IT-Sicherheit für OT: Angriffe in Pro­ duktionsnetz­ werken erkennen Seite 12 Viel Potenzial, wenig Vertrauen: KI für alle, alle für KI? Seite 15 Verlagsbeilage Oktober 2024 Die Zeitschrift für Informations-Sicherheit m i t L e s e p r o b e a u s d e m S p e c i a l H a u p t h e f t it-sa 2024 Trends, Produkte, Lösungen Special

Mitherausgeber Inhalt NIS-2 gilt für einige, „Prevention first“ lohnt sich für alle Alles wie immer, nur schlimmer – also wie immer?! Business-E-Mails: Sicher archivieren und verschlüsseln IT-Sicherheit in Produktions netzwerken KI für alle, alle für KI? Wie Secure by Design hilft, Angriffsflächen zu schließen Die Zeit für eine echte E-Mail-Firewall ist gekommen Cyber-Resilienz erhöhen und Risikomanagement wirksam verbessern mit Zero Trust und KI News und Produkte 5 8 10 12 15 18 20 22 26 Impressum Bankverbindung: UniCredit Bank AG, München, IBAN: DE34 7002 0270 0015 7644 54 Alle Rechte vorbehalten, auch die des auszugs- weisen Nachdrucks, der Reproduktion durch Fotokopie, Mikrofilm und andere Verfahren, der Speicherung und Auswertung für Daten- banken und ähnliche Einrichtungen. Media-Daten: Unsere Mediadaten finden Sie online auf www.kes.de/mediadaten. Herstellungsleitung und Vertrieb: Dieter Schulz, dieter.schulz@datakontext.com, Tel.: +49 2334 98949-99 Satz: Dirk Hemke (SatzPro), Krefeld; Markus Miller (Satz + Bild), München Zurzeit gültige Anzeigenpreisliste: Nr. 42 vom 01. Januar 2024 Druck: QUBUS media GmbH Beckstraße 10, 30457 Hannover Anzeigenleitung: Birgit Eckert (verantwortlich für den Anzeigenteil) Tel.: +49 6728 289003, anzeigen@kes.de Titelbild: Nürnberg Messe/Thomas Geiger Augustinusstraße 11 A, 50226 Frechen (DE) Tel.: +49 2234 98949-30 Fax: +49 2234 98949-32 redaktion@datakontext.com, www.datakontext.com Geschäftsführer: Dr. Karl Ulrich Handelsregister Amtsgericht Köln, HRB 82299 © DATAKONTEXT GmbH · 50226 Frechen · <kes> Special it-sa 2024, Oktober 2024 3

it-sa 2024 NIS-2 gilt für einige, „Prevention first“ lohnt sich für alle Der IT-Sicherheitshersteller ESET präsentiert auf der Security-Messe it-sa (Halle 9/335) sein aktuelles Lösungsportfolio und zeigt, warum Prävention der Schlüssel zur Cybersicherheit ist. k c o t s r e t t u h S / I A . k c o t s r e t t u h S : d l i B Von Michael Klatte, ESET Viele Unternehmen atmen auf, weil sie nicht un- ter die strengen Anforderungen der NIS-2-Richtlinie fal- len. Das ist natürlich ein Trugschluss, denn die Gefahr von Cyberangriffen bleibt bestehen. Unternehmen müs- sen sich also weiterhin überlegen, welche Maßnahmen sie ergreifen wollen und wie sie diese sinnvoll kombinieren. Eine wichtige Hilfestellung bietet der IT-Sicher- heitshersteller ESET auf der Security-Messe it-sa mit sei- nem „Prevention first“-Ansatz. Dahinter steht die Idee, potenzielle Bedrohungen frühzeitig zu erkennen und zu neutralisieren, anstatt nur auf Sicherheitsvorfälle zu re- agieren. Prävention gilt mehr denn je als Schlüssel zur Reduzierung von Risiken und operativen Kosten. Proak- tive IT-Sicherheit gewährleistet letztlich einen unterbre- chungsfreien Geschäftsbetrieb sowie die Einhaltung von Vorschriften und Gesetzen. Neue Lösungsversionen und Dienstleistungen mit KI Prevention first umfasst mehrere Schutzebe- nen, um modernen Bedrohungen vorzubeugen. Dies ge- schieht durch den Einsatz effizienter Sicherheitslösungen, fortschrittlicher Technologien mit künstlicher Intelligenz (KI) und Dienstleistungen wie Managed Detection and © DATAKONTEXT GmbH · 50226 Frechen · <kes> Special it-sa 2024, Oktober 2024 5

