Wie man Datenschutzverletzungen im Jahr 2023 verhindern kann

Der Schlüssel zur Verhinderung von Datenschutzverletzungen in der aktuellen Cybersicherheitslandschaft liegt darin, genau zu verstehen, wie sie passieren, und Ihre gesamte Angriffsfläche abzudecken. Wir führen Sie durch die Anatomie des Datenverlusts und zeigen Ihnen spezifische Schwachstellen auf, die sich auf Ihre Datensicherheit auswirken könnten.

Die Zahl der Datenschutzverletzungen nimmt zu

Jahr für Jahr steigt die Zahl der Datenschutzverletzungen. Laut dem 2021 Annual Data Breach Report des Identity Theft Resource Center meldeten Unternehmen im Jahr 2021 1.862 Datenschutzverletzungen, verglichen mit 1.108 im Jahr 2020.

Während die größten Datenschutzverletzungen wie Equifax oder Yahoo! für Schlagzeilen sorgen, geht es nicht unbedingt um die Zahlen. Für kleine Unternehmen kann eine scheinbar unbedeutende Sicherheitsverletzung schwerwiegende Folgen haben, die sogar zur Schließung führen können. In sensiblen Branchen kann die Art der verloren gegangenen sensiblen Daten wie Kreditkartennummern, Finanzinformationen oder medizinische Daten hohe Geldstrafen nach sich ziehen und die Besitzer dieser Daten stark beeinträchtigen.

Die steigende Zahl von Datenschutzverletzungen ist vor allem auf das wachsende kriminelle Interesse an Daten zurückzuführen. Je mehr wir uns auf eine digitale Gesellschaft zubewegen, desto höher ist der Wert von Daten für Kriminelle. Wenn vertrauliche Informationen wie Sozialversicherungsnummern und andere persönliche Daten und/oder personenbezogene Daten nach außen dringen, können Cyberkriminelle leicht Identitäten in der digitalen Welt annehmen.

Die meisten Datenschutzverletzungen sind in der Tat das Ergebnis krimineller Aktivitäten. Phishing und Ransomware werden vom Identity Theft Resource Center (ITRC) als die wichtigsten Sicherheitsbedrohungen und Hauptursachen für Datenkompromittierungen genannt. Das ITRC gibt außerdem an, dass es im Jahr 2021 mehr Datenkompromittierungen im Zusammenhang mit Cyberangriffen gab (1.603) als alle Datenkompromittierungen im Jahr 2020 (1.108).

Anatomie eines Cyberangriffs

Mangelndes Verständnis von Cybersicherheit könnte einer der Hauptgründe dafür sein, dass nicht alle Unternehmen eine ausreichende Vorbeugung gegen Datenschutzverletzungen betreiben. Dies könnte zum Teil auf die Medien zurückzuführen sein, die sich auf populäre Begriffe wie Phishing und Ransomware konzentrieren und viele glauben lassen, dass sie, wenn sie gegen diese beiden Arten von Cyberangriffen gut geschützt sind, beruhigt sein können. Leider ist das sehr weit von der Wahrheit entfernt.

Fast jeder Cyberangriff ist eine komplexe Kette von Aktivitäten, an denen nicht nur Computer, sondern vor allem Menschen und deren Schwächen beteiligt sind. Die berühmtesten bösartigen Hacker der Geschichte, wie Kevin Mitnick, waren nicht nur Meister des Computers, sondern vor allem Meister des Social Engineering. Ein Cyberangriff, der zu einer Datenpanne führt, kann lange dauern, sogar mehrere Monate, und kann bedeuten, dass der Angreifer Ressourcen in Beschlag nimmt, Aufklärung betreibt und auf dem Weg dorthin viele verschiedene Techniken einsetzt.

Ein Angreifer könnte zum Beispiel damit beginnen, eine Cross-Site-Scripting (XSS)-Webschwachstelle in einer der kleineren Websites des Unternehmens zu finden, z. B. in einer Marketing-Website. Gleichzeitig würde er die Organisationsstruktur erkunden und wichtige Benutzer als Ziel auswählen. Die anvisierten Benutzer würden dann von einem Spear-Phishing-Angriff betroffen sein, der die zuvor gefundene XSS-Schwachstelle ausnutzt. Das Fehlen von Data Loss Prevention (DLP) würde es dem Benutzer ermöglichen, seine Anmeldedaten dem Angreifer preiszugeben. Der Angreifer würde dann überprüfen, ob dieselben Anmeldedaten für verschiedene Systeme funktionieren, und könnte herausfinden, dass er Zugriff auf die wichtigste Webanwendung des Unternehmens erhält. Dieser unbefugte Zugriff könnte dazu führen, dass der Angreifer weitere Sicherheitsrisiken findet, mehr Berechtigungen erhält und schließlich eine Web-Shell installiert, die es ihm ermöglicht, Befehle über das Betriebssystem des Webservers auszuführen. Dies würde es wiederum ermöglichen, Ransomware zu installieren.

Wie Sie sehen, ist die Ransomware nur ein winziger letzter Schritt des Angriffs, und keine noch so gute Ransomware-Schutzsoftware würde helfen, wenn die vorherigen Schritte vom Angreifer ausgeführt werden könnten. Die Medien und sogar das ITRC behandeln Ransomware als Hauptursache für Datenschutzverletzungen (weil es ein „sexy“ Begriff ist) und konzentrieren sich nicht auf die Tatsache, dass Ransomware zunächst irgendwie durch Schwachstellen in Computersystemen und menschliches Verhalten in die Systeme gelangen muss.

