Production Perig - stock.adobe.c
Zehn wichtige Cybersicherheitstrends für 2023
Neuartige Malware- und Ransomware-Attacken setzen Unternehmen auch 2023 unter Druck. Auf welche IT-Sicherheitsrisiken sollten IT-Teams im nächsten Jahr ihr Augenmerk richten?
Die Pandemie hatte IT-Organisationen weltweit dazu gezwungen, ihren Mitarbeitern und Lieferanten neue Remote-Arbeitszugänge zu schaffen. Viele Unternehmen setzten die anspruchsvollen Anforderungen mit Bravour um, doch die schnelle Umstellung der Betriebsabläufe führte oft auch zu übereilten Notlösungen mit entsprechenden Sicherheitsrisiken. Mittlerweile werden Sicherheitsverstöße so häufig öffentlich, dass es nur noch die gefährlichsten oder spektakulärsten Vorfälle in die Medien schaffen. Die weltweiten Aktivitäten von Cyberkriminellen gehen mit unveränderter Dynamik weiter.
1. Unterschiede bei Zero Trust
Bei der Implementierung von Zero Trust sind im Jahr 2023 deutliche Unterschiede zu erwarten. Einige Lösungen werden tatsächlich alle sieben Zero-Trust-Grundsätze des NIST 800-207-Modells umsetzen und eine IT-Architektur gemäß NIST 1800-35b unterstützen. Die Bandbreite reicht von Technologien zur Zero-Trust-Authentifizierung und Verhaltensüberwachung bis zu einem geschlossenen IT-Sicherheitsmodell, das eine Reaktion auf unterschiedliche Ereignisse ermöglicht.
SOAR-Lösungen (Security Orchestration Automation and Responses) stellen Softwareprogramme und Verfahren zur Verfügung, mit denen sich Informationen über Sicherheitsbedrohungen sammeln und automatisiert entschärfen lassen. In den nächsten Jahren wird diese Technologie weiter reifen und die einzelnen Aspekte des Zero-Trust-Modells integrieren. Auf diese Weise lassen sich unterschiedlichste Anwendungsfälle und das darauf basierte Zero-Trust-Modell durch komplette End-to-End-Lösungen abbilden.
2. Kamera-Malware: Bitte lächeln!
Per Kamera dokumentieren Smartphones tagtäglich unseren Alltag aus unterschiedlichsten Veranstaltungen, Reiseerlebnissen und persönlichen Erinnerungen. Inzwischen verfügen die Mobilgeräte über leistungsstarke Algorithmen und sogar künstliche Intelligenz zur Verbesserung der Bildqualität. Schon längst missbrauchen raffinierte Hacker diese Features, um an die Daten von Nutzern zu gelangen. Foto- und Videotechnologien lassen sich auch für die Ausführung von Malware ausnutzen. Manipulierte QR-Codes sind erste Beispiele dafür, wie Hacker verstärkt Malware auf Smartphones installieren.
3. Angriffswelle durch Erpresser-Vaporware
Die grassierende Ransomware-Flut ist so massiv, dass Organisationen jederzeit mit dem Schlimmsten rechnen müssen. Gewiefte Bedrohungsakteure machen sich diese Gefahrenlage zunutze, indem sie erfolgreiche Angriffe lediglich fingieren, um Lösegelder zu erpressen. Für 2023 ist von einer Welle an Vaporware mit fiktiven Sicherheitsverstößen auszugehen. Cyberkriminelle werden mit der Veröffentlichung von sensiblen Daten drohen, in deren Besitz sie aber gar nicht sind. Und Unternehmen werden womöglich lieber zahlen, als das Risiko von Reputationsverlusten einzugehen.
