IT-Sicherheit

Die Frage ist nicht „ob“, sondern „wann“

Jedes Unternehmen, unabhängig von seiner Größe, ist ein Ziel: Ransomware trifft kleine und mittlere Unternehmen besonders häufig, gerade weil sie schlechter geschützt sind. Xion IT Group kümmert sich um den Schutz von IT-Systemen mit XSN (Xion Secured Network), einem mehrstufigen Sicherheitssystem, das klassischen Antivirenlösungen weit überlegen ist.

IT-Sicherheit und Cybersecurity: dasselbe, nur anders benannt

Wer nach „Cybersecurity“ sucht und wer nach „IT-Sicherheit“ sucht, meint dieselbe Leistung: den Schutz von Daten, Systemen und Betriebsfähigkeit. Der Unterschied liegt im Hintergrund. „Cybersecurity“ stammt eher aus der Sprache von Normen und Ausschreibungen — NIS2, nationaler Sicherheitsperimeter, Leistungsverzeichnisse — und wird häufiger von Unternehmen verwendet, die formale Anforderungen erfüllen müssen. „IT-Sicherheit“ ist dagegen der Begriff derjenigen, die ein konkretes Problem haben: einen bereits erlebten Angriff, ein Backup, dem sie nicht vertrauen, oder einen Dienstleister, der nicht reagiert.

Das ist wichtig, weil sich dadurch die richtige Ausgangsfrage ändert. Wenn der Ausgangspunkt eine regulatorische Pflicht ist, muss zuerst der Geltungsbereich definiert werden: Welche Services sind kritisch, wer ist wofür verantwortlich, welche Wiederherstellungszeiten gelten. Wenn der Ausgangspunkt ein Vorfall oder eine Sorge ist, steht zuerst die Prüfung des tatsächlichen Zustands an — was im Internet exponiert ist, ob Backups wirklich wiederherstellbar sind, wer über Zugänge mit Administratorrechten verfügt.

Das technische Ergebnis ist dasselbe. Die Reihenfolge der Maßnahmen nicht.

Wie stark sich Prioritäten je nach Branche unterscheiden

Die Prioritäten sind nicht überall gleich. In der Logistik und im Transport ist der schlimmste Schaden der Betriebsstillstand: Ein Lager, das zwei Tage lang nicht versendet, kostet mehr als das Lösegeld, und die Verwaltungssysteme sind oft mit denen der Kunden verbunden, was die Angriffsfläche auf die gesamte Lieferkette ausweitet. In der Fertigung verlagert sich das Risiko auf Produktionsanlagen, die lange Lebenszyklen und Betriebssysteme haben, die niemand aktualisiert. In Kanzleien und freien Berufen liegt das Problem in der Verantwortung für Daten Dritter: Ein Data Breach betrifft nicht nur die Kanzlei, sondern alle ihre Mandanten.

Das sind drei unterschiedliche Ansätze für dieselbe Aufgabe. Es lohnt sich, vom eigenen Sektor aus zu starten, nicht von einer allgemeinen Produktliste.

Mehrstufige Verteidigung

Linux- und Unix-basierte Firewalls

Die Firewall filtert ein- und ausgehende Verbindungen und übernimmt Kontrolle, Anpassung und Überwachung des Datenverkehrs. Sie ist die erste Barriere zwischen Ihrem Netzwerk und der Außenwelt und wird individuell auf Ihre Organisation abgestimmt konfiguriert.

Content Filtering

Content-Filtering-Systeme blockieren den Zugriff auf Websites, die als schädlich oder nicht arbeitsbezogen eingestuft werden – Spiele, Online-Casinos, pornografische Seiten und andere konfigurierbare Kategorien. Der doppelte Nutzen: weniger Bedrohungen aus dem Web und weniger Ablenkung während der Arbeitszeit.

Proxy-Systeme

Unternehmens-Proxys erfüllen fünf zentrale Funktionen:

• Konnektivität - kontrollierter Internetzugang für private Netzwerke;
• Caching - Zwischenspeicherung von Anfragen für schnelleres Surfen;
• Monitoring - Nachverfolgung der ausgeführten Vorgänge;
• Kontrolle - Durchsetzung der administrativen Regeln des Unternehmens;
• Privatsphäre - Verschleierung der echten IP-Adresse der Clients.

