Sicherheitsmaßnahmen aufgeführt werden, sondern ausschließlich dann, wenn die Organisation ein entsprechendes Risiko identifi- ziert, welches die Maßnahme behandeln soll. Die Erstellung eines aktualisierten „Statement of Applicability“ ist wesentlich, wenn eine Zertifizierung des ISMS gemäß ISO/IEC 27001 angestrebt wird. Hierzu definiert die Deutsche Akkreditierungsstelle GmbH (DAkkS) für alle Zer- tifizierungsstellen in Deutschland Übergangs- fristen. Die Umstellungsfrist sieht vor, dass die Akkreditierungen aller in diesem Bereich tätigen Zertifizierungsstellen bis 31. Oktober 2023 auf die neue Normgrundlage umgestellt sind. Alle von diesen Stellen erteilten Zertifikate müssen schließlich bis Ende Oktober 2025 auf die revi- dierte ISO/IEC 27001:2022 angepasst sein. Für alle Organisationen, die bisher fälschlich den umgekehrten Weg gegangen sind und Maßnah- men aus dem Anhang A „ausgewählt“ haben, ohne diese zuvor angemessen durch eigene Risi- koanalysen herzuleiten, oder neu hinzugekom- mene Maßnahmen des Anhangs bisher über- sehen haben, ergibt sich ein ungleich höherer Aufwand beim Umstieg auf die aktualisierte ISO/ IEC 27001. In diesem Fall müssen gegebenenfalls Teile der neuen Maßnahmen erst noch umge- setzt werden. n PROF. DR. KNUT HAUFE ist Director im Bereich Cyber Security bei der EY Consulting GmbH. DR. SRDAN DZOMBETA ist Partner im Bereich Cyber Security bei der EY Consulting GmbH. IT-SICHERHEIT_2/2024 33

SECURITY MANAGEMENT | OPERATIONAL TECHNOLOGY Je nachdem, auf welcher Seite der OT-Cybersicherheit man sich bewegt, dominieren zwei Nar- rative. Auf der Seite der Lösungsanbieter und Beratungsunternehmen überwiegen Dooms- day-Szenarien mit Blick auf die Potenziale und Prognosen. Auf der Seite der anwendenden Unternehmen wird beschwichtigt, dass bisher nur wenige Cyberangriffe direkt auf industri- elle Netzwerke (Operational Technology, OT) abzielten. Eine sinnvolle und kosteneffektive OT-Cybersicherheit benötigt beide Sichtweisen, um das (akzeptable) Risiko richtig einschätzen zu können. In der OT lohnt es sich dabei, eine verstärkte Gewichtung auf das potenzielle Risiko zu legen. Denn anders als in der IT herrschen in industri- ellen Anlagen in der Regel Lebenszyklen von 10 bis 20 Jahren. Thomas Menze, Senior Consultant bei der ARC Advisory Group, formulierte diesen Unterschied zwischen IT und OT Mitte 2023 in einem Podcast zum Thema „Die Herausforde- rung und Relevanz von OT-Sicherheitsservices“ folgendermaßen: „Wir müssen die von diesen [industriellen] Anlagen erwirtschafteten Gewin- ne wirklich über einen längeren Zeitraum als nur ein paar Quartale aufrechterhalten. Und das ist die Diskussion, die wir mit unseren Finanzinves- toren führen müssen, um zu erklären, warum Cybersicherheit [in der OT] entscheidend ist.“ Abb. 1: Die Zahl der Cyberangriffe auf Industrieunternehmen und kritische Infrastrukturen hat über die letzten Jahre stetig zugenommen. (Bild: Rhebo/Hackmageddon) IT-SICHERHEIT_2/2024 35 SICHERHEITSVORFÄLLE IN DER OT NEHMEN (WIRKLICH) ZUDas potenzielle Risiko für OT-Netze und indus-trielle Infrastrukturen nimmt auch ganz real zu. Das verdeutlichen die Zahlen der Cyberangriffe der letzten Jahre. Der Cybersicherheitsexper-te Paolo Passeri sammelt seit 2011 Meldungen über Cyberangriffe und wertet sie nach betrof-fenen Sektoren und Angriffsformen aus. Zwi-schen 2017 und 2022 stiegen demnach die Cy-bervorfälle in den Kernsektoren mit OT-Netzen (u. a. Produktion, Energie, Telekommunikation) von rund 300 auf fast 1.400 pro Jahr (www.hackmageddon.com, siehe dazu auch Abb. 1). Für die ersten drei Quartale des Jahres 2023 zählte er bereits 1.226 Vorfälle. Das entspricht einer Zunahme um 34 Prozent im Vergleich zum Vorjahreszeitraum 2022.Die Quelle der Sicherheitsvorfälle fand sich bis-lang zwar fast ausschließlich in der Unterneh-mens-IT. Das ist aber leider keine Entwarnung für die OT-Netze, denn die OT ist längst keine abgeschottete Insel mehr. Industrielle Anlagen sind eng verzahnt mit der Unternehmens-IT, selbst wenn – im besten Fall – zwischen beiden Netzen zusätzliche Sicherungsmechanismen (Firewalls, Segmentierung, Demilitarized Zones) existieren. DIE OT BENÖTIGT BESONDERE BEACHTUNGTatsächlich häufen sich in den letzten Jahren Berichte, wonach die Kompromittierung der Unternehmens-IT zu einem Shutdown industri-eller Anlagen führte. Eins der jüngsten Beispiele ist die VARTA AG, die im Februar 2024 aufgrund eines Cyberangriffs über mehrere Wochen alle fünf Produktionsstandorte in Deutschland, Ru-mänien und Indonesien herunterfahren musste.Wie exponiert auch kritische Infrastruktu-ren sind, zeigen weitere aktuelle Vorfälle. Im Mai 2023 wurden fast zwei Dutzend Energie-versorgungsunternehmen in Dänemark Opfer verschiedener Cyberangriffe, bei denen neue Schwachstellen auf Firewalls ausgenutzt wur-den. Mehrere Betriebe gingen offline. In min-destens einem Fall wurde die Steuerung der Umspannwerke auf manuellen Betrieb umge-stellt. In Irland legten Hacktivisten im Dezember 2023 die Wasserversorgung einer Gemeinde mit 180 Einwohnern für zwei Tage lahm. Im Februar 2024 wurde auch das Unternehmen PSI Software Opfer eines Ransomware-Angriffs. Die PSI liefert und betreut die Leittechnik vieler Energieversorgungsunternehmen. Nach aktu-ellem Stand waren keine VPN-Verbindungen zu Kunden betroffen. Die PSI reagierte als kriti-sche Infrastruktur schnell und professionell, um Schlimmeres zu verhindern. Zudem können PSI-Kunden den Kern ihrer Leittechnik seit 2023 mit einem dedizierten netzwerkbasierten Angriffs-erkennungssystem vor Störungen schützen. Dennoch hat der Fall das Potenzial eines „Supply Chain Compromise“ wie bei Solarwinds 2020, bei dem die eigentlichen Zielunternehmen über einen Zulieferer oder einen Dienstleister ange-griffen wurden.Neben der Verbindung in die IT ist seit jeher auch die OT selbst die Achillesferse der Cybersicher-heit. Die US-amerikanische Cybersecurity & Infrastructure Security Agency (CISA) veröffent-lichte 2023 insgesamt 415 Advisories für neu entdeckte Schwachstellen in Steuerungstech-nik-Komponenten (ICS Advisories). In den ers-ten beiden Monaten des laufenden Jahres sind bereits 62 neue hinzugekommen (vgl. www.cisa.gov/news-events/cybersecurity-advisories). Bei Schwachstellenbewertungen wurden im letzten

SECURITY MANAGEMENT | OPERATIONAL TECHNOLOGY Abb. 2: Die zehn am häufigsten identifizierten Risikokategorien in OT-Netzwerken (Bild: Rhebo) Jahr durchschnittlich 26 Risikotypen pro OT- Netzwerk identifiziert (siehe Abb. 2). NIS-2 VERSCHÄRFT DEN FACHKRÄFTEMANGEL Dieser neuen und sich schnell entwickelnden Bedrohungslandschaft steht ein enormer Fach- kräftemangel im Bereich der OT-Sicherheit ge- genüber. Für die IT-Branche und Unternehmen mit IT-Bedarf ist das keine Neuigkeit. Die Wirt- schaftsinstitute und Interessenverbände warnen seit Jahren vor einer steigenden Zahl unbesetz- ter Stellen im Bereich der Informationstechnolo- gie. Laut dem Institut der deutschen Wirtschaft (IW) werden bis 2027 rund 128.000 qualifizier- te Arbeitskräfte in den Digitalisierungsberu- fen fehlen. Der Bitkom e. V. spricht sogar schon von 149.000 offenen Stellen in diesem Jahr. Im Durchschnitt bleibe eine Stelle für IT-Fachkräfte inzwischen bis zu sieben Monate unbesetzt. Diese Prognose setzt sich im Bereich der Cyber- sicherheit fort. Bereits 2022 hatte sich die welt- weite Lücke zwischen Bedarf und Angebot zum Vorjahr um 26 Prozent vergrößert, trotz eines Zuwachses an Sicherheitsexpertinnen und -ex- perten von 10 Prozent (siehe www.isc2.org/ research). In einer Studie des IDC im September 2022 stellten fast zwei Drittel aller Befragten fest, einen akuten Fachkräftemangel in der Cybersi- cherheit ihrer Unternehmen zu erleben. In einer deutschen Umfrage sehen 40 Prozent der CISOs den Mangel an qualifizierten Fachkräften als größtes Problem, die Cybersicherheit im Unter- nehmen zu gewährleisten (siehe www.csoonline. com/de/a/mehrheit-der-deutschen-cisos-klagt- ueber-mangelnde-unterstuetzung,3674574). Derzeit existieren zwar keine konkreten Zahlen, 36 IT-SICHERHEIT_2/2024 weiter verschärfen. Dazu wird nicht zuletzt die novellierte EU-Direktive zur Netzwerk- und Informationssicherheit (NIS-2) beitragen, die im Oktober 2024 mit dem NIS-2-Umsetzungs- gesetz (NIS2UmsuCG) in geltendes deutsches Recht überführt wird. Mit der neuen Gesetzgebung steigt mit einem Schlag die Anzahl der gesetzlich zu Cybersicher- heit verpflichteten Unternehmen in Deutschland von rund 5.000 auf 30.000. Diese Unternehmen werden binnen kurzer Zeit neues Know-how aufbauen und ihr Cybersicherheitsmanagement erweitern müssen. Ohne externe Hilfe wird das nicht möglich sein. WELCHE KOMPETENZEN BRAUCHEN UNTERNEHMEN IN DER OT-SICHERHEIT? Thomas Menze von der ARC Advisory Group verweist im oben genannten Podcast auf drei etablierte Dienstleistungen in der IT-Sicher- heitsbranche. In der OT-Sicherheit sieht er einen zusätzlichen Service, der als Teilmenge des Managed-Services eine entscheidende Rolle spielen wird. die den Bedarf an Fachpersonal in die Bereiche IT-Sicherheit und OT-Sicherheit unterteilen, der Leidensdruck in der OT-Sicherheit dürfte aber noch einmal höher liegen. Schließlich stellt der Bereich für den Ausbildungsmarkt und die meis- ten Unternehmen ein völlig neues Feld dar. Der bereits bestehende deutliche Fachkräfte- mangel im Bereich der OT-Sicherheit wird sich in den nächsten Jahren sehr wahrscheinlich Abb. 3: In der OT-Sicherheit fehlt es häufig an Ressourcen und Expertise, um ein Angriffserken- nungssystem zu betreuen, Risiken zu ermitteln und die Meldungen zu bewerten (Bild: Rhebo).

