Am 01. Januar 1976 wurde in Deutschland die Gurt- oder Anschnallpflicht für Autos eingeführt, die Älteren unter uns werden sich erinnern J. Diese Regelung galt zunächst nur für die Personen auf den Vordersitzen, wir Kinder konnten weiter nach Lust und Laune während der Fahrt sitzen, liegen oder klettern. Dennoch war der Gurt – trotz der Aversion vieler Autofahrer:innen – so in etwa das erste zusätzliche Sicherheitselement in den Autos nach der Bremse. Nun fragen sich die Leser:innen vermutlich, warum ich in einem Beitrag zum Thema Cybersecurity Anekdoten aus meiner Kindheit und der Einführung der Anschnallpflicht zum Besten gebe. Nun, wir werden bald den Bogen von der Verkehrs- zur IT-Sicherheit schlagen und die Zusammenhänge aufklären.
Die Sicherheitsmerkmale der Autos haben sich seitdem deutlich weiterentwickelt. Nach dem Gurt und der Anschnallpflicht auf den Rücksitzen kam der Airbag, auch dieser zunächst für Fahrer:innen, dann die Beifahrer:innen, und schließlich auch für die Fahrgäste auf der Rückbank. Sowohl Bremse wie auch Airbag gelten heutzutage als unverzichtbare Sicherheitsfunktionen, welche die Verletzungen der Fahrgäste im Falle eines Unfalls verhindern oder zumindest minimieren sollen (Schadensminderung).
Danach kam mit dem Antiblockiersystem (ABS) ein neues Sicherheitsmerkmal, welches durch optimiertes Bremsverhalten einen drohenden Unfall möglichst vermeiden oder zumindest den Aufprall lindern sollte (Schadenvermeidung oder Prävention). Es folgten dann im Laufe der Jahre weitere Sicherheitsaspekte wie Anti-Schlupf-Regelung, Toter-Winkel-Assistent, Notbrems-Assistent, verbesserte Lampen bis hin zum Nachtsicht-Assistenten. Moderne Autos haben zahlreiche Sicherheitsfunktionen, und viele davon sind schon serienmäßig in Neuwagen eingebaut. Eine besondere Position nehmen dabei Funktionen wie der Spurhalte-Assistent ein, die aktiv in die Steuerung des Fahrzeugs eingreifen und ein mögliches Fehlverhalten des Fahrers/ der Fahrerin sofort korrigieren und das Fahrzeug auf der bisherigen Spur halten (automatische Reaktion).
Nach der Einführung der Anschnallpflicht durfte ich Mitte der 1990er Jahre auch die Einführung des Internets erleben, und damit schlagen wir den Bogen in die Informationssicherheit. Ende der 1990 Jahre stellte die Firma ELSA aus Aachen den ersten Router mit Firewall vor, und auch Antiviren-Software gab es damals schon.
Und was hat sich seitdem geändert in den IT-Sicherheitsstrukturen der Unternehmen? Eigentlich nicht viel: während bei den Autos ständig neue Sicherheitsfunktionen auf den Markt kommen und von den Kunden gerne angenommen werden, besteht die IT-Sicherheit bei vielen kleineren und mittleren Unternehmen (KMU) immer noch aus einer einfachen Firewall im Auslieferungszustand und einer Antiviren-Software, deren Aktualität ebenfalls nicht geprüft wird. Wir sind also bei der IT-Sicherheit technisch gesehen immer noch auf dem Stand des letzten Jahrtausends. Dabei hat sich inzwischen auch bei der Cybersecurity eine Menge getan:
So ähnlich wie bei den Sicherheitsfunktionen der Autos unterscheiden wir auch bei der IT-Sicherheit Systeme zur Schadenvermeidung, Schadenminimierung und automatischen Reaktionen. Die Firewall soll z.B. vermeiden, dass Angreifer in unsere Netzwerke eindringen. Die Firewall schützt aber z.B. nicht vor Angreifern, die schon Zugang zum Netzwerk haben, oder vor generell geöffneten Einfallstoren wie E-Mails. Systeme zur Intrusion Detection oder Intrusion Prevention (IDS/IPS) können u.a. durch automatische Reaktionen von Malware betroffene PCs in Quarantäne schicken (vom Netzwerk trennen) und somit den möglichen Schaden minimieren.
Viele Unternehmen haben die Entwicklungen der IT-Sicherheit leider verpasst. Ein Grund dafür könnte ähnlich sein wie die Bedenken bei der Einführung der Anschnallpflicht: Auch damals haben viele Menschen die Nutzung des lebensrettenden Gurtes abgelehnt, weil alleine der Gedanke an einen jederzeit möglichen Unfall bei den Fahrenden ein „schlechtes Gefühl“ ausgelöst habe.
Entsprechend ist das bei der Cybersecurity: Viele Verantwortliche wollen sich lieber gar nicht erst damit auseinandersetzen, weil die Beschäftigung mit dem Thema ganz einfach schon unangenehm ist. Und welche:r Geschäftsführer:in möchte sich mit der Möglichkeit befassen, dass die Bedrohungen der Informationssicherheit teilweise gar nicht auf böse Hacker von außen zurückzuführen ist, sondern durch die eigenen Mitarbeiter:innen verursacht werden, egal ob wissentlich oder durch Unachtsamkeit?
Selbst die Datenschutz-Grundverordnung mit der Verpflichtung, Vorfälle im Bereich der Informationssicherheit in vorgeschriebenen Zeiten zu melden, hat da kaum zu einem Umdenken geführt. Seit dem 31. März 2018 ist in allen neuen PKW in der gesamten EU das Notrufsystem Emergency Call (eCall) Pflicht, damit werden Unfälle mit Airbag-Auslösung automatisch per SMS an die Unfall-Leitstellen gemeldet. Aber bei den Vorfällen der IT-Sicherheit bleiben wir lieber bei dem Modell „Augen zu und durch“ und versuchen besser gar nicht erst, die Angriffe auf die Unternehmen zu bemerken und entsprechend zu reagieren.
Was können die Entscheider:innen und IT-Verantwortlichen nun konkret unternehmen? Auch KMU können heute deutlich mehr für die IT-Sicherheit tun, als nur auf eine statische Firewall und einen einfachen Antiviren-Schutz zu vertrauen. Prüfen Sie z.B. im ersten Schritt die folgenden Punkte:
Sprechen Sie uns an, die Experten der Fokusgruppe Cybersecurity aus dem digitalHUB Aachen unterstützen Sie gerne bei der Entwicklung einer passenden Strategie zum Schutz Ihrer Daten und Werte.
Autor: Norbert Hamel ist Geschäftsführer des auf Splunk-Projekte spezialisierten IT-Dienstleisters bridge:com und Mitglied der Fokusgruppe Cybersecurity im digitalHUB Aachen.
Die Fokusgruppe schafft in Unternehmen aus dem Raum Aachen eine höhere Aufmerksamkeit für IT-Sicherheit und repräsentiert diese Kompetenzen über die Region hinaus.
Bildquelle Beitragsbild: © tuiphotoengineer/ stock.adobe.com