{"id":12791,"date":"2018-06-05T11:30:25","date_gmt":"2018-06-05T09:30:25","guid":{"rendered":"https:\/\/www.sysbus.eu\/?p=12791"},"modified":"2018-06-04T10:33:46","modified_gmt":"2018-06-04T08:33:46","slug":"it-sicherheit-im-deutschen-mittelstand-zu-viele-loesungen-fuer-eine-menge-probleme","status":"publish","type":"post","link":"https:\/\/www.sysbus.eu\/?p=12791","title":{"rendered":"IT-Sicherheit im deutschen Mittelstand \u2013 Zu viele L\u00f6sungen f\u00fcr eine Menge Probleme"},"content":{"rendered":"<p><a href=\"https:\/\/www.sysbus.eu\/wp-content\/uploads\/2018\/06\/markus-westphal-foto.1024x1024.jpg\"><img loading=\"lazy\" decoding=\"async\" class=\"alignnone size-medium wp-image-12792\" src=\"https:\/\/www.sysbus.eu\/wp-content\/uploads\/2018\/06\/markus-westphal-foto.1024x1024-300x200.jpg\" alt=\"\" width=\"300\" height=\"200\" srcset=\"https:\/\/www.sysbus.eu\/wp-content\/uploads\/2018\/06\/markus-westphal-foto.1024x1024-300x200.jpg 300w, https:\/\/www.sysbus.eu\/wp-content\/uploads\/2018\/06\/markus-westphal-foto.1024x1024.jpg 750w\" sizes=\"auto, (max-width: 300px) 100vw, 300px\" \/><\/a><\/p>\n<p>Autor\/Redakteur: <a href=\"https:\/\/www.wallix.com\/de\/\">Markus Westphal, Director Central Eastern Europe bei Wallix<\/a>\/gg<\/p>\n<p>Nachdem bereits der Bundestag und die Deutsche Telekom Opfer von Cyberangriffen geworden sind, ist wohl jeder Organisation in Deutschland die ver\u00e4nderte Gefahrenlage bewusst geworden. Es ist keine \u00dcberraschung, dass der IT-Sicherheitsmarkt boomt \u2013 eine Studie z\u00e4hlt 954 Anbieter allein in Deutschland \u2013 die meisten mit mehreren IT-Sicherheitsl\u00f6sungen im Portfolio.<\/p>\n<p><!--more--><\/p>\n<p>Der Markt ist riesig und Unternehmen werden mit einer Flut von Angeboten \u00fcberschwemmt. Daher mangelt es an simplen, grundlegenden Konzepten. Besonders Mittelst\u00e4ndler befinden sich in einer schwierigen Situation, da sie in der Regel nicht die n\u00f6tigen personellen Ressourcen f\u00fcr umfassende IT-Sicherheitsteams haben. Trotzdem m\u00fcssen auch sie Mechanismen etablieren, um Schutz und Compliance zu gew\u00e4hrleisten.<\/p>\n<p>Gesicherte Firmen sind ein leichtes Opfer und werden von Cyberkriminellen gezielt gesucht und gefunden \u2013 denn man ist nie zu klein, um Opfer eines Angriffes zu werden. Daher stehen IT-Verantwortliche unter Zugzwang und m\u00fcssen trotz Zeitdruck L\u00f6sungen finden, die sich in bestehende Sicherheitsarchitekturen integrieren lassen und die Anwender nicht \u00fcberlasten.<\/p>\n<p>Das Bundesamt f\u00fcr Sicherheit in der Informationstechnik (BSI) empfiehlt drei grunds\u00e4tzliche Wege f\u00fcr den Aufbau einer Sicherheitsarchitektur:<\/p>\n<ul>\n<li>Grundlegende Sicherheitsmechanismen f\u00fcr alle Gesch\u00e4ftsprozesse und Unternehmensressourcen in einer Institution, um so bereits die gr\u00f6\u00dften Risiken zu minimieren. Detailliertere Schritte k\u00f6nnen sp\u00e4ter folgen \u2013 der Fokus liegt auf der Einbindung aller Bereiche in ein breitgef\u00e4chertes Sicherheitskonzept.