„Auf Stelzen Schlittschuh laufen.“
So beschrieb Stewart Baker einst, wie die Technologien, die wir so schätzen, in neuen Formen des Terrorismus gegen uns gerichtet werden.
Tatsächlich verfasste er bereits vor mehr als einem Jahrzehnt ein politisches Memoir mit diesem Titel (mit dem Untertitel „ : Why We Aren’t Stopping Tomorrow’s Terrorism“). Dies war ein Vorbote der heutigen Ransomware-Krise sowie weiterer Arten von Cyberangriffen auf amerikanische Unternehmen, kritische Infrastruktur und Regierungsbehörden .
Heute leitet Herr Baker – zu dessen beruflichem Werdegang die Tätigkeit als erster stellvertretender Staatssekretär für Politik im US-Heimatschutzministerium –die Bereiche Heimatschutz und Cybersicherheit bei Steptoe & Johnson LLP und moderiert den „Cyberlaw Podcast“, , eine wöchentliche „meinungsstarke Zusammenfassung“ aktueller Nachrichten aus den Bereichen Cybersicherheit, Kryptowährungen, Datenschutz und Politik. (Die „Washington Post“ hat Baker als „einen der technisch versiertesten Anwälte überhaupt“ bezeichnet.)
Daher konzentriert er sich darauf, Unternehmenskunden und andere Mandanten dabei zu unterstützen, Cyber-Herausforderungen und branchenspezifische Vorschriften zu meistern. Kürzlich sprach er mit Endpoint über Sicherheitsfehler, die Unternehmen in der Cloud begehen, die Auswirkungen der von Präsident Biden erlassenen Verordnung „ “ zur Stärkung der Cybersicherheit sowie die Notwendigkeit einfacher Maßnahmen zur Cyberhygiene zur Verhinderung massiver Sicherheitsverletzungen.
Welche Probleme im Bereich der Cybersicherheit sollten Unternehmen am meisten beunruhigen?
Auch auf die Gefahr hin, langweilig zu wirken – ich glaube, die Antwort lautet, dass sie die langweiligen Aufgaben zuerst erledigen müssen. Sie müssen sich um alle praktischen Aspekte der Verwaltung und Fehlerbehebung ihres Netzwerks kümmern. Tun Sie einfach all das, was Ihnen alle raten. Die Software-Patch- steht ganz oben auf dieser Liste. So viele der Probleme, mit denen Menschen konfrontiert werden, sind darauf zurückzuführen, dass sie die Sicherheitspatches nicht installieren, bevor sie angegriffen werden.
“„Ich glaube nicht, dass den Menschen voll und ganz bewusst ist, welche Art von dummen Fehlern man in der Cloud begehen kann.“
Es kommt ständig vor, dass Menschen die Folgen einer unterlassenen Installation von Patches zu spüren bekommen. Die Sicherheitsverletzung bei Equifax war auf einen Fehler bei der Installation eines Patches zurückzuführen. Jeder, der seine Software nicht innerhalb von 24 oder 48 Stunden nach Veröffentlichung eines Updates aktualisiert hat, ist gefährdet. Und das Zeitfenster für die Installation von Patches wird immer kleiner.
Das ist für Unternehmen besonders gefährlich, da sie Patches testen möchten, anstatt sie einfach nur zu installieren und auf das Beste zu hoffen. Sie benötigen einen Prozess, der Sie von der Beschaffung der neuesten Softwareversion über die Sicherstellung, dass diese auf Ihrem System zuverlässig funktioniert, bis hin zur Installation begleitet. Das müssen Sie sehr schnell erledigen.
Welche Cyberrisiken sehen Sie im Zusammenhang mit der zunehmenden Nutzung von Cloud Computing?
