JUNI 2015 ISSN ,50 IT-SECURITY CHANNEL KOMPENDIUM. Markt & Trends. Roundtable. Knowhow. Produkt-Highlights. Distribution.

Transkript

1 JUNI 2015 ISSN ,50 IT-SECURITY CHANNEL KOMPENDIUM Markt & Trends Roundtable Knowhow Produkt-Highlights Distribution powered by

2 ONE STEP AHEAD.

3 Editorial Security Editorial Dr. Andreas Bergler IT-BUSINESS Durchschnittlich zwei Mal pro Sekunde werden Unternehmen heute von unbekannten Malware-Typen bedroht. Das haben die Autoren im aktuellen Security Report 2015 von Check Point herausgefunden. Das Ausmaß der Infiltration und die Raffinesse neuer Bedrohungen verbreiten sich laut Studie in alarmierendem Tempo. Doch nicht nur die aus Traffic- Analysen gewonnenen Fakten geben Anlass zur Sorge, sondern auch die Enthüllungen darüber, was gerne unter der Decke gehalten wird. So treten immer wieder Meldungen über Spionageaktivitäten gegen Firmen und öffentliche Institutionen zutage, die anscheinend monate- oder jahrelang niemand bemerkt hat oder haben will. Die septischen Fühler von Hackern und Spionen reichen mittlerweile bis ins IT- Netz des Bundestags. Hintergründe hierfür erfahren Sie ab Seite 22. Als Sahnehäubchen auf dem bedrohlichen Giftcocktail aus bekannten und unbekannten Bedrohungen schwimmen die Risiken der immer dichteren Vernetzung. Etwa zehn Milliarden Dinge sind laut Boris Bärmichl, Vorstandssprecher vom KoSiB und Keynote-Speaker auf der IT- Security Management & Technology Conference 2015 der Vogel IT-Akademie, derzeit mit dem Internet verbunden. Der Ausfall einer intelligenten Glühbirne kann wahrscheinlich verkraftet werden, der Ausfall eines Smart- Meter-Verbunds, weil das Scada- System mit einem Zero Day Exploit infiltriert wurde, könnte katastrophal werden Um Schäden der unterschiedlichsten Art zu verhindern, gibt es reichlich Abwehrmittel und Gegenmaßnahmen. Doch so schwierig wie die Risiken einzuschätzen sind, so komplex stellt sich eine effiziente Sicherheitsstrategie dar. Die Expertenrunde auf dem diesjährigen IT-BUSI- NESS-Roundtable stellte sich der Frage, wie Nachfrage und Angebot hier zusammen gebracht werden können. Antworten dazu lesen Sie auf ab Seite 12. Ich wünsche Ihnen eine spannende Lektüre! Dr. Andreas Bergler Leitender Redakteur / CvD IT-BUSINESS 3

4 Security Inhalt Markt Schutzschilde hoch! Die häufigsten Attacken auf Unternehmensnetze, die verwundbarsten Punkte und die Kosten für den Ernstfall. Strategien Mit kühlem Kopf......in die Cloud: Strategien und eine Checkliste für Unternehmen, die ihre Daten auslagern wollen Inhalt Marktbarometer 6 Von Online-Verbrechern bis zum kaputten Internet: Die stark wachsenden Bedrohungen erzeugen eine gesunde Nachfrage sowohl nach Produkten als auch nach ausgefeilten Security-Konzepten. Roundtable 12 Der Traum vom wirklich sicheren Unternehmensnetz überfordert sowohl die Hersteller als auch die Dienstleister im Channel. Für Systemhäuser kommt es darauf an, die richtigen Fragen an den Kunden zu stellen. Verordnete Spionage 22 Warum das sinistre Treiben der Schlapphüte so schnell nicht von der Tagesordnung auch bei kleinen Unternemen verschwindet. Cloud-Check 24 Unsicherheit über die tatsächlichen Sicherheitsrisiken und Angst vor Hacker-Attacken lähmen viele Unternehmen vor dem Schritt in die Cloud. Es geht auch anders. Produkte & Lösungen 26 Vom einfach realisierbaren Schutz für den Endverbraucher bis zur komplexen Lösung für die Unternehmenssicherheit. Distribution 32 Security-VADs richten sich auf neue Gefahrenpotenziale ein Rubriken 34 Roundtable Security mit Augenmaß Welche Konzepte für den Channel am wirksamsten das Angebot mit der Nachfrage vereinen, zeigte der IT-BUSINESS Roundtable. 12 4