nur autorisierte Benutzer Zugriff auf Systeme und Daten haben. ESET Secure Authentication Cloud bietet Unter- nehmen eine einfache und flexible Möglichkeit, IT-Syste- me vor unberechtigtem Zugriff zu schützen. Damit um- gehen Geschäftsanwender elegant das Sicherheitsproblem, dass Mitarbeiter häufig dieselben Passwörter für alle ihre Accounts verwenden. Die Implementierung und der Be- trieb der Multi-Faktor-Authentifizierung wurden erheb- lich vereinfacht und erfordern keine lokale Hardware. ESET Secure Authentication Cloud bietet Unter- nehmen jeder Größe eine einfache Möglichkeit, MFA für häufig verwendete Systeme wie VPNs, Remote Desktop Protocol, Outlook Web Access, Betriebssystemanmeldung und mehr zu implementieren. Es ermöglicht auch den Schutz von Web- und Cloud-Diensten wie Microsoft Of- fice 365, Google Apps, Dropbox und andere durch ADFS 3.0 oder SAML-Protokoll-Integration. Die Cloud-Versi- on behält alle bewährten Authentifizierungsmethoden der On-Premises-Lösung bei, darunter biometrische Verfah- ren wie Touch ID oder Face ID, Mobile App, Push-Be- nachrichtigungen, Hardware-Token, FIDO-Schlüssel und SMS-OTP. Die cloudbasierte Version von ESA wurde für die Verwaltung mehrerer Unternehmen oder Standorte entwi- ckelt und verfügt über eine mandantenfähige Verwaltung. Sie bietet die Flexibilität, spezifische Einstellungen für ein- zelne Benutzergruppen zu definieren, wovon insbesondere Managed Service Provider (MSP) profitieren. ESET Managed Detection and Response (MDR) Managed Detection and Response erfreut sich bei Anwendern größter Beliebtheit. Dahinter verbirgt sich ein moderner Ansatz zur Sicherung von IT-Systemen und Da- ten vor Cyberbedrohungen. Im Wesentlichen handelt es sich dabei um einen Service, der von spezialisierten An- bietern bereitgestellt wird und eine umfassende Überwa- chung, Erkennung und Reaktion auf potenzielle Sicher- heitsvorfälle umfasst. ESET MDR übernimmt für kleine und mittlere Unternehmen (KMU) rund um die Uhr Systemüberwa- chung, Bedrohungserkennung und -verfolgung, Vorfall- reaktion sowie erweiterte Erkennungs- und Reaktions- funktionen. Dabei handelt es sich um einen KI-basierten Dienst, der das Netzwerk überwacht und prüft. Alle ESET MDR-Kunden sind mit dem ESET-eigenen Security-In- formation-and-Event-Management-(SIEM)-Tool verbun- den, sodass Bedrohungen erkannt und mit vordefinierten Reaktionsmaßnahmen gestoppt werden können. ESET MDR ist in der Lage, Bedrohungen innerhalb von 20 Mi- nuten zu erkennen und darauf zu reagieren. Dazu nutzt ESET eigene Cybersicherheitstechnologien und Teleme- triedaten, die das Unternehmen weltweit sammelt und auswertet. Für eine effektive Gefahrenabwehr können Kunden zudem auf eine Bibliothek mit vordefinierten Mustern zugreifen und eigene benutzerdefinierte Regeln erstellen. Bei bestimmten Erkennungen oder verdächti- gem Verhalten von Dateien oder Prozessen werden dann entsprechende Aktionen ausgelöst. ESET PROTECT MDR und Ultimate Die Lösungs-Bundles ESET PROTECT MDR (für SMB) und ESET PROTECT MDR Ultimate (für Enterprise) richten sich vor allem an Kunden, die mit Ma- naged Detection and Response die internen Sicherheitsan- strengungen erweitern möchten. Sie beinhalten zum einen die effektivsten und innovativsten Sicherheitslösungen vom Malware-Schutz über Multi-Faktor-Authentifizie- rung und Verschlüsselung bis hin zum Patchmanagement. Zum anderen bieten sie unterschiedliche MDR-Services sowie ergänzende Dienstleistungen für den optimalen Einsatz der ESET-Sicherheitslösungen. ESET AI Advisor Mit dem ESET AI Advisor unterstützt nun eine künstliche Intelligenz Sicherheitsverantwortliche im Se- curity-Alltag. Dieser generative KI-basierte Cybersecuri- ty-Assistent verbessert die Reaktion auf Vorfälle und die interaktive Risikoanalyse. Der digitale Berater kann Ano- malien und verdächtige Aktivitäten identifizieren, bevor sie zu ernsthaften Sicherheitsvorfällen führen. Das ermög- licht eine proaktive Bedrohungserkennung und -abwehr. Mit ESET KI Advisor können Unternehmen die Vorteile von Extended-Detection-and-Response-(XDR)-Lösungen nutzen, selbst wenn sie nur begrenzte IT-Ressourcen be- sitzen. ESET AI Advisor ist beispielsweise in ESET PRO- TECT MDR Ultimate und ESET Threat Intelligence ver- fügbar. Der neue KI-Assistent bietet eine benutzerfreund- liche Oberfläche, die Sicherheitsanalysten aller Qualifi- kationsstufen unterstützt. Er erleichtert die interaktive Risikoidentifikation, -ana- lyse und -reaktion und stellt komplexe Bedrohungsdaten in einem leicht verständli- chen Format dar. Auch we- niger erfahrene IT- und Si- cherheitsexperten können mit diesem Tool effektiv ar- beiten. Damit findet ESET eine weitere Antwort auf den Fachkräftemangel, insbesondere im IT-Sicherheitsbereich: Neben dem bereits vorhandenen Angebot von Managed Detection and Response-Diensten kommt nun die Auto- matisierung mit maschinellem Lernen und KI-gesteuerten Technologien hinzu. ■ ESET Halle 9, Stand 335 www.eset.de/itsa-2024 © DATAKONTEXT GmbH · 50226 Frechen · <kes> Special it-sa 2024, Oktober 2024 7

© DATAKONTEXT GmbH · 50226 Frechen · <kes> Special it-sa 2024, Oktober 2024 9

Die einheitliche Cybersecurity-Plattform für Ihr Unternehmen Global Leader in Cybersecurity Entdecken Sie, was möglich ist: trendmicro.com/one ©2023 Trend Micro, Inc. All rights reserved

