News und Produkte

Ordnungsmerkmale

erschienen in: <kes> 2007#2, Seite 78

Rubrik: News und Produkte

News und Produkte

Wenig Konzepte gegen Wirtschaftsspionage

Eine besorgniserregende Lage zur Wirtschaftsspionage konstatiert die aktuelle WIK/ASW-Sicherheits-Enquête: Nur 37 % der befragten Unternehmen haben demnach ein Konzept zum Schutz des eigenen Know-hows – weitere 21 % planen dies immerhin für die Zukunft. Dabei ist die Bedrohung schon jetzt offenkundig: 66 % der Sicherheitsprofis äußerten, dass in ihren Unternehmen schützenswertes Know-how anfällt und 22 % wussten auch von tatsächlichen Spionagefällen in der eigenen Branche.

Das höchste Gefährdungspotenzial sehen die Experten aus der "klassischen" Sicherheit jedoch heute und in der Zukunft bei Angriffen auf die Informationstechnik; aber auch Spionage, allgemeine Kriminalität und Terrorismus werden nach Meinung der Sicherheitsfachleute in den nächsten Jahren zunehmen.

Drastische Befürchtungen zur IT-Kriminalität

Bei neun von insgesamt 28 Deliktsformen rechnet eine Mehrheit der Sicherheitsexperten mit einer deutlichen Zunahme. Bei keiner anderen Deliktsform fallen dabei die Zukunftsprognosen ähnlich ungünstig aus wie bei den IT-orientierten kriminellen Angriffen: 79 % der Teilnehmer erwarten, dass Hacker-Angriffe auf die betriebliche IT zunehmen; mit 77 % glauben fast ebenso viele, dass auch der Befall durch Malware steigt. 57 % erwarten vermehrte Daten-Lecks durch Hardware-Diebstahl. Kriminalität aus dem Internet war zudem dasjenige Delikt, mit dem sich die meisten der Experten (79 %) in den letzten zwei Jahren konkret befassen mussten.

Entsprechend wird in der IT- und Kommunikationssicherheit aufgerüstet: 87 % der Experten aus der traditionellen Security gehen in ihren Budgets von steigenden Aufwendungen für das laufende Jahr aus. Auch in anderen Sicherheits-Bereichen wird investiert: Für 2007 erwarten 41 %, für 2008 37 % der Befragten real steigende Budgets. Das schlägt sich auch in der Investitionsplanung nieder: Nachdem zwischen 2004 und 2006 die Teilnehmer in der Unternehmenssicherheit im Mittel 569 900 €/Jahr ausgegeben haben, sollen es von 2007 bis 2009 im Durchschnitt 609 100 € sein.

Zusammenarbeit mit Sicherheitsbehörden

Sicherheitsverantwortliche benötigen Informationen über zu erwartende Risiken, über die Arbeitsweisen der Täter, über relevante Gesetzgebungen oder andere Veränderungen der Rahmenbedingungen. Insbesondere die staatlichen Behörden sind im Rahmen der notwendigen Sicherheitspartnerschaft mit der Wirtschaft gefordert, die Unternehmen bei ihrer Prävention zu unterstützen. So ist die Informationsquelle Polizei für rund 98 %, der Verfassungsschutz für etwa 78 % relevant. Mit der Informationsversorgung selbst sind die Befragten der WIK/ASW-Enquête allerdings nicht zufrieden: Nur 36 % nannten die Zusammenarbeit zwischen Wirtschaft und Behörden "vertrauensvoll". Wobei dieser Wert bereits eine deutliche Klimaverbesserung gegenüber der vorigen Studie zeigt, wo nur 24 % dieser Meinung waren.

Wie schon in der vorangegangenen Befragung 2004/2005 wünscht sich erneut gut die Hälfte eine Verbesserung der Zusammenarbeit mit der Polizei; bezogen auf den Verfassungsschutz äußerte das heuer ein Viertel der Teilnehmer (2005: 36 %). 61 % möchten zudem mehr und bessere Informationen zur aktuellen Gefährdungslage im Ausland erhalten.