5

6 Security Marktbarometer Bedrohungen und ihre Wahrnehmung VOM ONLINE-VERBRECHEN ZUM KAPUTTEN INTERNET Ein Ausfall innerhalb der Unternehmens-IT wird häufig von der Belegschaft hingenommen. Schwieriger wird es bei Ausfällen durch Cyberkriminelle. Sie sind deutlich vielfältiger, betreffen nicht nur die IT-Infrastruktur und können Existenzen bedrohen. IT-BUSINESS / Dr. Andreas Bergler Kann das Internet kaputtgehen? Diese Frage stellte unlängst Jana Fink bei einem Podcast vom Eco-Verband der deutschen Internetwirtschaft an Dr. Thomas King, Manager Research & Development beim Frankfurter Internetknoten DE-CIX. Alles was funktioniert, kann grundsätzlich kaputtgehen. Praktisch kann es aber nicht kaputtgehen, meint der Experte und vertraut dabei unter anderem auf die Selbstheilungskräfte des Internets. Dieses sei an den kritischen Stellen redundant ausgelegt und daher im Prinzip nur an einzelnen Punkten kompromittierbar. Schön fürs Internet! Weniger schön für die schwächer geschützten Geräte und Informationen an anderer Stelle. Denn angegriffen wird an den Punkten, die leicht zugänglich sind und deren Kompromittierung hohen Gewinn verspricht. Erhöhtes Wachstum Die Wahrnehmung von Cyber-Sicherheitsrisiken scheint sich allerdings deutlich gebessert zu haben (s. Grafik). Insbesondere aufgrund des gestiegenen öffentlichen Interesses für dieses Thema, so mutmaßen die Analysten von KuppingerCole, genießt IT-Security höhere Wertschätzung als bisher. Dies schlägt sich in einer steigenden Investitionsbereitschaft der Unternehmen nieder. Das Bundesministerium für Wirtschaft und Energie prognostiziert in einer Studie zum IT-Sicherheitsmarkt in Deutschland ein durchschnittliches Wachstum der Investitionen in IT-Security von 5,3 Prozent. Sogar bis zu zwölf Prozent, so schätzen die Autoren der Studie, könne der deutsche Security-Markt bei optimistischer Annahme jährlich wachsen. Cyber-Risiken in der Wahrnehmung von Top-Managern Ursachen für Aufmerksamkeit 10.2% 3,1% Security ist Teil der GRC 26,0% (Governance, Risk Management & Compliance) des Unternehmens 8,2% Audit-Ergebnisse Vorfälle in anderen Unternehmen Angst vor persönlicher Haftung bei Vorfällen Keine Aufmerksamkeit im Top- 15,8% Management 12,8% Andere Bereits geschehene Sicherheitsvorfälle im Unternehmen 24,0% Begünstigende Faktoren Quelle: KuppingerCole Weil die Zahl gezielter komplexer Angriffe, der APTs (Advanced Persistent Threats), weiter zunehmen wird, werden Unternehmen verstärkt auf externe Experten zurückgreifen. Aber nicht nur die Unternehmen, sondern auch die Einzelpersonen werden die Nachfrage nach adäquaten Sicherheitstechnologien und -lösungen vorantreiben. So wird dieses Jahr laut einer Erhebung von McKinsey die Konnektivität eines Autos für Käufer erstmals wichtiger als dessen Motor-Leistung. Die immer häufigere Kombination von Cloud-Lösungen für Consumer mit mobilem Zugang und sicherer Authentifizierung berge zusätzliche Herausforderungen. Weitere Treiber für den Markt sind vertikale Märkte. Wesentliche Sicherheitsfragen, so der TÜV Rheinland, seien beim Megathema Industrie 4.0 noch ebenso ungeklärt, wie die Sicherheitsstandards beim Internet der Dinge noch weit hinter der technologischen Entwicklung hinterherhinken. Ξ Nur 8,2 Prozent der Unternehmen geben an, dass sich das Top-Management nicht für IT-Risiken und externe Bedrohungen interessiert. 6 BILD: GAJUS - FOTOLIA.COM

7 BUSINESS GOES MOBILE. SECURE IT. Winner of Edition 2014 GDATA.DE/MOBILE-DEVICE-MANAGEMENT GDBANZ DE MDM x Die Zahl der in Unternehmen eingesetzten Mobilgeräte steigt stetig. Die neuen G DATA Businesslösungen berücksichtigen diese Herausforderung 0,5X für IT Abteilungen und schützen zuverlässig auch alle mobilen ios und Android Clients im Netzwerk. Bei Verlust können unter anderem sämtliche Geräte geortet und sensible Daten per Mausklick gelöscht werden. Darüber hinaus bietet der USB KEYBOARD GUARD als weltweit einziges Tool zuverlässigen Schutz vor BadUSB -Angriffen und ist fester Bestandteil aller aktuellen G DATA Businessversionen. Seit 30 Jahren überzeugt G DATA als Antivirenpionier mit innovativen, am täglichen Bedarf orientierten hochsicheren Lösungen für Netzwerke jeder Größe. Jetzt die neuen Business-Versionen 30 Tage kostenfrei testen, inklusive deutschem 24/7-Support: gdata.de/mobile-device-management EINFACH SICHER Sie haben Fragen? Kontaktieren Sie uns:

