HZ212323 · ISSN 1868-5757 · www.datakontext.com April/Mai 2/2022 Cloud als Verteidigungs­ Schwerpunkt Ransomware: strategie Interview mit Robert Freudenreich und Christian Olbrich, Secomba SPECIAL in Kooperation mit Bankmagazin: IT­Sicherheit in der Banken­ und Finanzwelt ▪ Verschärfte Bedrohungslage: Warum Finanzdienstleiter mehr in Cybersicherheit investieren müssen ▪ „Digital Operational Resilience Act“ (DORA): Warum Cyber-Resilienz in der Finanzindustrie einen europäischen Mantel braucht ▪ Endpoints: Exponierte Geräte sicher in die Bankeninfrastruktur einbinden ▪ Inklusive Marktüberblick von Anbietern und deren Lösungen Ransomware: Mit Zero Trust und XDR für mehr Cybersicherheit Sprachboxen: Was einen Compliance-gerechten Sprach- assistenten von „Alexa“ unterscheidet Quanten-Internet: Licht aus Seltenerdmolekülen

WAHRHEIT MIT WISSENSCHAFT Gezielte Falschinformation gehört wohl zur Gesellschaft, seit es Menschen gibt. Dennoch erleben wir dieses Phänomen zurzeit in einem bislang ungekannten Ausmaß. Was in Deutschlands dunkelsten Tagen in Form des berüchtigten „Propagandaministeriums“ konzeptionell perfektio­ niert wurde, hat mit den sozialen Medien im Internet eine globale Dimension angenommen – verbunden mit einem Tempo, das nahe an Echtzeitgeschwindigkeit liegt: Maßgeschneiderte Desinformation, Nachrichten aus dem Labor, konstruiert um eine bestimmte Wirkung zu erzielen, gern versehen mit einem Krümel Wahrheit, verpackt in ein seriöses Gewand – und über alle verfügbaren Kanäle mit größter Beharrlichkeit unters Volk gebracht. So lassen sich Stimmungen erzeugen, die sich am Ende leicht in die gewollten Aktionen umsetzen lassen. Ist genügend Unzufriedenheit, Misstrauen und Hass gesät, lassen sich über die geeigneten Maßnahmen sehr einfach wirtschaftliche und machtpolitische Interessen in der realen Welt durchsetzen. Der Angriffskrieg auf die Ukraine ist nicht der erste und leider sicher auch nicht der letzte Krieg, der auf diese Art begründet und gerechtfertigt wurde. Und wegen der Dominanz der künstlich erzeugten Stimmung in einer Gesellschaft bleiben die wirklichen Probleme, die natürlich immer existieren, und die eine unaufgeregte, konstruktive Diskussion erfordern, hoffnungslos auf der Strecke. Wie also dem Großphänomen Desinformation beikommen? Das Forschungsinstitut (FI) CODE an der Universität der Bundeswehr München versucht es nun mit wissenschaftlichen Ansätzen. Ihr Forschungsprojekt KIMONO untersucht, wie Desinformations­Kampagnen frühestmöglich erkannt, klassifiziert und beobachtet werden können. Prof. Michaela Geierhos, Professorin für Data Science und Technische Direktorin am FI CODE und Leiterin der deutsch­israelischen Forschungskooperation KIMONO sagt: „Um im Ernstfall angemessen reagieren zu können, ist es essenziell, die gezielte Verbreitung von Falschinformationen in sozialen Medien wissenschaftlich zu untersuchen und die dahinterliegenden Muster und Netzwerke möglichst frühzeitig zu erkennen“. Auch künstliche Intelligenz soll bei diesem Vorhaben zum Einsatz kommen. Ich bin sehr gespannt, welche Resultate die Wissenschaftler noch veröffentlichen werden (siehe Beitrag auf Seite 12). SCHWERPUNKT RANSOMWARE Unterdessen beschäftigt ein anderes Massenphänomen, das ironischerweise ebenfalls häufig mit einer Art Falschinformation beginnt – verpackt und ausgebracht in einer Phishing­E­Mail – Staat, Wirtschaft, Industrie und Gesellschaft. Ransomware gehört auch in diesem Jahr zu den größten Geißeln der IT (und immer mehr auch der OT, der „Operational Technologie“, also Industrieanlagen). Wie zeitgemäße Ansätze für eine erfolgreiche Abwehr dieser perfiden Angriffsmethode aussehen, haben wir im Schwerpunkt Ransomware zusammengestellt. SPECIAL: IT-SICHERHEIT IN DER BANKEN- UND FINANZWELT Banken verarbeiten viele sehr sensible Daten und haben Geld. Das macht sie zu beliebten Angriffszielen von Cyberkriminellen. Unser Banken­ und Finanz­Special in Kooperation mit der Zeitschrift BANKMAGAZIN gibt wichtige Hinweise für valide Schutzkonzepte, verschafft einen Überblick über aktuelle Trends und Entwicklungen und zeigt viele praxisnahe Lösungen. Viele Erkenntnisse beim Lesen dieser Ausgabe wünscht Ihnen Ihr Stefan Mutschler Chefredakteur EDITORIAL Stefan Mutschler facebook.com/itsicherheit twitter.com/it_sicherheit24 www.itsicherheit-online.com/ newsletter IT-SICHERHEIT_2/2022 3

INHALTSVERZEICHNIS 14 LICHT AUS SELTENERDMOLEKÜLEN BEFEHLSEMPFÄNGER88 LOKALER SECURITY MANAGEMENT 82 Management von Cyberrisiken im industriellen Umfeld WAS FÜR DIE SICHER HEIT KONVERGENTER IT-/OT-INFRASTRUKTUREN NÖTIG IST ENDPOINT | MOBILE SECURITY 84 Tipps für mobile Sicherheit bei kritischen Anwendungen UNTERNEHMENSSTEUERUNG PER SMARTPHONE SERVICES 96 DAS TRANSFER IMPACT ASSESSMENT (TIA) DATENSCHUTZ | BACKUP | ARCHIVIERUNG 101 Webportal 86 Altes Prinzip zeitgemäß umsetzen BACKUP – ABER RICHTIG! AUS FORSCHUNG UND TECHNIK 88 Was einen Compliance-gerechten 102 VORSCHAU: Ausblick auf Ausgabe 3 | 2022 102 Impressum ADVERTORIALS Sprachassistenten von „Alexa“ unterscheidet LOKALER BEFEHLSEMPFÄNGER 11 IT-Notfälle: Der Vorfall-Experte als elementarer Teil der digitalen Rettungskette IT­RECHT | DATENSCHUTZ | DATENSICHERHEIT 22 @-yet („Et jeht“, Hochdeutsch: „es geht“) 96 Pflichten aus den neuen Standardvertrags- klauseln bei der Übermittlung von personen- bezogenen Daten in Nicht-EU-Staaten DAS TRANSFER IMPACT ASSESSMENT (TIA) Ihr Partner für IT-Sicherheit und digitale Souveränität 32 Mit einem personen zentrierten Ansatz gegen Ransomware IT-SICHERHEIT_2/2022 5

LIBERTY STRATEGIC CAPITAL KAUFT ZIMPERIUM Der Experte für mobile Sicherheit in Enterprise­Umgebungen Zimperium gibt bekannt, dass das Unternehmen für rund 525 Millionen US­Dollar von der Private­Equity­Firma Liberty Strategic Capital übernommen wird, die vom ehemaligen US­Finanzminister Steven T. Mnuchin geleitet wird. Mit dieser Investition erwirbt Liberty Strategic Capital eine Mehrheits­ beteiligung an Zimperium, dessen Vorstandsvorsitz zukünftig Mnuchin übernimmt. Damit schafft Zimperium die Voraussetzungen dafür, sein organisches Wachstum zu beschleunigen und auch strategische Akquisi­ tionen zu tätigen. Als langjähriger Investor seit 2017 ist die SoftBank Cor­ poration weiterhin als Minderheitseigentümer beteiligt. „Es steht außer Frage, dass die digitale Welt mobil geworden ist. In diesem Prozess spielen moderne Betriebssysteme wie Android und iOS eine gewich­ tige Rolle dabei, wie Benutzer ihre Geräte im per­ sönlichen und beruflichen Leben einsetzen. Vielen Anwendern ist dabei nicht klar, wie sehr sich der Schutz mobiler Endgeräte vom Schutz herkömmli­ cher Endpunkte unterscheidet“, so Shridhar Mittal, CEO von Zimperium. „Wir haben viele Organisati­ onen aus dem öffentlichen und privatwirtschaft­ lichen Umfeld dabei unterstützt, ihre mobile Sicherheit zu erhöhen — jetzt treten wir in eine neue Wachstumsphase, um mit dem ehemaligen US­Finanzminister Mnuchin und Liberty Strategic Capital gemeinsam noch mehr Organisationen zu erreichen.“ n Shridhar Mittal, CEO von Zimperium (Foto: Zimperium) SOCWISE GOES GERMANY Der schnell wachsende Cybersecurity­Dienstleister SOCWISE geht mit einer eigenen Tochtergesellschaft in München an den Start. SOCWISE ist Teil der EURO ONE Corporation, die Mitglied einer seit 30 Jahren in Buda­ pest ansässigen Holding ist und die europaweit mehr als 600 Mitarbei­ tende beschäftigt. Während ihrer 17­jährigen Tätigkeit gelang es dem SOCWISE Team, Security Operations Center für führende Unternehmen der kritischen Infrastruktur in ganz Europa aufzubauen und zu verwal­ ten. Die Resultate auf dem heimischen Markt und weitere Erfolge bei der Erschließung neuer Geschäftsfelder in Europa ermöglichten es SOCWISE, weiter zu wachsen. Der Cybersecurity­Dienstleister fühlt sich nun bereit, auch Unternehmen in Deutschland zu bedienen, die höchste Standards und große Flexibilität in Sachen Cybersecurity voraussetzen. Gergely Lesku, Head of Business Development bei SOCWISE, erklärt, dass die Stärke des Unterneh­ mens besonders in der Balance zwischen Unter­ nehmensentwicklung und Cyberdefense liegt: „Es braucht viele Jahre, um die richtige Kombination aus vielversprechenden Technologien, effizienter Teamarbeit und effektiven Prozessen zu erlernen. Wir verstehen, dass Unternehmen die räumliche Nähe brauchen, und wir wollen sie, auch im en­ gen persönlichen Kontakt, bei der Einhaltung der deutschen und EU­Vorschriften unterstützen. Feedback und Zufrieden­ heit der Kunden sind hier die besten und wichtigsten Indikatoren: Als die Gergely Lesku, Head of Business Develop- ment bei SOCWISE (Foto: SOCWISE) UNTERNEHMEN | NEWS NATO unsere Expertise in einem gemeinsam mit dem NetWitness­Team durchgeführten Projekt positiv bewertete, sahen wir uns darin bestätigt, dass wir auf dem richtigen Weg sind. Nun ist es an der Zeit, einen mutigen Schritt nach vorn zu machen.“ n SURESECURE VERSTÄRKT AKTIVITÄTEN suresecure hat im Jahr 2021 ein enormes Wachstum zu verzeichnen. Der Umsatz ist von 6,5 auf 14,7 Millionen Euro gestiegen – die Belegschaft ist von 35 auf 75 Mitarbeitern angewachsen, darunter viele erfahrene Füh­ rungs­ und Fachkräfte. Ein starker Wachstumstrend zeichnet sich auch bereits für 2022 ab – aktuell gehören suresecure bereits über 80 Mit­ arbeitende an. Bislang ist das Unternehmen komplett eigenfinanziert und kommt ohne Investorbeteiligung aus. Laut Unternehmenssprecher Philipp Lessig hat sich suresecure vorgenommen, in Deutschland zum Marktführer im Bereich Incident Response zu werden. Für dieses Ziel hat suresecure bereits sein Portfolio erweitert und noch stärker auf seine Partner angepasst. Mit zusätzlicher juristischer Beratung und Hilfe bei der Krisenkommunikation deckt das Unternehmen nun nach eigener Aussage alle Bereiche des Security Incident Managements ab. „Im vergangenen Jahr durften wir den größten Security­Incident der Firmen­ geschichte begleiten“, so Lessing. Das Projekt nahm etwa neun Monate in Anspruch und beschäftigte ein 15­köpfiges Projektteam aus unseren IT­Expertinnen und Experten an 13 Standorten weltweit. Auch beim Kata­ strophenfall im Kreis Bitterfeld im Sommer 2021 Jahres wurden wir hin­ zugezogen. Seitdem ist die Nachfrage durch Städte und Kommunen stark gestiegen.“ Ein Schlüssel zum Wachstum sind nach Einschätzung von Lessing die Partnerschaften des Unternehmens: „Im Bereich SOC haben wir viele Partnerschaften ausbauen und neu schaffen können.“ Im Bereich Pen­Testing zählt seit kurzem auch Pentera dazu. Lessing weiter: „Wir setzen durch strategische Partnerschaften wie etwa mit Crowdstrike und Zscaler auf marktführende Technologien. So können wir unseren Partnern weitere innovative Lösungen anbieten.“ In den kommenden Monaten will suresecure seine Aufklärungsarbeit ausbauen und das Bewusstsein für das Thema IT­Sicherheit noch weiter schärfen. Zugleich sollen die Markt­ anteile im Bereich SOC und Incident Response zusammen mit dem Port­ folio noch weiter ausgebaut werden. n TENABLE UND SERVICENOW OPTI- MIEREN WORKFLOWS ZUR SICHERUNG DES OT-BETRIEBS Tenable hat Erweiterungen seiner Partnerschaft mit ServiceNow bekannt gegeben. Ziel ist es, die The­Now­Plattform von ServiceNow mit Inven­ tarisierungs­ und Schwachstellendaten von Tenable.ot zu unterstützen. Durch die Nutzung der einheitlichen Bewertungs­ und Abhilfemaßnah­ men von Tenable soll diese neue Integration die Asset­Inventur opti­ mieren und Abhilfemaßnahmen für IT (Information Technology) und OT (Operational Technology) in konvergierten industriellen Umgebungen zentralisieren. n IT-SICHERHEIT_2/2022 7

ihre Wertschöpfungsketten sichern. Der GTAP+ Feed, der alle 30 Minuten aktualisiert wird, erhält Informationen aus einer Reihe von vertrauens­ würdigen Cybersicherheitsquellen. Im Bereich der Gegenmaßnahmen bietet GTAP+ den ArcSight ESM­Systemen unabhängig vom Reifegrad der SecOPs spezielle Funktionen für einen strategischen und proaktiven Sicherheitsansatz. n SICHERE ONLINE­AUTHENTIFIZIERUNG MIT FIDO2-STICK Swissbit erweitert seine Security­Lösungen um eine neue Produktkate­ gorie. Mit iShield FIDO2 präsentiert der Spezialist für industrietaugliche Speicher­ und Security­Produkte seinen ersten Authenticator für den offenen Authentifizierungsstandard FIDO2. Das Log­in­Verfahren bietet durch asymmetrische Kryptografie und die Verwendung eines Hard­ ware­Sicherheitsschlüssels hohe Sicherheit für die Anmeldung an Web­ diensten und Onlinekonten. iShield FIDO2 unterstützt neben USB­Typ­A auch NFC für die Nutzung mit mobilen Endgeräten. Produziert wird der neue Stick am Berliner Swissbit­Standort. Bei Bedarf kann er dort auch kundenspezifisch angepasst werden. Swissbit adressiert mit iShield FIDO2 vorrangig Unternehmen und deren IT­Infrastrukturen sowie An­ bieter von Online­ und Web­Diensten, die ihren Kunden ein zusätzliches Sicherheitsmerkmal zur Verfügung stellen möchten. PRODUKTE | NEWS Der Swissbit iShield FIDO2 verfügt über ein robustes, wasserdichtes Kunststoffgehäuse in Industriequalität und ist ausgelegt für den erwei­ terten Betriebstemperaturbereich von −25 °C bis 70 Grad Celsius. Der kompakte Stick (51,5 x 18,5 x 6 mm) mit USB­A­Schnittstelle und Berüh­ rungssensor an der Rückseite unterstützt darüber hinaus NFC für die be­ queme Touch­and­go­Authentifizierung mit kompatiblen Mobilgeräten. Der Authenticator ist neben dem aktuellen Standard FIDO2, bestehend aus den Protokollen WebAuthn und CTAP2, auch für den Vorgänger U2F zertifiziert. n iShield FiDO2 sorgt für hohe Sicherheit bei der Anmeldung an Webdiensten und Onlinekonten. (Foto: Swissbit) Anzeige VAIT oder BAIT Umsetzung? Unsere Software lässt Sie nicht im Regen stehen! www.ibi-systems.de/de/VAIT www.ibi-systems.de/de/BAIT IT-SICHERHEIT_2/2022 9 ibi systems GmbH, Franz-Mayer-Straße 1, 93053 Regensburg

– ADVERTORIAL – IT-Notfälle: Der Vorfall-Experte als elementarer Teil der digitalen Rettungskette Die Vernetzung digitaler Geräte bietet Cyberkriminellen immer neue Angriffsflächen. Doch was ist aus Sicht von Unternehmen im Fall eines akuten IT-Sicherheitsvorfalls konkret zu tun? Aufgrund der starken Abhängigkeit von einer funktionierenden Informationstech- nik muss angemessen und schnell auf IT-Sicherheitsvorfälle reagiert werden, um das Schadensausmaß auf ein Minimum zu reduzieren. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat für den Ernstfall wichtige Leitlinien erarbeitet, die Betroffenen und Verantwortlichen konkrete Handlungsanweisungen geben. Hier setzt das Cybersicherheitsnetzwerk (CSN) des BSI an. Mit dem CSN wird eine flächendeckende dezentrale Struktur aufgebaut, über die Unternehmen bei IT-Sicherheitsvorfällen effiziente Unterstützung erhalten können. Ein entscheidender Bestandteil der „Digitalen Rettungskette“ des CSN sind Vorfall-Experten. Vorfall-Experten sind in der Regel IT- Fachleute mit spezifischer Berufserfahrung, die sich zusätzlich im Rahmen einer Aufbauschulung für das CSN als Vorfall-Experte qua- lifiziert haben. Im Rahmen der Digitalen Rettungskette sollen sie so weit qualifiziert sein, dass sie in der Lage sind, IT-Sicherheitsvorfälle umgehend zu analysieren und entsprechende Hilfeleistung zu ge- ben – gegebenenfalls auch vor Ort. CSN Vorfall-Experte – offizielle BSI-Aufbauschulung Der von der Bitkom Akademie durchgeführte Lehrgang vermittelt das vom BSI offiziell vorgegebene Curriculum zur Qualifizierung von Vorfall-Experten als Teil der Initiative des CSN. Angefangen von den relevanten Grundlagen und Gesetzen über das Vorgehen bei Vorfällen bis hin zur Sensibilisierung der Mitarbeiter erhalten Teil- nehmende elementare Handlungsempfehlungen für das Agieren im Ernstfall. Mit dem Abschluss dieses Seminars erfüllen sie eine wesentliche Anforderung zur Teilnahme an Qualifizierungsmaß- nahmen des BSI, um zur Prüfung zum Vorfall-Experten zugelassen zu werden. Die Bitkom Akademie ist anerkannter Schulungsanbie- ter des BSI. Ziele des Lehrgangs Teilnehmende lernen, wie sie einen unmittelbaren IT-Sicherheits- vorfall angemessen erfassen und die erforderlichen Schritte ein- leiten, um das Schadensausmaß schnell und effizient einzugren- zen. Für die Hilfe vor Ort erhalten sie konkrete Praxistipps und Strategien, wie sie sich schnell einen Überblick über die Gegeben- heiten im betroffenen Unternehmen verschaffen. Außerdem lernen die Teilnehmenden das Durchführen von Analysen und das Nach- vollziehen der Angriffswege kennen, um Ursachen und Prävention gleicher maßen zu begegnen. Zielgruppe Der Lehrgang richtet sich an Interessenten, die sich zum Vorfall- experten im Rahmen des Cybersicherheitsnetzwerks qualifizieren und Unternehmen langfristig vor Cyberangriffen schützen wol- len. Er eignet sich daher besonders für Entscheidende, Beratende und Mitarbeitende, die bereits über Grundkenntnisse im Bereich IT-Sicherheit und BSI Grundschutz haben. Auch unabhängig vom Qualifizierungsprogramm des BSI eignet sich der Lehrgang als opti- male Grundlagenausbildung für Verantwortliche im IT-Sicherheits- bereich. n Der nächste Lehrgang findet vom 27. bis 29. Juni 2022 online statt. Für weitere Informationen kontaktieren Sie bitte Vincent Bergner: v.bergner@bitkom-service.de https://www.bitkom-akademie. de/lehrgang/csn_vorfall_experte Die Bitkom Akademie unterstützt Sie bei der Qualifizierung Ihrer Belegschaft Im Jahr 2022 haben wir eine ganze Reihe neuer Lehrgänge in unser Seminarangebot aufgenommen, beispielsweise im Bereich E-Learning, User Design oder der Künstlichen Intelligenz. Somit bietet die Bitkom Akademie Ihnen auch 2022 ein komplementäres und nachhaltiges Weiterbildungskonzept aus dem breiten Bereich der digitalen Transformation. Unser Seminarangebot finden Sie unter: bitkom-akademie.de/seminare IT-SICHERHEIT_2/2022 11

AUS DER SZENE Das Forschungsprojekt KIMONO am Forschungsinstitut (FI) CODE an der Universität der Bundeswehr Mün- chen untersucht, wie Desinformations-Kampagnen frühestmöglich erkannt, klassifiziert und beobachtet werden können. (Quelle: Universität der Bundeswehr München) ration KIMONO: „Um im Ernstfall angemessen reagieren zu können, ist es essenziell, die geziel­ te Verbreitung von Falschinformationen in sozia­ len Medien wissenschaftlich zu untersuchen und die dahinterliegenden Muster und Netzwerke möglichst frühzeitig zu erkennen“, so Geierhos. das Beziehungsnetzwerk der jeweiligen nutzen­ den Person, die sprachliche Gestaltung der Posts oder Informationen über die Posting­Häufigkeit und die Follower­Zahl ein – die beiden letztge­ nannten Faktoren sind insbesondere für die Er­ kennung sogenannter Social Bots relevant. Innerhalb der vergangenen zehn Jahre sind die sozialen Medien zu einer zentralen In­ formationsquelle für Milliarden Menschen weltweit geworden. Spätestens seit dem Ara­ bischen Frühling 2011 ist klar, wie viel Einfluss Facebook, Twitter und Co. auch auf politische Prozesse haben. Doch gezielte Desinformations­ Kampagnen können Menschen manipulieren und so zu einer massiven Schwächung des Ver­ trauens in die Demokratie, ihre rechtsstaatlichen Prinzipien sowie in die Meinungsfreiheit führen. DESINFORMATION KANN GANZE STAATEN DESTABILISIEREN Zudem besteht die Gefahr, dass staatliche Ak­ teure Beeinflussungskampagnen in sozialen Medien nutzen, um gegnerische Staaten zu de­ stabilisieren (hybride Kriegsführung). Im Projekt KIMONO (Kampagnenidentifikation, ­monitoring und ­klassifikation mittels Methoden des Social Media Mining zur Integration in ein KI­basiertes Frühwarnsystem) am FI CODE der Universität der Bundeswehr München arbeiten Wissenschaft­ lerinnen und Wissenschaftler daran, derartige Kampagnen möglichst frühzeitig zu erkennen, um deren Entwicklung und Verbreitung zu be­ obachten und geeignete Gegenmaßnahmen einleiten zu können. Prof. Michaela Geierhos, Professorin für Data Science und Technische Direktorin am FI CODE, leitet die deutsch­israelische Forschungskoope­ WELCHE MERKMALE VERRATEN FAKE NEWS? Das Projektteam nutzt für die Datenakquise eine klassische elektronische Pipeline: Diese ruft entsprechende Daten von verschiedenen Social­Media­Plattformen wie Twitter, Facebook und Instagram ab und speichert sie zunächst in einer Datenbank. Zur Auswertung wenden die Wissenschaftlerinnen und Wissenschaftler verschiedene State­of­the­Art­Algorithmen des flachen und tiefen Lernens an. In die Analyse und Klassifikation fließen auch Merkmale wie etwa MIT KÜNSTLICHER INTELLIGENZ (KI) GEGEN FALSCHINFORMATIONEN Um russische Desinformations-Kampagnen zu überwachen und zu entlarven und Fake News zu stoppen, bietet das junge US-Unternehmen V7 kostenlos einen KI-gestützten Detektor für gefälschte Social-Media-Profile an. Das KI-Modell, welches durch das Unternehmen trainiert wurde, soll bei der Klassifizierung von Profilbildern in sozialen Medien als „echt“ oder „gefälscht“ eine Genauigkeit von 99,29 Prozent erreichen. Diese als Chrome-Erweiterung bereitgestellte Software soll Behörden und Bürgern dabei helfen, Profile, die gefälschte Nachrichten verbreiten und so ein Informationschaos verursachen könnten, zu erkennen und zu melden – insbesondere angesichts der russischen Invasion in der Ukraine. Eine Demo der Software gibt es unter: https://www.loom.com/share/2dbcf5db9b1641dd8d5acfea862982a3 ANFORDERUNGS - KATALOG FÜR EIN FRÜH- WARN SYSTEM Im Ergebnis soll eine Softwareunterstützung entstehen, um Kampagnen nicht nur schnell zu erkennen und explizit zu markieren, sondern zusätzlich noch ergänzende Erklärungen bereit­ zustellen, warum ein bestimmter Social­Media­ Beitrag als Teil einer irreführenden Informa­ tions­ und Beeinflussungskampagne eingestuft wird. Prof. Geierhos: „Es ist wichtig, dass die Nutzenden die Klassifizierung verstehen und das Ergebnis transparent bleibt. Nur so können sinnvolle Maßnahmen abgeleitet werden.“ Ein weiteres Ziel des Projekts ist die Bereitstellung eines Anforderungskatalogs, der für die spätere Entwicklung eines Frühwarnsystems herange­ zogen werden soll. n Das Projekt KIMONO wird vom Bundesministe­ rium der Verteidigung gefördert und läuft noch bis zum Jahr 2023. Mehr zum Projekt KIMONO gibt es hier: https://www.unibw.de/datensicherheit/ professuren/data-science/forschung/kimono IT-SICHERHEIT_2/2022 13 Illustration: © skypicsstudio - stock.adobe.com

AUS DER SZENE Quanteninformation wird aller Voraussicht nach nicht nur die Forschung und die Industrie, sondern letztlich auch das Alltagsleben revolu­ tionieren: Sie verspricht unter anderem enorme Fortschritte bei der Simulation von Materialien und Prozessen, was beispielsweise die Entwick­ lung neuer Arzneimittel, die Verbesserung von Batterien, die Verkehrsplanung, sowie sichere Information und Kommunikation voranbringen kann. Ein Quantenbit (Qubit) kann sich gleichzei­ tig in vielen verschiedenen Zuständen zwischen 0 und 1 befinden. Diese sogenannte Quantensu­ perposition ermöglicht, Daten massiv parallel zu verarbeiten. Dadurch steigt die Rechenleistung von Quantencomputern gegenüber digitalen Computern exponentiell. Um Rechenoperatio­ nen durchführen zu können, müssen die Überla­ gerungszustände eines Qubit allerdings eine ge­ wisse Zeit lang bestehen. Die Quantenforschung spricht von Kohärenzlebensdauer. Kernspins, das heißt Drehimpulse der Atomkerne in Molekülen, ermöglichen Überlagerungszustände mit langen Kohärenzlebensdauern, denn die Kernspins sind gut von der Umgebung abgeschirmt, sodass sie die Qubits vor störenden äußeren Einflüssen schützen. EFFEKTIVE LICHT-KERN- SPIN-SCHNITTSTELLE „Um praktische Anwendungen zu ermöglichen, müssen wir Quantenzustände speichern, verar­ beiten und verteilen können“, erklärt Profes­ sor Mario Ruben, Leiter der Forschungsgruppe Molecular Quantum Materials am Institut für Quantenmaterialien und ­technologien (IQMT) des KIT sowie des European Center for Quantum Sciences – CESQ an der Universität Straßburg. „Dazu haben wir nun ein vielversprechendes neuartiges Material identifiziert: ein kernspin­ haltiges Europium­Molekül, das zu den Metallen der Seltenen Erden gehört.“ In einer in der Zeit­ schrift „Nature“ erschienenen Publikation stellen Forschende um die Professoren Mario Ruben und David Hunger vom IQMT des KIT, sowie Dr. Philippe Goldner von der École nationale supéri­ eure de Chimie de Paris (Chimie ParisTech – PSL University; Centre national de la recherche scien­ tifique, CNRS) das innovative Material vor. Das Molekül ist so aufgebaut, dass es bei Laser­ anregung Lumineszenz zeigt, das heißt Lichtteil­ chen aussendet, welche die Kernspininformation Darstellung der Photon-Spin-Schnittstelle mit dem Europium-Molekülkristall zur Vernetzung von Kernspin-Qubits (Pfeile) mithilfe von Photonen (gelb). (Grafik: Christian Grupe, KIT) tragen. Durch gezielte Laserexperimente lässt sich damit eine effektive Licht­Kernspin­Schnitt­ stelle schaffen. Die vorliegende Arbeit zeigt die Adressierung von Kernspinniveaus mithilfe von Photonen, die kohärente Speicherung von Pho­ tonen sowie die Ausführung erster Quantenope­ rationen. HOHE DICHTE AN QUBITS Um nützliche Quantenoperationen durchzu­ führen, bedarf es vieler Qubits, die miteinander quantenmechanisch verbunden werden. Für diese Verschränkung müssen die Qubits mitein­ ander wechselwirken können. Die Forschenden aus Karlsruhe, Straßburg und Paris weisen in ihrer Arbeit nach, dass sich die Europium­Ionen in den Molekülen über elektrische Streufelder so miteinander koppeln können, dass künftig Verschränkung und damit Quanteninformati­ onsverarbeitung möglich wird. Da die Moleküle atomgenau aufgebaut sind und sich in exakten Kristallen anordnen, lässt sich eine hohe Qubit­ Dichte erreichen. Ein weiterer für praktische Anwendungen ent­ scheidender Aspekt ist die Adressierbarkeit der einzelnen Qubits. Mit optischer Adressierung lässt sich die Auslesegeschwindigkeit steigern, lassen sich störende elektrische Zuführungen vermeiden, und durch Frequenzseparation lässt sich eine Vielzahl von Molekülen individuell adressieren. Die vorliegende Arbeit erreicht ge­ genüber früheren Arbeiten eine rund tausend­ fach verbesserte optische Kohärenz in einem molekularen Material. Damit lassen sich Kern­ spinzustände gezielt optisch manipulieren. EIN SCHRITT HIN ZUM QUANTENINTERNET Licht eignet sich auch dazu, Quanteninforma­ tion über größere Distanzen zu verteilen, um beispielsweise Quantenrechner miteinander zu verknüpfen oder Informationen abhörsicher zu übertragen. Durch Integration des neuartigen Europium­Moleküls in photonische Strukturen zur Verstärkung der Übergänge könnte auch dies in Zukunft möglich sein. „Unsere Arbeit bildet einen wichtigen Schritt hin zu Quanten­ kommunikationsarchitekturen mit seltenerdba­ sierten Molekülen als Grundlage für ein Quan­ teninternet“, so Professor David Hunger vom IQMT des KIT. n S.M. Originalpublikation: Diana Serrano, Kuppusamy Senthil Kumar, Benoît Heinrich, Olaf Fuhr, David Hunger, Mario Ruben, Philippe Goldner: „Rare-Earth Molecular Crystals with Ultra-narrow Optical Linewidths for Photonic Quantum Technologies“, erschienen in „Nuture“. Für Nicht-Abonennten ist der Artikel (in englischer Sprache) kostenpflichtig (32 Dollar) und hier erhältlich: www.nature.com/articles/s41586-021-04316-2 IT-SICHERHEIT_2/2022 15 Foto: ©Jürgen Fälchle - stock.adobe.com

