Unternehmen können angesichts der Vielzahl an Sicherheitsrahmenwerken und -standards leicht den Überblick verlieren. Dies gilt insbesondere für kleine und mittelständische Unternehmen, die über keinen Chief Information Security Officer (CISO) oder möglicherweise gar keinen IT-Mitarbeiter verfügen. Wäre es nicht großartig, wenn es eine detaillierte Liste von Maßnahmen gäbe, mit denen Unternehmen die meisten ihrer Probleme im Bereich der Cybersicherheit lösen könnten?
In Australien gibt es das. Und dies wird weitgehend ignoriert.
Das Australian Signals Directorate (ASD), das der US-amerikanischen National Security Agency entspricht, hat bereits vor einigen Jahren eine solche Liste bewährter Verfahren zum Schutz vor Cyberangriffen erstellt, die zunächst vier Punkte umfasste und später auf die heute in Australien allgemein als „ : Essential Eight“ bekannte Liste erweitert wurde (). Sowohl öffentliche als auch private Einrichtungen werden dazu angehalten, diese Vorgehensweisen zu befolgen; doch selbst die Einhaltung der Anforderungen der Stufe 1 hat sich für viele als schwierig erwiesen – und insbesondere für kleine und mittelständische Unternehmen (KMU) als überfordernd.
Als die ASD die ersten vier Strategien zur Risikominderung festlegte, erklärte sie, dass deren Umsetzung 85 % der Cybersicherheitsrisiken abwenden würde, mit denen Organisationen ihrer Einschätzung nach täglich konfrontiert waren. Es verkörperte das Pareto-Prinzip und zielte darauf ab, den Löwenanteil der Arbeit mit (im Idealfall) nur geringem Aufwand zu bewältigen.
Diese vier waren:
- Whitelisting von Anwendungen
- Anwendungen patchen
- Patches für Betriebssysteme
- Minimierung der Administratorrechte
Das war 2011. Da sich die Bedrohungslage im Laufe der Zeit zunehmend komplexer gestaltete, wurde der Begriff „Anwendungs-Whitelisting“ in „Anwendungskontrolle“ umbenannt, und die Liste wurde im Jahr 2017 um folgende Punkte erweitert:
- Mehrfaktor-Authentifizierung
- Sicherheitsoptimierung von Benutzeranwendungen
- Regelmäßige Datensicherungen
- Microsoft Office-Makros einschränken
Und doch ist die Einhaltung der „ E8—especially “-Richtlinien für KMU – trotz des Schwerpunkts auf minimalem Aufwand bei maximalem Nutzen und einer anfänglich einprägsamen Aufklärungskampagne (dazu gleich mehr) – erschreckend gering. Dies mag auf den ersten Blick widersprüchlich erscheinen, insbesondere wenn man bedenkt, dass das Rahmenwerk in acht scheinbar einfache Kategorien unterteilt ist, von denen zwei letztlich dieselbe grundlegende, klare Botschaft vermitteln: Bitte aktualisieren Sie Ihre Software, um Himmels willen! Wo liegt also das Problem?
Experten, die sich mit diesem Thema befassen, führen die Nichteinhaltung unter anderem darauf zurück, dass diese acht Kategorien auf den ersten Blick zwar einfach zu verstehen scheinen, in der Praxis jedoch nicht so einfach umzusetzen sind. Und je tiefer man in die Materie eintaucht, desto komplizierter werden sie – und desto unrealistischer ist es für die meisten KMU, sie umzusetzen.
Die zentrale Frage der „Essential Eight“: Wie hoch ist Ihr Reifegrad?
Das ASD wendet ein vierstufiges Reifegradmodell auf die „Essential Eight“ an. Während die nicht unternehmensartigen Einrichtungen des Commonwealth in Australien die Reifegradstufe 2 erfüllen müssen, können private Unternehmen in der Regel selbst entscheiden, welches Sicherheitsniveau sie anstreben (bzw. wie viel sie dafür zu zahlen bereit sind).
- Stufe Null „ “ ist die grundlegendste Stufe (man könnte sie wohl als „“ im Rahmen des „“-Reifegradmodells bezeichnen), die Schwachstellen in der Cybersicherheitslage einer Organisation aufdeckt und diese weitgehend anfällig für Angriffe macht.
- der Stufe 1 (oftmals für kleine und mittlere Unternehmen geeignet) konzentriert sich auf den Schutz von Organisationen vor weit verbreiteten, öffentlich zugänglichen Angriffstechniken, wie beispielsweise den Tools, die „Script-Kiddies“ und andere Personen ohne umfassende Hacking-Kenntnisse wahllos einsetzen, um bekannte Sicherheitslücken auszunutzen, für die Unternehmen noch keine Patches installiert haben.