8 Security Marktbarometer Ohne Schutzschild Zahlreiche Studien zeigen, dass Angriffe auf IT-Systeme sowohl die IT direkt betreffen können als auch oft auf dem Umweg über Angestellte geführt werden, dass wegen häufig unausgereifter Abwehrsysteme manche Firmen Angreifern schlimmstenfalls nahezu schutzlos ausgeliefert sind und dass Übergriffe eine Menge Geld kosten. IT-BUSINESS / Katrin Hofmann Die häufigsten Attacken auf deutsche Firmen Diebstahl von ITK-Geräten 28% Social Engineering 19% Sensible Daten gestohlen 17% Sabotage 16% Physische Dokumente, Teile o.ä. entwendet 14% Abhören elektronischer Kommunikation 8% Abhören von Besprechungen, Telefonaten 8% QUELLE: BITKOM BILD: DRAGONIMAGES - FOTOLIA.COM Große Unternehmen sind zwar häufiger Angriffsziel, können die Attacken aber aufgrund ihrer Ressourcen besser abwehren, sagt Bitkom-Präsident Prof. Dieter Kempf. Vor allem innovative Mittelständler mit ihrem spezialisierten Knowhow in bestimmten Märkten und Technologien wecken bei kriminellen Hackern und Geheimdiensten Begehrlichkeiten. Die meisten Firmen weltweit sind für den Kampf gegen Cyberkriminalität nicht gut gerüstet. Laut einer Studie von RSA haben zwei Drittel keinen umfassenden Incident- Response- Ansatz für eine schnelle und effiziente Reaktion. Unzählige Angriffspunkte Techconsult hat Mittelständler in Deutschland danach gefragt, welche Security-Barrieren sie aus ihrer Sicht nicht hoch genug aufgebaut haben. Demnach sehen sie als größtes Handlungsfeld die Sicherheit für mobile Endgeräte. Telefonie-Verschlüsselung (Encryption) Verschlüsselter Versand von SMS Verschlüsselter Versand von Instant Messages per Smartphone / Tablet Integration privater Smartphones (BYOD) Mobile Device Management Content Management auf Smartphones / Tablets Verschlüsselter Versand von s per Smartphone / Tablet Provisionierung und Konfiguration von Security Policies auf Smartphones / Tablets Fernlöschung von Smartphoneund Tablet-Daten Mobile App Management Absicherung und Verwaltung von Geräten mit mehreren Betriebssystemen Datensicherungs-, Backup- und Wiederherstellungs-Lösungen für Smartphones / Tablets Sicherheitslösungen (Antivirenschutz) für Smartphones / Tablets Firewalls für Smartphones / Tablets 71% 71% 70% 69% 69% 69% 69% 68% 68% 68% 67% 66% 66% 65% Kosten je E-Crime-Fall In den vergangenen zwei Jahren waren 40 Prozent der Firmen in Deutschland von Computerkriminalität betroffen, berichten die Wirtschaftsprüfer von KPMG waren es lediglich 27 Prozent. Das entspricht einem Zuwachs von 50 Prozent. Besonders teuer pro E-Crime-Fall kommt die Firmen die Verletzung von Geschäfts- und Betriebsgeheimnissen zu stehen. Verletzung von Geschäftsund Betriebsgeheimnissen Verletzung von Urheberrechten Datendiebstahl Erpressung Ausspähen und Abfangen von Daten Systembeschädigungen oder Computersabotagen Euro Euro Euro Euro Euro Euro QUELLE: TECHCONSULT (503 FIRMEN BEFRAGT) QUELLE: KPMG, STATISTA 8

9 Ein Herz für Admins Bei Anruf Stress? Schluss mit dem Herzrasen! VPN-Lösungen von NCP. Die versteht jeder User. Remote Access VPN-Lösungen für mobile Anwender: Software von NCP punktet mit Sicherheit made in Germany und lässt sich flott installieren. Und das Beste: Die Bedienung ist ganz einfach, denn der Endanwender muss nichts konfigurieren. So läuft alles wie am Schnürchen und die IT ist auf der sicheren Seite! weniger Calls am Helpdesk Firewall und Dialer integriert Clients und VPN Gateways zentral managen Next Generation Network Access Technology Jetzt informieren! Sicherheit made in Germany

10 Security Marktbarometer Security first IT-Sicherheit zählt in den deutschen Anwenderunternehmen aktuell und in den kommenden Jahren zu den wichtigsten Herausforderungen. IT-BUSINESS / Heidi Schuster $ $ $ $ $ $ $ $ $ $ Security-Appliance-Markt nach Produktkategorien (EMEA ) (2015, 2016 und 2017 sind Prognosen) PSDESIGN1 - FOTOLIA.COM Content Management Firewall IDP (Intrusion Detection System) UTM (Unified Threat Management) VPN (Virtual Private Network) QUELLE: IDC Laut den Analysten von Gartner erreichten die weltweiten Ausgaben für IT-Security im vergangenen Jahr rund 72 Milliarden US-Dollar. Das entspricht einem Anstieg von 7,9 Prozent gegenüber dem Vorjahr. Mit einem Wachstum von 6,4 Prozent legte Westeuropa dabei etwas weniger zu. Trotzdem liegt das noch weit über dem durchschnittlichen Wachstum der gesamten IT-Ausgaben von nur 2,4 Prozent. Umsatz mit Security-Software Nach einem Hoch im Dezember 2014 ist der Umsatz mit Security-Software in der Distribution in Deutschland wieder geschrumpft. Im Februar 2015 wurden noch rund 6,8 Millionen Euro erwirtschaftet. Umsatz mit Security-Hardware Der Umsatz mit Security-Hardware (beispielsweise Firewalls, Anti-Spam-/ Anti-Virus-Hardware) ist in der Distribution in Deutschland im Februar 2015 auf rund 2,3 Millionen Euro gefallen, erholt sich aber wieder. Feb 15 Apr 15 Jan 15 Mrz 15 Dez 14 Feb 15 Nov 14 Jan 15 Okt 14 Dez 14 Sep 14 Nov 14 QUELLE: CONTEXT ,5 2 2,5 3 3,5 4 4,5 Millionen Euro Millionen Euro QUELLE: CONTEXT 10

