Alle 14 Tage aktuelle News aus der IT-Szene   >   
Fujitsu startet neues Partnerprogramm für das Channel-Business 16. 07. 2024
Fujitsu Österreich präsentiert ein umfassend überarbeitetes Partnerprogramm, das auf Vereinfachung und Wachstum abzielt. Das neue Programm ersetzt das langjährige Select Partner Programm und bietet neue Möglichkeiten für Partnerunternehmen jeder Größe.
Verbreitung der Hybrid Multicloud wird sich im Finanzsektor verdreifachen 16. 07. 2024
Eine neue Studie von Nutanix prognostiziert eine Verdreifachung der Hybrid Multicloud-Bereitstellungen im Finanzsektor innerhalb der nächsten drei Jahre. Der Financial Services Enterprise Cloud Index (ECI) 2024 zeigt, dass die Hybrid Multicloud das führende IT-Modell in der Branche wird.
ESET AI Advisor identifiziert Gefahren und berät IT-Sicherheitsexperten 03. 07. 2024
Der IT-Sicherheitshersteller ESET erweitert seine Business-Lösungen mit einem KI-basierten Cybersecurity-Assistenten, der Sicherheitsverantwortliche im Alltag unterstützt und Vorfälle effizienter managen lässt.
BOLL übernimmt nun auch in Österreich den Vertrieb von Palo Alto Networks 27. 06. 2024
Palo Alto Networks vertraut auf die Expertise und das Engagement von BOLL und unterzeichnet einen Distributionsvertrag für Österreich.
Österreichischer Gesundheitswirtschaftskongress: Digitalisierung und KI im Fokus 19. 06. 2024
Vergangene Woche fand der diesjährige Österreichische Gesundheitswirtschaftskongress, kurz ÖGWK, in Wien statt. Veranstaltungspartner MP2 IT-Solutions gab Einblicke in die Trends und digitalen Entwicklungen in der Gesundheitsbranche.
Flexible ERP-Prozesse für die Werkshalle von morgen 17. 06. 2024
Neue Maschine, neue Funktionen: In Zeiten von KI und Large Language Models erweitert sich das Funktionsspektrum moderner Fertigungsmaschinen geradezu in Rekordzeit. Damit die kontinuierlichen Innovationen zu einem Effizienzgewinn für den Gesamtprozess führen, müssen auch die umliegenden IT-Systeme dieser Dynamik Rechnung tragen können. Wie der ERP-Spezialist Asseco Solutions mit der neuesten Generation seiner Lösung APplus die digitale Fertigung von morgen unterstützt, zeigt das Unternehmen auf der „World of Tools“ 2024 in Nürnberg.
A1 und KSV1870 bewerten Cyber-Risiken von Unternehmen 15. 06. 2024
A1 und KSV1870 haben eine strategische Kooperation geschlossen, um Unternehmen in Österreich einen umfassenden Cyber-Sicherheitsnachweis zu ermöglichen. Diese Zusammenarbeit zielt darauf ab, die Transparenz und Sicherheit in lokalen und globalen Lieferketten zu erhöhen, indem ein strukturiertes und anerkanntes Rating gemäß den Richtlinien von NIS2 und DORA etabliert wird.
Sage übernimmt HR-Module von Ammonit 12. 06. 2024
Die Akquisition stärkt Sage DPW, Sages HR-Lösung für den österreichischen Markt.
Innovationen und Netzwerke im Fokus: LEARNTEC 2024 schließt erfolgreich ab 06. 06. 2024
Die 31. Ausgabe der LEARNTEC, Europas führende Messe für digitale Bildung, bot ein breites Spektrum an Innovationen und Vernetzungsmöglichkeiten. Über 14.000 Teilnehmende aus 43 Ländern, trafen sich und 419 Aussteller in Karlsruhe, um die neuesten Entwicklungen im digitalen Lernen zu erkunden und sich auszutauschen. Das vielseitige Programm, ergänzt durch einen Outdoorbereich mit Festivalcharakter, setzte neue Maßstäbe.
Digitale Buchhaltung leicht gemacht 05. 06. 2024