Ich glaube nicht, dass den Menschen voll und ganz bewusst ist, welche Art von dummen Fehlern man in der Cloud begehen kann. Die Cloud- „ “ ist in vielerlei Hinsicht sicherer, bietet jedoch auch Möglichkeiten für Fehler, die zur Offenlegung von Daten führen können. Auch hier gilt: Die Menschen sind möglicherweise zu selbstsicher, oder sie lernen gerade, mit der Cloud auf eine Weise umzugehen, die sie im Umgang mit dem eigenen lokalen Servernetzwerk nicht erlernen mussten.
[Lesen Sie auch: 5 Diagramme, die die Transparenzkrise in der IT-Branche verdeutlichen]
Mit der Verlagerung von Workloads in die Cloud entfällt die physische Trennung des Netzwerks vom Internet. Und wir verlassen uns voll und ganz auf die Authentifizierung – und möglicherweise auf die Authentifizierung durch andere Personen. Und zu lernen, den Authentifizierungsprozess als Ihre wichtigste Verteidigungslinie zu betrachten, ist – wie bereits erwähnt – ebenfalls ein gewisser kultureller Wandel. Das haben wir beim SolarWinds-Hack ganz deutlich gesehen. Die Angreifer nutzten einen Authentifizierungsbetrug. Am Ende erklärte Microsoft: Ja – es gibt zahlreiche Fälle, in denen die Verwaltung der Authentifizierung die Nutzer dazu verleitet, Abkürzungen zu nehmen , die sie wahrscheinlich besser vermeiden sollten.
Welche Wirtschaftsbereiche sind Ihrer Meinung nach am anfälligsten für Cyberangriffe?
Lange Zeit hätte man gesagt: Nun ja, ganz offensichtlich diejenigen, die über Geld verfügen, und diejenigen, die über umfangreiche Kundendaten verfügen. Ich würde dem wohl noch hinzufügen, dass es mittlerweile auch Menschen gibt, deren Systeme keine Unterbrechungen zulassen. Das heißt: Personen, die für die Ransomware „ “ anfällig sind. Ich denke, das sind wahrscheinlich die Menschen, um die ich mir die größten Sorgen machen würde.
Welche Bereiche der Unternehmenssoftware sind am anfälligsten?
Ich mache mir Gedanken über Produkte, die Unternehmen zur Verwaltung von Software einsetzen und die zwar noch nicht das Ende ihres Lebenszyklus erreicht haben, sich jedoch in einer Phase befinden, in der das Produkt für den Anbieter wahrscheinlich keine enormen Umsatzwachstumsperspektiven mehr bietet. Es hat seine Nische gefunden, diese ausgefüllt und bedient nun seine Nische. Und das kann sehr gewinnbringend sein. Auf dieser Grundlage könnten Sie sogar ein Softwareunternehmen ein Jahrzehnt lang oder länger führen.
[Es ist 2021: Ist es an der Zeit, Ihre Praktiken im Bereich des Softwaremanagements zu überdenken?]
Allerdings ist die Versuchung groß, das Produkt zu diesem Zeitpunkt bis zum Äußersten auszuschöpfen. Sie rechnen mit Einnahmen von bestehenden Kunden oder von Personen, die bereits in einer bestimmten Branche tätig sind. Sie werden nicht viele neue Kunden gewinnen; [daher] müssen Sie Ihre bestehenden Kunden so profitabel wie möglich machen. Das bedeutet, die Preise anzuheben und – was vielleicht noch wichtiger ist – Kosten zu senken.
Ich befürchte, dass Unternehmen, die Softwareprodukte verkaufen, versucht sind, bei der Sicherheit Abstriche zu machen. Und nach solchen Vorfällen hört man entsprechende Vorwürfe. Das haben wir im Zusammenhang mit SolarWinds sicherlich gehört. Und ich halte das tatsächlich für ein echtes Problem, denn es ist für Unternehmen eine vollkommen rationale Vorgehensweise. Wenn Sie also Kunde dieser Dienstleistungen sind, sollten Sie langsam nervös werden, wenn Sie feststellen, dass Sie auf ein Produkt angewiesen sind, dessen Lebensdauer in fünf oder 10 Jahren enden könnte. Das wäre eine Sache, die mir Sorgen bereiten würde.
