Der neue Lagebericht vom Bundesamt für Sicherheit in der Informationstechnik. (Bild: BSI)
Auch in diesem Jahr bleibt die Lage der IT-Sicherheit in Deutschland angespannt. Sie steht - so der jüngste Lagebericht des Bundesamts für Sicherheit in der Informationstechnik - weiter unter dem Eindruck der Corona-Pandemie. Das BSI sieht einen Grund in der enormen Zunahme der Arbeit im Homeoffice, die zu neuen Herausforderungen für die Informationssicherheit geführt hat.
Demnach war das vergangene Jahr geprägt von einer deutlichen Ausweitung cyber-krimineller Erpressungsmethoden. Nicht nur die Anzahl der Schadprogramm-Varianten stieg zeitweise rasant an – mit bis zu 553.000 neuen Varianten pro Tag der höchste jemals gemessene Wert. Auch die Qualität der Angriffe nahm weiterhin beträchtlich zu.
Immer häufiger verschlüsseln Cyber-Kriminelle Daten von Unternehmen und Institutionen in ausgefeilten mehrstufigen Angriffen, um Lösegeld zu erpressen. "Auch wenn es im Januar 2021 gelang, die Infrastruktur der Schadsoftware Emotet zu zerschlagen, ist die Gefahr nicht gebannt", heißt es dazu in der Veröffentlichung. Der Lagebericht zeigt deutlich, wie Cyber-Kriminelle ihre Angriffsmethoden weiterentwickeln und wie schädlich Ransomware-Angriffe für eine betroffene Organisation sein können
Zweithöchste Krisenstufe ausgerufen
Ein besonderer Vorfall im März 2021 sieht der BSI als Sinnbildlich für das Ausmaß der Herausforderung: Damals war eine Lücke in Exchange-Servern von Microsoft geschlossen worden. Direkt nach Bekanntwerden der Lücke wurden großflächige Versuche beobachtet, verwundbare Exchange-Server aufzuspüren und zu kompromittieren. Das BSI hatte in diesem Zusammenhang erst zum dritten Mal in seiner Geschichte die zweithöchste Krisenstufe ausgerufen. Der hohe Anteil verwundbarer Server von 98 Prozent konnte nach zwei Wochen auf unter zehn Prozent gesenkt werden. Jedoch können bestehende Kompromittierungen nach wie vor zu Cyber-Angriffen mit Schadenswirkung führen.
Faktor Mensch bleibt wichtigstes Einfallstor für Angriffe
Die Anwender selbst spielen laut BSI nach wie vor eine wichtige Rolle und werden im Bericht als Einfallstor für Angriffe genannt. So sei die Zahl der Phishing-Angriffe im Berichtszeitraum deutlich angestiegen. Daten-Leaks, Cyber-Angriffe auf Videokonferenzen, schlecht abgesicherte VPN-Server oder der Einsatz privater IT im beruflichen Kontext führten zudem ebenso zu Sicherheitsvorfällen wie langfristig und mit großem Aufwand geplante Angriffe auf einzeln ausgewählte, herausgehobene Ziele (siehe Kapitel Gefährdungen der Cyber-Sicherheit durch die COVID-19-Pandemie, Seite 38). Auch DDoS-Attacken, Schwächen in kryptografischen Verfahren oder hybride Bedrohungen durch fremde Staaten und deren Proxies sorgten für Sicherheitsvorfälle.
"Die Digitalisierung mit all ihren Vorzügen wird weiter voranschreiten. Das ist gut so. Wenn wir aber dabei weiterhin die Informationssicherheit vernachlässigen, werden wir niemals das volle Potenzial der Digitalisierung ausnutzen können. Mehr noch: Im schlimmsten Fall werden viele Digitalisierungsprojekte scheitern", sagte Arne Schönbohm, Präsident des Bundesamts für Sicherheit in der Informationstechnik. Im Bericht "Ransomware muss man nicht erleiden" haben wir zuletzt über Möglichkeiten der Gefahrenabwehr in Unternehmen berichtet.
Kritische Infrastruktur unter Beschuss
Ein besonders sensibler Bereich sind kritische Infrastrukturen: Organisationen mit wichtiger Bedeutung für das Gemeinwesen wie die Versorgung mit Lebensmitteln, Wasser oder Strom. Sie fallen unter die Kritis-Verordnung. Cyber-Angriffe sind für Kritis-Betreiber aller Branchen beinahe an der Tagesordnung.
Im Kritis Sektor Wasser ist dem Bericht zufolge ein Drittel aller Cyber-Angriffe dem Bereich ISMS (Information Security Management System) zuzuordnen. Es wird deutlich, dass viele Optimierungspotenziale im Bereich ISMS im Sektor Wasser noch nicht ausgeschöpft sind. In diesem Sektor wird nur jeder zehnte im Rahmen einer Nachweisprüfung gefundene Mangel der Kategorie technische Informationssicherheit zugeordnet, allerdings ist der Sektor auch vergleichsweise gering digitalisiert und damit weniger von IT abhängig.
Im Kritis-Sektor Energie ergibt sich ein ähnliches Bild wie im Sektor Wasser. Rund ein Viertel der im Sektor festgestellten Mängel sind der Kategorie ISMS zugeordnet. Ähnlich wie im Sektor Wasser ist auch im Sektor Energie der Anteil der Mängel im Bereich der technischen Informationssicherheit im Verhältnis zur Gesamtmenge an Mängeln gering. Dieser weitestgehend digitalisierte Sektor ist allerdings im Gegensatz zum Sektor Wasser sehr stark von IT abhängig.
Weiterentwicklung der Cyber-Sicherheit der Kritis-Betreiber
An konzeptionellen und inhaltlichen Fragen wird vor allem in den Themenarbeitskreisen (TAK) des UP Kritis gearbeitet. Neu gegründet wurde der TAK Detektion, da die Detektion von Cyber-Angriffen zunehmend an Bedeutung gewinnt. Der Arbeitskreis entwickelt aktuell unter Beteiligung des BSI Orientierungshilfen zu Fragestellungen der Detektion. Der TAK Operativer Informationsaustausch hat die Risikomatrix des UP Kritis weiterentwickelt. Die Matrix ermöglicht es den Branchen, anhand eines Bedrohungskatalogs branchenspezifische Verwundbarkeiten und Eintrittswahrscheinlichkeiten abzuschätzen. Durch eine regelmäßig wiederholte Risikoanalyse (z. B. im Rahmen der Sitzungen der Branchenarbeitskreise) sollen Risikotrends ermittelt werden.
Bilderstrecke: Das sind die beliebtesten Passwörter der Deutschen