Während in der Vergangenheit Backup­Systeme eine Versicherung gegen Angriffe darstellten, versuchen Hacker jetzt leider auch, diese zu knacken. Unternehmen brauchen fortschrittli­ che, unveränderliche Snapshots ihrer Daten, die geschützt sind, weil sie nicht gelöscht, verändert oder verschlüsselt werden können. Dies, in Ver­ bindung mit der Möglichkeit, Daten schnell wie­ derherzustellen, ist von größter Bedeutung.“ „Daten sind das Lebenselixier eines jeden Unternehmens. Der Schutz dieser Daten vor Softwarefehlern, Datenbeschädigung, mensch­ lichem Versagen, Hardwareausfällen, Naturka­ tastrophen oder – in zunehmendem Maße – vor Ransomware­Angriffen und anderer Cyberkri­ minalität ist die Aufgabe der Datensicherung“, erklärt James Blake, EMEA Field CISO bei Rubrik. „Hierbei wird ein zeitpunktbezogener Snapshot erfasst und synchronisiert, der dann verwendet werden kann, um bei einem kritischen Vorfall den vorherigen Zustand der Daten wiederherzu­ stellen. Ziel ist es, eine schnelle und zuverlässige Datenwiederherstellung zu gewährleisten. Seit dem Inkrafttreten der DS­GVO in der EU sind nachweisbarer Datenschutz sowie die Wieder­ herstellung und Löschung von Daten für Unter­ nehmen zur Pflicht geworden. Dies hat zwar einen zusätzlichen Anstoß für Unternehmen geschaffen, über Datensicherung nachzuden­ ken, aber zu viele stellen die falschen Fragen. Sie konzentrieren sich darauf, wie sie mit möglichst geringem Aufwand die Vorschriften einhal­ ten können, und hoffen, die Datensicherung so schnell wie möglich zu erledigen, um sich ande­ ren dringenden IT­Problemen wie der Cybersi­ cherheit zu widmen. James Blake, EMEA Field CISO bei Rubrik (Foto: Rubik) Backups enthalten nicht nur die Daten, die das Unternehmen zur Erfüllung seiner Aufgaben benötigt, sondern auch Informationen über die Aktionen von Angreifern im Unterneh­ men und eindeutige Signale für böswillige und unbefugte Aktionen. So lassen sich mit einem Security­Orchestration­and­Automation­Tool automatisch mehrere Kopien kompromittierter Systeme über den gesamten Angriffslebenszy­ klus hinweg erstellen. Administratoren könnten AUS DER SZENE Jedes Jahr entscheiden sich mehr Unternehmen für die Cloud als Möglichkeit für die Sicherung von Dateien und für die Notfall-Wieder- herstellung. Es reicht jedoch nicht aus, nur für die Datensicherung zu sorgen, sondern es muss auch ein größeres Augenmerk auf die Cybersicherheit gelegt werden.“ Stefan Raben, Area Sales Director DACH & Eastern Europe bei Wallix über Workloads hinweg nach Indikatoren für eine Kompromittierung suchen, unabhängig davon, ob es sich um physische, virtuelle oder cloudbasierte Systeme handelt, ohne dass sie mehr Infrastruktur bereitstellen und verwalten müssen. Moderne Backup­Lösungen können einen Sicherheitswert aus den Daten ziehen, die das Unternehmen erstellt. In einer Zeit, in der Cyber­Resilienz anstelle von Cybersicherheit gefragt ist, ist das Backup der beste Freund der Unternehmen.“ „Jedes Jahr entscheiden sich mehr Unternehmen für die Cloud als Möglichkeit für die Sicherung von Dateien und für die Notfall­Wiederherstel­ lung“, so Stefan Raben, Area Sales Director DACH & Eastern Europe bei Wallix. „Es gibt keinerlei Anzeichen dafür, dass sich diese Entwicklung verlangsamt, im Gegenteil, die heutige hy bride Welt wird diesen Trend noch verstärken. Es reicht jedoch nicht aus, nur für die Datensiche­ rung zu sorgen, sondern es muss auch ein grö­ ßeres Augenmerk auf die Cybersicherheit gelegt werden. Auch wenn die Anbieter von Cloud­ Diensten den Datenschutz in ihre Angebote in­ tegriert haben, sind die Unternehmen nach wie vor rechenschaftspflichtig. Wir brauchen einen viel stärkeren Fokus auf dieses Thema. Da immer mehr Unternehmen die Cloud nutzen und wir uns in einer immer hybrideren Welt weiterent­ wickeln, ist es wahrscheinlich, dass die Cyber­ bedrohungen in der Cloud zunehmen werden. Die Unternehmen müssen sich darauf verlassen können, dass ihre Daten nicht nur gesichert, son­ dern auch sicher sind. Es ist von entscheidender Bedeutung, dass Unternehmen ihre Sicherheits­ praktiken verbessern und ein umfassendes Zero­ Trust­Modell auch für die Cloud einführen, um die Sicherheit und Integrität von Cloud­Backups auch in Zukunft zu gewährleisten.“ Für Matthias Traeger, Regional Sales Manager bei Zerto, wird die Wirkung von Backups über­ schätzt. Als Schutz gegen Ransomware reiche Backup bei Weitem nicht aus. „Der Irrglaube, dass Backups die Lösung gegen Ransomware sind, bleibt hartnäckig bestehen, auch weil na­ hezu alle namhaften Backup­Anbieter ihre Pro­ dukte als Lösung für Disaster Recovery anprei­ sen“, so der Experte. „Um im Ernstfall reagieren zu können, verlassen sich viele Unternehmen hauptsächlich auf Backups und vergessen dabei, dass eine Wiederherstellung moderner Enter­ prise­Applikationen durch deren Komplexität viel Zeit in Anspruch nehmen kann. Zusätzlich ist eine Wiederherstellung aus einem Backup im­ mer mit einem gewissen Datenverlust verbun­ den: die Daten, welche seit dem letzten Backup bis zum Katastrophenfall entstanden sind. Doch das muss nicht sein. Modernere Lösungen er­ möglichen die Wiederherstellung komplexer Anwendungen in sehr kurzer Zeit und senken damit die Ausfallzeit im Ernstfall dramatisch auf nur wenige Minuten. Ein eventueller Datenver­ lust beschränkt sich hier auf Sekunden. Solche Lösungen nutzen kontinuierliche Datensiche­ rung, kurz CDP, anstatt periodischer Backups und führen so Disaster Recovery, Backup und Cloud­Mobilität in einer einzigen, einfachen und skalierbaren Lösung zusammen.“ n Matthias Traeger, Regional Sales Manager bei Zerto (Foto: Zerto) S.M. IT-SICHERHEIT_2/2022 17 Illustration: ©zaurrahimov - stock.adobe.com

SCHWERPUNKT: RANSOMWARE Die Bedrohungslage ist ernst, auch weil Reichweite und Angriffsflächen zu- nehmen. Ein Grund dafür ist – ganz aktuell – der Zuwachs an Homeoffice. Sehr viele Cloud-Anbieter machen Werbung damit, dass sie Ihre Daten ver- schlüsseln. Nutzer haben hier aber keine Kontrolle, wo und wie die verwendeten Schlüssel gespeichert sind. IT-SICHERHEIT_2/2022 19 wurden. Allgemein ist es so, dass die beste Sicherheit gegen Ransomware Backups darstellen. Das gilt ebenso für alle ande-ren Möglichkeiten, Daten zu verlieren. Und den besten Platz für Backups bietet aktuell die Cloud.ITS: Gegenüber der Cloud gibt es zum Teil noch immer Vorbe-halte. Stellen Cloud-Speicher, also Datenzentren außerhalb der eigenen Kontrolle, nicht eher ein zusätzliches Risiko für die Da-tensicherheit dar?Robert Freudenreich: Der Schlüsselbegriff ist hier ganz richtig: Kontrolle. Die Cloud stellt kein zusätzliches Risiko dar, sondern ein anderes. Wenn Sie Daten an einen Cloud-Speicher übertra-gen, geben Sie natürlich die Kontrolle ab. Kontrolle heißt in die-sem Fall: die physischen Daten, das Dokument liegt nicht mehr bei Ihnen auf dem Server. Die Ausfallsicherheit Ihrer Daten ist allerdings in der Cloud meist deutlich größer, als es auf Ihrem eigenen Server der Fall wäre.Christian Olbrich: Selbstbetriebene Server sind oft weniger gut gesichert als Cloud-Speicher, die ja auf die sichere Verwahrung der Daten spezialisiert sind. Auf Cloud-Daten zuzugreifen ist für Kriminelle deutlich schwerer und damit auch weniger inte-ressant. Aber trotzdem dürfen Sie den schon angesprochenen Kontrollverlust nicht unbedacht lassen. Dagegen müssen Sie selbstverständlich etwas unternehmen, da kommt Verschlüsse-lung ins Spiel.ITS: Welche Rolle spielt Verschlüsselung dabei?Robert Freudenreich: Ende-zu-Ende-Verschlüsselung gibt Ihnen genau die Kontrolle zurück, die Ihnen die Cloud „weg-nimmt“. Ab dem Moment der Verschlüsselung bestimmen Sie allein, wer auf Ihre Dokumente und Ordner zugreifen kann. Au-ßerdem reduziert sie die Angriffsfläche für Leakware erheblich. Verschlüsselte Daten können nicht veröffentlicht werden, sie sind also nutzlos. Wer also berechtigte Bedenken bezüglich der Datensicherheit in der Cloud hat, kann diese mit Ende-zu-Ende-Verschlüsselung gut überwinden.Christian Olbrich: Übrigens spricht auch für zusätzliche Ver-schlüsselung, dass Angreifer immer zwei Zugänge kapern müss-ten. Das heißt: Auch dann, wenn der Speicher einem Angriff Datenverschlüsselung nehmen auch der Datendiebstahl und die Drohungen, Daten zu veröffentlichen, zu. Diese Leakware-An-griffe haben zwar noch nicht das Ausmaß anderer Ransomware-Attacken, aber sie kommen immer häufiger vor. ITS: Was ist Ihre Einschätzung: Warum konzentrieren sich Kriminelle nun verstärkt auf Leakware-Angriffe? Christian Olbrich: Weil es einfacher ist. Wenn Sie eine neue Schadsoftware in Umlauf bringen möchten, ohne auf bekannte Programme zurückzugreifen, ist eine reine Datenklau-Software einfacher zu erstellen als eine funktionierende Verschlüsselung. Durch das Knacken bekannter Schadprogramme geben wir den Kriminellen immer auch eine Möglichkeit, ihre Schwachstellen zu erkennen und auszubessern. Aber dafür braucht es krypto-grafisches Know-how. Leakware muss „nur“ an die Daten kom-men.Robert Freudenreich: Man darf nicht vergessen, dass die Ver-teidigungsmaßnahmen gegen bekannte Schadsoftware besser werden. Cybersicherheit ist ein Katz-und-Maus-Spiel. Krimi-nelle versuchen da anzugreifen, wo es am einfachsten ist. Wir werden in Zukunft wahrscheinlich mehr Kombinationen aus klassischer Krypto-Ransomware und Leakware sehen. Ein Krypto-Trojaner verschlüsselt erst einmal Ihre Systeme und legt vielleicht den Betrieb lahm. Aber die Veröffentlichung gestohle-ner Daten kann dafür in der Folge schwere und langfristige Kon-sequenzen haben. Das Schadenspotenzial ist also ein anderes, und es werden andere Bereiche und Daten betroffen sein.ITS: Nun werben Sie gezielt für den Einsatz von Cloud-Speichern zum Schutz vor Ransomware-Angriffen. Wie genau kann die Cloud dabei helfen?Christian Olbrich: Die Cloud ist kein Schutz vor Ransom ware selbst, das muss deutlich gesagt werden. Aber sie schützt vor Datenverlust: Der Grundgedanke ist, dass Cloud-Anbieter un-veränderliche Backups erstellen. Durch Versionierung lassen sich dann Schäden an Daten quasi „zurückdrehen“.ITS: Wie genau funktioniert dieses „Zurückdrehen“?Robert Freudenreich: Versionierung funktioniert durch ob-jektbasierte Speicherung. Einfach gesagt bedeutet das, dass neue Versionen die alten nicht einfach überschreiben. Stattdes-sen werden sie „obendrauf“ gelegt. Sie können jederzeit einen alten Entwurf tiefer aus dem Stapel wieder herausziehen. Das gilt auch, wenn Ihre Dateien von Ransomware verschlüsselt

SCHWERPUNKT: RANSOMWARE Cyber-Security-Zertifizierungen von TÜV SÜD. Eine sichere IT-Infrastruktur ist in fast jedem Unternehmen die Basis für gute Geschäfte. Mit ihr steht und fällt das Vertrauen von Kunden und die Motivation der Mitarbeiter. Mit unseren systematischen Cyber-Security-Zertifizierungen legen Sie ein belastbares Fundament – für eine sichere IT und langfristiges Vertrauen Ihrer Stakeholder. ISO/IEC 27001 Zertifizierung ISO/IEC 20000-1 – Zertifiziertes Service-Management (in der IT) Zertifizierung nach IT-Sicherheitskatalog KRITIS – Nachweis über angemessene IT-Sicherheit nach §8a BSIG TISAX® – Der Nachweis für IT-Sicherheit in der Automobilbranche ISO 22301 – Business Continuity Management (BCM) ISO/IEC 27701 – Privacy Informationssicherheits-Managementsystem (PIMS) www.tuvsud.com/cyber-security-zertifizierungen TÜV SÜD Management Service GmbH Ridlerstr. 57, 80339 München, Deutschland Tel. +49 89 5791-2500 ms-anfragen@tuvsud.com www.tuvsud.com/tms

– ADVERTORIAL – UNSERE LEISTUNGEN Wolfgang Straßer, Geschäftsführer der @­yet GmbH, Leichlingen, und @­yet Industrial IT­ Security GmbH, Aachen, ist im IT­Sektor seit fast 40 Jahren in verschiedenen Managementpo­ sitionen unterwegs und weiß um die Herausforderungen in der deut­ schen IT­Sicherheitslandschaft. Seit 2002 berät die von ihm in Leichlingen gegründete @­yet (über 60 Mitarbeiter:innen) schwerpunktmäßig und branchenübergreifend in folgenden Bereichen: Prevention: Wir kennen Ihre Schmerzen. Deshalb konzipieren wir IT­Sicherheit so, dass sie nahtlos in Ihre Strukturen passt. Continuity: Ein Unternehmen zu führen ist das eine, den Laden sicher am Laufen zu halten, das andere. Wir haben die richtigen Tools für Sie. Compliance: rechtlich gesicherter Datenschutz. Wir schützen Ihr Unter­ nehmen vor Angriffen und vor Abmahnanwälten. Notfallhilfe: Ruhe bewahren und @­yet rufen! Wir helfen Ihnen sofort bei allen IT­Notfällen, stellen den Betrieb wieder her und sichern Beweise. Beratung: Durchatmen! Wir verstehen Ihre Herausforderung und beraten Sie zielgenau und ergebnisorientiert. @-YET BEWEGT POLITIK UND WIRTSCHAFT Wir möchten die Entwicklung im IT­Sicherheitsumfeld mitgestalten und suchen daher aktiv den Dialog zur Wirtschaft und Politik. Diese Dialoge veröffentlichen wir im Rahmen unserer Podcast­Reihe „Rheingehäckt“ unter: www.at-yet.de/aktuelles Hier finden Sie auch unsere Wissensdatenbank „W(h)at is IT?“, in der wir mit starkem Praxisbezug IT­Sicherheitsthemen, wie Penetrationstests, IT­ Forensik und vieles mehr erörtern. n Kontaktdaten @-yet GmbH Köln/Düsseldorf Schloss Eicherhof 42799 Leichlingen Telefon: +49 2175 1655 0 Fax: +49 2175 1655 11 E-Mail: info@at-yet.de Homepage: www.at-yet.de IT-SICHERHEIT_2/2022 23 Souveränität. „Darunter verstehen wir ein sicheres und selbstbestimm­tes Handeln in allen Bereichen der Digitalisierung. Zentraler Baustein ist dabei die Cybersicherheit. Vor allem die technische IT­Resilienz von An­wendungen, Infrastrukturen und Cloud­Installationen steht im Vorder­grund. Mithilfe von Redteaming, Penetrationstests, Code­Reviews und vielen technischen Analysen, stellt @­yet den Status quo fest und trägt mit konkreten Konzepten und Maßnahmen zur nachhaltigen Verbesse­rung der IT­Sicherheit bei“, sagt Wolfgang Straßer, Gründer, Inhaber und Geschäftsführer bei @­yet. WAS TUN, WENN’S „BRENNT“?Häufig suchen Kunden in der IT-Sicherheit erst dann Unterstützung, wenn das Kind bereits in den Brunnen gefallen ist und sie gehackt worden sind, statt sich präventiv vor Angriffen zu schützen. Schuld sind fehlende Auf-merksamkeit, völlige Unterschätzung der Bedrohung und bei Weitem nicht ausreichende präventive Maßnahmen. „Und sollte der Hacker doch erfolgreich sein, dann unterstützen wir mit Incident Response, IT-Forensik und Notfallmanagement sowie Wieder-anlaufunterstützung“, sagt der @-yet CEO und ergänzt: „Schwachstel-lenanalyse, Angriffssimulationen, physikalische Integrität, Code-Überprü-fung: Es wird mithilfe modernster Methoden, Standards und Technologien alles getestet, was es zu testen gibt und nachhaltig Resilienz aufgebaut.“ Dabei bindet die rheinländische Firma den Faktor Mensch ein. „Wir sensi-bilisieren, bilden weiter, führen Notfallübungen durch und bauen ein Be-wusstsein auf, damit Mitarbeiter sich sicher fühlen und sicher handeln.“ FAST 150 IT-SICHERHEITSVORFÄLLE SEIT HERBST 2019Die @-yet hat zwischen Herbst 2019 und Frühling 2022 knapp 150 IT-Sicherheitsvorfälle bearbeitet und arbeitet häufig an mehreren IT-Foren-siken gleichzeitig. Im Zuge des sogenannten Incident Response berät und reagiert die Firma im Falle eines Cyberangriffs an allen sieben Tagen einer Woche. @-yet unterstützt unmittelbar mit technischen Maßnahmen und Analysen bei der Abwehr des Angriffs und bemüht sich um Schadens-begrenzung sowie um die Täterermittlung. Beantwortet werden auch Fragen wie: Wie kommuniziere ich diesen Vorfall intern, extern? Liegt gegebenenfalls eine Datenschutzverletzung vor, und wie geht man damit um? Muss etwas gemeldet, gelöscht, gesichert, offline geschaltet wer-den? Wie kann möglichst schnell ein Notbetrieb aufgebaut werden? Wie verhindert man solche Vorfälle in der Zukunft? Auf solche Momente und Fragen vorbereitet zu sein, kann Unternehmen sehr viel Geld sparen. Denn jeder Tag, an dem ein Unternehmen nicht liefern oder eine Klinik nicht operieren kann – aufgrund verschlüsselter Daten oder/und stillgelegter Systeme – kostet viel Geld oder kann Leben gefährden. „Leider wird das Thema IT- und Cybersicherheit in vielen Unternehmen immer noch unter-schätzt. Das Management stellt nicht ausreichend Aufmerksamkeit und damit Ressourcen zur Verfügung“, sagt Straßer. @-yet empfiehlt hier zwei Punkte, die im besten Fall gleichzeitig genutzt werden: 1. Mitarbeiter schulen, trainieren und für die IT-Sicherheits-thematik ausbilden lassen.2. Einen professionellen Dienstleister als ständigen Berater ins Boot holen.

Lösegeld gezahlt wird. Im Grunde lassen sich fast alle Angriffsformen für Lösegelderpressung einsetzen. Der Punkt ist, dass Ransomware zur unsäglichen Plage geworden ist, die Unterneh­ men bei ungenügender Abwehr teuer zu stehen kommen kann – bis hin zum Ruin. Aber soweit muss es nicht kommen. Es gibt zwei wirksame sicherheitsarchitektonische Ansätze, die zur Be­ kämpfung von Ransomware eingesetzt werden können: Zero Trust und Extended Detection and Response (XDR). AUFBAU EINES RANSOM- WARE-ANGRIFFS Die Durchführung eines erfolgreichen Ransom­ ware­Angriffs erfordert mehrere Schritte. Er ist sogar so kompliziert, dass mehrere Teams zusammenarbeiten müssen, um ihn erfolgreich durchzuführen. Zunächst wählen die Angreifer ein Ziel aus. Dann melden sie sich bei einer Ran­ somware­as­a­Service­Organisation an, die auf die Entwicklung von Software für Ransomware­ Angriffe spezialisiert ist. Sie dringen in das Un­ ternehmen ein, indem sie entweder das Kenn­ wort eines Benutzers erraten, einen Benutzer dazu bringen, auf einen manipulierten Link zu klicken, oder eine Schwachstelle in der Software des Unternehmens ausnutzen. Die gesamte Reihe von Schritten und Vorgehensweise bildet die Hauptkategorien des MITRE ATT&CK­Frame­ works [1]. Wird einer dieser Schritte unterbrochen, schlägt der Ransomware­Angriff fehl. Die Verwendung des MITRE ATT&CK­Frame­ works hilft Teams bei der Identifizierung von Schwachstellen, um ihre Angriffsfläche dar­ zustellen. Es kann Teams bei der Suche nach Bedrohungen helfen, um laufende Angriffe zu erkennen, bevor sie Schaden anrichten. Es kann einem Unternehmen dabei helfen, Schwachstel­ len mit anderen Organisationen zu besprechen, zum Beispiel mit den „Information Sharing and Analysis Centers“ (ISACs), die zum Schutz kriti­ scher Infrastrukturen eingerichtet wurden. Und es kann Sicherheitsteams helfen, mit Anbietern von Sicherheitstools oder ­diensten und mit Strafverfolgungsbehörden zusammenzuarbei­ ten, um die Schwachstellen aufzudecken, die zu einem Angriff geführt haben. WIE ZERO TRUST AUF DIE SICHERHEIT WIRKT Zero Trust umfasst eine Reihe von Architektur­ prinzipien, die dazu beitragen, eine Umgebung abzusichern und die Angriffsfläche zu minimie­ ren. Die wichtigsten Ideen von Zero Trust sind: ƒ Eine „Außengrenze“ des Unternehmens­ netzwerks existiert nicht (Tatsächlich hat sie streng genommen nie existiert.). Nie davon ausgehen, dass jemandem zu trauen ist, nur weil er es bereits in das Netzwerk geschafft hat. ƒ Benutzer müssen überprüft werden, bevor sie Dienste nutzen oder auf Daten zugreifen dür­ fen – am besten über eine Multi­Faktor­Au­ thentifizierung (MFA). Auch die Integrität des Geräts, welches zugreifen will, muss sicherge­ stellt werden, bevor es eine Verbindung zum Netz herstellen kann. ƒ Es ist nie davon auszugehen, dass Benutzer immer das Richtige tun werden. Deshalb ist es für jede Dienstanforderung erforderlich, die genauen Zugriffsrechte zu verifizieren. ƒ Anstatt zu versuchen, bösartige Akteure durch das System zu verfolgen, sollten Hindernisse eingerichtet werden, die sie aufhalten. Damit diese Grundsätze in der Praxis funktio­ nieren, müssen zwei Dinge geschehen. Erstens sollte ein System zur Identitäts­ und Zugriffs­ verwaltung (IAM) eingesetzt werden, das die Authentifizierung von Benutzern und deren Rechten oder Berechtigungen ermöglicht. An­ dernfalls gibt es keine Quelle der Wahrheit, um festzustellen, ob eine bestimmte Anfrage zuläs­ sig ist oder nicht. Zweitens: Das Netzwerk muss segmentiert werden. Dadurch wird ein Angriff verlangsamt. „Seitliche“ Bewegungen innerhalb des Unternehmensnetzwerks (Server zu Server) erlauben es, schädliche Nutzlasten zu platzieren und so Datendiebstahl und Datenverschlüsse­ lung durchzuführen. Netzwerksegmentierung blockiert diese Angriffselemente. WARUM DIE VERTEIDI- GUNG OHNE XDR UNVOLL- STÄNDIG BLEIBT XDR führt Informationen über mögliche An­ griffselemente (zum Beispiel Kompromittie­ rungsindikatoren [IoCs]) mit Protokollen des Netzwerkverkehrs, auffälligem Endpunktverhal­ ten, Cloud­ und Software­as­a­Service­(SaaS­) Dienstanforderungen und Serverereignissen zur Analyse zusammen. Die Stärke von XDR liegt darin, dass es über das Sicherheitsinforma­ tions­ und ­ereignismanagement (SIEM) hin­ ausgeht und sowohl Protokolldaten aggregiert als auch mithilfe von maschinellem Lernen (ML) SCHWERPUNKT: RANSOMWARE Korrelationen, Analysen und Modellierungen durchführt. Auch komplexe Ereignisse, die selbst best ausgebildeten Sicherheitsteams erst nach Wochen – wenn überhaupt – auffallen würden, lassen sich so sehr schnell identifizieren. Dies bildet die Grundlage für eine effektive Reakti­ on, die wiederum entweder über ein Regelwerk oder über den Einsatz von KI­Tools weitgehend automatisiert werden kann. Durch den Einsatz einer XDR­Lösung (die viele Angriffselemente erkennt) auf Basis einer Zero­ Trust­fähigen Architektur (welche die Infrastruk­ tur vor bösartigen Angriffen schützt) kann die Verteidigungsbereitschaft gegen Ransomware erheblich verbessert werden. Wichtig ist also: Ein IAM­Tool einsetzen, Multi­Faktor­Authen­ tifizierung (MFA) verwenden – zumindest für Konten mit hohen Rechten, Netzwerk segmen­ tieren und im Security Operations Center (SOC) alles über ein XDR­Tool überwachen. So kompli­ ziert muss eine gute Verteidigung also gar nicht sein. n Der Originalbeitrag in englischer Sprache wurde von der Redaktion übersetzt und bearbeitet. Die Originalfassung gibt es unter: https://www.isaca.org/resources/news-and- trends/industry-news/2021/using-zero-trust-and- xdr-to-stop-ransomware [1] MITRE ATT&CK: https://attack.mitre.org/ BILL MALIK, ISACA/ S.M. IT-SICHERHEIT_2/2022 25