Die 8. Sicherheits-Enquête der im SecuMedia-Verlag erscheinenden WIK – Zeitschrift für die Sicherheit der Wirtschaft wurde erneut mit Unterstützung der Arbeitsgemeinschaft für Sicherheit der Wirtschaft (ASW), weiteren wichtigen Wirtschaftsverbänden und bedeutenden Unternehmen der Sicherheitsbranche durchgeführt. Von den 208 teilnehmenden Sicherheitsexperten haben 97 % ihren Arbeitsplatz in Deutschland; 88 % der Teilnehmer tragen derzeit konkrete Sicherheitsverantwortung, entweder als Sicherheitsverantwortliche ihres Unternehmens oder in leitender Funktion bei einem Sicherheitsdienstleister. ([externer Link] www.wik.info / [externer Link] www.asw-online.de)

Interne Bedrohungen überwiegen

Interne Bedrohungen werden von europäischen IT-Managern und Sicherheitsspezialisten stärker wahrgenommen als die Gefahren, die von Hackern, Malware und Spam ausgehen. Zu diesem Schluss kommt eine Untersuchung, die InfoWatch während des ersten Quartals 2007 durchgeführt hat. Über verschiedene Kanäle wurden hierzu 410 Manager oder leitende Angestellte befragt, die auf den Bereich IT-Sicherheit spezialisiert sind; die Mehrheit (67 %) der untersuchten Firmen beschäftigt 500–5000 Mitarbeiter, 78 % setzen 100–5000 Workstations ein.

[Datendiebstahl 78%, Fahrlässigkeit der Angestellten 65%, Viren 49%, Hacker 41%, Spam 32%, Sabotage 15%, Hard-/Software-Fehler 13%, Finanzieller Betrug 7%]
Abbildung 1: Größte IT-Bedrohungen (max. drei Nennungen pro Teilnehmer)

Als größte IT-Bedrohungen wurden dabei klar Datendiebstahl (von 78 %) und Fahrlässigkeit der Mitarbeiter (65 %) angesehen – die Teilnehmer konnten bis zu drei Bereiche auswählen, die sie für besonders heikel halten (vgl. Abb. 1). InfoWatch merkt dazu an, dass gerade die beiden meistgenannten Gefährdungen in vielen Fällen miteinander verquickt sind. Vergleicht man die Wahrnehmung der abgefragten externen gegenüber den internen Bedrohungen (Datendiebstahl, Sabotage, Fahrlässigkeit, Betrug), so ergibt sich der Studie zufolge eine Betonung von 55 % auf internen gegenüber 45 % externen Gefahren.

Hauptbedrohung: Verlust vertraulicher Daten

Als Hauptbedrohung durch innere Angreifer haben die Befragten den Verlust vertraulicher Daten identifiziert (93 % Nennungen), gefolgt von der Verfälschung sensitiver Daten (85 %). Auf den "Plätzen" folgen mit einigem Abstand Hardware-Diebstahl (34 %), Betrug (29 %) und Datenverlust (23 %) sowie Fehler im Datensystem (20 %). Sabotage (9 %) und andere (7 %) wurden nur geringfügig als Bedrohung genannt – auch bei dieser Frage konnten die Teilnehmer bis zu drei Optionen wählen.

Nach effektiven Gegenmaßnahmen zur Verhinderung von Datenverlusten gefragt, nannten die meisten Befragten den Einsatz umfassender IT-Lösungen (52 %), organisatorische Maßnahmen (41 %) und Schulungen (39 %). Gezielte technische Verfahren und Maßnahmen zur Vermeidung von "Datenlecks" sind jedoch bislang nur selten zu finden. Als Haupthindernisse für deren Implementierung beziehungsweise Einsatz wurden am häufigsten mangelnde Standards und Budgetgrenzen genannt.

Auch bei der abschließenden Bitte zu einem selbst ausgewählten Aspekt der Umfrage Stellung zu beziehen, formulierte laut InfoWatch die Mehrheit der Teilnehmer Besorgnis hinsichtlich des Fehlens eines einheitlichen internen Sicherheitsansatzes. Sie seien der Meinung, dass die Wahl einer geeigneten Lösung erschwert wird, da zwar alle Anbieter von Sicherheitslösungen die Vorteile ihrer Produkte betonen, fehlende Standards jedoch einen Vergleich mit der Konkurrenz kaum zulassen. Zur Problematik der Budgetplanung zitiert InfoWatch einen Teilnehmer: "Wir wissen, wie man mit Viren umgeht. Man installiert ein Anti-Virus-Paket an den Gateways und auf den Workstations und kann sich ausrechnen, wie viel die Lizenzen mit der Zeit kosten werden. Aber der Schutz vor Insidern ist anders. Jeder Lösungsanbieter hat seine eigene Auffassung, wie ein internes Sicherheitssystem aufzubauen ist, und selbst unter Kollegen ergeben sich Meinungsverschiedenheiten."