Das Kärntner Start-up Bookkeepr präsentiert eine benutzerfreundliche App für EPUs und Kleinstunternehmen.
Start in Belgien, Finnland, Portugal und Tschechien 04. 06. 2024
refurbed, ein Online-Marktplatz für refurbished Produkte, erschließt neue Märkte und startet in Belgien, Finnland, Portugal und Tschechien.
Erweiterung der Datenfreiheit für Veeam-Kunden: Proxmox VE-Support kommt 28. 05. 2024
Veeam Software kündigt die Unterstützung für Proxmox VE an, eine häufig nachgefragte Virtualisierungsplattform, um das Datenmanagement und die Cyber-Resilienz zu verbessern.
ISPA sieht einen Rückschlag für den Datenschutz in EUGH Urteil 16. 05. 2024
Die ISPA, der Interessenverband der österreichischen Internetwirtschaft, äußert sich besorgt über das jüngste Urteil des Europäischen Gerichtshofs zur Vorratsdatenspeicherung. Der Verband sieht darin eine ernsthafte Bedrohung für Grundrechte und fordert die Politik auf, gegen überzogene Überwachungstendenzen klar Stellung zu beziehen, eine umfassende Überprüfung der aktuellen Rechtslage zur Vorratsdatenspeicherung durchzuführen, klare Grenzen zu setzen und die Freiheiten der Menschen in einer digitalisierten Welt zu bewahren.
AWS startet in neue Ära der KI-gestützten Softwareentwicklung 14. 05. 2024
AWS erweitert mit Amazon Q die Möglichkeiten der Softwareentwicklung durch den Einsatz von KI. Die Plattform fördert die Automatisierung und bietet umfangreiche Integrationsoptionen, wodurch Unternehmen unterschiedlicher Größe ihre Daten sicher und effizient verwalten können. Mit Amazon Q stellt AWS ein Tool bereit, das sowohl die Entwicklergemeinschaft als auch nicht-technische Mitarbeiter unterstützt.
Studie von Ping Identity enthüllt Lücken im Identitätsschutz 08. 05. 2024
Eine internationale Umfrage von Ping Identity offenbart, dass viele Unternehmen Schwierigkeiten bei der Identitätsverifikation haben und unzureichend gegen KI-basierte Angriffe geschützt sind. Die Ergebnisse der Umfrage verdeutlichen, dass Unternehmen im Bereich Identitätsschutz im KI-Zeitalter noch großen Nachholbedarf haben. Experten empfehlen dringend, Investitionen in fortschrittlichere Technologien und Strategien zu tätigen, um sich gegen die wachsenden Bedrohungen durch künstliche Intelligenz zu wappnen.
Sichere Geldanlage mit IT-Expertise made in Austria 08. 05. 2024
Die Anforderungen für Bundeschatz, das neue Geldanlegerprodukts des Bundes, waren hoch: Die Web-Applikation sollte äußerst benutzerfreundlich und zugleich in höchstem Maße sicher sein und die Entwicklung sollte in Rekordzeit umgesetzt werden. Erfüllt wurden diese Anforderungen von einem Spezialisten für Custom Software Development mit Headquarter in Wien.
Commvault startet Cloud-basierte Cleanroom-Recovery-Lösung 02. 05. 2024
Commvault präsentiert eine neue, in der Cloud gehostete Lösung zur Datenwiederherstellung, die speziell für Unternehmen jeder Größe entwickelt wurde.
Bedrohungslage für ERP-Systeme verschärft sich drastisch: Neue Studie zeigt Zunahme der Ransomware-Vorfälle 02. 05. 2024
Eine aktuelle Untersuchung der Sicherheitsunternehmen Onapsis und Flashpoint offenbart eine alarmierende Zunahme von Ransomware-Angriffen auf SAP-Systeme. Die Studie dokumentiert einen Anstieg der Attacken um 400 Prozent, was auf eine erhöhte Ausnutzung von Schwachstellen in ERP-Systemen zurückzuführen ist. Die Cyberangriffe erreichen neue Dimensionen.
weiter
Arvato Systems

