Sicherer Umgang mit Daten:
Studie: Datenmissbrauch ist leicht zu verhindern

von Bernd Reder (bernd.reder@networkcomputing.de)

Share
11.06.2008

Nahezu 90 Prozent aller Fälle von Datenmissbrauch lassen sich verhindern, wenn Firmen und Behörden Sicherheitsmaßnahmen treffen. Das ist das ernüchternde Ergebnis einer Langzeitstudie von Verizon Business anhand von 500 Fällen.

Rund 87 Prozent aller Fälle von Datenmissbrauch bei Unternehmen und Behörden wären durch geeignete Sicherheitsvorkehrungen zu verhindern gewesen, ist eine der Kernaussagen eines Berichts, den der Service-Provider Verizon Business [1] veröffentlicht hat. Der »2008 Data Breach Investigations Report« basiert auf 500 Fällen und der Untersuchung von 230 Millionen Datensätzen.

Nur 15 Prozent der Angriffe auf Netze und Rechner werden zielgerichtet durchgeführt. An die 46 Prozent zielen zwar auf bestimmte Unternehmen, es handelt sich in diesen Fällen jedoch um ein Scanen der IT-Systeme durch Hacker, nach dem Motto

Unter den Vorkommnissen waren laut Verizon Business drei der fünf größten, die jemals gemeldet wurden. Die von Fachleuten von Verizon Business Security Solutions durchgeführte Studie ergab weiter, dass 73 Prozent der Verstöße von externen Quellen ausgingen. Bei 18 Prozent handelte es sich um Bedrohungen von innen.

An die 39 Prozent der Verstöße konnten Geschäftspartnern zugeordnet werden. Diese Zahl stieg während des Untersuchungszeitraums zwischen Anfang 2004 und Ende 2007 auf das Fünffache des Ausgangswertes an.

Mehrere Faktoren spielen zusammen

Meistens wirkten mehrere Faktoren zusammen, wenn Daten in die falschen Hände fielen, neben Angriffen auch Versäumnisse und Schlampereien der Unternehmen selbst. In 62 Prozent der Fälle waren massive interne Fehler mit beteiligt. Bei den Datenlecks, die gezielt herbeigeführt wurden, waren 59 Prozent das Ergebnis von Hackerangriffen oder Versuchen, in ein Netzwerk oder ein IT-System einzudringen.

Partner und Kunden sind für fast 40 Prozent der Verluste von Unternehmensdaten verantwortlich. Tendenz steigend.

Bei den Angriffen, für die Hacker verantwortlich zeichneten, richteten sich 39 Prozent gegen Anwendungen. Attacken auf Betriebssysteme kamen in 23 Prozent der Fälle vor. Weniger als 25 Prozent der Angriffe machten sich eine bekannte oder unbekannte Schwachstelle zunutze. Wichtig daran: Für 90 Prozent der bekannten Schwachstellen waren mindestens sechs Monate vor dem Verstoß Patches verfügbar.

Niedrige Hürden für Angreifer: In 52 Prozent der Fälle stoßen Hacker auf geringe Probleme, wenn sie in ein Netz oder einen Rechner einbrechen möchten. Ungepatchte Systeme oder veraltete Software macht es ihnen leicht.

Peinlich für IT-Fachleute und Netzwerkverwalter der betroffenen Unternehmen ist, dass 75 Prozent der Verstöße nicht von ihnen, sondern von Dritten entdeckt wurden und dass die Lecks bereits seit längerer Zeit vorhanden waren.

Acht Empfehlungen für Unternehmen

Relativ simple Maßnahmen reichen laut Verizon Business bereits aus, um Angriffe oder Datenverluste zu verhindern oder zumindest zu erschweren:

1. Verfahren an die Unternehmenspolitik anpassen: In 59 Prozent der Fälle von Datenverletzungen gab es innerhalb der Organisation Richtlinien und Verfahren, die solchen Vorfällen vorbeugen sollten. Jedoch wurden diese niemals in konkrete Maßnahmen umgesetzt.

Die Hälfte der Fälle von Datenmissbrauch, für die eigene Mitarbeiter verantwortlich sind, geht auf das Konto der IT-Abteilung.

2. Verbindungen zu Kunden und Partnern absichern: In 39 Prozent der Fälle von Datenlecks waren Kunden oder Partnerfirmen involviert. Firmen sollten daher die Kommunikationswege überprüfen. Virtuelle Private Netze oder der Einsatz von Verschlüsselung und speziellen Netzwerksegmenten (Gastnetzen bei Wireless LANs) sind einige der Maßnahmen, die sich anbieten.

3. Ermitteln, wo welche Daten liegen: In 66 Prozent der Fälle der Angriffe waren Datenbestände betroffen, von denen die Anwender überhaupt nicht wussten, dass sie sich auf bestimmten IT-Systemen befanden. Es ist daher unabdingbar, dass der Speicherort von Daten bekannt ist und diese entsprechend ihrer Bedeutung für das Unternehmen geschützt werden.

4. Die Daten mit Hilfe von Transaktionszonen überwachen: Die Ermittler kamen zu dem Schluss, dass eine Segmentierung des Netzwerks dazu beitragen kann, eine Attacke zu verhindern oder zumindest abzumildern. Mit anderen Worten: Firmen sollten Ihre Daten »einmauern«, wann immer dies angemessen erscheint.

5. Event-Logs im Auge behalten: In 82 Prozent der Fälle gab es bereits Hinweise für Angriffe oder Datenlecks. Diese wurden jedoch ignoriert. Daher sollten Data-Logs regelmäßig und systematisch ausgewertet werden. Wichtig ist auch, dass die IT-Abteilung reagiert, sobald sie eine »merkwürdige« Aktivität entdeckt.

6. Einen Reaktionsplan aufstellen: Wenn ein Verstoß vermutet wird, muss das Unternehmen oder die Behörde unmittelbar darauf reagieren. Ziel ist nicht nur, den Missbrauch der Daten zu unterbinden. Es geht auch darum, Beweismaterial zu sichern. Dies ermöglicht es, nötigenfalls strafrechtlich gegen Angreifer vorzugehen.

7. Das Bewusstsein der Mitarbeiter schärfen: Nur 14 Prozent der Datenmissbrauchsfälle werden von Mitarbeitern der betroffenen Organisation aufgedeckt, und das, obwohl sie die erste Verteidigungslinie beim Schutz der Daten darstellen. Deshalb sind entsprechende Schulungen notwendig.

8. Testangriffe auf das eigene Netzwerk und die IT-Systeme durchführen: Um Schwachstellen zu ermitteln, sollte die IT-Abteilung oder besser ein externer Fachmann (»White-Hat Hacker«) einen Scheinangriff auf die IT-Infrastruktur durchführen.

Solche Tests geben Aufschluss darüber, ob die »Verteidigungstechnik« funktioniert, sprich Firewalls, Security-Appliances, Virenschutz et cetera. Außerdem lassen sich mit solchen Prüfläufen Schwachstellen in puncto Schulung von Mitarbeitern und interner Organisation aufdecken.

In diesem Zusammenhang noch ein Tipp: In Deutschland ist der Einsatz von Hacker-Tools bei solchen Tests nicht ganz unproblematisch. Der so genannte Hacker-Paragraf sieht strikte Regeln vor. Was zulässig ist und was nicht, hat der ITK-Verband Bitkom in einer Broschüre zum Hacker-Paragrafen veröffentlicht (siehe Beitrag unten in verwandte Artikel).

[1] http://www.verizonbusiness.de/

Verwandte Artikel