Cloud-Risiken werden immer noch unterschätzt

In einem durchschnittlichen Unternehmen sind 157.000 sensitive Datensätze durch SaaS-Freigabefunktionen für jeden im Internet zugänglich. Diese enorme Gefährdung ist auch deshalb möglich, weil es die SaaS-Anbieter den Usern leicht machen, Daten ohne die Hilfe oder Anleitung der IT-Abteilung zu teilen. Sie müssen nur auf „Teilen“ klicken und schon sind sie für andere zugänglich. Und genau dies tun Mitarbeitende in großem Umfang: Im Durchschnitt werden pro Unternehmen mehr als 27.000 Freigabelinks allein in Microsoft 365 erstellt. Fast die Hälfte dieser Links ermöglicht jedem Mitarbeitenden den Zugriff. Dies führt nicht nur zu einem hohen Datenrisiko, sondern auch zu einer äußerst komplexen Berechtigungsstruktur. Ein durchschnittliches Unternehmen verfügt über mehr als 40 Millionen eindeutige Berechtigungen für SaaS-Anwendungen. Dadurch sind Sicherheitsverantwortliche kaum in der Lage, die Cloud-Datenrisiken zu überwachen und entsprechend zu reduzieren. 

Defizite lassen sich aber auch bei den Grundlagen der Cybersicherheit feststellen. Eine der elementaren Sicherheitspraktiken ist die Multi-Faktor-Authentifizierung (MFA). Allerdings ist diese bei tausenden Konten (durchschnittlich 4.468) nicht erforderlich. Noch schlimmer: Mehr als die Hälfte (55 Prozent) der Administrator-Konten erfordern keine MFA.

Schwach geschützte Konten mit umfangreichen Zugriffsrechten sind Zeitbomben für die Datensicherheit und ihr Explosionsradius, also das Schadenspotenzial nach einer Kompromittierung, ist enorm. Die wesentlichen Fragen dabei lauten: Wenn ein einzelnes Konto oder Gerät kompromittiert wird, wie viel Schaden kann es anrichten und wie gut sind Sicherheitsverantwortliche in der Lage, den Schaden zu begrenzen?

Es geht längst nicht mehr darum, zu verhindern, dass man zum Opfer eines Cyberangriffs wird. Der wesentliche Punkt ist vielmehr, wie man den Schaden möglichst gering halten kann. Es geht darum, die Hürden für Cyberkriminelle zu erhöhen und schnell reagieren zu können. Wesentlich sind dabei die folgenden Punkte:

• Reduzieren Sie den Explosionsradius. Minimieren Sie den Schaden, den Angreifer anrichten könnten, indem Sie den Zugriff auf Ihre wichtigen Daten einschränken und sicherstellen, dass Mitarbeitende, Partner und Auftragnehmer nur auf die Daten zugreifen können, die sie für ihre Arbeit tatsächlich benötigen.
• Finden Sie Ihre kritischen Daten (und Passwörter). Ermitteln und identifizieren Sie kritische Daten, die einem Risiko ausgesetzt sind. Scannen Sie nach allem, wonach Angreifer suchen, einschließlich persönlicher Daten, Finanzdaten und Passwörter.
• Setzen Sie auf MFA. Laut CISA-Direktorin Jen Easterly reduziert sich die Wahrscheinlichkeit, gehackt zu werden, durch die Aktivierung der Multi-Faktor-Authentifizierung um 99 Prozent.
• Überwachen Sie Ihre wertvollsten und wichtigsten Assets. Beobachten Sie, wie jeder User und jedes Konto kritische Daten nutzen, und achten Sie auf ungewöhnliche Aktivitäten, die auf einen möglichen Cyberangriff hindeuten könnten.

Dass das schwächste Glied der Sicherheitskette der Mensch ist, gilt längst als Binsenweisheit. Deshalb sollte eine einzige Fehlentscheidung oder Sicherheitslücke höchstens für Ärger sorgen, aber nicht zu einem kompletten Zusammenbruch des Geschäftsbetriebs führen.