<\/li>\n<li>Die wichtigsten Sicherheits- und Schutzfunktionen: Ausgangspunkte sind hier die kritischsten Assets. Verglichen mit dem ersten Punkt liegt hier der Fokus mehr auf der Intensit\u00e4t als auf der Breite der Schutzma\u00dfnahmen. Nicht alle Prozesse sind gleich wichtig und deshalb sollten flexible Sicherheitsma\u00dfnahmen in Erw\u00e4gung gezogen werden. Hochkritische Bereiche wie beispielsweise Administratorzug\u00e4nge werden strenger gesch\u00fctzt als ausrangierte IT, die demn\u00e4chst verschrottet werden soll.<\/li>\n<li>F\u00fcr einige Branchen gibt der \u201eBSI-Grundschutz\u201c pr\u00e4zisere Empfehlungen mit Standardma\u00dfnahmen. Der BSI-Standard 100-2 enth\u00e4lt Details zum Schutz industrieller Steuerungssysteme (Industrial Control Systems, ICS).<\/li>\n<\/ul>\n<p><strong>IT-Sicherheit: Vom Kostenfaktor zum Business-Enabler<\/strong><\/p>\n<p>In vielen Organisationen wurden \u00fcber die Jahre bereits grundlegende Sicherheitsmechanismen eingef\u00fchrt. Allerdings beziehen die sich immer noch auf breitgestreute Kampagnenangriffe. Dabei versuchen die Angreifer nach dem gleichen Muster eine Vielzahl von Organisationen anzugreifen. Solche Attacken sind nicht sonderlich effizient, aber g\u00fcnstig. Sie bauen auf den Leichtsinn einiger Personen und haben eine relativ geringe Trefferquote.<\/p>\n<p>Cyberbedrohungen sind aber deutlich intelligenter geworden und lassen sich leicht personalisieren. Dadurch steigen die Qualit\u00e4t und die Dauer der Attacken. Kriminelle bearbeiten ihre Opfer l\u00e4nger, um schrittweise Netzwerke zu kompromittieren und Sicherheitsmechanismen auszuhebeln. Gleichzeitig steigen sowohl Anzahl und als auch Heterogenit\u00e4t der Ger\u00e4te. Durch BYOD, IoT, Cloud-Migration und andere Innovationen wurden neue Angriffsvektoren erschlossen. Um diese zu beheben, tendieren Unternehmen zur Anschaffung von weiteren IT-Sicherheitstools.<\/p>\n<p>Das f\u00fchrt zu einer noch gr\u00f6\u00dferen Bedrohung: \u00fcberlastete IT-Administratoren. Die Anzahl an Angriffen, Bedrohungen und Sicherheitstools steigt zusammen mit der Arbeitsbelastung: IT-Abteilungen verwenden immer mehr Zeit auf die Einf\u00fchrung und Anpassung von Sicherheitsinstrumenten und haben weniger Zeit f\u00fcr die eigentlichen Management-Aufgaben.<\/p>\n<p>Die Toleranz der Mitarbeiter ist ebenfalls begrenzt: Eine Befragung von 400 IT-Administratoren zeigt, dass 74 Prozent des Personals in IT-Abteilungen durchaus in der Lage sind, Sicherheitsma\u00dfnahmen ganz leicht zu umgehen. Erscheint eines der vielen Sicherheitsinstrumente l\u00e4stig, wird es wahrscheinlich nicht eingesetzt. Nicht nur die Angestellten einer Organisation stellen ein Sicherheitsrisiko dar, auch externe Mitarbeiterinnen und Mitarbeiter sollten in ein Schutzkonzept miteinbezogen werden.<\/p>\n<p><!--nextpage--><\/p>\n<p><strong>Privileged Access Management zur Verbesserung und Sicherung von IT-Umgebungen <\/strong><\/p>\n<p>Unter diesen Umst\u00e4nden sollte man vorausschauend mit einem Sicherheitseinbruch rechnen. Die Hacker schaffen es irgendwann auf irgendeine Art ins Netz. Grunds\u00e4tzlich k\u00f6nnen sie dort aber keinen gro\u00dfen Schaden anrichten, solange sie nur Zugriff zu verh\u00e4ltnism\u00e4\u00dfig unwichtigen Daten haben. Gef\u00e4hrlich wird es dann, wenn die falschen Personen sich umfassende Administrationszug\u00e4nge beschaffen k\u00f6nnen.