U
von: Ulf Baltin, Managing Director DACH bei BlackBerry
Bundesinnenminister Horst Seehofer lobte das vor Kurzem vom Bundestag und Bundesrat verabschiedete IT-Sicherheitsgesetz 2.0 mit den Worten, dass dies „ein guter Tag für die Cybersicherheit in Deutschland“ sei. Insbesondere die Betreiber kritischer Infrastrukturen (KRITIS) stehen nun in der Pflicht, ihre IT-Security entsprechend nachzurüsten und zu verbessern.
Eine Verbesserung, die längst hätte passieren müssen. Denn : Was muss noch passieren, bevor KRITIS-Unternehmen ihrer Verantwortung nachkommen?
Die rasant fortschreitende weltweite Vernetzung, die sich durch das Internet of Things exponentiell beschleunigen wird, bedarf einer immer ausgeklügelten IT-Sicherheitsstrategie. Sowohl Wirtschaft als auch Politik nehmen sich dieser wichtigen globalen Herausforderung zunehmend an, was steigende Investitionen in die IT-Sicherheit sowie der am 7. Mai 2021 vom Bundesrat gebilligte IT Security Act 2.0, die Erweiterung und Vertiefung des IT-Sicherheitsgesetzes von 2015, eindrucksvoll zeigen.
Das neue IT-Sicherheitsgesetz 2.0 verpflichtet insbesondere Betreiber kritischer Infrastrukturen (KRITIS), die einen wichtigen und großen Teil unserer modernen Gesellschaft ausmachen, eine Angriffserkennung einzuführen, die automatisiert und in Echtzeit über Sicherheitsausfälle informiert. Jedoch sollte es am besten gar nicht erst zu Sicherheitsvorfällen kommen. Der vor Kurzem erfolgte Angriff auf die US-amerikanische Colonial Pipeline hätte durch ein entsprechendes IT-Sicherheitskonzept und den Einsatz von künstlicher Intelligenz, die es ermöglicht, Anomalien frühzeitig zu erkennen, vermieden werden können. Herkömmliche Antiviren- und EDR-Tools sind hierzu nicht fähig. Da Ransomware mittlerweile als Dienstleistung von Anbietern wie DarkSide im Dark Web angeboten wird – und damit selbst unerfahrenen Angreifern die Möglichkeit bietet, diese tückische Art der Cyber-Erpressung umzusetzen – ist ein breites Umdenken auf Unternehmensseite dringend nötig.
Denn eins haben die jüngst publik gewordenen Ransomware-Angriffe von CD Project über Axa bis hin zur Funke Mediengruppe gemein: Mit entsprechender Prophylaxe hätten die betreffenden Unternehmen nicht nur wirtschaftliche Verluste abwenden, sondern in der Folge auch einem Imageschaden im Rahmen des negativen Medienechos vorbeugen können. [...]
Für KRITIS-Unternehmen gilt eine solche Absicherung umso mehr als unabdingbar, da sie oftmals einen reibungslosen Ablauf unseres Alltags für Millionen von Privatpersonen sicherstellen müssen: vom Energieversorger bis hin zum öffentlichen Nahverkehr. Es geht also nicht nur darum, das Pflichtenheft des Security Acts 2.0 umzusetzen, um den offiziellen Regularien zu entsprechen, sondern auch ihrer gesellschaftlichen Verantwortung nachzukommen!
Wir sind deshalb überzeugt, dass kein Unternehmen dieser Art von Angriffen zum Opfer fallen sollte und muss, denn mit dem richtigen Partner für Cybersecurity sowie dem „Prevention First“-Ansatz, der dem Ernstfall zuvorkommt, gibt es dafür überhaupt keinen Grund. Das alte Sprichwort „Vorsorge ist besser als Nachsorge“ gewinnt in diesem Zusammenhang wieder absolute Aktualität.“