- der Stufe 2 (im Allgemeinen für große Unternehmen geeignet) schützt vor böswilligen Akteuren, die mehr Zeit und Fachwissen in ihre Angriffe investieren, beispielsweise durch den Einsatz von (Phishing) oder (Social-Engineering-Techniken) , um schädliche Anwendungen auszuführen und Daten zu zerstören.
- der Stufe 3 (besonders wichtig für kritische Infrastrukturen) konzentriert sich auf die raffiniertesten Angreifer, die nicht auf öffentlich zugängliche Tools angewiesen sind, sondern ihre eigenen „ “-Ransomware und andere digitale Waffen entwickeln können. Diese Angreifer werden ausgefeiltere Social-Engineering-Methoden anwenden (indem sie beispielsweise einen Mitarbeiter dazu bringen, nicht nur auf einen bösartigen Link zu klicken, sondern auch unwissentlich Netzwerkkontrollen zu umgehen), sich in verschiedene Bereiche eines Netzwerks vorarbeiten, um Daten abzuzweigen oder zu manipulieren, und ihre Spuren verwischen.
Jede Stufe enthält detaillierte Angaben zu jeder der acht Kennzahlen. So umfasst beispielsweise Stufe eins allein für das Patchen von Anwendungen neun separate Kriterien. Wie bei den meisten Themen der „Essential Eight“ gibt es auch zum Thema „Patching“ eine eigene Veröffentlichung mit detaillierten Anleitungen zu Themen wie der Ermittlung fehlender Patches, dem Umgang mit Fehlern während des Patch-Vorgangs und den Vorgehensweisen während der Freeze-Phasen. Andere Kontrolllisten sind ebenso detailliert.
Die ASD hat die Kontrollmaßnahmen der „Essential Eight“ in der Verordnung „ November 2023“ erheblich aktualisiert und dabei neue Anforderungen aufgenommen, wie beispielsweise die Verpflichtung, innerhalb von 48 Stunden nach der Entdeckung einer kritischen Sicherheitslücke einen Patch bereitzustellen. Die Aktualisierungen betrafen die meisten der zentralen Kennzahlen.
„Es handelt sich nicht mehr um ein einfaches Regelwerk“, sagt Jamie Norton, Vorstandsmitglied der internationalen gemeinnützigen Organisation ISACA, die sich mit Kontrollmechanismen befasst. „Das ist eine ziemlich umfangreiche Reihe von Bedienelementen.“
Nicht so einfach wie „Slip, Slop, Slap“
Die Präsentation der ursprünglichen vier wichtigsten Best-Practice-Beispiele der ASD griff die vereinfachten Botschaften zur Sensibilisierung der Öffentlichkeit auf, die Australien so gut beherrscht: kurze, einprägsame Slogans, die den Kern der Sache auf den Punkt bringen. Like the “slip, slop, slap” campaign that encouraged people to fight melanoma by wearing sunscreen and hats; the anti-speeding slogan "Wipe off five," which encouraged reducing road speed by just five kilometers per hour; and the fabulously Australian 1980s corker "If you drink and then drive, you're a bloody idiot."
„: Catch, Patch und Match.“Ein früher Slogan der australischen Regierung zum Thema Cybersicherheit, der sich nicht durchsetzen konnte (und auch nicht zu einer Verbesserung der Cybersicherheits-Compliance-Quoten führte)
Die Online-Videokampagne „Catch, Patch, and Match“ der ASD zum Thema Cybersicherheit fasste die ersten vier Regeln zusammen (wobei die beiden Regeln zum Patchen auf effektvolle Weise miteinander kombiniert wurden) und behauptete, dass deren Befolgung 85 % der Cybersicherheitsvorfälle beseitigen würde. Doch wenn es um Cybersicherheit geht, darf man es nicht zu einfach nehmen; ein derart komplexes Thema erfordert mehr als nur eine eingängige Aufklärungskampagne.
„Eine solche Idee, die auf Slogans zur öffentlichen Sicherheit basiert … ist für Verbraucher großartig, wenn Sie lediglich Ihre E-Mails und Ihren PC schützen möchten“, sagt Norton, „für Unternehmen jedoch vielleicht nicht ganz so sehr.“
Daher die Weiterentwicklung hin zu den weniger leicht verständlichen „Essential Eight“, für die es keine derart einprägsamen Online-Videos gab. Stattdessen wurde dies hinter den Kulissen kommuniziert, und zwar in Sitzungen des Risikomanagements „ “ , in denen die Vielzahl der Teilkontrollen von Experten unter die Lupe genommen werden konnte.
Dies wurde ebenfalls geregelt, im Rahmen einer Initiative, die nur begrenzte Ergebnisse erzielt hat.