ders hervorzuheben ist die Fähigkeit von IRMA, verdäch- tige Aktivitäten direkt an ein Security-Information-and- Event-Management-(SIEM)-System weiterzuleiten. Dies ermöglicht eine nahtlose Integration in die bestehende IT- Sicherheitsinfrastruktur und eine effiziente Bearbeitung von Sicherheitsvorfällen. Netzwerkhygiene Netzwerkadministratoren stehen vor der Heraus- forderung, OT-Netzwerke kontinuierlich zu überwachen und sicherzustellen, dass diese stets optimal geschützt sind. Anders als in IT-Netzwerken, wo regelmäßige Up- dates und Sicherheitsmaßnahmen zum Standard gehören, erfordert die Sicherung von OT-Netzwerken ein hohes Maß an Spezialisierung. IRMA bietet Netzwerkadminis- tratoren die nötigen Werkzeuge, um die Sicherheit der ge- samten OT-Infrastruktur zu gewährleisten. Die Lösung überwacht permanent alle verbundenen Geräte und mel- det Unregelmäßigkeiten sofort. Zudem erleichtert IRMA das Management von Updates und Patches, was dazu bei- trägt, das Risiko von Angriffen zu minimieren und die Si- cherheit der Systeme aufrechtzuerhalten. Übersicht im OT-Netz Compliance-Officer tragen die Verantwortung, dass alle Sicherheitsstandards und gesetzlichen Anforde- rungen eingehalten werden. In einem komplexen OT- Netzwerk ist dies keine einfache Aufgabe. Die Notwen- digkeit, alle Aktivitäten im Netzwerk zu überwachen und gleichzeitig sicherzustellen, dass allen Vorschriften entspro- chen wird, erfordert spezielle Tools und Methoden. IRMA bietet Compliance-Officern eine umfassende Transparenz über alle Vorgänge im Netzwerk. Die Lösung ermöglicht es, detaillierte Berichte zu generieren, die die Einhaltung von Vorschriften dokumentieren und potenzielle Verstöße frühzeitig aufzeigen. Dies erleichtert die Arbeit der Com- pliance-Officer erheblich und sorgt dafür, dass das Unter- nehmen jederzeit sicher und rechtskonform arbeitet. Störungen vermeiden Instandhaltungsmanager stehen vor der Aufgabe, sicherzustellen, dass die Produktionsanlagen reibungslos funktionieren und ungeplante Ausfälle vermieden werden. In hochautomatisierten Produktionsumgebungen kann bereits eine kurze Störung erhebliche Auswirkungen auf die Produktivität haben. Durch die kontinuierliche Über- wachung der Systeme und die Analyse von Betriebsdaten unterstützt IRMA Instandhaltungsmanager dabei, Abwei- chungen vom normalen Betriebsverhalten frühzeitig zu identifizieren. Dies ermöglicht es, Wartungsmaßnahmen rechtzeitig durchzuführen und unvorhergesehene Ausfäl- le zu verhindern, wodurch die Produktionsprozesse stabil und effizient bleiben. U O s n o i t c u d o r P f f o k n e d o r o G l i B : d Brücke zwischen IT und OT Fakt ist, IT und OT sind zwei verschiedene Wel- ten. IRMA, in Deutschland entwickelt und seit 2015 im industriellen Einsatz, bildet eine Brücke zwischen IT und OT, da sie durch die Mitarbeit der OT die Netzwerke für die IT verständlich und transparent macht. IRMA ist ein- fach für die OT zu bedienen, bietet aber trotzdem vol- le SIEM- und SOC-Funktionalität durch Weiterleitung sämtlicher Ereignisse, inklusive Bedieneingaben vor Ort. Bedrohungslevel schafft Awareness Der IRMA-Bedrohungslevel ist ein Indikator, der auf einen Blick die Bedrohungslage anzeigt. Jede Ände- rung im Verhalten erhöht den Wert des Bedrohungslevels. Durch Visualisierung dieses Wertes im Leitsystem wird die Mitarbeiter-Awareness zum Thema Cybersecurity noch mehr geschärft. Fazit Die fortschreitende Vernetzung und Digitalisie- rung in der Produktion erfordern eine neue Herange- hensweise an die OT-Sicherheit. Standardlösungen aus der IT reichen oft nicht aus, um die speziellen Anforde- rungen von OT-Netzwer- ken zu erfüllen. VIDEC hat mit IRMA eine Lösung entwickelt, die IT/OT-Si- cherheitsmanager, CIOs, Netzwerkadministratoren, Compliance-Officer und Instandhaltungsmanager dabei unterstützt, ihre Pro- duktionsanlagen sicher und effizient zu betreiben. Durch die maßgeschneiderte Herangehensweise von IRMA las- sen sich sowohl Sicherheitsrisiken minimieren als auch die betrieblichen und rechtlichen Anforderungen der moder- nen Produktionsumgebung optimal erfüllen. ■ VIDEC Data Engineering GmbH Halle 7A, Stand 202 © DATAKONTEXT GmbH · 50226 Frechen · <kes> Special it-sa 2024, Oktober 2024 13

it-sa 2024 Cybersecurity und künstliche Intelligenz KI für alle, alle für KI? KI-gestützte Prozesse sicher und regelkonform abzusichern ist eine enorme Herausforderung. Hier kommen die neuen Funktionen von Trend Micros Zero Trust Secure Access (ZTSA) ins Spiel. Diese wurden gänzlich auf die potenziellen Gefahren der neuen Technologie optimiert. Dabei ist KI jedoch nicht nur als Sicherheitsrisiko zu betrachten. Ihre Fähigkeit, riesige Datenmengen schneller als je zuvor zu analysieren und einzuordnen, ermöglicht es modernen Cybersecurity- Lösungen, den komplexen Bedrohungen unserer Zeit erfolgreich zu begegnen – selbst ange- sichts von Ressourcen- und Fachkräftemangel. Von Richard Werner und Thomas Margner, Trend Micro Künstliche Intelligenz (KI) ist längst kein neu- es Phänomen mehr. Von der E-Mail-Erstellung über Programmierung bis hin zur Chip-Herstellung wird sie mittlerweile in nahezu allen Bereichen eingesetzt. Mit ChatGPT & Co. wurde dann ein neuer Hype ausgelöst. Die Technik verspricht spannende Kommunikationswege, und viele Mitarbeitende entdeckten die Möglichkeiten für sich selbst, ohne die Unternehmens-IT überhaupt zu fra- gen. Viele Entscheider experimentieren teils geplant, teils spontan mit KI-Anwendungen in ihren Prozessen. In vie- len Unternehmen ist KI mittlerweile sogar ein fester Be- standteil des Arbeitsalltags geworden. Aus Sicht der Si- cherheitsverantwortlichen sind diese Experimente jedoch oft riskant, da KI – wie alle disruptiven Technologien – ein ernst zu nehmendes Sicherheitsrisiko darstellt. Wie KI die Sicherheit gefährden kann KI-Modelle sind wie hochbegabte Kinder. Sie ver- arbeiten neue Informationen in erstaunlicher Geschwin- digkeit, doch mangelt es ihnen an einem ausgeprägten Si- cherheitsbewusstsein. Für CISOs bedeutet die Einführung von KI-gestützten Prozessen dementsprechend viel Arbeit. Es gilt, „AI Poisoning“ – etwa durch Manipulation der Trainingsdaten oder gar die direkte Beeinflussung der Modelparameter – einen Riegel vorzuschieben. Weiterhin muss durch richtige Konfiguration sichergestellt werden, dass keine internen Firmendaten an öffentliche KI-Mo- delle abfließen. Nicht zuletzt stellt Prompt Injection eine stets wachsende Bedrohung dar. Bei der Einführung von KI muss Sicherheit also von Anfang an mitgedacht wer- den. Eine detaillierte Auflistung der Herausforderungen, denen sich CISOs bei der erfolgreichen Implementierung und Überwachung von KI stellen müssen, findet sich hier: Sichtbarkeit: Netzwerk- und Security-Operati- ons-Center-(SOC)-Teams haben keinen Einblick in KI- Plattformen. So können sie die Nutzung nicht effektiv überwachen oder kontrollieren und die damit verbunde- nen Risiken managen. Das hat gravierende Auswirkungen auf die allgemeine Sicherheitslage des Unternehmens. Compliance: Es ist äußerst schwierig, unterneh- mensweite Richtlinien umzusetzen und festzustellen, wer im Unternehmen welche KI-Dienste nutzt. Datenlecks: Sensible Daten können versehentlich von Mitarbeitern, die generative künstliche Intelligenz Dienste (GenAI) nutzen, offengelegt werden. Oder die KI selbst stellt durch eine nicht authentifizierte Antwort End- benutzern unzulässige Daten zur Verfügung. Manipulation: Bedrohungsakteure können GenAI-Modelle mit manipulierten Prompts ausnutzen, um unbeabsichtigte Aktionen auszulösen oder ein böswil- liges Ziel zu erreichen (Prompt-Injection-Angriffe). Bei- spiele hierfür sind Jailbreaking/Model-Duping, Virtuali- sierung/Rollenspiele und Sidestepping. Ob und in welchem Umfang KI in die Unterneh- mensprozesse integriert wird, ist letztlich nicht die Ent- scheidung der CISOs. Vielmehr besteht deren Aufgabe darin, Rahmenbedingungen zu schaffen, die es den Ge- schäftsverantwortlichen ermöglichen, frei zu entscheiden. Angesichts des gravierenden Fachkräfte- und Ressourcen- mangels in den IT-Abteilungen ist das jedoch keine leich- te Aufgabe. Das kann schnell zu Spannungen zwischen © DATAKONTEXT GmbH · 50226 Frechen · <kes> Special it-sa 2024, Oktober 2024 15

