Startseite > Datacenter & Verkabelung > Abwehrschirme der Unternehmen meist überfordert

Wirtschafts- und Industriespionage

Abwehrschirme der Unternehmen meist überfordert

14. August 2014, 11:29 Uhr | Hadi Stiel, freier Journalist und Kommunikationsberater in Bad Camberg

Bundesinnenminister Thomas de Maizière rüttelt auf. Nach ihm liegt aktuell der jährliche Schaden für deutsche Unternehmen durch Wirtschafts- und Industriespionage bei etwa 50 Milliarden Euro. Ralph Appel, Direktor des Vereins Deutscher Ingenieure (VDI), geht in der Rheinischen Post noch weiter. Er schätzt den Schaden für deutsche Unternehmen aktuell auf mindestens 100 Milliarden Euro im Jahr.

Die Verantwortlichen hinter diesen erschreckenden Zahlen: Global agierende Unternehmen, die auf eigene Rechnung oder im Verbund mit dem Geheimdienst des eigenen Landes unter anderem geschäftliche Kerndaten sowie Informationen aus Forschung & Entwicklung, zu Planungen, Firmenaufkäufen, Patenten und Ausschreibungen in für sie lukrativen Zielunternehmen ausspähen. In Deutschland als Export-Weltmeister sind die Unternehmen, allen voran Industrieunternehmen, für Wirtschafts- und Industriespione besonders lukrativ.

Durch die Hochrisikolage stellt sich für viele Unternehmen zwangsläufig die Existenzfrage: Wie durchlässig sind die installierten Sicherheitstechniken für solche Spionageattacken? Die erschreckende Antwort: Die installierten Techniken wie Next-Generation-Firewalls, Intrusion-Prevention-Systeme, Web-Proxies/Virus-Walls und Anti-Spam-Systeme stellen für Wirtschafts- und Industriespione kaum ein Hindernis dar. Die von ihnen verwendete Malware passiert meist problemlos diesen ersten Sicherheits-Wall, um sich anschließend in den Angriffszielen – an Netz- oder Kommunikationsverbindungen, in Betriebssystemen, Diensten, Datenbanken oder Anwendungen – einzunisten. Dass die neue Form von Attacken, so genannte Advanced-Persistent-Threats (APTs), die erste Verteidigungslinie durchdringen, liegt an ihrer Konzeption und Machart. Der schädliche Code ist, anders als klassische Malware, nicht signaturbasierend auf die Breite ausgerichtet. Er kann somit nicht anhand eines bestimmten Musters erkannt und identifiziert werden. Geheimdienste und Industriespione schreiben die Schadprogramme speziell für ein bestimmtes Unternehmen, genauer gesagt, für die Zielsysteme, die dort ausgespäht werden sollen. Ihre Einzigartigkeit ohne Chance auf Erkennung gefährlicher Muster wird durch die Anwendung von Verschleierungsverfahren wie Polymorphie, Verschlüsselung und Binär-Packer verstärkt.

Zur Abwehr von APTs müssen neue Sicherheitswerkzeuge installiert werden, die Anomalien, so beim Nutzerverhalten, bei den Zugriffen und in der Datenverarbeitung, permanent verfolgen, aufzeichnen und auswerten, um so die Ausspäh-Software zu lokalisieren. Christian Ehlen, Senior Consultant IT-Security vom deutschen Sicherheitsberatungs- und -spezialistenhaus Twinsec empfiehlt den Unternehmen, bei der Auswahl solcher Werkzeuge auf folgende Funktionen und Merkmale zu achten:

Multi-Vektor-Schutz: Alle potenziellen Infektionskanäle sollten abgedeckt werden, allen voran Web, E-Mail, Datei-basierende Infektionskanäle.
Multi-Zustand-Schutz: Er ermöglicht eine Erkennung und Vermeidung von ausgehenden, auch bereits existenten Call-back- und Exfiltrations-Kanälen über Web,E-Mail, etc.Erkennung und bei Bedarf Terminierung von verschlüsselten Kanälen wie SSL/TLS
Binäre-/Runtime-Analyse von Anhängen (Binaries/Applets, PDF, Office-Formate, ZIP, etc.), Downloads, URLs (inklusive JS, Flash, etc.) innerhalb einer Sandbox-Umgebung über mehrere Betriebssysteme (Windows-XP, Windows-7, etc.) und Applikationsumgebungen (Adobe-Reader, Oracle-Java, etc.) in nahezu Echtzeit
Cloud-Unabhängigkeit
Resilienz gegen Erkennungs-, Bypass- und Angriffsmethoden wie VM-Erkennung und Sleeper-Funktionen moderner Malware gegen die Analyseplattform
Niedrige Falsch-Positiv- und Falsch-Negativ-Rate
Hohe Verfügbarkeit und Skalierbarkeit des Abwehrschutzes, damit der Unternehmensnetzwerkverkehr durch die Analysen nicht negativ beeinträchtigt wird.
Leistungsfähige Reporting-Eigenschaften: Dazu sollten unter anderem Blaupausen der Malware, Forensische-Analyse und Risikobewertung zählen.
Einbindung in zusätzliche, bereits vorhandene Verteidigungssysteme, so etwa inEndpunkt-Change-Detection- und Forensik-Systeme, in SIEM-, Ticket- und Incident-Response-Systeme, in Web-Proxies und Anti-Spam-Systeme.