Der WannaCry-Ransomware-Angriff im Mai 2017 fügte dem britischen Gesundheitsdienst „National Health Service“ (NHS) schweren Schaden zu und störte den Geschäftsbetrieb von Unternehmen in 150 Ländern. Obwohl es sich dabei um einen relativ schlichten Angriff handelte, konnte WannaCry weltweit große Schäden anrichten, weil vermeidbare Angriffswege weitläufig ungesichert geblieben waren. Es gab 2017 noch viele andere Cyber-Angriffe, darunter breit dokumentierte Sicherheitsvorfälle wie bei Uber und Equifax. Diesen Unternehmen kam zugute, dass sie Cyber-Sicherheitsempfehlungen befolgten und so die Auswirkungen begrenzen konnten.
Der Umfang und die technische Komplexität der Cyber-Angriffe haben nicht nachgelassen – von Phishing-Scams über Angriffe auf Kryptowährungen und industriellen Steuerungssystemen. Die Herausforderung auf Unternehmensseite wächst und diese Sicherheitsvorfälle dokumentieren, dass Unternehmen Cyber-Angriffe nicht auf die leichte Schulter nehmen dürfen. In diesen Zeiten ist nicht die Frage, ob Cyber-Angriffe stattfinden, sondern wann sie stattfinden. Sicherheitsfachleute müssen sich darauf konzentrieren, Ausmaß und Schäden einzudämmen.
Im neuesten „Privileged Access Threat Report 2018“ hat Bomgar die Visibilitäts-, Kontroll- und Managementfähigkeiten von IT-Organisationen in Europa und den USA bei der Anbindung von Mitarbeitern, Vertragspartnern und Drittanbietern mit privilegierten Zugriffsrechten in Unternehmensnetzen untersucht. Bei jedem zweiten Unternehmen hat es demnach bereits eine schwere Sicherheitsverletzung durch Drittanbieter oder Mitarbeiter gegeben oder in den nächsten sechs Monaten ist eine Sicherheitsverletzung zu befürchten.
Risiken durch Drittanbieter
Der aktuelle Report dokumentiert, dass sich IT-Verantwortliche nicht nur wegen externer Risiken sorgen, sondern vielmehr auch Sicherheitsverletzungen durch Mitarbeiter- und Drittanbieteraktivitäten befürchten, wenn Schwachstellen innerhalb eines Unternehmensnetzes ausgenutzt werden. So räumen 50% der Befragten ein, dass es in ihren Organisationen bereits schwere IT-Sicherheitsverstöße gegeben habe oder aus ihrer Sicht im nächsten Halbjahr zu erwarten sind — im Jahr 2017 befürchteten das nur 42% der Umfrageteilnehmer. 66% der untersuchten Unternehmen geben an, dass möglicherweise ein Sicherheitsvorfall durch Drittanbieter-Zugriffe in den vergangenen zwölf Monaten stattgefunden hat — und bei 62% durch Zugriffe von eigenen Mitarbeitern.
Ein großer Anteil dieses Risikos fällt indes auf die Organisationen selbst zurück: Der Report zeigt, dass 73% der Firmen zu sehr von Drittanbietern abhängig sind, und 72% der Unternehmen ihren Vertragspartnern zu viel Vertrauen entgegenbringen. In Zeiten, in denen Sicherheitsverletzungen erhebliche Auswirkungen auf die finanzielle Situation und Reputation eines Unternehmens haben können, vergeben diese Organisationen vielen Anwendern weitreichende Zugriffsrechte auf ihre Netzwerke.
Risiken durch „Insider“
In der Studie wird zudem deutlich, dass Mitarbeiterverhalten ohne Sicherheitsbewusstsein weiterhin eine erhebliche Herausforderung für die meisten Organisationen darstellt. Das schriftliche Notieren von Passwörtern wird zum Beispiel von 65% der Unternehmen als Problem genannt, eine Zunahme von 10% gegenüber 2017. In 54% der Firmen wurden 2018 auch Kennwörter an Kollegen weitergegeben, ein höherer Anteil verglichen mit 46% im Jahr 2017. Der zahlenmäßige Anstieg kann ein Indiz für eine steigende Unachtsamkeit beim Umgang mit Passwörtern sein. Vielleicht ist man sich dieser Problematik in vielen Organisationen aber auch einfach nur bewusster, weil Fragen der IT-Sicherheit und des Datenschutzes immer wichtiger werden. In jedem Fall zeigen die ermittelten Zahlen, dass die Absicherung von Zugangsdaten und Passwörtern weit oben auf der Aufgabenliste von Sicherheits- und IT-Experten steht.
IT-Administratoren und Drittanbieter benötigen privilegierten Zugang auf IT-Systeme und Daten, um ihre Aufgaben effektiv erfüllen zu können. Je schneller jedoch die Zahl privilegierter Nutzer wächst, desto schwieriger wird es auch, die gewährten Zugriffsrechte zu kontrollieren. Angesichts wachsender Bedrohungen und der Einführung neuer EU-Gesetze wie der DSGVO gibt es einen steigenden Bedarf nach unternehmensweit implementierbaren Strategien und Lösungen, die das Management und die Kontrolle privilegierter Zugriffe regeln.
Zur Regulierung dieser Risiken wählen viele Unternehmen eine Privileged Identity und Access Management (PAM)-Lösung, wie der Sicherheitsreport von Bomgar zeigt. Die Umfrageergebnisse bestätigen, dass diese Unternehmen weniger von schweren Sicherheitsverletzungen betroffen sind, die Visibilität im Netzwerk verbessern und mehr Kontrolle erreichen konnten. Weniger als die Hälfte der Organisationen mit einer PAM-Lösung (44%) waren von einer Sicherheitsverletzung betroffen (oder erwarten das in den nächsten sechs Monaten), verglichen mit 69% der Unternehmen ohne eine gesonderte Überwachung privilegierter Nutzer.
Auf Unternehmensseite wächst das Netzwerk an Vertragspartnern, und auch die Aufgabenliste der Mitarbeiter nimmt zu. Organisationen stellen daher fest, dass sich Risiken am besten minimieren lassen, wenn privilegierte Konten durch Technologien und automatisierte Prozesse verwaltet werden, die nicht nur Zeit einsparen, sondern auch die Visibilität im gesamten Netzwerk erhöhen. Durch Implementierung von Cybersicherheitspolicies und -lösungen zur Verbesserung der Geschäftsperformance und Beseitigung von Hindernissen auf Mitarbeiterseite können Organisationen die Herausforderungen privilegierter Zugriffe in den Griff bekommen.
Untersuchungsmethodik
Für die Bomgar-Studie wurden im Februar insgesamt 1.021 Entscheider befragt, die Einblick in die IT-Prozesse beim Verbindungsaufbau von internen Nutzern und externen Anbietern auf IT-Systeme haben. Die Umfrageteilnehmer arbeiten in unterschiedlichen Positionen im IT-Betrieb oder IT-Support/Helpdesk und sind mit IT-Sicherheits-, Compliance- und generellen IT-Netzwerkaufgaben betraut. Die Befragten kamen aus den unterschiedlichsten Branchen — vom öffentlichen Dienst, Fertigungsindustrie und der IT- und Telekommunikationsbranche bis zum Finanz- und Gesundheitssektor. Die Umfrage wurde in Deutschland, Frankreich, Großbritannien und den USA durchgeführt.