Missverständnisse und Lösungsansätze

Gastbeitrag: Es braucht in der Cloud Security mehr Dialog und weniger Technikfokus, fordert Andreas Nolte.

Foto: B_A/Pixabay Das grundlegende Missverständnis ist die Fehlannahme, Cloud-Sicherheit sei ein IT-Thema. Doch Cloud Security ist vielmehr in der Unternehmensstrategie nachhaltig zu verankern Zahlen lügen nicht: Im Jahr 2021 haben 39 Prozent der Firmen mit 500 bis 999 Beschäftigten, die cloudbasierte Dienste in Anspruch nehmen, wirtschaftliche Schäden durch Hacker-Angriffe erlitten. Zugleich sah sich rund die Hälfte der Unternehmen (51 Prozent), die über zehn Millionen jährlich in ihre IT-Infrastruktur investieren, mit dieser Problematik konfrontiert. Zu diesem Ergebnis kommt die IDG-Studie „Cloud Security 2021“. Die Folgen derartiger Attacken können recht unterschiedlich sein – von Imageschäden (13 Prozent) und Umsatzeinbußen (25 Prozent) über den Verlust geschäftskritischer Daten (31 Prozent) bis hin zu Beeinträchtigungen der Arbeits- und Produktionsprozesse (43 Prozent) oder gar dem kompletten Stillstand des Unternehmens (34 Prozent). Zeit also, das Thema Cloud Security auf Entscheider-Ebene zu priorisieren. Denn in der Regel scheitern derartige Initiativen in Unternehmen nicht an der technischen Umsetzung, sondern am fehlenden Dialog zwischen IT und Geschäftsführung.

Sind Hacker erst einmal in die IT-Infrastruktur eingedrungen, dauert es rund 100 Tage, bis Unternehmen dies bemerken. Drei Monate, in denen Cyber-Kriminelle großen Schaden anrichten können. Nicht immer sind es aufmerksamkeitsstarke Ransomware- oder DDoS-Attacken, die Unternehmen in ihrer Gänze lahmlegen können. Mancher Hacker geht sehr subtil vor, etwa indem er Bilder ein klein wenig manipuliert oder vermeintlich unbedeutende Informationen abgreift. Unabhängig von den Folgen eines solchen Angriffs stellt sich die Frage: Warum schützen Unternehmen ihre Systeme, Daten und Geräte in der Cloud nicht angemessen? Die Antworten gleichen sich vielerorts. Das lässt auf grundsätzliche Fehlannahmen bezüglich Cloud Security schließen.

Fehlannahmen

1. Cloud Provider kümmern sich vollumfänglich um die IT-Sicherheit

Das ist mitnichten der Fall. Cloud-basierte Dienste von einem Hyperscaler zu beziehen, entbindet Unternehmen nicht von ihrer eigenen Verantwortung. Gemäß Shared-Responsibility-Ansatz obliegt es den Firmen bis zu einem gewissen Grad selbst, für den nötigen Schutz zu sorgen, etwa indem sie zumindest die Data Governance sicherstellen, Endgeräte schützen sowie Zugriffs- und Nutzungsrechte verwalten.

2. Mit Cloud-Lösungen verschwinden IT-Silos

In Zeiten von Big Data müssen Systeme miteinander verknüpft sein. Andernfalls lässt sich das Potenzial der Bestandsdaten nicht gewinnbringend erschließen. Dieses Dilemma bleibt auch dann bestehen, wenn einzelne Fachbereiche ihre Systeme in der Cloud betreiben. Nutzt zum Beispiel das Marketing eine Plattform, auf der es relevante Assets aus verschiedenen Quellsystemen konsolidiert und für die Verwendung im gewünschten Zielsystem vorhält, erhöht damit nur diese Abteilung ihre Prozesseffizienz. Andere Unternehmensbereiche profitieren nur, wenn sie ihre Systeme mit der Cloud-Plattform integrieren. Ansonsten entstehen neue Datensilos.

