Im Gespräch IoT4 Industry & Business

Wer hat Angst vorm Hacker?

zur Übersicht
Hacking ist im Trend. Doch nicht jeder Hacker hat Böses im Sinn. Stephanie Englert im Gespräch mit einem Experten auf dem Gebiet "White-Hat-Hacking" | Bild von Gerd Altmann auf Pixabay

„Hacken“ ist im Trend. Wer etwas auf sich hält, gibt sein Wissen insofern preis, als dass er die „Gehackten“ im Anschluss des Feldversuches darauf hinweist, wo ihre Schwachstellen sind. Diesen Prozess würde man dann als White-Hat-Hack bezeichnen. Doch was genau verstehen wir unter diesem Begriff?

Von Stephanie Englert

Die zunehmende Digitalisierung hat zur Folge, dass sich neueste Technologien in Unternehmen verbreiten und vielerorts auch aus der Ferne gearbeitet werden kann. Das macht auch Sinn. Was jedoch nicht unbedingt parallel stattfindet, ist die Entwicklung für ein Bewusstsein dafür, dass man als Unternehmen und einzelner Mitarbeiter bzw. dass auch die Gesamtanlage eines Betriebes zur Zielscheibe werden. Weshalb? Weil auch das Thema Hacking immer ausgeklügelter wird. Doch es gibt auch hier zwei Welten, die guten Hacker und die bösen Hacker.

Die SEC Consult Group ist als einer der führenden Berater im Bereich Cyber- und Applikationssicherheit weltweit bekannt und in den vergangenen Monaten mehr als gefragt gewesen. Covid-19 verstärkte die Vulnerabilität vieler. Zu den Kunden von SEC Consult zählen führende Unternehmen, Behörden und Organisationen aus verschiedensten Sektoren der Privatwirtschaft sowie der kritischen Infrastruktur. Der Spezialist für IT-Security ist an mehreren Standorten ISO 27001 CREST-zertifiziert. Als Sicherheitsberater schützt das Unternehmen wertvolle Informationen seiner Kunden durch Engagement, Fachwissen und Innovationskraft, meint Ulrich Fleck, CRO des Unternehmens mit Sitz unter anderem im 19. Bezirk in Wien.

IoT4 Industry & Business: Herr Fleck, was versteht man unter dem Begriff „White-Hat-Hacker“ und wie sehr sehen Sie den Begriff „ethisches Hacking“ hiermit gut in Verbindung gebracht?

Ulrich Fleck: Beides bedingt einander, denn ein White-Hat-Hacker betreibt ethisches Hacking. Entsprechend der den Wildwestfilmen entnommenen Symbolik, in der der schwarze Hut die Bösen kennzeichnet und die Guten immer einen weißen Hut tragen, setzen White-Hat-Hacker ihre Fähigkeiten ein, um Unternehmen oder Organisationen vor Schaden zu bewahren. Zwar greifen sie wie ihre kriminellen Pendants, die „Black Hats“, ebenfalls Systeme an – allerdings im Gegensatz zu diesen nur mit Erlaubnis des Kunden und um allfällige Schwachstellen in dessen Netzwerken sowie in Soft- und Hardware zu finden.

Das bedeutet, …

Fleck: … dass die Experten unserer ethischen Hackerteams weltweit – an unserem Hauptsitz in Wien und allen Niederlassungen in Europa, den USA und Asien – sich nicht nur mit dem Eindringen in Systeme begnügen und der Beurteilung der Sicherheitslage, sondern sie nehmen die Netzwerke quasi auseinander und versuchen sie auch zu verstehen. In unserem Vulnerability Lab widmen wir uns der Analyse aktueller Bedrohungen und entwickeln entsprechende Vorgehen und Analysewerkzeuge, so können wir uns immer wieder einen internationalen Know-how-Vorsprung im Bereich der Netzwerk- und Applikationssicherheit gegenüber den Angreifern verschaffen.

Was ist das Ziel von dieses Ethical Hacking?

Fleck: Kurz gesagt: mögliche Einfallstore ins jeweilige System zu entdecken und ein Assessment der vorhandenen Schwachstellen durchzuführen. Die Informationen dazu werden sowohl an den Auftraggeber weitergegeben als auch an die Hersteller möglicherweise betroffener Hard- oder auch Software. Wenn diese anhand der Hinweise unserer Mitarbeiter Patches – Korrektur-Updates zum „Beheben“ bekannt gewordener Fehler und Sicherheitslücken – schneller entwickeln können, ist nicht nur dem jeweiligen Kunden gedient, sondern in weiterer Folge auch dem Hersteller betroffener Hard- oder Software und dessen andere Kunden. All dies erfolgt natürlich unter Ausschluss der Öffentlichkeit, um Cyberkriminellen nicht den roten Teppich auszulegen.

Mit welchen Herausforderungen im Zuge der Covid-19-Pandemie haben Ihrer Erfahrung nach die CIOs, die IT-Verantwortlichen von Unternehmen, Behörden oder anderen Organisationen besonders zu kämpfen?

