Neues für 2023: Mit Back-to-Basics Cyberrisiken minimieren

Während digitale Investitionen im Jahr 2023 weiterhin kontinuierlich wachsen werden, vergrößert sich zeitgleich die Angriffsfläche für regulatorische Risiken und Sicherheitsverletzungen innerhalb der Cyberwelt. Um diese Schere zu minimieren, wird es künftig wesentlich sein, den Schwerpunkt aller Maßnahmen auf die Vereinfachung der Sicherheitslösungen zu legen. Ein solcher Back-to-Basics-Ansatz bedeutet dann in vielen Fällen, dass konsolidierte Kontrollen durch ein datenzentriertes Sicherheitsangebot ergänzt werden müssen.

Mehr Cloud, weniger Fachkräfte: höheres Risiko

Die Wahrheit über die Risiko- und Bedrohungslandschaft der Cyberwelt ist, dass sie sich nicht einfach nach dem Kalenderjahr richtet. In Wirklichkeit sind viele Trends, die wir im Jahr 2023 sehen werden, eine Fortsetzung dessen, was wir bereits kennen. Bei einer Verschlechterung der wirtschaftlichen Lage, werden IT-Verantwortliche gezwungen sein, effizientes Wachstum, Kosteneinsparungen und Produktivität zugleich zu fördern.

Das wird dazu führen, dass immer mehr Infrastrukturarbeiten an Cloud-Computing-Anbieter ausgelagert werden. Eine solchermaßen erweiterte Angriffsfläche stellt eine besondere Herausforderung dar. Aktuelle Studien zeigen, dass mehr als zwei Fünftel der Unternehmen das Gefühl haben, dass der Schutz und das Maß der Verwundbarkeit dadurch "außer Kontrolle geraten" ist. Es ist zu erwarten, dass diese Zahl im Jahr 2023 weiter steigen wird. Der Drang nach Kosteneinsparungen und Effizienzsteigerungen kann auch die Sicherheitsbudgets selbst gefährden, insbesondere im Mittelstand. In Anbetracht der potenziellen finanziellen und rufschädigenden Kosten, die ein ernsthafter Verstoß verursachen könnte, stellt das Einstellen notwendiger Schutzmaßnahmen allerdings einen großen Fehler dar.

Prognosen zeigen, dass die IT-Ausgaben weiter steigen werden. Hierbei verantwortet der Sicherheitsbereich den größten Anteil der Softwareausgaben. Ob es im Unternehmen jedoch genügend qualifizierte Fachleute für Informationssicherheit gibt, um diese Produkte zu verwalten, ist allerdings eine Frage, die schon heute aufgrund der Arbeitsmarktlage als brennend bezeichnet werden kann. Die Auslagerung von Funktionsteilen, wie etwa SecOps, an spezialisierte Drittanbieter wird voraussichtlich Teil einer gängigen Praxis, da sich der Fachkräftemangel verschärft und die Budgets für Personal immer knapper werden.

Ransomware führt das Feld an

Wie sehen künftige Bedrohungen aus? Es fällt nicht schwer, sich vorzustellen, dass Ransomware auch im Jahr 2023 zu den größten Risiken für Unternehmen zählen wird. Solange die Taktiken, Techniken und Methoden der kriminellen Ransomware-Akteure Erfolge verzeichnen, wird sich daran wahrscheinlich wenig ändern.

Aller Voraussicht nach wird sich auch im neuen Jahr das Angriffsvolumen erhöhen. Nahezu eine Verdoppelung gegenüber dem Volumen zum Jahresanfang 2021 liegt im Bereich des Möglichen. Denn der relative Erfolg von Ransomware-as-a-Service wird dazu führen, dass mehr Versuche unternommen werden, geschäftskritische Daten zu stehlen und zu verschlüsseln, um Lösegeld zu verlangen. Das vermehrte Aufkommen von Gruppen wie etwa dem berüchtigten Lapsus$-Kollektiv ist nicht unwahrscheinlich. Diese machen sich zum Teil noch nicht einmal die Mühe, eine Ransomware-Attacke auszuführen, sondern versuchen stattdessen einfach, ihre Opfer damit zu erpressen, sensible Firmen- und Kundendaten zu veröffentlichen.