<\/p>\n<p>Fehlverhalten und Fehler im Umgang mit privilegierten Konten k\u00f6nnen Organisationen schwere Sch\u00e4den zuf\u00fcgen. IT-Abteilungen haben jedoch nicht die Personalressourcen, alle Aktionen zu verwalten, insbesondere, wenn sie von Dritten eingesetzt werden. Das Mikromanagement eines jeden einzelnen Nutzers ist zeitaufwendig und unwirtschaftlich.<\/p>\n<p>Trotzdem m\u00fcssen diese Accounts verwaltet werden. Wenn man sich einen Server als Hochhaus vorstellt, dann sind die Nutzerzug\u00e4nge Sicherheitsschl\u00f6sser zu den einzelnen Apartments. Privilegierte Zug\u00e4nge sind die Generalschl\u00fcssel f\u00fcr alle Bereiche und m\u00fcssen dementsprechend gesichert werden.<\/p>\n<p>Privileged Access Management (PAM) ist ein eleganter Weg, allen drei BSI-Empfehlungen zu folgen und IT-Abteilungen gezielt zu entlasten. Viele Unternehmen sind nicht mit dem Lebenszyklus ihrer Zug\u00e4nge mit erh\u00f6hter Nutzerfreigabe vertraut.<\/p>\n<p>PAM setzt genau hier an und segmentiert Nutzerkonten nach Bedarf: Administratoren k\u00f6nnen Zug\u00e4nge f\u00fcr einzelne Anwender oder bestimmte Nutzergruppen granular verwalten. Detaillierte Ma\u00dfnahmen f\u00fcr Benutzerkonten gew\u00e4hrleisten eine Sicherheitsgrundlage f\u00fcr das On &amp; Offboarding von Accounts und Anwendungen.<\/p>\n<p>Zugriffsrechte sollten in Zeit und Tiefe beschr\u00e4nkt sein, sodass Administratoren bestimmte Aktionen innerhalb eines zeitlich festgelegten Zugriffsfensters planen k\u00f6nnen. Das erm\u00f6glicht die Planung von Aktivit\u00e4ten wie Backups oder Audits und gew\u00e4hrleistet eine st\u00e4ndige Absicherung der Accounts. Externe Dienstleister beispielsweise k\u00f6nnen mit entsprechen Zugriffsrechten ausgestattet werden. Dabei erm\u00f6glicht PAM die strikte Umsetzung eines Need-to-Know-Prinzips.<\/p>\n<p>F\u00fcr \u00e4u\u00dferst kritische Zug\u00e4nge mit Zugriff auf wichtige Assets l\u00e4sst sich das Schutzniveau dementsprechend anpassen. Wenn Konten zum Beispiel geteilt werden, kann Live-\u00dcberwachung oder die Zwei-Mann-Regel verbindlich vorgeschrieben werden. IT-Abteilungen k\u00f6nnen sich dadurch auf die wesentlichen Fragen fokussieren und m\u00fcssen sich nicht um die Wartung von Agenten k\u00fcmmern. Nutzerinnen und Nutzer haben durch einen Single-Sign-On Gelegenheit, umgehend und ungest\u00f6rt mit der Arbeit zu beginnen.<\/p>\n<p><strong>Fazit<\/strong><\/p>\n<p>Zurzeit sind einige wenige PAM-L\u00f6sungen erh\u00e4ltlich, die f\u00fcr den europ\u00e4ischen Markt entwickelt wurden und an k\u00fcnftige Richtlinien angepasst werden k\u00f6nnen. Allgemeine Standards, wie ISO 27001 oder der BSI-Grundschutz, sind aktuelle Beispiele, aber sie sind nur eine Orientierung und h\u00f6chstwahrscheinlich werden neue Vorschriften folgen. In jedem Fall bieten PAM-L\u00f6sungen einen einzigartigen Weg zu effizienteren IT-Sicherheit und Compliance.