SECURITY MANAGEMENT | OPERATIONAL TECHNOLOGY Abb. 4: Was steckt dahinter? Für viele Betreiber ist die OT eine Unbekannte. Es gilt, die Sicherheitsvorfälle in dieser neuen Cybersicherheitsumgebung richtig einzuschätzen. (Bild: Rhebo) Als – zumindest in der IT – weit verbreitete Dienstleistungen nennt Menze den Assessment- Service, den Implementation-Service und den generellen Managed-Service. Ersterer ist der objektive Blick auf bestehende Sicherheitsmaß- nahmen und der Abgleich mit der vorliegenden Netzwerktopologie (und Risikolandschaft). Der Implementation-Service unterstützt bei der Um- setzung notwendiger Zusatzmaßnahmen oder Korrekturen. Der Managed-Service übernimmt schlussendlich einen Großteil des Betriebs der jeweiligen Sicherheitslösung. Laut einer IDC-Stu- die bilden mit 27 Prozent diese Dienstleistungen zur Unterstützung der Security-Operations den häufigsten Investitionsbereich. Als neuen vierten Bedarf identifiziert Menze „einen Service über den gesamten Lebenszy- klus der Anlage, bei dem Sie die Kritikalität der Anwendung und die eingesetzten Cybersicher- heitsmaßnahmen ständig überwachen. [Der Service] führt regelmäßig Scans zur Erkennung von Angriffen, Anomalien und dergleichen durch“, so Menze. Dabei gehe es nicht nur um den Betrieb der OT-Angriffserkennung, sondern vor allem um die Fähigkeit, Vorfälle in der OT richtig zu bewerten und sinnvoll auf diese zu reagieren (siehe Abb. 3). „Denn die IT-Mitarbeiter wissen nicht genug über die Cybersicherheit im OT-Bereich, weil sie andere Protokolle verwen- den und andere Ziele verfolgen als die OT-Mitar- beiter. Und die OT-Automatisierungsingenieure sind mit IT-Informationen ein wenig überfor- dert“, so Menze. Eine Kundenbefragung der Rhebo GmbH aus dem Jahr 2023 bestätigt diese Beobachtung. In den meisten Fällen betreiben die Befragten das Angriffserkennungssystem in der OT selbst. Jedoch bleiben im täglichen Betrieb Unsicher- heiten und Fragen, wie eine Anomalie in der OT zu interpretieren ist (siehe Abb. 4). Es besteht ein hoher Bedarf an Erklärungen, Bewertungen und Empfehlungen, welche Maßnahmen zu ergreifen sind, ohne die industriellen Prozesse zu stören. OT-SICHERHEIT SCHRITTWEISE INS UNTERNEHMEN HOLEN In der OT gehen die Servicetypen 3 und 4 auf- grund fehlender Expertise und personeller Res- sourcen meist Hand in Hand. Trotz des anhal- tenden Fachkräftemangels haben Unternehmen jedoch einen wirksamen Hebel, ihre OT-Kom- petenz durch Managed-Services als „Training on the Job“ aufzubauen. Im ersten Schritt gilt es, kurzfristig Lücken zu schließen. Externe Expertinnen und Experten übernehmen hierfür den Betrieb der OT-An- griffserkennung, analysieren und bewerten die identifizierten Anomalien und informieren die Verantwortlichen im Unternehmen nebst Emp- fehlungen für Gegenmaßnahmen. Aufgrund der Empfindlichkeit industrieller Prozesse bleibt die Entscheidung und Durchführung der Gegen- maßnahmen dabei im Hoheitsgebiet des be- troffenen Unternehmens. Die Sicherheitsbeauf- tragten im Unternehmen können aufgrund der Informationen schnell und gezielt reagieren. Im zweiten Schritt wird intern eine Position für OT besetzt. Der Betrieb des Angriffserkennungs- systems geht damit an das Unternehmen über. Das externe Cybersecurity-Serviceteam steht ab diesem Zeitpunkt als „Sparring-Partner“ zur Ver- fügung. Vom Angriffserkennungssystem in der OT identifizierte Sicherheitsvorfälle oder tech- nische Fehlerzustände werden regelmäßig ge- meinsam ausgewertet und Gegenmaßnahmen abgestimmt. Ziel ist der gezielte Wissenstrans- fer, um das interne Know-how kontinuierlich aufzubauen und die Verantwortlichen sattelfest in OT-Sicherheit zu machen. Der schrittweise Ansatz nimmt nicht nur den Druck aus der neuen Herausforderung. Durch den Fokus auf Wissenstransfer mit dem Aufbau eigener Kompetenzen, bleibt auch der langfristi- ge Investitionsrahmen planbar. n RENÉ KRAUSE ist Teamlead Cybersecurity Service bei der Rhebo GmbH. IT-SICHERHEIT_2/2024 37 . m o c . e b o d a k c o t s - w o F e g a m l I : d l i B

SECURITY MANAGEMENT | HERAUSFORDERUNGEN FÜR FÜHRUNGSKRÄFTE Change-Management-Methoden unterstützen bei Cybersicherheit RAUS AUS DER OPFER-STARRE Es ist eine Herausforderung mit Zukunftscharakter: Cybersicher- heit. Ihre Bedeutung zeigt sich in der Nationalen Sicherheitsstrategie des Bundes, die 2023 auf 76 Seiten verabschiedet wurde – 62-mal taucht darin das Wort „ Cyber“ auf. Ein Indiz dafür, dass Digitalisierung mit rasant fortschreitender Vernetzung und breiten Angriffsflächen ein Megathema nicht nur in Deutschland ist. Das Papier, mit dem die Bun- desregierung auf die geopolitische Sicherheits- lage reagiert, deckt sich mit der Einschätzung des Bundesamtes für Sicherheit in der Infor- mationstechnik (BSI): Die Lage ist kritisch bis angespannt. Knapp 70 neue Schwachstellen in Softwarepro- dukten werden täglich hierzulande entdeckt. Das sind 25 Prozent mehr als im Berichtszeit- raum davor. Die Entwicklung neuer, angepasster Angriffsmethoden, die als Dienstleistung (Cyber- crime-as-a-Service) auf den Markt kommen, gilt als besorgniserregend. Das ist die eine Seite der „Cyber-Unsicherheits- medaille“. Die andere Seite ist die „Schwach- stelle Mensch“. Nach wie vor, so konstatiert das BSI, ist der Mensch zu mehr als 80 Prozent in allen Fällen erfolgreicher Hacks dafür verant- 38 IT-SICHERHEIT_2/2024 wortlich, dass Angreifer ans Ziel gelangen und Unternehmen, Organisationen sowie Kom- munen lahmlegen. Die bittere Erkenntnis ist, dass diese kriminelle Strategie ein alter Hut ist. Der 1963 in Kalifornien geborene und 2023 in Nevada verstorbene Hacker Kevin Mitnick arbeitete nach mehreren Jahren Haft bis zu seinem Tod als Autor und Sicherheitsberater. In seinem 2002 erschienenen Buch „Die Kunst der Täuschung“ (orig. „The Art of Deception“) beschreibt er, wie Social Engineering deutlich schneller zu den gewünschten Informationen führt als technische Methoden es vermögen: Statt Spionagesoftware zu entwickeln, „pro- grammieren“ Social Engineers den Willen ihrer Opfer. CHANGE-MANAGEMENT Vor dem Hintergrund steigender, hybrider Be- drohungen stehen Führungskräfte mit Personal- und Sicherheitsverantwortung mehr denn je vor der Herausforderung, manipulativen Methoden bestmöglich entgegenzutreten. Aber auch Mit- arbeiter sind gefordert und sollten als Unterneh- mensbeteiligte nicht gänzlich aus der Verantwor- tung entlassen werden. Kompetenzen jenseits von Sicherheitssoftware sind gefragt, denn es ist weder realistisch noch zu verlangen, dass in allen Hierarchien ausgeprägtes IT-Wissen besteht. Hier greifen Change-Management-Methoden. Dennoch kommt Führungskräften vor allem in kleinen und mittleren Betrieben (KMU) die Auf- gabe zu, mit gezielten Awareness-Maßnahmen möglichen Gefahren entgegenzuwirken. Es spielt keine Rolle, ob es sich um ein Unterneh- men mit Top-down-Struktur oder um eines mit flachen Hierarchien handelt – in allen Fällen gilt es, Veränderungskompetenzen zu entwickeln, zu fördern und zu festigen (siehe Abbildung). NOTWENDIGE KERNKOMPETENZEN Eine wesentliche Kompetenz ist die Kommuni- kationsfähigkeit. Es gilt nicht nur zu erkennen, wie Angreifer mit Mitarbeitern (ein beliebtes Einfallstor sind Sekretariate und Stellen mit Prokura) in den Dialog treten. Eine erste Hilfe wäre der schnelle Check – die Mouseover-Kon- trolle, die weitgehend Auskunft über echte oder falsche E-Mail-Absender gibt. Es gilt vor allem, Mitarbeiter respektvoll zu integrieren und für Informationstransparenz zu sorgen. Neben weiteren Kernkompetenzen, die auch im Fach-Buch „Ausgespäht – Change Management . m o c . e b o d a k c o t s - o d u t S e m o h y a W d : i l i B Vor dem Hintergrund zunehmender hybrider Bedrohungen stehen Führungs kräfte mehr denn je vor der Herausforderung, manipulativen Cyberangriffen bestmöglich zu begegnen. Dazu sind Kompetenzen jenseits von Sicherheits software gefragt. Hier setzen Methoden des Change-Managements an.

SECURITY MANAGEMENT | HERAUSFORDERUNGEN FÜR FÜHRUNGSKRÄFTE 1. Dringende Notwendigkeit der Veränderung erzeugen Ein (schmerzhafter) Anlass schafft gemeinsames Bewusstsein für Dringlichkeit/Attraktivi- tät des Wandels: Was kann passieren, wenn keine Veränderung vollzogen wird? Antwort: Existenzgefährdung, gegebenenfalls Unternehmenstod 2. (Führungs-)Team Gleichgesinnter bilden Um Veränderung anzustoßen, bildet sich ein Team mit gleicher Wahrnehmung für die Dringlichkeit. Idealerweise mit guten Kommunikationsfähigkeiten. 3. Vision und Strategie vermitteln Entwickelte Visionen und Strategien in positiver Formulierung helfen, die Zukunft pers- pektivisch darzustellen. 4. Strategie und Vision kommunizieren Der Change betrifft alle Beteiligten, so muss er vertrauenswürdig, verständlich und inspi- rierend sein. 5. Widerstände auflösen/beseitigen Äußere (zum Beispiel Kooperationen) und innere (Mitarbeiter) Widerstände mit Kommuni- kation, Führungskraft und Strategien auflösen, damit der Change-Prozess gelingt. 6. Schrittweise Erfolge anstreben Um Vertrauen und Motivation in/für den Change-Prozess zu vertiefen, braucht es kleine, schrittweise Erfolge. 7. Veränderungsprozess nicht schleifen lassen Schrittweise Erfolge sind nicht das Ende des Change. Der Prozess muss weiter vorangetrie- ben werden. 8. Das Prozessergebnis verankern Der Change muss nachhaltig verankert/gestaltet werden – dies gelingt, wenn Beteiligte mehrheitlich mitziehen. Das 8-Phasen-Modell nach Kotter (Bild: V. Simon) & Strategien für nachhaltige Cybersicherheit“ ausführlich dargestellt sind (siehe Kasten), gel- ten folgende als unverzichtbar im Kampf gegen Internetkriminalität: Ambidextrie: Entscheider setzen sowohl auf die Weiterentwicklung des Kerngeschäfts als auch darauf, neue Geschäftsfelder zu erschlie- ßen. Das Gleichgewicht zwischen Explorati- on und Exploitation zu halten, bedeutet die Integration und Motivation firmeninterner Ressourcen einerseits, aber auch die Entwick- lung einer klaren Unternehmensstrategie andererseits. Motivation: Hier sind Führungskräfte doppelt gefordert. Sie müssen sowohl ihre eigene Mo- tivationsstruktur als auch die ihrer Mitarbeiter kennen. Mit dem Wissen können sie die Be- deutung von Cybersicherheit begreiflich ma- chen und erreichen, dass Mitarbeiter mithilfe von intrinsischer und extrinsischer Motivation ihre Komfortzone im Berufsalltag verlassen und lernbereit werden. Ein Werkzeug dafür: die Kommunikation. Digitales Denken: Diese anspruchsvolle An- forderung definiert sich durch die Fähigkeit, sowohl Probleme als auch Informationen und Prozesse mittels digitaler Technologien zu verstehen. Heißt im ersten Schritt, dass es über die reine Anwender-Ebene hinausgeht. Es gilt zu lernen, wie Algorithmen arbeiten, Daten (keine Programmiersprache!) zu lesen sind sowie Informationsmuster logisch er- kannt werden können. Nachhaltigkeit denken: kein Hexenwerk. Zwar ist die Versuchung groß, sich dem zu entzie- hen, weil in immer kürzeren Intervallen neue Sicherheitssoftware auf den Markt kommt, dennoch gilt Besonnenheit und Prüfen von Bestehendem als das Maß der Dinge. Der ehemalige BSI-Chef Arne Schönbohm brachte es im Mai 2023 auf den Punkt. Er sei entsetzt, mit welchen Sicherheitslücken so manche Software auf den Markt komme. Ergo: Nicht alles Alte ist zwingend auch veraltet. n AUSGESPÄHT – CHANGE MANAGEMENT UND STRATEGIEN FÜR NACHHALTIGE CYBERSICHERHEIT Cyberattacken, hybride Gefahren. Menschliche Kompetenz vs. Künstliche Intelligenz. Auswirkungen von Cyber- psychologie. Fake News und Unsicher- heiten in einer fragilen geopolitischen Lage samt ihrer Auswirkungen auf In- dividuen. Welche Abwehrmaßnahmen für Cybersicherheit greifen nachhaltig? Wo liegt die definierte Verantwortung von Führungskräften? Reichen Begriffe wie „Awareness“ noch aus? In diesem Buch zeigen die Autoren Simon und Busche die Herausforderungen auf, die insbesondere von Entscheidern gemeis- tert werden müssen. VIVIAN SIMON ist ausgebildete Journalistin sowie studierte Change Managerin für den digitalen Wandel. Sie arbeitet als Autorin und Beraterin für Cybersi- cherheit mit dem Schwerpunkt „Förderung und Sensibilisierung von Veränderungskompetenzen bei Führungskräften“. Vivian Simon ist u. a. Mitglied im „Dialog für Cybersi- cherheit“ der BSI-Denkwerkstatt, bei den Cyberreservisten der Bundes- wehr Hamburg, im Verband der Reservisten der Bundeswehr Hamburg sowie im Netzwerk Digitalkompetenz der RE-Schulen AG Regenstauf. IT-SICHERHEIT_2/2024 39

