5 Gründe für Sustainable Cyber Resilience
Unternehmen aus dem IT- und Telekommunikationssektor sind die Top-Angriffsziele für Hacker unter den kritischen Infrastrukturen. Fünf Gründe sprechen deshalb für das Konzept Sustainable Cyber Resilience.
Sustainable Cyber Resilience bedeutet nachhaltige Widerstandsfähigkeit gegen Cyberangriffe zu schaffen. Was heisst das genau? Unternehmen dürfen nicht länger nur reaktiv Massnahmen ergreifen, um sich vor Hackern zu schützen. Sie müssen ihre Angriffsfläche von vornherein minimieren und gleichzeitig dafür sorgen, dass ihre Systeme auch bei einem Cyberangriff betriebsfähig bleiben. Das Konzept Sustainable Cyber Resilience geht also noch einen Schritt weiter als IT-Security und umfasst sowohl technologische als auch strategische Massnahmen. Auf technischer Seite ist es erforderlich, Risiken zu erkennen, zu bewerten und Schwachstellen zu schliessen. Auf strategischer müssen Fach- und IT-Abteilung eng zusammenarbeiten und die Widerstandsfähigkeit von Geschäftsprozessen zur Chefsachen machen.
Fünf Gründe, weshalb Sustainable Cyber Resilience für Telekommunikationsanbieter heute unverzichtbar ist.
- Cyber-Angriffe auf IKT-Unternehmen häufen sich
Kritische Infrastrukturen sind ein attraktives Ziel für Hacker. Laut des BSI Berichts zur Lage der IT-Sicherheit in Deutschland 2018 wurden im Zeitraum von Juni 2017 bis Mai 2018 145 Vorfälle gemeldet. Die meisten davon betrafen die Sektoren IT und Telekommunikation. Im Sommer 2017 drangen unbekannte Hacker zum Beispiel in das Netz eines regionalen Telekommunikationsunternehmens ein, einer Tochterfirma eines Stromkonzerns. Der Betreiber bat das BSI um Unterstützung, das den Vorfall gemeinsam mit dem betroffenen Unternehmen bearbeitete. Zwar wurde die Telekommunikationsdienstleistung nicht beeinträchtigt, der Angriff zeigt aber wieder einmal, dass die Lage ernst ist: Zunehmend setzen Cyberkriminelle gerade im KRITIS-Bereich fortschrittliche, automatisierte Angriffstechniken ein und führen ihre Attacken systematisch und mit hohem Ressourcenaufwand durch.
- Telekommunikation ist verbindendes Element aller Kritis-Sektoren
Fällt die Telekommunikationsinfrastruktur aus, sind auch die anderen Sektoren der kritischen Infrastrukturen (Kritis) betroffen. Ohne Informationsaustausch und Datenübertragung funktionieren viele Steuerungssysteme bei Energie- und Wasserversorgern nicht mehr. Das Finanzwesen steht still und auch die Gesundheitsversorgung braucht die Telekommunikation, um Wissen über Krankheit und Heilung zu teilen. Den IKT-Sektor widerstandsfähig gegen Cyberangriffe zu machen, ist also überlebenswichtig für die Gesellschaft.
- Die Angriffsfläche von Telekommunikations-Infrastrukturen wird grösser
Durch die Digitalisierung haben sich immer mehr Telekommunikationsdienste auf IP-Netze verlagert. Das klassische Festnetz hat ausgedient. Telefonie, Internet, Fernsehen und Videostreaming sind mittlerweile IP-basiert. Dadurch kommt es zu einer zunehmenden Vereinheitlichung von Kommunikationsnetzen und Serversystemen. Das bedeutet jedoch auch, dass Hacker mit einem Angriff auf das IP-Netz massiven Schaden anrichten können. Gleichzeitig wird mobile Kommunikation und Datennutzung immer wichtiger und die Vernetzung nimmt zu. Viele IoT-Geräte nutzen das Mobilfunknetz. Dadurch haben Cyberkriminelle immer mehr Angriffspunkte. Der neue Mobilfunkstandard 5G wird ausserdem noch mehr technische Komplexität und neue Anforderungen an die IT-Sicherheit mit sich bringen.
- Verschachtelte Verantwortlichkeiten erschweren die Absicherung
Häufig sind viele verschiedene Unternehmen und Subunternehmen an Telekommunikations-Infrastrukturen beteiligt. Teilweise befinden sich diese auch in verschiedenen Ländern. Das macht es schwer, für Sicherheit zu sorgen. Umso wichtiger ist es, mit einem Resilience-Konzept ein einheitliches, durchgängiges Schutzniveau zu etablieren.
- Die EU-NIS-Richtlinie macht Resilience-Bausteine zur Pflicht
Seit Mai 2018 sind Kritis-Unternehmen aus dem Telekommunikationssektor verpflichtet, geeignete technische und organisatorische Massnahmen zum Schutz vor Cyberkriminalität nach aktuellem Stand der Technik nachzuweisen. Das schreibt die EU-NIS-Richtlinie vor, die in Deutschland durch eine Erweiterung des IT-Sicherheitsgesetzes (IT-SIG) umgesetzt wurde. Als Orientierung für den Stand der Technik kann zum Beispiel die ISO-27001-Zertifizierung dienen. Zu den darin geforderten Massnahmen zählt unter anderem Vulnerability Management (deutsch: Schwachstellenmanagement). Dieses wiederum ist ein wichtiger Grundbaustein von Sustainable Cyber Resilience.
Fazit
„Nicht umsonst sind Angriffe auf Telekommunikationsinfrastrukturen bei Hackern so beliebt. Sie finden hier eine wachsende, komplex abzusichernde Angriffsfläche, auf der sie grossen Schaden anrichten können. IKT-Unternehmen sollten daher alles tun, um ihre Systeme nachhaltig widerstandsfähig zu machen“, erklärt Dirk Schrader, von Greenbone Networks. Für ein umfassendes Konzept der Sustainable Cyber Resilience müssen IKT-Unternehmen die geeigneten technischen und organisatorischen Massnahmen ergreifen. Dazu zählt unter anderem Vulnerability Management.
