OUT now im Confare Blog:
Human Firewall, Passworte und Darknet – Cybersecurity Trends und ihre Auswirkungen auf den Menschen
Cybersecurity ist heute eines der Schlüsselthemen auf der Agenda der Unternehmens-IT. Dementsprechend prominent ist das Thema auch auf dem wichtigsten IT-Management Treffpunkt Österreichs, dem Confare #CIOSUMMIT Wien vertreten. In der Fachausstellung präsentieren führende Anbieter wie colited, GoTo und Keeper ihre innovativen Dienstleistungen und Lösungen.
Im Vorfeld der Veranstaltung haben wir mit Daniel Holzinger, Gründer von colited über Passwortmanager, den Faktor Mensch und die strategischen Herausforderungen für Cybersecurity-Verantwortliche gesprochen.
Persönlich treffen Sie Daniel Holzinger und mehr als 700 hochkarätige IT-Profis aus dem DACH-Raum beim www.ciosummit.at – Die Anmeldung für Security- und IT-Verantwortliche ist nicht mit Kosten verbunden.
Das Thema Cybersecurity wird von colited auch in einer Webinar-Reihe vom 28. Februar bis 12. März aufgegriffen. Internationale C-Level Experten geben Einblicke in neue Wege, die zu einer verbesserten Cybersecurity beitragen. Weitere Informationen unter: https://www.colited.com/cybersecurity/webinar/
Was sind die wichtigsten Elemente einer zeitgemäßen Cybersecurity Architektur?
Daniel Holzinger von Colited: Das Thema Cybersecurity ist in den letzten Jahren immer komplexer geworden. Daher ist die Frage nicht in einem Satz zu beantworten. Erstaunlich finde ich jedenfalls, dass viel zu oft bekannte Schwachstellen ausgenutzt werden, obwohl diese mit einem verfügbaren Update geschlossen werden könnten. Es braucht auch eine Antwort auf die Fragen, was tun, wenn was passiert? Denn früher oder später wird was 
passieren und dann kommt es darauf an, dass richtig und schnell reagiert wird. Keinesfalls sollte man so einen Vorfall versuchen unter den Teppich zu kehren oder auf die lange Bank zu schieben. Darüber hinaus finde ich zwei Elemente besonders beachtenswert.
Erstens, wie kann die Anzahl der Phishing Angriffe reduziert werden? Vier von fünf Unternehmen in der DACH Region sind von erfolgreichen Angriffen über E-Mail betroffen. Es besteht also Handlungsbedarf. Konkret geht es darum, eine sehr hohe Erkennung von noch unbekannten und neuen Bedrohungen zu gewährleisten und die False Positive Rate zu senken. Dabei darf der administrative Aufwand aber nicht steigen. In Vergleichen mit einem unserer Partner haben wir festgestellt, dass für die False Positive Rate ein Wert von 0,75% nicht utopisch ist. In diesem Kontext spielt der Faktor Mensch natürlich auch eine große Rolle, den man auch als „menschliche Firewall“ bezeichnen könnte. Hier ist es wichtig, nicht nur einmal im Jahr eine verpflichtende Schulung, sondern kontinuierliches Lernen, angereichert mit Gamification-Elementen, anzubieten. Optimal wäre es auch, wenn simulierte Phishingangriffe zeigen, ob das Erlernte in der Praxis richtig angewandt wird.
Zweitens, wie gut habe ich als Sicherheitsverantwortlicher die Kontrolle über das Passwortverhalten der Mitarbeitenden im gesamten Unternehmen und wie gut sind die Zugänge der privilegierten Anwender geschützt? Einerseits gilt es beispielsweise RDP- und SSH-Verbindungen so zu schützen, dass Zugangsdaten zu On-Prem- und Cloud-Infrastrukturen rotieren und damit nicht statisch sind. Zugangsdaten spielen aber nicht nur in der Zusammenarbeit zwischen Menschen und Maschinen eine wichtige Rolle, sondern werden in der Kommunikation zwischen zwei Systemen gerne „übersehen“ und stellen dadurch ein erhebliches Sicherheitsrisiko dar. Und ohne einen Passwortmanager wäre für mich die Verwaltung der unzähligen privat und beruflich erforderlichen Zugangsdaten überhaupt nicht mehr vorstellbar.
Welche Rolle spielen Passwörter in der aktuellen Cybersicherheitslandschaft und wie verändert sich das?
Daniel Holzinger von Colited: Es werden immer mehr Passwörter, die sicher verwaltet werden müssen! Das ist, bezogen auf die Sicherheit, leider eine negative Entwicklung, die sich so schnell vermutlich nicht ändern wird. Gerade in den letzten Jahren hat die Anzahl an mobilen Endgeräten und Anwendungen besonders stark zugenommen. An den Herausforderungen hat sich aber nichts geändert: Passwörter sollten möglichst lange sein, hochkomplex und natürlich eindeutig. Viele Studien zeigen aber, dass Passwörter oft sehr einfach sind und leider auch viel zu oft wiederverwendet werden. Die Studien muss man zum Teil aber etwas relativieren, da nicht jedes System den gleichen Schutzbedarf hat. Für den Pay-TV Anbieter seines Vertrauens wird in vielen Fällen vermutlich kein hochkomplexes Passwort zum Einsatz kommen. Passwörter für E-Commerce, Social Media und rein beruflich genutzte Services erfordern hier schon ein ganz anderes Schutzniveau. Aber: ein Passwort für mehrere Zugänge zu nutzen ist in keinem Fall eine gute Idee. Mittlerweile befinden sich aus früheren Verstößen rund 26 Milliarden Passwörter und Logininformationen im Darkweb. Hilfreich ist es natürlich, wenn ein Passwortmanager kontinuierlich prüft, ob Informationen über einen selbst im Darkweb vorhanden sind. Eine Alternative für Passwörter sind Passkeys, die schrittweise immer mehr Akzeptanz bekommen und auch wesentlich sicherer sind. Die Frage, wie die Verwaltung von Passkeys sicher funktioniert, lässt sich jedenfalls leicht beantworten. Mit einem Passwortmanager!
