Warum ein gesamtgesellschaftlicher Ansatz zur Bekämpfung von Cyberbedrohungen erforderlich ist

Während eines Großteils des 21. Jahrhunderts waren wir gegenüber Bedrohungsakteuren im Rückstand. Wenn die Strafverfolgungsbehörden also größere „Zerlegungen“, „Störungen“ und Verhaftungen bekanntgeben, ist es leicht, sich mitreißen lassen. Interpol begrüßte vor Kurzem beispielsweise die Festnahme einer mutmaßlichen Schlüsselfigur der OPERA1ER-Bande. Die Wahrheit ist jedoch, dass es sich hierbei meistens um Einzelerfolge in einer ansonsten unveränderten Landschaft handelt. Unsere Gegner haben immer noch die Oberhand.

Doch dies muss nicht die Geschichte des nächsten Jahrzehnts sein. Mit einem größeren Engagement der Regierung, einem stärkeren Fokus auf Cyber-Hygiene und mehr öffentlich-privaten Partnerschaften bietet sich eine großartige Gelegenheit, die Initiative zurückzugewinnen.

Die neue Grenze der Cyberkriminalität

Die Cloud ist für die meisten Unternehmen die Zukunftsrichtung. Gartner schätzt, dass die weltweiten Ausgaben für öffentliche Cloud-Services in diesem Jahr um fast 21 % auf 592 Milliarden USD steigen werden. Separate Daten von Flexera zeigen, dass 72 % der globalen Unternehmen eine hybride Strategie verfolgen und 87 % in Multicloud-Umgebungen investieren. Aber wo auch immer Daten und Benutzer hingehen, werden Bedrohungsakteure mit Sicherheit folgen.

Das geht aus einer aktuellen Umfrage unter 3.000 IT- und Security-Experten in 18 Ländern hervor, die einen dramatischen Anstieg der in der Cloud gespeicherten sensiblen Daten im vergangenen Jahr ergab. Konkret sagen 75 % der Befragten, dass mehr als 40 % der in diesen Umgebungen gespeicherten Daten „sensibel“ sind, im Vergleich zu 39 % im Vorjahr. Gleichzeitig liegt der Anteil derjenigen, die zugeben, im Jahr 2022 einen Cloud-Datenverstoß erlebt zu haben, bei 39 %, gegenüber 35 % im Jahr 2021.

Die Herausforderung ist sowohl menschlicher als auch technischer Natur. Die Hauptursache für diese Datenverletzungen ist menschliches Versagen (55 %), an zweiter Stelle folgt die Ausnutzung von Schwachstellen (21 %).

Eine Wirkung erzielen

Bedrohungsakteure, die auf diese und lokale Umgebungen abzielen, haben den Vorteil der Überraschung. Und sie verfügen über immer bessere Ressourcen und nutzen Service-basierte Angebote, die im Darknet kostenlos verfügbar sind und die Eintrittsbarriere für viele Angriffe senken. Aber einige Unternehmen machen es ihren Online-Gegnern immer noch zu leicht.

Es gibt mehrere grundlegende Cyber-Hygienemaßnahmen, die, wenn sie massenhaft übernommen werden, erhebliche Auswirkungen auf die Security-Lage haben könnten. Dinge wie Multifaktor-Authentifizierung (MFA), Verschlüsselung sensibler Daten, regelmäßige Schulungen zur Stärkung des Risikobewusstseins mit Phishing-Simulationen, kontinuierliche Schwachstellen- und Patch-Management-Programme und mehr können alle als schnelle Erfolge gelten. Das britische National Cyber Security Centre (NCSC) hat sie in diesem praktischen „10 Schritte“-Dokument aufgeführt, während es in den USA den CISA-Leitfaden Cyber Essentials gibt.

Wenn sich jedes Unternehmen die Zeit nehmen würde, zumindest einige der Schritte durchzuführen, würde dies die Monetarisierung von Angriffen für viele Cyberkriminelle am unteren Ende der Komplexitätsskala erheblich erschweren. Fügen Sie zusätzliche Kontrollen wie Web Application Firewalls (WAFs) und Zero Trust Network Access (ZTNA)hinzu und sie haben eine solide Grundlage für die Minderung vieler der im Bericht oben beschriebenen Cloud-Risiken.

Eine Rolle für die Regierung

Aber wir können noch mehr tun. Nicht nur Netzwerkverteidiger sollten die Belastung tragen müssen. Insbesondere diejenigen in SMBs sind oft unterbesetzt und überlastet. Hier kann die Regierung eine Rolle spielen. Einer der wenigen Bereiche, in denen das Vereinigte Königreich in dieser Hinsicht wirklich weltweit führend ist, ist die Initiative Active Cyber Defence (ACD) des NCSC. Im sechsten Jahr seines Bestehens hat sich das Programm von seinem anfänglichen Schwerpunkt auf die Sicherheit des öffentlichen Sektors auf den Schutz der Unternehmen und Verbraucher des Landes ausgeweitet. Es geht darum, die Cyber-Expertise des Staates zu nutzen und Automatisierung einzusetzen, um mehr dieser schnellen Erfolge zu erzielen. Es beinhaltet Dinge wie:

• Einen Meldedienst für verdächtige E-Mails (SERS), mit dessen Hilfe das NCSC seit April 2020 fast eine Viertelmillion bösartiger Website-Links aus dem Internet entfernt hat
• einen E-Mail-Prüfdienst, der die Einhaltung von DMARC und anderen E-Mail-Anti-Spoofing-/Datenschutzkontrollen verbessern soll
• einen Web-Prüfdienst, der die Websites der Teilnehmer automatisch auf bekannte Schwachstellen und Fehlkonfigurationen scannt
• einen Protection-Domain-Name-Service (PDNS), der DNS-Abfragen für verdächtige Domains blockiert
• Einen Frühwarndienst, der die Netzwerke von Organisationen auf Anzeichen von Malware, Schwachstellen und verdächtige Hosts scannt

Eine Frage der nationalen Sicherheit

Die Verluste durch Cyberkriminalität durch dem FBI gemeldete Straftaten beliefen sich im vergangenen Jahr auf über 10 Milliarden USD. Das Ausmaß dieser Verluste und das Risiko für kritische Infrastruktur-Services durch Ransomware haben dies zu einer dringenden Angelegenheit der nationalen und wirtschaftlichen Sicherheit gemacht. Daher ist es sinnvoll, dass Regierungen ihre Expertise in der Bedrohungsabwehr, wie die des NCSC, stärker nutzen, um die grundlegende Security zu verbessern. Wo es Lücken gibt, wie bei den Kenntnissen und Fähigkeiten der Strafverfolgungsbehörden, sollte der Privatsektor als williger und fähiger Partner willkommen sein. Europol arbeitet bereits mit mehreren Security-Anbietern zusammen, darunter Barracuda, beispielsweise bei der Initiative No More Ransom. Wir brauchen mehr davon.

Bedrohungsakteure sind auf dem Vormarsch. Aber es muss nicht für immer so bleiben. Mit einem gesamtgesellschaftlichen Ansatz von Strafverfolgungsbehörden, Security-Anbietern, Security-Teams und Verbrauchern können wir eine Veränderung zum Positiven herbeiführen. Es wird eine fortlaufender Prozess sein, aber der potenzielle Gewinn ist zu groß, um ihn zu ignorieren.