Einzelkämpfer versus Crowd Security

Über Security und seine Probleme damit spricht man nicht gern. Ein Austausch über Cybersicherheit innerhalb der eigenen Branche und damit mit Mitbewerbern scheint ein Tabu zu sein. Doch es gibt Ansätze im weiten Feld der Crowd Security oder Crowdsourced Security, gemeinsam für mehr Cybersicherheit anzutreten. «Cybersicherheit ist kein technologisches Problem – es ist ein menschliches – und um gegen eine Armee von Gegnern antreten zu können, brauchen wir eine Armee von Verbündeten», beschreibt Casey Ellis, Gründer von Bugcrowd, die Idee einer Crowdsourced Security.

Ein Weg dazu: Man lädt eine Gruppe geeigneter Personen (die Crowd) ein, die ein bestimmtes IT-System auf Schwachstellen untersuchen sollen. Der Vorteil ist offensichtlich: Man bekommt das Wissen vieler, um Sicherheitsrisiken aufzuspüren und abzuwenden. Im Gegenzug bietet man zum Beispiel eine Belohnung (Bug-Bounty-Programme). Der Markt ist inzwischen gut gefüllt mit entsprechenden Crowdsourced-Security-Angeboten, neben Bugcrowd zum Beispiel auch YesWeHack, Crowdswarm, Synack und CrowdSec. Die steigende Beliebtheit solcher Plattformen ist auch eine Folge der sich verschärfenden Cybersicherheitslage in Zeiten der Coronapandemie, mit Home-Offices und dezentralem Arbeiten. «Die Pandemie hat die Sicherheit auf den Kopf gestellt. Plötzlich waren wir alle mit exponentiell erweiterten Angriffsflächen konfrontiert. Das bedeutete, dass Sicherheitsteams kreativ und flink sein und nach innovativen und reaktionsschnellen Lösungen suchen mussten, wie zum Beispiel On-Demand Crowdsourced Security, um ihnen Zugang zu vertrauenswürdigen Sicherheitsforschern zu verschaffen, damit sie ihre Assets aus einer gegnerischen Perspektive testen konnten», erklärt Jay Kaplan, CEO und Mitbegründer von Synack. «Das ist die Art von proaktiver Sicherheit, die hochwertige Ergebnisse liefert und den Unternehmen hilft, der Bedrohung während der gesamten Pandemie einen Schritt voraus zu sein.»

Unternehmen wie exemplarisch Telenor Schweden sehen in einem Bug-Bounty-Programm insbesondere den Vorteil, Zugang zu einer professionellen Security Community zu bekommen. «Durch das YesWeHack-Bug-Bounty-Programm sind wir mit einem der besten globalen Netzwerke von ethischen Hackern verbunden, die uns dabei helfen, Sicherheitslücken in unserer Infrastruktur vor allen anderen zu finden. Wenn wir proaktiv vorgehen und das Hacken unserer Infrastruktur zulassen, können wir Schwachstellen finden, bevor Kriminelle dies tun, und sie beheben», so Marcus Lundblad, Security Engineer bei Telenor Schweden.

Guillaume Vassault-Houlière, CEO und Mitbegründer von YesWeHack, betont die Vertrauensbildung durch Massnahmen wie Crowd Security: «Telenor Schweden wird in allen Märkten als vertrauenswürdiger und sicherer Anbieter anerkannt, weil er sich auf den Schutz der Kundendaten konzentriert und seine kritische Infrastruktur durch die Einführung von bahnbrechenden Lösungen wie Bug Bounty verteidigt.»