SECURITY MANAGEMENT | GRUNDLAGEN Definition und Abgrenzung CYBERSICHERHEIT, IT-SICHERHEIT UND INFORMATIONSSICHERHEIT Was ist der Zusammenhang zwischen Cybersicherheit, IT-Sicherheit und Informati- onssicherheit? Wo fängt das eine an, wo hört das andere auf und warum ist es nicht dasselbe? Diesen Fragen geht unser Autor in unserem Grundlagenartikel nach. Sicherheit lässt sich aus zwei Per- spektiven betrachten: die der Verteidiger sowie der Angreifer. Die Verteidiger ergreifen Sicherheitsmaßnah- men, um sich vor Angriffen zu schützen und die Angreifer tun alles, um die Sicherheitsmaßnah- men zu überwinden. Derzeit besteht ein Ungleichgewicht, denn die professionellen Angreifer agieren momentan sehr erfolgreich. Das ist in erster Linie darauf zu- rückführen, dass Unternehmen allgemein noch unzureichend geschützt sind. Die aktuell genutz- ten Sicherheitsmechanismen auf den verschie- denen Ebenen sind durchweg insgesamt weder wirkungsvoll noch vollständig genug, um einen angemessenen und umfänglichen Schutz zu bie- 40 IT-SICHERHEIT_2/2024 ten. Hier muss sich etwas ändern, denn erfolg- reich durchgeführte Angriffe verursachen Schä- den, die Unternehmen existenziell gefährden. Die Sicherheitslage verschlechtert sich von Jahr zu Jahr, wodurch das Schadensrisiko für alle Un- ternehmen und Organisationen steigt. Obwohl ständig neue Sicherheitstechnologien entwi- ckelt werden, ist es bisher nicht gelungen, dieser negativen Tendenz entgegenzuwirken. Das Fazit kann daher nur lauten, dass sich im Bereich der Sicherheit grundlegend etwas ändern muss, um diesen Verlauf zu stoppen und die digitale Zu- kunft realisieren zu können. Die Frage ist nun, welche Vorgehensweise hilft, die Sicherheitslage zu verbessern? Die Darstellung des Zusammenhanges zwischen Cybersicherheit, Informationssicherheit und IT-Sicherheit verdeutlicht die unterschiedlichen Sichtweisen und Gemeinsamkeiten. IT-Sicher- heit ist ein zentrales Element der Sicherheit, muss aber um definierte Aspekte in Richtung Cybersicherheit und Informationssicherheit er- weitert werden. DEFINITION: IT-SICHERHEIT Mithilfe der IT-Sicherheit sollen vorhandene Risiken, die durch Bedrohungen auf IT-Systeme wirken, auf ein angemessenes Maß reduziert werden. IT-Sicherheit befasst sich daher mit IT-Sicherheitsmaßnahmen, die Daten, Informa- tionen und Wissen auf IT-Systemen vor dem m o c . e b o d a k c o t s - l . e s n a h o t o f ; . m o c . e b o d a k c o t s - H T _ r A : d l i B

SECURITY MANAGEMENT | GRUNDLAGEN Abbildung 1: Zusammenhang Cybersicherheit, Informationssicherheit und IT-Sicherheit (Bild: if(is)) Verlust von Vertraulichkeit, Authentifikation, Authentizität, Integrität, Verbindlichkeit, Verfüg- barkeit und Anonymisierung/Pseudonymisie- rung schützen. Diese Aspekte werden auch als IT-Sicherheitsziele oder IT-Sicherheitsbedürf- nisse und somit Grundwerte der IT-Sicherheit verstanden. IT-Sicherheit beinhaltet zudem die Aspekte der Softwaresicherheit und Zuverlässigkeit von IT- Systemen. IT-Sicherheit schützt IT-Systeme, um Schäden für Unternehmen, Behörden, Organisa- tionen und Personen zu vermeiden. DEFINITION: CYBERSICHERHEIT Cybersicherheit befasst sich mit allen Aspekten der IT-Sicherheit, wobei das Aktionsfeld auf den gesamten Cyberraum ausgeweitet wird. Mithilfe der Cybersicherheit sollen vorhandene Risiken, die durch Bedrohungen auf den Cyberraum wirken, auf ein angemessenes Maß reduziert werden. Der Begriff Cyberraum umfasst in dieser De- finition sämtliche mit dem globalen Internet verbundene IT-Systeme und IT-Infrastrukturen sowie deren Kommunikation, Anwendungen, Prozesse mit Daten, Informationen, Wissen und Intelligenzen. Aber auch kriminelle Organisati- onen und weitere Angreifer gehören mit ihren immer intelligenteren Angriffsmethoden zum Cyberraum. Da der Cyberraum ein komplexes System mit vielen Abhängigkeiten und Akteu- Abbildung 2: Definition IT-Sicherheit (Bild: if(is)) IT-SICHERHEIT_2/2024 41 ren ist, der nicht vollständig kontrolliert werden kann, sind die Herausforderungen für einen robusten, sicheren und vertrauenswürdigen Be-trieb sehr groß. Mit der zunehmenden Digitalisierung wird im Cyberraum auch die strikte Trennung zwischen Arbeit und Freizeit aufgelöst. Cyberangriffe im Cyberraum können die Unternehmen und Bür-ger treffen, aber auch zu erheblichen Beein-trächtigungen der gesellschaftlichen Lebens-grundlagen führen. Themen sind zum Beispiel Fake News, Deepfakes, Echokammern, mit de-nen Gesellschaften beispielsweise über Wahlen manipuliert werden können.Aus diesem Grund spielt bei der Cybersicherheit die übergreifende Sichtweise auf den Cyberraum eine wichtige Rolle. IT-Sicherheit ist Teil der Cy-bersicherheit. Zur Cybersicherheit gehören folgende Aspekte: IT-Infrastrukturen: wie zum Beispiel alle Autonome Systeme – selbstständige Netze (ca. 70.000), DNS-Infrastruktur, Webdienste, IP-Telefonie, Konferenzsysteme und soziale Medien Kommunikation: wie zum Beispiel IP, TCP, UDP, ICMP, QUIC, HTTP, SMTP, DNS, OSPF, BGP, IPSec und TLS/SSL Intelligenzen: künstliche Intelligenz und ma-schinelles Lernen und deren Anwendungen wie Assistenzsysteme, autonomes Fahren oder intelligente Angriffserkennungssysteme Angriffsmethoden: wie zum Beispiel Mal ware-Infiltrationen über manipulierte Webseiten und schadhafte E-Mail-Anhänge mithilfe von Phishing- und Social-Engineering-Angriffen sowie die daraus resultierenden Schadfunk-tionen der Malware. Dazu gehören beispiels-weise Ransomware, Keylogger, Click-Fraud, Spam-Malware, DDoS-Malware, Staatstroja-ner, Adware, trojanische Pferde und Spyware sowie Man-in-the-Middle-Angriffe, Angriffe mithilfe eines Software-Updates (Supply-Chain-Angriff), Angriffe auf die Verfügbarkeit von IT-Systemen (DDoS-Angriff) und Advanced Persistent Threats (APT).DEFINITION: INFORMATIONSSICHERHEITDer Begriff Informationssicherheit befasst sich mit allen Aspekten der IT-Sicherheit, wird aber auf analoge und synaptische Informationen ausgeweitet. Informationssicherheit hat das Ziel, Informationen während der Verarbeitung, Speicherung/Lagerung und Übertragung zu

SECURITY MANAGEMENT | GRUNDLAGEN wendungen zu identifizieren und beheben, um die Angriffsfläche zu minimieren und da- durch ein angemessenes Sicherheitsniveau zu gewährleisten die Kontrolle von IT-Risiken realisieren Die Norm umfasst verschiedene Anforderun- gen, darunter die Erstellung und Umsetzung von Informationssicherheitsrichtlinien und -prozessen, die Durchführung von Risikobe- wertungen und -management, die Einführung von Sicherheitskontrollen und -maßnahmen sowie das regelmäßige Monitoring und die Überwachung des ISMS. Unternehmen, die die Anforderungen der Norm erfüllen, können sich von unabhängigen Zer- tifizierungsstellen auditieren lassen und eine Zertifizierung gemäß ISO 27001 erhalten. Dabei werden die von dem Unternehmen erstellten Referenzdokumente gesichtet, eine Prüfung vor Ort durchgeführt und ein Auditbericht erstellt. Mit einer Zertifizierung kann die Wirksamkeit eines ISMS glaubwürdig nachgewiesen werden. Das kann das Vertrauen von Kunden, Partnern und anderen Interessengruppen stärken und auch bei der Einhaltung von Datenschutz– und Compliance-Vorschriften helfen. IT-GRUNDSCHUTZ Der IT-Grundschutz ist ein Konzept zur Absiche- rung von IT-Systemen und -Infrastrukturen ge- gen vorhandenen Risiken. Das IT-Grundschutz- Kompendium wurde vom BSI entwickelt und ist in drei Bereiche aufgeteilt: 1. Die Basisabsicherung setzt die Mindestanfor- derungen durch den Einsatz von Firewall-Sys- temen und Zutrittskontrollen um. Sie richtet sich vor allem an kleine und mittelständische Unternehmen. Ein solches ISMS kann in Unternehmen jeder Größe und Branche implementiert werden und ist darauf ausgerichtet, die IT-Sicherheit zu ge- währleisten. Aspekte der IT-Sicherheit sind zum Beispiel: Verfügbarkeit der IT-Systeme und -Prozesse gewährleisten Sicherstellung der Vertraulichkeit der Informa- tionen wie personenbezogenen Daten, geisti- gem Eigentum oder Betriebsgeheimnissen IT-Risiken, mögliche Schäden und Folgekosten für das Unternehmen minimieren die Steigerung des Vertrauens gegenüber Partnern, Kunden und Öffentlichkeit erzielen die Sicherstellung der Compliance-Anforde- rungen garantieren mithilfe eines Schwachstellenmanagements Sicherheitslücken in IT-Systemen und An- Abbildung 4: Definition Informationssicherheit (Bild: if(is)) Abbildung 3: Definition Cybersicherheit (Bild: if(is)) schützen. Die zu schützenden Informationen sind analog auf Papier (in Ordnern, Papierarchi- ven …), digital auf IT-Systemen oder auch in den Köpfen der Menschen gespeichert. IT-Sicherheit ist Teil der Informationssicherheit. Informationssicherheit schützt analoge, digitale und synaptische Informationen. Damit werden Schäden für Unternehmen, Behörden, Organi- sationen und Personen vermieden und Risiken minimiert. In der Praxis orientiert sich die Informations- sicherheit im Rahmen des Informationssi- cherheitsmanagementsystems (ISMS) unter anderem an der ISO 27001 oder an IT-Grund- schutz-Standards des Bundesamtes für Sicher- heit in der Informationstechnik (BSI). ISO 27001 ISO 27001 ist eine international anerkannte Norm, die von der International Organizati- on for Standardization (ISO) herausgegeben wurde. Sie legt die Anforderungen für ein Informationssicherheitsmanagementsystem (ISMS) fest, das die Vertraulichkeit, Integrität und Verfügbarkeit von Informationen innerhalb eines Unternehmens gewährleisten soll. Das Ziel der Norm ist es, Unternehmen dabei zu helfen, Informationssicherheitsrisiken effektiv zu identifizieren, zu bewerten und zu behan- deln. Die Norm ISO 27001 basiert auf einem ri- sikobasierten Ansatz, bei dem das ISMS auf der Identifikation von Risiken, der Bewertung der Cybersicherheitsgefahren und Schwachstellen sowie der Implementierung von Kontrollen zur Risikominderung und -vermeidung basiert. 42 IT-SICHERHEIT_2/2024

SECURITY MANAGEMENT | GRUNDLAGEN 2. Die Kernabsicherung dient dem Schutz von unternehmenskritischen Daten, wie zum Beispiel Produktions-, Kunden- oder Finanz- daten. Diese ist geeignet für Unternehmen, die noch kein ganzheitliches Informations- sicherheitsmanagementsystem integriert haben. Das IT-Grundschutzverfahren ist ein iterativer Prozess, der regelmäßig durchlaufen werden sollte, um sicherzustellen, dass die IT-Sicherheit in der Organisation kontinuierlich verbessert wird. Es ist ein bewährtes Verfahren, das Orga- nisationen jeder Größe und Branche bei der Ver- besserung ihrer Cybersicherheit unterstützt. 3. Darüber hinaus gibt es die Standardabsiche- rung, die auf ein höheres Sicherheitsniveau durch eine Absicherung der gesamten Sicher- heitsarchitektur abzielt. Im Allgemeinen setzt sich IT-Grundschutz aus den Folgenden Schritten zusammen: 1. Schutzziele bestimmen: In diesem Schritt werden die Schutzziele definiert, die für die Organisation wichtig sind. Hierzu zählen bei- spielsweise die Vertraulichkeit, Integrität und Verfügbarkeit von Daten und Informationen. 2. Assets und Bedrohungen identifizieren: Es werden die Assets (Werte) identifiziert, die in der Organisation geschützt werden müssen, sowie die Bedrohungen, denen sie ausgesetzt sind. Hierzu gehören beispielsweise Daten, Systeme, Netzwerke und Anwendungen so- wie Bedrohungen wie Hackerangriffe oder menschliches Fehlverhalten. 3. Risikoanalyse durchführen: In diesem Schritt werden die identifizierten Assets und Bedrohungen bewertet und das daraus resul- tierende Risiko für die Organisation ermittelt. Hierbei werden auch die Auswirkungen eines erfolgreichen Angriffs auf die Organisation berücksichtigt. 4. IT-Sicherheitsmaßnahmen zur Risiko- minimierung entwickeln: Auf Basis der Er- gebnisse der Risikoanalyse werden geeignete Cyber-Sicherheitsmaßnahmen zur Risikom- inimierung entwickelt. Hierbei kann es sich beispielsweise um technische IT-Sicherheits- maßnahmen wie Firewalls oder Verschlüsse- lung sowie organisatorische Maßnahmen wie Schulungen für Mitarbeiter oder Regelungen für den Umgang mit Daten handeln. 5. Maßnahmen implementieren und über- prüfen: Die entwickelten IT-Sicherheitsmaß- nahmen werden umgesetzt und regelmä- ßig überprüft, um sicherzustellen, dass sie weiterhin wirksam sind und den Schutz der Assets gewährleisten. Der IT-Grundschutz des BSI ist ein Standard zur Informationssicherheit, welcher sich besonders in Unternehmen, die zur kritischen Infrastruk- tur gehören, sowie bei öffentlichen Stellen etabliert hat. INFORMATIONSSICHER- HEITSMANAGEMENT- SYSTEM (ISMS) Ein ISMS ist ein strukturierter Ansatz zur Ver- waltung der Informationssicherheit in einer Organisation. Es besteht aus einer Reihe von Prozessen, Sicherheitsrichtlinien, Verfahren und Kontrollen, die dazu dienen, die Vertraulichkeit, Integrität und Verfügbarkeit von Informationen zu gewährleisten. Ein ISMS basiert oft auf dem internationalen Standard ISO 27001, der die An- forderungen für ein Informationssicherheitsma- nagementsystem festlegt. Auch im IT-Grund- schutz steht das ISMS im Fokus. Die Implementierung umfasst mehrere Schritte: Kontextfestlegung: Die Organisation identi- fiziert den Anwendungsbereich des ISMS und legt die Ziele und Richtlinien fest. Risikobewertung: Eine systematische Be- wertung der Informationssicherheitsrisiken wird durchgeführt, um Cybersicherheitsge- fahren und Schwachstellen zu identifizieren. Risikobehandlung: Basierend auf den Ergeb- nissen der Risikobewertung werden geeigne- te Cybersicherheitsmaßnahmen ergriffen, um die Risiken zu reduzieren oder zu eliminieren. Implementierung der Kontrollen: Es wer- den IT-Sicherheitskontrollen und -maßnah- men implementiert, um die festgelegten Ziele zu erreichen. Dies umfasst technische, organi- satorische und physische IT-Sicherheitsmaß- nahmen. Überwachung und Überprüfung: Die Wirk- samkeit der implementierten Kontrollen wird regelmäßig überwacht und überprüft, um Abbildung 5: Informationssicherheitsmanage- mentsystem (Bild: if(is)) sicherzustellen, dass sie angemessen funkti- onieren. Kontinuierliche Verbesserung: Das ISMS wird kontinuierlich verbessert, indem Schwach- stellen identifiziert, IT-Sicherheitsvorfälle analysiert und Maßnahmen zur Verhinderung zukünftiger Vorfälle ergriffen werden. ZUSAMMENFASSUNG Das Thema Sicherheit ist ein komplexes und vielfältiges Thema. Anhand der Definition von IT-Sicherheit, Cybersicherheit und Informati- onssicherheit lassen sich die verschiedenen Perspektiven aufzeigen, die eingenommen wer- den können. Mithilfe etablierter Standards wie der ISO 27001 und dem IT-Grundschutz können Unternehmen und Organisationen ein ISMS auf- bauen, das Sicherheit strukturiert und damit so vollständig wie nur möglich umsetzt. n NORBERT POHLMANN ist Professor für Cybersicherheit und Leiter des Instituts für Internet-Sicher- heit – if(is) an der Westfälischen Hoch schule in Gelsenkirchen sowie Vorstandsvorsitzender des Bundesver- bands IT-Sicherheit – TeleTrusT und im Vorstand des Internetverbandes – eco. IT-SICHERHEIT_2/2024 43

