Denken Sie an die Anfänge der Pandemie zurück. Landes- und Kommunalbehörden haben unverzüglich und so schnell wie möglich die wesentlichen Online-Dienste ausgebaut – um den Menschen dabei zu helfen, Informationen zu Themen wie Impfungen, Tests, Kinderbetreuung und Arbeitslosengeld zu finden. Zu jener Zeit war ich beim Verwaltungsministerium von Arizona tätig und konnte aus erster Hand miterleben, wie dringend die Einführung wichtiger Dienstleistungen war.
Nehmen Sie zum Beispiel das Arbeitslosengeld. Plötzlich sahen wir uns mit einem massiven Zustrom von Arbeitslosen konfrontiert, die dringend Hilfe benötigten, was die Altsysteme – die teilweise in jahrzehntealten Programmiersprachen geschrieben waren – überforderte.
Im Großen und Ganzen haben die Regierungen bei der Bewältigung der Krise Heldentaten vollbracht. Allerdings waren die IT-Mitarbeiter der Landesregierung nicht immer in der Lage, neue Websites oder Online-Dienste umfassend abzusichern oder diese zu überprüfen, um die wertvollen personenbezogenen Daten zu schützen, die in diesen Systemen gespeichert sind. Dadurch entstanden bei erhebliche Sicherheitslücken , die Hacker umgehend ausnutzten.
Nach den neuesten verfügbaren Zahlen richteten sich im Jahr 2020 mindestens 79 Ransomware-Angriffe der „ “ gegen staatliche, kommunale und Stammesbehörden. Die Angriffe führten laut einem Bericht der Verbraucherschutz-Website Comparitech zu Ausfällen in 30 Bundesstaaten und , von denen 71 Millionen Bürger betroffen waren.
Zu den größten Gefahren zählten Anwendungen von Drittanbietern. Einige liefen auf Altsystemen, die schwer zu aktualisieren sind patch. Staatliche Behörden verfügen über veraltete Systemarchitekturen und Infrastrukturen, die über Jahrzehnte hinweg zusammengewürfelt wurden, und sie wissen nicht, wie sich ein neues Tool in dieser Umgebung verhalten wird, bis sie es tatsächlich einsetzen.
Häufig sind die Behörden über ein gemeinsames Netzwerk miteinander verbunden. Netzwerke sind jedoch nur so sicher wie ihr schwächstes Glied. Selbst wenn eine Abteilung alle erforderlichen Patches installiert und die IT-Sicherheitsmaßnahmen unter vollständig umsetzt, bleibt sie anfällig, wenn die nächste Stelle in der Kette ihre Aufgaben nicht erfüllt hat.
Zudem wissen viele Landes- und Kommunalverwaltungen gar nicht, wie viele Systeme sie überhaupt besitzen oder mit welchen anderen Systemen diese vernetzt sind. Mir ist eine Behörde des Bundesstaates Arizona bekannt, die im Zuge eines Umbaus einige Computer zwar angeschlossen und mit dem alten Netzwerk verbunden ließ – und dann buchstäblich Wände um diese herum errichtete. Solange wir noch keine modernen Endgeräteschutzdienste hatten, wusste niemand, dass es sie gab. Und das machte es natürlich unmöglich, sie zu sichern.
Stellen Sie sich vor, Sie möchten Ihr Haus sichern, wissen aber nicht, wie viele Türen und Fenster Sie haben oder welche davon möglicherweise offen stehen. Wenn Sie sich nicht die Mühe machen, Ihre Sicherheitslücken zu verstehen, ist es für Kriminelle ein Leichtes, sich Zugang zu verschaffen und sich zu nehmen, was immer sie wollen.
Ein Mangel an Fachkräften im Bereich Cybersicherheit
Es ist erfreulich zu sehen, dass die Landes- und Kommunalverwaltungen endlich wieder zu Atem kommen und der Cybersicherheit erneut mehr Bedeutung beimessen. Leider sind sie unterbesetzt, oft in erschreckendem Ausmaß. Im Bereich der Cybersicherheit herrscht ein allgemeiner Fachkräftemangel . Vielen Regierungen fehlt es schlichtweg an Personal, um diese Aufgaben zu bewältigen.
“Mir ist eine staatliche Behörde bekannt, die Computer angeschlossen ließ – und buchstäblich Mauern um sie herum errichtete. Niemand wusste, dass sie dort waren.”
Oft wissen sie nicht einmal, wie viele Mitarbeiter sie beschäftigen. In Arizona beispielsweise verfügten wir über kein zentralisiertes Team für Cybersicherheit. Große Behörden, wie beispielsweise das Verkehrsministerium des Bundesstaates, verfügten über eigene Teams. Als ich die Leitung des Unternehmenssicherheitsprogramms übernahm, das für die Cybersicherheit in Arizona zuständig ist, wollten wir herausfinden, wie viele Cybersicherheitsexperten für den Staat tätig waren. Wir haben das Personalteam des Landes mehrfach befragt. Und die Antwort, die wir erhielten, lautete: „Wir haben keine Ahnung.“
Die Berufsbezeichnungen können sehr vage sein und sich von Behörde zu Behörde unterscheiden. An manchen Orten wurden Personen, die über Cybersicherheit berichten sollten, ohne entsprechende formale Ausbildung oder Qualifizierung damit betraut. Sie haben einfach ihr Bestes gegeben.
Unterdessen arbeiten die Cybersicherheitsteams der Regierung mehr Stunden für eine geringere Vergütung, als sie bei einem privaten Unternehmen erhalten könnten. Die Arbeitnehmer könnten im Handumdrehen eine Stelle in der Privatwirtschaft finden und ihr Gehalt verdoppeln.
