Bereits im März starteten Hacker der Erpressergruppe „ “ Lapsus$ eine Reihe von Angriffen auf den Telekommunikationsriesen T-Mobile. Nachdem die Lapsus$-Bande gestohlene Zugangsdaten erworben und sich mit schmeichelnden Worten Zugang zu Mitarbeiterkonten verschafft hatte, gelangte sie an interne Tools von T-Mobile, wie beispielsweise das Kundenmanagementsystem. Von dort aus entwendeten Hacker einige der sensibelsten Daten der Organisation – mehr als 30 000 Quellcode-Repositorys. Zudem gelang es ihnen, die Handynummern der Kunden zu kapern und die Codes für die Zwei-Faktor-Authentifizierung abzufangen.
T-Mobile war jedoch nicht das einzige große Unternehmen, das mit einem schwerwiegenden Sicherheitsvorfall konfrontiert war. Im darauffolgenden Monat drohten weitere Hackerangriffe mit der Veröffentlichung riesiger Mengen hochsensibler und geschützter Daten bei Unternehmen wie (Coca-Cola),, (Nestlé),, (Epic Games), und (Scripps Health),.
Die Gesamtmenge an Daten, auf die Hacker mittlerweile zugreifen können, ist erschreckend: Laut dem Suchtool „ “ von Grayhat Warfare () sind etwa 8 Milliarden Dateien in Cloud-Speicherordnern ungeschützt, und laut einem für ProPublica ( ) durchgeführten Scan () sind mindestens 7,2 Millionen Datenbanken online ungeschützt.
Weniger umfangreich, aber weitaus wichtiger sind die sensibelsten und wertvollsten Daten eines Unternehmens – seine „Kronjuwelen“. Diese Dateien können beispielsweise Quellcode für die wichtigsten Produkte eines Unternehmens, Verschlüsselungsschlüssel oder vertrauliche Sicherheitsstrategien enthalten.
„Unternehmen müssen wissen, welche Daten für sie am wichtigsten sind, wo sich diese befinden und wie sie geschützt werden“, sagt Paul Perry, Leiter des Bereichs Sicherheit, Risiko und Kontrollen bei der Wirtschaftsprüfungsgesellschaft Warren Averett und Mitglied der ISACA-Arbeitsgruppe für aufkommende Trends.
„„Sollten diese Daten gehackt werden, könnten die Folgen katastrophal sein.“
Experten zufolge ist der Schutz der Kronjuwelen von entscheidender Bedeutung, doch die Umsetzung geeigneter Schutzmaßnahmen ist nicht immer einfach. Im Folgenden werden fünf Strategien vorgestellt, die Unternehmen beim Schutz ihrer wertvollsten Daten anwenden sollten.
Ermitteln Sie die wichtigsten Daten Ihres Unternehmens
Die Ermittlung, wo sich Ihre wichtigsten Daten befinden , ist ein notwendiger erster Schritt zu deren Schutz – und vielleicht der schwierigste, sagt Jenu Jose, Technical Solutions Engineer bei Tanium.
„Unternehmen müssen wissen, welche Daten für sie am wichtigsten sind, wo sich diese befinden und wie sie geschützt werden.“Paul Perry, Leiter des Bereichs Sicherheit, Risiko und Kontrollen bei Warren Averett
Die wichtigsten Daten seien innerhalb von Organisationen selten klar definiert, sagt er. Möglicherweise haben einige Unternehmen eine Datenschutzrichtlinie oder ein Klassifizierungssystem mit verschiedenen Kategorien für sensible und vertrauliche Daten erstellt. „Viele Unternehmen haben jedoch noch keine Bestandsaufnahme vorgenommen, um zu klären, was was ist, da dies zu aufwendig ist“, sagt Jose. „Das ist kein einfaches Projekt, das man in Angriff nehmen kann.“
Selbst die Suche nach besonders wertvollen Daten kann komplex sein: „Man kann nicht einfach eine schnelle Suche durchführen und all diese Daten zusammenstellen“, sagt er. „s Cloud-Computing erschwert die Suche erheblich, da sich die Daten im OneDrive einer Person, in Azure oder an einem anderen Ort in der Cloud befinden könnten.“ Sie müssen mehrere Plattformen durchsuchen, um sich ein genaues Bild davon zu machen, wo sich sensible Daten befinden und welche Ressourcen den höchsten Schutzgrad erfordern.
