Hacker

Bereits mit völlig unkomplizierten Sicherheitsmaßnahmen lassen sich Hacker-Angriffe auf die Unternehmens-Infrastruktur vermeiden.

Davon ist Christian Heutger, Geschäftsführer der PSW Group, überzeugt: „Hundertprozentige Sicherheit wird es kaum geben. Ein IT-Sicherheitskonzept, bei dem Verantwortlichkeiten verteilt und etwaige Notfall-Maßnahmen beschlossen sind, sowie ein IT-Sicherheitsbeauftragter, der einerseits diese Maßnahmen steuert und überwacht, andererseits aber auch Mitarbeiter darin schult IT-Sicherheit umfassend im Unternehmen zu leben, ist bereits die halbe Miete. Ergänzt um technische und persönliche Maßnahmen, nach denen jeder selbst stets wachsam sein sollte, lassen sich Einfallstore für Cyberangriffe schließen."

Er verweist in diesem Zusammenhang auf den Equifax-Hack, der als Datenschutz-GAU der US-Finanzwelt in die Geschichte einging: 2017 gelang es Hackern, die Daten von 143 Millionen Kunden der Wirtschaftsauskunftei aus den USA, aus Kanada und dem Vereinigten Königreich zu erbeuten, darunter Geburtsdaten, Adressen, Kreditkarten- und Sozialversicherungsnummern.

„Das Einfallstor war eine Sicherheitslücke im Open-Source-Framework Apache Struts. Allerdings wäre es ein Leichtes gewesen, diesen Hack zu verhindern“, so Heutger. Denn: „Das US-CERT (Computer Emergency Readiness Team) hat das Unternehmen Tage vor dem Hack über die Sicherheitslücke informiert. An über 400 Personen und über diverse E-Mail-Verteiler wurde diese Warnung weitergeleitet. Zudem gab es die Anweisung, einen bereits verfügbaren Patch binnen 48 Stunden einzuspielen. Jedoch geschah dies nicht auf allen Systemen.“

Was folgte war eine Aneinanderreihung von Versagen und Fehlverhalten Einzelner. Denn nicht genug, dass Warnungen von über 400 Personen nicht ernst genommen und ein bereitgestellter Patch nicht auf sämtlichen Systemen eingespielt wurde. Obendrein scannte das Unternehmen zwar die eigenen Systeme nach unsicheren Struts-Versionen, fand jedoch nichts. „Für Letzteres gibt es eine einfache Erklärung: Durchsucht wurde lediglich das Root-Verzeichnis, nicht jedoch die Unterverzeichnisse. Eine komplexe IT-Infrastruktur wie sie ein Unternehmen wie Equifax mit mehr als 6000 Mitarbeitern hat, braucht aber eine klare Zuweisung von Verantwortlichkeiten und Zuständigkeiten. Dann wäre nicht nur so ein `Versehen´ vermeidbar gewesen, sondern es hätte auch eine Person gegeben, die für das Einspielen des Patches auf allen Systemen verantwortlich gewesen wäre“, so Heutger. 

Von großer Bedeutung ist auch das Vorhandensein eines gültigen SSL-Zertifikats. Es ermöglicht eine sichere Übertragung der Daten zwischen dem Webbrowser und einer Website, da diese so verschlüsselt werden, dass Dritten der Zugriff verweigert wird. „Die Zertifikate von Equifax waren seit Monaten abgelaufen. Durch das Nicht-Verlängern seiner SSL-Zertifikate legte der Konzern seine eigene Intrusion Detection lahm, welche entschlüsselten Datenstrom analysiert und gegebenenfalls Alarm schlägt“, erklärt der Experte.