SCHWERPUNKT: RANSOMWARE Anbieter im Hintergrund weit weniger gefährdet sind, zumal sie oftmals ihre Identität auch vor ihren Partnern verbergen. Sollten sie dennoch in den Fokus von Strafverfolgungsbehörden gelan­ gen, tauchen die Gruppen in aller Regel zunächst kurzzeitig unter, um sich später – meist unter anderem Namen – neu zu formieren. 2. MASSGESCHNEIDERTE RANSOMWARE Im vergangenen Jahr wurde immer häufiger speziell für bestimmte Opfer entwickelte Ran­ somware identifiziert. Hierdurch soll eine Entde­ ckung wesentlich erschwert und die Wirksam­ keit des Angriffs erhöht werden. Bei den meisten Ransomware­Bedrohungen handelt es sich um ausführbare Dateien, die auf Windows abzielen und häufig durch Botnets verbreitet werden. Zunehmend werden jedoch auch Angriffe auf Linux­basierte Hosts gerichtet, einschließlich solcher, die für Dateispeicherung und Virtualisierung (wie VMware ESX) verwen­ det werden. So entwickelt die erst kürzlich identifizierte Ransomware­Gruppe ALPHV (BlackCat) sowohl Linux­ als auch Windows­Varianten. Dabei wird die Ransomware für jedes Opfer neu er­ stellt. Dies umfasst beispielsweise die Art der Verschlüsselung (etwa, dass nur Teile großer Dateien verschlüsselt werden) oder eingebet­ tete Anmeldeinformationen des Opfers, um die automatische Verbreitung der Ransomware auf andere Server zu ermöglichen. Aber nicht nur die Ransomware selbst, sondern auch die Höhe des geforderten Lösegelds wird ganz gezielt auf das Opfer abgestimmt: So wer­ den die erbeuteten Finanzdaten der Unterneh­ men analysiert, um eine finanzierbare Summe festzulegen. Teilweise werden sogar die Cyber­ Versicherungspolicen genau auf die abgedeckte Schadenssumme hin untersucht, die dann als Forderung von den Cyberkriminellen gestellt wird. noch stärkeren Druck auf die Opfer aufzubau­ en. Letztlich stellt nicht die Verschlüsselung und damit der Ausfall von Systemen, sondern der Datendiebstahl die größere Bedrohung für Un­ ternehmen dar: Der Diebstahl und die Veröffent­ lichung von personenbezogenen Daten ist nicht nur rufschädigend, sondern kann auch hohe DS­ GVO­Bußgelder nach sich ziehen. Mittlerweile drohen die Cyberkriminellen sogar explizit mit der Einschaltung der entsprechenden Aufsichts­ behörden. Aber auch das Leaken von geistigem Eigentum kann enorme Schaden verursachen, wenn innovative Entwicklungen dadurch auch den Wettbewerbern zugänglich sind. Mit der doppelten Erpressung ist die taktische Entwicklung aber beileibe nicht am Ende. Ran­ somware­Gruppen entwickeln ihre Erpressungs­ methoden ständig weiter, von den Anfängen mit einer einfachen Lösegeldforderung über die „Stehlen, Verschlüsseln und Veröffentlichen“­ Taktik bis hin zur Kontaktaufnahme mit Kunden, Mitarbeitern, Behörden und der Presse, um sie über die Kompromittierung zu informieren. Um noch mehr Druck auszuüben, weigern sich viele Gruppen, mit Unterhändlern zusammenzuarbei­ ten, und raten den Opfern, das Geld zu zahlen, ohne Cybersecurity­Anbieter und Strafverfol­ gungsbehörden einzuschalten. Andernfalls wür­ den die Opfer eine höhere Lösegeldforderung oder einen endgültigen Datenverlust riskieren. Einige Cyberkriminelle fügen zudem noch eine weitere Eskalationsstufe hinzu: Bei dieser „Triple Extortion“ werden dann entweder betroffene Partner oder Kunden informiert, oder weitere Attacken wie DDoS­Angriffe angedroht. All diese Maßnahmen dienen letztlich dazu, den Druck auf die Opfer deutlich zu steigern, um sie so zu einer raschen Zahlung zu bewegen. Und dies offenbar mit Erfolg: Schätzungen gehen davon aus, dass Ransomware 2021 weltweit Schäden in Höhe von sechs Billionen US­Dollar verursacht hat [1]. Zum Vergleich: Das Bruttoinlandsprodukt der Bundesrepublik Deutschland betrug 2020 „nur“ 3,8 Billionen US­Dollar. n 3. DOUBLE EXTORTION WIRD ZUM STANDARD Der Beitrag stammt aus einer Veröffentlichung der Varonis Threat Labs [1] https://cybersecurityventures.com/cybercrime-damages-6- trillion-by-2021/ Beim „Double Extortion“­Ansatz werden die Da­ ten vor der Verschlüsselung auch entwendet, um mit deren Veröffentlichung zu drohen und somit S.M. IT-SICHERHEIT_2/2022 27 finanziell starken Unternehmen ist beispielswei­ se teurer als der zu einem kleinen Unternehmen. Ransomware­Gruppen können auf diese Weise ganz gezielt ihre Opfer auswählen. Mittlerweile schließen sich auch viele IABs mit Ransomware­ Gruppen zusammen oder gehen Partnerschaf­ ten mit ihnen ein und werden so zu Subunter­ nehmern. Im Gegenzug erhalten sie einen Anteil vom Lösegeld. Dies ist in aller Regel lukrativer als das klassische Verkaufsmodell. Eine hohe Gewinnbeteiligung reflektiert stets ein höheres Risiko. Letztlich laufen vor allem die Partner als „ausführende Organe“ eine höhere Gefahr, entdeckt zu werden, während die RaaS­

So könnte ein Angreifer im Rahmen einer lang­ fristig angesetzten Attacke zunächst einige Mitarbeiter des Zielunternehmens über soziale Netzwerke wie LinkedIn oder Facebook beob­ achten. Auf diese Weise ist er dann unter Um­ ständen in der Lage, Kollegen und Kolleginnen zu recherchieren, weiß, wann eine Person in Urlaub geht und vielleicht sogar mit welchen ex­ ternen Partnern zusammengearbeitet wird. INHALTLICHE ANALYSE Bei einer solcher Analyse der E­Mails geht es nicht nur um Attachments, sondern auch darum, anhand einer Vielzahl von Faktoren, wie Absen­ der, Stichworte im Betreff und im Nachrichten­ text sowie Bezug zu Personen oder Aktionen, eine möglichst genaue Zuordnung zu realisieren, ob eine Nachricht sicher oder unsicher ist. INDIVIDUALISIERTER ANGRIFF Auf Basis dieses Wissens können die Kriminel­ len dann eine entsprechend individuell formu­ lierte E­Mail verfassen, zum Beispiel als Hinweis auf eine Rechnung eines vermeintlichen Part­ ners, und mit einer Excel­, Word­, PDF­Datei oder auch einem anderen Format versehen. Da­ bei enthält diese Datei gar keine Schadsoftware, sondern dient lediglich als Türöffner und lädt erst in einem zweiten Schritt die eigentliche Malware nach. Das geht selbstverständlich auch mit einem Link, auf den ein Anwender klicken soll, um eine angebliche Rechnung herunterzu­ laden. Dann erfolgt über eine präparierte Web­ site der Download der Ransomware bzw. einer initialen Malware, die dann im späteren Verlauf wiederum eine Ransomware nachlädt. In einem solchen Fall dürften – wenn über­ haupt – wohl nur die wenigstens herkömmli­ chen, technischen Sicherheitssysteme anschla­ gen, denn die E­Mail enthält ja offensichtlich keinerlei schädlichen Code. Diesen lädt sich der Anwender erst durch Öffnen der Datei, Aktivie­ ren von Makros und/oder durch den Besuch der Website herunter. Was können nun Organisationen unternehmen, um ein solches Risiko so klein wie möglich zu halten? Die erste Option ist sicherlich, dass ein Unternehmen so weit wie möglich dafür Sorge trägt, dass eine solche E­Mail erst gar nicht im Postfach eines Angestellten landet, sondern entsprechend herausgefiltert wird. Dabei ist na­ türlich von besonderer Bedeutung, dass hierfür granulare Analysen des Mailverkehrs notwendig sind und nicht einfach nur potenziell gefährliche E­Mails gelöscht werden. Es könnten ja durchaus auch legitime E­Mails dabei sein. Von Blockieren, über Warnen, in Quarantäne stellen bis hin zur Zustellung an den Empfänger sollte folglich alles möglich sein. Darüber hinaus gilt es auch die Links in den E­Mails zu überprüfen – und zwar keineswegs nur bei der Zustellung, sondern auch danach. Hintergrund hierfür ist, dass Angreifer mittler­ weile wissen, dass moderne Tools URLs in Nach­ richten überprüfen, ob die betreffende Website Schadcode enthält. Das heißt, beim Versand und direkt danach ist die Website „sauber“, die Se­ curity­Lösung hat somit keinen Grund, Alarm zu schlagen, und die E­Mail erreicht das Postfach. Doch die Malware wird erst ein wenig später in den Code der Website integriert. Wird dann geklickt, erfolgt möglicherweise der Download der Malware. Das muss die Security­Lösung ver­ hindern und folglich auch in der Lage sein, nach­ träglich eine solche E­Mail aus allen betroffenen Posteingängen der Anwender zu entfernen. Allerdings ist klar, dass keine technische Lösung hundertprozentige Sicherheit bieten kann. Daher müssen auch die Anwender in die Lage versetzt werden, gefährliche Nachrichten zu erkennen und den SecOps zu melden. Das wiederum bedeutet, die Angestellten brau­ chen entsprechendes Wissen, damit sie genau diese Verantwortung übernehmen können. Wer nicht weiß, was Ransomware, Phishing oder Malware bedeutet, kann hier nichts beitragen. Aber auch das Wissen um Fachbegriffe allein reicht nicht aus, denn die Methoden der Krimi­ nellen sind zweifellos oft sehr perfide und nicht einfach zu erkennen. Daher müssen die Unter­ nehmen ihre Mitarbeiter auch über diese Aspek­ te aufklären. TRAINING IST DAS A UND O Somit ist ein weiterer Schritt erforderlich: das praxisnahe Training. Das lässt sich vielleicht am ehesten mit dem Erlernen des Fahrens verglei­ chen, denn auch nach vielen Theoriestunden und dem Erläutern aller Aspekte des Auto­ fahrens ist man nicht in der Lage, das Auto im SCHWERPUNKT: RANSOMWARE Straßenverkehr zu bewegen. Genauso ist es bei der Cybersecurity, denn nur durch praxisnahe Trainings, simulierte Angriffe, die regelmäßig stattfinden, werden die Mitarbeiter sensibili­ siert, auf potenziell gefährliche E­Mails beson­ ders zu achten. Die Aufklärung, beispielsweise falls ein Empfänger dann doch eine Angriffsmail geöffnet hat, versetzt diesen sodann in die Lage, bei einer echten Attacke richtig zu reagieren und das Unternehmen vor Schaden zu bewahren. Der Mensch wird somit zur letzten Instanz der Cybersicherheit der Organisation. Daraus wird ersichtlich, dass nur im Zusam­ menspiel von technischen Lösungen mit dem geschulten und trainierten Menschen die Unter­ nehmen in die Lage versetzt werden, die digitale Sicherheit langfristig und nachhaltig zu steigern und Cyberattacken ins Leere laufen zu lassen. n Quellenverweise (1) https://www.proofpoint.com/us/blog/ciso-perspectives/how- conflict-ukraine-could-revolutionize-ransomware-threat (2) https://www.bild.de/regional/hamburg/hamburg-aktuell/ zulieferer-von-tankstellen-erpresst-hacker-angriff-legt-oel- lieferant-lahm-79006630.bild.html (3) https://www.sueddeutsche.de/meinung/cyberattacke-pipeline- sicherheitsstandards-1.5290488 (4) https://www.proofpoint.com/de/resources/threat-reports/ state-of-phish WERNER THALMEIER, VP EMEA Systems Engineering und Technical Sales bei Proofpoint IT-SICHERHEIT_2/2022 29

SCHWERPUNKT: RANSOMWARE Auf Webseiten, die viel Traffic erzeugen und die häufig schlecht abgesichert sind, zum Beispiel auf Webseiten mit erotischen Inhalten, wird das Malvertising betrieben. Hierbei werden Werbeeinblendungen mit Schadcode versehen, um Sicherheitslücken im Browser oder dessen Plug­ins auszunutzen. Eine Interaktion ist nicht nötig – wie beim Drive­by läuft der Download automatisch im Hintergrund. Zudem führen Sicherheitslücken in aus dem In­ ternet erreichbaren Systemen, wie VPNs, E­Mail­ Server und Webmail oder auch Virtual Desktop Infrastrukturen (VDI), immer häufiger zu einer Kompromittierung. Angreifer scannen binnen weniger Stunden nach Bekanntwerden einer kritischen Sicherheitslücke das gesamte Internet nach verwundbaren Systemen ab. Unternehmen brauchen hingegen meist mehrere Tage oder so­ gar Wochen, um betroffene Systeme zu patchen. Das kann unter anderem an langen Change­Ma­ nagement­Prozessen, fehlender Inventarisierung, oder an einem langsamen Dienstleister liegen. Bis die Lücken geschlossen werden, sind die Angreifer bereits ins Unternehmensnetz vorgedrungen. PHASE ZWEI: INSTALLATION Ist die Schadsoftware erst heruntergeladen, be­ ginnt sie auch schon ihre Ausführung. Es werden Hintertüren geschaffen, über die die Angreifer jederzeit wieder ins Unternehmensnetz gelan­ gen können. Wie das im Detail aussieht, ist von der jeweiligen Plattform des Zielsystems abhän­ gig. Bei modernen Ransomware­Angriffen sind die Mechaniken mittlerweile soweit ausgereift, dass die Hacker sich in den Systemlandschaf­ ten (längerfristig) ausbreiten, um immensen Schaden zu verursachen. Da weltweit vor allem Windows­Systeme genutzt werden, sind diese am häufigsten von Angriffen betroffen. PHASE DREI: COMMAND-AND-CONTROL Jetzt folgen die Anweisungen über einen zentra­ len Kommandoserver (Command­and­Control). Dieser erlaubt den Angreifer­Teams – über den geschaffenen Zugang zum Unternehmensnetz – gleichzeitig und sehr effizient zu arbeiten. Die Angreifer erforschen das Netz, suchen nach Dateiservern und Datenbanken mit besonders interessanten Daten. Diese laden sie ins Internet hoch, oft unter Nutzung bekannter Plattfor­ men wie Dropbox oder Mega. Sie identifizieren TIPPS FÜR MEHR DIGITALE SICHERHEIT Das große Stichwort ist hier Prävention – technischer sowie prozessualer Art. Windows-Domänen sollten gehärtet und die Endpoint-Sicherheit erhöht werden. Vergebene Berechtigungen und Zugriffe sollten überprüft und klar geregelt sein, unnötige Zugriffe überwacht. Dies gilt ganz besonders bei höher privilegierten Zugriffen. Wichtig sind neben der Firewall auch die Robustheit und der Schutz der Clientsysteme. Das Arbeiten im Homeoffice ist nicht durch die Unternehmens-Firewall abgedeckt, weil die Mitarbeiter in aller Regel ihre privaten Internetverbindungen nutzen. Nur einige wenige Maßnahmen erschweren es Angreifern, sofort Netzwerke und Systeme zu übernehmen. Zum Beispiel: Patch-Management, Administrationshygiene und Netzwerkseparierung. Vor allem dann, wenn intern nicht genügend oder kein Know-how zum Abwehren von digitalen Angriffen vorhanden ist, müssen Verantwortlich- keiten eindeutig geregelt und Prozesse klar definiert sein. Welche Personen sind verantwortlich und welche Informationen müssen bereitgestellt werden? Der Faktor Zeit ist hier maßgebend. Wer im Vorfeld in eine gute Incident- Response-Readiness-Strategie investiert hat, wird rascher auf den Krisenfall reagieren können, und somit am Ende weniger Geld verlieren. und übernehmen zentrale Komponenten im Netzwerk. Über die zentrale Anti­Virus­Konsole wird dann kurz vor dem Start der Ransomware das Anti­Virus im gesamten Unternehmensnetz ausgeschaltet. Sind Backup­Server erreichbar, werden dort vorhandene Backups gelöscht. Über Domain Controller oder über eine zentrale Soft­ wareverwaltung, konfigurieren die Hacker die Verteilung der Ransomware auf alle Server und Clients im Unternehmensnetz. PHASE VIER: DESTRUCTION Jetzt erst folgt die eigentliche Verschlüsselung oder das Blockieren von Daten, Netzwerken und Systemen. Heute werden diese Angriffe nicht sel­ ten sehr strategisch gefahren, indem zum Beispiel zunächst alle Backups (beispielsweise in Form von Volumenschattenkopien) gelöscht werden. PHASE FÜNF: EXTORTION Ist der Angriff erfolgreich abgeschlossen, wird das Unternehmen über die Verschlüsselung in­ formiert. Im gleichen Zuge wird den Opfern die Lösung des Problems – Entschlüsselung und Freigabe gegen Zahlung eines Lösegelds – an­ geboten. Meist setzen die Kriminellen eine Frist, zu der das Lösegeld bezahlt worden sein muss. Geschieht dies nicht, erhöht sich die Summe. Der Betrag kann je nach Unternehmen extrem schwanken, fünf­ oder sechsstellige Beträge in Form von Bitcoins sind bei größeren Firmen üb­ lich. Sicher kann sich das Unternehmen auch bei Zahlung des Lösegeldes nicht sein, zum Normal­ zustand zurückzukehren und Ruhe zu haben, denn die Hacker könnten durch den bereits erfolgten Zugang auf die Systeme irgendwann wieder tätig werden und erneut verschlüsseln. Zudem kann unter gewissen Umständen die Zahlung des Lösegelds als Geldwäsche angese­ hen werden und/oder bei Zahlungen an Hacker aus Embargoländern ein Verstoß gegen Außen­ wirtschaftsvorschriften vorliegen. n WOLFGANG STRASSER, Geschäftsführer @-yet IT-SICHERHEIT_2/2022 31

– ADVERTORIAL – Proofpoint GmbH info-germany@proofpoint.com www.proofpoint.de IT-SICHERHEIT_2/2022 33 4.) Die Rolle von BitcoinBitcoin ist seit der Einführung im Jahr 2009 zu einem Segen für Anhänger des zivilen Liberalismus und gleichzeitig für Cyberkriminelle geworden. Die Zahlungen können weder zum Empfänger noch zum Absender zu-rückverfolgt werden und bieten eine anonyme und reibungslose Möglich-keit für den privaten Zahlungsaustausch.WIE HÄUFIG SIND RANSOMWARE-ANGRIFFE UND WIE OFT SIND SIE ERFOLGREICH?Eine von Proofpoint in Auftrag gegebene und von einem unabhängigen Marktforschungsunternehmen durchgeführte Umfrage unter 600 IT-Sicherheitsexperten ergab, dass im vergangenen Jahr 78 Prozent der Be-fragten in ihrem Unternehmen Ransomware-Angriffe via E-Mail erkannt haben. 49 Prozent berichten sogar von mehr als zehn Angriffen. Und leider sind diese Angriffe oft erfolgreich für die Cyberkriminellen. An-hand des State of the Phish-Berichts 2022 von Proofpoint geben 68 Pro-zent der Unternehmen an, 2021 mit Ransomware infiziert worden zu sein. 14 Prozent berichten von zehn oder mehr separaten Infektionen. LÖSEGELD ZAHLEN – ODER NICHT?2021 entschieden sich immerhin 58 Prozent der infizierten Unternehmen für die Zahlung des Lösegelds. 54 Prozent erhielten daraufhin wieder Zugriff auf ihre Daten, 32 Prozent erhielten erst nach einer weiteren Zah-lung Zugriff und 4 Prozent berichten davon, nie wieder Zugang erhalten zu haben – obwohl eine Lösegeldzahlung erfolgt war. Viele der Unternehmen, die sich für die Zahlung der geforderten Löse-geldsumme entschieden, verfügten vermutlich über eine Cyber-Versiche-rung, die die Ausgaben für die Ransomware-Zahlung erstattete. Doch hier zeichnet sich eine Trendwende ab. Mehr und mehr Versicherungsunter-nehmen werden künftig aktiv die Zahlung von Lösegeldforderungen bei Ransomware-Infektionen in ihren Versicherungsbedingungen ausschlie-ßen; sprich, die IT-Sicherheitsabteilungen werden nicht mehr länger in der Lage sein, gezahltes Lösegeld vom Versicherer zurückzufordern. Dies dürfte sich auch auf die Bereitschaft, Lösegeldzahlungen vorzunehmen, niederschlagen. WELCHE KONSEQUENZEN HABEN RANSOMWARE-INFEKTIONEN?Die Konsequenzen einer Ransomware-Infektion reichen von finanziellen Einbußen über den Verlust vertraulicher oder proprietärer Daten bis hin zu Reputationsschäden und teilweise längeren Unterbrechungen der Ge-schäftsabläufe. Gerade Letztere sind besonders besorgniserregend, wenn Energieversorger oder Krankenhäuser ins Visier geraten. WIE KÖNNEN SICH UNTERNEHMEN VOR RANSOMWARE-INFEKTIONEN SCHÜTZEN?Künftig werden Cybersicherheitsteams das finanzielle Ransomware-Ri-siko nicht mehr auslagern können. Sie sind dafür verantwortlich, dass so-wohl die Wahrscheinlichkeit als auch die Auswirkungen eines potenziel-len Ransomware-Angriffs minimiert werden.Für die meisten Unternehmen besteht der beste Schutz vor Ransomware in der Vermeidung der Erstinfektion durch die Nutzung personenzentrier-ter Sicherheitslösungen. Wenn 75 Prozent aller Ransomware-Infektionen mit einer Phishing-E-Mail ihren Anfang nehmen, so lässt sich das Ran-somware-Risiko deutlich senken, indem die Erstinfektion mit der erwähn-ten Malware vermieden wird. Doch das ist leichter gesagt als getan. Herkömmliche E-Mail-Sicherheits-konfigurationen setzen oftmals noch zu sehr auf das veraltete Signatur-prinzip. Die geeignete Lösung muss jedoch in der Lage sein, eingebettete URLs und Anhänge zu analysieren und somit verhindern, dass schädliche Inhalte das System kompromittieren können. Zudem kann auf DMARC (Domain-based Message Authentification, Reporting and Conformance) basierende E-Mail-Authentifizierung Angriffe mit Domänen-Spoofing stoppen (bei dem die E-Mail-Domäne eines Unternehmens imitiert wird, um das Vertrauen der Anwender zu gewinnen). Die gewählte E-Mail-Sicherheitslösung sollte auch vor anderen Arten der Identitätstäuschung wie Display-Name-Spoofing und Doppelgänger-Domänen schützen. Auch cloudbasierte E-Mail-Konten sind ein häufig genutzter Vektor für die Verteilung von Malware. Cyberkriminelle können die Kontrolle über Cloud-Konten übernehmen, um auf diese Weise praktisch von innen he-raus andere Anwender des betroffenen Unternehmens anzugreifen. So spielt die Absicherung von Cloud-Nutzer-Konten beim Schutz vor Ran-somware-Angriffen eine wichtige Rolle.Neben der Technologie ist aber auch die Sensibilisierung der Mitarbeiter entscheidend. Die meisten Malware-Infektionen beginnen mit einem arglosen Mitarbeiter, der eine scheinbar harmlose E-Mail oder deren An-hang öffnet. Nutzer sollten daher wissen, was sie tun bzw. lassen müssen und wie sie Ransomware-Attacken vermeiden sowie melden können. Ein Schulungsprogramm, das reale Angriffe nachempfindet und es den Mit-arbeitern einfach macht, verdächtige Nachrichten zu melden, erleichtert die Schulung der Anwender beim Erkennen verdächtiger E-Mails und ver-stärkt positives Verhalten. n

SCHWERPUNKT: RANSOMWARE Privatanwender-Software gegen Ransomware: Der Advanced-Threat-Protection-Test stellte einige Schutzpakete auf eine harte Probe gegen Ransomware-Angriffe. Unternehmens-Lösungen gegen Ransomware: Zehn der 13 getesteten Endpoint-Lösungen unter Windows 10 zeigten ein perfekte Abwehr-Ergebnis im Advanced-Threat-Protection-Test gegen Ransomware-Angriffe. IT-SICHERHEIT_2/2022 35 aufhalten. Dadurch kommt es am Ende der beiden Attacken zu einer Verschlüsselung. Der Schutz-Score liegt somit trotz zehn von zehn Er-kennungen bei 34 von 36 Punkten.Avast Business Antivirus Pro Plus und Syman-tec Endpoint Security Complete erkennen acht von zehn Angriffen. Die beiden, die unerkannt durchkommen, sorgen für eine Verschlüsselung. Daher gibt es in beiden Fällen keine Punkte für den Schutz-Score und es bleiben 30 von 36 mög-lichen Punkten.Die Auswertung der Angriffsdiagramme zeigt schnell, dass die bereits angesprochene „reine“ Erkennung eines Angriffs durch ein Schutzpro-gramm nicht immer ausreicht. Denn selbst ein durch eine Ransomware teilverschlüsseltes Sys-tem ist gefährlich. Aber wie der Test zeigt, gibt es viele Produkte am Markt, die auch in diesen sehr realistischen Praxistests zeigen, wie gut sie Angriffe und vor allem Ransomware abwehren.TEST VON SECURITY-PA-KETEN BEI RANSOMWARE MIT DATA STEALERNEine Attacke mit Ransomware ist schnell erklärt: Die Angreifer versuchen in das System einzu-dringen, führen eine Malware aus, verschlüsseln die Daten des Systems und fordern ein Lösegeld für die Entschlüsselung. Diese Art der Attacke ist eher ein Massenangriff und wird oft per Bot-netzwerk ausgeführt.Die Attacke mit einem sogenannten Data Stealer ist wesentlich spezieller, denn in der Regel geht einem solchen Angriff eine Spear-Phishing-Atta-cke voraus. Allein dieser Umstand zeigt, dass der Angriff mit einigem Aufwand geplant ist, mehr investiert wird und teilweise gezielt auf ein Op-fer abgestimmt ist.Data Stealer sind eine Art doppelte Malware. Es wird wird eine Attacke ausgeführt, die der einer Ransomware gleicht. Allerdings: ist der Angriff erfolgreich, so wird als Täuschung beziehungs-weise Ablenkung nur eine kleine Menge an Daten verschlüsselt oder einfach nur umbe-nannt, um eine Verschlüsselung vorzutäuschen. Abschließend wird ein Lösegeld verlangt. Das eigentliche Ziel aber ist der Diebstahl von Da-ten im Hintergrund, der sonst nicht üblich ist. Die Daten landen dann entweder im Darknet oder bei einem Auftraggeber, etwa im Fall von Wirtschaftsspionage. Das Labor hat fünf dieser

HZ212323 · ISSN 1868-5757 · www.datakontext.com April/Mai 2/2022 IT­Sicherheit in der Banken­ und Finanzwelt „DORA“: Warum Cyber-Resilienz in der Finanzindustrie einen europäischen Mantel braucht Endpoints: Wie Banken den Schutz ihrer End- geräte meistern VAIT-Prüfung: Warum Versicherungen drin- gend ihre Informationssicherheit verbessern müssen MARKT- ÜBERBLICK: Relevante Hersteller/ Dienstleister und ihre Angebote

Inhalt 38 Editorial Anbieter 40 Verschärfte Bedrohungslage für Finanzdienstleister Mehr Investitionen in Cybersicherheit 60 Wie sich Finanzinstitute gegen Cyberangriffe schützen können 42 Warum Cyber-Resilienz in der Finanzindustrie einen europäischen Mantel braucht „Digital Operational Resilience Act“ (DORA) 45 VAIT-Prüfung der BaFin fordert unverzügliche Verbesserung Informationssicherheit mangelhaft 48 Cybersecurity im Finanzwesen Die Endgeräte gegen Hacker abschotten 50 Strategien für den Endpunktschutz Prävention schlägt Reaktion 62 Warum Banken jetzt eine umfassende Interconnection­Strategie brauchen 64 Keine Frage des ‚Ob‘, sondern ‚Wann‘ ein Ransomware-Angriff stattfindet Mit einer Backup­Strategie gut vorbereitet sein 66 E-Mail im Visier der Cyberkriminellen Brennpunkte für die IT­Sicherheit der Banken 68 Auslagerung von Banken-IT stellt besondere Anforderungen an Dienstleister Hohe Hürden für Rechenzentren 52 Cyber Resilience in Zeiten von externen 70 Cybersecurity im Finanzwesen Bedrohungen und Ransomware Das Backup – die letzte Verteidigungslinie „Banken müssen Hacker in die digitale Quarantäne schicken“ 54 Hochsicherer Datenaustausch und Banken ihre digitale Abwehr 72 Der Mensch im Mittelpunkt – so stärken geschützte digitale Zusammenarbeit in der Finanzbranche Secure Content Collaboration 56 Die fünf Phasen eines Erpressungsangriffs Ransomware­Angriffe in der Finanzwelt 58 Finanzdienstleister zwischen Kern- geschäft und digitaler Transformation Kriterien für das Banken­RZ 74 Use Case Oldenburgische Landesbank: Kompromissloser Datenschutz dank sicherer Datenräume SPECIAL_2/2022 IT-SICHERHEIT IN DER BANKEN- UND FINANZWELT 39