11 ADVERTORIAL Sie sind auf der Suche nach einem Security Hersteller der Spitzenklasse? Wir sind der Anbieter # 1 von integrierten Security-Appliances für KMU* Die USG-Appliances (Unified Security Gateway) von ZyXEL sind zuverlässig, leistungsstark und sicher. Für Unternehmen mit bis zu Mitarbeitern sind unsere Netzwerk-Security Produkte ideal. Deshalb entscheiden sich so viele kleine und mittelständische Unternehmen für sie. Sie möchten Sicherheit? Unsere Unified Security Gateway-Produkte stehen bereit! Für jede Unternehmens- oder Niederlassungsgröße bieten wir passende UTM-Firewalls (Unified Threat Management). Ihre Merkmale: einfache, rationalisierte Verwaltung, maximale Netzwerkverfügbarkeit und modernste Funktionalität. Unified Threat Management Firewalls der nächsten Generation Ein Unified Threat Management-Gerät (UTM) kann bis zu sechs kostspielige Security-Punktlösungen ersetzen. Es überzeugt zudem mit einer einfacheren Einrichtung, Verwaltung und Fehlerbehebung sowie mit besserer Leistung. UTM-Lösungen sind unübertroffen flexibel, denn sie lassen sich nach Kundenwunsch aus Modulen und Funktionen individuell zusammenstellen. Später können bei Bedarf weitere Optionen hinzugefügt werden. UTM-Geräte arbeiten anwendungsbezogen und vereinen in sich eine Firewall, VPN-Funktionalität sowie Funktionen zum Erkennen und Abwehren von Viren und Eindringversuchen. Ihre Verwaltung erfolgt über eine einheitliche, zentrale Konsole. Sie schützen das Netzwerk nicht nur vor externen Bedrohungen, sondern erkennen dank ihrer Anwendungsbezogenheit auch die missbräuchliche interne Nutzung des Netzwerks, da sie den Zugriff auf Instant Messaging, Peerto-Peer-Netze und soziale Netzwerke kontrollieren. Damit bilden sie eine einfache Rundumlösung gegen Angriffe, die zu Ausfällen, Datenlecks und -verlusten führen können, und ermöglichen es den Benutzern im Netzwerk, produktiv zu arbeiten. UTM der Spitzenklasse Die brandneue USG-Serie von ZyXEL bietet Firewall-,VPN- und UTM-Performance auf höchstem Niveau. Diese Produkte vereinen in sich die besten Security- Komponenten von Branchenführern unter einer einfachen, rationalisierten Management-Oberfläche. Diese Serie überzeugt mit Multi-WAN-Lastausgleich und -Failover sowie einer umfassenden Liste an unterstützten 3G-USB-Modems für das WAN-Backup. Darüber hinaus sorgen IPSec-Lastausgleich und -Failover für eine noch größere Stabilität der wichtigsten VPN- Deployments. USG-Geräte von ZyXEL verfügen des Weiteren über einen integrierten WLAN-Controller für die skalierbare, sichere Nutzung von Privatgeräten in das Unternehmensnetzwerk sowie Gastzugang für Besucher oder Besprechungsräume. UTM bringt klare Vorteile: Deutlich platz- und kostensparend Schnellere Bereitstellung Weniger Verwaltungsaufwand Weniger Schulungsaufwand Einfachere Fehlerbehebung Optimale Leistung Maximale Flexibilität Leichte Installation durch ZyXEL Schulungs- Support von USG-Appliances Mit unserem Technik-Workshop erlangen Sie an nur einem Tag das nötige Wissen zu ZyXEL-Security-Produkten. Unseren Partnern bieten wir diesen Workshop kostenlos. Kostenloser Installations-Support Neue Reseller für ZyXEL-Security-Produkte können einen kostenlosen 30-minütigen Support-Anruf zur Unterstützung der ersten Installation beim Kunden in Anspruch nehmen. Erweitertes Serviceangebot Wir möchten Sie in jeder Projektphase bestmöglich unterstützen. Da Netzwerke immer komplexer werden, bieten wir Ihnen zusätzlich zu unseren vielen kostenlosen Services auch einige Pakete mit kostenpflichtigen Services wie VPN-Tunnel-Set-Up, Gateway- Basic-Set-Up, WLAN Ausmessung, Vor-Ort-Installationshilfe und viele mehr. Schauen Sie auf nach! * * Quelle: Infonetics-Studie zur Anzahl der verkauften integrierten Security-Geräte im Preissegment von USD, Gebiet: EMEA, Zeitraum: Januar 2013 bis Juni 2014 Mehr Informationen über unsere Produkte und Lösungen finden Sie auf:

12 Security Roundtable IT-BUSINESS Roundtable Security 2015 Der Traum vom sicheren Unternehmensnetz Erhöhte Spionage-Aktivitäten, Angriffe auf Firmennetze und umfangreiche Datenschutzvorschriften machen das Thema Sicherheit zum Dauerbrenner in der IT. Doch mit welchen Konzepten können Hersteller, Distributoren und Reseller bei den Kunden punkten? IT-BUSINESS / Sarah Gandorfer 12

