Blog : Cyberangriffe: Was tun, wenn es brennt?

Die Vorfälle bei Porsche und bei Pilz sorgen für Schlagzeilen. Der Supergau eines jeden Betriebsleiters ist dort eingetroffen: Die Produktion steht still, die Server sind down und die Belegschaft muss informiert werden, dass erstmal nichts mehr geht. Pilz geht von einem gezielten Cyberangriff aus, Porsche nennt Hardwareprobleme als Grund.

Die beiden Vorkommnisse sind keine Einzelfälle. Im digitalen Zeitalter ist es normal, dass Organisationen ins Visier von Cyberkriminellen geraten. Neben immer potenterer Malware und neuen Techniken der Angreifer, öffnen sich außerdem neue Vektoren für Attacken. Zudem sind IT-Umgebungen komplex und IT-Infrastrukturen lassen sich so dynamisch wie noch nie aufbauen. Sicherheitsbeauftragten und Compliance-Managern fällt es daher schwer, den Schutz von Geschäftsprozessen zu gewährleisten.

Gerade Porsche gilt in der Automobilbranche als Innovator, der bei Technologie und Präzision Standards setzt. Es ist unwahrscheinlich, dass man ausgerechnet im Stammwerk in Stuttgart beim Schutz der Fertigungsstraßen etwas dem Zufall überlässt. Stattdessen kann man davon ausgehen, dass es trotz großer Sorgfalt zum Stillstand kam. Laut den Berichten war eine Software implementiert, die den Ausfall hätte erkennen sollen – leider funktionierte diese nicht.

IT-Berater und Sicherheitsunternehmen empfehlen Tools, die auf einzelne Herausforderungen eine Lösung bieten. Allerdings fügen sich immer mehr Security-Tools nicht von selbst zu einem stimmigen Bild zusammen. Genau wie die laufende Produktion ist die Sicherheit von Systemen immer ein laufender Prozess. Eine IT-Sicherheitslösung kann aber nur einen Bereich absichern und nicht den kompletten Vorgang. Dies führt dazu, dass die einzelnen Technologien Datensilos erzeugen, welche, wenn überhaupt, nur mit großem manuellem Aufwand zu einem ganzheitlichen Bild zusammengefügt werden können.

Es ist legitim und natürlich wichtig, neue Werkzeuge zu nutzen, vor allem um dem Stand der Technik zu entsprechen. Leider vergessen Unternehmen oft die Prozesse welche notwendig sind, um aus den Daten der Tools auch Handlungen abzuleiten. Viele von ihnen erzeugen Daten und Alarmmeldungen, welche oftmals Falschmeldungen sind und zum sog. "Rauschen" führen. Bei Security-Teams stellt sich dadurch manchmal eine "Alarmmüdigkeit" ein. Jedes IT-Team hat eigentlich schon genug Werkzeuge, um Problemen auf den Grund zu gehen. Wichtig ist, die vorhandenen Ressourcen zu nutzen und die richtigen Konsequenzen zu ziehen. Oftmals fehlt es an den geeigneten Prozessen, die Übersicht zu gewinnen, um sich auf die wichtigsten Gegenmaßnahmen zu fokussieren.

Findet man keine Priorisierung statt, muss jeder Vorfall wie ein Notfall behandelt werden – auch, wenn man vielleicht nicht mal bedroht ist. Führungsetagen müssen ihre IT-Teams entlasten. Um die Masse an Informationen und Vorfällen zu verarbeiten und Security Prozesse zu optimieren, bieten lokale Threat Intelligence Plattformen an, die ständig neuen Informationen automatisch aufzuarbeiten und diese auch mit bereits vorhandenen Daten abzugleichen. Zusätzlich ist es wichtig, Threat Intelligence Daten zu priorisieren, um "Rauschen" zu entfernen und die begrenzten Ressourcen auf für das eigene Unternehmen relevante und kritische Bedrohungen zu konzentrieren. Dadurch wird die Erkennung von und Reaktion auf Vorfälle wesentlich beschleunigt. Denn wenn wir eines im Bereich Cyber Defense nicht haben, dann ist es Zeit!