Warum Spiderman der IT-Security als Vorbild dienen kann
Wie können IT-Sicherheitsexperten von einem fiktiven Superhelden profitieren? Welche Lektionen bieten die Geschichten aus den Spiderman-Comics zur Bekämpfung der realen Bedrohungen durch Cyberkriminelle? Diese Fragen beantwortet der IT-Sicherheitsexperte Dr. Jakob Jung in diesem Beitrag.
IT-Sicherheitsexperten sind die realen Superhelden der heutigen Zeit. Sie halten durch ihren Einsatz Systeme und Netzwerke am Laufen, schützen sie vor Bedrohungen und bekämpfen Cyberkriminelle aller Art. Doch die Herausforderungen für die Cybersicherheit nehmen immer weiter zu. Ein richtiger Superheld à la Spiderman könnte da zur Unterstützung nicht schaden. Und tatsächlich können IT-Sicherheitsexperten von den Geschichten aus den legendären Spiderman-Comics für ihre tagtäglichen Aufgaben profitieren.
Denn genau wie die Erzfeinde grüner Goblin, Black Cat oder Venom für Spiderman stellen massive Cyber-Angriffe für Unternehmen und die Gesellschaft erhebliche Probleme dar. Dazu verändert sich die Art und Weise, wie wir arbeiten, hybride Arbeitsmodelle aus Home-Office und Büro sind mittlerweile Normalität. Peter Parker nimmt sich seiner Feinde an und wird zu Spiderman, und auch IT-Sicherheitsexperten sollten sich den Herausforderungen mutig entgegenstellen.
Neue Herausforderungen für die IT
Der plötzliche Wechsel ins Home-Office und die Einführung hybrider Arbeitsmodelle stellte nicht zuletzt die IT-Abteilungen von Unternehmen vor große Aufgaben. Vormals homogene IT-Infrastruktursysteme zergliederten sich durch den Einsatz von cloudbasierten Tools, Heim-Internet, persönlicher mobiler Geräte und Anwendungen. In dieser Heterogenität eine ganzheitliche und funktionierende Cybersecurity-Strategie einzuführen und den Schutz aufrechtzuerhalten, ist die große Herausforderung für IT-Abteilungen weltweit.
Der Büro-Schreibtisch ist so mittlerweile ein Cloud-Arbeitsplatz. Die Umstellung auf eine Cloud-basierte Arbeitsumgebung bringt bereits erweiterte und neue Anforderungen für die IT-Abteilungen von Unternehmen. Sie müssen Daten dezentral verfügbar machen, gleichzeitig für maximale Sicherheit sorgen. Nur wenn das gelingt, kann Arbeiten von Zuhause für alle funktionieren.
Die Bedrohung durch Cyberkriminalität
Der deutschen Wirtschaft entsteht jährlich ein Gesamtschaden von 223 Milliarden Euro durch Cyberkriminalität. Ein neuer Rekord. Neun von zehn Unternehmen (88 Prozent) waren 2020/21 von Cyberangriffen betroffen. Dabei sind vor allem Erpressungsfälle stark gestiegen – in Verbindung mit Sabotagefällen und gestörten Betriebsabläufen. Die für diese Angriffe benutzte Software ist unter dem Namen Ransomware bekannt.
Diese Erpressungs-Software wird immer raffinierter und Unternehmen müssen sich darauf einstellen. Die Ransomware-Banden wollen nicht nur Geld, sondern auch geistiges Eigentum stehlen und drohen dann damit, Betriebsgeheimnisse an die Öffentlichkeit zu bringen. Um Ransomware abzuwehren, reichen Security-Lösungen alleine nicht mehr aus. Es braucht umfassendere Sicherheitskonzepte, die auf all diese Entwicklungen reagieren. Dazu ist ein effizientes Backupkonzept nötig, um im Fall der Fälle Daten schnell und sicher wiederherzustellen. Idealerweise sollten diese Backups durch einen Air-Gap vom Netzwerk getrennt offline aufbewahrt werden.
