Die Themen rund um Cyber-Security waren auch 2023 „ein bisschen wie Corona“. Natürlich ernst zu nehmen, aber irgendwie hat man sich daran gewöhnt und schließlich ist man „geimpft“ – oder im Falle der Cyber-Security dank vorbereitender Maßnahmen so aufgestellt, dass eine Attacke vielleicht unvermeidlich aber nicht überlebensbedrohlich wird.
Die Situation allgemein ist weiterhin geprägt vom Fachkräftemangel. Nahezu unmöglich für KMU’s ist es, mit überschaubarem Budget Cyber-Experten mittel- und langfristig an sich zu binden. Systeme, die als Services den CISO unterstützen, sind dringender denn je.
Das bringt ziemlich sicher KI-gestützte Informationssicherheit in’s Spiel. Maschinelles Lernen unterstützt nahezu überall die Technologie für Anomalieerkennung und verdächtiges Verhalten. Macht aber auch klar, dass Rahmenbedingungen und Richtlinien zum Einsatz von KI unbedingt notwendig sind.
2023 war auch das Jahr der verschärften regulatorischen Anforderungen. Die Umsetzung des BSiG §8a sei da nur als eine von vielen Herausforderungen genannt, die besonders KRITIS-Unternehmen vor enorme Herausforderungen gestellt haben – und auch immer noch stellen. Dabei zeigt sich lt. Information des Schweizer Unternehmens InfoGuard „….mangelhafte Umsetzung von Best-Practices der Cyber-Hygiene: Gemäß Studien gehören die fehlende oder mangelhafte Anwendung von bewährten Verfahren zur Sicherstellung einer Basis-Resilienz immer noch zu den häufigsten Ursachen einer Kompromittierung. Dazu zählen mangelhaftes Schwachstellenmanagement, ungenügende Separierung privilegierter Zugriffsrechte, unzureichende/fehlende Netzwerksegmentierung, die Verwendung von Standardkonfigurationen in Hard- und Software sowie ungenügende Überwachung auf verdächtige Aktivitäten….“ Es gilt also, es nicht nur „überhaupt zu tun“, man muss es auch richtig machen und kontinuierlich fortschreiben, verbessern, überwachen und die Routinen trainieren.
2023 blieb auch das Jahr der Ransomware als anhaltend größte Bedrohung für Unternehmen. Die Taktiken werden komplexer und die Lösegeldforderungen erreichen Rekordsummen. Unternehmen müssen verstärkt in Sicherheitsmaßnahmen und Backup-Strategien investieren, um sich vor Angriffen zu schützen und die Zahlung von Lösegeld zu vermeiden.
Einher geht auch die zunehmende Bedeutung des Supply Chain Risk Managements. Es genügt nicht mehr, das eigene Risiko im Griff zu haben. Auch der Blick auf die Sicherheit der (Schlüssel-)Lieferanten gehört inzwischen zur eigenen Risikovorsorge dazu.
Zusammenfassend gilt auch für 2023 wieder: die Zahl der Angriffe hat sich nicht nur quantitativ erhöht, auch die Komplexität nimmt zu. Dabei werden die Zeitspannen kürzer und die Attacken heftiger. Waren es bei Ransomware-Attacken vor einigen Jahren noch Wochen, so läuft die Attacke inzwischen innerhalb von Stunden.
Aber, natürlich gibt es überall dort, wo Schatten ist, auch Licht. Eine Erhellung, inwieweit der Mensch als Schwachstelle wirkt – und wie man nachhaltig damit umgehen kann – kommt von Vivian Simon und ihrem Co-Autor André Busche aus dem Juristischen Fachverlag André Busche. „Ausgespäht“ heißt das im Dezember 2023 erschienene Buch, was sich mit dem Thema Social Engineering in all seinen Facetten beschäftigt. Vom Angriff über die Stärkung der Verteidigung bis zu den Herausforderungen, denen sich Führungskräfte stellen müssen.