3. IT-Experten sind zugleich Security-Experten

Einen Cloud-Dienst hochzufahren und zu nutzen, ohne ihn vorab auf mögliche Security-Risiken zu prüfen, ist naiv und darum ein absolutes No-Go. Die Cloud-Adaption ist ein hochkomplexes Vorhaben, das einem stetigen Wandel unterliegt. Entsprechend qualifiziert müssen die Mitarbeitenden sein. Es gibt immer noch Firmen, die davon überzeugt sind, dass sich das eigene IT-Personal nicht nur mit dem Management der Bestands-IT auskennt, sondern zugleich Experte für Cloud Security ist. In der Folge bilden diese Unternehmen ihre IT-Fachkräfte nicht adäquat weiter. Doch fehlendes Know-how in Bezug auf die Absicherung einer Cloud-basierten IT-Infrastruktur öffnet Hackern Tür und Tor. Darum ist es ratsam, einen externen Dienstleister ins Boot zu holen. Er begleitet Unternehmen nicht nur auf ihrem Weg in die Cloud, er passt auch die Security-Tools der marktführenden Hyperscaler an den individuellen Bedarf an. Hierfür definiert er sinnvolle Security-Regeln, wählt geeignete Sensoren für die Detection aus und erbringt professionelle Managed Detection and Response Services (MDR) in einem Security Operations Center (SOC).

4. Alle Mitarbeitenden gehen jederzeit verantwortungsvoll mit Daten um

Der Mensch selbst ist ein Sicherheitsrisiko. Ein kleiner Moment der Unachtsamkeit genügt, und Mitarbeitende geben sensible Informationen preis (Social Engineering). Oder sie laden Daten in einen ungeprüften und ungesicherten Cloud-Speicher hoch. Oder kaufen per Firmen-Kreditkarte im Internet ein. Gelangen die Daten auf US-amerikanische Server, können das ernsthafte Compliance-Verstöße sein. Riskant sind ebenso Passwörter wie „Winter2021!“ und „123456“. Sind E-Mail-Konten in der Cloud unzureichend gesichert, können Hacker Mail-Adressen auf Basis öffentlicher Informationen erzeugen und mit gängigen Passwörtern kombinieren (Password Spraying). Auch kostenlose Cloud-Dienste zu nutzen, kann zum Problem werden. Es gibt beispielsweise PDF-Converter, bei denen der Anbieter die Inhalte des Dokuments abgreift und auswertet. Um all das zu verhindern, braucht es ein hohes Maß an Cloud Governance: Zum einen sollten Unternehmen nur sichere Tools freischalten. Zum anderen sind die Mitarbeitenden in Sachen Governance zu sensibilisieren und zu befähigen, damit sie Cloud-Dienste reflektiert nutzen.

Lösungsansätze

1. Standard-Lösungen individuell anpassen (lassen)

Was ist vor diesem Hintergrund zu tun, damit die Cloud-Migration nicht zum Sicherheitsrisiko wird? Natürlich braucht es passende Technologien. Wer die Cloud-Lösungen der etablierten Hyperscaler nutzt, ist auf dem richtigen Weg. Sie bieten bereits im Standard viele Tools und Konfigurationsmöglichkeiten – von Web Application Firewalls, Vulnerability Management und Cloud Security Posture Management über Extended Detection and Response (XDR) bis hin zu Zero Trust und vielem mehr. Damit lässt sich ein gutes Maß an Cloud Security sicherstellen. Wenn Unternehmen diese State-of-the-Art-Lösungen dann an ihren spezifischen Bedarf anpassen (lassen) oder generell Cloud-Lösungen entwickeln (lassen), sollten sie dafür den Infrastructure-as-Code-Ansatz (IaC) wählen. Wer seine Infrastruktur gemäß IaC aufbaut, kann Security-relevante Features direkt im Quellcode hinterlegen. Zudem ist es möglich, abgesicherte Infrastruktur-Templates für weitere Zwecke zu duplizieren.