SECURITY MANAGEMENT | SICHERE LIEFERKETTEN Ansätze und Abhängigkeiten WETTRÜSTEN FÜR EINE SICHERE SOFTWARE- SUPPLY-CHAIN Die IT ist im Laufe der Jahre ein zunehmend unsicheres oder jedenfalls bedrohtes Feld ge- worden, auf dem sich staatliche Akteure (gera- de der russische Angriffskrieg hat das wieder deutlich gemacht), kriminelle Banden und ver- spielte Amateure tummeln. Es findet ein regelrechtes Wettrüsten statt: Un- ternehmen und die öffentliche Hand werden immer routinierter im Umgang mit Risiken, von der Architektur über präventive Maßnahmen bis hin zur aktiven Verteidigung. Gleichzeitig werden Systeme verteilter zwischen diversen Clouds bis hin zu Edge-Anwendungen, sie werden kom- plexer und vor allem auch dynamischer. Und die Angriffe werden immer ausgeklügelter. Sowohl Angreifer als auch Verteidiger verwenden zuneh- mend intelligente und automatisierte Ansätze. DAS NEUE NORMAL Attacken sind mittlerweile kein gelegentliches Ereignis mehr, sondern die Regel. Sie finden am laufenden Band statt: Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat 44 IT-SICHERHEIT_2/2024 im Rahmen seiner Untersuchung zur Lage der IT-Sicherheit in Deutschland 2023 täglich rund 21.000 neu infizierte Systeme erkannt; die Dun- kelziffer liegt wohl weit höher. Die „2023 Supply Chain Risk Management Survey“ von Gartner stellt fest, dass „Angriffe auf die Software-Lie- ferkette auf dem Vormarsch sind”; 63 Prozent der Befragten gaben an, im vergangenen Jahr betroffen gewesen zu sein. Angriffe auf die IT-Infrastruktur haben durch staatliche Akteure eine neue Dimension erhal- ten, und nicht nur die Deutsche Bundeswehr hat mit ihrem Zentrum für Cybersicherheit auf- gerüstet, auch das Bundeskriminalamt schafft mit dem Nationalen Cyber-Abwehrzentrum (Cyber-AZ) eine Koordinierungsstelle, die im Krisenfall dazu beitragen soll, die Handlungsfä- higkeit der Bundesregierung zu erhalten. Die Frage ist nicht, ob eine Organisation einen Angriff auf ihre Software-Lieferketten erlebt, sondern wann, wie und wie oft. Die Europäi- sche Union hat diese Gefahr erkannt und mit der „Network and Information Security“-Richtlinie (NIS-2) und dem EU Cyber Resilience Act Grund- lagen für mehr IT-Sicherheit und den Schutz kri- tischer Infrastruktur geschaffen. Einer Studie des Digitalverbandes Bitkom nach ließen sich 46 Prozent der Angriffe auf betrof- fene Unternehmen übrigens nach Russland zurückverfolgen, 42 Prozent nach China. Zum Vergleich: Im Jahr 2021 lag die Zahl der Angriffe aus Russland noch bei der Hälfte, jene aus China bei 30 Prozent. DER SEITENEINGANG Während Angreifer auf immer ausgefeiltere Techniken und Werkzeuge zurückgreifen kön- nen und sich auch im Darknet vernetzen und Informationen austauschen, sind Anbieter und Anwender nicht untätig geblieben: Firewalls und Netzwerksegmentierung, Zwei-Faktor-Authen- tifizierung, Intrusion Detection und vieles mehr sind mittlerweile Standard. Anstelle einfach immer wieder gegen diese Bollwerke anzulaufen, wählen Angreifer wei- chere, vielversprechendere Angriffsvektoren: Menschen, über Social Engineering. Und einen . m o c . e b o d a k c o t s - y ﬂ r e t t u b n e e r g : d l i B Die Sicherheit der Software-Lieferkette ist für Unternehmen von entscheidender Bedeutung, um die Integrität, Vertraulichkeit und Verfügbarkeit ihrer Anwendun-gen und Dienste zu gewährleisten. Doch wie lässt sich die Supply Chain schützen? Unser Autor gibt einen Überblick über die Situation und zeigt Abhängigkeiten und Ansätze auf.

SECURITY MANAGEMENT | SICHERE LIEFERKETTEN definitionsgemäß mehr oder minder offenen Eintrittspunkt: Software-Supply-Chains. Über Supply-Chains gelingt ein Eindringen, ohne zunächst Aufmerksamkeit zu erwecken und üblicherweise gar auf Einladung hin. Sprich: Entwickler oder IT-Fachkräfte holen aktiv neue Komponenten oder Updates bestehender Pro- gramme und Bibliotheken in ihre Umgebungen, in das Herz der IT. Denn die Lieferketten haben sich im Lauf der Jahre massiv gewandelt. Wurde Software ursprünglich auf Datenträgern ausgeliefert, typischerweise read-only wie CDs und DVDs, verhältnismäßig selten neu installiert und noch seltener aktualisiert, erfolgt der Bezug heute elektronisch, und dank agiler Prozesse und einer stets wachsenden Zahl an bekannten Sicher- heitslücken werden Updates monatlich, wö- chentlich, ja oft auch täglich eingespielt – und das nicht bloß auf Mobiltelefonen, sondern eben zunehmend in Produktionsumgebungen. In unserer täglichen Welt außerhalb der IT finden Lieferketten zu guten Teilen auf Stra- ßen statt. Was wir mit Software-Lieferketten erleben, gleicht zunehmend Autobahnen, wo in hoher Frequenz und mehrspurig Pakete in Zentren verbracht werden, begleitet von einer Vielzahl zusätzlicher Einfallstraßen: Moderne Programmiersprachen – Go, Javascript, Python, Ruby, um nur einige zu nennen – bringen eigene Portale mit Unmengen an Modulen und anderen nützlichen Ergänzungen, aus denen Entwickler gern schöpfen. Zusätzlich nutzen viele GitHub, den Platzhirschen mit nach eigenen Angaben über 100 Millionen Entwicklern und mehr als 420 Millionen Repositories, darunter mindestens 28 Millionen öffentliche Repositories, als virtu- elle Fundgrube. Dazu kommen viele klassische Anwendungen von unabhängigen Softwareher- stellern (ISVs) und selbstständige Open-Source- Projekte. Insgesamt eine immense Vielfalt und Menge, die gern und oft konsumiert wird. So praktisch und sinnvoll die Nutzung all dieser Quellen ist, sie birgt Risiken, sich ein Problem ins Haus zu holen: Auch die besten Entwickler machen Fehler, und böswillige Hacker können diese entdecken und ausnutzen. Ein Entwickler mag unerfreuliche Absichten haben und kom- promittierenden Code einfügen. Ein anderer hat das Pech, dass sein Account geknackt wird und jemand unter seinem Namen schadhaften Code einfügt. Dazu kann bei mangelhafter Sicherheit auf dem Weg vom Entwickler zum Portal oder vom Portal zum Anwender etwas verändert werden, etwa durch eine sogenannte „Man-in- the-Middle“-Attacke. Und zuletzt begegnen wir immer wieder auch übel wollenden ehemaligen Mitarbeitern oder Dienstleistern mit Insider- wissen. WAS NUN? Ein wesentlicher Schritt ist es, den Menschen in den Mittelpunkt zu stellen, aufzuklären, gemein- sam Richtlinien zu erarbeiten, Praktiken zu etab- lieren und Policies zu setzen, aus welchen Quel- len Code bezogen werden darf, unter welchen Voraussetzungen und mit welchen Vorgehens- weisen. Dem klassischen „Trust but verify“ fol- gend mag das in kritischen Umgebungen bis hin zur Inspektion von Quellcode durch Spezialisten führen oder zumindest einem schnellen Durch- sehen und Testen in einer isolierten Umgebung. Natürlich will man auch auf bekannte Muster beziehungsweise bekannte Common Vulnerabi- lities and Exposures (CVEs) scannen, von denen es allein im Jahr 2023 29.065 Stück gab. Sicherheit und insbesondere die Suche nach be- kannten Schwachstellen ist ein kontinuierlicher Prozess und keine einmalige Aktion. Etwas, das gestern sicher schien, alle Tests mit Bravour be- standen hat und im Herz des Netzwerks imple- mentiert wurde, mag angesichts neuer Erkennt- nisse heute tiefrot aufscheinen – bei im Schnitt rund 80 neuen CVEs pro Tag, Tendenz steigend, durchaus keine Seltenheit. Es gilt also nicht nur gelegentlich oder gar bloß einmalig bei der Inbe- triebnahme zu überprüfen, sondern laufend: auf Entwicklungssystemen, in Registries (Bibliothe- ken), in Produktionsumgebungen und auch der Infrastruktur selbst. Erstrebenswert ist es, auch bei eigenen Ent- wicklern und gerade auch in Open Source Communities mehr Bewusstsein für Sicherheit zu schaffen und Coaching, Code-Reviews und entsprechende Werkzeuge zur Verfügung zu stellen. Ein weiterer Ansatz sind, zumindest im kom- merziellen Bereich, Zertifizierungen, die be- stätigen, dass Hersteller bei der Entwicklung, Wartung und Verteilung ihrer Software oder auch sogenannter Distributionen – die im Fall von Linux-Distributionen durchaus schon ein- mal zweitausend Komponenten und mehr bün- deln – bestimmten Prinzipien folgen und ein hohes Maß an Sorgfalt an den Tag legen. Dazu zählen die langfristige Aufbewahrung aller Arte- fakte, die beim Bauen dieser Software anfallen, detaillierte Code Reviews, Vieraugenprinzip, das Signieren der Software sowie aller Updates, kryptografisch gesicherte Lieferwege. Googles SLSA (Supply-Chain Levels for Software Artifacts, ausgesprochen „Salsa“) und eine Common- Criteria-Zertifizierung durch das BSI sind gute Beispiele. NOBODY IS PERFECT Letztlich müssen wir jedoch einer Wahrheit ins Auge schauen: Absolute Sicherheit existiert nicht. Wir können uns so gut wie möglich schützen und lernen, auf Unerwartetes und Unerwünschtes zu reagieren. Eine hundertprozentig sichere Supply- Chain ist illusorisch, außer vielleicht in extremen und sehr eingeschränkten Fällen. Wie gehen wir also mit diesem Fall der Fälle um, wenn doch einmal etwas durchrutscht? Wie können wir es hoffentlich, wenn auch spät, er- kennen? Wie können wir allzu großen Schaden verhindern? Und nur selektiv Maßnahmen er- greifen, ohne den gesamten Betrieb einzustel- len? Hier sind zum Beispiel Zero-Trust-Ansätze sehr vielversprechend und Notfallpläne (inklusi- ve Kommunikation), die auch geübt werden. n DR. GERALD PFEIFER lebt und arbeitet in Wien, Nürnberg und wo immer seine Rolle als CTO bei SUSE sowie Chair des openSU- SE Board und seine Leidenschaft für Yoga und Tauchen ihn hinführen. Er hat in technischen Wissenschaften promoviert und beschäftigt sich mit Infrastruktursoftware, Applikations- plattformen und Open Source, bevor dieser Begriff überhaupt geprägt wurde. IT-SICHERHEIT_2/2024 45