4. Multi-Faktor-Authentifikation (MFA) umgangen
Hackergruppen wie Lapsus$ haben 2022 die Zwei-Faktor-Authentifizierung durch MFA-Bombing oder MFA-Fatigue ausgehebelt. Im Jahr 2023 folgt eine neue Runde an weiterentwickelten Phishing-Angriffen, die gängige Verfahren umgehen. Das National Institute of Standards and Technology in den USA empfiehlt daher, SMS für die Authentifizierung grundsätzlich nicht mehr zu verwenden. Unternehmen sollten damit rechnen, dass SMS- oder E-Mail-basierte Authentifikationsverfahren durch Exploit-Techniken untergraben werden. Zur Einhaltung der erforderlichen Integrität steigt der Bedarf an MFA-Lösungen, die biometrische oder FIDO2-konforme Technologien einsetzen.
5. OT wird smarter und verschmilzt mit IT
Es zeichnet sich ab, dass sich die Angriffsvektoren für Operational Technology (OT, Betriebstechnologie) analog zur IT-Cybersicherheitslage entwickeln. Industrielle OT-Umgebungen beschränken sich nicht mehr auf einzelne Spezialfunktionen, sondern nutzen verstärkt intelligente Prozesse und kommerzielle Betriebssysteme oder Anwendungen. Mit der Erweiterung der Aufgaben erhöht sich indes die Zahl der Schwachstellen und Risiken. Die Folge: OT-Systeme müssen wie andere IT-Assets auch gewartet und aktualisiert werden, so dass OT- und IT-Technologien zusammenwachsen. Durch die Umstellung dieser Abläufe wachsen die Probleme, weil die Fehleranfälligkeit und Komplexität steigen.
6. Kein Cyberversicherungsschutz?
Aufgrund der finanziellen Schäden durch Cyberkriminalität und der nicht abebbenden Flut an Ransomware-Angriffen ist es schwierig geworden, eine qualitativ hochwertige Cyberversicherung zu einem vernünftigen Preis zu erhalten. Im Jahr 2023 werden immer mehr Unternehmen zur nüchternen Erkenntnis kommen, dass sie entweder die Anforderungskriterien der Versicherungsträger nicht erfüllen oder die Policen schlichtweg zu teuer sind. Dieser Trend der Vorjahre verstärkt sich weiter und beraubt Organisationen wertvoller Optionen. Der Verzicht auf eine Cyberversicherung oder die Reduzierung des Versicherungsschutzes auf einen eng begrenzten Umfang reißt große Lücken mit langfristigen, finanziellen Auswirkungen.
7. Das Ende persönlicher Passwörter
Passwortfreie Authentifizierungsverfahren werden immer populärer und leiten damit das Ende des persönlichen Kennworts ein. Eine wachsende Zahl an Applikationen integriert fortschrittliche Technologien, die biometrische Merkmale statt Passwörter zur Identifizierung verwenden — beispielsweise Microsoft Hello, Apple FaceID oder TouchID.
Noch setzen persönliche Konten häufig Kennwörter für den Fallback ein, aber die Bereitschaft nimmt deutlich ab, Passwörter erstellen, abrufen und eingeben zu müssen. Zukünftig werden Passcodes überflüssig, weil die Zugangssysteme mehrere Erkennungsmethoden (Fingerabdruck, Tippdynamik oder Spracherkennung) zur Authentifikation nutzen werden. Zwar wird das Ende persönlicher Passwörter schon länger vorhergesagt, aber jetzt scheint der Wendepunkt tatsächlich in Reichweite.
8. Kunden wollen mehr Transparenz über Cloud-Prozesse
Cloud-Dienste sind Teil des privaten und beruflichen Alltags. Allerdings haben Nutzer nur einen begrenzten Einblick in die Sicherheit von Cloud-Angeboten. Das CVE-Programm (Common Vulnerabilities and Exposure) beispielsweise gilt nicht für die Cloud, so dass Unternehmen über die tatsächlichen Risiken oder das Patchen identifizierter Schwachstellen nicht im Bilde sind.
