Nachdem Cyberkriminelle die größte Gaspipeline der USA gehackt hatten, wodurch diese tagelang stillgelegt wurde und die Energiemärkte sowie die Verbraucher in Unruhe versetzt wurden, stand eines fest: Die kritische Infrastruktur des Landes – und die Technologien, die sie sichern und am Laufen halten – ist in einem gefährlichen Zustand.
Der Ransomware-Angriff auf Colonial Pipeline, der das Unternehmen dazu zwang, seine 5 500 Meilen lange Pipeline für mehrere Tage stillzulegen, löste einen sprunghaften Anstieg der Benzinpreise aus, veranlasste 17 Bundesstaaten, den Notstand auszurufen, und führte dazu, dass die Menschen im Südosten in Panik Benzin hamsterten.
Präsident Biden hat kürzlich die mit Spannung erwartete Verordnung „ “ () erlassen, um die Cybersicherheitsmaßnahmen der Bundesregierung zu stärken. Dazu gehörten neue Sicherheitsstandards für Softwareanbieter der Bundesbehörden sowie die Einrichtung eines Prüfungsgremiums für Cybervorfälle auf Bundesebene.
Der Angriff auf die Colonial Pipeline ist nur der jüngste einer Reihe von Angriffen, die sich gegen US-Versorgungsunternehmen, Krankenhäuser sowie lokale und bundesstaatliche Behörden richten. Das Problem, so Matthew Masterson, Policy Fellow am Stanford Internet Observatory der „ “ ( ) und ehemaliger leitender Berater bei der Cybersecurity and Infrastructure Security Agency (CISA) des Ministeriums für Innere Sicherheit, besteht darin, dass diese Einrichtungen leichte Ziele sind.
„Die Systeme und die Software, die die kritische Infrastruktur unseres Landes stützen, müssen an vielen Stellen modernisiert werden“, sagt Masterson. Sein Rat: „Ob es sich nun um Geschäftssysteme auf Landes- und Bundesebene, um Server in kleinen Unternehmen, die die Strafverfolgungsbehörden unterstützen, oder um Software zur Unterstützung von Krankenhäusern handelt – jetzt ist der richtige Zeitpunkt, um zu investieren.“
„Die Systeme und die Software, die die kritische Infrastruktur unseres Landes stützen, müssen an vielen Stellen modernisiert werden.“Matthew Masterson, Stanford Internet Observatory
IT-Sicherheitsexperten gehen davon aus, dass sich diese Lücken in der digitalen Infrastruktur weiter vergrößern. Dadurch haben Cyberkriminelle mehr Spielraum, in diese kritischen Systeme einzudringen, Informationen zu entwenden oder zu verändern sowie Betriebsabläufe zu kapern oder lahmzulegen. Diese Sicherheitsverletzungen stellen mehr als nur eine Störung des Alltags dar; sie können schwerwiegende und sogar lebensbedrohliche Folgen haben.
Betrachten Sie diese jüngsten Angriffe. Im April verübten Hacker einen Ransomware-Angriff vom Typ „ “ auf die Polizeibehörde von Washington, D.C., und drohten damit, die Identitäten von verdeckten Informanten offenzulegen. Im Februar griffen Hacker eine Wasseraufbereitungsanlage in Florida an und versuchten, die Wasserversorgung zu vergiften . In den vergangenen zwei Jahren haben Hacker in mindestens acht Städten – darunter Atlanta, Baltimore und New Orleans – Angriffe ver, wodurch Dienste und Einrichtungen lahmgelegt wurden und die Behebung der Schäden Millionen von Dollar gekostet hat.
„Der großflächige und zerstörerische Einsatz von Ransomware auf Landes-, Kreis- und Stadtebene hat als Weckruf gedient, in die Cybersicherheitsinfrastruktur zu investieren“, sagt Masterson und weist darauf hin, dass vielen Gemeinden die Ressourcen für digitale Modernisierungen fehlen oder dass sie diese zugunsten anderer Investitionsvorhaben auf die lange Bank geschoben haben.
„Kriminelle verlagern ihren Fokus auf Infrastruktur in Kleinstädten.“
Cyberkriminelle hingegen verfolgen die Entwicklung und verlagern ihre Angriffe nach unten, um die Infrastruktur in Kleinstädten anzugreifen. Und sie erkennen ein leichtes Opfer, sobald sie eines finden. „Hacker werden diese Ziele wiederholt angreifen, da sie wissen, dass sie wahrscheinlich immer wieder dafür bezahlt werden“, so Masterson. Glücklicherweise gibt es Maßnahmen, die CIOs bereits heute ergreifen können, um Angriffe in der Zukunft zu verhindern oder deren Auswirkungen zu mindern.