Die erste Cloud, mit der Sie Geheimnisse teilen können. SINA Cloud – Souverän gedacht. Sicher gemacht. QR-CODE SCANNEN UND ZUM KOSTENFREIEN WEBINAR ANMELDEN. Die SINA Cloud für Verschlusssachen bis GEHEIM. Beliebige Mandanten und Sicherheitslevel auf einer Infrastruktur. secunet.com protecting digital infrastructures

Welche ersten Schritte sind zur Einführung von Secure by Design wichtig? Steiner: Bevor man sich die Entwicklungsprozes- se betrachtet, sollte man die Organisationsstruktur und grundsätzliche Arbeitsabläufe prüfen. Zum Beispiel hat- ten wir vor der Einführung von Secure by Design einen seriellen Ablauf. Zuerst arbeitete ein Team an einem Teil des Codes, dann das nächste Team und dann das nächste. Daraus resultierten relativ lange Entwicklungszy klen. Zu- dem: Kaum ein Team konnte den Code auf Fehler der Vor- gängerteams prüfen. Jetzt haben unsere Teams ihre eige- nen Module und dadurch parallele Arbeitswege. Darüber hinaus müssen sie bei ihrem Code strenge Unternehmens- richtlinien befolgen, damit die Module zusammenarbeiten und standardmäßig sicher sind. Wir können dabei für jedes Modul verschiedene Arten von Sicherheit anwenden. So werden statische und dynamische Codeanalysen auf jeder Ebene durchgeführt. Wir verteilen damit den kontinuierlichen Testaufwand über die gesamte Codebasis statt wie bisher auf zyklische Securitytests zu setzen. Da die Funktions- und Codeprü- fungen im laufenden Entwicklungsprozess parallel ablau- fen und nicht mehr am Ende, finden und beheben wir Probleme schneller und vor allem gründlicher. Ivanti ist ein Vorreiter für Secure by Design, wie reagieren andere Unternehmen? Kipker: Zum Beispiel hat Microsoft erklärt, dass Cybersecurity-Anwendungen künftig keinen direkten Zu- griff mehr auf den Kernel der Softwareumgebung erhalten sollen, um die Sicherheit des Betriebssystems zu erhöhen. Wir sehen also, dass selbst eines der größten Softwareun- ternehmen der Welt bis heute Security by Design nicht vollständig umgesetzt hat. Deshalb denke ich, dass Ivanti mit seinem neuen Ansatz hier ein Vorbild sein kann, vor allem in der EU. Finanzabteilung abgeschrieben hat. Doch in dieser Zeit entwickeln sich sowohl die Technologien als auch die Angriffsmethoden ständig weiter. In traditionellen Ent- wicklungsprozessen wird Software immer wieder aktuali- siert, basiert aber weiterhin auf der gleichen Grundlage. Das vergrößert die Angriffsfläche innerhalb einer Soft- warelösung deutlich. Können Sie dafür ein Beispiel nennen? Steiner: Ein bekanntes Beispiel ist Windows. Während der gesamten Produktgeschichte war Abwärts- kompatibilität mit früheren OS-Versionen essenziell. Da- her war es in den letzten Jahrzehnten Standard bei allen Softwareentwicklern, alten Code möglichst nicht zu ent- fernen. Selbst im aktuellen Windows 11 findet man im- mer noch DLLs von NT 4.0. Man hat also buchstäblich 40 Jahre alte Software mit im Installationspaket. Gerade auf solche Überbleibsel haben es Angreifer abgesehen, also älteres Material, das einfach nur da ist und nicht mehr ge- wartet und unterstützt wird. Die Beseitigung solcher An- griffsflächen innerhalb einer Softwarelösung muss hohe Priorität haben. Das heißt, Hersteller müssten regelmäßig die ge- samte Software austauschen? Kipker: Ja, und genau das kann Software as a Ser- vice – richtig eingesetzt – zu einer sinnvollen Lösung ma- chen. Wenn der Kunde die Anwendungen nicht On-Pre- mises nutzt, sondern über die Cloud mietet, kann sie der Anbieter laufend aktualisieren. Das betrifft nicht nur neue Funktionen, sondern vor allem auch die Beseitigung von Schwachstellen. Das ist aber auch ein Grund, warum Ed- ge-Geräte zu einem wichtigen Angriffsvektor geworden sind. Denn diese Geräte werden oft über einen längeren Zeitraum nicht aktualisiert. Aber selbst dann gibt es wohl keine hundertpro- Wird dieses Ziel auch von deutschen Behörden un- zentige Sicherheit? terstützt? Kipker: Absolut. Das BSI hat bereits im vergan- genen Jahr gemeinsam mit anderen nationalen Cybersi- cherheitsbehörden Empfehlungen für Hersteller veröffent- licht, wie sie die Grundsätze von Secure by Design stärker in ihre Produktentwicklung implementieren können. Da- bei geben sie auch Hinweise zur konkreten Umsetzung. Wo liegen die Herausforderungen von Secure by Design im Unternehmen? Steiner: Zuerst einmal muss eine Grundbedin- gung erfüllt sein. Der Vorstand muss eine solche Initiative voll unterstützen. Denn mit der Einführung von Secure by Design ändern sich nicht nur Entwicklungs-, sondern auch Organisations- und Führungsprozesse. Eine zweite Herausforderung liegt in der Nut- zungsdauer der Produkte. Wenn Kunden eine Software kaufen, wollen sie jahrelang damit arbeiten, bis sie die Steiner: Die wird es niemals geben. Dabei investie- ren wir und auch viele andere Unternehmen schon erheb- lich in den Bereich Sicher- heit. Unseren Entwicklern geht es dabei so wie Fuß- ball-Torhütern: Niemand spricht über die Paraden, aber alle über das Gegentor. Secure by Design kann aber systematisch dabei helfen, die Anzahl dieser Tore deut- lich zu verringern. ■ Mehr Informationen, wie Ivanti Secure by Design konkret umsetzt, erhalten Sie auf der it-sa am Ivanti-Stand 610 in Halle 7. © DATAKONTEXT GmbH · 50226 Frechen · <kes> Special it-sa 2024, Oktober 2024 19

