Cybersicherheit

Selbstangriff ist die beste Verteidigung

Frankfurt am Main (ots) -

- Sicherheitsexperte: "Firmen sollten sich regelmäßig selbst angreifen, um ihre
Cyberresilienz zu testen."
- Rainer M. Richter: "Heutige Angriffssysteme aus der Cloud sind für jeden
Mittelständler erschwinglich."
- Bei mehr als 70 aufgedeckten Software-Schwachstellen am Tag kommen die Firmen
nicht mehr nach, ihre Systeme vor Cyberangriffen sicher zu machen.

Die deutsche Wirtschaft setzt bei Cybersecurity zu einseitig auf bloße
Verteidigungsmaßnahmen und vernachlässigt den Selbstangriff zur Überprüfung der
Cyberesilienz. Diesen Vorwurf erhebt Rainer M. Richter, Europa- und Asienchef
des Sicherheitsunternehmens Horizon3.ai. Er verweist darauf, dass in der
Finanzbranche sogenannte Stresstests durch die Europäische Zentralbank (EZB)
seit Jahren durchgeführt werden. "Unternehmen aller Branchen wären gut beraten,
sich freiwillig ebenfalls einem regelmäßigen Stresstest zu unterziehen" rät der
Sicherheitsexperte.

Beim Stresstest, im Fachjargon "Penetration Test" oder kurz "Pentest" genannt,
werden sogenannte White Hat Hacker im Unternehmensauftrag darauf angesetzt, das
firmeneigene Computernetzwerk zu knacken, um dadurch Schwachstellen aufzudecken.
Rainer M. Richter betont: "Inzwischen benötigt man keine White Hat Hacker mehr,
weil es autonome Stresstestplattformen gibt, die aus der Cloud heraus für
überschaubares Geld fix und fertig verfügbar sind.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) schreibt in seinem
Lagebericht 2023: "Die Bedrohung durch Cybercrime ist so hoch wie nie zuvor."
Die Statistik des Bundeskriminalamtes (BKA) weist für 2023 knapp 135.000
offiziell gemeldete Fälle von Cyberkriminalität aus - und geht dabei von einem
vermuteten Dunkelfeld von 90 Prozent aus. Das entspräche 1,5 Millionen Angriffen
im Jahr, also mehr als 4.000 am Tag.*

Steigende Anforderungen an Cyberresilienz

Rainer M. Richter verweist auf die steigenden Anforderungen an die Wirtschaft in
Sachen Cyberresilienz durch eine sich stetig verschärfende EU-Gesetzgebung.
Neben spezifischen Sicherheitsauflagen für das Finanzwesen sind zahlreiche
weitere Wirtschaftszweige betroffen, die als "Kritische Infrastrukturen"
(KRITIS) eingestuft werden, betont der Sicherheitsfachmann. Er nennt
beispielhaft die neue NIS2-Richtlinie (Network and Information Security); das
deutsche Gesetz zur Umsetzung der EU-Vorgaben (NIS2UmsuCG) soll im Oktober 2024
in Kraft treten und mindestens 30.000 Unternehmen in Deutschland betreffen. Die
Cyberrisiken bestehen nicht etwa nur im eigenen Betrieb, sondern ebenso bei
Zulieferern und Vertriebspartnern, stellt Rainer M. Richter klar. Er gibt zu