Die Qualifikationslücke schließen
Digitale Technologien haben der Infrastruktur des Landes zahlreiche Vorteile beschert. Durch automatisierten Lastausgleich hat Software die Zuverlässigkeit der Energieversorgung erhöht. Künstliche Intelligenz hat die Leistungsfähigkeit der Wasserkraftwerke von verbessert. Die Automatisierung hat die Produktivität gesteigert und es wichtigen Mitarbeitern – vom Gesundheitswesen bis zur Fertigung – ermöglicht, sich auf anspruchsvollere Aufgaben zu konzentrieren, was die Arbeitszufriedenheit der Mitarbeiter erhöht und die Geschäftsergebnisse verbessert.
Doch die Digitalisierung hat ihren Preis. Jim McKenney, technischer Leiter für „ “ bei der IT-Sicherheitsberatungsfirma NCC Group, erklärt, dass mit zunehmender Automatisierung die Fachkräfte, die für die Verwaltung großer, komplexer und geschäftskritischer Systeme benötigt werden, den Anschluss verlieren. „Das Wissen und die Fähigkeiten, die für die Ausführung grundlegender Aufgaben wie die Fehlerbehebung oder die Wartung der Infrastruktur – unabhängig von der jeweiligen Technologie – erforderlich sind, werden durch das Versprechen der digitalen Transformation überflüssig“, sagt McKenney.
[Lesen Sie auch: Die nächste Generation der Cybersicherheit]
Es ist kein Geheimnis, dass die USA unter einem Fachkräftemangel im Bereich Cybersicherheit leiden, der dazu führen wird, dass in diesem Jahr 500 000 Stellen im Technologiebereich unbesetzt bleiben, so der Bericht „ “ des Aspen Institute. Während an vierjährigen Hochschulen intensiv Personal für diese Stellen rekrutiert wird, blicken etabliertere, sicherheitsorientierte Unternehmen über den Tellerrand hinaus und greifen auf „-New-Collar“-Fachkräfte zurück, die über grundlegende Kompetenzen verfügen, um sie zu zukünftigen Cyber-Talenten auszubilden.
Viele sind zudem bestrebt, ihre Belegschaft vielfältiger zu gestalten, und wenden sich an Organisationen wie „ “, „Black Girls Code“ (), „ “, „The Diana Initiative“ () sowie das „ Executive Women’s Forum“ ( ), um eine vielfältige Gruppe qualifizierter Fachkräfte zu identifizieren und zu fördern. Manche richten ihren Blick auf das andere Ende der Karriereleiter und stellen ältere Arbeitnehmer ein, die sich aus ihrem bisherigen Berufsfeld zurückgezogen haben und umgeschult werden können. Investitionen in Ausbildungsprogramme und Mentoring-Programme können dazu beitragen, dass diese eher untypischen Arbeitskräfte schnell auf den neuesten Stand gebracht werden.
Geben Sie Ihr Geld proaktiv aus
Wann immer etwas Schlimmes passiert, gibt es ein Sprichwort: Folgen Sie dem Geld. Bei Cyberangriffen sollte man sich an folgenden Grundsatz halten: Folgen Sie dem Geldmangel. Allzu oft treten IT- und Sicherheitsprojekte in den Hintergrund gegenüber anderen Initiativen, die für alle sichtbar sind und auf die sich alle einigen können. „Die Finanzierung ist immer ein Thema“, sagt Rechtsanwalt Michael Bahar, ehemaliger stellvertretender Rechtsberater des Nationalen Sicherheitsrates im Weißen Haus und Co-Leiter des Bereichs globale Cybersicherheit und Datenschutz bei Eversheds Sutherland.
Viele CIOs und CISOs blicken auf ein Jahr mit beispiellosen Erfolgen bei der Bereitstellung und Absicherung von Arbeitsplätzen im Homeoffice zurück. Viele sehen sich jedoch auch mit gekürzten Budgets konfrontiert, insbesondere in Behörden und Infrastrukturunternehmen. Um böswilligen Akteuren einen Schritt voraus zu sein, müssen Unternehmen Wege finden, in jene Initiativen und Technologien zu investieren, die ihre digitale Infrastruktur schützen. An erster Stelle unter diesen Projekten steht die Investition in die Verwaltung von Ressourcen auf hybriden Cloud-Plattformen, die sowohl öffentliche als auch private Clouds umfassen.