SECURITY MANAGEMENT | IDENTITY- UND ACCESS-MANAGEMENT Zutrittssteuerung und Besuchermanagement für die Sicherheit kritischer Infrastrukturen KEIN ZUTRITT FÜR UNBEFUGTE Kritische Infrastrukturen bilden das Rückgrat moderner Gesellschaften und umfassen Einrichtungen wie Energieversorgung, Wasserversorgung, Verkehrssysteme und Telekommunikation. Ihre Sicherheit ist von entscheidender Bedeutung, da Störungen oder Angriffe auf diese Systeme schwerwiegende Auswirkungen auf das öffentliche Leben und die Wirtschaft haben können. Kritische Infrastrukturen sind oft hochkomplex und stark vernetzt. Störungen in einem Bereich können sich schnell auf andere Bereiche aus- wirken, was die Identifizierung und Bewälti- gung von Sicherheitsrisiken erschwert. Mit der zunehmenden Digitalisierung sind kritische Infrastrukturen zudem verstärkt anfällig für Cy- berangriffe. Diese können zum Beispiel von Ha- ckern oder terroristischen Gruppen ausgehen und erhebliche Schäden verursachen. Neben Cyberbedrohungen sind kritische Infrastruk- turen auch physischen Risiken wie Sabotage, 46 IT-SICHERHEIT_2/2024 Terrorismus oder Naturkatastrophen ausge- setzt. Die Sicherung gegen diese Bedrohungen erfordert robuste physische Sicherheitsmaß- nahmen. Regierungen und Behörden erlassen immer strengere Vorschriften zur Sicherung kritischer Infrastrukturen. Die Einhaltung dieser Vorschriften kann insbesondere für Betreiber mit begrenzten Ressourcen eine zusätzliche Herausforderung darstellen. Neben einem effektiven Schutz vor Cyberan- griffen und physischen Bedrohungen erfordern kritische Infrastrukturen auch eine präzise Zu- trittssteuerung. Durch die Verwaltung und die Kontrolle des Zugangs zu sensiblen Bereichen wird unbefugten Personen der Zutritt verwehrt und die Sicherheit gewährleistet. Eine gründliche Analyse der Sicherheitsrisiken ist der erste Schritt zur Absicherung kritischer Infra- strukturen. Diese Analyse sollte sowohl Cyber- als auch physische Risiken berücksichtigen und die potenziellen Auswirkungen von Störungen oder Angriffen bewerten. Basierend auf den Er- gebnissen der Risikoanalyse müssen angemes- sene Schutzmaßnahmen implementiert werden. . m o c . e b o d a k c o t s - t r e i s i r o t k e v : d l i B

Dazu gehören technologische Lösungen wie Firewall-Systeme, Intrusion-Detection-Systeme (IDS) und physische Sicherheitsvorkehrungen wie Zäune und Überwachungskameras sowie eine effiziente Zutrittssteuerung. Die Zutrittssteuerung kann dabei zum Beispiel über biometrische Merkmale wie Fingerabdrü- cke, Iris-Scans oder Gesichtserkennung erfolgen. Mobile Zutrittslösungen ermöglichen es Benut- zern mit ihren mobilen Geräten wie Smart- phones auf bestimmte Bereiche zuzugreifen, indem sie virtuelle Schlüssel oder Zugangscodes verwenden. Sehr häufig werden auch RFID- Chips benutzt, da sie eine langlebige und kos- tengünstige Lösung darstellen. Die Überwachung kritischer Infrastrukturen in Echtzeit ist entscheidend, um frühzeitig poten- zielle Bedrohungen zu erkennen und darauf angemessen zu reagieren. Das erfordert den Einsatz von Überwachungssystemen und das Einrichten eines Security-Operations-Centers (SOC), das rund um die Uhr aktiv ist. BESUCHER MANAGEMENT: EIN INTEGRALER BE- STAND TEIL DER ZUTRITTS- STEUERUNG Ein Besuchermanagementsystem ist ein wich- tiger Bestandteil der Sicherheitsstrategie – und das nicht nur für kritische Infrastrukturen. Es ist deutlich mehr als nur die Verwaltung von Besu- chern – es ist ein essenzieller Bestandteil einer ganzheitlichen Zutrittssteuerung. Es reguliert und überwacht den Zugang von Besuchern, Lie- feranten und Gästen zu bestimmten Gebäuden oder Bereichen innerhalb dieser Gebäude. Durch die transparente Erfassung und Dokumentation sämtlicher Besucheraktivitäten ermöglicht ein Besuchermanagementsystem eine präzise Kon- trolle darüber, wer sich zu welcher Zeit an wel- chem Ort aufgehalten hat. Unautorisierter Zutritt zu sensiblen Bereichen wird so verhindert, und die Reaktion im Ernstfall erfolgt unverzüglich. Ein effektives Besuchermanagementsystem bietet eine Vielzahl von Funktionen und Vortei- len, die zur Sicherheit kritischer Infrastrukturen beitragen. Dazu gehören die Erfassung und die Verwaltung aller Besucherdaten, einschließ- lich Ein- und Ausgangszeiten sowie besuchter Bereiche. Zudem Alarmfunktionen, die es Sicher- heitspersonal ermöglichen, auf ungewöhnliche SECURITY MANAGEMENT | IDENTITY- UND ACCESS-MANAGEMENT KATHARINA VAN MEENEN-RÖHRIG ist CEO der GFOS Group. IT-SICHERHEIT_2/2024 47 Aktivitäten oder potenzielle Bedrohungen sofort zu reagieren. Die übersichtliche Dokumenta-tion aller Besucheraktivitäten zur Klärung von Haftungsfragen und zur Verhinderung unauto-risierten Zutritts zu beziehungsweise Zugriffs auf sensible Bereiche gehört ebenfalls dazu. Besuchermanagementsysteme können sowohl cloudbasiert als auch On-Premises betrieben werden, je nach den spezifischen Anforderungen und Präferenzen der Unternehmen.LÖSUNGEN IN DER CLOUDIn diesem Zusammenhang bieten cloudbasierte Lösungen eine gute Plattform für die Implemen-tierung eines effektiven Besuchermanagement-systems. Durch die Nutzung von Cloud-Techno-logien können Unternehmen von zahlreichen Vorteilen profitieren. So sind cloudbasierte Be-suchermanagementsysteme flexibel und skalier-bar, da sie je nach Bedarf schnell angepasst und erweitert werden können. Unternehmen kön-nen problemlos neue Standorte hinzufügen oder zusätzliche Funktionen implementieren, um sich verändernden Anforderungen gerecht zu werden. Solche Lösungen speichern und verwal-ten zentral alle Besucherdaten in der Cloud. Das ermöglicht einen einfachen Zugriff von jedem Ort aus und erleichtert die Zusammenarbeit und den Informationsaustausch zwischen verschie-denen Standorten oder Abteilungen. Zudem werden Cloud-Lösungen regelmäßig aktualisiert und gewartet, ohne dass dies die IT-Ressourcen der Unternehmen belastet. Der Anbieter sorgt für die Sicherheit und Integrität der Daten und gewährleistet gleichzeitig die Verfügbarkeit der neuesten Funktionen und Sicherheitspatches. Die cloudbasierte Bereitstellung von Besucher-managementsystemen kann zudem eine kos-teneffiziente Lösung sein, da keine Investitionen in hardware- oder softwareseitige Infrastruk-tur erforderlich sind. Unternehmen können ihre Ausgaben flexibel anpassen und nur für die tatsächlich genutzten Ressourcen bezahlen. Die Anbieter solcher Lösungen legen höchsten Wert auf die Sicherheit und den Datenschutz der in der Cloud gespeicherten Daten. In den meisten Fällen setzen sie moderne Sicherheitsmaßnah-men und -protokolle ein, um die Vertraulichkeit, Integrität und Verfügbarkeit der Daten zu ge-währleisten und die geltenden Datenschutzbe-stimmungen einzuhalten.Daher können cloudbasierte Besuchermanage-mentlösungen eine zuverlässige Möglichkeit bieten, kritische Infrastrukturen zu sichern und den Zugang zu sensiblen Bereichen zu kontrol-lieren. FAZITDie Sicherung kritischer Infrastrukturen ist eine komplexe und fortwährende Herausforderung, die eine ganzheitliche Herangehensweise erfor-dert. Durch eine gründliche Risikoanalyse, die Implementierung angemessener Schutzmaß-nahmen und kontinuierliche Überwachung kön-nen Unternehmen dazu beitragen, die Sicherheit ihrer Infrastruktureinrichtungen zu verbessern und die Auswirkungen von Störungen oder Angriffen zu minimieren. Die Integration von Besuchermanagementsystemen als Teil dieser Sicherheitsstrategie ist dabei entscheidend, um eine umfassende Kontrolle über den Zutritt zu kritischen Bereichen zu gewährleisten.Cloudbasierte Lösungen bieten zusätzliche Flexi-bilität und Skalierbarkeit, um die Anforderungen verschiedener Unternehmen zu erfüllen. Durch die Nutzung der Cloud-Infrastruktur können Unternehmen auf eine abgesicherte Plattform zugreifen, die eine nahtlose Verwaltung und Integration von Besuchermanagementsystemen ermöglicht. Darüber hinaus bieten cloudbasierte Lösungen oft verbesserte Zugänglichkeit, Be-nutzerfreundlichkeit und automatische Updates, die es Unternehmen erleichtern, ihre Sicher-heitspraktiken kontinuierlich zu verbessern und auf sich verändernde Bedrohungen zu reagie-ren. Somit spielen cloudbasierte Besucherma-nagementsysteme eine wichtige Rolle bei der Sicherung kritischer Infrastrukturen, indem sie effektive Zutrittskontrollen, transparente Besu-cherverwaltung und schnelle Reaktionsfähigkeit auf potenzielle Bedrohungen gewährleisten. n

AUS DER FORSCHUNG | ENDPOINT-SICHERHEIT „Modern Endpoint Security“ bezeichnet eine IT-Sicher heitstechnologie, die darauf abzielt, die Endpunkte eines Unternehmensnetzwerks so gut wie möglich abzusichern und resilienter zu machen. Um das zu gewährleisten, werden technische und organisa to rische IT-Maßnahmen ergriffen, die vor unberechtigtem Zugriff, potenzieller Schadsoftware oder Abfluss von Daten auf dem Endgerät schützen sollen. Der Beitrag zeigt, welche Gründe es gibt, moderne Endpoint-Security-Lösungen einzusetzen und wie diese prinzipiell aufgebaut sind. Heimnetzwerke in der Regel nicht so stark ge- sichert sind wie Firmennetzwerke. Gewöhnlich befinden sich in Heimnetzwerken alle IT-Geräte im selben Netzwerk. Da Smartphones rund um die Uhr mit dem In- ternet verbunden sind, sind sie ein beliebtes Ziel für Angriffe, die sich von dort aus auf andere IT-Geräte ausbreiten. Ein mögliches Sicherheits- risiko auf Smartphones sind kostenlose Apps, die teilweise so manipuliert sind, dass sie zu Daten- lecks führen können. Oft erhalten Apps mehr Be- rechtigungen als nötig und können so auf Daten des Smartphones zugreifen. Dadurch gelingt es Kriminellen, diese an bestimmte Remote-Server zu senden, um sie im Weiteren missbräuch- lich zu verwenden. Da Smartphones auch im Firmenkontext genutzt werden – etwa, um auf Ressourcen des Unternehmens zuzugreifen oder vertrauliche Unternehmensdaten zu speichern – stellt dies ein hohes Gefährdungspotenzial für Unternehmen dar. Es wird immer wichtiger, alle IT-Geräte ange- messen zu schützen, um eine Ausbreitung von Schadsoftware im eigenen Firmennetzwerk sowie den Abfluss von Daten und den Zugriff auf Endgeräte zu verhindern. Um sicherzustellen, dass Schadsoftware nicht in Firmennetzwerke IT-SICHERHEIT_2/2024 49 Eine moderne Endpoint-Security-Lösung bietet einen umfassen-deren Schutz als herkömmliche Methoden, wie zum Beispiel, dass alle Endge-räte wie PCs und Notebooks mittels einfacher Antivirensoftware gegen Angriffe geschützt werden. Solche Lösungen sorgen dafür, dass sich die Endgeräte nicht einzeln, sondern als zusammenhängendes IT-System oder als IT-Infrastruktur zentral verwalten lassen. Dadurch können IT-Sicherheitsspezialisten kurzfristiger und präziser auf Anomalien reagieren und so Angriffe schneller erkennen sowie Schäden be-grenzen. Der Einsatz von modernen Endpoint-Security-Lösungen ist daher eine Investition in die Zukunft der IT-Sicherheit. GRÜNDE FÜR MODERNE ENDPOINT SECURITY Die zunehmende Digitalisierung führt zu einer steigenden Anzahl von Endgeräten in Unter-nehmen. Ein Aspekt dabei ist die Bring-your-own-device-(BYOD)-Politik, die viele Firmen verfolgen. Allerdings stellt dies ein IT-Sicher-heitsrisiko dar, weil die meisten Mitarbeiter die-se Endgeräte auch privat nutzen. Dadurch kann Schadsoftware vielfältiger und schneller auf das Endgerät gelangen. Das liegt auch daran, dass Bild: svetazi - stock.adobe.com