“„Ich befürchte, dass Unternehmen, die Softwareprodukte verkaufen, versucht sind, bei der Sicherheit Abstriche zu machen.“
Ich hätte auch Bedenken hinsichtlich Sicherheitssystemen, die tief in das Unternehmen und die dort eingesetzte Software eingebunden sein müssen, die jedoch selbst mit dem Internet verbunden sind und daher eine äußerst verlockende Angriffsfläche bieten. Angriffe, die sich Sicherheitssysteme zunutze machen, werden meiner Meinung nach auch weiterhin vorkommen.
Was glauben Sie, warum die Zahl der Ransomware-Angriffe in den letzten Jahren zugenommen hat? Haben die Angriffe tatsächlich zugenommen, oder sind sie lediglich erfolgreicher geworden?
Das Geschäftsmodell der Ransomware ist mittlerweile wesentlich ausgefeilter geworden. Cyberkriminelle wissen mittlerweile, wie sie bei ihren Kunden Preisdiskriminierung betreiben können. Sie verlangen also deutlich mehr Geld von denjenigen, die es sich leisten können, mehr zu zahlen, und weniger Geld von denjenigen, die sich weniger leisten können. Und dann nutzen sie ihren Zugriff aus, um Verschlüsselungsmaßnahmen zu installieren, und anschließend auch, um Daten zu stehlen und diese gestohlenen Daten als Grundlage für die Erpressung weiterer Einnahmen zu verwenden.
Die Schweineverarbeitungsindustrie, die im Jahr 1860s in Chicago gegründet wurde, wurde durch ihren Slogan „Wir verarbeiten alles außer dem Quieken“ bekannt. Und ich glaube, genau das beobachten wir derzeit im Zusammenhang mit Ransomware. Sie finden Wege, alles außer dem Quieken zu vermarkten. Die Daten, die sie stehlen, die Bedeutung der Software für die tatsächliche Erbringung der erforderlichen Dienstleistungen sowie die Sensibilität der Kundenbeziehungen – all dies führt dazu, dass die offengelegten Kundendaten vollständig monetarisiert werden (oder vielmehr, dass die Gefahr ihrer Offenlegung vollständig monetarisiert wird).
„Die “Ransomware-Angreifer werden immer geschickter, da damit viel mehr Geld zu verdienen ist.“
All diese Faktoren haben dazu geführt, dass sich Ransomware von einer Art Ärgernis durch „Script-Kiddies“ zu etwas entwickelt hat, in das es sich für Angreifer lohnt, viel Geld zu investieren. Und genau das beobachten wir derzeit. Die Angreifer werden einfach immer besser, da damit viel mehr Geld zu verdienen ist.
Wo sind die gesetzlichen Vorschriften am strengsten, was die Verpflichtung von Unternehmen zur Umsetzung bewährter Sicherheitspraktiken betrifft?
Zu den Branchen und Einrichtungen, für die bewährte Verfahren von größtem staatlichem Interesse sind und die die meisten Anreize erhalten, zählen wahrscheinlich die Finanzdienstleistungsbranche, das Verteidigungsministerium, Rüstungsunternehmen sowie Stromversorger. Der Bereich, in dem die Kombination aus Regulierung und bewährten Praktiken am besten funktioniert hat, ist der Finanzdienstleistungssektor, wo die finanziellen und regulatorischen Sanktionen als sehr hoch wahrgenommen werden. Es gibt also geschäftliche und regulatorische Gründe dafür, stets nach neuen Best Practices zu streben.
Im Bereich der industriellen Verteidigungsbasis war dies weniger erfolgreich. Das liegt zum Teil daran, dass es sich um eine so heterogene Gruppe von Unternehmen handelt, deren Möglichkeiten, in Sicherheit zu investieren und dafür aufzukommen, sehr unterschiedlich sind.
