Angriffe auf KRITIS – wie kritische Infrastrukturen ihre IT schützen sollten
Deutschland ist in Gefahr! Und damit sind speziell kritische Infrastrukturen im Fokus. Klar, es gibt viele Regeln, woran sich KRITIS-Organisationen jetzt schon halten müssen und die Gesetze werden strenger. Aber das ist nicht genug. Wir erklären, wer zuletzt angegriffen wurde und was KRITIS nun tun müssen, um einen Schritt voraus zu sein.
Zwei Jahre ist der erste deutsche digitale Katastrophenfall nun her. Er hielt 207 Tage an und legte die Verwaltung des Landkreises Anhalt-Bitterfeld komplett lahm. Es ist ein Extrem-, aber bei Weitem kein Einzelfall. Der Krieg in der Ukraine hat die Attacken auf KRITIS weiter erhöht. Die Angriffe werden zudem schneller und die Einschläge mehren sich merklich. Allein in den vergangenen Wochen wurde der Rheinische Post Mediengruppe infiltriert und Online-Auftritte wie Zeitungen sind bis heute nicht vollständig wieder in Betrieb. Mehr dazu gibt es hier.
Auch mehrere Helmholtz-Institute wurden Opfer russischer Hacker. Das zuletzt angegriffene Zentrum in München wurde mit der „Royal Ransomware“ verschlüsselt. Hier führen die Spuren laut Süddeutscher Zeitung in die Kreise der St. Petersburger Hackergruppe „Wizard Spider“.
Mehr staatliche Vorgaben
IT-Sicherheitsgesetz 2.0. Klingt schon ein wenig sperrig und ist die nächste Hürde für KRITIS. Im April 2021 eingeführt, bestimmt es, dass die Betreiber angemessene organisatorische und technische Vorkehrungen zur Vermeidung von Störungen der Verfügbarkeit, Integrität, Authentizität und Vertraulichkeit ihrer informationstechnischen Systeme, Komponenten oder Prozesse treffen müssen. Nun ergänzt § 8a BSIG Absatz 1a dieses Gesetz. Er schreibt den Einsatz von Systemen zur Angriffserkennung als effektive Maßnahme zur frühzeitigen Erkennung von Cyber-Angriffen sowie zur Schadensreduktion und Schadensvermeidung vor – und das ab Mai 2023.
Investitionen immer noch zu niedrig
Warum solche Vorgaben wichtig sind, zeigt die weiterhin viel zu hohe Diskrepanz zwischen Ausgaben für IT-Security und Schäden durch Cyberattacken. Dies gilt für alle Organisationen, ob KRITIS oder nicht. So beliefen sich die Ausgaben für IT-Sicherheit laut Bitkom im vergangenen Jahr in Deutschland auf 7,8 Milliarden Euro. Was nach viel klingt, wird sofort mit der Zahl der Schäden im gleichen Zeitraum relativiert: 203 Milliarden Euro!
Typische Angriffe auf KRITIS
Die typischen Angriffe auf KRITIS unterscheiden sich natürlich nicht grundlegend von anderen Attacken. Allerdings sind es neben Ransomware-Streubomben vor allem die Angriffe von ausländischen Geheimdiensten, die KRITIS zu schaffen machen. Das kann einerseits der Versuch sein, wie bei Ransomware das Netzwerk zu verschlüsseln, aber natürlich ist der Datenabfluss eine nicht mindere Gefahr.
Vor allem, weil es Experten in der ganzen Welt gibt, die Zugänge legen und diese dann an den Höchstbietenden verkaufen, muss ein Unternehmen oder Organisation nicht vornehmlich als Ziel gegolten haben, sondern war vielleicht für einen Dienstleister einfach nur leichter zu hacken.
Was KRITIS nun tun müssen
KRITIS müssen nun, wie es der neue Paragraf vorschreibt, aktive Angriffserkennung betreiben. Wichtig ist, dass dies für OT und IT gleichermaßen gilt. Das ist kein Problem mit einem SIEM & XDR von beispielsweise Rapid7, IBM sowie CrowdStrike oder einer Lösung für OT- und ICS-Cyberrisiken wie Tenable.ot.
Speziell letzteres hilft zwei Fliegen mit einer Klappe zu schlagen. Denn Tenable.ot enthält eine Angriffserkennung, wie im Sicherheitsgesetz vorgeschrieben, aber auch ein Schwachstellen-Management, was bei vielen Unternehmen und Organisationen immer noch kein Standard ist. Dabei ist es, gerade wenn man eine Angriffserkennung betreibt, genauso wichtig zu wissen, was eigentlich geschützt werden muss. Denn wenn du nicht weißt, welche Türen und Fenster alle offen stehen, hilft es dir auch nichts zu wissen, dass ein Einbrecher kommt.
Am besten paaren KRITIS die nun verpflichtende Angriffserkennung mit einem Schwachstellen-Management und einem Asset-Management. Zudem sollten Organisationen der kritischen Infrastrukturen regelmäßige Discovery Scans durchführen, um Sicherheitslücken, Risiken und Bedrohungen zu identifiziert. Wenn die Lücken dann bekannt sind, muss gehandelt werden, um diese zu schließen oder zumindest die Risiken zu verkleinern.
Nicht das Ende der Fahnenstange
Speziell für KRITIS, die nicht immer nur vom Sicherheitsgesetzt getrieben werden wollen, gilt es den Blick Richtung Zukunft zu heben und die eigene IT-Sicherheit weiter zu stärken. Hierzu gehören – neben dem erwähnten Schwachstellen-Management – E-Mail-Security, Perimeter-Security, Berechtigungs-Management, Privilege-Access-Management und ein User-Awareness-Training, um die menschliche Komponente in der Fehlerkette klein zu halten. Nur so kann die Gefahr einer erfolgreichen Attacke minimiert werden.
Die DATAKOM berät KRITIS-Organisationen und -Unternehmen dabei, wie sie sich bestmöglich mit IT-Sicherheit schützen können. Bei Fragen oder dem Wunsch nach einem direkten Gesprächstermin, einfach an vertrieb@datakom.de schreiben.