„Essential Eight“ anhand der (mangelhaften) Einhaltungszahlen
Ab dem Jahr 2022 wurde die Reifestufe E8 der Stufe 2 für staatliche Organisationen, die keine Unternehmen sind, verbindlich vorgeschrieben, und größere Unternehmen haben diese Reifestufe mit größerer Wahrscheinlichkeit erreicht als kleinere. Allerdings scheint niemand besonders gut abgeschnitten zu haben. Laut einem Bericht der „ “ (ASD) unter dem Titel „ “ auf zur Einhaltung der Vorschriften im Jahr 2024 erreichten nur 15 % der staatlichen Stellen insgesamt die Reifegradstufe zwei, was einen Rückgang gegenüber den 25 % des Vorjahres darstellt.
Können sich kleine und mittlere Unternehmen die Investition selbst auf Stufe 1 leisten?
„Das ist unwahrscheinlich“, sagt Ash Raina, Mitglied des Think-Tank-Ausschusses der Small Business Association of Australia und Leiter eines auf KMU spezialisierten IT-Beratungsunternehmens namens KPPro.
„Wenn man von der Absicherung von Anwendungen, der Installation von Patches für Anwendungen und die Installation von Patches für Betriebssysteme spricht – je nachdem, in welcher Phase des Lebenszyklus sich ein Projekt gerade befindet –, können diese Maßnahmen Zeit, Aufwand und Geld kosten“, sagt er.
Die hohen Kosten für die Geschäftstätigkeit auf dem australischen Markt haben das Problem noch verschärft, so Raina. Die jüngsten Daten des Australian Bureau of Statistics (aus 2022) zeigten, dass 57 % aller Unternehmen über einen Zeitraum von drei Monaten einen Anstieg ihrer Betriebskosten verzeichneten. Bei jedem fünften der gemeldeten Kostenposten waren die Kosten erheblich gestiegen.
KMU an die „Essential Eight“: Das kaufen wir Ihnen nicht ab
Angesichts von Prioritäten wie dem bloßen Überleben haben sich nur wenige kleine und mittlere Unternehmen für die verstärkten Maßnahmen im Bereich der Cybersicherheit entschieden. Eine Umfrage „ “ des Australian Cyber Security Centre (ACSC) – das zum ASD gehört – unter mehr als 1 700 Unternehmen ergab, dass fast die Hälfte das eigene Bewusstsein für Cybersicherheit als durchschnittlich oder unterdurchschnittlich einschätzte. Und Cybersicherheitsbudgets? Etwa ebenso viele gaben jährlich nicht mehr als 500 Dollar für Cybersicherheit aus.
„“ „Zwar war [die ‚Essential Eight‘] nach wie vor sinnvoll, doch geht diese Nuance bei kleinen und mittleren Unternehmen (KMU) verloren, die weder über einen Cybersicherheitsexperten noch – wahrscheinlich – über einen IT-Mitarbeiter verfügen.“Jamie Norton, Vorstandsmitglied der internationalen gemeinnützigen Organisation ISACA im Bereich Kontrollsysteme
Je kleiner ein Unternehmen jedoch ist, desto mehr Unterstützung benötigt es. Aus derselben Umfrage ging hervor, dass die durchschnittlichen, von den Unternehmen selbst angegebenen Kosten durch Cyberkriminalität für die 92 % der Unternehmen, die jährlich weniger als 2 Millionen US-Dollar erwirtschaften, im Jahr FY2023-24 fast 50 000 US-Dollar betrugen. Das entsprach einem Anstieg von 8 % gegenüber dem Vorjahr. Umgekehrt verzeichneten mittlere und große Unternehmen einen Rückgang ihrer durchschnittlichen Verluste.
„Ihre größte Herausforderung sind die erforderlichen Fähigkeiten und das Fachwissen“, sagt Norton über kleine und mittlere Unternehmen. „Zwar war [die ‚Essential Eight‘] nach wie vor sinnvoll, doch geht diese Nuance bei kleinen und mittleren Unternehmen verloren, die weder über einen Cybersicherheitsexperten noch – wahrscheinlich – überhaupt über einen IT-Mitarbeiter verfügen.“ „Das Thema Patches mag zwar verständlich sein, doch wenn man sich mit den Einzelheiten befasst – wann, warum und wie genau man diese Patches einsetzt –, wird es zu detailliert.“
Das „Personal“-Problem der „Essential Eight“
Paradoxerweise für eine Aufklärungskampagne spielt die ASD laut Louise McGrath, Leiterin für Branchenentwicklung und Politik bei der Australian Industry Group (Ai Group), die Bedeutung aufgeklärter Nutzer herunter.
