IT Security funktioniert nur, wenn alle mitmachen: Wirtschaft, Politik, Lehre und Verbraucher. Darum war die Veranstaltung des Campus Schule-Wirtschaft im SCHULEWIRTSCHAFT-Netzwerk Rottweil am 30.01.2023 genau der richtige Rahmen für unseren Co-Founder Immanuel Bär, um über IT Sicherheit im Jahr 2023 zu informieren. Dabei erklärte er unter anderem, was Hacking mit Fahrradschläuchen zu tun hat.
Wer nicht selbst beruflich mit IT zu tun hat, kennt Hacker vermutlich nur aus Filmen und den Nachrichten. Von „Ethical Hackern“, also denjenigen, die mit guter Absicht und moralisch-ethischen Regeln hacken, haben die meisten vermutlich noch nie etwas gehört. Daher veranschaulichte Immanuel Bär am Campus Schule-Wirtschaft bildlich, wie genau seine Arbeit als Penetration Tester aussieht.
…den Fahrradschlauch unter Wasser zu halten, um herauszufinden, wo es blubbert.
Penetration Tester grenzen sich dadurch von Ethical Hackern ab, dass sie ausschließlich im Auftrag der zu hackenden Unternehmen oder Organisationen arbeiten. Der Umfang eines Penetration Tests wird im Vorfeld ebenfalls genau abgesteckt. Den Zweck eines solchen Tests erklärt Immanuel bildlich: Die IT Sicherheit eines Netzwerks mit einem Pentest zu prüfen, bedeutet „den Fahrradschlauch unter Wasser zu halten, um herauszufinden, wo es blubbert.“
Wie genau er und das ProSec-Team bei einem solchen Penetration Test vorgehen, veranschaulichte Immanuel an einem realen Beispiel: Bei einem simulierten Hacking-Angriff auf eine Apotheke nutzten unsere Pentester eine Phishing-Mail, um sich Zugriff auf Nutzerdaten zu verschaffen. Über den Drucker der Apotheke konnten sie schließlich sensible Daten wie Rezepte, Kundendaten und Gehälter einsehen.
(Weitere Informationen zu unserer Erfahrung mit Apotheken-Pentests haben wir hier zusammengestellt: „Durchleuchtet uns mal!” – Europas erster Apotheken-Pentest)
„[K]urzweilig“, „eindrücklich und vor allem verständlich“ und „mit einer wirklich guten Botschaft“ – so nahmen die Teilnehmer der Veranstaltung laut dem oben verlinkten Artikel Immanuels Vortrag wahr. Neben anschaulichen Beispielen ist dies sicher auch seinem „Realtalk“-Credo zu verdanken. Was vielen beispielsweise vermutlich vorher nicht klar war: Cybercrime ist – rein rational betrachtet – vor allem ein extrem lukratives Geschäftsmodell. Die Einnahmen durch Cybercrime überstiegen selbst den weltweiten Drogenmarkt, machte Immanuel in Rottweil klar.
Um dem entgegenzuwirken, sei (neben technischen und organisatorischen Sicherheitsmaßnahmen) vor allem die Sensibilisierung aller Menschen hinter den Bildschirmen entscheidend: Verantwortliche in Unternehmen, Organisationen und der Politik müssen das Thema IT Sicherheit proaktiv angehen. Nutzer müssen sich – auch im privaten Alltag – der Gefahren bewusst sein und „mit gesundem Menschenverstand und Augenmaß” auf verdächtige Nachrichten oder Links reagieren. Wenn Privatpersonen, Politik, Wirtschaft und nicht zuletzt Bildung gemeinsam an mehr Security Awareness und Cyber Resilienz arbeiten, besteht trotz boomendem Cybercrime-Business kein Grund zu Angst und Sorge.
Abschließend entließ Immanuel sein Publikum am Campus Schule-Wirtschaft mit einer positiven Botschaft: „2023 muss niemand mehr einen fatalen Cyber-Angriff erleiden!” Lasst euch einfach im Rahmen eines Pentests von „guten“ Hackern testen, bevor es die bösen tun. Dann wisst ihr genau, welche Schwachstellen eure IT hat und wie ihr diese schließen könnt.
Cloudflare hat eine DDoS-Attacke von 11,5 Terabit pro Sekunde abgewehrt, einen traurigen Rekord und Weckruf für Unternehmen, ihre IT-Sicherheitsstrategie neu zu bewerten. Die Bedrohung bewegt sich über Hackereingriffe und betrifft geopolitische Interessen, kriminelle Netzwerke und technische Superwaffen.
Cyberkriminelle nutzen legitime Sicherheitstools wie „Velociraptor“ zur Durchführung von Angriffen auf Unternehmen. Dies unterstreicht die wachsende Unsichtbarkeit von Angreifern und das zunehmende Risiko von Kontrollverlust in IT-Systemen. Unternehmen müssen den Einsatz solcher Tools sorgfältig prüfen und kontextsensitive Sicherheitsmaßnahmen ergreifen.
Backup-Software wie Commvault können, wie jüngst aufgezeigte Schwachstellen zeigen, ein erhebliches Risiko für Firmen darstellen. Ein Angriff auf Backupsystems kann gravierende Folgen haben, bis hin zum Verlust der Geschäftsfähigkeit. Sind Unternehmen nicht ausreichend gegen solche Szenarien gewappnet, sind sie im Ernstfall erpressbar oder temporär lahmgelegt. Dennoch wird Sicherheit oft vernachlässigt. Im Artikel wird argumentiert, dass IT Sicherheit Chefsache sein sollte und gibt konkrete Handlungsempfehlungen.