13 Roundtable Security Teilnehmer Die allgemeinen IT-Ausgaben sind laut Gartner 2014 weltweit um 2,4 Prozent gestiegen. Alleine für IT-Security wurden 71,1 Milliarden US-Dollar ausgegeben, was einen Anstieg von 7,9 Prozent gegenüber dem Vorjahr ausmacht. Für 2015 prognostizieren die Analysten ein Wachstum von 8,2 Prozent. Sicherheit bleibt also nach wie vor ein heißes Thema. Das Angebot der Hersteller an IT-Security ist reichhaltig, doch der Anwender ist überfordert. Er weiß meist nicht, welches Produkt für sein Problem das richtige ist. Moderator und IT-BUSINESS-Redakteur Dr. Andreas Bergler stellte deshalb auf dem Security Roundtable 2015 die Leitfrage: Wie bringen wir diese beiden Welten zusammen? Wie können wir dem Channel helfen, für die Anwender tatsächlich das richtige Produkt zu finden? Ahnungsloser Kunde Ann-Kathrin Jacobs Marketing, 8Soft GmbH lldikó Bruhns Marketing, Eset Rüdiger Trost Senior Sales Engineer, F-Secure GmbH Julia Molzen Global Marketing Director B2B, G Data Christian Lueg Presserefernt DACH, G Data Kai Langhoff Business Development Manager, Infinigate Marcus Westen Business Development, CISSP & Solution Architect, ITConcepts Professional GmbH Sascha Plathen Director Channel Sales CE, McAfee GmbH Michael Neumayr Regional Sales Manager, Central Europe, PingIdentity Peter Silberhorn Silberhorn Consulting Christian Nern Director Channel & Cloud, Symantec Axel Noack Channel Director, NCP Engineering GmbH Redaktion: Dr. Andreas Bergler IT-BUSINESS (Moderation) Sarah Gandorfer IT-BUSINESS (Protokoll) Rüdiger Trost von F-Secure findet, dass viele Kunden gar nicht wissen, welche Probleme sie eigentlich haben: Schon an dieser Stelle muss das Expertenwissen zugekauft werden. Beim PC existiert bereits die Awarness für Sicherheit. Hierfür wurden von den Administratoren Security-Policies aufgestellt, Viren-Scanner und VPN installiert. Diese Regelungen allerdings für neu hinzugekommene mobile Endgeräte zu aktualisieren, wird oftmals vergessen. Die sichere Mobilitätsstrategie beginnt bei den Daten. In Zeiten, in denen Apps wie Google-Plus und Facebook simpel auf weitere Anwendungen eines mobilen Gerätes zugreifen, müssen die Firmendaten ganz besonders geschützt werden. Dazu muss erst einmal die Unternehmensapplikation sicher sein und in zweiter Linie klargestellt werden, auf welche Apps der Mitarbeiter überhaupt zugreifen darf, so Christian Nern von Symantec. Im Enterprise-Sektor ist dieses Vorgehen bekannt, doch gerade kleinere Unternehmen wissen nicht einmal, was eine Policy ist, wirft Axel Noack von NCP ein. Auch stellt sich die Frage, was überhaupt mit den Daten passieren soll, ergänzt Kai Langhoff > Oben: Rüdiger Trost (F-Secure) glaubt, dass viele Kunden ihre Probleme nicht kennen. Unten: Christian Nern (Symantec) findet, dass man heute nicht mehr mit Schicht systemen arbeiten kann. 13

14 Security Roundtable Axel Noack (NCP) bemängelt, dass sich kein Hersteller an Normen hält. > von Inifinigate. Also wie mache ich die Daten später wieder verfügbar, beispielweise über ActiveSync und wie mache ich das Ganze sicher? Bei -Programmen und Kalenderfunktionen gehört der Schutz zum Standard- Repertoire. Bei Applikationen für Vertragswesen, wie sie unter anderem DHL-Zusteller bei der Auslieferung ihrer Pakete mit ihrem Unterschriftenpad nutzen oder Versicherungsvertreter, sieht es allerdings anders aus. Langhoff mahnt, dass nicht erst das Rollout einer Applikation geschehen dürfe, sondern zuvor schon diese Gedanken und damit der Datenschutz beachtet werden müssten. Vielen Verantwortlichen in den Firmen ist nicht bekannt, dass rechtlich ein Mobile Device, auf das Kundendaten gespielt werden, genauso geschützt werden muss, wie wenn sich diese Daten auf einem PC befinden. Dazu muss ebenfalls geregelt sein, was zu tun ist, wenn ein mobiles Gerät abhanden kommt, sagt Marcus Westen von ITConcepts. Er nennt ein Extrembeispiel: Sind keine Richtlinien vorhanden, könnten Mitarbeiter private Daten im firmeneigenen SAP-System ablegen und diese samt System quasi beim Ausscheiden aus dem Unternehmen mitnehmen, da es sich um private Daten handelt. Als Mitte der 1990er Jahre die ersten Smartphones ihren Weg in die Unternehmen fanden, gingen die Administratoren die Integration der Geräte recht hemdsärmelig an. Die Folge waren Insellösungen, die sich schlimmstenfalls bis heute gehalten haben. Ein mobiles Gerät ist immer ein Endpoint, auf dem Daten gespeichert, verarbeitet und an einen bestimmten Ort überspielt werden, betont Sascha Plathen von McAfee. Ich muss mir also als Unternehmen dringend Gedanken machen, wie ich das in meine Firmenrichtlinien einbinde, und darf es nicht isoliert betrachten. > Kai Langhoff (Infinigate) fordert: Es muss einfach zu nutzen sein! Marcus Westen (ITConcepts) plädiert für Best Practices. Sascha Plathen (McAfee) betont die Zurückhaltung der Deutschen beim Thema Cloud. 14