AUS DER FORSCHUNG | ENDPOINT-SICHERHEIT Abbildung 1: Endpoint Security (Bild: if(is)) senden Schutz aller IT-Geräte eines Unterneh- mens zu gewährleisten. Diese Komponenten können in vier Kategorien unterteilt werden (siehe Abbildung 1): Kategorie: Prävention Diese Kategorie umfasst als erstes die Kompo- nente Anti-Malware-Software, die Malware erkennen soll, um die Ausführung der verschie- denen Schadfunktionen wie Ransomware, Keylogger, Spam, DDoS, Click-Fraud, Adware zu verhindern. Die Anti-Malware-Software nutzt neben der Signaturerkennung auch die Anomali- eerkennung, um neue, noch nicht bekannte An- griffe zu identifizieren. Außerdem gehören zur Kategorie Prävention die Komponenten Firewall sowie Webfilter und Anwendungsisolation. Firewalls befinden sich sowohl auf dem End- gerät wie auch in der zentralen Verwaltung der Endpoint-Security-Lösung. Die zentrale Firewall ist dafür zuständig, dass alle dezentralen Firewalls der Endgeräte korrekt eingestellt sind. Hierzu gehört, dass die möglichen Einfallstore, zum Beispiel Ports mit standardisierten Anwen- dungen mithilfe der Firewall möglichst gering- gehalten werden. Dazu werden auf jedem IT- Gerät nur die Ports nach außen geöffnet, die für das IT-Gerät benötigt werden, um die Angriffs- fläche so gering wie möglich zu halten. Da PCs und Notebooks nicht aus dem Internet erreich- bar sein müssen, sollten keine Ports auf diesen IT-Geräten nach außen freigegeben werden, da dies sonst zu IT-Sicherheitsrisiken führt. Ein Notebook zum Beispiel muss auch nicht auf alle möglichen Ports von Servern zugreifen können. Eine pragmatische Möglichkeit wäre, die Ports auf 80 und 443 für das Surfen im Internet und die Ports 465, 995 und 993 für das Senden und 50 IT-SICHERHEIT_2/2024 eindringen kann, müssen alle IT-Geräte, die sich mit dem Firmennetzwerk verbinden möchten, ausreichend mithilfe von modernen Endpoint-Security-Lösungen geschützt sein [1]. Ein zunehmend größeres IT-Sicherheitsrisiko ist, dass sich Unternehmen immer noch auf Peri-metersicherheit verlassen. Dabei handelt es sich um ein Paradigma aus den Anfangszeiten des Internets. Es soll hierbei dafür gesorgt werden, dass Fremde aus dem Internet nicht auf das Unternehmensnetzwerk zugreifen können. Da man bei der Perimetersicherheit jedoch davon ausgeht, dass das eigene Firmennetz sicher und vertrauenswürdig ist, werden für dieses keine ausreichenden IT-Sicherheitsmechanismen verwendet [2]. So kann ein Angreifer sich nach gelungener Überwindung des Perimeters frei im internen Unternehmensnetzwerk bewegen. Nicht zuletzt war das einer der Gründe für die erfolgreichen Ransomware-Angriffe der ver-gangenen Jahre.Damit die IT-Infrastruktur eines Unternehmens resilienter wird, müssen die Verantwortlichen da-für sorgen, dass die Endgeräte robuster werden, Angriffe möglichst schnell erkannt und struktu-relle Gegenmaßnahmen ergriffen werden. Wie Endpoint-Security-Lösungen dies erreichen und welche Komponenten hierfür verwendet wer-den, wird im nächsten Abschnitt beschrieben.KOMPONENTEN VON MODERNEN ENDPOINT-SECURITY-LÖSUNGEN„Modern Endpoint Security“-Lösungen beste-hen aus verschiedenen Kernkomponenten, die zusammenarbeiten müssen, um einen umfas-Empfangen von E-Mails zu beschränken [3]. Zu-sätzlich sollten noch die Ports, die die Unterneh-menssoftware benötigt, freigegeben werden. Webfilter blockieren den Zugriff zu schädlichen fremden Webseiten. Die Regeln, die der Webfil-ter für das Blockieren schädlicher Webseitenzu-griffe verwendet, stellt die zentrale Verwaltung der Endpoint-Security-Lösung bereit. Diese werden dann entsprechend auf die Endgeräte übertragen, sodass jedes IT-Gerät die festge-legten Regeln verwendet. Das führt dazu, dass Webseiten, die bösartige Aktivitäten durchfüh-ren, direkt auf allen Endgeräten des Unterneh-mens blockiert werden. Bei der Anwendungsisolation werden An-wendungen wie ein E-Mail-Agent oder Brow-ser – durch die Schadsoftware leichter auf das Endgerät gelangen könnten – von allen ande-ren Business-Anwendungen wie Office-Paket, Softwareumgebungen oder Design-Tools sepa-riert. Hierdurch kann die Schadsoftware nicht das gesamte IT-Gerät befallen. Das wird zum Beispiel durch die Containerisierung realisiert, die Anwendungen in unterschiedliche Name-spaces einteilt. Damit wird erreicht, dass An-wendungen nur noch mit Anwendungen des-selben Namespaces kommunizieren können. So ist sichergestellt, dass zum Beispiel beim Anklicken eines Links in einer E-Mail und dem damit verbundenen Herunterladen von Schad-software diese nur innerhalb des definierten Namespaces agieren kann und keinen negati-ven Einfluss auf den Rest des IT-Gerätes hat.Kategorie: ErkennungIn diese Kategorie fallen die Komponenten Ver-haltensanalyse, Threat Hunting und Sandboxing. Bei der Verhaltensanalyse geht es darum, dass die Endgeräte mit Sensoren ausgerüs-tet sind, die eine Vielzahl von sicherheitsrele-vanten Informationen sammeln. Die Sensoren überwachen zum Beispiel kontinuierlich die Speicherzugriffe, Logins, Registry-Inhalte und Netzwerkaktivitäten. Auf dieser Basis wird das Verhalten im Endgerät beobachtet und analy-siert, um festzustellen, ob ein Angriff oder ein ungewöhnliches Verhalten stattfindet. Falls ein Angriff oder eine verdächtige Aktion erkannt wird, ist die Endpoint-Security-Lösung in der Lage, autark ohne eine zentrale Verwaltung mithilfe von IT-Sicherheitsmaßnahmen – wie zum Beispiel der Firewall – zu interagieren, um Schäden zu vermeiden.

AUS DER FORSCHUNG | ENDPOINT-SICHERHEIT Abbildung 2: Endpoint Security – zentrale Verwaltung (Bild: if(is)) IT-SICHERHEIT_2/2024 51 Zusätzlich werden diese sicherheitsrelevanten Ereignisse oder die wichtigsten davon auch als Telemetriedaten an eine zentrale Verwaltung gesendet. Dort können sie mithilfe weiterer si-cherheitsrelevanter Informationen von anderen Endgeräten des Unternehmens, dritten Stellen wie dem Bundesamt für Sicherheit in der Infor-mationstechnik (BSI) oder anderen Kunden des Anbieters mithilfe künstlicher Intelligenz inten-siver analysiert werden. Die zentrale Analyse hat den Vorteil, dass auf der Basis einer globalen Sicht über alle IT-Geräte des Unternehmens mehr und präziser Angriffe erkannt und eine entsprechende Reak-tion über alle IT-Geräte wirkungsvoller umge-setzt werden kann. Beim Threat Hunting wird proaktiv auf den Endgeräten und im Netzwerk nach poten-ziellen Bedrohungen gesucht. Hierbei werden zum Beispiel mittels Anomalieerkennung untypische Verhaltensweisen aufgezeichnet. Die Mehrwerte von Threat Hunting sind, dass IT-Sicherheitsteams wertvolle Erkenntnisse wie neue Strategien von Angreifern erhalten, wodurch sie ausreichend gerüstet sind, um im großen Umfang Angreifer zu erkennen. Damit trägt Threat Hunting dazu bei, die Angriffsflä-che zu verringern und automatische Erken-nungsfunktionen zu verbessern. Beim Sandboxing wird eine isolierte, virtu-alisierte, sichere Umgebung, die ein IT-Gerät nachbildet, erstellt. In dieser Umgebung kön-nen Code und ausführbare Dateien auf die-selbe Weise ausgeführt werden wie auf dem realen IT-Gerät. Da die Sandbox vollständig von allen anderen IT-Geräten isoliert ist, kann verdächtige unbekannte Software ausgeführt werden, ohne Schaden anzurichten, und ein IT-Sicherheitsexperte kann untersuchen, was die verdächtige unbekannte Software macht. Anschließend kann er entscheiden, ob die Software auf die IT-Geräte gelangen darf oder nicht. Was in der Sandbox landet, kann von Komponenten wie der Anti-Malware-Software sowie dem IT-Sicherheitsspezialisten bestimmt werden. Kategorie: ReaktionZur Kategorie Reaktion gehören die automati-sche Reaktion mittels eines Intrusion-Preven-tion-Systems und eine manuelle Reaktion der IT-Sicherheitsexperten eines Security-Opera-tions-Centers (SOC). In Endpoint-Security-Lösungen gibt es zu-sätzlich zur Verhaltensanalyse ein (zentrales) Intrusion-Prevention-System, welches bei er-kannten Angriffen die notwendigen IT-Sicher-heitsmaßnahmen einleitet. Bei den auto-matischen Reaktionen gibt es verschiedene Möglichkeiten. Das erste Beispiel für eine sol-che automatische Reaktion ist das Isolieren von Endgeräten im Netzwerk. Das hat den Vorteil, dass das Endgerät, bevor es wieder im Netz-werk kommunizieren kann, komplett über-prüft werden kann, ohne Schaden anrichten zu können. So kann das Risiko eines erfolgreichen Angriffs auf das gesamte Netzwerk verringert werden. Ein weiterer Vorteil ist, dass vorhan-dene Schadsoftware auf dem Endgerät nicht mehr mit dem Angreifer kommunizieren kann. Je nachdem, wie schnell das untypische Ver-halten erkannt wird, kann die Schadsoftware somit keinen Schaden anrichten, da sie keine Befehle vom Angreifer erhalten kann. Eine weitere Möglichkeit der automatischen Reaktion ist das Ändern von Firewall-Regeln. Wird ein Angriff aus dem Internet erkannt, werden die Firewall-Regeln so angepasst, dass der Port, auf dem der Angriff erfolgt, sofort und automatisiert geschlossen wird. Hierdurch wird der Angriff beendet. Bei der manuellen Reaktion werden die An-griffe nicht von der Endpoint-Security-Lösung bearbeitet, sondern einem IT-Sicherheitsspe-zialisten in seinem Dashboard angezeigt (siehe Abbildung 2). Der IT-Sicherheitsspezialist muss sich dann die gemeldeten Angriffe ansehen und entsprechende IT-Maßnahmen ergreifen. Dieses manuelle Verfahren hat den Vorteil, dass hier-durch nur echte Angriffe gesperrt werden. Ein Beispiel für eine mögliche manuelle Reakti-on: Angenommen, ein IT-Gerät ist schon länger ins Netzwerk integriert und hat immer eine durchschnittliche Netzwerklast von 10 Mbit/s. Nun wird festgestellt, dass von diesem IT-Gerät gar keine Backups gemacht werden. Dann wer-den Backups für dieses IT-Gerät eingerichtet, die um drei Uhr Nachts erstellt werden. Dadurch steigt die Netzwerklast zu diesem Zeitpunkt auf 1 Gbit/s an. Aufgrund der Verhaltensanalyse ergreift die Endpoint-Security-Lösung Maßnah-men und isoliert automatisch das IT-Gerät. Da-durch wird aber das Backup unterbrochen. Ein IT-Sicherheitsspezialist kann aufgrund seines Hintergrundwissens aber entscheiden, ob die-ser Traffic legitim ist und keine automatischen Maßnahmen ergriffen werden müssen. Die ma-nuelle Reaktion bringt jedoch zwei Herausfor-derungen mit sich. So erfordern einige Angriffe

AUS DER FORSCHUNG | ENDPOINT-SICHERHEIT eine sofortige Reaktion. Ein Beispiel dafür ist eine Ransomware-Attacke. Hier muss schnell gehandelt werden, um den Schaden so gering wie möglich zu halten. Die zweite Herausforde- rung ist, dass der IT-Sicherheitsspezialist eine große Menge an Meldungen erhält. Diese zu priorisieren ist sehr aufwendig und erfordert viel Erfahrung. Kategorie: Management In diese Kategorie gehören das Patch-Manage- ment, Data-Loss-Prevention und das Mobile- Device-Management. Die zentrale Verwaltung ermöglicht es, alle Endgeräte eines Unternehmens von einer zen- tralen Stelle aus zu verwalten. Hierzu übermit- teln die Endgeräte Telemetriedaten an die zen- trale Verwaltung. Diese sicherheitsrelevanten Daten werden auch mittels künstlicher Intelli- genz analysiert. Aufgrund dieser Analyse werden wie schon beschrieben entweder automati- siert IT-Sicherheitsmaßnahmen ergriffen oder eine Meldung an den IT-Sicherheitsspezialisten gesendet, sodass dieser den Vorfall genauer (manuell) betrachten kann. Der Vorteil einer zen- tralen Verwaltung ist, dass ein Sicherheitsexper- te die gesamte IT-Infrastruktur überwachen und auf auffälliges Verhalten von Endgeräten reagie- ren kann. Außerdem kann er so auf Alarmierun- gen der Anti-Malware-Software oder der Ver- haltensanalyse reagieren und zentral auf allen IT-Geräten Einstellungen anpassen oder andere IT-Sicherheitsmaßnahmen ergreifen. Eine weitere Möglichkeit, die durch diese zen- trale Stelle realisiert werden kann, ist das Pat- chen von Endgeräten (Patch-Management). Hierbei wird das Endgerät in regelmäßigen Abständen über den auf dem Endgerät befind- lichen Agenten gescannt. Sollte ein Patch für eine in den Regeln festgelegte Anwendung ge- funden werden, wird die Anwendung im Hin- tergrund aktualisiert. Eine andere Möglichkeit ist, dass die Software auf dem Endgerät immer dann auf Aktualität überprüft wird, wenn es sich im Netzwerk und damit über den auf dem Endgerät installierten Agenten anmeldet. Das hat den Vorteil, dass IT-Geräte, die zum Beispiel nur ab und zu eingeschaltet werden, nicht erst bei der nächsten Prüfungsperiode geprüft wer- den, sondern direkt dann, wenn sie im Netz- werk verfügbar sind. Bei der Data-Loss-Prevention geht es um die Erkennung und das Verhindern von Daten- schutzverletzungen, Exfiltration oder uner- wünschte Zerstörung sensibler Daten. Exfiltra- tion ist eine unautorisierte Verschiebung von Daten. Um das zu verhindern, werden verschie- dene Aktivitäten unterbunden: Hochladen von Dateien in Cloud-Dienste, Kopieren von Daten oder Dateien in die Zwischenablage, auf USB- Sticks oder auf freigegebene Netzwerkordner werden blockiert. Außerdem wird der Zugriff auf nicht zugelassene Apps sowie das Drucken verhindert. Hierdurch kann gewährleistet wer- den, dass Daten nicht unbefugt das Unterneh- men verlassen können. Mobile-Device-Management (MDM) ist eine Software, um Mobilgeräte bereitzustel- len und gleichzeitig Unternehmenswerte wie zum Beispiel Firmendaten zu schützen. Neben der Verwaltung des IT-Gerätebestands schützt ein MDM auch die Anwendungen, Daten und Inhalte der IT-Geräte selbst. Wenn ein IT-Gerät beim Mobile-Device-Management angemeldet ist, erhält es rollenbasiert Zugriff auf Unterneh- mensdaten und E-Mails. Darüber hinaus kann je nach verwendeter Endpoint-Security-Lösung ein sicherer VPN-Gateway, GPS-Verfolgung, kennwortgeschützte Anwendungen, Löschen der Daten bei Verlust des IT-Gerätes sowie wei- tere Funktionen zur Optimierung der Datensi- cherheit integriert werden. FAZIT „Modern Endpoint Security“-Lösungen sind heute wichtiger denn je. Die zunehmende Digi- talisierung und Vernetzung von Unternehmen führt zu einer exponentiell steigenden Anzahl von potenziellen Angriffspunkten für Cyber- kriminelle. Die modernen Endpoint-Security- Lösungen bieten einen umfassenden Schutz für Endgeräte wie Notebook, Smartphones, Tablets und IoT-Geräte, die in Unternehmensnetzwer- ken verwendet werden. Es werden verschiede- ne IT-Sicherheitstechnologien zur Prävention, Erkennung, Reaktion und dem Management integriert, um einen umfangreichen Schutz zu gewährleisten. Durch die zentrale Verwaltung, oft aus professionellen Security-Operations- Centern heraus, kann die gesamte IT-Infrastruk- tur auf einen Blick überwacht werden, sodass schneller auf Angriffe reagiert werden kann, um größere Schäden abzuwenden. n SVEN SIEBE studiert im Master Internet-Sicherheit an der Westfälischen Hochschule Gelsenkirchen und beschäftigt sich im Rahmen des Studiums mit Endpoint Security. Literatur [1] C. Böttger, N. Pohlmann: „Sicheres und vertrauenswürdiges Arbeiten im Homeoffice – aktuelle Situation der Cybersicherheitslage“, IT-Sicherheit – Mittelstandsmagazin für Informationssicherheit und Datenschutz, DATAKONTEXT-Fachverlag, 2/2021 [2] N. Pohlmann: „Die Notwendigkeit von neuen IT-Sicherheitskonzepten", DuD Datenschutz und Datensicherheit – Recht und Sicherheit in Informationsverarbeitung und Kommunikation, Vieweg Verlag, 1/2024 [3] N. Pohlmann: „Cyber-Sicherheit – Das Lehrbuch für Konzepte, Mechanismen, Architekturen und Eigenschaften von Cyber- Sicherheitssystemen in der Digitalisierung“, Springer-Vieweg Verlag, Wiesbaden 2022 NORBERT POHLMANN ist Professor für Cybersicherheit und Leiter des Instituts für Internet-Sicher- heit – if(is) an der Westfälischen Hoch schule in Gelsenkirchen sowie Vorstandsvorsitzender des Bundesver- bands IT-Sicherheit – TeleTrusT und im Vorstand des Internetverbandes – eco. 52 IT-SICHERHEIT_2/2024