DMARC-Prüfungen, die durch den ersten Teilnehmer der ARC-Kette vorgenommen wurden – auch, wenn die E-Mail durch Weiterleitungen verändert wurde. DANE schließlich dient zur Sicherstellung der Authentizität von Zertifikaten bei der TLS-Verschlüsselung. Diese einfache und ohne teure Werkzeuge um- setzbare Kette an Prüfungen stellt zweifelsfrei sicher, dass die betroffene E-Mail vom angegebenen Absender stammt und unverändert eingetroffen ist – oder anders ausge- drückt, dass sie ist, was sie vorgibt zu sein. Typische Phi- shing-Kampagnen oder Social-Engineering-Angriffe unter Vortäuschung falscher Identitäten lassen sich damit sicher erkennen und abwehren. Ein weiterer, enormer Fortschritt für die Sicher- heit der E-Mail-Kommunikation ließe sich erzielen, wenn endlich alle Akteure zumindest im B2B-Umfeld ausschließlich verschlüsselte E-Mails versenden würden. Standardmäßig signierte und verschlüsselte E-Mails bie- ten ein deutlich geringeres Potenzial für Missbrauch. Für Unternehmen, öffentliche Einrichtungen und andere Or- ganisationen ist E-Mail-Verschlüsselung mit dem richti- gen E-Mail-Security-Gateway ohne großen Aufwand pra- xisgerecht umsetzbar, kostet ein paar Euro pro User und ist allein schon aus Datenschutzgründen zwingend. Nicht umsonst empfiehlt das Bundesamt für Sicherheit in der Informationstechnik (BSI) E-Mail-Verschlüsselung im Rahmen des IT-Grundschutzes. Individuelle Bewertung der Vertrauenswürdigkeit Zero Trust in der E-Mail-Kommunikation zahlt sich aus Die Umkehr der Beweislast – der Sender muss nachweisen, dass er vertrauenswürdig ist und nicht der Empfänger, dass dies nicht der Fall ist – ist der Schlüssel zu mehr Sicherheit in der E-Mail-Kommunikation. Wenn alle rechtschaffenden Akteure ihre eigene Reputation pfle- gen und es üblich wird, die Reputation des Senders beim Empfang gewissenhaft zu prüfen, wird es Cyberkriminel- len deutlich schwerer gemacht. Gute, gewollte E-Mails werden ankommen, zweifelhafte abgelehnt. Als angenehmer Nebeneffekt werden Quarantä- ne-Ordner überflüssig, weil zweifelhafte E-Mails nicht an- genommen werden, sondern der Absender über die Nicht- zustellung informiert wird. So wird nicht nur erheblicher Aufwand bei Nutzern und Administratoren eingespart, sondern auch Rechtssicherheit geschaffen. Dabei ist dieser Ansatz keineswegs Zukunftsmu- sik. Mit dem Produkt NoSpamProxy lässt er sich vollstän- dig umsetzen. Das findet auch das BSI so überzeugend, dass NoSpamProxy die weltweit einzige Mail-Security- Software ist, die vom BSI nach BSZ zertifiziert ist. ■ Ist die Authentizität der E-Mail zweifelsfrei bestä- tigt, kann die Reputation weiter bewertet werden: Unter- schiedliche Top-Level-Domains haben unterschiedliche Wahrscheinlichkeiten, problematische Inhalte zu verbrei- ten. Intelligente Anti-Malware-Services wie 32Guards führen übergreifend Metadaten von E-Mails zusammen und erkennen damit neue Malware-Trends, neuartige Spam-Attacken und weitere Cyberbedrohungen aller Art in kürzester Zeit. Diese Services liefern weitere wichti- ge Anhaltspunkte zur Reputation des Absenders und zur Schädlichkeit von Anhängen oder Links. Ein gutes E-Mail-Security-Gateway weiß zudem, ob mit dem Absender bereits E-Mail-Kontakt besteht oder nicht. Dieses Wissen muss konsequent und intelligent ge- nutzt werden. Verzahnung mit anderen Technologien Die konkrete Bewertung der Reputation eines ein- zelnen Absenders erlaubt einen gestaffelten Umgang mit eintreffenden E-Mails. Beispielsweise wird eine E-Mail mit einem Word-Dokument von einem unbekannten Absender von einer zweifelhaften Domain abgelehnt. Wahlweise kann sie auch zugestellt, das Word-Attach- ment jedoch mittels Content Disarm & Reconstruction (CDR) zu einem harmlosen PDF umgewandelt werden. Nur wenn die E-Mail von einem bekannten Absender mit hoher Reputation kommt, wird sie mit dem originalen Word-Anhang zugestellt – wobei natürlich der Anhang vorher auch auf Malware oder schädliche Links hin un- tersucht wird. Diese abgestufte Reaktion kennen wir doch auch bei der physischen Sicherheit: Das Sicherheitspersonal kennt langjährige Mitarbeitende per Augenschein und lässt sie passieren, während unbekannte Besucher sich aus- weisen, registrieren und ihr Handy abgeben müssen. © DATAKONTEXT GmbH · 50226 Frechen · <kes> Special it-sa 2024, Oktober 2024 21 NoSpamProxy Highlights auf der it-sa 2024Vorstellung der weltweit einzigen Mail-Secu-rity-Software zertifiziert vom BSI nach BSZSchutz vor Malware, Ransomware und Spam – aus der Cloud oder auf dem Serverpraxistaugliche E-Mail-VerschlüsselungVortrag „Vom User gefeiert, vom BSI zertifiziert“ im Knowledge Forum C, Di 16.30 – 16.45, Mi 15.15 – 15.30Halle 7, Stand 7-429