Bewerten Sie die Auswirkungen eines möglichen Datenlecks
Nachdem Unternehmen ihre wichtigsten Vermögenswerte ermittelt haben, sollten sie als Nächstes die Kritikalität jedes einzelnen Vermögenswerts abwägen, so Jose. Sie sollten sich fragen: Welche möglichen Auswirkungen hätte es, wenn eine bestimmte Ressource oder ein bestimmter Endpunkt kompromittiert würde?
„Bei der Einstufung der Kritikalität von Systemen geht es darum, Ihre Anwendungen, Ihre Server und Ihre Endgeräte zu verstehen und ihnen hinsichtlich des potenziellen Risikos eines Datenlecks eine unterschiedliche Gewichtung zuzuweisen“, sagt er. Diese Gewichtung kann in das allgemeine Bewertungssystem für Cyberrisiken eines Unternehmens einfließen.
Sobald Unternehmen die Kritikalität ihrer Vermögenswerte ermittelt haben, sollten sie eine Risikobewertung durchführen, um Schwachstellen zu ermitteln und die bestehenden Kontrollmaßnahmen zu deren Schutz zu bewerten, so Perry von Warren Averett. Mögliche Schwachstellen sollten mit allen Mitarbeitern der Organisation besprochen werden, sagt er. Die Buchhaltungsabteilung ist möglicherweise über Risiken informiert, die der IT-Abteilung nicht bekannt sind.
Lesen Sie auch: Cyber-Risikobewertungen sollten mehr sein als nur eine Zahl
„Sie müssen sich hinsetzen und sich Klarheit über Ihre Risiken verschaffen sowie darüber, welche Maßnahmen Sie dagegen ergreifen – aber, was noch wichtiger ist, Sie müssen auch erörtern, welche Maßnahmen Sie nicht ergreifen und welche Kontrollmechanismen Ihnen noch fehlen“, sagt Perry. „Risikobewertungen sollten fortlaufend erfolgen, da sich Ihre Risiken, Ihr Umfeld und Ihre Mitarbeiter im Laufe der Zeit ändern.“
Erhöhen Sie Ihre Sicherheitsvorkehrungen
Zusätzliche Abwehrmaßnahmen können vielfältige Formen annehmen, sagt Jose. Dazu gehören die Verschlüsselung bestimmter Dokumente, das Löschen von Daten an ungesicherten Speicherorten, die Sperrung von Geräten, damit keine privaten USB-Sticks zum Kopieren von Daten verwendet werden können, sowie die Einschränkung des Zugriffs auf bestimmte Informationen.
„“ Es kann sehr schwierig sein, festzustellen, wer Zugriff auf bestimmte Daten hat.“Jenu Jose, Ingenieur für technische Lösungen bei Tanium
„Es kann sehr schwierig sein, festzustellen, wer Zugriff auf bestimmte Daten hat“, sagt Jose. „Möglicherweise gibt es bei Ihnen eine Richtlinie, die besagt, dass alle Daten, die Kreditkarteninformationen enthalten, intern aufbewahrt werden müssen.“ „Aber dann gibt es einen Anwendungsfall, in dem jemand diese Daten nach außen weitergeben muss – wie schützen Sie sie also?“
Etablierte Unternehmen führen möglicherweise eine Liste der Personen, die Zugriff auf bestimmte Dateien haben, während andere Unternehmen ihren Mitarbeitern gestatten, ein Dokument per E-Mail ausschließlich an Geschäftspartner oder Lieferanten zu versenden. Der Versand an andere Empfänger würde automatisch blockiert werden. Bei der Absicherung ihrer Vermögenswerte müssen Unternehmen strategisch darüber nachdenken, wie sie einen Ausgleich zwischen den Kosten für den Schutz und der Akzeptanz der Führungskräfte gegenüber einem bestimmten Risikoniveau schaffen können.
Überwachen Sie sensible Daten kontinuierlich
Sobald die Kronjuwelen identifiziert, bewertet und geschützt wurden, sollten Organisationen diese überwachen. „-Überwachungstools sind aus datentechnischer Sicht die Augen und Ohren für die Aktivitäten in Ihrem Unternehmen – wer auf welche Daten zugreift, wie oft dies geschieht und ob ein Zugriff überhaupt möglich ist“, sagt Perry.