Maßnahmen hinsichtlich einer veränderten digitalen Welt mit Cloud, Apps und Plattformen. Auch für eine bessere Mit- arbeiter-Awareness gegenüber Phishing-Kampagnen oder Automatisierung und Integration einzelner IT-Security-Sys- teme muss mehr gemacht werden.“ Als größte Cyberbedrohung sehen 68 Prozent der befrag- ten Banken, Versicherungen und Vermögensverwaltungen Ransomware und Phishingmails, gefolgt von der Nutzung un- autorisierter Geräte (66 Prozent). 55 Prozent halten es ebenso für wahrscheinlich, Opfer einer DDos-Attacke (Distributed-De- nial-of-Service) zu werden, die Dienste oder Webseiten blo- ckieren und unbenutzbar machen. „Die Methoden und Tech- nologien, die für Cyberattacken genutzt werden, sind vielfältig und entwickeln sich ständig weiter. Hacker sind in der Regel ihren Zielen zwei Schritte voraus und häufig schon lange vor dem tatsächlichen Angriff bereits in den IT-Systemen. Gerade deshalb gilt es, in das Identifizieren von Schwachstellen und die Prävention von Cyberangriffen zu investieren“, schätzt Zillmann die Situation ein. „Dabei kommt es aber nicht nur auf prozessuale und technologische Aspekte an, sondern vor allem auf die Sensibilisierung der Mitarbeitenden gegenüber Angriffsversuchen, beispielsweise via Phishing-Kampagnen.“ Als häufigste Folge von Cyberattacken sehen 73 Prozent der Finanzdienstleister einen Abfluss von Kundendaten. 67 Prozent befürchten den Abgriff kritischer Unternehmens- daten. Hohe Lösegeldforderungen (33 Prozent) oder Umsatz- einbußen (31 Prozent) erwartet jeder dritte Studienteilneh- mende. Budgets für Cybersecurity sollen steigen Um den Schutz der IT- und Unternehmenssysteme zu er- höhen, sollen die Ausgaben für IT Security teilweise sehr stark steigen. Während für Detection, Response und Recovery, also Aktivitäten nach einem erfolgten Angriff, die Budgets vorwie- gend um bis zu zehn Prozent steigen oder konstant bleiben sollen, wird in den Bereichen Identify und Prevention, also der frühzeitigen Erkennung von Schwachstellen und Abwehr von Angriffen, von deutlich stärkeren Budgeterhöhungen ausge- gangen. Die Rolle der Cloud für die Cyberresilienz Der Run auf die Cloud ist auch bei Finanzdienstleistern in vollem Gange. Kaum eine Bank oder Versicherung, die sich noch nicht mit dem Thema beschäftigt hat. Auch das zeigt die Lünendonk/KPMG-Studie. 95 Prozent der untersuchten Fi- nanzdienstleister werden demnach bis zum Jahr 2023 eine Cloud-Strategie ausgerollt haben. „Das ist ein begrüßenswer- ter Fortschritt in Sachen Digitalisierung, doch mit der Cloud allein sind die Finanzdienstleister noch lange nicht am Ziel“, so Nern. „Jede neue Umgebung bringt neue Herausforderun- gen mit sich und in Sachen Cloud Security und Cyber Resi- lience sind die Defizite der Unternehmen noch immer groß. Der Grund: Trotz der verbreiteten Nutzung von Ökosystemen, Cloud Services und Drittanbietern enden die Sicherheitsvor- kehrungen bei 46 Prozent der Finanzdienstleister noch immer an den eigenen Unternehmensgrenzen. Die daraus entstehen- SPECIAL_2/2022 IT-SICHERHEIT IN DER BANKEN- UND FINANZWELT 41 . . m o c e b o d a k c o t s - 1 2 1 m a d a © : d l i B den Lücken im Cyber-Schutzschild ermöglichen den Angrei-fern leichtes Spiel. Dennoch überprüfen lediglich 25 Prozent der Befragten Unternehmen regelmäßig den Sicherheitssta-tus ihrer IT-Systeme. Eine Sonderrolle spielen hier allerdings Versicherungen, die aufgrund ihres Geschäftsmodells bereits stärker auf die Absicherung ganzer IT-Ökosysteme achten. Dennoch nehmen auch sie das Thema IT Security vorwiegend als einen lästigen Kostenblock wahr.“Ähnliche Rückstände gäbe es auch bei der Berücksichti-gung von Security-by-Design-Ansätzen, die nur 44 Prozent der Befragten bei der Entwicklung ihrer Produkte mit einbe-zögen. „Dabei würden sie eigentlich einen attraktiven Hebel darstellen, um die hohen Vorgaben der Aufsicht zu erfüllen“, so Nern. „Grund für diese Vorgaben sind die sensiblen Kunden-daten der Finanzdienstleister sowie ihre kritische Infrastruk-tur, die immer häufiger ins Fadenkreuz der Angreifer gerät. Dabei setzen die Hacker zunehmend auf immer professionel-le cyber-kriminelle Erpressungsmethoden (Targeted Attacks), weshalb die Bedrohungslage laut aktuellem Bericht des Bun-desamts für Informationssicherheit ‚angespannt und kritisch‘ ist. Noch nicht eingeschlossen ist hier die Verschärfung der Cy-berangriffe durch den Krieg in der Ukraine“. Vor allem kriti-sche Infrastrukturen wie Banken, Versicherungen und Asset Manager müssten besonders auf der Hut sein.Nern sieht eine hohe Notwendigkeit für ein Security-Kon-zept, welches das gesamte IT-Ökosystem mit einschließt, so-wie für einen ganzheitlichen Ansatz, der IT-Security zur Chef-sache macht und Verantwortungen nicht bloß an Dienstleister und die eigene Fachabteilung delegiert: „Finanzdienstleister sollten ihre Cyberresilienz auf allen Ebenen erhöhen. Dafür stehen diverse Tools und Strategien zur Verfügung, die bes-tenfalls aufeinander aufbauen – von ‚Identifiy‘ (Identity and Access Management) über ‚Prevention‘ (Monitoring, Cloud & Data Center Security) und ‚Detection‘ (SIEM, SOC) bis zum ‚ Response‘ (Incident Response) und der ‚Recovery‘ (Business Continuity). Für Unternehmen, die noch am Anfang ihrer Cy-berstrategie stehen, empfiehlt sich dagegen ein ganzheitliches Security Assessment (NIST-Basis) und die Festlegung von Mi-nimumstandards und Benchmarks – sowie ein ordentlicher Tritt aufs Gaspedal. Denn klar ist: Datensicherheit wird für Kunden in den kommenden Jahren zu einer zentralen ‚Value Proposition‘ werden und den Wettbewerb mit anderen Unter-nehmen maßgeblich bestimmen.“ nQuellen:[1] Lünendonk/KPMG: „Von Cyber Security zu Cyber Resilience“, 2022 Downloadbar unter: https://hub.kpmg.de/von-cyber-security-zur-cyber-resilienceS.M.

Im Jahr 2020 hat die Europäische Kommission den ersten Entwurf des „Digital Operational Resilience Act“ (DORA) ver- öffentlicht. Die Verordnung soll ein zentraler Treiber der eben- falls im letzten Jahr formulierten „Digital Finance Strategie“ für Europa werden. Die beiden wichtigsten Ziele von DORA sind einerseits die Widerstandsfähigkeit der Finanzunterneh- men gegen IT-bezogene Risiken zu erhöhen und andererseits die dafür nötigen Anforderungen in der EU zu harmonisie- ren. Letzteres betrifft sowohl die Regeln für die Prüfung der digitalen operativen Belastbarkeit als auch das Reporting und die Klassifizierung von IT-Vorfällen und die Regeln für das IT- Risikomanagement. DORA umfasst – im Gegensatz zu vielen anderen Verordnungen für den Finanzsektor – auch nicht-fi- nanzielle (kritische) IT-Drittanbieter, sofern sie ihre Dienstleis- tungen für Finanzunternehmen erbringen. Bei DORA handelt es sich also um eine Verordnung nach europäischem Recht. Für die Finalisierung des Entwurfs ist noch gut ein Jahr vorgesehen, und danach dauert es noch ein weiteres Jahr, bis die Verordnung Gültigkeit erlangt. Realis- tisch ist also davon auszugehen, dass DORA erst 2024 scharf geschaltet wird. Als Projekt der Europäischen Kommission sind für Einführung und Überwachung von DORA die drei Europäischen Aufsichtsbehörden (Englisch: European Su- pervisory Authorities – kurz ESA) zuständig: die Europäische Bankenaufsichtsbehörde (EBA), die Europäische Wertpapier- und Marktaufsichtsbehörde (ESMA) und die Europäische Auf- sichtsbehörde für das Versicherungswesen und die betriebli- che Altersversorgung (EIOPA). Zeitachse mit den DORA-relevanten Dokumenten und Erwartungen für die Inkraftsetzung (Quelle: EY) Gründe, die aus EU-Sicht für DORA sprechen Finanzunternehmen haben in den letzten Jahren ihre Di- gitalisierung massiv vorangetrieben. Für die kommenden Jah- re ist sogar noch mit einer weiteren Steigerung der Aktivi- täten auf diesem Gebiet zu rechnen. Früher oder später wird nahezu jeder Aspekt im Betrieb einer Bank und anderen Fi- nanzunternehmen auf IT basieren. Bei einigen neueren Ban- ken ist das bereits heute der Fall. Eine immer funktionierende IT wird damit überlebenswichtig. Die EU sah vor diesem Hin- tergrund aus mehreren Gründen Handlungsbedarf. Darüber hinaus machte die COVID-19-Pandemie deutlich, wie wichtig die operative Resilienz des finanziellen Sektors ist, da die Fi- nanzunternehmen auf Technologie und IT-Dienste angewie- sen sind, um sich an Homeoffice und neue Arbeitsmethoden zu adaptieren. SPECIAL_2/2022 IT-SICHERHEIT IN DER BANKEN- UND FINANZWELT 43 . . m o c e b o d a k c o t s - o d r a u d E © : d l i B Mehr CyberangriffeDer Finanzsektor ist mit steigender Abhängigkeit von der IT grundsätzlich ein sehr attraktives Ziel für Cyberangriffe. Die Angriffsflächen haben sich durch die Vernetzung von Fi-nanzdienstleistern – auch über Ländergrenzen hinweg – noch einmal massiv vergrößert. Teilweise sind hier sehr heteroge-ne IT-Systeme aufeinandergestoßen. Hohe IT-Management-Komplexität mit der Gefahr weiterer Schwachstellen war die Folge. In der Pandemie schließlich haben sich weitere Schwä-chen im digitalen Raum gezeigt, insbesondere entlang der End-to-End-Lieferketten.Höhere Abhängigkeit von DrittanbieternDas Ökosystem der Finanzwelt umfasst auch Lieferanten – in erster Linie aus dem IT-Sektor, die im Zuge der Digitalisie-rung ebenfalls ihre Netzwerke massiv ausgebaut haben. Um ihre Leistung erbringen zu können, sind damit auch sie im gesteigerten Maße vom Funktionieren ihrer IT abhängig. Fi-nanzunternehmen müssen diesen Aspekt künftig im eigenen Interesse stärker beachten. Deshalb wird in DORA ausdrück-lich gefordert, auch die Lieferantennetzwerke in die Risikobe-wertung der IT mit einzubeziehen. In diesem Zuge ist geplant, den ESA neue Befugnisse gegenüber IT-Drittanbietern einzu-räumen. So sollen die ESA beispielsweise Geldstrafen von bis zu einem Prozent des weltweiten Tagesumsatzes verhängen und Finanzunternehmen auffordern können, Verträge mit Dienstleistern aufgrund von Nichteinhaltung der Anforde-rungen zu kündigen.EU-weites Maß für den Reifegrad der betrieblichen Resilienz erforderlichBislang gibt es in der EU kein einheitliches Bewertungs-system für Cyberrisiken im Finanzsektor. Zudem deckt die aktuelle EU-Gesetzgebung nicht jeden Finanzdienstleistungs-sektor ab. Beide Mankos sollen durch DORA behoben werden.Behörden in der EU erlassen für das IT-Risikomanagement teilweise sehr unterschiedliche Vorschriften. Bei international tätigen Unternehmen führt das zu rechtlichen Unklarheiten. Hinzu kommt, dass auch die Aufsicht im EU-Binnenmarkt derzeit noch sehr unterschiedlich läuft. Für Finanzunterneh-men bedeuten diese Hürden einen beträchtlichen adminis-trativen Mehraufwand. Hier soll DORA vor allem die Effizienz verbessern.

VAIT-Prüfung der BaFin fordert unverzügliche Verbesserung Informationssicherheit mangelhaft Im Rahmen der „Fachtagung Informationssicherheit im Versicherungsunternehmen“ stellte das Bundesamt für Finanzdienstleistungsaufsicht (BaFin) vor wenigen Monaten Ergebnisse aus den bisherigen VAIT-Prüfungen vor. Erschreckendes Ergebnis ist, dass fast die Hälfte der geprüften Versicherungsunternehmen im Bereich Informationsrisiko- management mit der schlechtesten Stufe F4 (schwerwiegende Mängel) bewertet wur- den. Folgender Beitrag gibt einen Einblick in die neuen Anforderungen der VAIT, Status quo der Umsetzung bei Versicherungsunternehmen und zeigt Lösungen auf, wie die Informationssicherheit verbessert werden kann. I n Sachen Informationsrisikomanagement fällt nahezu die Hälfte der geprüften Versicherungsunternehmen glatt durch. Etwas besser, aber keineswegs akzeptabel, sieht es im Bereich Informationssicherheitsmanagement aus. Besonders auffällig war hierbei jedoch, dass konkrete opera- tive Themen, wie zum Beispiel „Security Incident & Event Management (SIEM)“, bei allen geprüften Versicherungsun- ternehmen mit der schlechtesten Stufe F4 bewertet wurden (Essler, 2021). Zur Einordnung der Prüfergebnisse starten wir mit dem „Big Picture“, also der Prüfgrundlage in Form der neuen „Ver- sicherungsaufsichtlichen Anforderungen an die IT (VAIT)“, die zum 3. März 2022 in Kraft traten.(1) Hintergrund der Novellie- rung waren die immense und weiter steigende Bedrohungs- lage mit nahezu täglichen – teils sehr verheerenden – Cyber- und IT-Angriffen sowie die Abdeckung sämtli- cher Anforderungen aus der European Insurance and Occupational Pensions Authority (EIOPA). Neben diver- sen Konkretisierungen und Anpassungen wurden als größte Änderung die Kapitel „5. Operative Informa- tionssicherheit“ und „10. IT-Notfallmanagement“ neu in die VAIT aufgenommen. Bild 1 visualisiert den Aufbau der VAIT 2022 und ordnet die Kapitel in der Compliance- und Gover- nance-Pyramide ein. Die beiden neu hinzugekommenen Kapitel verfolgen das Ziel, die Informationssicherheit stärker im operativen Ge- schäft der Versicherungsunternehmen zu verankern und sicherzustellen, dass schneller und zielgerichtet auf aktive . . m o c e b o d a k c o t s - H M © | r e k c o t s t s u J © : d l i B Bild 1: Big Picture – Aufbau der Compliance- und Governance- Pyramide 1. IT-Strategie 2. IT-Governance 11. Kritische Infrastrukturen 10. IT-Notfallmanagement 3. Informationsrisikomanagement 4. Informationssicherheitsmanagement 9. Ausgliederungen und sonstiger Fremdbezug von IT-Dienstleistungen 6. Identitäts- und Rechtemanagement 8. IT-Betrieb 5. Operative Informationssicherheit 7. IT-Projekt und Anwendungsentwicklung Bedrohungen und Angriffe reagiert werden kann. Der neue Bereich „5. Operative Informationssicherheit“ verlangt unter anderem: ƒ Einführung von dem Stand der Technik entsprechenden Informationssicherheitsmaßnahmen und -prozessen ƒ Einführung eines Überwachungssystems für die Infor- mationssicherheit ƒ Kontrollen der Wirksamkeit der Informationssicherheit SPECIAL_2/2022 IT-SICHERHEIT IN DER BANKEN- UND FINANZWELT 45

eingeführt. Ein Mangel, der dringlichst nachzuholen ist. Stand heute ist davon auszugehen, dass IT- und Informationssicher- heitsvorfälle seitens der Versicherungsunternehmen gar nicht in ausreichender Qualität erfasst werden können und bereits kompromittierende Attacken stattgefunden haben könnten, ohne dass das Versicherungsunternehmen das überhaupt mit- bekommen hat. Auch die Analyse der Bedrohungslage ist mit einfachen Mitteln umzusetzen und muss dringlich erfolgen. Dies gilt im Übrigen nicht nur aufgrund der neuen VAIT, son- dern bereits längst auf Basis anderer Gesetzgebung wie zum Beispiel des IT-Sicherheitsgesetzes (IT-SiG) – insbesondere in Bezug auf kritische Dienstleistungen der Versicherungsunter- nehmen (zum Beispiel Schadensmanagement) – oder auch des Gesetzes zur Kontrolle und Transparenz im Unternehmens- bereich (KonTraG) beziehungsweise des Aktiengesetzes (AktG). Wörtlich schreibt das Aktiengesetz dazu in § 91 Abs. 2 AktG eine Vorschrift vor, nach der der Vorstand verpflichtet wird, „geeignete Maßnahmen zu treffen, insbesondere ein Überwachungssystem einzurichten, damit den Fort- bestand der Gesellschaft gefährdende Entwicklun- gen früh erkannt werden.“ Der Vorstand einer börsennotierten Gesellschaft hat darü- ber hinaus ein im Hinblick auf den Umfang der Geschäftstätig- keit und die Risikolage des Unternehmens angemessenes und wirksames internes Kontrollsystem und Risikomanagement- system einzurichten.(3) Die oben genannten „neuen“ Themen der VAIT, wie ein Monitoring der Bedrohungslage und die Ableitung von Maß- nahmen oder auch eine Überwachung des IT-Betriebs mittels SIEM, sind ebenso wie alle vorgelagerten organisatorischen Aktivitäten allein daher schon seit Jahren notwendig. Was tun? Was können Versicherungsunternehmen nun also tun, um den notwendigen Anforderungen schnellstmöglich gerecht zu werden? Die oberste Prämisse ist sicherlich das Management sämtlicher relevanter Informationen und Daten hinsichtlich der Informationssicherheit. Notwendig ist zudem die Etablie- rung geeigneter Software zum Management der Informati- onssicherheit und des Informationsrisikomanagements so- wie die Einführung technischer Lösungen zum Beispiel im Kontext SIEM. Die Angebote sind am Markt vorhanden, und die erfolgreiche Umsetzung ist bereits in anderen Branchen, wie zum Beispiel der Automobilindustrie erfolgt. Des Weite- ren gilt es, das Notfallmanagement zu verbessern und The- men der IT- beziehungsweise Informationssicherheit ange- messen in die vorhandenen Notfallprozesse zu integrieren. Ebenso machbar sind die notwendige Sensibilisierung und die Schulung von Mitarbeitern/innen. Ein weiterer wichtiger wie oftmals vernachlässigter An- satzpunkt ist die Management Attention. Die in der VAIT be- schriebenen Themen sollten bei strategischen Management- entscheidungen eine größere Rolle einnehmen. Klar ist, dass eine sinnvoll und vollumfänglich implementierte Informati- onssicherheit bei kurzfristiger Betrachtung erst einmal Geld kostet und die Profite schmälert. Langfristig gesehen verhin- dert sie jedoch große finanzielle Schäden und Reputationsver- lust, da, wie eingangs erwähnt, in der heutigen Zeit Angrif- fe auf die IT-Infrastruktur mehr die Regel als die Ausnahme sind. Daher ist es unumgänglich, zumindest die Grundlagen der Informationssicherheit in alle Prozesse des Unternehmens einzubringen. Dies beginnt bereits in Einkaufsentscheidungen und mündet in der Frage, ob ein Outsourcing an Dritte oder Töchter aus einer Risikobetrachtung noch rentabel ist. Informationssicherheit ist auch keine Frage der Verfüg- barkeit von passenden Lösungen mehr. Auf dem Markt tum- meln sich Anbieter für jeden erdenklichen Anwendungsfall, von spezialisierten technischen Lösungen bis zu umfassenden Management-Tools. Die Herausforderung ist aktuell vielmehr das systematische Vorgehen und der Einsatz von Software, die die Effektivität und Effizienz bei der Umsetzung der regulato- rischen Anforderungen erhöhen kann. Fazit Es ist selbsterklärend, dass die Änderungen nicht von heu- te auf morgen umsetzbar sind und es größeren Aufwand bei der Umsetzung der neuen VAIT benötigen wird. Fakt ist aber auch, dass die Novellierung keine unüberwindbare Hürde dar- stellt, da es den Kern der Anforderungen bereits vorher durch das Aktiengesetzt sowie das IT-Sicherheitsgesetz gab und die Anforderungen denen gängiger Best-Practice-Standards, wie zum Beispiel der ISO 27001, entsprechen. Die mangelhafte Umsetzung der VAIT ist daher nicht nachvollziehbar und zeigt schwerwiegende offene Flanken. Es gilt, unverzüglich zu han- deln: IT- und Informationssicherheit kostet Zeit und Geld – feh- lende IT- und Informationssicherheit die Zukunft! n Quellen Essler, R. (2021). Fachtagung Informationssicherheit im Versicherungsunternehmen 15. September 2021, Ergebnisse aus den VAIT-Prüfungen. „2021-09-15 Regulierung_VAIT Prüfungen- BaFin_Fachtagung IS im VU“. BaFin (1) https://www.bafin.de/SharedDocs/Veroeffentlichungen/DE/Meldung/2022/ meldung_2022_03_03_Aktualisierung_VAIT.html (Abrufdatum 31.03.2022) (2) https://www.bafin.de/SharedDocs/Veroeffentlichungen/DE/Rundschreiben/2018/rs_18_10_ vait_va.html?nn=9021442 (Abrufdatum 31.03.2022) (3) https://www.gesetze-im-internet.de/aktg/__91.html (Abrufdatum 31.03.2022) Dr. Stefan Wagner, ISO/IEC 27000 Series Auditor mit zusätzlicher Prüfverfahrenskompetenz nach § 8a (3) BSIG Dr. Christian Ritter, Leiter Produktmanagement ibi systems GmbH Wladislaw Kiesner, Produktmanager ibi systems GmbH SPECIAL_2/2022 IT-SICHERHEIT IN DER BANKEN- UND FINANZWELT 47

mit Bildern oder anderen ausführbaren Dateien im Anhang auf den Computer und in das System. Die Hacker verschlüs- seln Daten und fordern anschließend ein Lösegeld für die Freigabe. Das BSI rät davon ab, diesen Lösegeldforderungen nachzukommen, da es keine Garantie gibt, dass die Täter die Daten tatsächlich wieder entschlüsseln. Vor allem kleinere Fi- nanzhäuser sind ein beliebtes Ziel für Ransomware-Angriffe. Anders als Großbanken verfügen sie häufig nicht über ausrei- chende Cybersecurity-Maßnahmen. Mit dem Hackernetzwerk „Hive“ erreichen solche Erpres- serangriffe eine neue Dimension. Seit Mitte 2021 versendet die Gruppe massiv Phishing-E-Mails an Unternehmen, um Ran- somware-Attacken zu lancieren. Das Gefährliche daran: Die Hacker verschlüsseln nicht nur Daten, sondern ziehen sie auch von den Servern der Opfer ab. Dann drohen sie damit, sensib- le Daten online zu veröffentlichen. Die Strategie eines Daten- Backups geht somit nicht mehr auf. Ransomware ist derzeit auch deshalb auf dem Vormarsch, weil „Emotet“ zurück ist. Der Trojaner galt lange als gefähr- lichste Software der Welt. Anfang 2021 gelang es Polizeibehör- den und Staatsanwaltschaften, in mehreren Ländern die In- frastruktur von „Emotet“ zu zerschlagen. Nun ist die Malware aber wieder aktiv – und dient als Türöffner für Ransomware- Attacken. Ist der Trojaner einmal installiert, können die Hacker ungehindert weitere Schadprogramme nachladen – häufig in Form einer Verschlüsselungssoftware für Ransomware. Hochprofessionelle Angreifer Wie schlecht Banken vor solchen Angriffen geschützt sind, zeigen die Ergebnisse einer Studie des Research- und Analys- ten-Hauses techconsult. Vor allem Phishing-E-Mails haben sich demnach in der Branche zu einem ernsthaften Prob- lem entwickelt. Sieben von zehn Finanzunternehmen wur- den bereits Opfer von Cyberkriminalität durch die falsche Handhabung von E-Mail-Anhängen. Die häufigste Ursache für Angriffe sind menschliche Fehler. Trotzdem setzen viele Unternehmen im Finanzsektor weder technische noch orga- nisatorische Maßnahmen zum Schutz vor E-Mail-basierten Bedrohungen ein. Laut Umfrage liegt dieser Wert zwischen sechs und zehn Prozent. Deutlich zu hoch – berücksichtigt man, dass Cyberkrimi- nelle inzwischen hochprofessionell und global agieren und sich zu Netzwerken zusammenschließen. Der Aufbau dieser Strukturen war auch deshalb möglich, weil Hacker nun mit anonymen Zahlungsmitteln, wie zum Beispiel Bitcoins, im- mer höhere Geldbeträge erpressen können. Diese Summen fließen dann in die Optimierung bestehender Angriffsmetho- den oder in die Entwicklung neuer Angriffsmuster. Oberste Prämisse: Internet absichern Ein Virenscanner allein reicht als Schutz vor immer raf- finierteren Attacken längst nicht mehr aus. Der wirksamste Schutz vor Eindringlingen aus dem Internet ist stattdessen ein virtueller Browser. Anstatt – wie bei Antivirenprogram- men – Schadcodes zu erkennen, werden alle potenziell ge- fährlichen Aktivitäten in diesem virtuellen Browser isoliert. Betriebssystem und Browser sowie Internet und lokales Netz- werk müssen dabei komplett voneinander getrennt sein. Nur dann bleibt eindringende Schadsoftware in der virtuellen Um- gebung eingeschlossen und kann sich nicht auf dem Rechner und im lokalen Netzwerk verbreiten. Ein direkter Zugriff für Malware auf das Internet ist so ebenfalls proaktiv unterbun- den und das Datenabgreifen wird verhindert. Hochsichere VPN-Verbindung Für die Arbeit aus dem Homeoffice ist zudem eine sichere Anbindung mobiler Geräte an das Netzwerk entscheidend. Ein Virtual Private Network (VPN) bietet die Grundlage für eine verschlüsselte Datenübertragung von zu Hause und unter- wegs. Allerdings müssen solche VPN-Verbindungen für die besonders hohen Anforderungen von Banken ausgerichtet sein. Ein softwarebasierter VPN-Client, der unabhängig vom Betriebssystem arbeitet, bietet die höchste Sicherheitsstufe. Und zwar aus folgendem Grund: Sobald eine Netzwerk- verbindung am Remote-Gerät aufgebaut wird, ist der VPN- Tunnel an. Man bezeichnet das als „Always-on“. Gleichzeitig ist ohne eine VPN-Verbindung Windows offline. Einzig im Fall, dass der VPN-Client ein sicheres Netzwerk erkennt – bei- spielsweise im Büro – deaktiviert er sich von selbst. Eine sol- che „friendly network detection“ ermöglicht dem User, in ver- schiedenen Netzwerkumgebungen sicher mobil zu arbeiten. Ein hochsicherer VPN-Client schützt auch vor Angriffen aus dem Betriebssystem. Denn IT-Sicherheitsprodukte müs- sen heutzutage nicht nur in der Lage sein, Gefahren von außen abzuwehren. Um wirkliche Sicherheit zu erlangen, brauchen Unternehmen auch einen Schutz vor potenziell unsicheren Komponenten im Betriebssystem. Spezielle „Zero-Trust-Pro- dukte“ arbeiten daher unabhängig vom Windows-Betriebs- system. Eine weitere Falle droht bei der Nutzung mobiler Endge- räte: Sie können unterwegs gestohlen werden oder verloren gehen. Eine Festplattenverschlüsselung verhindert, dass un- autorisierte Personen Daten von den Geräten abgreifen kön- nen. Mit einem solchen mehrstufigen 360-Grad-Schutz für die Endgeräte erschweren Finanzunternehmen einen Cyber- angriff erheblich. n Clemens A. Schulz, Director Desktop Security bei Rohde & Schwarz Cybersecurity SPECIAL_2/2022 IT-SICHERHEIT IN DER BANKEN- UND FINANZWELT 49

in Echtzeit. In der Regel geschieht das in weniger als 20 Milli- sekunden – also deutlich bevor sich der Schadcode entfalten kann. Ransomware benötigt typischerweise bis zu 15 Sekunden, bevor sie mit der Verschlüsselung der Daten beginnen kann – weit mehr also, als die maximal 20 Millisekunden, die die Deep-Learning-basierten Lösungen für Erkennung und Ab- wehr benötigen. Darüber hinaus resultiert aus diesem Verfah- ren erfahrungsgemäß eine Erkennungsrate von 99 Prozent bei unbekannter Malware, und es treten weniger als 0,1 Pro- zent falsch-positive Warnungen auf. Gerade Letzteres entlastet das Security-Team maßgeblich. Deep Learning an sich ist nichts Neues – es kommt zum Beispiel für autonomes Fahren, bei der Gesichtserkennung oder in der Medizin zum Einsatz. Im Gegensatz zum klassi- schen Machine Learning arbeitet Deep Learning automatisch und kommt ohne Training von Modellen durch menschliche Akteure aus. Bei neuen Endpoint-Schutzlösungen kommt idealerweise ein speziell auf Cybersecurity zugeschnittenes Deep-Learning-Framework zum Einsatz. Intelligenz im Agenten Die fertig ausgebildete künstliche Intelligenz, gewisserma- ßen das „Hirn“ einer solchen Lösung, steckt direkt im Agenten auf dem Endpoint, der die Systemressourcen dennoch kaum belastet. Für die Voraussage und Prävention von Angriffen über bekannte und unbekannte Malware, Zero-Day-Exploits, Ransomware und gängige Scripts benötigt der Agent keinerlei Cloud-Zugriff – ein ausschlaggebender Faktor für die hohe Ar- beitsgeschwindigkeit. Der Agent sollte eine Vielzahl von Datei- typen unterstützen, inklusive PDF, Office, Fonts, TIFF, JAR und Makros. Und da der Agent Bedrohungen anhand typischer Merkmale, eben der „DNA“, erkennt, ist ein Update nur ein- bis zweimal pro Jahr erforderlich. Die oft mehrmals täglichen Si- gnatur-Updates und ständigen Threat-Intelligence-Abfragen bisheriger Lösungen entfallen. Für die Verteidigung gegen weitere Angriffsarten, wie dateilose und mehrstufige Attacken, Remote Code Injection, Spyware oder Credential Theft/Dumping, sind zusätzliche, mehrschichtige Schutzmechanismen, wie verhaltensbasier- te Analyse, erforderlich. Auch die Abwehr von Angriffen via Windows PowerShell regelt am besten ein spezielles Modul. Eine Deep-Learning-Lösung zur Abwehr von Cyberatta- cken sollte mindestens Windows, macOS und Linux sowie Chrome OS und Android unterstützen. In manchen Anwen- dungsszenarien vermag sie die Endpoint-Schutzbedürfnisse komplett zu erfüllen, in umfangreicheren Umgebungen mag sie ergänzend zu EDR-/XDR-Lösungen und zum Microsoft- 365-Dienst Defender ATP zum Einsatz kommen, um die Ab- wehr am Endpoint gegen unbekannte Malware und Ransom- ware deutlich zu verbessern. Der Einsatz reduziert die Anzahl falsch-positiver Meldungen in XDR-, SIEM- und SOAR-Lösun- gen massiv, was das Security-Team beim Endkunden oder beim Security-Partner stark entlastet. n Was Deep Learning im Endpunktschutz vermag ƒ Wehrt Cyberangriffe in unter 20 Millisekunden ab ƒ Stoppt auch mehrstufige, komplexe Ransomware-Attacken ƒ Erkennt 99 Prozent aller unbekannten Malware ƒ Maximal 0,1 Prozent falsch-positive Resultate Praxisbeispiel aus der Finanzindustrie Eine Bank in den USA, die Lokalbanken mit Korrespon- denzbank-Dienstleistungen versorgt, setzte für den Endpointschutz bisher auf eine klassische EDR-Lösung sowie eine umfassende Schulung der Mitarbeitenden. Cybersecurity ist im Unternehmen im Topmanagement angesiedelt und genießt hohe Priorität – dies, um die Kontinuität der Dienstleistungen und den Schutz der vertraulichen Kundendaten optimal zu gewährleisten und sämtliche Compliance-Anforderungen zu erfüllen. Obwohl die Bank die bestehende EDR-Lösung weiterhin einsetzt, will sie verstärkt auf Prävention setzen, wie de- ren Information Security Manager betont: „Wir machten uns auf die Suche nach einer zusätzlichen Schutzlösung, die dafür sorgt, dass alle Malware beim Eintreten in die Verteidigungsebene gestoppt wird – selbst dann, wenn es sich um eine Zero-Day-Bedrohung handelt.“ Im Rahmen einer Demonstration erkannte die evaluier- te, auf Deep Learning basierende Lösung Dutzende der allerneuesten Schädlinge und konnte sämtliche Datei- typen erfolgreich scannen. Dem Security-Team der Bank wurde rasch klar, dass mit der Lösung die geschäfts- kritischen Services und Kundendaten deutlich besser geschützt sind als ohne, und dass das Security-Team von aufwendigen Incident-Response- und Wiederher- stellungsaktivitäten sowie falsch-positiven Warnungen entlastet wird. Hinzu kommt, dass der Endpunktschutz für die Mitarbeitenden transparent verläuft – und sehr schnell alle Dateien, Scripts und Makros gescannt und so Angriffe im Keim erstickt werden. Joachim Walter, Geschäftsführer bei Boll Europe SPECIAL_2/2022 IT-SICHERHEIT IN DER BANKEN- UND FINANZWELT 51