erst gar nicht einzulassen. Doch was geschieht, wenn er bereits an der Ver- teidigung vorbeigekommen ist und das Backup verschlüsselt hat? Wenn es dann kein „sauberes“ Backup mehr gibt, ist guter Rat buchstäblich teuer – spätestens, wenn der Betrieb stillsteht und man Kunden informie- ren muss. Im Umkehrschluss bedeutet dies, dass man im besten Fall zu je- dem Zeitpunkt weiß, was das beste Backup ist. Cyber-Resilienz ist genau dieses Wissen in Vorbereitung auf den Tag X. Da Angriffe heute unver- meidlich sind beziehungsweise die IT-Security diese nicht garantiert ab- wehren kann, hat die europäische Ge- setzgebung mit NIS-2 und DORA nun auch Cyber-Resilienz-Prinzipien aufgegriffen, um kritische Infrastruk- turen (KRITIS) und die Wirtschaft besser zu schützen. Dazu gehört auch Zero Trust, denn Verschlüsselung, Segmentierung und das Thema Rol- len- und Berechtigungskonzepte re- geln am Ende des Tages auch, wer auf das Backup zugreifen kann – und ob die Daten noch wiederherstellbar sind. Nahezu alle Unternehmen wer- den ab Oktober 2024 zu den Seg- menten gehören, die gemäß NIS-2 geschützt werden müssen beziehungs- weise sich besser schützen sollen. Angesichts hoher Strafen, die bei Cybervorfällen drohen, sind viele Unternehmen zwar mit NIS-2 und DORA befasst. Worauf sollte jedoch geachtet werden, wenn nun bestehende Backup- und Recovery- Konzepte im Hause auf ihre Cyber- Resilienz-Fähigkeit geprüft werden? Proaktiver Resilienz-An- satz auf Basis von Zero Trust und KI Der Markt bietet zurzeit zu- nehmend spannende Wege, Zero Trust im Backup-Bereich einzufüh- ren, ohne dass Unternehmen sehr hohe finanzielle und organisatori- Abbildung 1: Die 3-2-1-Regel (Bild: Empalis) sche Hürden nehmen müssen, wie vergleichsweise in der IT-Security- Umgebung. Predatar ist inzwischen für Rubrik, IBM, Cohesity, Veeam, Pure Storage und weitere Hersteller kompatibel. Wie bei allen Zero-Trust-Ar- chitekturen ist der zentrale Zweck, den Zugang zu Daten größtmög- lich einzuschränken, unter anderem durch Medienbruch und Backup- Kopien auf verschiedenen Medien (Disk, Cloud, Tape). Dies wird durch die 3-2-1-Regel umgesetzt (siehe Ab- bildung 1). Wir raten dazu, die Backup- Umgebung auf gewisse Härtungsfak- toren zu überprüfen: 1. Verschlüsselung (Encryption) 2. Zugriffsbeschränkung (Air gap) 3. Unveränderlichkeit (Immutability) 4. Moderne Offsite Copy (Social Firewall) 5. Automatisiertes Scanning, Detecting und DR-Testing (Automation) Diese fünf Schritte zur Här- tung von Backup-Appliances ba- sieren bereits auf wesentlichen Zero-Trust-Prinzipien, sodass sie cy- berresilienter laufen. Im Zusammen- spiel mit KI-Anomalieerkennung, was regelmäßiges Scannen, Testen und Bereinigen der Backup-Daten auf Basis der Cleanroom-Technolo- gie beinhaltet, stellt man sicher, dass die Backup-Daten wiederherstell- bar sind. Dieser proaktive Cyber- Recovery- Orchestration-Ansatz in Kooperation mit unserem Partner Anstatt erst im Incident-Fall einen Cleanroom aufzubauen (reak- tiver Ansatz), testet die KI mit dem proaktiven Ansatz im Cleanroom die Daten regelmäßig und wird dadurch trainiert. Eine nach Zero-Trust-Prin- zipien ausgestaltete Backup-Archi- tektur inklusive Malware-Detection verhindert, dass sich Schadcode auch im Backup ausbreiten und die Daten verschlüsseln kann. Fazit Zero Trust und KI im Back- up-Bereich minimieren Risiken im Unternehmen an der Stelle, an der die Daten im Fall eines Incidents wiederhergestellt werden müssen. Doch ist Ihr Unternehmen restore- fähig? Im Ernstfall ist es von exis- tenzieller Bedeutung, die Daten wie- derherstellen zu können – und das so schnell und vollständig wie möglich. Dies steht und fällt mit der Resilienz des Unternehmens: Trainieren Sie Ihre Daten? Wann wurde der letzte Re- store getestet? Wie lange dauert der Re- store? Was ist das letzte „gute“ Backup? Ist Ihre Infrastruktur für ei- nen DR-Restore, also eine große An- zahl von Restores zur gleichen Zeit, gewappnet? © DATAKONTEXT GmbH · 50226 Frechen · <kes> Special it-sa 2024, Oktober 2024 23