Offenlegungspflicht bei Datenschutzverletzung

[ja notwendig 22%, eher ja 47%, eher nein 21%, nein nicht notwendig 10%]
Abbildung 2: Notwendigkeit einer EU-Gesetzgebung zur obligatorischen Benachrichtigung bei Datenschutzverletzungen

Ein wichtiger Schritt auf dem Weg zu solchen Standards bezüglich der internen IT-Sicherheit könnte eine gesetzlich verankerte Pflicht zur Offenlegung von Sicherheitsvorfällen sein, die personenbezogene Daten betreffen. Das bestehende EU-Recht verlangt lediglich, dass Verbraucher über Sicherheitsrisiken allgemein benachrichtigt werden, nicht aber über spezifische Fälle, in denen Datenschutzverletzungen auftreten. InfoWatch stellt hierzu fest, dass dementsprechend die meisten Unternehmen der Einführung solcher Benachrichtigungsprozesse "nicht die oberste Priorität" einräumen. Dabei zeigt die jetzige Umfrage eine solide Mehrheit für eine verpflichtende Benachrichtigung potenziell geschädigter Personen im Falle der Kompromittierung persönlicher Daten: Fast 70 % sprachen sich für eine entsprechende gesetzliche Regelung in Europa aus (vgl. Abb. 2).

Die InfoWatch-Analyse "Interne IT-Bedrohungen in Europa 2006" ist im Internet auf [externer Link] www.infowatch.com/de/threats?chapter=162971949&id=26 kostenfrei verfügbar. ([externer Link] www.infowatch.com/de/)

Gehäuft Schwachstellen in Sicherheitssystemen

In den letzten Monaten scheinen Angreifer vermehrt nach Sicherheitslücken in Security-Software zu suchen. Der wöchentliche kostenlose "Verwundbarkeits-Newsletter" @RISK des SANS Institute stellte bereits Ende Februar fest, dass sich vier heikelsten Sicherheitslücken der Woche in Sicherheitssystemen zu finden waren. Dies sei eigentlich nicht überraschend, kommentierte @RISK, da die meisten Produkte zur Informations-Sicherheit zu einer Zeit entwickelt wurden, in der Attacken vorrangig auf Betriebssysteme zielten. Da Angriffe jedoch heute Applikationen bevorzugen, avancieren auch Sicherheitssysteme zum primären Ziel, da sie meist mit weitreichenden Privilegien arbeiten. Auch im April tauchten immer wieder Verwundbarkeiten bei Security-, Backup- und Systemmanagement-Lösungen auf. Man sollte auf eine entsprechende Priorisierung des Patch-Managements achten und gegebenenfalls bisherige Regelungen überprüfen.

Zudem wurde mit "Software Security @RISK" ein neuer Newsletter angekündigt, der ausgewählte Schwachstellen in großer Tiefe analysiert und die genauen Programmierfehler beschreibt, die zu der Verwundbarkeit geführt haben. Den Newsletter sollen zukünftig alle Programmierer erhalten, die sich auf [externer Link] www.sans-ssi.org für das "Secure Coding Exam" einschreiben. Bis dieses Projekt angelaufen ist, schickt SANS den Newsletter jedem, der in der Lage ist, vorliegenden Test-Code entweder in Java oder in C korrekt zu bewerten – die "Test Blueprints" kann man per E-Mail an spa@sans.org abrufen. ([externer Link] www.sans.org/newsletters/risk/)

Firmen, Finanzen und Fusionen

zurück zum Inhalt
© SecuMedia-Verlags-GmbH, 55205 Ingelheim (DE),
<kes> 2007#2, Seite 78
tag:kes.info,2007:art:2007-2-078

Valid HTML 4.01! | Valid CSS!

Haben Sie einen Fehler gefunden? Bitte benachrichtigen Sie uns per  E-Mail. Vielen Dank.