Beim 3-2-1-Datensicherungskonzept werden drei unabhängige Kopien jeder Datei auf zwei verschiedenen Medien gespeichert. Eine dieser Kopien ist nicht zugänglich beziehungsweise veränderbar (offline). Ein modernes Datensicherungskonzept basiert auf der 3-2-1-Regel: Drei unabhängige Kopien jeder Datei – auf min- destens zwei verschiedenen Medien, zum Beispiel Festplat- te und Cloud, oder zwei Festplatten an zwei verschiedenen Standorten – je nach Bedarf. Eine dieser Kopien muss so ge- lagert sein, dass nicht elektronisch auf die Daten zugegriffen werden kann. Drei Kopien gewährleisten eine schnelle Verfügbarkeit und Wiederherstellung der Daten – im Idealfall sehr nah an den Produktionsdaten. Zusätzlich gibt es weitere Datenkopien auf logisch getrennten Systemen, die genutzt werden, falls die erste Backup-Kopie zerstört wurde. Eine Offline-Kopie ist der letzte Rettungsanker, falls auch die Backup-Server erfolgreich angegriffen und zerstört wur- den. Traditionell ist diese Kopie auf Bändern (Tapes) abgelegt, welche im Idealfall an einem sicheren Ort verwahrt wurden. Eine Wiederherstellung von diesen Bändern dauert länger, ist aber online nicht angreifbar. Widerstandsfähige Backup-Infrastrukturen Aufbauend auf diesem Design setzt das Konzept der Cyber Resilience. Dabei geht es darum, Datensicherungssysteme an- hand geeigneter Designprinzipien aktiv vor Cyberangriffen zu schützen. Diese Resilienz wird über verschiedene Ansätze er- reicht, vorrangig durch gehärtete, vorkonfigurierte und spezia- lisierte Backup-Server (Appliances) sowie durch das lückenlose Monitoring der Leistungsfähigkeit und Stabilität der Backup- Server. Bei Engpässen oder Fehlermeldungen werden Alarme generiert. Ein weiteres Sicherheitsmerkmal ist eine Teilung der Zuständigkeiten (Separation of duties). In diesem Fall bedeutet das im Wesentlichen, dass kein Benutzer administrative Be- rechtigungen auf Produktions- und Backup-Daten hat und da- mit nicht primäre Daten und die zugehörigen Backups zerstö- ren kann – sei es versehentlich oder beabsichtigt. Seit mehreren Jahren werden unveränderliche Speicher- systeme (Immutable Storage) eingesetzt. Diese folgen dem Write-Once-Read-Many-(WORM-)Ansatz: Daten können nur einmal geschrieben werden und sind dann permanent oder für eine bestimmte Zeit nicht mehr veränderbar und vor Lö- schung geschützt. Geht es um sensible Kundendaten, wie Kreditkartendaten oder Kontoinformationen, werden spezi- elle Storage-Appliances oder Cloud-Services genutzt, die diese Funktionalität bieten. All diese Vorkehrungen sorgen dafür, dass die Backup-In- frastruktur im Fall eines Cyberangriffs nicht in Mitleiden- schaft gezogen wird. Inzwischen reichen diese Funktionen allerdings nicht mehr, denn ein Punkt, der heute hohe Wich- tigkeit erlangt hat, bleibt noch unberücksichtigt: Eine zuverläs- sige und performante Wiederherstellung kann nur gewähr- leistet werden, wenn sichergestellt ist, dass alle gesicherten Daten frei von Schadsoftware und Manipulationen sind und die Wiederherstellung schnell und priorisiert nach der Wich- tigkeit der betroffenen Systeme erfolgen kann. Cyber Resilience durch Modern Data Protection Moderne Data-Protection-Lösungen gehen daher einen Schritt weiter und bieten Ansatzpunkte, die Qualität der Back- up-Daten selbst zu prüfen, denn die zentrale Frage ist: Ist mein Backup vom Angriff betroffen oder ist es „sauber“? Nur wenn es frei von Schadcode ist, kann ein Restore die richtige Ant- wort auf eine Cyberattacke sein. Auffällige Bitmuster oder ein plötzlich stark abweichen- des Backup-Volumen mit einer sich verschlechternden Dedu- plizierungs- oder Kompressionsrate kann auf verschlüsselte Produktionsdaten hinweisen. Die Indizierung und Analyse von Backup-Daten ist der neueste Trend, um diese zentral in einer Cloud auf bekannte schädliche Bitmuster, Dateiendun- gen oder andere Auffälligkeiten prüfen zu lassen und Events auszulösen. All diese Maßnahmen sorgen in ihrer Gesamtheit für eine stabile und verlässliche Antwort auf Ransomware-Attacken, bieten jedoch wenig Schutz gegen Konfigurationsfehler, geziel- te Manipulation oder Software-Bugs innerhalb der gesicherten Daten. Um die Fehlerfreiheit der Datensicherung kontinuier- lich zu prüfen, müssen Backups regelmäßig wiederhergestellt werden. Nur diese Tests stellen sicher, dass die Backup-Strate- gie vollständig und die Backup-Daten valide sind. Best Practice für einen Modern-Data- Protection-Ansatz Da dies bei vielen hundert bis tausenden Backup-Quellen nicht manuell durchführbar ist, muss der entsprechende Pro- zess automatisiert werden. Ein Beispiel ist der kontinuierliche Restore virtueller Server in einer abgeschotteten Umgebung (Clean Room), um diese auf Fehlerfreiheit zu prüfen. Zusätz- lich werden diese Backups mithilfe eines aktuellen Virenscan- ners auf Ransomware untersucht. Im Falle einer gefundenen Infektion wird ein Security-Alarm ausgelöst und die gesam- te Backup-Umgebung nach dieser Infektion analysiert. Ad- ministratoren werden visuell über die Ausbreitung einer In- fektion informiert – eine Entscheidungshilfe zum Auffinden der besten „sauberen“ Backups. Auch „schlafende Viren“ und Mal ware in Backups werden gefunden – ein wichtiger Ga- rant, dass Backups sauber laufen und ihre Verteidigung vor Ransom ware aktiv ist. n Markus Stumpf, Head of Data Protection Services der Empalis Consulting GmbH SPECIAL_2/2022 IT-SICHERHEIT IN DER BANKEN- UND FINANZWELT 53

Secure-Content-Collaboration-Plattformen (hier: idgard von uniscon) erlauben das rechtkonforme cloudbasierte Einsehen, Bearbeiten und Austauschen von Dokumenten mit Kunden, Partnern und Kollegen. (Quelle: uniscon) Für das notwendige Schutzniveau sorgt dabei ein Confi- dential-Computing-Ansatz. Dieser stellt sicher, dass die Daten nicht nur verschlüsselt sind, wenn sie in der Cloud gespei- chert werden („data at rest“), sondern auch bei der Übertra- gung („data in transit“) und während der Verarbeitung („data in use“). Was dahintersteckt, ist eine sichere Enklave (Trusted Execution Environment) für die Bearbeitung der Daten. Eine Verarbeitung an anderer Stelle ist nicht möglich. Dabei han- delt es sich um einen von allen anderen Server-Bereichen und dem restlichen System hermetisch abgeriegelten Bereich. Da hier nur signierter Code Zugriff auf die Daten erlangt, werden Unbefugte selbst dann nicht hineingelassen, wenn sie über Administratorrechte verfügen. Zu diesen Unbefugten zählt auch der Cloud Provider selbst: Nicht einmal er besitzt einen Schlüssel, mit dem er an die Daten gelangt. Diese sind also selbst dann geschützt, wenn der Diensteanbieter beispiels- weise Opfer einer Cyberattacke geworden ist oder Mitarbei- ter des Providers versuchen, sich Zugang zu sensiblen Daten zu verschaffen. Eine hochsichere Sealed-Cloud-Basis für Finanzdaten Ermöglicht wird das Confidential-Computing-Konzept – auch als „Zero Knowledge Computing“ oder „Sealed Com- puting“ bekannt – durch ein Zusammenspiel von effektiver Verschlüsselung und mehreren ineinandergreifenden tech- nischen Schutzvorkehrungen. So lässt sich ein Schutzniveau erreichen, das sogar besonders schutzbedürftigen Daten wie etwa Finanzdaten gerecht wird. Von einer Lösung mit einem derartig hohen Datenschutzniveau profitieren insbesonde- re Banken und Finanzinstitute, etwa bei Prozessen wie Zah- lungsabwicklungen oder Prüfungen von Kreditvergaben. Beispielsweise stehen Banken und Finanzdienstleister vor der Herausforderung, eine intelligente Kollaborationslösung zu finden, welche den bestmöglichen Datenschutz beim Aus- tausch von Unterlagen gestattet und gleichzeitig den Mitar- beitern und Partnern den Komfort der digitalen Zusammen- arbeit bietet. Als Teil einer rechtlich stark regulierten Branche unterliegen Finanzdienstleister selbstverständlich höchsten Sicherheitsbestimmungen in Bezug auf die Daten ihrer Kun- den. Diese Anforderungen gehen weit über Vorgaben der Da- tenschutz-Grundverordnung (DS-GVO) und des Bundesda- tenschutzgesetzes (BDSG) hinaus; so sind beispielsweise auch das Kreditwesengesetz (KWG) und das IT-Sicherheitsgesetz zu beachten. Mit üblichen Filesharing-Lösungen ist dies nicht zu bewerkstelligen. Für Banken ist daher eine Lösung für den durchgängigen und absolut sicheren Datenaustausch alterna- tivlos. Ein solches System muss zudem einfach zu bedienen und auf individuelle Anforderungen anpassbar sein. Mit ei- ner zugrunde liegenden Confidential-Computing-Technologie wird ein Fremdzugriff auf die gesicherten Datenräume zu je- der Zeit ausgeschlossen. Selbst in der sogenannten vulnerab- len Phase – also dann, wenn die Daten im Klartext verarbeitet werden – ist für deren Schutz gesorgt. Fazit: Augen auf bei der Tool-Auswahl Im digitalen Zeitalter ist Secure Content Collaboration für viele Unternehmen unverzichtbar. Das gilt vor allem für Branchen wie den Finanzsektor, in denen strikte rechtliche Regeln gelten. Um sensible Daten vor Einsicht, Manipulati- on oder Verlust zu schützen, sind technische Lösungen er- forderlich, die jeglichen unerlaubten Zugriff – auch durch Administratoren – zuverlässig verhindern. Solch hohen Sicherheitsanforderungen können selbst einige Business- Cloud-Anbieter nicht entsprechen. Abhilfe schaffen Lösun- gen mit Confidential-Computing-Ansatz, deren technische Schutzmaßnahmen sich auch mit hohem Aufwand nicht austricksen lassen. Somit sind unautorisierte Zugriffe auf vertrauliche Daten in der Cloud ebenso ausgeschlossen wie deren Diebstahl und Manipulation. n Andreas Dirscherl, Product Owner, uniscon GmbH SPECIAL_2/2022 IT-SICHERHEIT IN DER BANKEN- UND FINANZWELT 55

erotischen Inhalten, wird das Malvertising betrieben. Hierbei werden Werbeeinblendungen mit Schadcode versehen, um Sicherheitslücken im Browser oder dessen Plug-ins auszunut- zen. Eine Interaktion ist nicht nötig – wie beim Drive-by läuft der Download automatisch im Hintergrund. Zudem führen Sicherheitslücken in aus dem Internet erreichbaren Systemen, wie VPNs, E-Mail-Server und Web- mail oder auch Virtual Desktop Infrastrukturen (VDI), immer häufiger zu einer Kompromittierung. Angreifer scannen bin- nen weniger Stunden nach Bekanntwerden einer kritischen Sicherheitslücke das gesamte Internet nach verwundbaren Systemen ab. Unternehmen brauchen hingegen meist meh- rere Tage oder sogar Wochen, um betroffene Systeme zu pat- chen. Das kann unter anderem an langen Change-Manage- ment-Prozessen, fehlender Inventarisierung, oder an einem langsamen Dienstleister liegen. Bis die Lücken geschlossen werden, sind die Angreifer bereits ins Unternehmensnetz vorgedrungen. PHASE ZWEI: Installation Ist die Schadsoftware erst heruntergeladen, beginnt sie auch schon ihre Ausführung. Es werden Hintertüren ge- schaffen, über die die Angreifer jederzeit wieder ins Unter- nehmensnetz gelangen können. Wie das im Detail aussieht, ist von der jeweiligen Plattform des Zielsystems abhängig. Bei modernen Ransomware-Angriffen sind die Mechaniken mitt- lerweile soweit ausgereift, dass die Hacker sich in den Sys- temlandschaften (längerfristig) ausbreiten, um immensen Schaden zu verursachen. Da weltweit vor allem Windows- Systeme genutzt werden, sind diese am häufigsten von An- griffen betroffen. Tipps für mehr digitale Sicherheit Das große Stichwort ist hier Prävention – technischer sowie prozessualer Art. Windows-Domänen sollten gehärtet und die Endpoint-Sicherheit erhöht werden. Vergebene Berechtigungen und Zugriffe sollten über- prüft und klar geregelt sein, unnötige Zugriffe über- wacht. Dies gilt ganz besonders bei höher privilegier- ten Zugriffen. Wichtig sind neben der Firewall auch die Robustheit und der Schutz der Clientsysteme. Das Arbeiten im Homeoffice ist nicht durch die Unterneh- mens-Firewall abgedeckt, weil die Mitarbeiter in aller Regel ihre privaten Internetverbindungen nutzen. Nur einige wenige Maßnahmen erschweren es Angreifern, sofort Netzwerke und Systeme zu übernehmen. Zum Beispiel: Patch-Management, Administrationshygiene und Netzwerkseparierung. Vor allem dann, wenn intern nicht genügend oder kein Know-how zum Abwehren von digitalen Angriffen vorhanden ist, müssen Verantwortlichkeiten eindeutig geregelt und Prozesse klar definiert sein. Welche Per- sonen sind verantwortlich und welche Informationen müssen bereitgestellt werden? Der Faktor Zeit ist hier maßgebend. Wer im Vorfeld in eine gute Incident-Res- ponse-Readiness-Strategie investiert hat, wird rascher auf den Krisenfall reagieren können und somit am Ende weniger Geld verlieren. PHASE DREI: Command-and-Control PHASE FÜNF: Extortion Jetzt folgen die Anweisungen über einen zentralen Kom- mandoserver (Command-and-Control). Dieser erlaubt den Angreifer-Teams – über den geschaffenen Zugang zum Un- ternehmensnetz – gleichzeitig und sehr effizient zu arbeiten. Die Angreifer erforschen das Netz, suchen nach Dateiservern und Datenbanken mit besonders interessanten Daten. Die- se laden sie ins Internet hoch, oft unter Nutzung bekannter Plattformen wie Dropbox oder Mega. Sie identifizieren und übernehmen zentrale Komponenten im Netzwerk. Über die zentrale Anti-Virus-Konsole wird dann kurz vor dem Start der Ransomware das Anti-Virus im gesamten Unternehmensnetz ausgeschaltet. Sind Backup-Server erreichbar, werden dort vorhandene Backups gelöscht. Über Domain Controller oder über eine zentrale Softwareverwaltung, konfigurieren die Hacker die Verteilung der Ransomware auf alle Server und Clients im Unternehmensnetz. PHASE VIER: Destruction Jetzt erst folgt die eigentliche Verschlüsselung oder das Blo- ckieren von Daten, Netzwerken und Systemen. Heute werden diese Angriffe nicht selten sehr strategisch gefahren, indem zum Beispiel zunächst alle Backups (beispielsweise in Form von Volumenschattenkopien) gelöscht werden. Ist der Angriff erfolgreich abgeschlossen, wird das Un- ternehmen über die Verschlüsselung informiert. Im gleichen Zuge wird den Opfern die Lösung des Problems – Entschlüs- selung und Freigabe gegen Zahlung eines Lösegelds – ange- boten. Meist setzen die Kriminellen eine Frist, zu der das Lö- segeld bezahlt worden sein muss. Geschieht dies nicht, erhöht sich die Summe. Der Betrag kann je nach Unternehmen ext- rem schwanken, fünf- oder sechsstellige Beträge in Form von Bitcoins sind bei größeren Firmen üblich. Sicher kann sich das Unternehmen auch bei Zahlung des Lösegeldes nicht sein, zum Normalzustand zurückzukehren und Ruhe zu haben, denn die Hacker könnten durch den bereits erfolgten Zugang auf die Systeme irgendwann wieder tätig werden und er- neut verschlüsseln. Zudem kann unter gewissen Umständen die Zahlung des Lösegelds als Geldwäsche angesehen werden und/oder bei Zahlungen an Hacker aus Embargoländern ein Verstoß gegen Außenwirtschaftsvorschriften vorliegen. n Wolfgang Straßer, Geschäftsführer @-yet SPECIAL_2/2022 IT-SICHERHEIT IN DER BANKEN- UND FINANZWELT 57

lierbarkeit und Flexibilität, hinterlassen aus Datenschutzas- pekten zum Teil aber noch Fragezeichen. Sie unterliegen US- amerikanischen Gesetzen wie dem „Patriot Act“. Gesetzliches Know-how erforderlich Anders gestaltet sich die Situation im Zusammenhang Data centern, die vom Bundesamt für die Sicherheit in der In- formationstechnik (BSI) zertifiziert sind. Colocation, Managed Services oder reine Cloud-Infrastrukturen von Rechenzen- trumsbetreibern vereinen beide Welten. Das vermutlich wich- tigere Argument: Sie bringen die hierzulande notwendigen gesetzlichen und technischen Voraussetzungen mit. Im Fo- kus steht hierbei neben dem Standort Deutschland zudem die Einhaltung entsprechender Schutzklassen und ein bestätigtes IT-Sicherheitsniveau durch Zertifizierungsinstanzen wie dem Bundesamt für Sicherheit in der Informationssicherheit (BSI) oder dem TÜV. Dazu gehört neben der internationalen Infor- mationssicherheitsmanagementzertifizierung ISO 27001 die nationale Zertifizierung ISO 27001 nach IT-Grundschutz. Georedundanz schützt im Katastrophenfall Ein weiterer Aspekt für den passenden Rechenzentrums- anbieter im Bankenwesen betrifft die Verfügbarkeit und die Absicherung für den Katastrophenfall. In diesem Zusammen- hang gilt es für IT-Verantwortliche aus dem Bankenwesen, nach Anbietern Ausschau zu halten, die eine Redundanz von Daten und Anwendungen über zwei oder mehr Datacenter gewährleisten können – ohne Abstriche bei der Perimeter- sicherheit oder IT-Security machen zu müssen. Im Sinne der „Georedundanz“ empfiehlt das BSI zudem, dass Organisatio- nen und Unternehmen mit hohen oder sehr hohen Verfüg- barkeitsanforderungen mindestens 100 bis 200 Kilometer zwischen zwei Datacenter-Standorten vorsehen, sodass selbst bei einem Totalausfall eines Rechenzentrums – im Katastro- phenfall – das zweite den gesamten IT-Betrieb übernehmen kann. Moderne Rechenzentrumsdienstleister können auch in so einem speziellen Fall weiterhin eine hochverfügbare IT- Umgebung bereitstellen, um die Business Continuity zu ge- währleisten – was natürlich mit entsprechenden Kosten ver- bunden ist und demnach durch die Bank selbst im Rahmen des Risikomanagements bewertet werden muss. Unabdingbar bei der Wahl des Rechenzentrumsdienst- leisters für Banken und Sparkassen ist nicht zuletzt auch die Exit-Strategie. Banken sind im Rahmen von AT 9 der MaRisk „bei wesentlichen Auslagerungen“ dazu verpflichtet, Vorkeh- rungen für den Fall einer beabsichtigten oder erwarteten Beendigung zu treffen. Darüber hinaus sind Handlungsop- tionen zu prüfen, die bei einer unbeabsichtigten und uner- warteten Beendigung greifen können. Dies ist bei den gän- gigen Rechenzentrumsdienstleistern leichter realisierbar als beim Vendor-Lock durch Cloud-Dienstleister. Klassische Re- chenzentrumsdienstleister liefern hier Services basierend auf gängigen Plattformen, wie VMware vDatacenter, Kubernetes, OpenStack oder ähnliches. Hier ist es hilfreich, im Rahmen des Auslagerungsmanagements der Bank einen potenziellen Er- satzdienstleister vorzuselektieren, der ein entsprechendes Portfolio anbietet. SIEM im SOC: Sicherheit 24/7 Um dem Fachkräftemangel auch in sicherheitstechnischer Hinsicht entgegenwirken zu können, eignet sich ein Security Information and Event Management (SIEM) in Form eines Se- curity Operations Centers (SOC) zum Dienstleister auszulagern. Damit sind Finanzdienstleister in der Lage, digitale Geschäfts- strategien zu verfolgen, ohne spezielles Know-how einkaufen zu müssen, was beim anhaltend knappen Markt im Security- Umfeld ohnehin zunehmend schwieriger wird. SIEM im SOC hat gleich mehrere Vorteile. Die hohen Anfangsinvestitionen für die Implementierung und Folgekosten für die Administra- tion entfallen, die Herausforderungen von heute und morgen werden von versierten Spezialisten gelöst. Zu den weiteren Vorteilen gehörten kürzere Projektlaufzeiten, weniger Fehler- risiken und ein kritischer Blick von außen. Blick ins Rechenzentrum Nürnberg Süd von noris network (Foto: noris network) Das SOC umfasst im Idealfall ein Expertenteam, das Infor- mationssicherheits-Incidents und -Events, sowie Fraud-Ma- nagement-Attacken 365 Tage im Jahr und rund um die Uhr überwacht, erkennt, analysiert und mitigiert. Der Aufgaben- bereich des SOC beschränkt sich dabei nicht nur auf die Er- kennung von Bedrohungen, sondern erstreckt sich zudem auf deren Analyse, die Untersuchung der Quelle, die Berichterstel- lung über aufgedeckte Schwachstellen und das Verhindern ähnlicher Vorfälle in der Zukunft. Der größte Vorteil aber ist: SIEM rechnet sich nicht erst, wenn Angriffe abgewehrt und Folgekosten sowie existenzielle Risiken minimiert werden konnten, sondern fungiert als übergreifende und kontinuier- liche Prozessoptimierung. Damit findet auch das scharfe Auge der BaFin keinen Grund für Beanstandungen. n Joachim Astel, Chief Regulatory Officer und Vorstands- mitglied, noris network AG SPECIAL_2/2022 IT-SICHERHEIT IN DER BANKEN- UND FINANZWELT 59

– ADVERTORIAL – Kontakt: ConSecur GmbH Nödiker Straße 118 • 49716 Meppen Tel. 05931 92240 • info@consecur.de www.consecur.de SPECIAL_2/2022 IT-SICHERHEIT IN DER BANKEN- UND FINANZWELT 61 Managed Cyber Defense Center für maximale Trans parenz rund um die UhrWie kann ich Informationssicherheit beständig auf dem höchsten Sicher­heitslevel halten oder eigene Ressourcen binden? Das ist die Herausfor­derung für viele IT­Sicherheitsverantwortliche. Managed SIEM, die Über­wachung im Managed Cyber Defense Center, kann hier Abhilfe schaffen. Unternehmen und Organisationen übertragen die gesamte Prozess­ und Betriebsverantwortung. Sie legen den Schutz von Informationen in die Hände von Security­Analysten, ohne in eigene personelle Ressourcen und Systeme investieren müssen. Security­Analysten überwachen die Sicher­heit von IT­Systemen (5/8 oder 24/7) und analysieren sämtliche sicher­heitsrelevanten Vorgänge. So können Cyberangriffe frühzeitig erkannt und Gegenmaßnahmen eingeleitet werden.FazitDie Kombination aus den präventiven Maßnahmen, wie beispielsweise Schwachstellenmanagement, Härtung der IT­Systeme und dem Perime­terschutz, und reaktiven Maßnahmen, wie Früherkennung und die Reak­tion auf Sicherheitsereignisse, bedeutet eine vollumfängliche Abbildung des Anforderungskatalogs der BaFin zum Thema operative Informations­sicherheit. nMithilfe von SIEM Use Cases werden Schwerpunkte für die Früherken-nung festgelegt und die Grundlage für das SIEM-Regelwerk geschaffen. Ein Use Case schlägt die Brücke zwischen den regulatorischen Anforde-rungen und dem Regelwerk im SIEM. Aber nicht nur die regulatorischen Anforderungen sind eine mögliche Grundlage für die Use-Case-Bibliothek, sondern auch die aktuelle Bedrohungslage bzw. Bedrohungskataloge oder das MITRE ATT&CK® Rahmenwerk.Ein Use Case sollte möglichst in einer Datenbank oder in einem Doku-mentationstool, wie zum Beispiel einem Wiki, gepflegt werden. Dadurch erhält man automatisch eine Revisionssicherheit und kann Änderungen einfach nachvollziehen. Jeder Use Case sollte mindestens die folgenden Informationen beinhalten: Szenario: Das Szenario beschreibt die Bedrohung oder die Compliance­Anforderung, die der Use Case abbilden soll. Also zum Beispiel „Unberech­tigtes Löschen der Protokolldaten“. Das manuelle Löschen von Protokoll­daten ist laut Unternehmensrichtlinie nicht erlaubt und kann auf einen Verschleierungsversuch hindeuten. Risiko: Welches Risiko besteht, wenn ein Ereignis zu diesem Use Case im SIEM auftritt? Dieser Abschnitt verhilft dem Analysten dazu, die Situation besser priorisieren und beurteilen zu können. Reaktion: Was muss konkret getan werden, wenn ein Ereignis zu diesem Use Case auftritt? Benötigte Eventquellen: Welche Eventquellen werden zur Implemen­tierung dieses Use Cases benötigt? Für die so definierten Use Cases kön-nen dann entsprechende Regeln im SIEM angelegt oder gegebenenfalls vom Regelset des SIEM-Herstellers ausgewählt und dem jeweiligen Use Case zugeordnet werden.