15 ZINTO E-Serie Die Server-USV. Der Einstieg in die USV-Profi liga! 30% mehr Leistung 1 54% mehr Überbrückungszeit 2 Geräuschloser Betrieb 3 Softwareunabhängiges USV-Management Rack-Tower-Kombimodell, nur 2HE 4 72 Monate Batterielebenserwartung Batterielose Spannungsregelung 2 Jahre Garantie inkl. Batterie und kostenlosen 24h-Vorbaustausch 1) Vergleich ZINTO E 1500 mit APC SMT1500 I, Quelle: ) Vergleich ZINTO E 1500 mit Eaton 5P1550 Quelle: ) Ab ZINTO E 1500 bei Last <50% 4) Ab ZINTO E

16 Security Roundtable Laut Ann-Kathrin Jacobs (8Soft) sind nur vier Prozent der internetfähigen Geräte geschützt. > Immer mehr Endpoints Während es damals mehr oder weniger nur darum ging, ein paar Smartphones und Notebooks mit unterschiedlichen Betriebssystemen in das Unternehmensnetz zu integrieren, geht es jetzt um die Einbindung einer Vielzahl von Endpoints. Grund hierfür ist das Internet der Dinge. Es sind immer mehr Geräte im Internet, aber nur rund vier Prozent davon haben einen Schutz, stellt Ann-Kathrin Jacobs von 8Soft nüchtern fest. Ein weiterer Gefahrenpunkt für das Netzwerk ist Bring your own Device (BYOD), denn der Mitarbeiter möchte nicht zusätzlich zu seinem privaten Smartphone und Notebook noch ein firmeneigenes nutzen. Daraus ergibt sich ein weiteres Problem: Bei BYOD möchte der Mitarbeiter natürlich auch verhindern, dass die Firma auf seine privaten Daten Zugriff hat. Technisch ist solch eine Datentrennung einfach lösbar. Für den Channel ist es deshalb wichtig, für seinen Kunden diesen Gordischen Knoten aufzulösen, um ihm ein passendes Angebot zu machen. Dabei geht es nicht nur um Prävention, sondern auch um schnelles Handeln, wenn doch ein Gefahrenfall eingetreten ist. Es müssen dementsprechend alle Parameter der Unternehmens-IT bekannt sein, und ein lückenloses Konzept sollte geschmiedet werden. Auf keinen Fall darf auf Eigenlösungen gesetzt werden, die in sich nicht zusammenpassen. Doch an dieser Stelle kommt direkt die nächste Hürde in Form der unterschiedlichen Betriebssysteme sowie einer Multivendor-Strategie. Für die Hersteller gibt es aktuell keine Normen, an die sie Christian Lueg(G Data): Wir sind dabei, ganzheitliche Ansätze zu schaffen. Unternehmen und Administratoren sind überfordert, so Ildikó Bruhns (Eset). 16

17 Roundtable Security Peter Silberhorn (Silberhorn Consulting) kritisiert das fragmentierte Informationsangebot. sich halten müssten. Hinzu kommen immer mehr Geräte oder beim Thema M2M Maschinen, die jetzt erst an das Netz gehen. Beispielsweise werden heutzutage auch Windmühlen an ein Unternehmensnetzwerk angeschlossen und aus der Ferne gewartet. Die Komplexität wird somit immer höher. Firewalls als Lösung? Vielleicht lassen sich hier die totgesagten Perimeter-Konzepte wiederbeleben, die das Netzwerk in verschiedene Sicherheitsstufen unterteilen, wirft Moderator Bergler in die Runde und fragt: Sehen Sie als Hersteller zum Beispiel die Möglichkeit eines Neudesigns von Firewalls? Allgemein entsteht ein kurzes Schweigen am Tisch. Dann meldet sich Nern zu Wort: Eher nicht. Man kann nicht mehr mit Schichtsystemen arbeiten, sondern braucht parallele Konzepte. Es geht nicht mehr darum, welcher Mitarbeiter auf welche Daten Zugriff hat. Die Daten wandern. Sie sind irgendwo in einem nicht definierten Raum gespeichert. Es ist gewollt, dass der Zugriff von überall her geschehen kann, führt Plathen ein weiteres Argument gegen das Schichtmodell aus. Natürlich werden Firewalls nach wie vor verkauft. Doch eine Firewall oder ein Virenscanner alleine bringen nichts, sind sich die Teilnehmer einig. Schon seit Jahren wird auf ein Multi-Layer-Modell gesetzt, das diese Sicherheitsfeatures Hand in Hand gehen lässt. Dabei muss ein solches Modell sowohl für den Nutzer, wie auch für den IT-Betreuer durchschaubar sein, plädiert Langhoff. Die Nutzung muss einfach sein. Es geht nicht, dass ich mich auf 25 unterschiedlichen Systemen eigens anmelden muss. Der Druck auf die IT steigt extrem, fasst Trost zusammen. Je mehr Anwendungsmöglichkeiten ich für mobile Devices habe, umso mehr muss die IT- Abteilung auch bieten. Tut diese es nämlich nicht, findet der Mitarbeiter einen anderen Weg und eine Schatten-IT entsteht. Bietet die IT beispielsweise keine Möglichkeit, auf Dokumente von überall zuzugreifen, wird der Nutzer Angebote wie Dropbox wahrnehmen oder schickt sich schlicht s mit Arbeitsdokumenten an den privaten Account. Um den Abfluss von Daten zu verhindern, gibt es Mittel wie Data Loss Prevention (DLP). Doch das ist nur ein Tropfen auf den heißen Stein. Das Security-Umfeld ist immer nur so stark, wie sein schwächstes Glied, bemerkt Plathen. Der Reseller kommt nicht umhin, ein komplettes Konzept zu offerieren, und der Administrator muss wissen, wie seine IT in einigen Jahren aussehen soll. Das zeigen DDOS-Angriffe wie Dragonfly auf Windturbinen. Das System muss also in sich so gehärtet sein, dass keiner Zugriff von außen hat. Gleiches gilt ebenfalls für virtuelle Konstrukte, beispielsweise wenn Loadbalancing über einen Drittanbieter geschieht. Hier greifen Modelle wie Security as a Service, bei denen ein Unternehmen ein in sich geschlossenes Angebot bucht, glaubt Nern. Sind die Hersteller überfordert? An diesem Punkt kommt beim Moderator die Frage auf, inwieweit die Hersteller denn bereits umfassende Konzepte bieten oder ob sie damit gar überfordert seien. G-Data-Vertreter Christian Lueg springt hier sofort in die Bresche: Wir sind dabei, ganzheitliche Ansätze zu schaffen. Also beispielsweise auch mobile Geräte in die Sicherheitslösung einzubinden, sodass das für den Administrator einfach zu verwalten ist. Wir reden die ganze Zeit von der technischen Seite, > Michael Neumayr (PingIdentity) fordert ein Konzept für Reseller. 17

