Es hat nicht lange gedauert, bis der Ruf von Snowflake in den Keller gerutscht ist – und der Cloud-Speicheranbieter mit einem Wert von 2 Milliarden Dollar hat dies wahrscheinlich nicht ganz verdient.
Ein Sicherheitsvorfall Ende Mai, für den das Unternehmen und Mandiant, ein auf Bedrohungsanalysen spezialisiertes Unternehmen, eine finanziell motivierte Gruppe namens „ “ (UNC5537 ) verantwortlich machten, könnte sich als der größte des Jahres erweisen. Bislang sind mindestens 165 Unternehmen betroffen, und die Liste wird weiterhin um weitere Namen ergänzt. Zu den namhaften Unternehmen, die bekannt gegeben haben, dass sie betroffen waren, gehören unter anderem , Advance Auto Parts, , AT&T, , Pure Storage, , Santander Bank sowie und Ticketmaster. Es folgte eine Welle von Klagen gegen „ “ ( ) sowie behördliche Untersuchungen () ( ).
Nach Angaben von Snowflake und Sicherheitsexperten gab es keine Hinweise darauf, dass diese Aktivität auf eine Sicherheitslücke, eine Fehlkonfiguration oder einen Sicherheitsverstoß im Zusammenhang mit den Produkten oder der Infrastruktur von Snowflake zurückzuführen war. Stattdessen wird davon ausgegangen, dass die Hacker Snowflake-Kunden ins Visier genommen haben, indem sie kompromittierte Zugangsdaten eines ehemaligen Snowflake-Mitarbeiters oder -Auftragnehmers nutzten (die Angaben hierzu variieren). Der Hauptgrund dafür, dass UNC5537 so viele Konten kompromittieren konnte, lag jedoch darin, dass diese Kunden keine mehrstufige Authentifizierung (MFA) über eingerichtet hatten.
Auch wenn die MFA-Funktion „ “ möglicherweise nicht immer den hohen Erwartungen gerecht wird, haben Snowflake, Mandiant und andere Sicherheitsexperten erklärt, dass betroffene Kunden, hätten sie diese Funktion genutzt, wahrscheinlich nicht angegriffen worden wären. Eine wichtige Erkenntnis aus diesem Sicherheitsvorfall ist daher, die mehrstufige Authentifizierung (MFA) unter allen Umständen einzuführen. Doch es ist nicht das einzige.
Hier sind fünf wichtige Erkenntnisse, die Führungskräfte und IT-Verantwortliche aus diesem Ereignis ziehen sollten:
1. Geteilte Verantwortung: Es liegt nicht allein an Snowflake
Nur weil Sie Ihre Daten in der Cloud speichern, bedeutet das nicht, dass Sie davon ausgehen sollten, dass Snowflake – oder irgendein anderer Anbieter von „ “-Cloud- en – sich um alle damit verbundenen Sicherheitsaspekte kümmert. Selbstverständlich müssen sie die Systeme, auf denen Ihre Daten gespeichert sind, schützen und diese verschlüsselt aufbewahren. Wenn Sie jedoch nicht Ihren Teil dazu beitragen, zu überwachen, wer darauf zugreifen darf, dann ist das Ihre eigene Verantwortung.
Steve Zalewski, ehemaliger CISO bei Levi Strauss, drückt es so aus: „Wenn Sie ein Haus kaufen, ist an der Haustür ein Schloss angebracht.“ Wir geben Ihnen den Schlüssel zum Schloss. Aber es liegt an Ihnen, zu entscheiden, wie viele Kopien Sie anfertigen und ob Sie zusätzlich noch ein Riegelschloss anbringen.“ Mit anderen Worten: Snowflake hat Ihnen Speicherplatz für Ihre Daten verkauft und diesen Speicherort gesichert, doch es liegt an Ihnen, den Zugriff darauf zu verwalten. Sie lassen die Tür offen, wenn Sie die Zwei-Faktor-Authentifizierung nicht aktivieren oder keine sicheren Zugriffskontrollen einführen.
„: Wenn Sie ein Haus kaufen, ist an der Haustür ein Schloss angebracht. Wir geben Ihnen den Schlüssel zum Schloss. Es liegt jedoch an Ihnen, zu entscheiden, wie viele Kopien Sie anfertigen und ob Sie zusätzlich noch ein Riegelschloss anbringen möchten.”Steve Zalewski, ehemaliger CISO bei Levi Strauss
Snowflake hätte es jedoch besser machen können: Um die Analogie zur Immobilienbranche fortzuführen: Makler und Kreditgeber sind gesetzlich verpflichtet, Hauskäufern Broschüren und Informationsblätter zur Verfügung zu stellen, in denen sie über Aspekte ihrer Immobilien oder ihrer Nachbarschaft aufgeklärt werden, die ihnen schaden könnten. In ähnlicher Weise erklärte Snowflake angesichts des Drucks seitens der Öffentlichkeitsarbeit umgehend, man werde einen Plan ausarbeiten, der von den Kunden die „Implementierung fortschrittlicher Sicherheitsmaßnahmen wie der Multi-Faktor-Authentifizierung“ oder von Netzwerkrichtlinien vorschreibt, insbesondere für privilegierte Snowflake-Kundenkonten.
