Cyber-Bedrohung für den Mittelstand
Interview mit Tobias Caspar
Welche Cybersicherheitsbedrohungen sind Ihrer Meinung nach besonders akut?
In den letzten Jahren waren Ransomware-Attacken nach dem Gießkannenprinzip das Top-Risikoszenario. Wir sehen dieses Szenario auch immer noch in den aktuellen Schadenfällen. Gleichzeitig sind bessere Schutzmechanismen wie bessere Malwareerkennung und stärkere Netzwerksegmentierung mehr und mehr verbreitet. Wir sehen daher einen Trend zu gezielten Angriffen entweder über Schwachstellen im Netzwerk oder mittels gezielter Angriffe auf den Benutzer als Einfallstore und einen Trend zum Doxing (Erpressung mit der Drohung der Informationsveröffentlichung) in der ‚Angriffsverwertung‘. Aber auch Denial-of-Service Situationen insbesondere in Industriesteuerungen bleibt eines der wichtigsten Risikoszenarien. Der fortschreitende Trend zum IoT und die häufig erst nachlaufende Absicherung, der dadurch neu auftretenden oder verschärften Risiken, begünstigt diese Szenarien.
„Gerade in diesem Bereich, dem Cyber-Risikomanagement bestehen noch große Herausforderungen“
Welche Rolle spielt bei der IT-Sicherheit der Faktor Mensch?
Der Mensch ist in zweierlei Hinsicht der Schlüssel: Zum einen ist es in sehr vielen Schadenfällen ein Benutzer, der einen Angriff durch die oft unbewusste Ausführung der Schadsoftware erfolgreich macht. Zum anderen sind es aber auch Menschen, die die Problematik und das damit verbundene Risiko verstehen müssen, um die richtigen Konsequenzen zu ziehen. Gerade in diesem Bereich, dem Cyber-Risikomanagement bestehen noch große Herausforderungen. Häufig ist in den Firmen das Cyberrisiko nicht transparent, damit Entscheider damit richtig umgehen können. Strukturen, um die Abhängigkeiten des Business von Informationen und IT systematisch zu erfassen und darstellen zu können, fehlen leider noch zu häufig. Der Verweis auf die IT, die sich kümmern soll, greift zu kurz, da das Verständnis für die geschäftlichen Auswirkungen naturgemäß nicht deren Kompetenz ist. Dem kann man, wie in anderen Bereichen auch, nur mit einem vom Business getragenen Managementsystem begegnen, in das die IT dann Ihre technische Perspektive beiträgt.
In Zukunft dürfte die IT immer stärker automatisiert werden. Werden Themen wie Künstliche Intelligenz (KI) das Problem menschlicher Risiken langfristig lösen?
KI ist ein sehr vielfältig gebrauchtes Schlagwort. KI im Sinne der Erschließung und Nutzung von großen Datenmengen durch Algorithmen ist ein wesentlicher Beitrag z.B. in der oben angesprochenen Verbesserung der Malwareerkennung. Hierdurch kann auch unbekannte Malware heute häufig anhand ihres Verhaltens erkannt werden. An dieser Stelle mindert KI in der Praxis tatsächlich einen Teil des Problems. Wenn jedoch ein gezielter Angriff auf Menschen vorgenommen wird, um deren Verhalten zu beeinflussen (z.B. Informationen preiszugeben), ist auch KI noch lange nicht so weit, das zuverlässig erkennen und verhindern zu können. Awareness-Trainings für Benutzer bleiben daher weiterhin eine elementare Maßnahme. Die Awareness auf Management- und IT-Ebene (Wie kann die Geschäftsanforderung ausreichend sicher gebaut und betrieben werden? Wie ist das technisch realisierbar?) bleibt eine Herausforderung an die menschliche Kreativität, die zwar in der Zukunft durch KI unterstützt, aber auf absehbare Zeit mit Sicherheit nicht vollständig durch diese gelöst werden kann. KI wird uns ermöglichen mehr Informationen nutzbar zu machen, aber die gestalterischen Aufgaben werden meiner Ansicht nach immer beim Menschen bleiben. Ich würde es so formulieren: KI wird uns helfen die durch sehr hohe Komplexität oft verlorene Kontrolle zurück zu erlangen. Die Kontrolle dann auszuüben wird meines Erachtens beim Menschen verbleiben.