„“Der Bereich, in dem sich das Konzept ‚Regulierung plus bewährte Praktiken‘ am besten bewährt hat, ist der Finanzdienstleistungssektor, wo sowohl geschäftliche als auch regulatorische Gründe für Innovationen bestehen.“
Die Handlungsmöglichkeiten der Regierung sind zudem eingeschränkt, da die Anbieter dieser Dienstleistungen häufig über Marktmacht verfügen. Sollte das Verteidigungsministerium im Hinblick auf die Einhaltung der Vorschriften zu hohe Anforderungen stellen, wird es auf politischen Widerstand stoßen.
Wie sieht es mit Versorgungsunternehmen und Energieversorgern aus, die offenbar ebenfalls ins Visier geraten sind?
Stromversorgung: Ich bin mir nicht sicher. Zweifellos wird den Bereichen Sicherheit und Stromversorgung große Aufmerksamkeit geschenkt. Aber ob wir dort auf unsere Kosten kommen, ob sie auf ihre Kosten kommen, weiß ich nicht.
Die größte Sorge im Zusammenhang mit Stromversorgungssystemen gilt der Betriebssicherheit und nicht der IT-Sicherheit. Es gibt nur wenige Menschen, die wissen, wie man Sicherheit in digitalen Betriebssystemen gewährleistet.
Der Albtraum ist, dass der Strom ausfällt und nicht wieder zurückkommt. Und wenn Sie ein Energieversorgungsunternehmen sind, werden Sie mit „bestanden“ oder „nicht bestanden“ bewertet – entweder haben Sie den Strom geliefert oder nicht. Sie fahren das System nicht herunter, um neue Patches zu installieren. Die Frage lautet also: Was können Sie anschließen, ohne die Stromversorgung zu unterbrechen? Ich befürchte, dass es einfach nicht dieselbe Kultur des Patching, des Schutzes und – falls erforderlich – des Herunternehmens von Systemen gibt, um Schutz zu gewährleisten.
Glauben Sie, dass die von Präsident Biden erlassene Verordnung, die den Austausch von Informationen zur Cybersicherheit vorschreibt, erfolgreich sein wird?
Meiner Ansicht nach zielte die Verordnung in erster Linie auf die Cybersicherheit von Auftragnehmern der Regierung sowie auf die Cybersicherheit der Regierung selbst ab. Es bestanden Bedenken, dass ein Softwareanbieter, sollte er ein Problem feststellen, dieses zwar seinen HHS-Kunden, nicht jedoch seinen DHS-Kunden mitteilen könnte. Angesichts all der damit verbundenen Aufgaben ist dies ein sehr ehrgeiziges Vorhaben. Ich bin noch nicht bereit zu sagen, dass sie noch mehr tun müssen, solange ich nicht weiß, ob sie das, was sie sich bereits vorgenommen haben, auch tatsächlich umsetzen können.
Wie werden sich Cyberangriffe und Datenschutzverletzungen Ihrer Meinung nach in Zukunft entwickeln und verändern?
Wir sind an dem Punkt angelangt, an dem wir erkennen müssen, dass wir uns nicht mehr mit Notlösungen aus diesem Problem herausmanövrieren können. Doch wir haben uns noch nicht vollständig darauf eingestellt, was das bedeutet. Möglicherweise werden wir nie wieder über Systeme verfügen, die vor Angriffen sicher sind. Daher müssen wir andere Wege finden , um die Wahrscheinlichkeit von Angriffen zu verringern.
Das bedeutet, dass wir bessere Mechanismen benötigen, um Angriffe zuzuordnen, Angreifer zu bestrafen und ihnen die Vorteile ihrer Angriffe zu entziehen. Wir müssen mehr tun, um diejenigen zu bestrafen, die es tatsächlich über die Mauer schaffen. Das sind alles kluge Köpfe, die in der IT-Branche viel Geld verdienen könnten. Wir müssen zudem die Anreize so ändern, dass sie zu der Überzeugung gelangen, sie sollten sich in der IT vielleicht einer anderen Tätigkeit zuwenden.