Mehr wissen mit + Sichern Sie sich Ihren Wissensvorsprung in der Informationssicherheit! ▪ Fachzeitschrift inkl. Specials 6x jährlich per Post und digital. ▪ Zugang zu aktuellen Online-Fachartikeln und Studien sowie zu dem kompletten Online-Archiv. ▪ Exklusiver Zugriff auf über zwanzig neue Online-Premium-Artikel pro Monat sowie auf aktuelle Videos und Webinaraufzeichnungen. ▪ 10 % Rabatt auf DATAKONTEXT- Online-Schulungen im Bereich Informations sicherheit. ▪ nur 199,— € im Jahr (inkl. Mwst. und Versand) Jetzt 30 Tage kostenfrei testen: www.kes-informationssicherheit.de

RECHT | DORA Steigerung der Cybersicherheit durch den Digital Operational Resilience Act (DORA) NEUE ÄRA DER DIGITALEN WIDERSTANDSFÄHIGKEIT FÜR FINANZUNTERNEHMEN M it der steigenden Komplexität und Häufig- keit von Cyberbedrohungen rückt die Not- wendigkeit von Regulierung im Bereich der Cybersicherheit immer stärker in den Fokus. Der DORA ist hierbei Teil des Digital Finance Packages, das am 24. September 2020 durch die Europäische Kommission verabschiedet wurde. Die Europäische Union will mit der neuen Verordnung den stetig wachsenden Cyberri- siken speziell in der Finanz- und Versicherungsbranche begegnen. Der DORA definiert für den Finanzsektor einheitliche Anforderungen an Risikomanagementsysteme und an die Sicherheit der von den verpflichteten Unternehmen genutzten Netzwerk- und Informationssysteme. Ne- ben der DORA führt der europäische Gesetzgeber mit der zweiten Network Information and Security Direc- tive (NIS-2-Richtlinie) zudem einen erweiterten Regu- lierungsrahmen für die Anforderungen an die Cyber- sicherheit von Einrichtungen und Unternehmen ein. NIS-2 umfasst dabei eine Vielzahl von Unternehmen und erweitert den Anwendungsbereich der bisher geltenden Regelungen zur kritischen Infrastruktur deutlich. Im Verhältnis von NIS-2-Richtlinie und DORA geht DORA als spezielleres Gesetz (lex specialis) den Regelungen der NIS-2-Richtlinie vor. Auf nationaler Ebene ergänzt der DORA das Kreditwesengesetz (KWG) sowie die auf dem KWG basierenden „Mindestanforderungen an das Risi- komanagement“ (MaRisk), die „Bankaufsichtlichen An- forderungen an die IT“ (BAIT) und die „Versicherungs- aufsichtlichen Anforderungen an die IT“ (VAIT). Durch die konkreteren Vorgaben der neuen Verordnung werden Ermessensspielräume für Finanzunternehmen im Ver- gleich zur vorherigen Situation erheblich reduziert. FÜR WEN GILT DER DORA? Nach Art. 2 Abs. 1 DORA fallen in den persönlichen An- wendungsbereich von DORA allgemein gesprochen alle Finanzunternehmen, insbesondere Kredit-, Zahlungs- und E-Geldinstitute, Anbieter von Krypto-Dienstleistun- gen, Wertpapierfirmen, Versicherungs- beziehungsweise Rückversicherungsunternehmen, Versicherungsmittler sowie Einrichtungen der betrieblichen Altersvorsorge. 54 54 IT-SICHERHEIT_2/2024 IT-SICHERHEIT_2/2024 Der Digital Operational Resilience Act (Verordnung (EU) 2022/2254 über die Betriebssta-bilität digitaler Systeme des Finanzsektors – im Folgenden „DORA”) hat den Schutz des Finanzsystems vor Cybersicherheits- und IKT-Risiken zum Ziel. Die im DORA festgelegten Pflichten treffen die in den Anwendungsbereich fallenden Unternehmen bereits ab dem 17. Januar 2025. Obwohl die betroffene Finanzbranche bereits jetzt schon streng regu-liert ist, lohnt sich eine möglichst frühzeitige Auseinandersetzung mit den durch DORA zusätzlich eingeführten Verpflichtungen.

RECHT | DORA Darüber hinaus bestimmt Art. 2 Abs. 1 lit. u DORA auch eine direkte Anwendbarkeit für sogenannte IKT-Dritt- dienstleister (kritische Dienstleister im Bereich der Informations- und Kommunikationstechnologie) und somit auch für solche Unternehmen, die selbst originär nicht zwingend der Finanzbranche zuzuordnen sind. Art. 3 Nr. 21 DORA definiert den Begriff der IKT-Dienst- leistungen als „digitale Dienste und Datendienste, die über IKT-Systeme einem oder mehreren internen oder externen Nutzern erbracht werden, einschließlich Diens- ten für die Bereitstellung, Eingabe, Speicherung und Verarbeitung von Daten und Berichterstattungsdiensten, Datenüberwachung sowie datenbasierter Dienste und Diensten für Entscheidungsunterstützung.“ Darunter gefasst werden können nach Erwägungsgrund 63 DORA etwa Anbieter von Software, Cloud-Computing-Diens- ten, Datenanalysedienstleister und Anbieter von Re- chenzentrumsdienstleistungen. Auch diese werden sich also mit den auf sie anwendbaren Informationssicher- heitsvorgaben auseinandersetzen müssen. Auch die Anbieter von IKT-Diensten im Sinne von Art. 3 Nr. 21 DORA sind unter Umständen originär durch die Vorschriften der NIS-2-Richtlinie als Anbieter digitaler Infrastruktur nach Nr. 8 des Anhangs I getroffen. Hier ist allerdings, wie bereits vorstehend beschrieben, zu beachten, dass die Vorschriften des DORA den Vorga- ben der NIS-2-Richtlinie als lex specialis vorgehen. Die jeweils anwendbaren Vorschriften stellen hierbei ein gesetzliches Mindestmaß dar, das so auch in der Ausge- staltung vertraglicher Beziehungen zwingend berück- sichtigt werden muss. Darüber hinausgehende Maßnah- men und Verpflichtungen in der Beziehung zwischen Finanzunter nehmen und IKT-Drittdienstleistern sind selbstverständlich jederzeit zulässig. REGELUNGSINHALT Im Zentrum der Verpflichtungen des DORA stehen die Vorschriften über das IKT-Risikomanagement. Die Europäischen Aufsichtsbehörden, die Europäische Wertpapier- und Marktaufsichtsbehörde (ESMA), die Eu- ropäische Bankenaufsichtsbehörde (EBA) sowie die Eu- ropäische Aufsichtsbehörde für das Versicherungswesen und die betriebliche Altersversorgung (EIOPA), zusam- men auch als ESAs bezeichnet, sind damit beauftragt, zur weiteren Definition der geforderten Standards neben Leitlinien technische Regulierungs- und Implementie- rungsstandards (RTS bzw. ITS) zu verabschieden. Erste finale Entwürfe von RTS und ITS sind am 17. Januar 2024 veröffentlicht worden. Das zweite Set finaler Entwürfe wird voraussichtlich am 17. Juli 2024 veröffentlicht. Pflichten im IKT-Risikomanagement Nach Art. 5 Abs. 1 DORA müssen Finanzunternehmen zunächst über einen internen Governance- und Kon- troll rahmen verfügen, der ein wirksames und umsich- tiges Management von IKT-Risiken gewährleistet. Der DORA legt hierbei dem Leitungsorgan des Finanzunter- nehmens selbst die Pflicht auf, das IKT-Risikomanage- ment zu definieren, zu genehmigen, zu überwachen und zu verantworten. Auch werden die Leitungsorgane dazu verpflichtet, ihre Kenntnisse und Fähigkeiten im Hin- blick auf die zu managenden IKT-Risiken stets auf dem neuesten Stand zu halten – beispielsweise durch speziel- le und regelmäßig stattfindende Schulungen. Art. 6 Abs. 1 DORA sieht vor, dass das IKT-Risikoma- nagement in einen Risikomanagementrahmen eingebet- tet werden muss, der einmal jährlich beziehungsweise bei Kleinstunternehmen „regelmäßig“ dokumentiert und überprüft werden muss. Der IKT-Risikomanagementrah- men muss mindestens Strategien, Leit- und Richtlinien, Verfahren sowie IKT-Protokolle und -Tools umfassen, die zum Schutz aller Informations- und IKT-Assets erforder- lich sind. Eine weitere Harmonisierung der durch den IKT-Risikomanagementrahmen zu erfüllenden Stan- dards erfolgt durch den RTS zum IKT-Risikomanage- mentrahmen und zum vereinfachten IKT-Risikomanage- mentrahmen. Den ersten finalen Entwurf dieses RTS haben die ESAs am 17. Januar 2024 veröffentlicht. Der Risikomanagementrahmen muss neben den Anfor- derungen an das IKT-Risikomanagement aus Art. 5-15 DORA auch Maßnahmen zum Testen digitaler Resilienz gem. Art. 24-27 DORA sowie das Management des IKT- Drittparteirisikos gem. Art. 28 DORA umfassen. Überwachungs- und Dokumentationspflichten von IKT-bezogenen Vorfällen Art. 17 Abs. 1 DORA verpflichtet Finanzunternehmen zur Bestimmung eines Prozesses für die Behandlung IKT-bezogener Vorfälle, durch den die Erkennung, Be- handlung und Meldung solcher Vorfälle ermöglicht wird. Als IKT-bezogenen Vorfall definiert Art. 3 Nr. 8 DORA ein „von dem Finanzunternehmen nicht geplantes Ereignis bzw. eine entsprechende Reihe verbundener Ereignisse, das bzw. die die Sicherheit der Netzwerk- und Informa- tionssysteme beeinträchtigt und nachteilige Auswirkun- gen auf die Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit von Daten oder auf die vom Finanzunter- nehmen erbrachten Dienstleistungen hat.“ Basierend auf der nach Art. 18 DORA erfolgenden Klassi- fizierung von IKT-bezogenen Vorfällen ergibt sich unter Umständen eine Meldepflicht gegenüber der Bundes- anstalt für Finanzdienstleistungsaufsicht (BaFin) als zuständiger Aufsichtsbehörde. Eine Meldepflicht besteht nach Art. 19 DORA bei sogenannten schwerwiegenden Vorfällen, also solchen Vorfällen, die gem. Art. 3 Nr. 10 „umfassende nachteilige Auswirkungen auf die Netz- werk- und Informationssysteme [haben], die kritische IT-SICHERHEIT_2/2024 IT-SICHERHEIT_2/2024 55 55

