heise sec IT in Hannover

Beruflich darf ich ein Abo von heise Security nutzen, mit dem ich zum Einen Zugriff auf alle heise-Artikel habe, zum Anderen gibt es auch regelmäßig Vorträge und eben auch ein Basis-Ticket für die sec IT in Hannover, wo heise auch seinen Hauptsitz hat.

In zwei großen Hallen gab es Dutzende Firmenstände, drei Bühnen und einige Verpflegungs- und Getränkeangebote. Parallel fanden im oberen Stockwerk noch Workshops statt, die jedoch extra zu buchen waren. Ich lauschte in die öffentlichen Vorträge hinein, einfach um mal ein Gefühl für diese Welt zu bekommen.

Wie immer sind es die vielen Abkürzungen, die den Einstieg erschweren und irgendwann wie selbstverständlich über die Lippen fliegen. Die IT-Sicherheit oder Cyber-Sicherheit beschreibt alle Aktivitäten einer Firma oder Institution, um sich vor den Gefahren von böswilligen Akteuren zu schützen. Wenn das nicht gelingt, können Angreifer auf wichtige Systeme zugreifen und Lösegeld verlangen, sei es für die Entschlüsselung der Daten, sei es für die Nicht-Veröffentlichung sensibler Unternehmensdaten. Und leider zahlen auch einige Firmen, einige hundert Millionen Euro kommen da jedes Jahr zusammen, ganz vollständig werden diese Daten natürlich nie sein.

Und so begannen auch die meisten Firmenvorträge mit ein paar Schlagzeilen von betroffenen Unternehmen, verbunden mit den Gegenmaßnahmen und einem freundlichen Verweis auf das eigene Portfolio in diesem Bereich. Es ist ein Wettrüsten, das immer weiter geht.

Zur Eröffnung sprachen Ansgar Heise, geschäftsführender Gesellschafter der Heise-Gruppe und Daniela Behrens, niedersächsische Ministerin für Inneres und Sport. Die eigentliche Herausforderung bestand darin, die Bühne 3 zu finden, welche sich ganz hinten in der Eilenriede-Halle verbarg. Und dort saß ich dann, eng bestuhlt neben vielen anderen Besuchern, während im Hintergrund zahlreiche Gespräche zeitgleich stattfanden und nur durch die Tontechnik übertönt wurden. Das war schon eine ziemliche akustische Herausforderung.

Die Herausforderung für alle kleineren und größeren Unternehmen ist es, mit den vielfältigen Gefahren umzugehen. Einige aktuelle Trends hat Forbes im Beitrag Six Cybersecurity Trends You Can Expect In 2023 zusammengestellt.

1. Erhöhter Handlungsbedarf durch Gesetzgebung

In Europa gilt seit Längerem die Datenschutz-Grundverordndung (EU-DSGVO). Nun ziehen immer mehr Staaten nach, Forbes hat den Fokus auf den USA, wo etliche Bundesstaaten auch striktere Gesetze erlassen haben oder werden.

2. Zero Trust ersetzt VPN

Eine generelle Entwicklung ist die Abkehr vom impliziten Vertrauen. Das heißt, dass im durch VPN zugänglichen Firmennetzwerk eine sichere Zone besteht, wo Leute viel dürfen, weil sie ja einmal authentifiziert wurden. Ein anderer Name dafür ist Castle and Moat (Burg und Burggraben), welches das Unternehmensnetzwerk als Burg betrachten, welche durch Firewalls hinreichend nach außen abgesichert ist.

Das Konzept Zero Trust räumt damit auf und vertraut weniger. Nutzer sollten wenig Rechte haben und müssen sich an kritischen Stellen neu authentifizieren. Grad und Methode der Authentifizierung wird dynamisch bestimmt, je nach Umgebung, angefragten Resourcen und anderen Faktoren.

3. Werkzeuge zum Erkennen und Reagieren auf Bedrohungen

Hier kommen jetzt ein paar Abkürzungen für Werkzeuge ins Spiel, welche Bedrohungen erkennen können und auch darauf reagieren.

• EDR Endpoint detection and response
• XDR Extended detection and response
• MDR Managed detection and response

Diese Werkzeuge brauchen Zugriff auf die beteiligten Systeme und analysieren Logs, Netzwerkverkehr, Dateioperationen und vieles mehr, um einen Angriff zu erkennen.

4. Erhöhter Bedarf an Drittfirmen für Risikomanagement

Ein weiterer Angriffsweg sind die Zulieferer, häufig kleinere Firmen mit weniger ausgefeilten Abwehrmechanismen. Hier wird es mehr Einfluss der großen Firmen geben, um die Sicherheit ihrer Zulieferer zu erfassen und zu verbessern.

5. Outsourcing von Cybersecurity

Da viele kleinere Firmen überfordert sind, um mit den aktuellen Bedrohungen Schritt zu halten, beauftragen sie lieber einen Dienstleister damit. Dies war auf der Messe in Hannover sehr deutlich, da die meisten Aussteller solche Dienstleister sind. Dennoch reicht es nicht aus, diese Belange von einer Partnerfirma erledigen zu lassen, ein bisschen Personal braucht man immer noch, um auf Hinweise zu reagieren, die sonst im Winde verwehen.

6. Cyber-Versicherungen

Als Firma kann man sich auch absichern gegen Cyber-Vorfälle, jedoch steigen die Prämien immer weiter. Und das Kleingedruckte dieser Versicherungen verlangt auch ein gewisses Level an Sicherheits-Praktiken, ansonsten bezahlt die Versicherung nicht.