<\/p>\n<p>Das BSI liefert zwar strategische Empfehlungen f\u00fcr die IT-Sicherheit, Organisationen m\u00fcssen jedoch noch ihre eigenen Best Practices definieren, um die Sicherheit und Effizienz in ihren IT-Abteilungen zu steigern. Viele Anbieter haben ihre B\u00fcros au\u00dferhalb Europas und entwickeln ihre Produkte f\u00fcr ein spezielles Top-Thema. Die Produkte sind innovativ, passen aber nicht in die Sicherheitsarchitektur \u2013 dies gilt auch f\u00fcr das Personal, das die Tools nutzt und integriert.<\/p>\n<p>Das f\u00fchrt zu Sicherheitsrisiken, denn IT-Administratoren haben mit zu vielen Sicherheitstools zu k\u00e4mpfen. Durch eine Verwaltungsl\u00f6sung f\u00fcr privilegierte Benutzerkonten werden IT-Abteilungen gezielt entlastet. Gleichzeitig arbeiten Angestellte effizienter, da sie unkomplizierter an die n\u00f6tigen Informationen kommen. Durch die konsequente Verwaltung k\u00f6nnen Konten nicht vergessen werden und Unternehmen haben eine klare \u00dcbersicht \u00fcber die Zugriffsrechte in ihren Netzwerken.<\/p>\n","protected":false},"excerpt":{"rendered":"<p>Autor\/Redakteur: Markus Westphal, Director Central Eastern Europe bei Wallix\/gg Nachdem bereits der Bundestag und die Deutsche Telekom Opfer von Cyberangriffen<\/p>\n","protected":false},"author":1,"featured_media":12792,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"colormag_page_container_layout":"default_layout","colormag_page_sidebar_layout":"default_layout","footnotes":""},"categories":[8,37],"tags":[3076,490,7266,6258,6257,1016,4925,2440,3764,3541,6260,721,974,9709,36,2601,7140],"class_list":["post-12791","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-artikel","category-security","tag-asset","tag-bsi","tag-bundestag","tag-byod","tag-cloud","tag-compliance","tag-cyberangriff","tag-ics","tag-iot","tag-iso-27001","tag-management","tag-migration","tag-mittelstand","tag-pam","tag-sicherheit","tag-telekom","tag-wallix"],"amp_enabled":true,"_links":{"self":[{"href":"https:\/\/www.sysbus.eu\/index.php?rest_route=\/wp\/v2\/posts\/12791","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.sysbus.eu\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.sysbus.eu\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.sysbus.eu\/index.php?rest_route=\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.sysbus.eu\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=12791"}],"version-history":[{"count":1,"href":"https:\/\/www.sysbus.eu\/index.php?rest_route=\/wp\/v2\/posts\/12791\/revisions"}],"predecessor-version":[{"id":12794,"href":"https:\/\/www.sysbus.eu\/index.php?rest_route=\/wp\/v2\/posts\/12791\/revisions\/12794"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.sysbus.eu\/index.php?rest_route=\/wp\/v2\/media\/12792"}],"wp:attachment":[{"href":"https:\/\/www.sysbus.eu\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=12791"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.sysbus.eu\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=12791"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.sysbus.eu\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=12791"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}