Sicherheit und Verantwortung im Cyber-Raum

Transkript

1 Sicherheit und Verantwortung im Cyber-Raum

2 TOP 6 DER AKTUELLEN CYBER-ANGRIFFSFORMEN» Gezieltes Hacking von Webservern mit dem Ziel der Platzierung von Schadsoftware oder zur Vorbereitung der Spionage in angeschlossenen Netzen oder Datenbanken» Drive-by-Exploits zur breitflächigen Infiltration von Rechnern mit Schadsoftware beim Surfen mit dem Ziel der Übernahme der Kontrolle des betroffenen Rechners» Gezielte Malware-Infiltration über und mithilfe von Social Engineering mit dem Ziel der Übernahme der Kontrolle über den betroffenen Rechner und anschließender Spionage» Distributed Denial of Service-Angriff mittels Botnetzen mit dem Ziel der Störung der Erreichbarkeit von Webservern oder der Funktionsfähigkeit der Netzanbindung der betroffenen Institution» Ungezielte Verteilung von Schadsoftware mittels SPAM oder Drive-by-Exploits mit Fokus auf Identitätsdiebstahl» Mehrstufige Angriffe, bei denen beispielsweise zunächst zentrale Sicherheitsinfrastrukturen (wie TLS/SSL-Zertifizierungsstellen) kompromittiert werden, um dann in weiteren Schritten die eigentlichen Ziele anzugreifen Bisher ist ja auch nichts passiert. Bisher. 2

3 70 Prozent aller größeren Unternehmen in Deutschland waren bereits von einem Cyber-Angriff betroffen 1 U N T E R N E H M E N S R I S I K O Viele Geschäftsprozesse hängen heute vom verlässlichen und fehlerfreien Funktionieren der Informations- und Kommunikationstechnik ab. Viele Ratingagenturen bewerten daher die Sicherheit der Informationstechnik schon als Teil der operationellen Risiken eines Unternehmens. Die tatsächlichen Bedrohungen, ebenso wie die Schadenshöhe erfolgreicher Cyber-Angriffe, sind nicht immer offensichtlich: So sind beispielsweise die Konsequenzen eines Know-how-Diebstahls möglicherweise erst sehr viel später erkennbar. Heute kann sich keine Branche und kein Unternehmen vor Cyber-Angriffen sicher wähnen, das zeigen die zahlreichen Vorfälle der jüngeren Zeit. Umfragen zufolge waren bereits über 70 Prozent der größeren Unternehmen in Deutschland von einem Cyber-Angriff betroffen. 1 Dabei nehmen Anzahl, Komplexität und Professionalität der Angriffe zu. Die trotzdem in vielen Unternehmen immer noch verbreitete Einstellung Bisher ist ja auch nichts passiert kann daher schnell zu ernsthaften Problemen führen, wenn die bestehenden Sicherheitskonzepte nicht kontinuierlich und angemessen an die geänderte Bedrohungslage angepasst werden. Unabhängig davon nimmt die Anzahl der Bedrohungen stetig zu, womit auch die Wahrscheinlichkeit, dass ein Unternehmen im Kontext eines Cyber-Angriffs betroffen ist, rasant ansteigt. Je nach Abhängigkeit von der IT kann die Unternehmenstätigkeit komplett zum Stillstand gebracht werden mit allen Konsequenzen, die damit verbunden sind. Cyber-Sicherheit sollte daher Chefsache sein. Sie erfordert den Einsatz angemessener Ressourcen und sollte fester Bestandteil des unternehmerischen Risikomanagements sein. 1 Allensbach-Studie (2011), Symantec State of Security Survey (2011) 3

4 Sicherheit ist keine Illusion, aber Arbeit. harte UNBEMERKT AUSSPIONIERT Durch professionelle Cyber-Angriffe gelingt es sowohl Kriminellen als auch anderen Staaten, meist unerkannt in die Unternehmens-IT einzudringen und das Unternehmen zu sabotieren oder sensible Daten zu entwenden. DAS SIND ZOMBIE-PCS Cyber-Angriffe gehen unter anderem von Armeen gehackter Fremdrechner aus, die von Angreifern zu so genannten Botnetzen zusammengeschaltet und ferngesteuert werden. 4