2. Cloud Security als Geschäftsprozess begreifen

Daneben ist es wichtig, jegliche Assets und Systeme in der Cloud lückenlos zu inventarisieren: Welche Plattformen gibt es? Wer ist verantwortlicher Business Owner? Wer administriert welche Plattform? Wo soll ein Patch erfolgen? Welche Daten gelangen auf welche Plattform? Woher kommen sie? Wohin fließen sie? Wie? Und warum? Den aktuellen Status jedweder Cloud-Anwendung zu kennen, ist eine grundlegende Voraussetzung, um Cloud-Sicherheit als Business-Prozess verstehen zu können. Als Prozess, der mit Bedacht modelliert, mit Metriken gesteuert, mit Tools überwacht und kontinuierlich optimiert sein will. Zum Prozessmanagement gehören auch regelmäßige Audits. Während dies bei On-Premises-Lösungen üblicherweise im Jahresrhythmus geschieht, ist es möglich, Cloud-basierte Anwendungen täglich oder gar stündlich im Hinblick auf etwaige Sicherheitslücken zu scannen. Nur so lassen sich Schwachstellen zeitnah identifizieren und effektiv beseitigen (Vulnerability Management).

3. Alles und jeden verifizieren

In diesem Kontext ist managementseitig zu verstehen, dass ältere Schutzmechanismen nicht mehr wirken. So ist der Perimeterschutz via Firewall der völlig falsche Ansatz, wenn Daten und Systeme in der Cloud liegen. Stattdessen sind alle Systeme und sämtliche Endgeräte gegen unerlaubte Zugriffe abzusichern – insbesondere dann, wenn sich immer mehr Mitarbeitende außerhalb des Firmen-Netzwerks aufhalten, etwa im Homeoffice. Zero Trust muss zur gelebten Maxime werden: „Vertraue niemandem außerhalb und innerhalb deiner Organisation. Und verifiziere jeden.“ Doch es handelt sich bei Zero Trust um keine Lösung, die Unternehmen out-of-the-box freischalten könnten, sondern um ein Designprinzip, das individuell umzusetzen ist. Greift zum Beispiel ein Mitarbeitender über das Firmen-Smartphone auf sein E-Mail-Postfach zu, ist das unbedenklich, weil Nutzer und Gerät bekannt sind. Benutzt er dafür ein privates Mobilgerät, ist Vorsicht geboten. Idealerweise gibt es einen zweiten Faktor, über den sich der Anwender für den Netzwerkzugriff authentifiziert.

4. Schutzziele definieren

Eben diese Multi-Faktor-Authentifizierung ist eines von vielen Schutzzielen, die Unternehmen definieren sollten: Damit Mitarbeitende SaaS-Lösungen benutzen dürfen, ist ein zweites Authentifizierungsmerkmal an allen Geräten und Endpoints zu installieren. Gemäß Assume-Breach-Paradigma ist die Frage nicht, ob Unternehmen gehackt werden, sondern wann. Mit einer zweiten Identifizierungsstufe, wie etwa einer SMS, einer App, einem Anruf oder einem weiteren Gerät, lässt sich das Risiko spürbar verringern. Ergänzend empfiehl es sich, bei BYOD-Szenarien (Bring Your Own Device) eine Null-Toleranz-Politik zu vertreten: Erfüllen die privaten Endgeräte der Mitarbeitenden die Security-Anforderungen nicht, dürfen sie keinesfalls mit dem Netzwerk verbunden sein. Ebenso ist zu überprüfen, ob das Patch Management auch im Homeoffice wirkungsvoll ist.

Assets zentral schützen

All diese Einzelmaßnahmen verbindet eine datenbasierte Grundannahme. Die beiden zentralen Frage sind: Was darf mit Assets, wie etwa Daten, Dateien, Geräten, Datenbanken und Services, passieren? Und wer ist berechtigt, das zu tun? Idealerweise gibt es ein zentrales Control Panel, in dem diese Informationen personenbezogen hinterlegt sind. Wer ist eine Person? Welche authentifizierten Geräte nutzt sie? In welchem Zustand befindet sich ein Gerät (beruflich, privat, gepatcht etc.)? An welchen Orten (Zentrale, Niederlassung, Kunden etc.) hält sich die Person üblicherweise auf? In welchem Status befinden sich die Konten und Profile der Person (gerade gehackt oder sicher)? Anhand dieser und vieler weiterer Informationen lassen sich erlaubte von unautorisierten Zugriffen recht zuverlässig unterscheiden. In diesem Kontext spielt XDR eine immer größere Rolle. XDR ermöglicht, Daten auf mehreren Security-Ebenen, wie etwa E-Mails, Geräte, Server, Cloud-Workloads und Netzwerke, automatisch zu erfassen und zu korrelieren. So können Unternehmen potenzielle Bedrohungen schneller identifizieren und unmittelbar reagieren.

