Managed Security-Services
Mitigation als vorgelagertes Bollwerk
Im Bereich der IT-Sicherheit gibt es zunehmend Aufgaben, die aus wirtschaftlichen oder technischen Gründen nur von externen Dienstleistern übernommen werden können. Beispiel: Die Abwehr von Denial-of-Service-Attacken. Das Unternehmen schlüpft unter den Schutzschirm eines Dienstleisters.
Make or Buy-Fragen werden in aller Regel über die Amortisation von Investitionen entschieden. Aber bei IT-Sicherheit gibt es keine klassische Wertschöpfung. Investitionen dienen der Abwehr von Schadens- und Kostenrisiken. Auch deshalb leidet die IT-Sicherheits-Branche – und die IT-Sicherheit – unter Budget-Zwängen. Risiken werden verdrängt, um sich so um Investitionen zur Härtung der Unternehmensnetze zu drücken.
In manchen Bereichen ist die Frage, ob ein Dienstleister gewählt werden soll, trotzdem schnell entschieden. Wenn eine Appliance für regelmäßige Schwachstellenanalysen einen fünf- oder gar sechsstelligen Lizenzbetrag im Jahr kostet, so liegt dies außerhalb der Möglichkeiten vieler Unternehmen. Hinzu kommen die Kosten für das für den Systembetrieb erforderliche Fachpersonal. Deshalb buchen viele Unternehmen beispielsweise Vulnerability Scan als Managed Security-Service.
Noch eindeutiger fällt die Entscheidung bei der Abwehr von Distributed Denial of Service-Attacken (DDos) aus. DDoS-Attacken bedrohen Websites, E-Shops und andere Web-Applikationen. Die Flutung mit Anfragen führt dazu, dass konventionelle Abwehrsysteme wie Firewalls zwar Schäden an den Servern verhindern können, aber unter der Last der Angriffe kollabieren. Die Folge: Systeme sind über Stunden oder gar Tage nicht erreichbar, Geschäft und Image der betroffenen Unternehmen leiden.
In diesem Fall machen es nicht wirtschaftliche Gründe den Unternehmen unmöglich, sich zu schützen, sondern technische. Warum? Schutz vor solchen Angriffen bietet DDoS-Mitigation. Das bedeutet, die Anfrageflut wird gefiltert und umgeleitet, bevor sie auf die Systeme des angegriffenen Unternehmens prallt. Wer seine IT-Systeme im eigenen Rechenzentrum betreibt, hat in der Regel schon gegen kleine und mittlere DDoS-Attacken wenige Chancen. Der Grund: Die Internetverbindung der meisten Unternehmen liegt in einem Bereich von 100 MBit/s bis einem GBit/s. Weil die Angreifer aber Tausende von Rechnern für ihre Angriffe bündeln, reichen diese Bandbreiten für DDoS-Mitigation nicht aus.
Risiko und Sicherheit in der Waage
Bei der Frage nach dem Service-Level von DDoS-Mitigation-Services stellt sich zunächst die Frage: Wie attraktiv ist mein Unternehmen als Ziel? Know-how-getriebene Unternehmen wie Deutschlands mittelständische „Hidden Champions“ sind unter dem Aspekt Wirtschaftsspionage lohnende Ziele für Angreifer aus aller Welt. Hierzu muss man wissen, dass DDoS-Attacken professionellen Datenspionen oft als Ablenkungsmanöver für größer angelegte Angriffe dienen. Andere Unternehmen und Organisationen müssen aufgrund ihrer Produkte, Kunden oder Mitglieder mit politisch motivierten Angriffen rechnen. Wer mit seiner Marke im Rampenlicht der Öffentlichkeit steht, wird schnell zum Ziel von „Script Kiddies“ und ihrem „sportlichen IT-Vandalismus“.
Eine seriöse Risikobewertung schließt die Einschätzung der potenziellen Schadenshöhen ein. So ist der Zusammenbruch einer Homepage vielleicht nur schlecht fürs Image, der Kollaps eines Webshops als Hauptvertriebskanal oder der Diebstahl zentraler Betriebsgeheimnisse wäre aber für fast jedes Unternehmen eine mit hohen Schadenskosten verbundene Katastrophe.
Auf Basis der Risikobewertung muss das Unternehmen entscheiden, welchen Service-Level es bei IT-Sicherheitsdienstleistungen wählt. Das heißt, man muss entscheiden, mit welchen „Unannehmlichkeiten“ man noch zurechtkommt und ab wann es unternehmenskritisch wird. Wer von einem Webshop lebt, wird gerade im Bereich der DDoS-Mitigation den bestmöglichen Schutz wählen. Wer hingegen weniger vor Sabotage als vor gezielten Spionageangriffen Angst haben muss, wird vielleicht verstärkt in systematische Vulnerability Scans investieren und in eine Beratung zur „Härtung“ seiner IT-Systeme.
- Mitigation als vorgelagertes Bollwerk
- Gewinn durch Outsourcing
Lesen Sie mehr zum Thema