Es gibt drei Varianten an SSL-Zertifikaten, die je nach Validierungstyp unterschiedliche Standards erfüllen: Domainvalidierte, Organisationsvalidierte und Erweitert validierte SSL-Zertifikate. „Bei Letzteren kommt eine striktere Authentifizierung mit dem höchsten und aktuellsten Sicherheitsstandard zum Einsatz. Diese unterscheiden sich primär durch eine grüne Adresszeile mit dem Namen des Unternehmens und der Zertifizierungsstelle. Diese Zertifikate sind geeignet für Organisation, die in einem öffentlichen Register eingetragen sind und die sensible Daten auf stark frequentierten Seite bestens absichern möchten“, macht Christian Heutger aufmerksam.

Unabhängig davon, für welches Zertifikat sich ein Unternehmen entscheidet: SSL-Zertifikate sind nicht unendlich lange gültig, sie müssen nach einem festgelegten Zeitraum verlängert werden. 

Dass Warnungen und Informationen letztendlich auch an die Ohren gelangen, für die sie bestimmt sind, setzt zwingend aktuelle Kontaktdaten voraus. Weiter ist zu beachten, dass Usernamen und Passwörter unter keinen Umständen unverschlüsselt im Netzwerkspeicher oder sonst wo abgelegt werden. 

www.psw-group.de

 


Newsletter Anmeldung

Smarte News aus der IT-Welt

Sie möchten wöchentlich über die aktuellen Fachartikel auf it-daily.net informiert werden? Dann abonnieren Sie jetzt den Newsletter!

Newsletter eBook

Exklusiv für Sie

Als Newsletter-Abonnent erhalten Sie das Booklet „Social Engineering: High Noon“ mit zahlreichen Illustrationen exklusiv und kostenlos als PDF!

 

Weitere Artikel

Hacker Bluetooth

Sweyntooth: 10 neue Sicherheitslücken bei Bluetooth Chips

Beim Thema Sicherheitslücken werden die meisten Menschen zuerst an das Internet denken. Tatsächlich ist das die größte Gefahrenquelle, aber längst nicht die einzige, denn Malware oder Hacker können auch Fehler in anderen Geräteverbindungen ausnutzen.
Insider Threat

Insider-Bedrohungen sind meist das Ergebnis fahrlässigen Verhaltens

Proofpoint veröffentlichte seine weltweite Studie zum Thema Insider-Bedrohungen 2020. So zeigt der Bericht, dass Unternehmen im Durchschnitt jährlich 11,45 Millionen Dollar für die Beseitigung von Insider-Bedrohungen ausgaben und mehr als zwei Monate (77…
Bank

Hacking und Malware als Hauptursachen der Datenschutzverletzungen im Finanzwesen

Cloud-Security-Anbieter Bitglass hat seinen aktuellen Bericht zu Datenschutzverletzungen im Finanzwesen 2019 veröffentlicht. Jedes Jahr analysiert Bitglass die neuesten Trends, größten Verstöße und gravierendsten Bedrohungen bei…
Smart Home Security

Tipps für mehr Sicherheit im Smart Home

Rund neun Millionen Haushalte in Deutschland sind nach Schätzungen des Statista Digital Market Outlooks bereits „smart“, das heißt vernetzt, zentral steuer- und programmierbar. Bis zum Jahr 2023 soll die Zahl der Smart Homes auf 13,5 Millionen steigen.
Malware

Top Malware für Januar 2020: Corona-Virus als Spam

Check Point Research (NASDAQ: CHKP), hat seinen Global Threat Index für Januar 2020 veröffentlicht. Die Experten berichten, dass Emotet bereits im vierten Monat in Folge die führende Malware ist und sich derzeit mit der Hilfe einer Spam-Kampagne zum…

Anzeige

Newsletter Anmeldung

Smarte News aus der IT-Welt

Sie möchten wöchentlich über die aktuellen Fachartikel auf it-daily.net informiert werden? Dann abonnieren Sie jetzt den Newsletter!

Newsletter eBook

Exklusiv für Sie

Als Newsletter-Abonnent erhalten Sie das Booklet „Social Engineering: High Noon“ mit zahlreichen Illustrationen exklusiv und kostenlos als PDF!