18 Security Roundtable Smartphones müssten Normen geschaffen werden, meint Noack. Proprietäre Standards müssen für den Kunden simplifiziert werden, damit dieser sich orientieren kann. Bewusstsein schaffen > Michael Neumayr (PingIdentity; l.) und Axel Noack (NCP). merkt Ildikó Bruhns von Eset an. Ich glaube, dass die Unternehmen und Administratoren angesichts des Angebots überfordert sind und gar nicht recht wissen, was sie eigentlich machen sollen. Zumal das IT-Budget meist nicht besonders groß ist. Auch rechtliche Aspekte werden oft vernachlässigt. Bevor wir also Lösungen auf den Markt bringen, gilt es, den Anwender zu sensibilisieren. Auf Herstellerseite ist außerdem ganz klar Spezialisierung ein Thema, fügt F-Secure-Vertreter Trost hinzu. Man kann nicht auf allen Hochzeiten tanzen. Ein Grund, warum viele Hersteller mit anderen Partnern kooperieren. Wobei einige Hersteller genau diesen Umstand auch ausnutzen und Features mit eigenen Standards kreieren, um Wettbewerber auszubremsen. Ähnlich wie beim Ladestecker für Als Systemintegrator würde ich von den Herstellern Best-Practice-Beispiele erwarten, fordert Westen. Ein Enterprise-Unternehmen kann es sich vielleicht leisten, für jedes System einen eigenen Administrator zu haben, im Mittelstand oder kleinen Firmen sieht das jedoch anders aus. Hilfreich wären seiner Meinung nach unter anderem Trust Center, die sagen, ob eine App auf einem Firmengerät installiert werden kann ohne Schaden anzurichten. Heißt das Fazit also dummer Kunde, komplexes und riesiges Angebot und exorbitante Forderungen vom Gesetzgeber?, versucht Bergler die Teilnehmer des Roundtables ein wenig zu provozieren. Branche tritt sich gegenseitig auf die Füße Ich setze mir als Berater einfach einmal die Brille des Kunden auf, schlägt Peter Silberhorn von Silberhorn Consulting vor. Dann finde ich ein total fragmentiertes Informationsangebot vor, das technisch sehr speziell ist und bei dem die Anbieter sich gegenseitig noch dazu versuchen auszustechen. Gleichzeitig verstehen die Anwender vielfach gar nicht, dass sie das Thema Security nicht nur aus Unternehmenssicht sondern auch als Privatmensch tangiert. Die Branche steht sich also selber auf den Christain Lueg und Julia Molzen: G Data arbeitet daran, mobile Geräte einzubinden. 18