Fleck: Eine der größten und immer noch aktuellen Herausforderungen ergibt sich daraus, dass viele Unternehmen die Umstellung auf Homeoffice in kürzester Zeit umgesetzt haben, um ihre Geschäftstätigkeit nicht zu gefährden. Geschäftskritische Informationen und essenzielles Wissen mussten sehr schnell über neue und andere Systeme verbreitet werden, was Cyberkriminellen eine besondere Angriffsfläche bietet.

Auch wenn Homeoffice-Lösungen mittlerweile vielfach etabliert sind und operativ und administrativ problemlos laufen, sollte nicht vergessen werden, dass die zu Beginn der Umstellung akuten Gefahren für die IT-Sicherheit aktuell genauso akut sind wie vor einem halben Jahr. Vor allem mit Blick auf Herbst und Winter ist abzusehen, dass sich – je nach Bedrohungslage und Corona-Präventionsmaßnahmen – Phasen der Präsenz am Arbeitsplatz mit Zeiten im Homeoffice abwechseln werden. Hier sollten sich auch bisher von Angriffen verschont gebliebene Unternehmen und Behörden nicht in Sicherheit wiegen, sondern sich weiterhin um größtmögliche IT-Security, sowohl vor Ort als auch remote an den Heimarbeitsplätzen, bemühen.

Hinzu kommt, dass, sei es in Unternehmen wie auch in Privathaushalten, immer mehr IoT-Geräte in Gebrauch sind, die gefährliche Einfallstore für das gesamte Netzwerk darstellen. Egal ob Netzwerkkameras oder Router, jedes Gerät ist ein potenzieller Angriffspunkt, den es abzusichern gilt. Spezielle Analyse-Plattformen wie etwa der IoT-Inspector ermöglichen die aktive Suche nach Sicherheitslücken in der Firmware dieser Geräte, Schutzmaßnahmen, wie z.B. Firewall-Konfigurationen, können dann rechtzeitig daran angepasst werden. SEC Consult bietet eine Reihe von Tests an, die eine kritische Überprüfung der IT-Infrastruktur ermöglichen: Wir unterziehen Anwendungen einer Bewährungsprobe, identifizieren Schwachstellen und zeigen Lösungen zur Beseitigung von Sicherheitslücken auf.

Worauf müssen sich Unternehmen künftig besonders einstellen?

Fleck: Im Zuge der Corona-Krise kam es zu einem sprunghaften Anstieg potenziell gefährlicher E-Mails. Eine wesentliche Ursache dafür ist der „Faktor Mensch“, denn in Zeiten großer Unsicherheit sind Kontaktaufnahmen, die Schutz vor einer Gefahr versprechen, besonders effektiv. So waren etwa auch mit Malware bestückte Landkarten im Umlauf, die vermeintlich die Verbreitung des Corona-Virus visualisierten, und E-Mails mit betrügerischer Absicht rund um Corona-Wundermittel oder angeblich besonders viel Schutz bietende Masken machten die Runde. Gleichzeitig fällt das Schwarmwissen per „Flurfunk“ im Homeoffice weg, wenn einander die Kollegen nicht mehr beim zufälligen Treffen auf dem Gang oder in der Kaffeeküche vor seltsamen Mails warnen können. Umso wichtiger wird es in Zukunft sein, die Awareness für die IT-Sicherheit zu erhöhen.

Das bedeutet wiederum, …

Fleck: … dass bereits bestehende Maßnahmen intensiviert und Heimarbeitsrichtlinien ausgearbeitet werden sollten bzw. aktualisiert gehören. Allen Mitarbeitern muss bewusst sein, dass das Unternehmensnetzwerk durch diese Situation exponiert und damit verwundbarer als sonst ist. Die Kollegen aus der IT alleine können das Problem nicht lösen, wenn ihre Bemühungen – wenn auch unabsichtlich – von den anderen torpediert werden. IT-Security ist nicht nur Sache des IT-Verantwortlichen, sie muss ganzheitlich betrachtet werden – die Angriffe betreffen ja auch alle.

Meinen Sie, dass durch die Pandemie „endlich“ das Thema IT-Security in Unternehmen einen höheren Stellenwert erreicht hat und ernst genommen wird?

Fleck: Ich denke schon, dass vielen im Verlauf der Umstellungsphase zum Teleworking bewusst geworden ist, welchen Stellenwert eine funktionierende und sichere IT-Infrastruktur für den Bestand ihres Unternehmens hat. Dieses Netzwerk ist angreifbar und verletzlich und etwa ein Systemausfall oder auch Erpressung können die Existenz des Unternehmens gefährden und zum Verlust von Arbeitsplätzen führen. Wichtig wird sein, dieses Bewusstsein nach dem hoffentlich nicht allzu weit entfernten Ende der Covid-19-Krise aufrechtzuerhalten, Cyberkriminelle werden auch weiterhin nach Wegen suchen, massiven Schaden anzurichten.

 

Dieses Interview ist Teil unserer Ausgabe 02/2020 von IoT4Industry & Business. Die komplette Ausgabe können Sie hier als ePaper lesen.

Verwandte Artikel