Die Lehre daraus: Warten Sie nicht, bis Snowflake Sie dazu zwingt, Ihren Beitrag zu leisten. Führen Sie die mehrstufige Authentifizierung (MFA) unverzüglich ein und klären Sie Ihr gesamtes Team über die berechtigten geschäftlichen und IT-Gründe hierfür auf.
2. IAM ist der neue beste Freund eines Snowflake-Kunden (und sollte auch der Ihre sein)
Identitäts- und Zugriffsmanagement (IAM) ist nicht nur ein Modewort – es ist Ihre erste Verteidigungslinie. Einer der Hauptfaktoren für den Datenverstoß bei Snowflake war eine unzureichende Identitäts- und Zugriffsverwaltung (IAM). Einfach ausgedrückt: Die Unternehmen hatten nicht genau geregelt, wer auf welche Daten zugreifen durfte, und das rächte sich schließlich.
„Implementieren Sie erweiterte Sicherheitsmaßnahmen wie die Multi-Faktor-Authentifizierung.“Ein Ratschlag von Snowflake an die Kunden, der leider zu spät erging
Johannes Ullrich, Dekan für Forschung am SANS Technology Institute, erklärt: „Stellen Sie sicher, dass ausreichende Kontrollmaßnahmen rund um die Daten vorhanden sind … einschließlich MFA ( ) oder einer gegen Phishingresistenten Authentifizierung.“ Mit anderen Worten: Verlassen Sie sich nicht auf eine unsichere Kombination aus Benutzername und Passwort wie „ “ und „ “, sagt er. Ein MFA-Abschluss ist nicht nur eine nette Zugabe – er ist ein Muss. Hacker werden zwar immer raffinierter, doch diese zusätzliche Sicherheitsebene schreckt sie nach wie vor ab.
Die Erkenntnis: „ “ – ein MFA-Studium für alle. Es gibt keine Ausnahmen. Stellen Sie sicher, dass die Zugriffskontrollen strenger sind als bei Ihrem Netflix-Konto, wenn eine kostenlose Testphase endet.
3. „Zero Trust“ ist keine Paranoia – es ist eine Frage des Überlebens
Sie haben wahrscheinlich schon von „ “ im Zusammenhang mit Zero-Trust- gehört und haben dies inzwischen bereits umgesetzt. Falls Sie dies noch nicht kennen sollten: Dieser strategische Ansatz zur Cybersicherheit lautet im Wesentlichen: „Vertrauen Sie niemandem und nichts, bis sich deren Identität als wahr erwiesen hat – selbst nachdem ihnen Netzwerkzugang der ersten Ebene gewährt wurde.“
Keine Person und keine Maschine darf sich ohne Genehmigung fortbewegen. Benutzer erhalten nur dann Zugriff auf Netzwerkressourcen, wenn ihre Berufsbezeichnung oder ihre Funktion dies vorsieht. Das ähnelt den physischen Sicherheitssystemen eines großen Internetunternehmens. Nicht einmal der Vorstandsvorsitzende hat Zugang zu dem Raum, in dem äußerst sensible technische Informationen aufbewahrt werden; dem obersten Geschäftsführer ist der Zutritt nur zu den Räumen gestattet, in denen er oder sie sich tatsächlich aufhalten muss.
Solche Ansätze mögen extrem und schwer umsetzbar erscheinen, doch angesichts der Tatsache, dass Sicherheitsverletzungen globale Unternehmen laut einer aktuellen Studie des IBM-Ponemon Institute mit dem Titel „ “ () durchschnittlich 4,5 Millionen US-Dollar pro Vorfall kosten, können Sie es sich nicht leisten, den gesunden Menschenverstand des Zero-Trust-Ansatzes außer Acht zu lassen.
„Zero Trust“ bedeutet nicht, alles so stark zu sichern, dass keine Funktionalität mehr gegeben ist – es bedeutet vielmehr eine kontinuierliche Überprüfung, um sicherzustellen, dass Benutzer und Geräte bei jedem Schritt tatsächlich die sind, für die sie sich ausgeben.
Die Lektion: Machen Sie mit. Setzen Sie Zero-Trust-Prinzipien um, sodass jede Zugriffsanfrage mit Skepsis betrachtet und einer Verifizierungsabfrage unterzogen wird.
4. Testen, testen und noch einmal testen
Niemand bringt ein neues Produkt auf den Markt, ohne es zuvor zu testen – warum sollte also jemand ein Sicherheitssystem einführen, ohne es regelmäßig zu testen? Hier kommen Penetrationstests (Pen-Tests) und die Überwachung der Angriffsfläche ins Spiel.
