«Stellt Hacker ein»

Dass Cyberkriminelle immer wieder die Oberhand gewinnen, beweist der aktuelle Hackerangriff auf das Hochsicherheitsnetz der deutschen Bundesregierung (Computerworld berichtete). Nach Ransomware-Kampagnen und Entwicklungen wie Cybercrime-as-a-Service ist dies ein weiterer Höhepunkt in der Entwicklung der Internetkriminalität. Doch wie können sich Firmen gegen solche Bedrohungen zur Wehr setzen? Neben klassischen Schutzmassnahmen wie Firewall und Zwei-Faktor-Authentifizierung hat die israelische IT-Security-Spezialistin Keren Elazari an einer Veranstaltung des Schweizer Börsenbetreibers Six in Zürich ein paar strategische Vorschläge gemacht.

So legt sie den Unternehmen nahe, über Angriffe zu informieren. «Nur wenn wir die Informationen zu Attacken mit anderen teilen, kann es uns gelingen, genügend Widerstandsfähigkeit aufzubauen, um künftige Angriffe abzuwehren», ist Elazari überzeugt. Zudem sollten Unternehmen bemüht sein, eine bestimmte Sicherheitskultur aufzubauen. Hierzu zählt etwa, dass dafür gesorgt wird, dass die Mitarbeitenden in vielen täglichen Security-Entscheidungen das Richtige tun, indem sie beispielsweise Passwörter nicht mehrmals verwenden.

Besonders wichtig sei es aber, dass Firmen ihre Systeme immer wieder auf Verwundbarkeiten überprüfen. Und das könne niemand besser, als Experten von ausserhalb. «Lassen Sie Ihr Unternehmen regelmässig von Penetration-Testern hacken und stellen sie ein ‹Red Team› auf», lautet daher der Ratschlag von Elazari. «Denn Hacker sind nicht notwendigerweise böse Jungs, auch wenn sie schwarze Klamotten anhaben, eigenartige Umgangsformen pflegen und Heavy-Metall-Musik hören», so die Spezialistin. Vielmehr könnten diese zum «Immunsystem» einer IT-Organisation werden.
Um den die Widerstandsfähigkeit der eigenen Umgebung weiter zu erhöhen, sollten Firmen darüber hinaus sogenannte «Bug Bounty»-Programme einrichten. Dabei werden Hackern Belohnungen in Aussicht gestellt, wenn sie Sicherheitslücken entdecken und melden. «Was Techgrössen wie Google und Microsoft vormachen, sollten Sie ebenfalls in Erwägung ziehen», rät Elazari. Selbst eine Vorgehensweise wie jene des Pentagons, das Hacker eingeladen hat, die eigenen Systeme anzugreifen, sei vielversprechend. «In nur 13 Minuten war klar, wo die Schwachstellen liegen», berichtet Elazari. Denn so lange brauchte ein 13-Jähriger, um erfolgreich in die Systeme des US-Verteidigungsministeriums vorzudringen.

Firmen sollten also ihre Furcht vor Hackern ablegen, denn diese könnten einen wichtigen Beitrag zu einer sichereren Welt leisten, lautet demnach das Fazit von Elazaris Plädoyer.