Sicherheit ist ein Prozess, kein Produkt

Eine Schutzlösung zu installieren und dann zu vergessen, ist der beste Weg, Opfer eines Angriffs zu werden. Deshalb ergänzen wir Technologien um einen Service für kontinuierliches Monitoring und laufende Updates: Die Schutzmaßnahmen werden an die Bedrohungslage angepasst, und jede Anomalie wird von auf Sicherheit spezialisierten Technikern bearbeitet.

Die Bedrohungen von heute, ganz konkret

Die Bedrohungslage entwickelt sich schneller weiter als die Abwehr von Unternehmen, die sich nicht in Vollzeit damit beschäftigen. Das sind die Risiken, die wir italienische Unternehmen am häufigsten treffen sehen:

• Ransomware mit doppelter Erpressung — Daten werden zuerst kopiert und dann verschlüsselt: Zum Schaden durch den Ausfall kommt die Drohung mit der Veröffentlichung hinzu;
• Durch AI verstärktes Phishing — E-Mails perfekt im Stil eines Lieferanten oder Kollegen, mit bloßem Auge kaum zu erkennen;
• Diebstahl von Zugangsdaten — von wiederverwendeten Passwörtern bis zu Session-Cookies: Wer mit gültigen Zugangsdaten eintritt, löst oft keinen Alarm aus;
• Angriffe auf die Supply Chain — man greift den kleinen Dienstleister an, um den großen Kunden zu erreichen;
• Nicht geschlossene Schwachstellen — die Mehrheit der Vorfälle nutzt Lücken aus, für die seit Monaten Korrekturen verfügbar waren.

Defence in Depth: die Schichten, die zählen

Keine einzelne Technologie stoppt alles: Ernstzunehmender Schutz besteht aus unabhängigen Schichten, von denen jede das auffängt, was der vorherigen entgangen ist.

1. Perimeter — eine konfigurierte und gepflegte Firewall, nicht nur installiert und dann vergessen;
2. E-Mail — Anti-Phishing- und Anti-Spoofing-Filter, der Einstiegskanal für 80 % der Angriffe;
3. Endpoints — moderner Schutz (EDR) auf jedem PC und Server, der ungewöhnliches Verhalten erkennt;
4. Identitäten — MFA überall, Passwortmanager, Zugriffe mit minimalen Rechten;
5. Internes Netzwerk — Segmentierung: Wer in einen Bereich gelangt, darf sich nicht frei überall bewegen können;
6. Daten — Offsite- und versionierte Backups, die letzte Linie, die aus einer Katastrophe ein beherrschbares Problem macht;
7. Menschen — kontinuierliche Schulung, denn der menschliche Faktor ist das erste Ziel.

Mit XSN werden diese Schichten geplant, integriert und dauerhaft gepflegt — mit kontinuierlichem Monitoring und laufenden Updates.

E-Mail ist das Einfallstor, nicht das Netzwerk

In der überwiegenden Mehrheit der Vorfälle, die wir sehen, dringt der Angriff nicht durch das Überwinden einer Firewall ein: Er kommt über eine E-Mail, die von einer Person geöffnet wird, die schlicht ihre Arbeit macht. Das ist ein wichtiger Unterschied, weil er den Schwerpunkt der Verteidigung von den Geräten auf die Prozesse verlagert.

Die drei Formen, denen wir am häufigsten begegnen:

Die Rechnung, die echt wirkt. Sie kommt von einem realen Lieferanten, mit einem Anhang, der sich öffnen lässt. Sie wirkt echt, weil das Postfach dieses Lieferanten zuvor kompromittiert wurde und der Angriff innerhalb einer bereits begonnenen Unterhaltung läuft. Der Spamfilter stoppt sie nicht: Es gibt nichts Auffälliges, das er blockieren könnte.

Die neue IBAN. Keine Malware, kein Anhang: nur eine E-Mail aus der Verwaltung eines Lieferanten mit neuen Bankdaten. Das ist wirtschaftlich der profitabelste Angriff überhaupt und lässt sich mit einem Verfahren abwehren, nicht mit Software — nämlich mit einer Verifizierung über einen anderen Kanal als den, über den die Anfrage kam.

