Unser Experte Carsten Marmulla im Interview
Was sind die Take-Aways im Bereich der IT-Sicherheit im vergangenen Jahr?
Wir haben in den letzten beiden Jahren nochmals eine Verschärfung der Bedrohungslage beobachten können, da die anhaltende Pandemie-Situation einerseits eine erhöhte Belastung für alle Beteiligten zur Folge hat, aber auch einige als gegeben anzusehende Schutzmechanismen ausgehebelt hat – beispielsweise dadurch, dass viele nun regelmäßig bis dauerhaft im Home-Office arbeiten und nicht mehr im besser geschützten Unternehmensnetz. Somit ist die Wahrscheinlichkeit auch vom Grundrauschen der Cyberangriffe wie Spam oder Phishing betroffen zu sein, deutlich erhöht worden. Insbesondere gilt dies für Organisationen, die zuvor eher zurückhaltend beim Einsatz von Telearbeit und Home-Office gewesen sind, tendenziell also auch für mittelständische Unternehmen in Deutschland.
Das zweite prägende Thema dieses Jahres war die Verwundbarkeit der Lieferketten – nicht nur, was die Versorgung mit Chips in einigen Branchen betrifft, sondern aus Perspektive der Cybersicherheit eher die Angriffe auf Organisationen über externe Dienstleister (Vendoren, Third Parties) – als Beispiele sind hier die Cyberangriffe über die Lösungen von Solarwinds und Kaseya zu nennen und im Dezember auch die Ausnutzbarkeit der Schwachstelle in Log4j. Teilweise waren offenbar selbst die Angreifer über das erzielbare Ausmaß der möglichen Kompromittierungen erstaunt. Dies zeigt sehr deutlich, dass hier seitens des IT-Risikomanagements sowohl auf Anbieter- als auch auf Kundenseite noch Optimierungsbedarf existiert.
Was sind die großen Herausforderungen für Unternehmen im Jahr 2022?
Die bereits beschriebenen Angriffe über die IT-Lieferkette werden vermutlich ein neuer Trend werden, der uns 2022 verstärkt begegnen wird. Gerade die Bedrohung durch Log4shell muss als finaler Warnschuss angesehen werden. Fehlende Kontrolle von Komponenten Dritter kann verheerende Folgen für den Fortbestand der Organisation haben. Die Verbreitung von solchen Bibliotheken ist für Anwenderunternehmen zudem nicht trivial zu identifizieren und in größeren und üblicherweise dynamisch wachsenden Infrastrukturen nur aufwendig zu migrieren. Es ist zu erwarten, dass wir noch einige tickende Zeitbomben in zahlreichen Softwareprodukten haben, die bislang über einen langen Zeitraum unentdeckt geblieben sind.
Gerade weil die Geschwindigkeit in der Softwareentwicklung stetig zunimmt, die Komplexität der Infrastrukturen weiter steigt und die Verfügbarkeit von IT-Fachkräften weiterhin kritisch ist, muss die Aufgabe der nächsten Jahre für Anwenderunternehmen in der Forcierung von Standardisierung und Automatisierung bestehen. Ansonsten kann weder ein ordnungsgemäßer IT-Betrieb sichergestellt werden noch ein angemessenes Schutzniveau gegen Cyberangriffe realisiert werden.
Worauf freust du dich im kommenden Jahr und was bereitet dir Bauchschmerzen?
Ohne Bauchschmerzen und die ein oder andere schlaflose Nacht geht es vermutlich in der Cybersicherheit nicht – das gehört vermutlich noch einige Zeit zum Berufsrisiko in dieser Branche. Über die letzten 15 Jahre kann ich grundsätzlich eine positive Entwicklung feststellen, dies äußert sich beispielsweise darin, dass Themen wie Mitarbeitersensibilisierung in den Anwenderunternehmen einen höheren Stellenwert eingenommen haben und nicht ausschließlich und blind in die Wirksamkeit von einzelnen technischen Maßnahmen vertraut wird. Einige Unternehmen denken hier bereits strategisch und ganzheitlich, leider ist aber immer noch das Thema Cybersicherheit bei Organisationen sehr auf die IT-Abteilung fokussiert. Deshalb ist es aus meiner Sicht von elementarer Bedeutung, dass wir nicht nur über IT-Sicherheit – also der Absicherung von IT-Systemen, -Netzen und Anwendungen sprechen, sondern ein Bewusstsein für das Risikomanagement im Umgang mit Technologien in der Unternehmensführung schärfen. Ich freue mich im nächsten Jahr darauf, dass wir mit unserem Team einen Beitrag dazu leisten können, Anwenderunternehmen besser vor drohenden Cyberangriffen zu schützen.
Über den Autor:
Carsten Marmulla ist Gründer und Geschäftsführer carmasec GmbH