Gibt es Abseits der bereits angeschnittenen Elemente noch Bereiche, die einer besonderen Aufmerksamkeit bedürfen?
Daniel Holzinger von Colited: Grundsätzlich ist unsere Welt in einem starken Wandel. VUCA ist ein Begriff, der mir dazu einfällt und die Welt, in der wir leben gut beschreibt. Cyberkriminalität hat sich in den letzten Jahren stark professionalisiert, sich an die neuen flexiblen Arbeitsmodelle angepasst und an Dynamik gewonnen. Das Schadensausmaß ist dabei enorm. Bedingt durch den starken Wandel, sind bestehende Systeme immer wieder dahingehend zu prüfen, ob sie den gestiegenen Schutzanforderungen überhaupt noch gerecht werden. Bei all den Themen, die heute auf der Agenda von Sicherheitsverantwortlichen stehen, eine heraufordernde Aufgabe. Bei diesen Systemen handelt es sich nämlich nicht nur um selbstentwickelte Anwendungen, sondern auch um Standardlösungen, wie beispielswiese für den Remote-Support. In einem Remote-Support-Szenario gilt es, bösartige Akteure abzuwehren und Konten durch eine umfassende Berichterstattung und Änderungsnachverfolgung zu schützen. Pin-Codes, IP-Beschränkungen und das Blockieren von Supportaktionen für alle Personen außerhalb der Organisation sollen heute ebenso Standard sein. Das Beispiel zeigt sehr schön, dass vermeintlich gelöste Themen ein potenzielles Sicherheitsrisiko darstellen können.
Welche Bedeutung hat die Human Xperience dabei?
Daniel Holzinger von Colited: Der Mensch im Mittelpunkt war ja bereits bei einem Confare #CIOSUMMIT ein Leitgedanke. Im Kontext Cybersecurity hat der Mensch eine besonders bedeutende Rolle, wird er doch oft als das schwächste Glied bezeichnet. Maßnahmen sollten die Arbeit im Idealfall nicht einschränken, sondern es den Anwendern einfacher machen. Ein konkretes Beispiel sind Passwörter: Wer hat sich noch nie über ein vergessenes Passwort geärgert? Mit einem modernen Passwortmanager stehen alle Passwörter und Geheimnisse wie bspw. Kreditkarteninformationen auf jedem Gerät zur Verfügung. Dabei ist es leicht, dass jedes Passwort eindeutig, lange und komplex ist. Ein anderes Beispiel sind die zuvor erwähnten simulierten Phishingangriffe. Klickt ein Anwender auf solch ein E-Mail, ist es nicht empfehlenswert mit erhobenen Zeigefinder Besserung einzufordern. Besser ist es, dem Anwender in einem interaktiven E-Mail mittels Ad-hoc Feedback aufzuzeigen, wie dieser in Zukunft Phishingmails besser erkennt und welche Tricks und Methoden angewendet werden. Im Idealfall bekommen Sicherheitsverantwortliche spezifische Einsicht in die Sicherheitskultur des Unternehmens. Dabei ist es nicht mal erforderlich zu wissen, welche Einzelperson auf eine simulierte Phishingmail geklickt hat. Die aggregierten Daten geben Auskunft, wie gut die Lerninhalte verstanden wurden. Für die Anwender muss es also so einfach wie nur möglich sein, Sicherheitslösungen in den Arbeitsalltag zu integrieren und auch das kontinuierliche Lernen soll nicht als lästige Pflicht verstanden werden. Gamification bringt hier jedenfalls neben einem verbesserten Bewusstsein auch eine Portion Spaß und Motivation mit und trägt am Ende des Tages zu einer verbesserten Cybersicherheit bei.
Ein Blick in die Zukunft! Welche Elemente werden in Zukunft verstärkt ein Thema sein?
Daniel Holzinger von Colited: Künstliche Intelligenz und Quantencomputer werden einen noch stärkeren Einfluss haben. Darüber hinaus gilt es zusätzliche Endgeräte für „Spatial Computing“ einzubinden. Gemeinsam mit unseren Partnern beschäftigen wir uns intensiv mit diesen Zukunftsthemen und werden diese Aspekte auch im Rahmen unserer Webinar-Reihe besprechen.
Das Thema Cybersecurity wird von colited auch in einer Webinar-Reihe vom 28. Februar bis 12. März aufgegriffen. Internationale C-Level Experten geben Einblicke in neue Wege, die zu einer verbesserten Cybersecurity beitragen. Weitere Informationen unter: https://www.colited.com/cybersecurity/webinar/
Gender-Hinweis:
Zur besseren Lesbarkeit dieses Blogartikels verwenden wir das generische Maskulinum. Die in diesem Blogartikel verwendeten Personenbezeichnungen beziehen sich – sofern nicht anders kenntlich gemacht – auf alle Geschlechter.