Mitarbeiter des Jahres: ESET MDR Unser Managed Detection and Response Service bietet Ihnen 24/7 ganzheitliche IT-Sicherheit. Überwachung | Bedrohungssuche | Vorfallmanagement Wir machen Sie ESET.DE/MDR

+ Mehr wissen mit Sichern Sie sich Ihren Wissensvorsprung in der Informationssicherheit! ▪ Fachzeitschrift inkl. Specials 6x jährlich per Post und digital. ▪ Zugang zu aktuellen Online-Fachartikeln und Studien sowie zu dem kompletten Online-Archiv. ▪ Exklusiver Zugriff auf über zwanzig neue Online-Premium-Artikel pro Monat sowie auf aktuelle Videos und Webinaraufzeichnungen. ▪ 10 % Rabatt auf DATAKONTEXT- Online-Schulungen im Bereich Informations sicherheit. ▪ nur 199,— € im Jahr (inkl. Mwst. und Versand) Jetzt 30 Tage kostenfrei testen: www.kes-informationssicherheit.de

+ SPECIAL Die perfekte Kombination für CISO & Co ✓ Verlagsbeilage mit wechselnden Mitherausgebern ✓ auf ein Thema fokussierte Beiträge der Mitherausgeber ✓ Printausgabe liegt <kes> bei ✓ digitales eMagazine kostenfrei verfügbar weitere Specials hier kostenfrei downloaden: www.kes-informationssicherheit.de/print/ ✓ führende Fachzeitschrift in der IT-Sicherheit ✓ hohes technisches Niveau und redaktionell unabhängig ✓ offizielles Organ des Bundesamtes für Sicherheit in der Informationstechnik (BSI) ✓ nur im Abonnement erhältlich unter: datakontext.com/kes <kes> genauer kennenlernen? Registrieren Sie sich jetzt für Ihren Testzugang: www.kes-informationssicherheit.de/ benutzerbereich/registrierung/ LESEPROBE <kes> AUF DEN FOLGESEITEN

Verfahren, das Onlinedienste einbinden und für den Log- in anbieten können (vgl. [2]). Diese Methode verspricht eine sichere und benutzerfreundliche Möglichkeit, um sich mit einem als Authenticator dienenden System auf verschiedenen Geräten anzumelden – sie ist widerstands- fähig gegen Phishing und Manipulationen. Technisch basiert diese Methode auf Public-Key- Kryptografie (siehe auch Kasten „Die Kryptografie hinter Passkeys“), die sicherer ist als Passwörter, da keine gemein- samen Passwörter übertragen werden. Stattdessen kommt in bekannter Manier ein Schlüsselpaar zum Einsatz: Der öffentliche Schlüssel (Public Key) wird auf dem Server ge- speichert, während der geheime Schlüssel (Private Key) idealerweise auf dem Gerät des Benutzers verbleibt und niemals geteilt wird. Für die Authentifizierung muss das Clientgerät nachweisen, dass es den geheimen Schlüssel besitzt. Dies erfolgt durch eine Abfrage beim Entsperren des Geräts oder der App mithilfe von Biometrie, PIN oder Muster. FIDO-Protokolle legen großen Wert auf den Da- tenschutz der Nutzer, indem sie verhindern, dass Online- dienste Informationen miteinander teilen oder Benutzer über mehrere Plattformen hinweg verfolgen. Zudem blei- ben alle während des Authentifizierungsprozesses genutz- ten biometrischen Daten auf dem Gerät des Nutzers und werden weder über das Netzwerk noch an den Dienst ge- sendet. Für Benutzer verschwindet diese Komplexität im Hintergrund, sodass nur das einfache Entsperren erforder- lich ist. Passkey und die Zwei-Faktor- Authentifizierung Auch Passkey benötigt einen zweiten Faktor für die Sicherheit. Ohne eine zusätzliche biometrische Hür- de könnte jeder, der ein Smartphone findet oder ein Tab- let stiehlt, die Zugänge des Eigentümers kompromittieren. Der Authenticator muss daher vor der Nutzung entsperrt werden, sodass Passkey sowohl auf den geheimen Schlüssel als auch auf Wissen (z. B. eine PIN) oder Biometrie (z. B. Gesichtsbild) basiert. Dieser zweite Faktor wird ausschließlich gegen- über dem Authenticator präsentiert und nicht bei den Onlinediensten gespeichert. Für Benutzer ist der Aufwand gering, da sie etwa nur ihren Fingerabdruck scannen müs- sen, während die kryptografischen Berechnungen im Hin- tergrund erfolgen. Dadurch bietet Passkey hohen Komfort ohne Sicherheitsverlust. Gerät verloren – und nun? Falls das Gerät, auf dem die Passkeys hinterlegt wurden, verloren gegangen ist, lassen sich die Zugänge mit physischen Backups wiederherstellen – dasselbe gilt, wenn man seine Passkeys in eine Cloud synchronisiert hat. Sollten keine Sicherheitskopien der Passkeys vor- liegen, bieten einige Dienste weitere Möglichkeiten, um die eigene Identität nachzuweisen und so beispielsweise ei- nen neuen Passkey für den Zugang zu erstellen. In selte- nen Fällen kann es aber vorkommen, dass man sich nach dem Verlust eines Geräts nicht mehr einloggen kann – dann hilft nur, den Anbieter zu kontaktieren und den Ac- count wiederherstellen zu lassen. Vor- und Nachteile Vorteile in der Nutzung Handhabung: Passkeys sind smarter als Passwörter, allein schon, weil man sie nicht vergessen kann. Skalierbarkeit auf allen Geräten: Passkeys ermögli- chen einen nahtlosen Zugriff, indem Benutzer denselben Passkey auf mehreren Geräten in einem bestimmten Öko- system verwenden können. Im Gegensatz zu Passwörtern erstellen sie einen Passkey einmal und können ihn über- all einstzen. © DATAKONTEXT GmbH · 50226 Frechen · <kes> 2024#5 13 Die Kryptografie hinter PasskeysDie kryptografischen Grundlagen von Passkey basieren auf dem sicheren und bewährten Web-Au-thentication-Protokoll (WebAuthn, [3]). Dieser Stan-dard ist vor allem als zentraler Baustein von FIDO2 bekannt und verwendet asymmetrische Kryptografie zusammen mit einem Challenge-Response-Verfah-ren für sichere Authentifizierung. Für WebAuthn sind immer drei Komponenten erforderlich: die Relying Party, bei der man sich authentifi-zieren möchte, beispielsweise eine Webseite oder ein Onlinedienstder Client, der technisch die Schnittstelle zwi-schen der Relying Party, dem sich authentifizierenden Nutzer und dem Authenticator umsetzt – dieser Cli-ent ist in der Regel innerhalb des Browsers oder des Betriebssystems eines Mobiltelefons eingebettetder Authenticator, der das erforderliche Schlüs-selmaterial erzeugt, benutzt und sicher verwaltet – dies kann ein Hardware-Token sein, aber auch als Teil des Betriebssystems eines PCs, Tablets oder Smart-phones oder als zusätzliche Software realisiert werden