HiScout BCM Mehr Sicherheit für hochregulierte Unternehmen im Finanzsektor GRC Software für Business Continuity Management nach ISO 22301:2019 und BSI-Standard 200-4 Das HiScout BCM verbindet die schnelle Einführung von BSI- und Branchenstandards mit komfor- tablen Werkzeugen, um die individuellen Prozesse Ihres Unternehmens abzubilden. Es kann nahtlos in die bestehende Toollandschaft eingebunden werden oder mit weiteren Modulen der HiScout GRC Suite zu einem übergreifenden Managementsystem für verschiedene Bereiche der Informationssicherheit ausgebaut werden. Automatisierte Fragebögen für alle Arbeitsschritte erleichtern die Zuarbeit der Fachbereiche. Der neue BSI-Standard 200-4 ist vollständig kompatibel mit einer Zertifizierung nach ISO 22301 und bietet Ihnen eine zuverlässige Vorgehensweise, um schnell ein Notfallmanagement zu etablieren: Mit der Business-Impact-Analyse kritische Prozesse erkennen und bewerten Risikoanalyse durchführen, Maßnahmen ableiten, Ressourcen absichern Notfall- und Geschäftsfortführungspläne erstellen und bereithalten Übungen und Tests planen, durchführen und dokumentieren Eigene Berichte für Risikoanalyse und Maßnahmenkataloge auf Knopfdruck erstellen Kostenfreies Webinar am 31.05.22 www.hiscout.com/webinar

– FIRMENPROFIL – Empalis Consulting – auf einen Blick Seit 1989 hat die Empalis Consulting ihre Geschäftsbereiche Beratung, Training und Managed Service zu kompakten Leis- tungspaketen entwickelt. Effiziente Beratung, hervorragende Qualität und zukunftsorientierte Partnerschaften sind unse- re zentralen Leitplanken. Jahrzehntelange Praxiserfahrung im Bereich Data Protection sind unsere Mehrwerte, um Sie zu unterstützen mit: modernen Datensicherungskonzepten, Ransomware-Vorsorge, Disaster Recovery, Snapshot-Technologien, Cloud-Storage und Backup as a Service. Mit Empalis Service Plus bekommen unsere Kunden ganz- heitliche Lösungen und auf ihre Ansprüche angepasste Leistungen, bestehend aus Software, Hardware, Konzep- ten, Schulung und Betrieb. Um eine Investitionssicherheit zu garantieren, integrieren wir auf Wunsch vorhandene Be- standteile in unsere Managed Services, je nach SLA flexibel wählbar von Monitoring only bis full managed. Mit einem optionalen 24x7-Support und -Betrieb können sich unsere Kunden jederzeit und gerade in kritischen Situationen auf uns verlassen. Sind Sie sicher, dass Ihr Backup nicht mit Ransomware infiziert ist? Jede Backup-Lösung braucht ein Monitoring. Diskutieren Sie mit und stellen Sie uns Ihre Fragen! Eine Stunde am Mittag zum Thema in unserem Empalis Live Experten Talk: Wie geht’s meiner Backup Umgebung? Best Practices für Monitoring von Datensicherungsumgebungen 10. Mai 2022, 14.00 bis 15.00 Uhr Online | Ohne Voranmeldung | Eintritt frei https://www.empalis.de/event/wie-gehts-meiner- monitoring-umgebung-best-practices-fuer-monitoring- von-datensicherungsumgebungen/ SPECIAL_2/2022 IT-SICHERHEIT IN DER BANKEN- UND FINANZWELT 65 Ihre Ansprechpartnerin: Alina Mot, CEO Empalis Consulting GmbH ne Organisation, die sich unter solch einer Drucksituation unabhän-giger bewegen kann, indem sie ihre Daten selbst wiederherstellt.Vor dem Krisenfall Vorsorge treffen: Backup-Strategie und Disaster Recovery-Plan Verteidigungsstrategien, um Sicherheitslücken zu vermeiden oder zu schließen, sind unbestritten eine Königsdisziplin in der Daten-sicherheit. Unwiederbringlich jedoch ist es, wenn das Backup im Notfall beschädigt oder von Ransomware befallen ist. Unsere Arbeit beginnt daher schon lange vor dem Krisenfall. Auf Basis einer Backup-Strategie und einem Disaster-Recovery-Plan ist eine Organisation auf jede Notfallsituation organisatorisch, personell, aber insbesondere hinsichtlich des Schutzes ihrer Daten vorbereitet. Wir fragen unsere Kunden: ƒHaben Sie einen Notfallplan? ƒWie lange und welche Daten können Sie wiederherstellen? ƒHaben Sie den Plan schon einmal getestet?Diese Vorbereitung kann, sobald ein Angriff erfolgt ist, nicht mehr nachgeholt werden. Daher sind speziell für die kritische Infrastruk-tur, allem voran Banken und Finanzdienstleister, äußerst stabile Produkte und eine bewährte Strategie von Bedeutung, um sensible Kunden- und Unternehmensdaten zuverlässig zu schützen.Cloud?? – Passende Technologien zur schnellen ErkennungFür das Thema Cyber Resilience als ganzheitliche Unternehmens-strategie gegenüber Cyberangriffen ist die Cloud tatsächlich ein kritischer Faktor. Ob und welche Cloud-Strategie in Verbindung mit modernen Technologien– oder auch in einer Hybridlösung – gewählt wird, muss hier gut überlegt sein. Bei der Entscheidung helfen unse-re Berater mit Know-how und jahrzehntelanger Erfahrung weiter. Wir arbeiten mit Technologie-Marktführern wie IBM, Predatar, Veeam, Rubrik oder Cohesity. Dies macht unsere Backup-Konzepte pragma-tisch, sicher und einfach umsetzbar – auch in krisengeschüttelten Infrastrukturen in unbeständigen Zeiten von Krieg und Pandemie.Auf eine Ransomware-Attacke vorbereitet zu sein, bedeutet eine durchdachte und validierte Cyber-Resilience-Strategie zu haben. Die Implementierung wird regelmäßig getestet und angepasst, denn die Anforderungen ändern sich über die Zeit. Zugleich trainieren Sie damit Ihre Mitarbeiter, effektiv auf den Ernstfall reagieren zu können.

– ADVERTORIAL – Kontaktinformationen: GBS Europa GmbH Zur Giesserei 19-27B 76227 Karlsruhe Deutschland Tel.: +49 721 4901-0 E-Mail: info@gbs.com Internet: https://www.gbs.com SPECIAL_2/2022 IT-SICHERHEIT IN DER BANKEN- UND FINANZWELT 67 Verband den Überblick verloren. Um dieses Problem zu überwinden, ha­ben sie mithilfe der iQ.Suite alle Compliance­Regeln zentral implemen­tiert und automatisiert und so die volle Kontrolle über ihre ausgehenden Daten gewonnen.“, kommentiert der Sicherheitsexperte.Kommen wir auf das Beispiel mit der Lieferantenrechnung zurück. Was hätte getan werden können, um die Fälschung zu verhindern? Wäre die vom Lieferanten gesendete E­Mail verschlüsselt und mit ei­nem S/MIME­Zertifikat signiert worden, dann wäre dies nicht passiert. Die Verschlüsselung und technische Signierung ausgehender E-Mails ist für jede Bank unerlässlich, nicht nur um mögliche Manipulationen zu ver-hindern, sondern auch um zu authentifizieren, dass diese E-Mail tatsäch-lich von der Bank selbst stammt. Die serverbasierte Verschlüsselung der iQ.Suite ermöglicht eine automatisierte und zentrale Verschlüsselung al-ler Mails, ohne dass die Mitarbeiter dies manuell tun müssen. Für den Fall, dass der Partner keine eigene Verschlüsselungssoftware hat, geht die iQ.Suite keine Kompromisse beim Schutz ein und bietet die Möglich-keit, die E-Mail auf Basis von PDF zu verschlüsseln und den Schlüssel an den Partner zusenden. n„Zur Steigerung ihrer Erfolgsquote sammeln die Angreifer Informationen über ihre Opfer im Internet und in sozialen Medien, um deren Verhalten und Gewohnheiten zu analysieren. Die Finanzabteilung einer Bank erhält eine Lieferantenrechnung, die sie bereits erwartete. Unternehmen, Da-tum und Artikel stimmten vollständig überein. Das einzig Falsche war die Kontonummer, die zu einem betrügerischen Konto führte. Offensichtlich haben die Kriminellen die echte Rechnung abgefangen und die Kontonum-mer geändert. Kontonummern werden häufig gefälscht, deshalb ist es für Banken empfehlenswert, in ihrer E-Mail-Sicherheitssoftware eine Funk-tion zur Kontrolle von IBANs einzubauen. Unsere Lösung iQ.Suite für um-fassenden E-Mail-Schutz vergleicht automatisch alle in E-Mails vorkom-menden IBANs mit einer zuvor erstellten IBAN-Whitelist. Sollte es keine Übereinstimmung geben, wird der Empfänger vor einer möglichen Gefahr gewarnt.“, so der Experte von GBS.Stark personalisierte oder zielgerichtete Angriffe sind sehr schwer zu er-kennen. Zur Diversifizierung des Risikos setzen die Banken daher einen Mix aus verschiedenen Anti-Malware-Technologien ein, um sicherzustel-len, dass alles, was die eine durchdringt, von der anderen erfasst wer-den kann. Um die Auseinandersetzung mit verschiedenen Anbietern zu vermeiden, kombiniert iQ.Suite bis zu vier der führenden Anti-Malware-Scanner, die einzeln oder parallel verwendet werden können. Alle infizier-ten Dateien werden unter Quarantäne gestellt, und detaillierte Berichte ermöglichen die Überwachung und Identifizierung größerer Schwach-stellen in der gesamten Bank. Für ein Höchstmaß an Sicherheit kann die iQ.Suite alle eingehenden E-Mail-Anhänge in das PDF-Format konvertie-ren, um jeglichen bösartigen Code zu entschärfen.Schutz vor Datenverlust und Verschlüsselung für ausgehende E-MailsDie Sicherstellung, dass keine unautorisierten E-Mails mit privaten und kritischen Geschäftsdaten die Bank verlassen, sollte oberste Priorität ha-ben. Und dies gilt sowohl für die unbeabsichtigte Weitergabe als auch für den mutwilligen Datendiebstahl. Dr. Bruse verweist auf einen Fall, in dem deutsche Steuersünder ihr Geld bei einer Schweizer Bank versteck-ten. Mitarbeiter der Bank verkauften die Informationen an das deutsche Finanzamt und schickten ihnen heimlich E-Mails mit Beweisen. Solche Fälle, in denen Mitarbeiter sensible Informationen weitergeben, können zu schwerwiegenden Strafen und Rufschädigung für die Bank führen.Aus diesem Grund setzen viele Banken das Vier-Augen-Prinzip ein, nach dem jede E-Mail, die die Bank verlässt, zuvor von einer zweiten Person auf sensible Informationen überprüft werden sollte. Dieses Prinzip wird beispielsweise von Volksbanken verwendet, die zur Verschlüsselung ihrer E-Mail-Kommunikation verpflichtet sind, strenge Richtlinien zur Verhin-derung von Datenlecks befolgen und Qualitätskontrolle gewährleisten. Die iQ.Suite automatisiert diese Aufgabe und erkennt nicht nur sensible Daten in E-Mails, sondern analysiert auch Verhaltensanomalien (zum Bei-spiel sprunghafter Anstieg des E-Mail-Volumens oder Versand zu großer E-Mails). Der Versand entsprechender E-Mails wird gestoppt, wenn die Per-son nicht berechtigt ist, mit derartigen Informationen zu arbeiten.Der Schutz vor Datenverlust gehört zu den wichtigsten Aspekten der Compliance, insbesondere für stark regulierte Unternehmen wie Ban-ken. „Ein Verband mit 40.000 Mitgliedern war eher bereit, eine wichtige E-Mail zurückzuhalten, als sie nicht vorschriftsmäßig zu versenden. Da die meisten seiner Compliance-Regeln lokal umgesetzt wurden, hatte der Bilder: iStock.com/shayes17 (links), iStock.com/pixelfit

– ADVERTORIAL – gesamten IT-Betrieb und hält dann trotz der Einschränkung weiterhin Hochverfügbarkeitsstrukturen für die weitere Ausfallsicherheit bereit. SIEM im SOC: Sorglos sicher Besonders für Organisationen aus dem Finanzwesen hat sich mit Secu- rity Information and Event Management (SIEM) in Form eines Security Operations Centers (SOC) eine weitere wichtige Strategie in hochverfüg- baren Rechenzentren etabliert. SIEM umfasst eine Security-Management- System-Plattform, die volle Sichtbarkeit und Transparenz zu Aktivitäten innerhalb des kompletten Informationsverbunds bietet. Banken erhalten damit die Möglichkeit, in Echtzeit auf Bedrohungen zu reagieren. SIEM im SOC hat für Unternehmen aus der Finanzdienstleistungsbranche gleich mehrere Vorteile. Hohe Anfangsinvestitionen für die Implementierung und Folgekosten für die Administration entfallen, die Herausforderun- gen von heute und morgen werden von versierten Spezialisten von noris network gelöst. Zu den weiteren Vorteilen gehören schnelle Inbetrieb- nahme wohldefinierter, sogenannter „Baseline“-Einstellungen, die bei den bekannten Services entsprechende Antennen aufspannen können und bereits vielfältige Bedrohungsszenarien beherrschbar machen, we- niger Fehlerrisiken und ein kritischer Blick von außerhalb der Bank durch spezialisierte Security-Experten, sogenannte „Analysten“ (bzw. „Analy- tiker“, wie man in der öffentlichen Hand häufig noch sagt). Das SOC von noris network umfasst ein Expertenteam, das Cybersicherheits-Incidents 365 Tage im Jahr und rund um die Uhr überwacht, erkennt, analysiert und behebt. Der Aufgabenbereich des SOC beschränkt sich dabei nicht nur auf die Erkennung von Bedrohungen, sondern erstreckt sich zudem auf deren Analyse, die Untersuchung der Quelle, die Berichterstellung über aufgedeckte Schwachstellen und das Verhindern ähnlicher Vorfälle in der Zukunft. Damit rechnet sich SIEM im SOC nicht erst, wenn Angriffe ab- gewehrt und Folgekosten sowie existenzielle Risiken minimiert werden konnten. Es umfasst eine übergreifende und kontinuierliche Prozessop- timierung über die häufig längere Vertragslaufzeit des Servicemanage- ments über drei bis fünf Jahre. n Kontakt: noris network AG Thomas-Mann-Straße 16–20 90471 Nürnberg Tel.: +49 911 9352-0 Fax: +49 911 9352-100 E-Mail: vertrieb@noris.de Homepage: www.noris.de Und es geht weiter: Auch ganz konkrete technische Maßnahmen, um die Absicherung digitaler Arbeitsabläufe zu gewährleisten, fallen in den Wirkungsbereich der BAIT. Dazu zählen: Schwachstellenmanagement, Perimeterschutz, Netzwerksegmentierung, Penetrationstests, simulierte Angriffe und Verschlüsselung von Daten. Um relevante Sicherheitsvorfälle zu erkennen, sind entsprechende Kriterien zu definieren, etwa ein Anstieg nicht autorisierter Zugangsversuche. Nicht weniger relevant für externe Rechenzentrumsdienstleister ist zudem der BAIT-Punkt „Fremdbezug von IT-Dienstleistungen“. Er definiert Anforderungen an den Umgang mit ex- terner Software und Services wie Cloud-Diensten oder Backup-Lösungen. Bei der Auslagerung ist im Vorfeld eine Risikobewertung durchzuführen und auf die Einhaltung des Risikomanagements zu achten. Verantwortli- che für Informationssicherheit und Notfallmanagement müssen ebenso in die Auslagerung eingebunden werden, außerdem sind entsprechen- de Bewertungen regelmäßig zu überprüfen und zu erneuern. Schließ- lich sorgt der Aspekt Notfallmanagement innerhalb der BAIT dafür, dass sowohl die Wiederherstellbarkeit der vollen Funktion als auch die Ge- schäftsfortführung während Notfällen abgedeckt sein muss. Dazu wird zunächst erfasst, welche Abhängigkeiten es in den IT-Systemen und bezüglich externer Dienstleister gibt, und welche Ressourcen notwendig sind, um eine eingeschränkte Fortführung zeitkritischer Geschäftsprozes- se sicherzustellen. Die entsprechenden Themenfelder werden dann mit regelmäßigen Reviews und Notfall- beziehungsweise Katastrophenfall- Übungen überwacht. Rechenzentrumsdienstleister in der Pflicht Regularien sind für IT-Verantwortliche in Banken und Sparkassen mit hohen finanziellen und personellen Aufwänden verbunden. Und Gründe, weshalb ein Outsourcing dennoch im Trend ist, wie eine Studie von PwC vom September 2021 zeigt. Knapp zwei Drittel der befragten Finanzunter- nehmen (62 Prozent) wollen demnach innerhalb der nächsten ein bis zwei Jahre weitere Outsourcing-Vorhaben umsetzen. Angesichts des zu erwar- tenden Anstiegs an Auslagerungen und den erhöhten regulatorischen Anforderungen rechnen 93 Prozent der Institute mit einem wachsenden Steuerungsaufwand. Doch damit stehen natürlich auch die Rechenzentrumsdienstleister in der Pflicht, die Vorgaben aus der BAIT oder die Mindestanforderungen an das Risikomanagement (MaRisk) umsetzen zu müssen. Unabhängig davon, ob es um Colocation, Managed Services oder Cloud­Infrastrukturen geht, ist hier schon aus Datenschutzgründen der Standort Deutschland eine sehr vorteilhafte Maßgabe. Aber auch ein bestätigtes IT­Sicherheitsniveau durch Zertifizierungsinstanzen wie dem BSI (Bundesamt für Sicherheit in der Informationstechnik) oder TÜV geben Gewissheit darüber, dass Betreiber von Hochverfügbarkeitsrechenzentren wissen, wovon sie spre- chen. Dazu gehören neben der internationalen Cyber-Security-Zertifizie- rung ISO-27001 für Informationssicherheitsmanagementsysteme (ISMS) etwa die Zertifizierung nach TÜV „Trusted Site Infrastructure“ (TSI) mit dem höchstmöglichen Level 4 wie bei noris network. Um auch für den Ka- tastrophenfall eine Verfügbarkeit und Absicherung garantieren zu können, sollten Datacenter-Anbieter die sogenannte Georedundanz zur Verfügung stellen können. Dabei handelt es sich um ein Verfahren – und ein Krite- rium des BSI – das speziell für Unternehmen mit hohen oder sehr hohen Anforderungen an die Verfügbarkeit entwickelt wurde. Um die Auswir- kungen von beispielsweise Naturkatastrophen möglichst gering halten zu können, sollten Rechenzentrum für die Einhaltung der Georedundanz mindestens 100 bis 200 Kilometer voneinander entfernt stehen. Damit übernimmt das zweite Datacenter bei einem Totalausfall des ersten den SPECIAL_2/2022 IT-SICHERHEIT IN DER BANKEN- UND FINANZWELT 69

– ADVERTORIAL – Der „R&S®Browser in the Box“ schließt die Sicherheitslücke „Internet“ über eine „digitale“ Quarantäne für Hackerangriffe Kontakt: Rohde & Schwarz Cybersecurity Mühldorfstraße 15 81671 München pr-cybersecurity@rohde-schwarz.com www.rohde-schwarz.com/cybersecurity SPECIAL_2/2022 IT-SICHERHEIT IN DER BANKEN- UND FINANZWELT 71 Client ein sicheres Netzwerk erkennt – beispielsweise im Büro – deakti­viert er sich von selbst. Eine solche „friendly network detection“ ermög­licht dem User, in verschiedenen Netzwerkumgebungen sicher mobil zu arbeiten. Ein solcher VPN­Client schützt auch vor Angriffen aus dem Be­triebssystem, denn IT­Sicherheitsprodukte müssen heutzutage nicht nur in der Lage sein, Gefahren von außen abzuwehren. Um wirkliche Sicher­heit zu erlangen, brauchen Unternehmen auch einen Schutz vor potenziell unsicheren Komponenten im Betriebssystem. Spezielle „Zero­Trust­Pro­dukte“ arbeiten daher unabhängig vom Windows­Betriebssystem. Gibt es weitere Maßnahmen, zu denen Sie raten?Ja, eine Festplattenverschlüsselung, denn mobile Endgeräte können un­terwegs gestohlen werden oder verloren gehen. Eine Verschlüsslung der Festplatte verhindert, dass unautorisierte Personen Daten von den Gerä­ten abgreifen können. Mit einem solchen mehrstufigen Endpoint-Schutz für Internet, VPN-Verbindung und Festplatte sind Finanzunternehmen sehr gut gegen einen Cyberangriff gewappnet. nPhishing-E-Mails zielen auf die Mitarbeitenden ab. Hilft es, diese besser zu schulen?Ein Hinweis auf das Nicht-Öffnen von Anhängen ist ein völlig unzurei-chender Schutz vor Cyberangriffen. Der Mensch macht Fehler, und solche Fehler können gravierende Folgen haben. Das ist vor allem bei kriti-schen Infrastrukturen (KRITIS) – wie Banken es sind – der Fall. Das hat eine Umfrage des Research- und Analystenhauses techconsult ergeben. Knapp die Hälfte der befragten Unternehmen setzt bei der Abwehr gegen schädliche Links und Anhänge in E-Mails auf die Vorsicht der Mitarbeiten-den. Gleichzeitig sind laut der Studie die häufigsten Angriffe auf KRITIS-Unternehmen Phishing-Attacken (56 Prozent) – also eine Angriffsart, die Mitarbeitende dazu verleiten sollen, infizierte Anhänge oder Links zu öff-nen. Jedes dritte Unternehmen gab an, dass das Anklicken einer solchen E-Mail bereits zu einem Sicherheitsvorfall geführt habe. In den Sekto-ren Gesundheit, Finanz- und Versicherungswesen sowie Medien- und Kulturinstitutionen war das sogar bei sieben von zehn der Befragten der Fall. Um sich vor schädlichen Anhängen oder Links in E-Mails zu schützen, sollten diese Unternehmen dringend geeignete technische Mittel wie den „R&S®Browser in the Box“ einsetzen.Welche weiteren Schutzmaßnahmen sind wichtig?Die Absicherung von Remote-Arbeitsplätzen. Nutzen die Mitarbeitenden unterwegs oder im Homeoffice das Internet über private oder öffentliche WiFi-Netzwerke oder andere ungesicherte Netze, können ihre Endgeräte infiziert oder kompromittiert werden. Wenn sie dann später mit dem-selben Gerät auf Unternehmens- oder Behördennetzwerke zugreifen, verbreitet sich diese Infektion. Verhindern lässt sich das mit einer hochsi-cheren VPN-Verbindung wie dem R&S®Trusted VPN Client. Der VPN Client schafft eine sichere und verschlüsselte Verbindung über unsichere Netze, wie zum Beispiel das Internet. Entscheidend ist, dass ein solcher VPN-Client unabhängig vom Betriebssystem arbeitet.Was sind die Vorteile eines VPN-Clients?Sobald eine Netzwerkverbindung am Remote-Gerät aufgebaut wird, ist der VPN-Tunnel an. Man bezeichnet das als „Always-on“. Gleichzeitig ist ohne eine VPN-Verbindung Windows offline. Einzig im Fall, dass der VPN-

Kostenfreie Webinare rund um das Thema IT-Sicherheit Jetzt informieren: www.itsicherheit-online.com/kostenlose-webinare/

– ADVERTORIAL – Die Funktionen von idgard® im Überblick: ƒ Daten und Dokumente einfach und sicher versenden ƒ Dokumente im Datenraum vor unerwünschter Weiterverbreitung schützen: ▫ Dateien nur zur Ansicht im Browser ▫ Dynamisches Wasserzeichen ▫ Revisionssicheres Journal ▫ Alarmfunktion bei Massendownload ƒ Optional: Erhöhte Sicherheit bei der Anmeldung durch Zwei-Faktor-Authentifizierung ƒ Kombinieren mehrerer PDF-Dateien zu einem einzigen Meeting-Paket Vorteile für Sie und Ihre Kunden: ƒ Höchste Sicherheit bei der Zusammenarbeit an Dokumenten ƒ Weltweiter Zugriff per Internet-Browser und Mobile-App ƒ Revisionssichere Protokollierung aller Aktionen ƒ Große Dateien versenden, um Posteingänge zu „schonen“ ƒ Erfüllung der Anforderungen des Bundesdatenschutzgesetzes ƒ Erfüllung der IT-Governance und Compliance-Vorgaben idgard® ist die ideale Cloud für sicheren Datenaustausch in der Finanzbranche. Hier steht der Schutz Ihrer Daten an erster Stelle. Weitere Informationen speziell für Banken und Finanzdienstleister mit Anwendungsbeispielen und Referenzen sowie unser kostenloses Test angebot finden Sie hier: www.idgard.de/cloud-loesungen/cloud-banken/ der IT­ und Organisationsabteilung beantworten. Für den mobilen Zugriff stehen Apps für Android und iOS bereit. Die OLB nutzt für idgard® eine eigene Log­in­Seite, die sich nach den eige­ nen Design­Vorgaben richtet. Die optische und funktionale Anpassung im Look and Feel der Bank schafft Vertrauen und Akzeptanz bei den Nutzern. Zudem fügt sie sich perfekt in die Tool­Landschaft der Oldenburgischen Landesbank ein. Jörn Winzen ergänzt: „Die Anpassungsmöglichkeiten der Oberfläche, die individuelle Log­in­Seite und der hohe Nutzungskomfort signalisieren unseren Partnern ein professionelles Bild unseres Hauses.“ Fazit Mit idgard® verwendet die Oldenburgische Landesbank eine sichere und intuitiv bedienbare Cloud­Collaboration­Lösung, deren Nutzung sich in allen Bereichen, in denen es um effizienten und sicheren Austausch von Dokumenten geht, schnell etabliert hat. Von besonderer Bedeutung ist die Confidential-Computing-Technologie, die unbefugte Zugriffe auf die gesicherten Datenräume durch Außenstehenden und den Cloud-Betrei- ber selbst zu jeder Zeit ausschließt. Dafür sorgt eine Kombination aus wirksamer Verschlüsselung und Versiegelung sowie mehreren ineinander verzahnten technischen Schutzmaßnahmen. Jörn Winzen betont: „Die Vorzüge des Confidential Computing haben uns überzeugt. Da nur wir den Schlüssel zu den Daten besitzen, können wir so die sehr strengen Daten- schutzregularien einhalten.“ n SPECIAL_2/2022 IT-SICHERHEIT IN DER BANKEN- UND FINANZWELT 75

CYBERSICHERHEIT Risiken der Operational Technology durch OT-Monitoring senken INDUSTRIELLE IT BRAUCHT INNERE SICHERHEIT Industrielle Geräte und Anwendungen sind traditionell auf Funktionalität und nicht auf Cybersicherheit ausgelegt. Umso wichtiger ist es, mittels Monitoring mit Ano- malie erkennung Sichtbarkeit in der industriellen IT herzustellen und Abweichungen vom zu erwartenden Verhalten in Echtzeit zu erkennen. Industrieunternehmen wie auch Kritische Infrastrukturen können so früh zeitig auch professionelle und komplexe Cyberangriffe abwehren. B etriebstechnologie beziehungs­ weise Operational Technology (OT) und IoT stehen vor zwei grundlegenden Sicherheitsproblemen. Ers­ tens verfügen industrielle Geräte und Syste­ me kaum über Sicherheitsmaßnahmen. Sie sind „insecure by design“. Und selbst wenn so etwas wie Verschlüsselung von Protokollen verfügbar ist – wie die in der Norm IEC 62351­4 definierten Maßnahmen für MMS-Protokolle – wird sie aufgrund von Konflikten mit der Pro­ zessstabilität und Netzwerk­Taktung kaum implementiert. Das zweite Problem ist die mangelnde Transpa­ renz der OT. Für die meisten Sicherheitsverant­ wortlichen ist die OT eine Blackbox: Sie wissen nicht, was drin ist. Sie wissen auch nicht, was dort vor sich geht. Und ganz sicher kennen sie weder die Risiken noch die Sicherheitslücken. Ergebnisse aus OT­Risiko­ und Schwachstellen­ analysen sowie kontinuierlichem OT­Monitoring mit Anomalieerkennung verdeutlichen diesen toten Winkel der unternehmerischen Cybersi­ cherheit. In der Regel erhalten die Sicherheits­ verantwortlichen mit diesen Maßnahmen das erste Mal wirklich Einblick in ihre OT. SICHERHEITSRISIKEN GIBT’S IMMER Die Anzahl der Anomalien, die etwa Rhebo in OT­ Netzwerken Kritischer Infrastrukturen und In­ IT-SICHERHEIT_2/2022 77 Bild: ©Gorodenkoff - stock.adobe.com

