Cybersicherheit – der Mensch als Risikofaktor
Die Gefahr einer Cybercrime-Attacke zu unterliegen betrifft Unternehmen und Organisationen aller Größen und Branchen. Dazu passt auch die Aussage des Ex-FBI Directors Robert Mueller sehr gut“ Es gibt nur zwei Arten von Unternehmen: Jene, die gehackt wurden und jene, die es werden.” Gerade der jüngste Großangriff von der Hackergruppe “REvil” auf den IT-Dienstleister Kaseya hat wieder die gefährliche Dimension gezeigt, die solche Cybercrime-Attacken haben können. In diesem Falle wurden ca.1500 Unternehmen geschädigt, in dem die Daten verschlüsselt wurden.
Der Mensch ist bei der Cybersicherheit das Hauptrisiko, denn die häufigsten Fehler werden durch Menschen gemacht z.B. durch das Öffnen einer Email mit einem infizierten Anhang oder Link, wodurch die Unternehmens-IT infiziert wird. Hier gilt es, diverse Maßnahmen vorsorglich umzusetzen (siehe Handelsblatt, „Hacker nutzen den Risikofaktor Mensch“, Lars-Marten Nagel, 7. Juli, 2021, Nr. 128). Dazu gehört das gesamte Personal zu schulen, damit dieses vorsichtiger agiert und solche Gefahren besser erkennen. Zum anderen müssen diverse technische Mechanismen eingeführt werden und besonders auch permanent überprüft und aktualisiert werden, um bei den sich ständig veränderten Angriffsvarianten eine Chance zu haben, nicht ständig infiziert zu werden.
Backup gehört zu den Schlüssel-Elementen für die IT-Sicherheit und Verfügbarkeit. Zum einen ist die Lösung selbst entscheidend, dass diese umfassend die komplette IT-Umgebung sichern kann und entsprechende Sicherheitselemente aufweist, damit eine Korruption nur sehr schwer möglich ist. Mit SEP kann die ganze IT-Umgebung inklusive Cloud Applikationen wie Microsoft 365, Dynamics 365, Salesforce und Google Workspace gesichert werden.
Als deutscher/europäischer Hersteller gewährleistet SEP die Freiheit von Backdoors – also keine vorprogrammierten Schwachstellen/Hintertüren!
SEP garantiert auch die „No-Spy Klausel“ des BMI – der Beauftragte der Bundesregierung für Informationstechnologie in Abstimmung mit dem IT-Verband Bitkom, d.h. „…dass die von ihm zu liefernde Standardsoftware* frei von Funktionen ist, die die Integrität, Vertraulichkeit und Verfügbarkeit der Standardsoftware*, anderer Soft- und/oder Hardware oder von Daten gefährden und den Vertraulichkeits- oder Sicherheitsinteressen des Auftraggebers zuwiderlaufen durch
• Funktionen zum unerwünschten Absetzen/Ausleiten von Daten,
• Funktionen zur unerwünschten Veränderung/Manipulation von Daten oder der Ablauflogik oder
• Funktionen zum unerwünschten Einleiten von Daten oder unerwünschte Funktionserweiterungen.“ (Ziffer 2.3 der EVB-IT Überlassung Typ)
A-AGB; Ergänzenden Vertragsbedingungen für die Beschaffung von IT-Leistungen (EVB-IT); Besonderen Vertragsbedingungen für die Beschaffung von DV-Anlagen und Geräten (BVB) )
DSGVO und Compliance Anforderungen: die Hybrid Backup Lösung SEP sesam bietet die technische Sicherheit zur Umsetzung der DSGVO mit einer Vielzahl an technischen Mechanismen (siehe „Datenschutzgrundverordnung, NIS-Richtlinie der EU & das IT-Sicherheitsgesetz“, Rechtsanwalt und Fachanwalt für IT-Recht Dr. Jens Bücking, S. 13 ff; www.sep.de/fileadmin/user_upload/Compliance/SEPsesam_Compliance_de_web.pdf )
Backup-Konzept und kontinuierliche Überprüfung: Neben der Auswahl der Backup Software ist es besonders entscheidend, dass die Anforderungen genau überprüft werden und das Backup-Konzept genau darauf ausgerichtet wird. SLA’s müssen definiert werden, so dass im Fehlerfall, beim Cyberangriff, etc. die Daten nach den vorgegebenen SLA’s zurück gebracht werden können und ein schneller Wiederanlauf gewährleistet ist und die Recovery Points (RPOs) entsprechend granular geplant wurden. Auch die Verwendung der Backup-Medien ist zu beachten, denn für kurze SLA’s werden performantere Medien benötigt, so dass die Recovery Time Objective (RTO) passt.
Eine Mehrstufigkeit beim Backup ist ebenfalls empfehlenswert z.B. 3-2-1 Regel, so dass die Daten auf verschiedenen Medien, in verschiedenen Lokationen und idealerweise z.T. auch offline liegen. So wird bei es bei Cyberangriff zusätzlich erschwert auch an die Backup-Daten zu kommen.
Ständiges Überprüfen und Anpassen: Regelmäßige Recovery Tests sind unumgänglich, so dass man im Ernstfall gewappnet ist und weiß was zu tun ist, denn nur was oft geübt wurde, kann unter Stress auch gut abgerufen werden – auch die Feuerwehr trainiert regelmäßig. Zudem werden bei solchen Tests auch Schwachstellen sichtbar, so dass man nachjustieren kann und muss. Auch die Cyberkriminellen ändern ihre Angriffsmethoden und daher muss die eigene IT-Umgebung und die Sicherheitsmechanismen immer Up-to-Date gehalten werden.
Andreas Mayer
Zurück