Nachteile Ohne Gerät keine Anmeldung: Das erforderliche Gerät mit dem speziellen Schlüssel muss stets griffbereit sein – geht zum Beispiel das Smartphone verloren, lassen sich Passkeys zwar eventuell wiederherstellen, aber es ist zunächst etwas Aufwand nötig. Mindestanforderungen an Geräte: Passkeys benöti- gen neuere Betriebssystem- (Window 10, MacOS Ventu- re oder iOS16 oder neuer) sowie Browserversionen (Edge 109, Safari 16, Chrome 109 oder neuer) [5]. Bedingter „Lock-in“: Das BSI kritisiert, dass Pass- keys oft an bestimmte Produkte und Ökosysteme ge- bunden sind, was die plattformübergreifende Nutzung erschwert. Nutzer, die weder Apple-, Google- noch Micro- soft-Produkte verwenden wollen, benötigen einfache Pass- key-Alternativen – diese erscheinen zwar nach und nach auf dem Markt, bleiben jedoch neben den großen Anbie- tern häufig unbemerkt. „Un-Teilbarkeit“: Eine Lösung für den Fall, dass mehrere Personen auf einen Account zugreifen müssen, ist derzeit erst in der Entwicklung. Das kann zu Einschrän- kungen im Berufs- oder Familienumfeld führen, da Pass- keys an ein einzelnes Gerät gebunden sind. Stand in Deutschland Obwohl Passkeys noch verbessert werden müssen und nicht völlig „hackersicher“ sind, sehen viele Experten sie als künftigen Ersatz für die Zwei-Faktor-Authentisie- rung (2FA) und die ungeliebten Passwörter. Passkeys verhindern keinen Datendiebstahl, ma- chen es Betrügern aber zumindest heute noch schwer! Das BSI rät Verbrauchern schon jetzt: „Wenn ein vertrauter Diensteanbieter die Einrichtung eines Passkeys vorschlägt, können Sie die Technologie bedenkenlos nutzen und Ihr Passwort ersetzen.“ Mit gutem Beispiel gehen Google und Microsoft voran, die das Einloggen ohne Passwort bereits für ihre Dienste anbieten. Microsoft ist besonders konsequent und erlaubt seinen Nutzern sogar, das Passwort aus dem Ac- count zu löschen, damit Angreifer es nicht als Hintertür missbrauchen können – zudem wurde aktuell ein Benut- zer-Portal für die Passkey-Verwaltung eingerichtet. Genau so sollte eine passwortfreie Zukunft aussehen. Fazit Auch wenn bisher eine breite Akzeptanz seitens der Dienste fehlt, stehen die Chancen gut, dass sich Pass- keys als Standard für die sichere Authentifizierung durch- setzen. Wie schön wäre eine Zukunft, in der man sich per Passkey einloggen kann und nicht dazu aufgefordert wird, ein langes und kompliziertes Passwort einzufügen, für des- sen Sicherheit der Dienst nicht garantieren kann?! Die FIDO-Alliance verbessert mit Passkeys den Sicherheitsstandard und die User-Experience gleicherma- ßen. Passkeys ermöglicht es Benutzern, sich auf dieselbe Weise anzumelden, wie sie ihr Mobilgerät entsperren. Passkeys sind in der Sicherheitswelt vielfach be- liebt, weil Sicherheitsverantwortliche und Anwender gleichermaßen von der Technologie profitieren. Eine Aus- einandersetzung lohnt sich – gleich, ob man das Authen- tifizierungsverfahren in eigene Dienste integrieren oder Accounts von Dritten schützen will. ■ Sven Hillebrecht ist General Manager des IT-Beratungs- unternehmens Adlon. © DATAKONTEXT GmbH · 50226 Frechen · <kes> 2024#5 15 Literatur[1] Norbert Luckhardt, Passwort 2020, <kes> 2020#2, S. 26, www.kes-informationssicherheit.de/print/titel-thema-blockchain-nach-dem-hype/passwort-2020/ (kostenpflichtig)[2] FIDO Alliance, Passkeys 101, Accelerating the Availability of Simpler, Stronger Passwordless Sign-Ins, undatiert, https://fidoalliance.org/passkeys/[3] Jeff Hodges, J. C. Jones, Michael B. Jones, Akshay Kumar, Emil Lundberg (Hrsg.), Web Authentication: An API for accessing Public Key Credentials, Level 2, World Wide Web Consortium (W3C) Recommenda-tion, April 2021, www.w3.org/TR/webauthn/[4] Microsoft Learn, Verwalten von Konten für den Notfallzugriff in Microsoft Entra ID, Mai 2024, https://learn.microsoft.com/de-de/entra/identity/role-based-access-control/security-emergency-access[5] Microsoft Support, Anmelden mit ei-nem Schlüssel, undatiert, https://support.micro - soft.com/de-de/account-billing/anmelden-mit-ei-nem-schl%C3 %BCssel-09a49a86-ca47-406c-8acc-ed0e3c852c6d