CYBERSICHERHEIT Das OT-Monitoring schafft ein tagesaktuelles Abbild der OT mit allen Geräten, Systemen, Verbindungen und Aktivitäten. Eine integrierte Anomalie erkennung meldet in Echtzeit Abweichungen vom zu erwartenden Verhalten. (Quelle: Rhebo) men nutzt die Dienste von Viasat zur Steuerung und Fernwartung seiner Windparks. Nach dem Angriff verlor Enercon die Kontrolle über meh­ rere tausend Windkraftanlagen. Plötzlich hatte Russlands Krieg auch die deutsche Energiever­ sorgung erreicht. Dass es in den meisten OT­Netzwerken bislang noch ruhig ist, muss dabei nicht heißen, dass ein Unternehmen verschont geblieben ist. Vergan­ gene professionelle Cyberangriffe, vor allem auf Kritische Infrastrukturen, haben gezeigt, dass sich die Angreifenden in der Regel bereits Mona­ te bis Jahre vorher in den Netzwerken eingenis­ tet hatten. Insbesondere staatlich gestützte Ak­ teure bauen ihre Ressourcen und ihre Position in kompromittierten Netzwerken über einen lan­ gen Zeitraum auf (Advanced Persistent Threats). Die Cyber Kill Chain und das Mitre Att&ck Frame­ work verdeutlichen die Komplexität und oftmals langfristige Durchführung auf Disruption ausge­ richteter Cyberattacken. DEFENSE-IN-DEPTH FÜR INNERE SICHERHEIT Ziel einer durchgängigen Cybersicherheitsstra­ tegie sollte deshalb Defense­In­Depth sein. Das Konzept umschreibt den Ansatz einer mehr­ stufigen Cybersicherheit, die den Fall einer er- folgreichen Netzwerkpenetration einschließt. Bekannte Sicherheitswerkzeuge, wie Firewalls, SIEM, Sicherheitsrichtlinien, Schulungen und Segmentierung, bilden hierbei die erste Vertei­ digungslinie. Sie bilden sinnbildlich Stadtmauer, Torwächter und Grundgesetz einer Festung und verhindern damit vor allem Angriffe, die bekann­ ten Pfaden folgen. Da diese Werkzeuge jedoch nicht garantieren können, alle Angriffe zu ver­ hindern, müssen Cybersicherheitsverantwortli­ che darüber hinaus befähigt werden, das Treiben der Angreifenden in den Netzwerken so schnell wie möglich zu erkennen. In der OT wird diese zweite Verteidigungslinie durch ein OT­Monito­ ring mit Anomalieerkennung (Threat & Intrusion Detection) aufgebaut. Das System behält das Innere der Festung im Auge und untersucht kontinuierlich das Ver­ halten aller Geräte und Systeme innerhalb der Stadtmauern auf unregelmäßiges oder ver­ dächtiges Verhalten. Auf diese Weise werden Anomalien innerhalb der OT erkannt, doku­ mentiert und in Echtzeit an die Verantwortli­ chen gemeldet. Dabei spielt es keine Rolle, ob dieses anomale Verhalten von einem „Fremden“ (einem Angreifenden) oder einem regulären Bewohner der Festung (beispielsweise einem Administrator) ausgeht. Verdeckte Operatio­ nen, neuartige Angriffstechniken und komplexe Ablenkungsmanöver werden so direkt erkannt und können frühzeitig abgewehrt werden. Sie können darüber hinaus mithilfe eines SIEM mit den Informationen aus der IT korreliert werden. Dadurch erhalten Sicherheitsverantwortliche nicht nur ein vollständiges Bild der Risikoexpo­ sition des Unternehmens und der industriellen Prozesse – auch die Innere Sicherheit der OT wird gewahrt. n KLAUS MOCHALSKI, Gründer und CEO von Rhebo IT-SICHERHEIT_2/2022 79

CYBERSICHERHEIT LEON HORMEL, Cyber Defense Consultant, Secuinfra Falcon Team MAXIMILIAN ZAHN, Cyber Defense Analyst, Secuinfra Falcon Team IT-SICHERHEIT_2/2022 81 Eine Hypothese kann lauten, dass sich ein schad­haftes Programm als legitime Windows­Sys­temdatei svchost.exe tarnt. Ein Beweis könnte darin bestehen, dass die Datei in ungewöhnli­chen Ordnern liegt. Ein anderer Verdacht kann Anomalien in einem Netzbereich nahelegen – etwa, wenn sich ein Client neuerdings zu ungewöhnlichen Zeiten anmeldet oder wenn Log­in­Versuche aus atypischen Regionen erfol­gen. Threat Hunter suchen also keine Indicators of Compromise (IoC), also Merkmale, die auf die Kompromittierung eines Computersystems oder Netzwerks hinweisen, sondern Indicators of At­tacks (IoA) – Angriffsmerkmale.Steht die Hypothese, wird in der Folge nach den erwarteten Beweisen gesucht und die Hypothese entweder validiert, nachgeschärft und weiterent­wickelt oder widerlegt. Dabei werden Schwach­stellen der Sicherheitsinfrastruktur aufgedeckt, Log­Gaps oder Tech­Gaps (Lücken in Ereignis­protokollen oder in der technischen Abwehr) erkannt und festgestellt, ob die Erkennungsme­chanismen gut genug sind, oder wo die Grenzen des Endpoint­Schutzes liegen. Die Ergebnisse können rückgespiegelt und die Cybersecurity mit dem neuen Wissen verbessert werden. Dies wiederum verbessert den Reifegrad der Syste­me, etwa der Log­Sammlung. In einem weiteren Schritt können die Ergebnisse des Threat Hunting in die Automatisierung weiterer Erkennung und Prävention einfließen, sodass Angreifer auto­matisiert erkannt werden und keine aufwendi­ge manuelle Suche mehr notwendig ist. Damit ermöglicht Threat Hunting die Optimierung der Prävention und die Erhöhung des Automati­sierungsgrads. Werden Zugriffe entdeckt oder bösartige Dateien im System erkannt, stößt es zudem den Incident­Response­Prozess an.Insgesamt reduziert Threat Hunting die Zeit, die Angreifer ungestört im System verbringen, also jenen Zeitraum zwischen Eindringen und Entdeckung. Gerade in der initialen Phase ist ein Angriff meist schwer zu erkennen – er kann mit Threat Hunting detektiert werden.DIE DREI ANSÄTZE IM THREAT HUNTINGEs gibt drei Threat­Hunting­Ansätze: Analyse­gesteuert (Analytics­Driven), Situationsgesteu­ert (Situational­Awareness Driven) und Intelli­gencegesteuert (Intelligence­Driven). Im ersten Fall kommen Tools wie Maschinelles Lernen und UEBA zum Einsatz, um die vorliegenden Daten zu durchsuchen und Anomalien zu erkennen. Auf de-ren Ergebnisse bauen die Jäger ihre Hypothesen auf. Beim Situational-Awareness-Driven-Ansatz geht man von den Kronjuwelen der Infrastruk-tur aus: Man definiert, welche Assets und Daten für Angreifer besonders interessant und damit schützenswert sind, was sie genau zur Verfügung stellen und leitet daraus Angriffspfade ab. Der Intelligence-Driven-Ansatz basiert nicht nur auf der zur Verfügung stehenden Threat Intelligence. Auch das Know-how um IoCs und TTPs sowie das Wissen, welche Angriffe aktuell durchgeführt werden und welche Gruppen in Frage kommen, spielen dabei eine gewichtige Rolle. Diese Hunt-Trigger sind zum Beispiel Meldungen des eigenen Threat-Intelligence-Reports oder ein Cyberbrief des Verfassungsschutzes zu Angriffskampagnen gegen deutsche Unternehmen. Darauf kann eine aktive Suche mit einer entsprechenden Hypothe-se aufbauen: Angreifergruppen greifen oft auf ähnliche Vorgehensweisen zurück.FAZITThreat Hunting stellt für Unternehmen eine produktive Methode dar, die Cybersicherheit zu erhöhen und ergänzt Erkennungs- und Über-wachungssysteme wie Compromise Assess-ment oder Vulnerability Management. Es kann Angriffe bereits in einer frühen Phase erkennen und Sicherheitslücken im System offenlegen. Auf Basis der daraus gewonnenen Erkenntnisse ist eine Optimierung und Automatisierung der Cybersecurity möglich. nAngriffen und deren Urhebern zu untersuchen und sie auf die aktuelle Situation anzuwenden.Gleichzeitig müssen sich Threat Hunter mit Sys-tem, Netzwerk und Infrastruktur auskennen: Threat Hunting erfolgt auf Basis eines SIEM-Sys-tems, mit welchem Meldungen und Logfiles der Systeme gebündelt und ausgewertet werden – es ermöglicht einen ganzheitlichen Blick auf die Cybersecurity. Deswegen muss im Unternehmen eine entsprechende Datenbasis durch SIEM- und Log-Management geschaffen worden sein: Sind nicht alle Informationen eingebunden, können nicht alle Taktiken im Threat Hunting ange-wandt werden. Es ist also eine reife Architektur erforderlich – sie ist meist in Firmen ab einer ge-wissen Größe gegeben, welche die Grundlagen für Cybersecurity geschaffen haben: Incident-Response-Prozesse wurden zum Beispiel bereits etabliert und werden gelebt.Threat Hunting ist im Security Operation Center (SOC) angesiedelt. Liegen keine Alarme und Er-eignismeldungen im System vor und muss kei-nem Angriff aktiv nachgegangen werden, kann in den Leerlaufzeiten Threat Hunting betrieben werden. Der Einsatz von Cybersecurity-Perso-nal in Vollzeit ist genauso denkbar wie der von Dienstleistern: Der Trend geht dahin, die Dienst-leistung als Managed Service einzukaufen. Gera-de große Konzerne greifen darauf zurück.DER PROZESS DES THREAT HUNTINGIm Prozess des Threat Hunting wird zunächst eine Hypothese formuliert und dann definiert, welche Beweise es geben müsste, wenn sie kor-rekt ist. Die Jäger haben also keinen konkreten Use Case, sondern starten in der Regel frei. Auf Basis der vorhandenen Daten wird nach Takti-ken, Techniken und Verfahren (TTP) der poten-ziellen Angreifer gesucht.Tools wie UEBA (User and Entity Behavior Ana-lytics) oder die MITRE-ATT&CK-Matrix unterstüt-zen Threat Hunter dabei, die möglichen Varianten im Blick zu behalten; bekannte Angreifergruppen werden von Institutionen mit Eigennamen verse-hen und kategorisiert; Firmen und Dienstleister, etwa Entwickler von Antiviren-Software, stellen das Wissen weltweit öffentlich zur Verfügung. So kann zum Beispiel die MITRE-ATT&CK-Matrix dazu genutzt werden, Hypothesen auf verschie-dene Taktiken für die unterschiedlichen Phasen des Angriffs einzugrenzen.

In industriellen Umgebungen ist die zuneh- mende Konnektivität zwischen Maschinen und Systemen ein Schlüsselfaktor, der den Wandel zur datengesteuerten Industrie 4.0 vo- rantreibt. Die Vorteile dieser zunehmenden Ver- netzung sind vielfältig: Sie ermöglicht nicht nur einen schnellen und umfassenden Informations- fluss und damit ein höheres Maß an Transpa- renz, sondern auch eine schnellere Reaktion auf Ereignisse, was zu einer höheren Effizienz führt. CYBER-RISIKOBEWERTUN- GEN FÜR MEHR SICHER- HEIT UND SCHUTZ Sicherheitsmaßnahmen in Produktionsumge- bungen werden oft zu stark vereinfacht, und das volle Risiko, das von Cyberangriffen aus- geht, wird in der Regel nicht berücksichtigt. Die Maßnahmen beschränken sich oft auf grundle- gende Cybersicherheitskontrollen für funkti- onale Sicherheitskomponenten oder einfache Ergänzungen zu bereits bestehenden Protokol- len, die die negativen Folgen eines Cyberangriffs nicht erkennen und bewältigen können. Um die Cyberrisiken in diesem Bereich vollständig zu verstehen, müssen die Motive der Cyberangriffe berücksichtigt werden, zu denen die Gefährdung der industriellen Sicherheit, Datendiebstahl, die Beeinträchtigung der Produktsicherheit und betriebliche Produktivitätsverluste gehören können. Es ist wichtig, sich darüber im Klaren zu sein, dass ein Cyberangriff nicht nur die Gesamt- prozesse eines Unternehmens gefährden kann, sondern auch seinen Wettbewerbsvorteil, indem er Mitarbeitende, Kunden und Industrieprodukte in Gefahr bringt. Daher müssen Unternehmen regelmäßige und umfassende Cyber-Risikobewertungen durch- führen, vorzugsweise durch neutrale Dritte, wel- che die Umgebung prüfen können, ohne einem bestimmten Hersteller oder einer bestimmten Lösung gegenüber voreingenommen zu sein. Solche Risikobewertungen könnten eine Ana- lyse der in solchen Umgebungen bestehenden Gefahren und Schwachstellen umfassen, die die Sicherheit und die Sicherheitsaspekte gefährden könnten. Darüber hinaus ist eine Risikobewer- tung einschließlich der Festlegung von Schutz- maßnahmen und einer klaren Dokumentation erforderlich, um ein hohes Maß an Sicherheit in solchen Umgebungen zu gewährleisten. ÜBERWACHUNG VON CYBERRISIKEN FÜR DAS INDUSTRIELLE IOT Da immer mehr „Dinge“ in der Industrie mit dem Internet verbunden werden, hat sich der Begriff Industrial Internet of Things (IIoT) durchgesetzt. Dazu gehören Komponenten wie Sensoren, die den Gehalt an Chemikalien, die Temperatur oder die Nähe in Industrieumgebungen überwachen können und für verschiedene Anwendungsfäl- le eingesetzt werden. Eine Manipulation dieser Geräte oder eine Änderung der Werte, die diese IIoT-Komponenten liefern, könnte fatale Aus- wirkungen haben. Daher ist eine kontinuierliche Überwachung dieser Geräte erforderlich, um si- cherzustellen, dass es keine Anomalien gibt und dass sie wie erforderlich funktionieren. Diese IIoT-Geräte müssen nicht nur regelmäßig überwacht werden, auch Software-Updates soll- ten regelmäßig eingespielt werden. Da es sich um eine Vielzahl von Geräten handelt, die Daten erzeugen, sammeln, speichern und übertragen, müssen die Daten in diesen Fällen während des Transports und im Ruhezustand verschlüsselt werden, um sie vor jeglicher Art von Diebstahl oder Manipulation zu schützen. Darüber hinaus ist es wichtig, zu beachten, dass einige dieser Komponenten und Produkte auch Teil des Öko- systems der kritischen Infrastrukturen (KRITIS) sind. Daher ist die Gewährleistung eines Höchst- maßes an Sicherheit und Datenschutz entschei- dend, um sowohl Menschen als auch Infrastruk- turen vor fatalen Zwischenfällen zu schützen. CYBERSCHULUNGEN IM INDUSTRIELLEN UMFELD ENTSCHEIDENDER FAKTOR Ein weiterer wichtiger Aspekt in solchen indus- triellen Fertigungsumgebungen ist die Sen- sibilisierung der Mitarbeiter, von der Unter- nehmensspitze bis hin zu den Mitarbeitern in den Werkstätten. Es muss eine solide Grund- lage für die Cyberhygiene geschaffen wer- den, einschließlich regelmäßiger Schulungen für die Mitarbeiter in der Fertigung, die neben der funktionalen Sicherheit auch die Cybersi- cherheit umfassen, um zu erreichen, dass die Cyberrisiken gemindert werden können. Es ist sehr wichtig, dass die Mitarbeitenden regelmä- ßig Schulungen erhalten, um sicherzustellen, SECURITY MANAGEMENT dass die Risiken in einer solchen Multi­Tool­ und Multi­Domain­Umgebung gemildert werden können. Dazu könnten einfache Maßnahmen die erforderliche Awareness schaffen, zum Beispiel über Gamification-Ansätze. So werden Mitarbeitende für grundlegende Cybersicher- heitsanforderungen sensibilisiert, wie zum Beispiel die standardmäßige Deaktivierung von nicht verwendeten Funktionen oder das Verbot, fremde USB-Sticks anzuschließen. Die so ent- standene „menschliche Firewall“ kann maßgeb- lich dazu beitragen, die Erfolgswahrscheinlich- keit von Cyberangriffen, die an Mitarbeitende adressiert sind, deutlich zu senken. ZERTIFIZIERUNG ZUR EIN- FÜHRUNG EINER GRUND- LEGENDEN CYBERHYGIENE Um Cyberrisiken im industriellen Umfeld zu minimieren und die Sicherheit von Entwick- lungsprozessen zu gewährleisten, gibt es in diesem Ökosystem verschiedene ISO- und IEC- Zertifizierungen. Diese sind zwar kein Sorgen- freipaket für mehr Cybersicherheit. Zertifizie- rungen wie die IEC 62443 tragen jedoch dazu bei, eine grundlegende Cybersicherheit im in- dustriellen Umfeld zu schaffen, ganz nach dem Prinzip „Security by Default“. Dabei ist Cybersi- cherheit als „Voreinstellung“ im Produkt immer berücksichtigt. Wenn Prozesse und Produkte von einer unabhängigen dritten Organisation zertifiziert sind, steigt das Vertrauen in die Nut- zung dieser Produkte in industriellen Netzwer- ken. Andererseits sorgen Zertifizierungen auch dafür, dass ein Mindestmaß an Standardsicher- heit weltweit und branchenübergreifend ein- heitlich festgelegt wird. n SUDHIR ETHIRAJ, Global Head of Cybersecurity Office (CSO) bei TÜV SÜD IT-SICHERHEIT_2/2022 83 Bild: ©Blue Planet Studio - stock.adobe.com

MICHAEL SCHWEIGER (links), Senior Consultant und CHRISTIAN MIKOLASCH, Business-Consultant und Gründer von Banges Consulting 85IT-SICHERHEIT_2/2022Beim Smartphone selbst ist es aus Sicherheits­gründen dringend ratsam, darauf zu achten, dass es sich remote ein­ und ausschalten be­ziehungsweise blockieren lässt. Die meisten Hersteller bieten diese Option mittlerweile an, weil sie wissen, dass viele Unternehmer ihr Smartphone bereits zum Zweck der Unterneh­menssteuerung einsetzen. Das regelmäßige Ins­tallieren von Sicherheitsupdates ist ebenfalls ein wichtiger Punkt zur sicheren Handhabung der Endgeräte. Dies betrifft nicht nur die Anwendun­gen zur Unternehmenssteuerung, sondern auch solche, die das Betriebssystem des Smartphones updaten. Auch beim Austausch von Handys und Tablets sollte unbedingt darauf geachtet wer­den, die alten Endgeräte von sensiblen Daten zu befreien und sie bestenfalls auf den Werkszu­stand zurücksetzen. Genauso empfiehlt es sich, dafür zu sorgen, dass ehemalige Mitarbeiter nach dem Ausscheiden keinen Zugriff mehr auf die Steuersoftware erhalten.Auch bei der Wahl des Netzwerks, aus dem heraus eine Verbindung zum Unternehmen aufgebaut wird, ist Vorsicht geboten. Wenn es geht, sollten offene Netzwerke von WiFi-Spots etwa an Bahnhöfen oder Hotels vermieden oder nur in Verbindung mit einer VPN-Lösung (Virtual Private Network) genutzt werden. In solchen Situationen muss klar zwischen privater und beruflicher Kommunikation beziehungsweise Einsatzzweck getrennt werden.Natürlich ersetzen diese Tipps nicht eine um­fassende Beratung, die vor dem Einsatz un­ternehmenskritischer Anwendungen auf dem Smartphone dringend zu empfehlen ist. Aber sie geben schon mal einen guten Überblick, worauf es in diesen Fällen wirklich ankommt. nSmartphone laufen beim Manager alle Fäden zusammen. Er hat immer die Möglichkeit, sofort zu reagieren, ganz gleich, wo er sich aufhält. Ob im Betrieb, im Urlaub oder beim Sport. Er wählt selbst aus, wer über welche Problemlösungen, Veränderungen oder sonstige Entscheidungen benachrichtigt wird – etwa ob die entsprechen-den Infos an einen oder alle Mitarbeiter geht, nur an bestimmte Abteilungen oder an be-stimmte Teams.4. SICHERHEITS ASPEKTE BEI SMARTPHONE, LÖSUNGSARCHITEKTUR UND NETZWERKBevor sich ein Chef auf die Unternehmens-steuerung via Smartphone einlässt, sollte er ausführlich erwägen, wie gut seine Lösung vor Cyber angriffen geschützt ist. Eine zentrale Frage in diesem Zusammenhang ist, ob es besser ist, die Lösung über einen Cloud-Anbieter bereitzu-stellen oder einer On-Premises-Lösung den Vor-zug zu geben, bei der eigene IT-Experten damit beauftragt werden, das System zu hosten. Was von beidem die sicherere Variante ist, lässt sich pauschal nicht beantworten, sondern muss im Einzelfall beurteilt werden. Beim Cloud-Anbieter ist der Ort des Hostings ein wichtiger Punkt, hängen doch von ihm etwa Fragen der Gerichts-barkeit ab.Ein anderer Punkt betrifft die Endgeräte selbst, denn schließlich soll ja vermieden werden, dass ein Fremder die Kontrolle über den Betrieb be-kommt, wenn das Handy verloren geht oder gestohlen wird. Hier gilt es, sich vorher mit den Sicherheitsstandards des Herstellers zu beschäf-tigen. Wie ist das Smartphone gegen äußere Angriffe geschützt? Fingerabdrucksensoren ge-hören heutzutage beispielsweise zum Standard eines guten Geräts. Banking-Apps fragen den Fingerabdruck meist noch einmal je Vorgang explizit ab und bieten überdies die Möglichkeit der Zwei-Faktor-Authentifizierung, etwa über eine SMS. Ähnliche Sicherheitsmechanismen stellen auch die Apps zur Verfügung, die für die Unternehmenssteuerung entwickelt wurden. Die Sicherheitsabfragen dienen der Vermeidung, dass jemand Unbefugtes Zugriff auf sensible Daten erhält oder gar die Steuerung der Pro-zesse übernimmt. In vielen Anwendungen sind auch Warnhinweise implementiert, die einen verdächtigen Zugriff beispielsweise an einen IT-Systemadministrator melden, der dann notfalls sofort eingreifen kann.ENDPOINT | MOBILE SECURITYDies geschieht im Grunde in Echtzeit, und zwar mit demselben Komfort, der vielleicht bereits von zu Hause durch die Smart-Home-Techno-logie bekannt ist. Das Smartphone informiert laufend über alle Vorgänge. Es empfiehlt sich allerdings, genau festzulegen, welche Nachrich-ten zu welchem Zeitpunkt übermittelt werden sollen. Die Priorisierung der Aufgaben ist ein wichtiger Punkt, denn schließlich ist auch nicht alles immer zu gleicher Zeit wichtig.Diesen Punkt gilt es auch insofern zu beden-ken, als die Entscheidungen im Geschäftsleben heutzutage meist innerhalb kurzer Zeitspannen getroffen werden. Dies gilt für Geschäftsinhaber aber genauso gut auch für deren Kunden. Daher kann es auch nur von Vorteil und manchmal gar absolut notwendig sein, schnelle Entscheidun-gen von überall aus treffen zu können.3. SCHNELL AGIEREN UND REAGIEREN Das Smartphone erlaubt die Unternehmenssteu-erung unabhängig von Ort und Zeit. Theore-tisch ließe sich tatsächlich so ziemlich alles vom Smartphone aus erledigen: Vertriebsleitung, HR-Management, Marketingmanagement, Kun-denservice, IT etc. – und das in Echtzeit.Jederzeit auf dem Laufenden bleiben, dazu gehört natürlich auch die Lösung von Problem-fällen. Dank der Unternehmenssteuerung per

DATENSCHUTZ | BACKUP | ARCHIVIERUNG „ASSUME BREACHED – ASSUME LOST“ Seit Jahren versuchen einschlägige Experten zu vermitteln, dass der Ansatz „in unserem Netz sind die Guten, die Bösen sind draußen (vor unserer Firewall)“ falsch ist. Vielmehr gilt für alle IT-Netze heute: „assume breached“ – gehe davon aus, dass der Einbruch bereits erfolgt ist. Noch eine Stufe schlechter wird die Situation, wenn die administrative Verwaltung des IT- Netzwerks ausschließlich auf Active Directory (Microsofts Verzeichnisdienst und Rechtever- waltung) beruht. In diesem Fall ist die Datensi- cherung in Gänze als „assume lost“ zu betrach- ten, also als unbrauchbar. KEINE WINDOWS- ADMINISTRATION Die Administration des Backups darf also nicht zur Gänze Bestandteil der Windows-Administ- ration sein. Wenn das Backup von einem privile- gierten Benutzer der Windows-Welt gemanagt wird, ist es ebenso leicht kompromittierbar wie eben der Account des entsprechenden privile- gierten Nutzers. Eine Lösung kann nur in einem passenden Spei- chersystem gefunden werden, dass außerhalb der Windows-Welt administriert wird. Passend sind Speichersysteme, die ein Copy-On-Write- Dateisystem (COW) aufweisen. COW-Speicher- systeme wie das von NetApp (www.netapp. com) entwickelte „ONTAP“ oder das als Open Source vorliegende „ZFS“ (openzfs.org) über- schreiben bei Änderungen nichts auf dem Spei- chermedium, sondern schreiben bei Änderun- gen in Daten stets in einen neuen Datenblock. Zudem werden auch alle internen Verwaltungs- informationen aktualisiert. Der Aufwand an Speicherplatz und Rechenzeit steigt bei einem COW-System folglich im Vergleich zu konven- tionellen Dateisystemen wie Microsofts NTFS. Über passende Hardware ist das aber mit ver- tretbarem Aufwand kompensierbar. Vorteil des Copy-On-Write ist, dass der Speicher und damit darauf vorhandene Dateisysteme in sich immer konsistent sind und dass es sehr ein- fach und billig ist, Kopien („Snapshots“) großer Datenmengen bis hin zur Kopie des gesamten Systems anzufertigen. SNAPSHOTS Die unveränderlichen „Schnappschüsse“ von Verzeichnissen oder ganzen Dateisystemen las­ sen sich mit geringem Aufwand und in hoher Frequenz anfertigen. Damit gibt es ständig ak­ tuelle Datensicherungen, die konstruktionsbe­ dingt nicht überschrieben werden können und die im Fall eines Falles in Sekunden die durch Ransomware zerstörten Daten wiederherstel­ len. Wohlgemerkt ersetzen Snapshots keine weiteren Datensicherungen, denn bei Schäden am Speichermedium oder bei Zerstörung oder Verlust des Geräts ist der Snapshot genauso un­ benutzbar wie das Original. Nebenbei: Die Eigenschaft eines COW­Spei­ chersystems, nicht zu überschreiben, sondern stets frischen Speicherplatz zu benutzen, kann als Indikator genutzt werden. Wenn ein ganzes Laufwerk oder eine große Datenbank von Ran­ somware verschlüsselt wird, dann steigt der Platzverbrauch auf dem Speichersystem unty­ pisch schnell an. Ein erstklassiger Indikator für ein Ereignis, das genauere Betrachtung verdient! ADMINISTRATORSCHUTZ Wichtig ist, dass der Administrator eines sol­ chen Speichersystems, der nunmehr der einzige Herr über die Snapshots ist, nicht Opfer eines Ransomware­Befalls wird. Das lässt sich aber in beruhigender Distanz zur Windows­Welt mit einem exklusiven kleinen Netz, in dem das Spei­ chersystem per Notebook administriert wird, recht einfach erreichen. Wenn dann noch dem Reflex widerstanden wird, für den einfacheren Gebrauch einen SSH-Zugang (Secure Shell – mehr unter https://de.wikipedia.org/wiki/Secu- re_Shell) oder Ähnliches vom „Windows-Netz“ in dieses Sicherheitsnetz hinein zu schaffen, dann ist die nötige Trennung gut gelungen. PRAXISTESTS Bei solchen Überlegungen darf nicht vergessen werden, dass zu einem Backup auch immer die Planung und Vorbereitung der Rücksicherung der Daten und des Wiederanlaufs der wieder- belebten Systeme gehört. Diese Planungen müssen Praxistests unterzogen werden, um Komplikationen und Herausforderungen in der Rücksicherung bereits vor einem Ernstfall zu erkennen. Da die Theorie stets grau ist: Um die Gedanken dieses Beitrags in die prüfende Tat umzusetzen, empfiehlt der Verfasser TrueNAS-Core (www. truenas.com/) als Speichersystem, bei Bedarf opnsense als Firewall (https://opnsense.org/) und ein minimales Linux oder Freebsd auf einem Administrations-Notebook. n DIPL.-INF. WERNER METTERHAUSEN, Sicherheitsberater bei VON ZUR MÜHLEN’SCHE (VZM) GmbH mit den Spezialgebieten RZ-Zertifizierung, Datenschutz und Informationssi- cherheit (ISO 27001 Lead-Auditor) IT-SICHERHEIT_2/2022 87 ©apinan - stock.adobe.com