Cloud-Service-Provider und SaaS-Anbieter (Software as Service) verschleiern häufig ihre IT-Sicherheits- und Betriebsabläufe, um sich vor Bedrohungsakteuren zu schützen. Auf Druck der Kunden wird die Transparenz über Cloud-Sicherheitsrisiken und die Sicherheitsprozesse von SaaS-Lösungen, Cloud-Anbietern und ihren Diensten in Zukunft zunehmen (müssen). Das betrifft sowohl Fragen der IT-Architektur mit ihren grundlegenden Komponenten als auch entdeckte Schwachstellen, die anhand von SOC- und ISO-Zertifizierungen sowie CVEs dokumentiert werden.
„Je mehr CISOs und IT-Fachexperten die Herausforderungen und Trends bei der Absicherung von modernen Technologien verstehen, desto besser sind sie auf Investitionsentscheidungen im Unternehmen vorbereitet.“
Morey J. Haber BeyondTrust
9. Social Engineering in der Cloud
Jedes gefälschte Social-Media-Profil kann unabsehbare Risiken nach sich ziehen, wenn sich Cyberkriminelle unter falscher Identität gefährlichen Zugriff auf vertrauliche Daten und Dienste verschaffen. So tauchten auf dem Karriereportal LinkedIn bereits gefälschte CISO-Profile auf, über die Betrüger in fremdem Namen agierten.
Arbeitgeber sollten daher robuste Sicherheitsprozesse wie Hintergrundüberprüfungen nutzen, um nicht im Geschäftsalltag oder bei der Suche nach Bewerbern in die Irre geleitet zu werden. Die Gefahr durch soziale Medien als Angriffsvektor in Cloud-Strukturen wächst 2023. Betrüger werden sich aus frei verfügbaren Quellen mit unterschiedlichen Informationen versorgen, um Social-Engineering-Angriffe auf Arbeitgeber und Organisationen durchzuführen.
10. Anstieg digitaler Identitäten ohne Zuordnung
Digitale Identitäten sind ein bewegliches Ziel. Jahr für Jahr erweitert sich die Zahl der IT-Assets und Objekte. Auch im Jahr 2023 wird die Liste der zugeordneten digitalen Identitäten weiter wachsen. Dabei kann es sich um Dienste, Anwendungen, Prozesse und sogar Geräte in der realen Welt, wie zum Beispiel Roboter, handeln. Letztendlich zählen alle vernetzten Systeme dazu, die Identitäts- und Authentifizierungsinformationen weitergeben.
Digitale Identitäten ohne Zuordnung umfassen dabei verzeichnisbasierte Identitätsdienste, die häufig innerhalb von Organisationen oder als Dienst angeboten werden. Dabei kann es sich um Anbieter, Gastnutzer oder andere Personen und Maschinen von Drittanbietern handeln, die nur kurzzeitigen Zugriff auf einzelne IT-Assets und Services benötigen. Sie befinden sich damit außerhalb der Kontrolle und können durchaus große Bereiche eines Unternehmens betreffen. Mit Blick auf eine zuverlässige Zugriffskontrolle wird diese Situation den IT-Verantwortlichen heftiges Kopfzerbrechen bei IT-Bereitstellung und IT-Management bereiten.
Bessere Prognosen führen zu besseren Entscheidungen
IT-Vorhersagen zur Cybersicherheit sind wichtig. Je mehr CISOs und IT-Fachexperten die Herausforderungen und Trends bei der Absicherung von modernen Technologien verstehen, desto besser sind sie auf Investitionsentscheidungen im Unternehmen vorbereitet. Im Endergebnis machen genau diese Analysen den entscheidenden Unterschied zwischen einer proaktiven oder reaktiven Herangehensweise. Mit dem richtigen Sicherheitsansatz lassen sich neue Technologie- und Geschäftsanforderungen beherrschen, denn bessere Prognosen führen zu besseren Entscheidungen.
Die Autoren sind für den Inhalt und die Richtigkeit ihrer Beiträge selbst verantwortlich. Die dargelegten Meinungen geben die Ansichten der Autoren wieder.