19 Roundtable Security Peter Silberhorn (Silberhorn Consulting; l.) und Sascha Plathen (McAfee; r.) hören Marcus Westen (ITConcepts) zu. Füßen, wenn sie das Thema den potenziellen Käufern nicht näherbringen kann. Jacobs, als Distributionsrepräsentantin, sieht diese Erklärungsverantwortung klar beim Channel: Wir als Distributor stehen zwischen Hersteller und Reseller entsprechend breit ist unser Portfolio. Distributoren und Hersteller sind gefordert, dem Fachhandel die nötigen Informationen an die Hand zu geben, damit diese ihre Kunden richtig beraten können. Das geschieht bei 8Soft über Schulungen, produktneutrale Beratung und technische Hotlines. Dazu muss der IT-Dienstleister natürlich auch den Schmerzpunkt seines Kunden kennen. Nur mit einem Produkt kann man die Sicherheit heute nicht gewährleisten, doch es bedarf auch keiner 15 verschiedener Lösungen, fährt Jacobs fort. Dennoch findet Silberhorn, dass ihm das Aufbereiten nach Bedarf für die Reselller fehlt. Die Cloud kommt Nur vereinzelte, spezialisierte Systemhäuser sind in der Lage, Security überhaupt an kleine Unternehmen zu verkaufen, so Micheal Neumayr von Ping- Identity. Noack denkt darüber anders: Es gibt eine Vielzahl von Systemhäusern, wie Cancom, Bechtle oder SSP-Europe, die das Thema Sicherheit abdecken. Letztendlich muss der Endanwender entscheiden, was er braucht: Für einen kleinen Bäckerbetrieb mag es günstiger sein, alles in die Cloud auszulagern, statt eine umfangreiche Sicherheitslösung anzuschaffen. Nern jedoch schlägt sich auf die Seite von Neumayr: Wir haben zwar einige hochspezialisierte Dienstleister, doch die meisten Reseller bieten keine Gesamtkonzepte, sondern sichern einzelne Geräte. Die größte Herausforderung für uns alle in diesem Raum wird deshalb die Umstellung des Geschäftsmodells des Händlers sein. Ziel des Fachhändlers sollte sein, Services zu verkaufen, die er mit dem Produkt kombiniert, und weniger der reine Produktvertrieb denn Security sei kein Produkt. Die Gefahr, dass die Hersteller den Fachhändlern das Geschäft wegnehmen, indem sie die Endkunden direkt angehen, sehen die Teilnehmer weniger. Allerdings drängen nun die ehemals klassischen TK- Provider auf den Markt. Beispielsweise bietet die Deutsche Telekom Mittelständlern Cyber Threat Detector und Cyber Defense an. Wobei Plathen beio den Security-Angeboten aus der Cloud in Deutschland eher Zurückhaltung sieht. Diese deutsche Eigenart findet sich nicht nur beim Kunden, sondern auch beim Händler: Die Cloud stellt den Reseller vor neue Herausforderungen. Nicht nur, dass er sein Geschäftsmodell ändern muss, sondern auch das Thema Abrechnung kommt zum Tragen, beschreibt Silberhorn das Dilemma. Der TK-Provider tut sich bei der Abrechnung leichter, da er solche Tarifmodelle von Anfang an im Portfolio hatte. Im Gegensatz dazu ist Lanhoff überzeugt, dass die Cloud nicht die Gefahr für den Channel ist: Die eigentliche Gefahr besteht darin, sich auf den Produktverkauf zu beschränken und keine Services anzubieten. Wir werden nicht dauerhaft an der Cloud vorbeikommen. Hersteller, Distributoren und Reseller müssen Cloud-Dienste in den verschiedenen Abrechnungsmodellen anbieten können. Doch letzten Endes muss der Reseller mehrere Produkte kennen, um daraus eine Security-Lösung für seinen Kunden konzipieren zu können. Ξ! INFO Security Zum Thema: 19

20 Advertorial Die digitale Welt sicher nutzen mit der Security Connected-Strategie von Intel Security Und warum kann das Web Gateway nicht eine Datei zur weiteren Analyse an eine Sandboxing-Lösung senden und alle Clients sofort informieren, sobald eine maliziöse Datei festgestellt wurde, sodass der Zugriff erst gar nicht erlaubt wird? Verbesserte Netzwerksicherheit dank McAfee Security Connected McAfee gehört jetzt zu Intel Security. Durch die Security Connected-Strategie, einem innovativen Ansatz für Hardware-unterstützte Sicherheitslösungen sowie das Global Threat Intelligence-Netzwerk, ist Intel Security voll und ganz darauf konzentriert, für die Sicherheit seiner Kunden zu sorgen. Dazu liefert Intel Security präventive, bewährte Lösungen und Dienste, mit denen Systeme, Netzwerke und Mobilgeräte von Privatanwendern und Unternehmen weltweit geschützt werden können. Intel Security verknüpft die Erfahrung und Fachkompetenz von McAfee mit der Innovation und bewährten Leistung von Intel, damit Sicherheit als essentieller Bestandteil jeder Architektur und Computerplattform eingebettet wird. Viele Unternehmen verlassen sich heute auf einen mehrschichtigen Ansatz zum Schutz der Ressourcen und des Netzwerks. Doch solange die Systeme nichts voneinander Wissen und keine Informationen austauschen, ist jedes Sicherheitsprodukt eine Insellösung, die Netzwerkumgebungen gegen die Bedrohungen von heute nicht umfassend schützen kann. Aber könnt der Netzwerkschutz nicht erhöht werden, wenn z.b. das IPS-System gewusst hätte, dass die Firewall die Kommunikation auch schon merkwürdig fand? Und hätte der Client den Zugriff auf die heruntergeladene Datei vielleicht geblockt, wenn dieser die Information gehabt hätte, dass die Datei von einer IP kommt, von der zuvor schon einmal Malware heruntergeladen wurde? In Unternehmen ist zwar meist ein mehrschichtiger Ansatz im Einsatz, doch die einzelnen Sicherheitskomponenten sind bei Entscheidungen auf sich allein gestellt: die Firewall arbeitet unabhängig von der IPS-Lösung, das IPS weiß nichts vom eingesetzten Gateway und das Gateway weiß nichts von der eingesetzten -Lösung. Und auch die Anti-Malware-Lösung auf dem Client tauscht keine Informationen mit anderen Produkten aus. Das McAfee Security Connected-Framework bildet hier eine Kommunikationsplattform für Produkte untereinander. Das Herzstück bildet dabei der Data Exchange Layer (DXL), der einen bidirektionalen Kommunikationskanal für den Austausch von Sicherheitsinformationen der einzelnen Komponenten in Echtzeit bietet.