Prävention durch vollständige Abdeckung

Um Situationen wie das obige Beispiel zu vermeiden, müssen Unternehmen sicherstellen, dass ihre Sicherheitsrichtlinien auf einen umfassenden Schutz ausgerichtet sind und nicht nur dazu dienen, Compliance-Anforderungen zu erfüllen. Leider gehen viele Unternehmen nur so weit, dass sie Audits und Bewertungen bestehen, was dazu führt, dass ein Großteil der Angriffsfläche nur unzureichend abgedeckt ist.

Die Cybersicherheit sollte genauso behandelt werden wie die physische Sicherheit – es bringt nichts, zusätzliche Schlösser an der Tür anzubringen, wenn das Fenster leicht aufgebrochen werden kann. Die Herausforderung für viele Unternehmen besteht darin, dass Cybersicherheit ein sehr komplexes Thema ist und es schwierig ist, all diese Fenster und Türen zu finden. Und die derzeitige Talentlücke im Bereich der Cybersicherheit ist für Unternehmen, die Schwierigkeiten haben, gut ausgebildete und erfahrene Sicherheitsmanager einzustellen, keine Hilfe.

Hier sind einige der Bereiche, die oft unzureichend geschützt sind:

• Der Faktor Mensch bleibt das größte Risiko für die Cybersicherheit. Ausbildung hilft, menschliches Versagen, Fahrlässigkeit, Betrug und Phishing zu reduzieren, aber selbst wenn Sie Ihre Mitarbeiter gut schulen, wird dies nicht helfen, vorsätzliche böswillige Handlungen zu verhindern. Software zum Schutz vor Malware reicht bei weitem nicht aus, um Menschen davon abzuhalten, durch ihr absichtliches oder unabsichtliches Verhalten Schaden anzurichten. Sie muss mit anderen Lösungen kombiniert werden, z. B. mit Software zum Schutz vor Datenverlust (DLP). Erstere verhindert die Installation von Schadsoftware auf dem Endgerät, während letztere die manuelle Weitergabe sensibler Informationen außerhalb des Unternehmens, z. B. über soziale Medien, sowie das Verschieben von Daten von der Laptop-Festplatte auf tragbare Medien ohne ausreichenden Datenschutz (Verschlüsselung) verhindert.
• Die ersten Phasen von Cyberangriffen konzentrieren sich meist auf den menschlichen Faktor, aber einige von ihnen beginnen damit, Schwachstellen in den Computersystemen zu finden. Während es noch vor wenigen Jahren vor allem um Netzwerksicherheit und die Aktualisierung Ihrer Systeme ging, sobald Sicherheits-Patches zur Verfügung standen, hat sich mit der Verlagerung in die Cloud und der Fülle von Webtechnologien – nicht nur bei Anwendungen, sondern auch bei APIs und mobilen Technologien – der Schwerpunkt auf die Sicherheit von Webanwendungen verlagert. Viele Unternehmen leben noch immer in der Vergangenheit und konzentrieren sich auf die Netzwerksicherheit, wobei sie Schwachstellen und Fehlkonfigurationen im Web nicht mit der gebotenen Sorgfalt behandeln und stattdessen glauben, dass ein VPN und eine Web Application Firewall ausreichen werden. Unternehmen tun sich auch schwer damit, die Komplexität von Cloud-Infrastrukturen zu verstehen, und denken, dass hochtrabende Namen wie CSPM und CWPP alle Ebenen absichern werden, wobei die kritische Anwendungsebene übersehen wird.Ein weiteres Problem besteht darin, dass Cybersecurity-Experten oft die Psychologie der Nutzer nicht verstehen. Ein deutliches Beispiel dafür ist, wie oft Cybersecurity-Teams die Einstellung der Benutzer zu Passwörtern nicht verstehen. Wenn man die Benutzer zwingt, Passwörter zu erstellen, die Großbuchstaben, Zahlen und Sonderzeichen enthalten, führt das dazu, dass die meisten Leute Passwörter wie „Passwort1!“ verwenden, die leicht zu knacken und keineswegs sicher sind. Wenn man die Benutzer zwingt, ihre Passwörter jeden Monat oder so zu ändern, führt das nur dazu, dass sie „Passwort1!“ in „Passwort2!“ ändern und ihre Passwörter in allen Systemen wiederverwenden. Stattdessen sollten Unternehmen neuere Technologien wie die Multi-Faktor-Authentifizierung sowie biometrische und Hardware-Schlüssel einsetzen und Lösungen wie Passwortmanager bei ihren Benutzern fördern.

Das Erfolgsrezept?

Es gibt kein einfaches Rezept, um im Jahr 2023 die bestmögliche Sicherheitslage aufrechtzuerhalten und Datenverletzungen zu verhindern. Am besten stellen Sie die richtigen Mitarbeiter ein, stellen sicher, dass Sie nicht in der Vergangenheit leben, und verstehen, dass Sie viele verschiedene Technologien, Lösungen und Sicherheitsmaßnahmen benötigen, um alle Bereiche abzudecken, und dass es nicht ausreicht, ein teures Paket von einem großen Sicherheitsanbieter zu erwerben, der in seinen Marketingkampagnen große Worte verwendet.

Vielleicht waren DLP oder DAST vor 10 Jahren noch nicht nötig und man konnte sich auf Antiviren-Software und eine Firewall verlassen, aber in der Welt der Cybersicherheit ändert sich die Situation sehr schnell und man muss den Finger am Puls der Zeit haben. Solange Sie dem Thema Cybersicherheit aufgeschlossen gegenüberstehen und dafür sorgen, dass es in Ihrem Unternehmen nie zu einem Silo wird, haben Sie bessere Chancen als viele