„Die Finanzierung von IT und Sicherheit ist stets ein Thema.“Michael Bahar, Leiter des Bereichs Cybersicherheit bei Eversheds Sutherland
Die Infrastruktur leidet insgesamt unter mangelnder Transparenz, und die Nutzung mehrerer Cloud-Plattformen verkompliziert ein ohnehin schon unübersichtliches Bild: Unternehmen können nicht schützen, was sie nicht sehen können. Mit den Endpoint-Detection-and-Response-Plattformen von sowie den Überwachungsfunktionen können sie sich einen klaren Überblick verschaffen.
[Lesen Sie auch: Es ist an der Zeit, sich nicht mehr mit schlechten Daten zufrieden zu geben]
Bahar erklärt jedoch, dass Cybersicherheit nicht immer teuer sein oder einen neuen Haushaltsposten erfordern muss. Unternehmen, die kritische Infrastrukturen verwalten – sei es in den Bereichen Energie, Gesundheitswesen, Bankwesen oder Wasserversorgung – müssen Zeit darauf verwenden, eigene Risiko- und Schwachstellenanalysen durchzuführen. Dazu gehören sowohl die Bewertung der von ihnen eingesetzten Anbieter als auch der sinnvolle Austausch von Informationen über Cyberbedrohungen.
„Oft“, fügt er hinzu, „ist die Lösung für Hightech-Probleme sehr Lowtech.“ Als Beispiel führt Bahar an, dass Hacker bekanntermaßen die Beleuchtung in Energiekontrollräumen ins Visier nehmen, um den Betrieb zu stören. Die kostengünstige Lösung: batteriebetriebene Taschenlampen, damit die Mitarbeiter im Kontrollraum nicht (im wörtlichen wie im übertragenen Sinne) im Dunkeln tappen.
Achten Sie auf eine gute IT-Hygiene
Untersuchungen zeigen, dass mangelnde Cybersicherheit 90 % der Unternehmen anfällig für Hackerangriffe macht. Durch die Einführung von Maßnahmen zur digitalen Hygiene, wie beispielsweise die Abkehr von veralteten Systemen und die regelmäßige Installation von Software-Patches, können Infrastrukturbetreiber ihr Risiko für Sicherheitsverletzungen verringern.
Zu den weiteren wesentlichen Maßnahmen gehören die Erstellung sicherer Benutzerkennwörter unter , die Verwendung sicherer Passwörter unter, die Nutzung der Multi-Faktor-Authentifizierung unter , sowie die Einführung eines Zero-Trust-Modells, bei dem jedes Gerät seine Authentizität bei jedem Verbindungsversuch mit Ihrem Netzwerk nachweisen muss.
Es ist zudem von entscheidender Bedeutung, Transparenz und Kontrolle über Ihr Netzwerk zu erlangen, zu dem Tausende von Geräten und Endpunkten gehören – von PCs bis hin zu virtuellen Maschinen in der Cloud –, die mit Ihrem System verbunden sind. Masterson empfiehlt eine genaue Leistungsüberwachung und ein Konfigurationsmanagement aller Endgeräte. Er schlägt außerdem vor, „die Netzwerksegmentierung sicherzustellen und in die Reaktionsfähigkeit zu investieren“. Er hat aus nächster Nähe miterlebt, was passiert, wenn man diese Dinge versäumt. Als seine CISA-Teams Penetrationstests für staatliche und kommunale Stellen durchführten, sagte er: „Das waren genau die Arten von Schwachstellen, deren Ausnutzung wir beobachteten.“
Investieren Sie in Beziehungen, nicht nur in Technologie
Die digitale Infrastruktur der USA umfasst einige der weltweit fortschrittlichsten Technologien. Leider, so der auf Cyberrecht spezialisierte Anwalt Bahar, seien sie „anfällig, und die Folgen sind enorm“.
Aus diesem Grund sind er und andere der Ansicht, dass CIOs im öffentlichen und privaten Sektor zusammenarbeiten müssen – ein Ziel, das auch die Verordnung von Präsident Biden zur Cybersicherheit verfolgt –, um Software-Schwachstellen frühzeitig und so schnell wie möglich zu erkennen. Nur auf diese Weise können sie dazu beitragen, Störungen lebenswichtiger Systeme wie der Colonial Pipeline zu verhindern.
„Es bedarf gemeinsamer Anstrengungen von zivilgesellschaftlichen Organisationen, Regierungsbehörden und der Cybersicherheitsbranche“, sagt Om Moolchandani, CISO und Forschungsleiter beim Cloud-Sicherheitsunternehmen Accurics ( ). Nur wenn wir dies erreichen, so sagt er, können wir Angriffe auf Stromnetze, Schulen, Wasseraufbereitungsanlagen und andere kritische Infrastrukturen verhindern.
