Cybersecurity in 2019

Es ist eine schöne Tradition, dass Analysten und die Hersteller von Sicherheitsprodukten zur Weihnachtszeit in die Glaskugel blicken und ihre Prognosen für die Cybersecurity im nächsten Jahr abgeben. Prognosen sind ja bekanntlich schwierig, vor allem dann, wenn sie die Zukunft betreffen, aber in den letzten Jahren lagen die Branchenkenner oft richtig. Wer sein Ohr an den Sorgen der Kunden hat, weiß zumindest, was die Anwender fürchten – meistens ist das dann auch recht nah an der Realität. Ein Firewall-Hersteller, Palo Alto, hat sogar die eingereichten Redenmanuskripte bei 400 Veranstaltungen ausgewertet und dadurch eine Auswahl der vermutlich relevantesten Themen in den nächsten 12 Monaten getroffen.

Je nach Geschäftszweck gibt es Favorisierungen, aber wenn selbst verschiedene Branchen das gleiche Thema auf die Agenda nehmen, sieht es nach einem Dauerbrenner aus, den man im Auge behalten sollte. An erster Stelle findet sich –etwas überraschend – der CEO-Fraud oder auch Business E-Mail Compromise (BEC). CEO-Fraud, also vorgebliche Anrufe vom CEO oder einem anderen hochrangigen Mitarbeiter, der mit psychischem Druck versucht, das Opfer zu einer Überweisung zu bewegen, gehören in die Mottenkiste der Cybersicherheit. Seit bestimmt 10 Jahren wird diese Masche mehr oder weniger erfolgreich angewandt, inzwischen sollte eigentlich jeder Mitarbeiter dagegen geimpft sein. Aber erst vor einem Monat kostete ein BEC-Betrug den niederländischen Zweig der Pathé Cinema-Kette mehr als 19 Millionen Euro. Inzwischen prognostizieren die Firmen BEC-as-a-Service im Darknet. Besonders die Variante des Whaling, bei der zuerst der E-Mail Account eines leitenden Angestellten übernommen wird, ist erfolgversprechend. Eine interne Mail vom CEO ignoriert man nicht und stellt sich auch kaum in Frage. Dagegen helfen nur weitere Awareness-Kampagnen und solide interne Prozesse, die auch von allen – einschließlich Management gelebt werden.

Künstliche Intelligenz (KI) ist seit drei oder vier Jahren ein Dauerbrenner in der Sicherheitsszene. Auch wenn dabei oft „Intelligenz“ mit „sehr gute Algorithmen und viele Daten“ verwechselt werden, wird uns das Thema erhalten bleiben. Die Frage ist nur, auf welcher Seite? Wird KI die Sicherheit stärken? Oder nutzen clevere Angreifer KI für noch bessere Attacken? Im Moment befinden sich beide Seiten im Experimentiermodus, wobei man naturgemäß mehr von den Verteidigern weiß. Sobald die Angreifer erfolgreich mit KI-Unterstützung agieren, ist die Abwehr hoffentlich darauf vorbereitet.

Auch wenn es um die DSGVO etwas stiller geworden ist, sehen hier interessanterweise alle Auguren im nächsten Jahr massive Auswirkungen. Knuddel.de wurde vor kurzem als eines der ersten Unternehmen vom LfDI Baden-Württemberg mit 200.000 Euro Strafe belegt, wobei die Behörde weit unter der möglichen Maximalforderung blieb. Doch weitere Vorfälle sind bereits bekannt. British Airways beispielsweise oder ganz aktuell die Marriot-Hotels. Hier stehen die Strafen noch aus und die Hersteller sehen vor allem die internen Prozesse und ihre unterstützenden Hilfsmittel in der Pflicht.

Bei Ransomware, einem ganz heißen Eisen in den letzten Jahren, sind sich die Branchenkenner uneinig. Die einen sehen einen Rückgang der Angriffe, weil sich Unternehmen durch angepasste Backup-Strategien und Awareness besser dagegen schützen. Die anderen erkennen zwar weniger, aber teurere Attacken und fordern ein Lösegeldverbot für öffentliche Stellen. Richtig ist, dass die Zahlungen immer neue Angriffe finanzieren. Das Verbot von Lösegeldzahlungen könnte Erpressungsangriffe abschrecken und Investitionen in die Art von Sicherheit fördern, die sie verhindern soll, meint Markus Braendle, CEO von Airbus CyberSecurity. Seine Kollegen sind eher der Meinung, dass sich das Thema von alleine erledigt. Cyberkriminelle wechseln zunehmend zu Cryptomining. Hier lässt sich über Kryptojacking, Mining Fraud, Account-Übernahmen oder auch durch direkte Attacken auf Kryptowährungsbörsen (ICOs, Initial Coin Offerings) ein beträchtlicher Gewinn erzielen.

Was ebenfalls von fast jedem Hersteller in 2019 als brandheiß gesehen wird, ist IoT-Sicherheit. Angriffe auf der Basis von Ransomware auf Infrastrukturen wie Städte und Häfen gab es bereits, diese werden sich auf sich auf die Energie- und Verkehrsinfrastrukturen ausbreiten. Mit der Einführung des Industrial Internet of Things (IIoT) wird die Fertigungsindustrie zu einem Ziel. Für Greg Day von Palo Alto ist damit klar, dass mehr Angriffe auf alle Phasen der Produktlebensdauer geben wird und dass dabei auch multiple IoT-Geräte kombiniert werden.

Stille Nacht, heilige Nacht? Vielleicht in den Wochen bis zu Silvester, aber danach erwarten uns, wie jedes Jahr, neue und alte Herausforderungen der Cybersicherheit, die nur mir viel persönlichem Einsatz, Ausdauer und Teamwork bewältigt werden können.