Bild 1: Workflow und Komponenten des Rhasspy-Sprachassistenten 6) Umwandlung von Text in Sprache: Wenn eine Antwort des Sprachassistenten erforder- lich ist, wird der erzeugte Text, zum Beispiel von „Home Assistant“ zurück an das Rhasspy Framework übermittelt, in Sprache umge- wandelt und 7) Antworten: in der Audioausgabe über die verbundenen Lautsprecher ausgegeben Alle Softwarekomponenten und Optionen des Rhasspy Frameworks sind austauschbar. Es kann zum Beispiel pro Nutzer ein Profil eingerichtet werden, sodass eine Instanz mit der Spracher- kennung basierend auf „Kaldi“ in deutscher Sprache parallel zu einer Instanz basierend auf „DeepSpeech“ in englischer Sprache laufen kann. So ist auch eine separate Weiterentwicklung der Sprachmodelle durch einzelne Nutzer möglich. ARCHITEKTUR DES SMART- HOME-SYSTEMS Die entwickelte Smart-Home-Architektur ba- sierend auf dem dezentralen Sprachassistenten ist in Bild 2 dargestellt. Im internen Forschungs- projekt wurde der Sprachassistent auf einem Notebook realisiert. Die lokalen Systemkompo- nenten (im Bild orange gefärbt) können offline betrieben werden. Ein Webserver und Home-As- sistant-Server stellen Schnittstellen nach außen, also zu internetbasierten Diensten, bereit. IT-SICHERHEIT_2/2022 89 AUS FORSCHUNG UND TECHNIKDie Komponenten lassen sich mit Rhasspy über „Profile“ konfigurieren. Ein Profil setzt sich aus den einzelnen Konfigurationen der Komponen-ten des Sprachassistenten zusammen. Die Kom-ponenten spiegeln gleichzeitig den Workflow des Sprachassistenten wider (siehe Bild 1).Die sieben Schritte umfassen folgende Funktionen:1) Audioaufnahme: Aufnahme des Gesproche­nen mit dem Linux­basierten Audioaufnah­metool „arecord“ über ein Mikrofon und Spei­cherung in einer WAV­Datei2) Wake Word Erkennung: Erkennung des Ruf­wort oder auch „Wake­Word“ – zum Beispiel „Alexa“, „OK Google“ oder „Hi Siri“ anhand der WAV­Datei3) Spracherkennung beziehungsweise Um-wandlung von Sprache in Text: Erzeugung einer textbasierten Darstellung der WAV­Datei mit dem Open Source Spracherkennungs­Toolkit „Kaldi“ 4) Befehlserkennung: Erkennung des Befehls aus der textbasierten Darstellung mit „Rasa NLU“, ein auf Machine Learning basiertes Tool­kit für „Natural Language Understanding“ (NLU)5) Umsetzung der Befehle: Umsetzung der Be­fehle mit entsprechenden angebundenen Soft­warekomponenten, zum Beispiel „Home Assis­tant“ für die Smart­Home­FunktionalitätenSprachassistenten sind IT-Systeme, die mithilfe der natürlichen Spra-chen Dienste für den Nutzer er-bringen. Sie haben in den letzten Jahren immer mehr an Bedeutung gewonnen und kommen in vielen Anwendungsbereichen auf verschiede-nen Endgeräten zum Einsatz. Im Allgemeinen besteht ein Sprachassistent aus verschiedenen Softwarekomponenten, welche die Ausführung von Sprachbefehlen ermöglichen. Beispielswei-se können im Smart-Home-Bereich intelligen-te Geräte verbunden und durch Sprachbefehle gesteuert werden, im Arbeitsumfeld wird durch sprachbasierte Interaktion eine höhere Effizienz erreicht – zum Beispiel, wenn Bedienelemente nicht durch die Hände betätigt werden können. Menschen mit körperlichen Einschränkungen bringt die sprachbasierte Interaktion eine Er-leichterung des Alltags.Die Kehrseite der Medaille: Datenschutzprob-leme und zum Teil auch Sicherheitsrisiken. So wurde beispielsweise ein Fall bekannt, wo sich Fremde über den Sprachassistenten Zutritt zu einem Haus verschafften.[2] Ziel des Projekts war die Entwicklung einer datenschutzfreundlichen Alternative zu cloudbasierten Sprachassistenten im Smart-Home-Umfeld, der die folgenden An-forderungen erfüllt: ƒhohe Privatsphäre und Datenhoheit des Nutzers ƒhohe Qualität der Spracherkennung auch ohne cloudbasierte Verarbeitung der Sprachdaten ƒeinwandfreie Funktionalität auch ohne Verbindung zum Internet In den folgenden Abschnitten geht es darum, wie diese Anforderung bei der Entwicklung wdes de-zentralen Sprachassistenten umgesetzt wurden.ARCHITEKTUR DES SPRACHASSISTENTENDer Sprachassistent wurde mit dem Rhasspy Framework entwickelt – ein Rahmensystem, das Schnittstellen für alle notwendigen Soft-warekomponenten eines Sprachassistenten zur Verfügung stellt. Dadurch wird eine einfache und schnelle Implementierung ermöglicht, ohne tiefes Grundwissen über die mathematischen Modelle von Spracherkennungsalgorithmen be-sitzen zu müssen.

Nr. Erwarteter Satz Stelle meinen wecker auf elf uhr neunundfünfzig Spiele das Lied Sonne von Rammstein Ergebnis stelle meinen wecker auf elf uhr neunundfünfzig spiele das lied sonne von rammstein 1 2 3 4 5 6 Ich möchte das Lied Hamma von Culcha Candela hören Abweichung: Culcha Candela und Hamma sind nicht als Slot-Werte definiert ich möchte das lied sonne von kalt schalte sunshine live hören Ich möchte das Lied 99 Luftballons von Nena hören Abweichung: Nena und 99 Luftballons sind nicht als Slot-Werte definiert Ich möchte 1 Live hören Ich möchte das Radio 1 Live hören Abweichung: „Ich möchte <radiosender> hören“ – „das Radio“ ist nicht im Template der sentences.ini definiert ich möchte das lied neun- undneunzig lied sonne von live hören ich möchte eins live hören ich möchte das radio eins live hören 7 Wie viele Mails habe ich wie viele mails hab ich Abweichung: „Wie viele Mails hab ich“ ist im Template der sentences.ini definiert 8 Wie viele neue Mails hab ich 9 Wie wird das Wetter morgen 10 Wie wird das Wetter in 3 Tagen Abweichung: „in 3 Tagen“ ist nicht in einem Slot definiert 11 Wie spät ist es 12 Wie kalt ist es 13 Schalte die Wohnzimmer Lampe ein wie viele neue mails hab ich wie wird das wetter morgen wie wird das wetter im dreizehn wir wie spät ist es wie kalt ist es schalte die wohnzimmer lampe ein WER 0 0 0.56 0.33 0 0 0 0 0 0.43 0 0 0 Tabelle 1: Ergebnisse der Spracherkennung im Standardmodus ERGEBNIS 0.10 Nr. Erwarteter Satz Ergebnis 1 2 3 4 5 6 stelle meinen wecker auf elf uhr neun- undfünfzig stelle meinen wecker auf elf uhr neun- undfünfzig Spiele das Lied Sonne von Rammstein spiele das lied sonne von ramstein Ich möchte das Lied Hamma von Culcha Candela hören ich möchte das lied hammer von kahl- schlag mandela hören Ich möchte das Lied 99 Luftballons von Nena hören ich möchte das lied neunundneunzig luft balance von nina hören Ich möchte 1 Live hören ich möchte das radio eins live fördern Ich möchte das Radio 1 Live hören ich möchte eins live hören 7 Wie viele Mails habe ich wie viele mails hab ich 8 Wie viele neue Mails hab ich wie viele neue mails habe ich 9 Wie wird das Wetter morgen wie wird das wetter morgen WER 0 0 0.56 0.33 0 0 0 0 0 10 Wie wird das Wetter in 3 Tagen wie wird das wetter in drei tagen 0.43 11 Wie spät ist es 12 Wie kalt ist es wie spät ist es wie kalt ist es 13 Schalte die Wohnzimmer Lampe ein schalte die wohnzimmer lampe ein 0 0 0 ERGEBNIS 0.10 Tabelle 2: Ergebnisse der Spracherkennung mit Open Transcription IT-SICHERHEIT_2/2022 91 Für die Befehle Nummer 2 bis 4 wurden Slots (variable Bereiche für Worte in einem Satz) für Interpreten und Musiktitel definiert, welche die Werte „Rammstein“ und „Sonne“ enthalten. Dies erklärt, wieso nur Befehl Nr. 2 im Gegensatz zu Nr. 3 und 4 korrekt erkannt wird. Die Interpre-ten „Culcha Candela“ und „Nena“ sind nicht als Werte in den Slots hinterlegt und werden nicht erkannt. Interessant ist, dass Rhasspy versucht, anhand bekannter Wörter aus der sentences.ini das Gesprochene zu transkribieren: Culcha Candela wird mit „kalt schalte sunshine live“ transkribiert, eine Mischung aus den Sätzen „wie kalt ist es“, dem Slot „radiosender“ mit dem Wert „sunshine live“ und „schalte <radiosender> an“. Anstelle des Musiktitels „Hamma“ wird der bekannte Wert „Sonne“ transkribiert, ein Wert des Slots „song“.Befehle Nr. 3, 4, 6, 7 und 10 (grau markiert) ent-halten minimale Abweichungen von den defi-nierten Befehlen in der sentences.ini, die in der Tabelle in kursiv unter dem erwarteten Satz be-schrieben sind. Nr. 6 und Nr. 7 werden korrekt er-kannt, wobei auffällig ist, dass es sich bei diesen um Sätze mit minimal abweichenden Wörtern handelt. Nr. 3, 4 und 10 enthalten unbekannte Werte für Slots, die nicht erkannt werden.Aus den Ergebnissen lässt sich schließen, dass Rhasspy die in der sentences.ini definierten Sät-ze ohne Open Transcription sehr gut erkennen kann und auch mit minimal abweichenden Wör-tern umgehen kann. Bei unbekannten Wörtern wie „Hammer“, „Luftballons“ und „in 3 Tagen“ aus den Befehlen Nr. 3, 4 und 10 wird das Unbe-kannte versucht, mit bekannten Wörtern aus der sentences.ini und den Werten der Slots zu tran-skribieren, was zu einer hohen WER führt. EVALUIERUNG DES OPEN-TRANSCRIPTION-MODUSDie Ergebnisse der freien Spracherkennung im Open-Transcription-Modus sind in Tabelle 2 dargestellt.Die Ergebnisse zeigen, dass die Spracherken-nung mit Open Transcription basierend auf den gesprochenen Testbefehlen eine bessere Sprach erkennung mit einer Gesamt-WER von nur 3 Prozent liefert. Nur Befehl Nr. 3 und 4 weisen eine WER von 22 Prozent auf, die jedoch im Vergleich zu den Ergebnissen des Standard-Modus (56 Prozent und 33 Prozent) deutlich niedriger ist.AUS FORSCHUNG UND TECHNIK

Erkennung: In nur einem Fall konnte der Befehl erkannt werden, aus den Slots hingegen wur­ de kein einziger Wert erkannt. Bei Befehl Nr. 6 wurde der Ergebnisslot mit dem falschen Wert gefüllt, was sich auf die Satzstellung in der sen­ tences.ini zurückführen lässt. Tabelle 4 zeigt die Ergebnisse der Testversuche mit RasaNLU mit den gleichen Befehlen, die für Fsticuffs verwendet wurden. Die Befehle wurden mit RasaNLU in 13 von 13 Fällen korrekt erkannt und auch die Slots wurden immer richtig befüllt. Die Interpreten „Culcha Candela“ und „Nena“ wurden zwar nicht korrekt transkribiert, im Ge­ gensatz zu Fsticuffs konnte RasaNLU aber genau die Wörter, welche die Interpreten bestimmen, dem entsprechenden Slot zuordnen (siehe Be­ fehl Nr. 3 und 4). Auch die Befehle Nr. 6 und 7 konnte RasaNLU im Gegensatz zu Fsticuffs korrekt erkennen und „1 Live“ dem Slot „radiosender“ zuordnen. Befehl Nr. 1, 9 und 10 zeigen die Vorteile von „Pipelines“, eine erweiterte Funktionalität von RasaNLU: Die „Duckling Pipeline“ ermöglicht die Extrahierung von Daten, Zeiten und Zeitdauern. In dem Satz „Regnet es morgen“ erkennt diese beispielswei­ se das Stichwort „morgen“ und stellt über den Slot „day“ das entsprechende Datum in Form eines Zeitstempels bereit, die zum Beispiel für Anfragen gegen eine Wetter­API (Programmier­ schnittstelle) verwendet werden können. Zusammenfassend lässt sich durch die Evalu­ ierung sagen, dass die Befehlserkennung mit RasaNLU zusammen mit der Spracherken­ nung im Open Transcription Mode sehr gute Ergebnisse liefert und die Anforderung einer Nr. Umgewandelter Text Befehl erkannt Erkannte Slots 1 2 3 4 5 6 7 8 9 stelle meinen wecker auf elf uhr neun­ undfünfzig Spiele das Lied Sonne von Rammstein Ich möchte das Lied Hamma von Culcha Candela hören Ich möchte das Lied 99 Luftballons von Nena hören Ich möchte 1 Live hören Ich möchte das Radio 1 Live hören Wie viele Mails habe ich Wie viele neue Mails hab ich Wie wird das Wetter morgen 10 Wie wird das Wetter in 3 Tagen 11 12 13 Wie spät ist es Wie kalt ist es Schalte die Wohnzimmer Lampe ein Ja Ja Ja Ja Ja Ja Ja Ja Ja Ja Ja Ja Ja 1/1 Richtiger Timestamp wurde extra- hiert mit der Duckling Pipeline 2/2 (Sonne, Rammstein) 2/2 (Hamma, Culcha Candela) Es wurde „hammer“ in den Slot „song“ und „kahlschlag mandela“ in den Slot „interpret“ gefüllt 2/2 (99 Luftballons, Nena) Es wurde „neunundneunzig luft balance“ in den Slot „song“ und „nina“ in den Slot „interpret“ gefüllt 1/1 (1 Live) 1/1 (1 Live) Keine Keine 1/1 (morgen) Richtiger Timestamp wurde extra- hiert mit der Duckling Pipeline 1/1 (in 3 Tagen) Richtiger Timestamp wurde extra- hiert mit der Duckling Pipeline Keine Keine 2/2 (Wohnzimmer Lampe, ein) Tabelle 4: Ergebnisse der Befehlserkennung mit RasaNLU ERGEBNIS 13/13 13/13 hohen Qualität und einwandfreien Funktio­ nalität auch ohne Internetkonnektivität und cloudbasierte Spracherkennung erfüllt. Für die Umsetzung der Befehle müssen entsprechende Softwarekomponenten an den Sprachassisten­ ten angebunden werden. Die Integration von Smart­Home­Funktionalitäten wurde mit dem „Home Assistant“­Framework realisiert, wel­ ches Schnittstellen für viele Smart­Home­Ge­ räte und ­Dienste zur Verfügung stellt. Zudem erkennt Home Assistant Sensoren und Kom­ munikationsprotokolle im Umfeld und bindet sie automatisch ein. Des Weiteren lassen sich über Rhasspy auch beliebige andere Dienste an den Sprachassistenten anbinden. Dies wurde in dem internen Forschungsprojekt anhand eines Wetter­, E­Mail­ und Musikstreaming­Dienst gezeigt, auf die im nachfolgenden Abschnitt ge­ nauer eingegangen wird. HOHE PRIVATSPHÄRE UND DATENSCHUTZ Der dezentrale Sprachassistent schützt die Privatsphäre, da er keine Daten zur Spracher­ kennung an einen externen Server oder in eine Cloud sendet. Daher wird auch die Spracher­ kennung auf dem Gerät lokal durchgeführt. Die Integration von Smart­Home­Geräten benötigt ebenfalls keine Cloudanbindung – sie funktio­ niert im lokalen Netzwerk des Betreibers. Kom­ munikation findet nur innerhalb des Netzwerks im Home statt. Weiterhin ist für eine hohe Privatsphäre wich- tig, nur Smart-Home-Geräte zu integrieren, die ohne Internetkonnektivität betrieben werden können.[4] Die Nutzung internetbasierter Dienste ist somit die einzige Schnittstelle, über die Daten nach außen gelangen können. Hierzu müssen die Dienste vor der Anbindung hinsichtlich der Datennutzung analysiert und verglichen werden, um die datenschutzfreundlichste Alternative zu wählen. Des Weiteren müssen Dritte aus der An- bindung ausgeschlossen werden, was besonders bei der zentralen Authentifizierung mithilfe von ID-Providern eine wichtige Rolle spielt. Um dem Nutzer einen schnellen Zugriff auf einen Dienst mit möglichst geringem Aufwand zu ermögli- chen, wird häufig eine Anmeldung über ID-Pro- vider wie Google oder Facebook angeboten. Um das hohe Maß an Privatsphäre des lokalen Sprachassistenten aufrecht zu erhalten, sollte diese Möglichkeit jedoch vermieden werden (Bild 4). Drittanbieter können „mitlesen“ und IT-SICHERHEIT_2/2022 93 AUS FORSCHUNG UND TECHNIK

k c o t S e b o d A , a v o k h s e p : o t o F Der einfache Weg zum organisierten Datenschutz! Datenschutz Manager Der Experte an Ihrer Seite! ✓ webbasiert, On Premise oder PC-/Laptop Installation ✓ professionelle Schritt-für-Schritt Anleitung mit vielen Vorlagen ✓ einfaches Erfassen und Dokumentieren aller Datenschutzmaßnahmen ✓ effektive Zusammenarbeit aller verantwortlichen Stellen ✓ besonders für externe DSBs geeignet: Alle Mandanten in einem System Jetzt informieren: www.DataAgenda.de/datenschutzmanager powered by

solche geeignete Garantie dar. Durch wirksame Imple- mentierung der SCC zwischen den Beteiligten beim in- ternationalen Datentransfer wird sichergestellt, dass das für Daten innerhalb der Europäischen Union geltende Schutzniveau nicht unterlaufen wird. Weitere geeignete Garantien finden sich in Art. 46 DS-GVO. Wenige Aus- nahmen, die eine Übermittlung auch ohne Angemessen- heitsbeschluss oder geeignete Garantien erlauben, sind in Art. 49 DS-GVO normiert. DIE DURCHFÜHRUNG DES TIA Die Durchführung eines TIA ist in Klausel 14 der neuen SCC vorgeschrieben. Die Parteien sichern zu, die Pflich- ten aus den SCC erfüllen zu können (vgl. Klausel 14.1 der SCC). Die SCC können jedoch nicht eingehalten werden, wenn die Rechtsvorschriften und Gepflogenheiten des Drittstaats die Grundrechte der europäischen Grund- rechte-Charta und Grundfreiheiten der europäischen Verträge missachten und über Maßnahmen hinausge- hen, die in einer demokratischen Gesellschaft notwen- dig und verhältnismäßig sind, um eines der in Art. 23 Abs. 1 DS-GVO aufgeführten Ziele sicherzustellen. Daher haben die Parteien vorab die Rechtsvorschriften und Gepflogenheiten im Drittland zu prüfen. Im Kern geht es darum, zu prüfen, ob im Drittstaat angemessene Verfah- rensgrundsätze bestehen, die den behördlichen Zugriff auf die Daten regeln. Um feststellen zu können, ob die Parteien einen Grund zur Annahme haben, dass Daten- importeure geltenden Rechtsvorschriften und Gepflo- genheiten im Bestimmungsdrittland unterliegen, die mit den übrigen SCC nicht vereinbar sind, wird eine Risiko- überprüfung des Datenschutzniveaus für die konkret zu übertragenden Daten in ein Drittland vorgenommen. Wer muss ein TIA durchführen? Die Pflicht ein TIA durchzuführen, trifft grundsätzlich alle Vertragsparteien der SCC. Die SCC wurden von der Kommission in vier Varianten, sog. Modulen, veröffent- licht. Diese vier Module decken die Konstellationen ab, dass Verantwortliche oder Auftragsverarbeiter jeweils mit Sitz in der EU Daten an Verantwortliche oder Auf- tragsverarbeiter mit Sitz in einem Drittland übermitteln. Als Unternehmen ist man im Sinne der DS-GVO Verant- wortlicher, wenn man allein oder gemeinsam mit an- deren über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet. Unternehmen gelten als Auftragsverarbeiter, wenn sie personenbezo- gene Daten im Auftrag des oder der Verantwortlichen verarbeiten. Darüber hinaus sind die Begrifflichkeiten der Daten- exporteur und der Datenimporteur von Bedeutung. In Klausel 1 lit. b der SCC finden sich Legaldefinitionen zu diesen Begriffen. Datenexporteur ist demnach jede in Klausel 1 lit. b, Ziffer i der SCC aufgeführte Einrich- IT-RECHT | DATENSCHUTZ | DATENSICHERHEIT Die Pflicht ein TIA durch- zuführen, trifft grund sätz- lich alle Vertrags parteien der SCC. Die SCC wurden von der Kommission in vier Varianten, sogenannten Modulen, veröffentlicht. tung, die die personenbezogenen Daten übermittelt. Datenimporteur ist jede aufgeführte Einrichtung in ei- nem Drittland, die die personenbezogenen Daten direkt oder indirekt von einer Partei der SCC erhält. Ein TIA muss grundsätzlich bei allen vier Modulen durchgeführt werden. Einzig in der Konstellation, dass ein Auftrags- verarbeitender mit Sitz in der EU an einen Verantwort- lichen mit Sitz im Drittland übermitteln möchte (SCC Modul IV), braucht es ein TIA nur, „wenn der in der EU ansässige Auftragsverarbeiter die von dem im Drittland ansässigen Verantwortlichen erhaltenen personenbezoge- nen Daten mit personenbezogenen Daten kombiniert, die vom Auftragsverarbeiter in der EU erhoben wurden.“ RECHTLICHE GRUNDLAGE FÜR DAS TIA Die Aspekte, die bei einem TIA berücksichtigt werden müssen, finden sich in nicht abschließender Auflistung in Klausel 14 lit. b der SCC. Demnach sichern die Partei- en zu, dass keine Rechtsvorschriften oder Gepflogenhei- ten im jeweiligen Drittland im Widerspruch zu den SCC stehen und dass insbesondere die folgenden Aspekte gebührend berücksichtigt wurden: i) die besonderen Umstände der Übermittlung, ein- schließlich der Länge der Verarbeitungskette, der Anzahl der beteiligten Akteure und der verwende- ten Übertragungskanäle, beabsichtigte Datenwei- terleitungen, die Art des Empfängers, den Zweck der Verarbeitung, die Kategorien und das Format der übermittelten personenbezogenen Daten, den Wirtschaftszweig, in dem die Übertragung erfolgt, den Speicherort der übermittelten Daten, ii) die angesichts der besonderen Umstände der Übermittlung relevanten Rechtsvorschriften und Gepflogenheiten des Bestimmungsdrittlandes (ein- schließlich solcher, die die Offenlegung von Daten gegenüber Behörden vorschreiben oder den Zu- gang von Behörden zu diesen Daten gestatten) so- wie die geltenden Beschränkungen und Garantien, IT-SICHERHEIT_2/2022 97

IT-RECHT | DATENSCHUTZ | DATENSICHERHEIT Liste festzuhalten. Dabei sollten einerseits die Arten der betroffenen Personen, also zum Beispiel Mitarbeiter, Kunden oder Dritte qualifiziert werden. Andererseits sollten die Arten der übermittelten Daten festgehalten werden, also zum Beispiel E-Mail-Adressen, IP-Adressen, Namen oder sonstige Daten. Ebenso sollte für die Bewer- tung festgelegt werden, in welchem Format die perso- nenbezogenen Daten übermittelt werden und ob dies anonymisiert oder pseudonymisiert oder verschlüsselt geschieht (einschließlich der Art der Verschlüsselung). Soweit sensible Daten, zum Beispiel Gesundheitsdaten oder Daten, aus denen die rassische oder ethische Her- kunft hervorgeht, transferiert werden sollen, sollten sie als solche bezeichnet werden. Übertragungskanäle, Verarbeitungskette und Speicherort: Das TIA sollte außerdem die Übertragungskanäle, die im Rahmen der Datenübermittlung genutzt werden, beschreiben. Darunter fällt zum Beispiel die Art der Ver- schlüsselung aller Daten während der Übertragung. Für die Darstellung von Dienstleisterketten ist es sinnvoll, eine Liste aller beteiligten Akteure und Parteien ins TIA aufzunehmen. Davon umfasst werden sollten dann auch Absichten von Datenimporteuren, die Daten an Unter- auftragsverarbeiter oder ähnliche nachgelagerte Emp- fänger weiterzuleiten. Zu berücksichtigen ist ebenfalls die Frage nach dem Speicherort. Dabei geht es regel- mäßig darum, ob die Daten in einem Rechenzentrum außerhalb der EU oder des Europäischen Wirtschafts- raumes (EWR) gespeichert werden. Sollte außerhalb der EU oder des EWR gespeichert werden, ist es angebracht, die Länder, in denen die Daten gespeichert werden, zu nennen. Es sollte genau differenziert werden, ob von ei- nem Drittland aus nur auf die in der EU bzw. dem EWR gespeicherten Daten zugegriffen wird, oder ob Datenim- porteure die Daten in dem Drittland verarbeiten. Kommt es zu einem bloßen Zugriff, sollte das technische Mittel dafür im TIA angegeben werden. 3. Klausel 14 lit. b Ziffer ii der SCC: die relevanten Rechtsvorschriften und Ge pflo- gen heiten des Bestimmungsdrittlandes Es müssen die Gesetze und Gepflogenheiten untersucht werden, denen Datenimporteure unterliegen und die auf die spezifische Art der übermittelten personenbe- zogenen Daten anwendbar sind. Dafür ist es sinnvoll, eine Liste zu erstellen, die alle Gesetze und Praktiken enthält, die relevant sein könnten. In dieser Liste sollten dann insbesondere solche Gesetze und Gepflogenhei- ten aufgenommen werden, die die Offenlegung von oder den Zugang zu Daten gegenüber Behörden erfordern könnten. Beispielhaft wäre in Bezug auf die USA der US CLOUD Act oder der Foreign Intelligence Surveillance Act zu nennen. In diesem Zusammenhang sollten auch IT-SICHERHEIT_2/2022 99 m o e.c b o d k.a c r - sto e u ra © H. B

WEBPORTAL Das Webportal von IT-SICHERHEIT IM WEB GEHT'S WEITER! Sie haben die IT­SICHERHEIT schon durchgelesen? Unter www.itsicherheit-online.com finden Sie parallel zu den Print ausgaben der IT-SICHERHEIT tagesaktuelle Informationen rund um das Thema IT-Sicher heit. Neben Fachartikeln, Studien- ergebnissen, White papers und Meldungen zu Unternehmen und Produkten können Abonnenten hier ab sofort auch in unserem neuen Zeitschriften-Archiv stöbern. Schauen Sie am besten gleich jetzt und regelmäßig bei uns rein! Weitere FACHINFORMATIONEN zum THEMA IT­SICHERHEIT Kritische Infrastrukturen im Kontext von Cyberangriffen SCHUTZMASSNAHMEN IM EINKLANG MIT DEM NEUEN IT-SICHERHEITSGESETZ 2.0 Produzenten und Versorger in den Bereichen Energie, Wasser, Finanzwesen und Gesundheit sowie Industrieunternehmen geraten zunehmend ins Visier von Angreifern. Die Folge: millionenschwere Produktionsausfälle und Versorgungsengpässe bis hin zur Gefährdung von Menschenleben. Jüngste Beispiele sind etwa Attacken auf die größte Pipeline der USA, die irische Gesundheitsbehörde oder ein Vorfall in einem kroatischen Umspannwerk, der Europa an den Rand eines Strom-Blackouts führte. www.itsicherheit-online.com/Radar-2022-02 Ali Carl Gülerman, CEO und General Manager, Radar Cyber Security (Foto: Radar Cyber Security) Warum die Wirkung von Backups oft überschätzt wird DER RANSOMWARE-SUPER-GAU Unternehmen, die ihre Systeme nach einem Ransomware-Angriff schnell wiederherstellen können, nehmen den Angreifern den Wind aus den Segeln. In der Realität ist die schnelle Wiederherstellung in vielen Unternehmen jedoch nicht so einfach. Der Hauptgrund hierfür ist, dass Unternehmen für ihre kritischen Anwendungen auf veraltete Backup-Technologien setzen. www.itsicherheit-online.com/Zerto-2022-02 Reinhard Zimmer, Regional Sales Manger bei Zerto und Spezialist für die Absicherung virtueller Infrastrukturen (Foto: Zerto) Wie sich IT-Teams wirkungsvoll stärken lassen MIT XDR MEHR SCHUTZ VOR CYBERBEDROHUNGEN Neue Anwendungen und Services lassen die IT-Landschaft von Unternehmen immer weiter wachsen. Das kann für Sicherheitsteams zur Herkules-Aufgabe werden. Zusätzlich erschweren die sich immer weiter entwickelnden Cyberbedrohungen den Job des IT-Teams. Dass in Sachen Cybersicherheit an allen System-, Netzwerk- und Geräte-Fronten der Überblick verloren gehen kann, ist daher nicht gerade verwunderlich. Extended Detection and Response (XDR) kann helfen, die Herausforderungen zu meistern. www.itsicherheit-online.com/Trellix-2022-02 Tanja Hofmann, Lead Security Engineer bei Trellix (Foto: Trellix) IT-SICHERHEIT_2/2022 101

Der neue Themenguide IT-Sicherheit www.itsicherheit-online.com/themen Wir bedanken uns bei unseren Partnern: Makro Asset Management Group ttootteemmoo securing data in securing data in motionmotion Jetzt mitmachen und Firmenpartner werden: wolfgang.scharf@datakontext.com IT-SICHERHEIT_2/2022 103