RECHT | DORA oder wichtige Funktionen des Finanzunternehmens unterstützen“. Hat ein entsprechender Vorfall Auswir- kungen auf die finanziellen Interessen der Kunden, muss das betroffene Finanzunternehmen diese unverzüglich sowohl über den Vorfall als auch über die Maßnahmen unterrichten, die zur Minderung der nachteiligen Aus- wirkungen eines solchen Vorfalls getroffen wurden. Die ESAs sollen gemeinsam mit der Europäischen Zentral- bank (EZB) und der Agentur der Europäischen Union für Cybersicherheit (ENISA) Kriterien für die Meldepflich- tigkeit von IKT-bezogenen Vorfällen aufstellen. Die Meldung einer Cyberbedrohung ist nach Art. 19 Abs. 2 DORA freiwillig. Sie wird in Art. 2 Nr. 8 des Rechtsakts zur Cybersicherheit (VO (EU) 2019/881) definiert als mögli- cher Umstand, Ereignis oder Handlung, welche Netz- und Informationssysteme, die Nutzer dieser Systeme und an- dere Personen schädigen, stören oder anderweitig beein- trächtigen könnte. Die BaFin hat angekündigt, hierfür ei- nen entsprechenden Meldeweg zur Verfügung zu stellen. Test der operationalen Resilienz DORA sieht als integralen Bestandteil eines IKT-Risiko- managementrahmens ein Programm zum Testen der ei- genen operationalen Resilienz vor. Finanzunternehmen müssen hierbei abhängig von ihrer Größe sowie ihrem Geschäfts- und Risikoprofil Maßnahmen treffen. Diese können etwa in der Analyse von Schwachstellen, Über- prüfungen der physischen Sicherheit oder auch Penetra- tionstests bestehen. Finanzunternehmen müssen diese Tests mindestens einmal jährlich durchführen, sofern die betroffenen IKT-Systeme und -Anwendungen kritische oder wichtige Funktionen unterstützen; Kleinstunter- nehmen sind von dieser Pflicht ausgenommen. Größere Finanzunternehmen sind gem. Art. 26 Abs. 1 DORA zudem verpflichtet, alle drei Jahre bedrohungs- orientierte Penetrationstests (Threat-Led Penetration Testing) durchzuführen. Die zuständige Behörde kann das Finanzunternehmen zudem zur Verringerung oder Erhöhung der Häufigkeit der Tests der operationalen Re- silienz verpflichten. Überwachung von kritischen IKT-Drittdienstleistern Besondere Pflichten entstehen zudem in Bezug auf den Einsatz von sogenannten kritischen IKT-Drittdienstleis- tern. Um potenziellen System- und Konzentrationsri- siken, die aus der Abhängigkeit des Finanzsektors von einigen wenigen IKT-Drittdienstleistern erwachsen, ent- gegenzuwirken, soll DORA einen EU-Überwachungsrah- men für kritische IKT-Dienstleister schaffen. Wer genau als kritischer IKT-Drittdienstleister gilt, wird von den ESA festgelegt. Die Kommission hat hierzu gem. Art. 31 Abs. 6 DORA am 22. Februar 2024 einen delegierten Rechtsakt erlassen, der die Kriterien für die Einstufung von IKT-Dienstleistern als „kritisch“ präzisiert. 56 IT-SICHERHEIT_2/2024 m o e.c b o d k.a c er - sto H. Bra u

Die Art. 28 ff. DORA sehen spezifische Anforderungen an das Risikomanagement für kritische IKT-Drittdienstleis- ter innerhalb des IKT-Risikomanagementrahmens nach Art. 6 Abs. 1 DORA vor. Art. 30 DORA bestimmt zudem Mindestinhalte für Vereinbarungen zwischen Finanzun- ternehmen und kritischen IKT-Drittdienstleistern. Eine Liste der kritischen IKT-Drittdienstleister soll durch die Europäischen Aufsichtsbehörden einmal jähr- lich veröffentlicht werden. Die Dienstleister selbst müs- sen Informationen und Unterlagen bereitstellen und Untersuchungen und Inspektionen durch die zuständi- gen Behörden dulden. FÜR WEN GELTEN WELCHE PFLICHTEN? Die Verordnung differenziert hinsichtlich des von ihr vorgesehenen Pflichtenkatalogs in zweierlei Hinsicht: zum einen anhand der Größe des in Frage stehenden Unternehmens, zum anderen anhand der dem Unter- nehmen drohenden Risiken. Hierdurch wird dem in Art. 4 DORA niedergeschriebenen Proportionalitätsprin- zip Rechnung getragen. Für Kleinstunternehmen mit weniger als zehn Be- schäftigten sowie kumulativ einem Jahresumsatz/einer Bilanz summe von unter zehn Millionen Euro gibt es zahlreiche Ausnahmen vom Pflichtenkatalog. Zudem gelten auch für kleine und mittlere Unternehmen Aus- nahmen von den Vorschriften der Verordnung. WAS PASSIERT BEI NICHTUMSET- ZUNG ODER EINEM VERSTOß? Art. 46 DORA bestimmt die behördliche Zuständigkeit für das jeweils betroffene Finanzunternehmen. Zustän- dige Behörde in Deutschland ist in der Regel die BaFin beziehungsweise für bedeutende Kreditinstitute die EZB. Die den zuständigen Behörden zugewiesenen Befugnisse zur Erfüllung ihrer Aufgaben umfassen Aufsichts-, Unter- suchungs- und Sanktionsbefugnisse. Anders als etwa in der NIS-2-Richtlinie oder auch in der Datenschutzgrundverordnung (DSGVO) enthält DORA keinen eigenen Bußgeldkatalog. Allerdings drohen im Fall der Nichtumsetzung von durch DORA bestimmten Verpflichtungen täglich zu zahlende Zwangsgelder in Höhe von einem Prozent des durchschnittlichen welt- weiten Tagesumsatzes, die gegenüber kritischen IKT- Drittanbietern festgesetzt werden können (vgl. Art. 35 Abs. 6-8 DORA). Finanzunternehmen können durch die den Behörden zugewiesenen Möglichkeiten verwaltungsrechtlicher Sanktions- und Abhilfemaßnahmen zudem dazu ge- RECHT | DORA zwungen werden, die Nutzung oder den Einsatz einer Dienstleistung eines kritischen IKT-Drittdienstleisters vorübergehend teilweise oder vollständig auszusetzen oder sogar zu kündigen (vgl. Art. 42 Abs. 6 DORA). AB WANN GELTEN DIE REGELUNGEN? Der DORA ist am 17. Januar 2023 in Kraft getreten. Auf- grund einer zweijährigen Übergangsfrist gelten die Re- gelungen und damit auch die im DORA beschriebenen Pflichten allerdings erst ab dem 17. Januar 2025. AUSBLICK UND FAZIT In Deutschland will das Bundesministerium der Finan- zen den DORA gemeinsam mit anderen europäischen Gesetzgebungsakten im Rahmen des sogenannten Fi- nanzmarktdigitalisierungsgesetzes (FinmadiG) durch- führen. Einen entsprechenden Regierungsentwurf veröf- fentlichte das Ministerium am 20. Dezember 2023. Die Einführung des DORA ist ein bedeutender Schritt zur Stärkung der Cybersicherheit im EU-Finanzsektor. Die Umsetzung erfordert von Finanzunternehmen eine frühestmögliche Anpassung der Anforderungen des IKT- Risikomanagements. Die noch verbleibende Zeit bis zur vollständigen Geltung der Verordnung im Januar 2025 sollte effektiv genutzt werden, um die Widerstandsfähig- keit des eigenen Unternehmens zu stärken und so einer Sanktionierung zu entgehen. n DR. JAN SCHARFENBERG, LL.M. (Stellenbosch) ist als Rechtsanwalt bei der Kanzlei Schürmann Rosenthal Dreyer im Bereich Datenschutz- und Informationssicherheits- recht tätig. Daneben arbeitet er als Director für den Bereich Informations sicherheit bei der ISiCO Datenschutz GmbH. Dr. Jan Scharfenberg verfügt über mehr als 15 Jahre Erfahrung im Be- reich Regulatory und Corporate Compliance, mit Stationen in einer renommierten internationalen Großkanzlei und als Rechts- und Compliance abteilungsleiter in einem Gesundheits-Start-Ups eines internatio nalen Versicherungskonzerns. www.srd-rechtsanwaelte.de ALWINE HENNING, LL.M. (Stellenbosch) ist als Wissenschaftliche Mitarbeiterin bei der Kanzlei Schürmann Rosenthal Dreyer tätig und arbeitet dort schwer- punktmäßig im Datenschutz- und IT-Recht sowie im Urheber- recht. Sie verfügt hierbei insbesondere über umfangreiche Erfahrungen im Bereich digitaler Technologien sowie im Informationssicherheitsrecht. IT-SICHERHEIT_2/2024 57

VORSCHAU Ausgabe 3|24 JUNI/JULI SPECIAL: ABSICHERUNG KRITISCHER INFRASTRUKTUREN Es ist ein Wettlauf gegen die Zeit: Die digitale Bedrohung wächst und vor allem kritische Infrastrukturen wie Stromnetze, Wasserversorgung und Krankenhäuser stehen im Fokus von Cyberkriminellen und anderen feindlichen Akteuren. Angriffe können massive Auswirkungen auf unsere Gesellschaft haben – von Stromausfällen bis hin zum Verkehrschaos. In unserem Special wollen wir die aktuellen Herausforderungen und Lösungsansätze näher beleuchten: die neuesten Angriffsmethoden und wie man sich davor schützen kann; die Rolle von Staat und Wirtschaft bei der Stärkung der Cybersicherheit kritischer Infrastrukturen; Best-Practice-Beispiele aus der Wirtschaft; die Zukunft der Cybersicherheit. Seien Sie dabei und erfahren Sie, wie kritische Infrastrukturen vor Cyberangriffen geschützt werden können! (Beitragsangebote für das Special senden Sie bitte an wolfgang.scharf@datakontext.com) Weitere geplante Themen: Cyberresilienz durch E-Mail-Continuity-Lösung Wie CROs trotz Regulierung Risiken efﬁzienter managen können u. v. m. IN UNSEREM VERLAG ERSCHEINEN AUßERDEM NOCH FOLGENDE ZEITSCHRIFTEN 58 IT-SICHERHEIT_2/2024 Verlag: DATAKONTEXT GmbH Standort Frechen Augustinusstr. 11 A · 50226 Frechen www.datakontext.com Chefredaktion: Sebastian Frank (S.F.) E-Mail: s.frank@kes.de Online-Redaktion: Jessica Herz Leitung Online herz@datakontext.com +49 2234 98949-80 Lisa Bieder Konstantin Falke Silvia Klüglich Janek Mazac Chiara Schönbrunn Content von The Hacker News (THN) Gründer: † Bernd Hentschel Grafik/Layout/Satz: Michael Paffenholz Tel.: +49 173 8382572 E-Mail: michael.paffenholz@gmx.de Objekt- und Anzeigenleitung: Wolfgang Scharf Tel.: +49 2234 98949-60 E-Mail: wolfgang.scharf@datakontext.com zzt. gilt die Anzeigenpreisliste Nr. 30 Vertrieb/Herstellung: Dieter Schulz Tel.: +49 2234 98949-99 dieter.schulz@datakontext.com Abonnement: Jahresabonnement € 139,- inkl. VK (Inland) Erscheinungsweise: sechs Ausgaben Alle Preise verstehen sich inkl. MwSt. Der Abonnementpreis wird im Voraus in Rechnung gestellt. Das Abonnement verlängert sich zu den jeweils gültigen Bedingungen um ein Jahr, wenn es nicht mit einer Frist von 8 Wochen zum Ende des Bezugszeitraumes gekündigt wird. Erscheinungsweise, Bezugspreise und -bedingungen: Abonnement und Bezugspreis beinhalten die Print-Ausgabe sowie eine Lizenz für das Online-Archiv. Die Bestandteile des Abonnements sind nicht einzeln kündbar. Der Preisanteil des Online-Archivs ist auf der Abonnementrechnung separat ausgewiesen. Aboservice: Hüthig Jehle Rehm GmbH, München, Tel.: +49 89 21 83-7110 Druck: Grafisches Centrum Cuno GmbH & Co. KG, Calbe (Saale) © DATAKONTEXT Mit Namen gekennzeichnete Beiträge stellen nicht unbedingt die Meinung der Redaktion oder des Verlages dar. Für unverlangt eingeschickte Manuskripte übernehmen wir keine Haftung. Mit der Annahme zur Veröffentlichung erwirbt der Verlag vom Verfasser alle Rechte, einschließlich der weiteren Vervielfältigung zu gewerblichen Zwecken. Die Zeitschrift und alle in ihr enthaltenen Beiträge und Abbildungen sind urheber rechtlich geschützt. Jede Verwertung außerhalb der engen Grenzen des Ur heberrechtsgesetzes ist ohne Zustimmung des Verlags unzulässig und strafbar. Das gilt insbesondere für Vervielfältigungen, Übersetzungen und die Einspeicherung und Verarbeitung in elektronischen Systemen. Genderhinweis: Gleichberechtigung ist uns wichtig! Für eine bessere Lesbarkeit unserer Fachtexte verzichten wir jedoch auf die gendergerechte Schreibweise und nutzen das generische Maskulinum als neutrale grammatikalische Form. Personen- bezeichnungen beziehen sich auf alle Geschlechter. Beilagen: DATAKONTEXT GmbH, Frechen Titelbild: Who is Danny - stock.adobe.com Fotos: Firmenbilder; DATAKONTEXT; DALL·E; (2ragon, Annika, Ar_TH, fotohansel, freshidea, Gorodenkoff, greenbutterfly, H. Brauer, ImageFlow, IRStone, jroballo, monticellllo, pathdoc, Sergey Nivens, svetazi, THAWEERAT, vektorisiert, Wayhome Studio) - stock.adobe.com 30. Jahrgang 2024 · ISSN: 1868-5757

. m o c . e b o d a k c o t s - f f o k n e d o r o G © Verantwortliche für IT-Sicherheit direkt erreichen ▪ Newsletter ▪ Content- Marketing ▪ Webinare & Webkonferenzen Schreiben Sie uns: wolfgang.scharf@datakontext.com www.itsicherheit-online.com | www.kes-informationssicherheit.de