„Ich denke, wenn sie ‚Essential Eight‘ noch einmal machen würden, hätte es mehr menschliche Elemente.“Louise McGrath, Leiterin für Branchenentwicklung und Politik bei der Australian Industry Group
Angesichts der zunehmenden Zahl von Social-Engineering-Angriffen ist die Fokussierung der „Essential Eight“ auf technische Kontrollmaßnahmen besonders problematisch. Laut dem ACSC entstanden australischen Unternehmen im Jahr FY2023-24 durch „Business Email Compromise“ (BEC) 84 Millionen Dollar an . Zwar können technische Schutzmaßnahmen wie Segmentierung und Datensicherungen zum Schutz vor Ransomware beitragen, doch ist auch ein gesundes Maß an Sensibilisierung der Nutzer von entscheidender Bedeutung.
„Ich glaube, wenn sie ‚Essential Eight‘ noch einmal auf die Beine stellen würden, hätte es eine stärkere menschliche Komponente“, sagt McGrath. „Unternehmen erkennen zunehmend, dass das eigentliche Risiko für die Menschen stets im Verhalten liegt, und es werden deutlich mehr Mittel in die Schulung der Mitarbeiter investiert.“
Aber auch hier gilt: Die Schulung von Mitarbeitern erfordert Zeit, finanzielle Mittel und Personal für die Durchführung – allesamt Ressourcen, die in kleinen und mittleren Unternehmen nur in begrenztem Umfang zur Verfügung stehen. In einer kürzlich von Forschern der Murdoch University durchgeführten Umfrage unter kleinen und mittleren Unternehmen (KMU) in Westaustralien hatten lediglich 35 % der Befragten Mittel für Cybersicherheit bereitgestellt, 34 % hatten ihre Mitarbeiter in Bezug auf Cybersicherheitsbewusstsein und sowie Online-Betrug geschult, und weitaus weniger wussten überhaupt, dass es Cybersicherheits-Rahmenwerke gibt, die ihnen helfen sollen: 32 % kannten das Rahmenwerk des US-amerikanischen National Institute of Standards and Technology (NIST) „ “, weniger als ein Viertel wusste von den „Essential Eight“, und 17 % kannten überhaupt kein solches Rahmenwerk.
Alternativen zu „Essential Eight“ (speziell für kleine und mittlere Unternehmen konzipiert)
Offiziell gilt die „Essential Eight“-Richtlinie nur für staatliche Organisationen. In der Praxis, so McGrath, haben sie sich nach und nach in den allgemeinen Sprachgebrauch der Lieferkette eingeschlichen.
„Wenn Sie ein neuer Lieferant sind, wird Ihr Kunde – insbesondere wenn es sich um ein großes Unternehmen handelt – Ihnen eine Selbsteinschätzung hinsichtlich der Reifegrade für die ‚Essential Eight‘ vorlegen“, sagt sie. Kleine Unternehmen kommen möglicherweise ohne dies aus, „während Ihnen als mittelständisches Unternehmen diese Fragen mit größerer Wahrscheinlichkeit gestellt werden.“
Dennoch gibt es alternative Standards, die speziell auf kleine und mittlere Unternehmen zugeschnitten sind. Ein Beispiel hierfür ist das „ “ SMB 1001 -Rahmenwerk von Dynamic Standards International mit Sitz in Canberra.
Für eine noch einfachere Lösung bietet das ACSC einen eigenen Leitfaden zur Cybersicherheit für kleine und mittlere Unternehmen (KMU) unter sowie unter an. Hier finden Sie einige einfache Hilfestellungen, wie beispielsweise Tipps zur Mitarbeiterschulung. Das Zentrum empfiehlt, dass kleine und mittlere Unternehmen anschließend zur ersten Stufe des „Essential Eight“-Sicherheitsmodells übergehen.
Was wirklich helfen könnte, wäre eine separate Mindestzertifizierung für kleine Unternehmen, nur um nachzuweisen, dass sie überhaupt irgendwelche Anstrengungen unternommen haben, die über den Kauf einer Norton-Lizenz für den Computer der Rezeptionistin hinausgehen.
Das vom britischen National Cyber Security Centre ( ) entwickelte „Cyber Essentials“-Modell ( ) bietet eine gute Grundlage. Es umfasst fünf relativ kurze technische Kontrollmaßnahmen (allerdings leider keine spezifische Maßnahme zur Sensibilisierung bzw. Schulung des Personals). Außerdem enthält es einen Fragebogen zur Betriebsbereitschaft, den Unternehmer online ausfüllen können, um ihre dringendsten Maßnahmen zu ermitteln.
Wenn es darum geht, kleine Unternehmen dazu zu bewegen, irgendetwas im IT-Bereich zu unternehmen, ist es von entscheidender Bedeutung, die Abläufe so verständlich, kostengünstig und reibungslos wie möglich zu gestalten. Diese sind vor allem anderen von entscheidender Bedeutung.