Nicht auszuschließen ist ebenso, das Unternehmen im Jahr 2023 einer zunehmenden Bedrohung auch von staatlich geförderten Akteuren ausgesetzt sein könnten. Die geopolitischen Spannungen lassen aufgrund des Krieges in der Ukraine, des chinesischen Nationalismus, der ständigen Provokationen Nordkoreas und eines instabilen Irans nicht nach. Immer häufiger werden staatlich motivierte Cyberangriffe eingesetzt, um Machtverhältnisse zu demonstrieren und geopolitische Ziele zu erreichen, die auf diplomatischem Wege nicht erreicht werden können. Dabei handelt es sich unter anderem um die Beschaffung von finanziellen Mittel für isolierte Regime. Während sich solche Angriffe früher auf Regierungen, Militär- und Verteidigungsunternehmen beschränkten, umfassen sie heute ein breites Spektrum von Anbietern kritischer Infrastrukturen und Partnern innerhalb der Lieferkette.

Ganze Lieferketten als Angriffsfläche

Dies führt zu einem weiteren wichtigen Thema des Jahres 2023: Bedrohungen in der Lieferkette. Digitale Zulieferer wie Softwareunternehmen, werden kompromittiert, um Malware in Updates einzuschleusen, wie etwa im Falle des Angriffs auf SolarWinds. Mögliche Ziele sind Anbieter von Verwaltungsdienstleistungen, die nachgeschaltete Kunden infizieren, oder einzelne Partner wie eine Anwaltskanzlei, die wegen spezifischer Kundendaten angegriffen wird. Unternehmen sollten daher von zeitpunkt-basierten Bewertungen, welche ein- oder zweimal im Jahr stattfinden, zu einem kontinuierlichen Risikomanagement übergehen.

Compliance trifft die Führung

Unternehmensleitungen sollten diese Trends und Bedrohungen mit einer gewissen Dringlichkeit behandeln. Warum? Wegen der zunehmend komplexen und umfangreichen rechtlichen Rahmenbedingungen! Gartner Research prognostiziert, dass bis Ende 2024 drei Viertel der Weltbevölkerung mit ihren persönlichen Daten unter die Datenschutzbestimmungen fallen werden. Viele neue Gesetze, die sich an der europäischen DSGVO orientieren, sehen für die Verletzung solcher Bestimmungen inzwischen extrem harte Strafen vor, nicht zuletzt sogar Gefängnisstrafen für Führungskräfte.

Es ist von entscheidender Bedeutung, dass Unternehmen die Entwicklungen genau im Auge behalten und nach Technologien suchen, die die Kosten für die Einhaltung solcher Vorschriften verringern, indem sie die Daten und ihre Nutzung sichern. Auch hier zeigt die Prognose von Gartner, dass datenschutzfreundliche Technologien wie Datenmaskierung und Verschlüsselung bis 2025 von 60 Prozent der Unternehmen in Anwendungsfällen wie Cloud Computing und Analytik eingesetzt werden.

Entscheidend ist, dass diese Technologien dazu beitragen können, das Risiko ungewollter Datenlecks, etwa durch eine Fehlkonfiguration von Cloud-Systemen, zu verringern. Des Weiteren ermöglichen sie die Minimierung rechtlicher Risiken, wenn im nächsten Jahr angesichts des "Schrems 2"-Urteils zwischen der EU und den USA weitere rechtliche Verschärfungen zum Datenverkehr eingeleitet werden.

Integrierten Sicherheitslösungen gehört die Zukunft

Was bedeutet dies alles für Käufer von IT-Sicherheitslösungen? Ein durchschnittliches Unternehmen setzt im Schnitt 76 unterschiedliche Sicherheitstools ein. Daher zeigt das Thema Konsolidierung eine maßgebliche Richtung, in die es in den kommenden Jahren gehen wird. Daraus resultiert die Beseitigung von Datensilos und die Migration zu plattformbasierten Angeboten. Ziel ist es, Lizenzkosten und Abdeckungslücken zu reduzieren und die Arbeit einer IT-Security-Funktion zu erleichtern, die durch den Mangel an Fachkräften leidet. Die Idee einer "Cybersecurity Mesh"-Architektur folgt genau diesem Leitfaden. Laut Gartner Research werden Unternehmen, die diesen Ansatz verfolgen, bis 2024 die finanziellen Auswirkungen von Sicherheitsvorfällen um durchschnittlich 90 % reduzieren können.

Dies scheint ein vielversprechender Weg, um eine zunehmend dislozierte und exponierte IT-Umgebung zu verwalten. Hierbei werden datenzentrische Sicherheitstechnologien wie Verschlüsselung und Tokenisierung eine wichtige Rolle spielen. Kompatibilität und einfache Integration werden jedoch die wichtigsten Verkaufsargumente sein, wenn CISOs im Jahr 2023 nach Einfachheit und Kontrolle streben.