Die gefälschte Anmeldeseite. Ein Link führt zu einer Seite, die exakt wie das Login Ihrer Unternehmensmail aussieht. Wer sich dort anmeldet, gibt seine Zugangsdaten preis, und von diesem Moment an liest der Angreifer die E-Mails mit, ohne dass sichtbar etwas kaputt wirkt. Genau hier macht der zweite Faktor der Authentifizierung den Unterschied zwischen einer Unannehmlichkeit und einem Desaster.

Der zweite Faktor ist die einzelne Maßnahme mit dem besten Nutzen

Wenn wir nur eine einzige Maßnahme mit dem besten Verhältnis von Kosten zu vermiedenem Risiko nennen müssten, dann wäre es diese. Ein gestohlenes Passwort allein reicht nicht mehr aus: Es braucht zusätzlich das Telefon der betroffenen Person.

Es kostet wenig, ist in wenigen Stunden aktiviert und sollte in dieser Priorität eingeführt werden: für E-Mail, Remote-Zugänge und Administrationsoberflächen. In den meisten Unternehmen, die wir besuchen, ist es für E-Mail vorhanden, für die beiden anderen aber nicht — und genau das ist die falsche Reihenfolge, denn über Remote-Zugänge gelangt man zu den Servern.

Die ersten achtundvierzig Stunden eines Angriffs

Zu wissen, was zu tun ist, bevor es nötig wird, ist die halbe Verteidigung. Die richtige Reihenfolge ist kontraintuitiv, denn der erste Impuls — alles auszuschalten und sofort wiederherzustellen — verschlimmert die Situation oft.

1. Isolieren, nicht ausschalten. Das Trennen vom Netzwerk verhindert die Ausbreitung des Angriffs; ein hartes Abschalten zerstört Informationen, die nötig sind, um zu verstehen, was passiert ist und wie der Angreifer eingedrungen ist.
2. Nicht sofort wiederherstellen. Wenn man nicht weiß, wo der Angriff eingedrungen ist und wie lange er schon im System war, bringt die Wiederherstellung das Problem zurück. In den meisten Fällen war der Angreifer schon Tage oder Wochen im Unternehmen, bevor er sichtbar wurde.
3. Backups prüfen, bevor man sie anfasst. Es muss festgestellt werden, welche Kopie intakt ist, und sie muss vor allen weiteren Schritten geschützt werden.
4. Zugangsdaten mit höchsten Rechten ändern, und zwar von einem sauberen System aus.
5. Während der Arbeit dokumentieren. Das hilft Ihnen selbst und ist nötig, falls der Vorfall gemeldet werden muss — was die DSGVO innerhalb von zweiundsiebzig Stunden verlangt, wenn personenbezogene Daten betroffen sind.

Diese Reihenfolge improvisiert man nicht um drei Uhr nachts: Sie muss vorher schriftlich festgelegt sein, und zu wissen, wer wen anruft, ist genau der Teil, der am häufigsten fehlt.

Wie weit ein Angriff kommen kann

Ein konkretes Beispiel

Ein Kunde erhielt eine E-Mail „von seinem langjährigen Lieferanten“ mit neuen Bankverbindungen, perfekt in jedem Detail. Der E-Mail-Filter markierte sie wegen einer technischen Auffälligkeit in der Domain als verdächtig; das Verfahren zur Verifizierung über einen anderen Kanal — eingeführt während der Schulung — erledigte den Rest. Verhinderter Schaden: der Wert von drei Lieferungen. Kosten der Abwehr, die ihn gestoppt hat: nur ein Bruchteil davon.

Was Sie diejenigen fragen sollten, die Ihnen Sicherheit verkaufen

Der Markt für IT-Sicherheit ist voll von Abkürzungen, und Abkürzungen sind der schnellste Weg, um nicht verstanden zu werden. Vier Fragen bringen das Gespräch zurück auf das Wesentliche.

Wer sieht die Warnmeldungen, und wann? Ein Schutzsystem erzeugt Meldungen. Wenn sie außerhalb der Bürozeiten niemand liest, dann gilt der Schutz auch nur zu Bürozeiten — Angriffe aber nicht. Die Frage lautet nicht, welche Technologie Sie einsetzen, sondern wer sie nachts um zwei im Blick hat.