5 Angriffe aus dem Cyber-Raum sind eine Bedrohung für jedes Unternehmen 2 H I N T E R G R Ü N D E Unter Cyber-Angriffen werden vorsätzlich herbeigeführte Beeinträchtigungen des korrekten und verlässlichen Funktionierens der Informationstechnik (IT) verstanden, die aus dem Cyber-Raum erfolgen. Cyber-Angriffe können sowohl die Verfügbarkeit von Diensten oder Geschäftsprozessen beeinträchtigen, als auch die Störung von Produktionsprozessen, die Gewinnung von vertraulichen Entwicklungsdaten oder die Destabilisierung von Kommunikationsnetzen zum Ziel haben. Hinter Cyber-Angriffen können sich sehr unterschiedliche Interessengruppen verbergen: Organisierte Kriminalität, Mitbewerber oder von Mitbewerbern beauftragte Unternehmen, ausländische Nachrichtendienste, politisch motivierte Hacktivisten oder auch terroristische Gruppierungen. Das Ziel von Cyber-Angriffen ist in der Regel entweder die Verursachung eines größtmöglichen Schadens bei dem betroffenen Unternehmen, in der jeweiligen Branche oder der betroffenen Infrastruktur, oder aber die Erzielung eines größtmöglichen Profits. Cyber-Angriffe benötigen keinen unmittelbaren Zugang zum Zielsystem oder aufwändige Technik. Sie können praktisch von jedem Ort der Welt mit einem Internet-Zugang durchgeführt werden. Da seit einigen Jahren auch immer mehr wirtschaftlich interessante kriminelle Geschäftsmodelle entdeckt werden, steigt die Zahl der möglichen Motive der Angreifer: Neben der Wirtschaftsspionage und Sabotage treten heute auch Manipulation, Betrug, Diebstahl und Erpressung im IT-Bereich auf. 5

6 Ist morgen noch sicher, was heute sicher ist? SIND MOBILE SYSTEME SICHER VOR MISSBRAUCH? Durch die Einführung von Laptops, Smartphones und Tablets wurden bisher abgeschottete Unternehmensnetze nach außen geöffnet. SIND DIENSTE, DIE ÜBER DAS INTERNET ABGERUFEN WERDEN, SICHER? SIND NEUE ABHÄNGIGKEITEN BEKANNT UND HINSICHTLICH DES RISIKOS BEWERTET? In wachsendem Umfang implementieren Unternehmen in ihren Geschäftsprozessen Dienste und Anwendungen, die nur über das Internet abgerufen oder genutzt werden können. IST EIN ANGRIFF ÜBER FERNZU- GÄNGE INS UNTERNEHMENSNETZ MÖGLICH? Unternehmen sollten über eine genaue Übersicht aller externen Zugriffsberechtigungen verfügen, diese regelmäßig kontrollieren sowie deren Erforderlichkeit überprüfen. SIND DIE MITARBEITER FÜR DIE GEFAHR EINES CYBER-ANGRIFFS SENSIBILISIERT? Professionelle Cyber-Angriffe werden von Virenschutzprogrammen oftmals nicht erkannt. Daher ist das Bewusstsein der Mitarbeiter eines Unternehmens für diese Thematik unerlässlich. WERDEN NOTFALLÜBUNGEN DURCHGEFÜHRT? Im Fall eines Cyber-Angriffs ist eine schnelle und angemessene Reaktion entscheidend. WIRD DAS SICHERHEITSKONZEPT AN AKTUELLE ENTWICKLUNGEN ANGEPASST? Angesichts der schnellen technischen Weiterentwicklung und Aufrüstung der Angreifer müssen Sicherheitskonzepte heute häufiger an aktuelle Entwicklungen angepasst werden. 6

7 Was heute noch als sicher gilt, kann schon morgen unzureichend sein 3 H E R A U S F O R D E R U N G E N Die Globalisierung findet ihre technische Entsprechung in der zunehmenden Vernetzung von IT-Systemen weltweit und in immer mehr Lebensbereichen. Diese Entwicklung hat nicht nur zu einer erhöhten Effizienz einzelner Geschäftsprozesse geführt, sondern erlaubt auch die unternehmensübergreifende Optimierung und Steuerung über lange Liefer- und Prozessketten. Zugleich ist damit die Verletzlichkeit der Unternehmen gewachsen, denn die starke Abhängigkeit und Verzahnung von IT-Systemen und -Prozessen macht die Geschäftsprozesse anfälliger für Cyber-Angriffe. Zugleich lässt sich bei Cyber-Angriffen eine andauernde Weiterentwicklung und Professionalisierung beobachten. Damit steigt auch die Höhe des Schadens, die ein erfolgreicher Cyber-Angriff verursachen kann. Der Fall Stuxnet hat gezeigt, dass es Schadprogrammen gelingen kann, sogar spezielle Systeme zur Überwachung und Steuerung technischer Prozesse (SCADA-Systeme) zu kompromittieren. Angesichts einer dynamischen Bedrohungslage sollten die von Unternehmen umgesetzten Sicherheitsmechanismen einer permanenten Kontrolle und Weiterentwicklung unterzogen werden. Ein Cyber-Sicherheitszyklus für ein effizientes und erfolgreiches Sicherheitsmanagement gegen Angriffe aus dem Cyber-Raum ist Voraussetzung, um das Unternehmensrisiko richtig einschätzen zu können. 7