IT und Management reden aneinander vorbei

Natürlich sind IT-Abteilungen diese und weitere Cloud-relevante Aspekte bewusst. Warum also sind Unternehmen dennoch auf dem Security-Auge blind? Es hat den Anschein, als würde kein zielführender Dialog zwischen IT und Management stattfinden. Manchmal hat die Geschäftsführung keine greifbare Vorstellung davon, wie wichtig Cloud Security für einen reibungslosen Geschäftsbetrieb ist. Und IT-Experten gelingt es hin und wieder nicht, die Vorteile adäquater Schutzmaßnahmen und ihre positiven Auswirkungen auf das operative Tagesgeschäft verständlich zu vermitteln. Dringen Cyber-Kriminelle zum Beispiel in die IT-Infrastruktur eines Industrieunternehmens ein, steht im Zweifel die Produktion still. Online-Händler könnten Probleme mit dem Check-out bekommen. Oder bei einem Einzelhändler funktioniert das Kassensystem nicht – allesamt Folgen, die Unternehmen dort treffen, wo es am schmerzlichsten ist: bei ihren gewinnbringenden Kernprozessen.

Es muss ein echter Dialog stattfinden

Zugunsten eines echten Dialogs sind Unternehmen gut beraten, die Technologie zunächst außen vorzulassen. Natürlich gibt es gute Gründe für oder gegen einen bestimmten Cloud Provider. Doch das ist nicht der Punkt. Software um ihrer selbst willen anzuschaffen, war noch nie eine gute Idee. Es geht darum, den Möglichkeiten, welche die Cloud eröffnet, und der Komplexität von Cloud Security mit bewussten Entscheidungen zu begegnen. Ist beispielsweise ein für den Geschäftsbetrieb relevanter Service in die Cloud zu migrieren, stellt sich die Grundsatzfrage: Soll das bisherige On-Premises-Konzept eins zu eins in der Cloud abgebildet werden – einschließlich Wartung und Updates? Oder wäre es nicht sinnvoller, das digitale Produkt als Software-as-a-Service bereitzustellen? Und wie gelingt es, die SaaS-Lösung vor Hacker-Angriffen abzusichern? Wichtig ist, dass bei Überlegungen dieser Art der Produktionsbezug jederzeit im Vordergrund steht. Hängt etwa der operative und wirtschaftliche Erfolg eines Maschinenbauunternehmens maßgeblich daran, dass die Gabelstapler fahren, gibt es üblicherweise ein fest definiertes Risikomanagement: Die Firma achtet darauf, dass immer genügend Schmierstoff vorhanden ist, sie hält alle Wartungstermine ein und stellt ausreichend Ersatzfahrzeuge bereit.

Cloud Security ist kein technisches, sondern ein strategisches Thema

Derartige Prozesse sind auf Cloud Security zu übertragen. Damit das gelingen kann, müssen Unternehmen zunächst mit gängigen Vorurteilen aufräumen. Denn das grundlegende Missverständnis ist die Fehlannahme, Cloud-Sicherheit sei ein IT-Thema. Doch Cloud Security ist vielmehr in der Unternehmensstrategie nachhaltig zu verankern und erst im zweiten Schritt praktisch umzusetzen. Das ist eine Herausforderung, die weit über die IT-Abteilung hinausgeht. Sie betrifft jeden einzelnen Fachbereich. Für eine wirkungsvolle Cloud Security müssen alle, wirklich alle an einem Strang ziehen.

Der Autor Andreas Nolte ist Head of Cyber Security bei Arvato Systems

it&t business medien eU
Tel.: +43/1/369 80 67-0
office@ittbusiness.at