Was passiert, wenn ein Alarm ausgelöst wird? Es muss ein schriftlicher Ablauf mit Namen und Zeiten existieren, keine bloße Zusage zum Eingreifen. Wer isoliert das System, wer informiert das Unternehmen, wer entscheidet über einen Stopp der Systeme.

Wie oft wird die Wiederherstellung getestet? Ein nie getestetes Backup ist keine Verteidigung. Das ist die Frage, die reine Produktangebote am schnellsten entlarvt.

Was ist nicht abgedeckt? Das ist die nützlichste Frage und zugleich die, die niemand stellt. Die teuerste Grauzone liegt zwischen Monitoring und Reaktion: Viele Verträge sagen nur, dass Sie informiert werden, nicht dass tatsächlich eingegriffen wird.

Sicherheit ist auch Organisation, nicht nur Technologie

Die Hälfte der kritischen Punkte, die wir in Assessments finden, lässt sich lösen, ohne etwas zu kaufen:

• Benutzerkonten von Personen, die nicht mehr im Unternehmen arbeiten, aber noch aktiv sind, weil niemand den Überblick darüber hat, wer worauf zugreift;
• Dauerhafte Zugänge von Dienstleistern, die für eine Wartung geöffnet und nie wieder geschlossen wurden;
• Administratorrechte für alle, damit niemand angerufen werden muss, um ein Programm zu installieren;
• Geteilte Passwörter auf einem Blatt Papier, in einem Postfach oder auf einem Zettel;
• niemand, der weiß, wen man anruft, wenn außerhalb der Arbeitszeiten etwas passiert.

Das alles lässt sich mit einem Verfahren und einem Nachmittag Arbeit in Ordnung bringen und reduziert das Risiko stärker als viele Anschaffungen. Deshalb ist unser Ausgangspunkt immer ein Assessment und nicht ein Angebot: Erst wird geprüft, dann wird entschieden, was wirklich nötig ist.

Wer im Unternehmen wofür verantwortlich ist

Es gibt ein häufiges und teures Missverständnis: IT-Sicherheit wird als rein technisches Thema betrachtet und deshalb vollständig an die für die Systeme zuständigen Personen delegiert. Tatsächlich gibt es drei Rollen, die auch dann getrennt bleiben, wenn die operative Umsetzung ausgelagert wird.

Der Verantwortliche für die Verarbeitung — also das Unternehmen — entscheidet über Zwecke und Mittel und bleibt rechtlich verantwortlich; diese Verantwortung kann nicht delegiert werden, nur die Ausführung an einen sorgfältig ausgewählten Dienstleister. Der Auftragsverarbeiter ist der Dienstleister, der Daten im Auftrag des Verantwortlichen verarbeitet, und seine Aufgaben müssen schriftlich im Vertrag festgelegt werden. Der Systemadministrator ist die Person mit privilegiertem technischem Zugriff; sie muss schriftlich benannt werden, und ihre Aktivitäten müssen nachvollziehbar protokolliert werden.

Diese drei Rollen zu klären, ist keine Bürokratie: Es ist genau das, was am Tag eines Vorfalls entscheidet, wer was hätte tun müssen. Wir behandeln das auch auf der Seite zu operativer DSGVO.

Wo Sie anfangen sollten

Wenn Sie diesen Monat nur drei Dinge tun könnten: Aktivieren Sie MFA für E-Mail und Remote-Zugänge, prüfen Sie, dass das Backup extern gespeichert und getestet ist, und lassen Sie eine Überprüfung exponierter Schwachstellen durchführen. Das sind die drei Maßnahmen, die die meisten realen Angriffe stoppen — und genau sie bilden den Ausgangspunkt unseres Security Assessments.

Microsoft 365 und die ersten Stunden eines Angriffs

Zwei Vertiefungen: die Sicherheit von Microsoft 365, bei der die Standardeinstellungen drei entscheidende Punkte offenlassen, und Incident Response, mit der Abfolge, die man kennen sollte, bevor sie gebraucht wird.