Und der Druck, unter dem sie stehen, ist enorm. Sie schützen die „Kronjuwelen“. Landes- und Kommunalverwaltungen verfügen über einige der für Hacker attraktivsten Daten: Namen, Sozialversicherungsnummern, Geburtsdaten, Adressen, Bankkontodaten und Gesundheitsakten. Es ist wie ein All-you-can-eat-Buffet für Cyberkriminelle. Unterbesetzte Teams arbeiten jeden Tag hart daran, sensible Daten zu schützen, doch sie sind erschöpft und überfordert.
Im ganzen Land habe ich beobachtet, dass wieder verstärkt Wert darauf gelegt wird, mehr Ressourcen und Personal bereitzustellen. Als ich in Arizona war, haben wir ein Praktikumsprogramm für Hochschulstudenten ins Leben gerufen, um Nachwuchskräfte zu gewinnen. Wir haben Praktikanten in unserem Cyber-Kommandozentrum eingesetzt und sie zudem in verschiedenen Cybersicherheitsteams eingesetzt, um ihnen umfassende Erfahrungen zu ermöglichen. Außerdem sprachen wir mit Schülern des „ “-Programms an den weiterführenden Schulen „ “ über eine berufliche Laufbahn im Bereich Cybersicherheit und führten sie durch das Cyber Command. Und während wir dies taten, setzten wir uns dafür ein, die geschlechtsspezifische Kluft in der IT-Branche zu verringern, indem wir mit Mädchen über ihre Karrieremöglichkeiten in diesem Bereich sprachen.
Die Bedeutung der Cybersicherheit auf Führungsebene stärken
Die Staaten erkennen endlich die Bedeutung der Cybersicherheit an. So haben beispielsweise Arizona und New Jersey die Position des CISO aus dem Zuständigkeitsbereich des CIO herausgelöst. Der CISO von Arizona leitet das Ministerium für Innere Sicherheit des Bundesstaates, während der CISO von New Jersey dem Amt für Innere Sicherheit und Katastrophenschutz des Bundesstaates angehört.
“Wir wollten herausfinden, wie viele IT-Fachkräfte für den Staat tätig sind. Die Antwort, die wir erhielten, lautete: „Wir haben keine Ahnung.“”
Diese Maßnahmen sind wichtig, da die CIOs dafür verantwortlich sind, dass alles reibungslos läuft und die Dienstleistungen bereitgestellt werden. CISOs sind jedoch dafür verantwortlich, unsichere Vorgänge zu unterbinden. Die beiden Staatschefs können mit konkurrierenden Prioritäten konfrontiert sein. Durch die Trennung der Funktionen des CISO und des CIO können Regierungen diese Aufgabentrennung gewährleisten.
Der Gouverneur von Arizona, Doug Ducey, hat den CISO tatsächlich zu einem Amt auf Kabinettsebene erhoben, das ihm direkt unterstellt ist. Damit wurde die Cybersicherheit auf eine Stufe mit Rettungsdiensten, Lebensmittelmarken und allen anderen staatlichen Leistungen gestellt. Ich glaube, dass dies in diesem Bereich noch häufiger vorkommen wird.
Regierungen müssen der Cyberhygiene Priorität einräumen
Es stehen neue Bundesmittel zur Verfügung, um Bundesländer und kommunale Einrichtungen zu unterstützen, doch Geld allein wird die Probleme nicht lösen. Es macht einen großen Unterschied, wie Sie Ihr Geld ausgeben.
“Die Guten müssen in 100 % der Fälle Recht haben. „Die Bösen müssen nur einmal Recht haben.“
Landes- und Kommunalverwaltungen greifen auf externe Unterstützung zurück. Sie möchten ihre veralteten, auf einzelne Bedrohungsvektoren zugeschnittenen Punktlösungen durch leicht erweiterbare Plattformen ersetzen. Mithilfe moderner, skalierbarer Endpunktlösungen von Tanium ( ) gelang es dem Unternehmen in Arizona, innerhalb von 72 Stunden etwa 326 000 Sicherheitslücken zu schließen. Das war mehr, als wir in den vorangegangenen sechs Monaten geschafft hatten, nachdem wir vollständig auf Remote-Arbeit umgestellt hatten.
Die Situation, mit der wir in Arizona konfrontiert waren, ähnelt derjenigen, die in anderen Landes- und Kommunalverwaltungen herrscht. Doch die Menschen verstehen nicht, vor welchen Herausforderungen sie stehen. Ich frage manchmal: „Wie sicher sind Sie sich bei der Durchführung Ihrer Patches?“ Und die Führungskräfte antworten: „Wir haben wahrscheinlich 95 % der Sicherheitspatches installiert.“ Anschließend untersuchen wir ihr Netzwerk und stellen fest, dass zwar alle Endpunkte, die sie sehen können, zu 95 % mit Patches versehen sind, jedoch mindestens 30 % der Endpunkte, die sie nicht sehen können, nicht mit Patches versehen sind.
Das Fazit lautet: Was man nicht sehen kann, kann man auch nicht schützen. Wie können Sie sich schützen, wenn Sie keine Ahnung haben, was Sie eigentlich schützen sollen? Ohne Transparenz werden Sie Ihre Umgebung niemals absichern können.
Schließlich müssen die Guten ja in 100 % der Fälle Recht haben. Die Bösewichte können sich einen Tag frei nehmen. Sie müssen nur einmal Recht haben. Es ist an der Zeit, dass die Landes- und Kommunalregierungen sich diese Warnung zu Herzen nehmen.