Nie vertrauen, immer verifizieren
Die größte Schwachstelle in jedem IT-System ist der Mensch, das haben Cybersecurity-Verantwortliche längst erkannt. Ganzheitliche IT-Sicherheitskonzepte müssen daher die Mitarbeitenden in den Unternehmen einbeziehen und sie als Teil der Veränderungsprozesse verstehen. Denn jeder Einzelne trägt eine Verantwortung für das gesamte System. Private, abgeschlossene Arbeitsbereiche existieren heute nicht mehr, alles ist über die Cloud und digitale Plattformen miteinander verbunden. Daher lautet jetzt der wichtigste Grundsatz: Zero Trust. Kein Endgerät und kein Nutzer sollte pauschal Vertrauen genießen, nur die eigenen Anmeldedaten. Mit diesem einfachen Ansatz lassen sich Daten und die Integrität von IT-Systemen bereits effizient schützen.
Drei Spiderman Szenarien
Doch was haben die neuen Herausforderungen für die IT-Sicherheit nun mit dem Spinnenmann aus den Marvel-Comics zu tun? Tatsächlich lassen sich aus den Episoden, in denen Peter Parker vom Superschurken Mysterio herausgefordert wird, drei Szenarien für die Cybersecurity ableiten:
Spoofing
Spoofing ist eine Situation, in der sich eine Person oder ein Programm erfolgreich als eine andere Person ausgibt, indem es Daten fälscht, um sich einen unrechtmäßigen Vorteil zu verschaffen. Quentin Beck/Mysterio verwendet Drohnentechnologie, die die Realität erweitert, um die Elementare zu fälschen, die die Öffentlichkeit in Angst und Schrecken versetzt. In einem zweiten Schritt wird die elektromagnetische Signatur des Ereignisses gefälscht, um SHIELD vorzugaukeln, dass ein Ereignis stattgefunden hat. Dies alles geschieht in dem Bemühen, sich als Held auszugeben, um das Vertrauen von Nick Fury und Spiderman zu gewinnen. Die Lektion aus der Praxis: Verwenden Sie robuste Überprüfungsmethoden zur Authentifizierung von Benutzern.
Whale Phishing
Mysterios List ist ein ausgeklügelter Phishing-Angriff, um sich schrittweise Zugang zu verschaffen. Zunächst muss er das Vertrauen von Nick Fury gewinnen, um Ressourcen von SHIELD zu nutzen und Informationen zu erhalten. Der Zugang zu SHIELD war Teil der Bemühungen, sie als dritte Partei zu benutzen, um Spiderman zu finden, der das eigentliche Ziel war. Mysterio musste sich Zugang zu EDITH verschaffen, einem Computerassistenten mit Zugang zu einem globalen Verteidigungsnetzwerk. Spiderman übergibt die Brille mit einer einfachen Sprachbestätigung. Die Lektion in der realen Welt: Benutzer und Anwendungszugriff einschränken.
Eskalierter privilegierter Zugriff
EDITH wurde mit Hintertüren, erweiterten Zugriffsrechten und laxer Cybersicherheit entwickelt. Mysterio wusste das, weshalb er die Brille überhaupt erst wollte. Spiderman musste Mysterios Drohnenarmee und seine Spoofing-Angriffe besiegen, um die Brille zurückzubekommen und den Angriff zu deaktivieren. Spiderman war dazu in der Lage, weil Mysterio das Konto von Peter Parker nicht gelöscht hat. Das zeigt nur, dass die besten Pläne bei laxer Cybersicherheit scheitern.
Was die Cybersecurity außerdem von Spiderman lernen kann
#1 Gemeinsam stark
Auch der größte Held kann manchmal allein nichts ausrichten. Um dennoch sein Ziel zu erreichen, sucht er sich Verbündete. Für die Cybersecurity in Unternehmen bedeutet das, dass diese nicht mehr nur Verantwortung der IT-Abteilung ist, sondern eine Gesamtaufgabe. Die Verbündeten sind schließlich in Form der eigenen Mitarbeitenden bereits vorhanden, sie müssen nur aktiviert werden. Durch nachhaltig konzipierte und regelmäßig durchgeführte Security-Awareness-Schulungen können Unternehmen ihre eigene Belegschaft zu Helden im Kampf gegen Cyberkriminelle machen.