„Selbst für ein großes Unternehmen kann es wichtig sein, die eigene Sicherheitslage von einer externen Stelle aus einer anderen Perspektive als der der internen Mitarbeiter überprüfen zu lassen.“Johannes Ullrich, Dekan für Forschung am SANS Technology Institute
Es handelt sich hierbei nicht um Betrugsmaschen, die darauf abzielen, Ihre Budgets auszubeuten. Es handelt sich um hochmoderne Werkzeuge, die in keinem Arsenal für intelligente Sicherheitsoperationen (SecOps) fehlen dürfen. Die meisten Pen-Tester – ethische Hacker , die zur Simulation von Cyberangriffen engagiert werden – sind vollkommen seriös, und viele von ihnen haben diese Art von Arbeit für Militär und Geheimdienste in den Vereinigten Staaten, Israel und anderen Ländern mit hohem Bewusstsein für Cybersicherheit geleistet. Außerdem können sie Ihre Identitäts- und Zugriffskontrollen überprüfen, um sicherzustellen, dass diese böswillige Akteure fernhalten. Selbst wenn die Ergebnisse nicht von Bedeutung sein sollten, ist diese Gewissheit besser, als nicht zu wissen oder nicht zu erkennen, dass eine schwerwiegende Sicherheitslücke unter darauf wartet, ausgenutzt zu werden – was Sie viel Zeit und Geld sowie Ihren guten Ruf kosten könnte.
„Selbst für ein großes Unternehmen kann es wichtig sein, die eigene Sicherheitslage von einer externen Stelle aus einer anderen Perspektive als der der eigenen Mitarbeiter überprüfen zu lassen“, sagt Ullrich. Unternehmen neigen dazu, ihren internen Teams etwas zu viel Vertrauen zu schenken. Eine neue Perspektive auf Ihre Sicherheitsvorkehrungen einzuholen, ist vergleichbar mit einer Zweitmeinung zu einer medizinischen Diagnose. Das nennt man Pragmatismus, nicht Paranoia.
Die Erkenntnis: Regelmäßige Penetrationstests sind Ihr Sicherheitstest. Beauftragen Sie Fachleute, um die Schwachstellen aufzudecken, bevor es zu spät ist.
5. Seien Sie darauf vorbereitet, die Folgen zu beseitigen (denn der nächste Datenleck-Vorfall à la „Snowflake“ wird eintreten)
Selbst wenn die besten Sicherheitsmaßnahmen getroffen werden, ist es so gut wie sicher, dass es dennoch zu Sicherheitsverletzungen kommen wird. Sie haben das wahrscheinlich schon einmal gehört, aber man kann es nicht oft genug wiederholen: Es geht nicht darum, ob , , sondern darum, wann . Und wenn dieser Tag kommt, kann Ihre Reaktion über Ihren Ruf entscheiden.
Ullrich und Zalewski sind sich einig, dass ein solider Plan zur Reaktion auf Vorfälle unverzichtbar ist.
„Sie sollten wissen, wo sich Ihre Daten befinden“, rät Ullrich. Es klingt einfach, sagt er, doch im Falle einer Sicherheitsverletzung kann es wertvolle Zeit sparen, wenn Sie wissen, wo sich Ihre kritischen Daten befinden – und wer Zugriff darauf hat. Zalewski fügt hinzu, dass Unternehmen ihre Teams proaktiv im Umgang mit solchen Situationen schulen müssen: „Sicherheit ist eine Aufgabe für alle.“
Im Fall von Snowflake hat eine schnelle und wirksame Reaktion das Unternehmen vor einem weitaus schlimmeren PR-Desaster bewahrt , doch das bedeutet nicht, dass andere Unternehmen sich in Sicherheit wiegen sollten. Bei der Incident-Response- geht es vor allem darum, den Schaden zu minimieren und transparent mit den Kunden zu kommunizieren.
Die Lehre daraus: Erstellen Sie Ihren Plan zur Reaktion auf Vorfälle bereits jetzt und warten Sie nicht, bis etwas schiefgeht. Denken Sie daran: „ “ – Cyberhygiene (MFA, regelmäßige Patches, Schulungen) – ist der Schlüssel zur Vermeidung schwerwiegender Vorfälle.
Das Fazit: Warten Sie nicht, bis eine Katastrophe eintritt
Der Datenverstoß bei Snowflake ist ein Weckruf, aber auch eine Chance. Kein Cloud-Anbieter – ganz gleich, wie groß oder sicher er auch sein mag – kann Ihre Daten vollständig für Sie schützen. Tatsächlich gehört das nicht ganz zu ihren Aufgaben. Es handelt sich um eine gemeinsame Verantwortung, und die Unternehmen müssen ihre Anstrengungen verstärken.
Beherzigen Sie also diese fünf Lehren: Setzen Sie verstärkt auf IAM, setzen Sie auf Zero-Trust, testen Sie Ihre Abwehrmaßnahmen regelmäßig und stellen Sie verdammt sicher, dass Ihr Team bereit ist, sofort einzugreifen, wenn etwas schiefgeht. Denn in der Welt der Cybersicherheit geht es nicht nur darum, sich zu verteidigen – es geht darum, immer einen Schritt voraus zu sein.