8 Kann ich die Zukunft sicherer machen? Cyber-Sicherheit kann nur in einem umfassenden Ansatz verfolgt werden. Dies erfordert die weitere Intensivierung des Informationsaustausches und der Koordinierung. Staat, Kritische Infrastrukturen, Wirtschaft und Bevölkerung in Deutschland sind als Teil einer zunehmend vernetzten Welt auf das verlässliche Funktionieren der Informations- und Kommunikationstechnik sowie des Internets angewiesen. Die Gewährleistung von Cyber-Sicherheit wird zur zentralen gemeinsamen Herausforderung für Staat, Wirtschaft und Gesellschaft im nationalen und internationalen Kontext. Wir werden in gemeinsamen Initiativen mit gesellschaftlichen Gruppen für eine zielgerichtete Bündelung von Informations- und Beratungsangeboten sorgen. ZITATE AUS DER CYBER-SICHERHEITSSTRATEGIE FÜR DEUTSCHLAND 8

9 Gemeinsam Sicherheit schaffen 4 K O O P E R A T I O N Die Bedrohungen aus dem Cyber-Raum sind real. Um Cyber-Angriffen wirksam zu begegnen, ist eine intensive Kooperation von Staat und Wirtschaft erforderlich. Es gilt, vorhandenes Wissen zu bündeln, um angesichts neuer Angriffsszenarien vorbereitet zu sein. Im Rahmen des Umsetzungsplans KRITIS (UP KRITIS) kooperiert das BSI bereits seit 2007 intensiv mit Betreibern Kritischer Infrastrukturen. Die Cyber-Sicherheitsstrategie für Deutschland, die im Februar 2011 von der Bundesregierung beschlossen wurde, ermöglicht es Staat, Wirtschaft und Privatanwendern, im Rahmen ihrer jeweiligen Verantwortungsbereiche und Handlungsmöglichkeiten aktuellen und künftigen Bedrohungen aus dem Cyber-Raum begegnen zu können. Cyber-Sicherheit wird dabei durch die im Vordergrund stehenden zivilen Ansätze und Maßnahmen als Teil der gesamtstaatlichen Sicherheitsvorsorge verankert. Bei den Kritischen Informationsstrukturen steht die stärkere Verzahnung von Staat und Wirtschaft auf der Grundlage eines intensiven Informationsaustausches im Mittelpunkt. Das BSI ist daran an zentraler Stelle beteiligt. 9

10 Mehr Sicherheit gemeinsam erreichen. Die Schaffung von mehr Cyber-Sicherheit ist eine Gemeinschaftsaufgabe von Staat, Wirtschaft und Wissenschaft. Je mehr Informationen ausgetauscht werden desto vollständiger wird das aktuelle Lagebild. Und von diesem Wissen können dann alle profitieren. 10

11 Allianz für Cyber-Sicherheit 5 E N G A G E M E N T Die auf der CeBIT 2012 angekündigte Allianz für Cyber-Sicherheit will insbesondere Unternehmen außerhalb der Kritischen Infrastrukturen verstärkt zur Mitwirkung für mehr Cyber-Sicherheit in Deutschland gewinnen. Im Rahmen der Allianz entwickelt das BSI mit Partnern aus Wirtschaft, Wissenschaft und Verwaltung zielgruppengerechte Informationen und Lösungsangebote und stellt diese der Wissenschaft zur Verfügung. Das BSI nimmt dabei wie beim UP KRITIS eine koordinierende Rolle ein und bringt praxisorientierte Empfehlungen, Warnungen, Analysen sowie Hintergrundinformationen in die Zusammenarbeit mit den Unternehmen ein. Wichtige Grundlage dafür ist die Beobachtung und kontinuierliche Fortschreibung des aktuellen Lagebilds. Wirtschaftsunternehmen sind aufgerufen, sich aktiv im UP KRITIS sowie in der Allianz für Cyber-Sicherheit einzubringen und den Erfahrungsaustausch zu stärken. Indem sie dem BSI beispielsweise mitteilen, mit welchen neuartigen Bedrohungen oder IT-Sicherheitsvorfällen die Unternehmen konfrontiert sind, tragen sie zur Erstellung eines vollständigen Lagebilds bei und helfen dabei, noch zielgerichteter gegen Cyber-Angriffe agieren zu können. Gleichzeitig profitieren auch die Unternehmen von gemeinsam gewonnenen Erkenntnissen und Erfahrungen. Das BSI freut sich auf Ihre Kontaktaufnahme und einen angeregten Austausch. Sie erreichen uns per unter cs-info@bsi.bund.de oder über die Webseite der Allianz für Cyber-Sicherheit ( Als Ansprechpartner steht Ihnen Herr Dr. Hartmut Isselhorst, Abteilungsleiter im BSI, mit den Mitarbeiterinnen und Mitarbeitern der Abteilung Cyber-Sicherheit, gerne zur Verfügung. 11

12 Herausgeber Bundesamt für Sicherheit in der Informationstechnik BSI Bonn Layout und Gestaltung neolog DauthKaun Druck Druckpartner Moser Druck + Verlag GmbH Rheinbach Stand September 2012 Artikelnummer BSI-MIBro12/801 Bezugsquelle Bundesamt für Sicherheit in der Informationstechnik BSI Godesberger Allee Bonn Tel.: bsi@bsi.bund.de Internet: Diese Broschüre ist Teil der Öffentlichkeitsarbeit des BSI; sie wird kostenlos abgegeben und ist nicht zum Verkauf bestimmt.