#2 Mit Netz und doppeltem Boden
Das ist wohl die offensichtlichste Lektion, die man von Spiderman lernen kann: Wer ein Netz spannt, fällt immer weich. Übertragen auf die IT-Sicherheit in Unternehmen bedeutet das, dass bedingt durch dezentrales Arbeiten und verschiedene technische Voraussetzungen Daten verloren gehen können. Geschieht das, ist die Produktivität und Integrität von Unternehmen massiv eingeschränkt und bedroht. Wenn sie aber ein Netz, sprich regelmäßige, vollständige und abgekoppelte Backups, gespannt haben, ist der Fall doch sehr weich. Denn durch Redundanzen ist die lückenlose Wiederherstellung der Daten jederzeit möglich.
#3 Identität schützen und Gesicht wahren
In den Comics wissen nur die wenigsten, wer Spiderman wirklich ist. Peter Parker schützt seine Identität, und das ist einer seiner größten Stärken, denn so ist er besser vor Angriffen abgesichert. Auch in der IT-Sicherheit sollte der Schutz der eigenen Identität höchste Priorität genießen. Bislang stellte dieser Schutz allerdings kein größeres Problem dar, erfolgte der Zugriff auf Daten und Systeme doch meistens vor Ort in Unternehmen. Der Identitätsnachweis war hier deutlich einfacher zu gewährleisten, mittlerweile benötigen Mitarbeitende aber weltweit Zugang. Diese Zugriffe zu kontrollieren ist eine große Herausforderung.
Vertrauenswürdigen, weltweiten Zugriff auf Daten und Systeme gewährleisten, das ist die Aufgabe des Identitätsmanagements. Zum Einsatz kommt hier eine neue Superkraft: die Zwei-Faktor-Authentifizierung (2FA). Gemeinsam mit einem starken Passwort sorgt ein zweiter Faktor für maximale Sicherheit, am besten in Form eines Hardware-gestützten Verfahrens mit biometrischer Authentifizierung.
#4 Ein passender Superheldenanzug
Peter Parker entwickelt als Spiderman seine eigene Superheldenfigur, er näht Anfangs sogar sein Kostüm selbst und passt es auf seine Anforderungen an. Denn nur mit einem passenden Superheldenanzug kann er seine Feinde besiegen. Für Unternehmen besteht ihr Superheldenanzug aus Programmen und Tools zur Abwehr von Angriffen auf die eigenen IT-Systeme. Sie sollten sich dabei nicht auf die vorgefertigten Standardanwendungen der verschiedenen Anbieter verlassen, sondern individuelle Schutzlösungen implementieren, die ihre speziellen Anforderungen erfüllen.
#5 Verantwortungsvoll handeln
Superhelden wie Spiderman zeichnet vor allem eine Eigenschaft aus: Sie sind sich ihrer Verantwortung für die Allgemeinheit bewusst. Verantwortungsvolles Handeln sollte auch die oberste Maxime für IT-Sicherheitsverantwortliche sein. Alle Programme und intelligenten Lösungen reichen am Ende nicht aus, um den Bedrohungen für die Cybersecurity von Unternehmen zu begegnen, wenn Mitarbeitende nicht verantwortungsvoll mit Unternehmens- und Log-In-Daten umgehen oder Sicherheitsrichtlinien missachten. Verantwortungsbewusstsein in Bezug auf die Cybersecurity, das ist die Superkraft, mit der alle Helden sein können.
Vertrauenswürdigen, weltweiten Zugriff auf Daten und Systeme gewährleisten, das ist die Aufgabe des Identitätsmanagements. Zum Einsatz kommt hier eine neue Superkraft: die Zwei-Faktor-Authentifizierung (2FA). Gemeinsam mit einem starken Passwort sorgt ein zweiter Faktor für maximale Sicherheit, am besten in Form eines Hardware-gestützten Verfahrens mit biometrischer Authentifizierung.
Quelle Titelbild: Adobe Stock / Claudio Caridi