„Wenn Sie über einen Benutzernamen und ein Passwort verfügen und auf etwas zugreifen, üben Sie damit bereits eine IT-Funktion aus.“Perry
Die Datenüberwachung bietet einen tieferen Einblick in die Art und Weise, wie auf Dateien zugegriffen wird und wie diese genutzt werden. Dies kann insbesondere bei der Einhaltung behördlicher Vorschriften von Bedeutung sein: . „Um die Compliance-Anforderungen zu erfüllen, müssen Sie in der Lage sein, jede einzelne Änderung zu protokollieren, die an einer bestimmten Datei oder einer Gruppe von Dateien vorgenommen wird“, sagt Jose von Tanium. Oder es kann bei Personalangelegenheiten hilfreich sein. In einem laufenden Personalverfahren gegen einen Mitarbeiter möchte das Unternehmen beispielsweise möglicherweise den Zugriff auf sensible Daten auf den Geräten dieses Mitarbeiters überwachen.
Bei der Auswahl eines Überwachungstools sollten Unternehmen dessen Flexibilität bei der Erstellung benutzerdefinierter Definitionen für die sensiblen Daten des Unternehmens bewerten – darunter beispielsweise bestimmte Schlüsselwörter oder Projektnamen. Die Tools sollten zudem die neuesten KI-gestützten Sicherheitslösungen von sowie Tools mit integrierten Machine-Learning-Funktionen (ML) einsetzen, um die Anzahl der Fehlalarme, die das IT-Personal überfordern können, immer weiter zu minimieren.
Machen Sie Sicherheit zu einem zentralen Bestandteil Ihrer Unternehmenskultur
Die Sicherheitskultur eines Unternehmens bestimmt, wie gut es seine wertvollsten Daten schützt. In manchen Unternehmen hat jedoch die Bequemlichkeit Vorrang vor der Einführung wirksamer Sicherheitsmaßnahmen.
„Viele Unternehmen verfügen nicht über die erforderlichen Sicherheitsmaßnahmen, da die Mitarbeiter argumentieren, dass beispielsweise die Zwei-Faktor-Authentifizierung für sie oder ihre Kunden äußerst umständlich sei“, sagt Perry. „Auch Unternehmen sind gegenüber dem Thema Cybersicherheit mittlerweile abgestumpft.“ „Wenn Ihnen nur sehr begrenzte Ressourcen – sei es Personal oder Kapital – zur Verfügung stehen und Sie entscheiden müssen, wie Sie Daten am besten schützen können, kann dies für Unternehmen eine große Herausforderung darstellen.“
Der Aufbau einer soliden Cybersicherheitskultur beginnt an der Spitze, fügt Jose hinzu. Damit ein Unternehmen seine wichtigsten Daten erfolgreich schützen kann, müssen die Führungskräfte den Ansatz des Unternehmens im Bereich Cybersicherheit uneingeschränkt unterstützen. „Sicherheitsmaßnahmen funktionieren nur, wenn die Führungskräfte und das Unternehmen dahinterstehen“, sagt er.
Lesen Sie auch: Wie CISOs über Cyberrisiken sprechen können, damit CEOs ihnen tatsächlich zuhören
Die Einführung von Schutzmaßnahmen und Richtlinien – sowie deren Einhaltung – ist zudem eine unternehmensweite „ganzheitliche Verantwortung“, für die jeder in der Pflicht steht. „Ich versuche stets zu vermitteln, dass mittlerweile jeder in einem Unternehmen Teil der IT ist“, sagt Perry. „Wenn Sie über einen Benutzernamen und ein Passwort verfügen und auf etwas zugreifen, üben Sie damit in gewissem Maße eine IT-Funktion aus.“
Schließlich sind den IT-Mitarbeitern die Hände gebunden, wenn Mitarbeiter regelmäßig die Multi-Faktor-Authentifizierung umgehen oder unsichere Passwörter festlegen.
Letztendlich müssen Führungskräfte eine solide Strategie zur Identifizierung, Bewertung, Überwachung und zum Schutz ihrer wertvollsten Daten umsetzen – und zwar im Rahmen einer Sicherheitskultur. Ohne die Fähigkeit, dem Ansturm von Laserstrahlangriffen auf hochsensible Daten entgegenzuwirken, riskieren Unternehmen den potenziell verheerenden Verlust ihres Rufs, ihrer Kunden und ihrer wertvollsten Vermögenswerte.
