Wie PRISM Gartners Security-Tipps schreddert

Unternehmen stünden unter enormen Druck bezüglich ihrer Sicherheitsstrategie, weil sie einer mächtigen Matrix von unterschiedlichen, aber miteinander verwobenen Bedrohungen ausgesetzt seien, so lautete die Kernthese, mit der Gartner den großen "Security & Risc Management Summit" in National Harbour, Maryland, überschrieben hatte. Wichtigste Elemente dieser Gefahrenmatrix seien Big Data, Soziale Netzwerke, Mobility und Cloud Computing.

So weit, so verhersehbar. Nicht vorhergesehen hatte Ray Wagner, Vizepräsident von Gartners Sicherheitsabteilung, dass drei Tage nach der Konferenz eine Bombe Namens Prisma hochgehen würde. Sonst hätte er in seiner Key Note vielleicht einige Schwerpunkte anders gesetzt (siehe: PRISM und der Datenschutz: "Überwachung ist kein exklusives US-Phänomen"). Wagner beschrieb sieben aktuelle Trends beziehungsweise Bedrohungen, verband seine Ausführungen zum Teil mit konkreten Tipps. Hier sind die sieben Trends inklusive ein paar Einordnungen.

Cloud-Services sind ein Risiko

Erstens: Spyware und andere Schädlinge sind in Unternehmensnetzwerken sehr schwer zu identifizieren, wenn sie einmal eingedrungen sind. Deshalb ist es heute wichtiger dennn je, den Datenverkehr ständig und systematisch zu überwachen, um potentiellen Eindringlinge schon im Vorfeld abzuwehren. Alle Datenpakete in Netzwerken sollten die Verantwortlichen höchst misstrauisch machen. 2020, so schätzt Gartner, werden 75 Prozent der IT-Budgets darauf verwendet werden, Bedrohungen frühzeitig zu entdecken und sofort darauf zu reagieren. 2012 betrug der Anteil noch weniger als zehn Prozent.

Zweitens: Der extensive Gebrauch von Cloud Services durch Enduser ohne die Zustimmung der IT-Abteilung bedeutet, dass das Anti-Virus-Software und Firewalls immer wirkungsloser werden. IT-Strategien müssen laut Gartner verstärkt darauf eingehen, "statt sich nur um Netzwerke und Gadgets zu kümmern." Die Frage ist, warum Gartner den Gebrauch von Cloud Services nicht grundsätzlich in Frage stellt.

Drittens: Bisher sind Security-Jobs fast immer in der IT-Abteilung angesiedelt, was bedeutet, dass Probleme zunächst unabhängig vom Geschäftszweig beziehungsweise von der Abteilung gesehen werden, die sie betreffen. Aus Sicht von Ray Wagner wäre es sinnvoller, als Security-Chef keinen reinen ITler, sondern einen Business-Manager mit hohem IT-Verständnis zu berufen.
Der Gebrauch von Cloud-Resources, so Wagner weiter, kann dazu beitragen, dass das Unternehmen mit relativ wenig Experten wie Programmierern, Testern und Datenbank-Administratoren auskommt. Und er kann dazu führen, möchte man ergänzen, Geheimdiensten und Wirtschaftsspionen Unternehmensdaten auf dem silbernen Tablet zu servieren. Mancher deutsche CIO rät in Anbetracht der Schnüffel-Attacken durch Geheimdienste dazu, grundsätzlich niemals Cloud-Services zu nutzen. Da solche Angriffe schon vor PRISM bekannt waren, wirkt der Rat von Gartners Security-Experten etwas befremdlich.....

"Es ist gruselig, was Facebook weiß."

Viertens: BYOD wird ein wichtiger Trend bleiben. "Einige Leute haben versucht, nein zu sagen, und es hat nicht funktioniert," so Ray Wagner. Security-Manager hätten ihre Verhinderungsstrategie in der Regel aufgegeben und versuchten statt dessen heute, den Einsatz mitgebrachter Geräte so einfach und komfortabel wie möglich zu gestalten. Der Schlüsser dafür, dass das gelinge, sei ein durchdachtes Identitätsmanagement. Am effizientesten lässt sich das mit Hilfe einer Mobile-Device-Management-Software steuern. Welche Angebote im Markt was können, klärt diese Studie, über die CIO.de jüngst berichtete.

Fünftens: Identitäts- und Zugangsmanagement, so Gartner, müssen aus einer ganz neuen Perspektive betrachtet werden. Die Tatsache, dass Soziale Netzwerke auch aus unternehmensstrategischer Sicht immer wichtiger werden, führe dazu, dass sich Kunden immer häufiger zum Beispiel mit ihrer Facebook-Identität auf einem Online-Shop anmelden wollen statt mit ihrem eigentlichen Nutzerkonto. Dummerweise nur gleichen Soziale Netzwerke echte und digitale Identitäten nicht miteinander ab. Hier gelte es, so Ray Wagner, entsprechende Sicherheitsstrategien zu entwickeln. "Es ist ein bisschen gruselig, dass Facebook weiß, was Ihre Kunden tun."
Noch gruseliger ist allerdings, das Geheimdienste wissen (können), was Facebook-Nutzer tun.

Nicht alle wissen, was falsch ist

Sechstens: Immerhin findet Gartner: "Die Sicherheitsbedrohungen für Unternehmen nehmen immer weiter zu, und das gilt nicht nur für Energieversorger und andere Infrastrukturfirmen, sondern für alle Firmen, die auf einen reibungslosen Datenverkehr angewiesen sind.

Siebtens: Gartner propagiert den "Security-freien Staat". Dieses als eine Sicherheitslösung für die Zukunft vorgestellte Konzept sieht vor, die Sicherheitskontrollen generell stark herunterzufahren, um bürokratischen Aufwand und Kosten zu senken und zugleich die Arbeitsmoral zu steigern. Praktisch könnte ein Ansatz darin liegen, einen unkontrollierten Zugang zum Mailsystem des Unternehmen zuzulassen und sich im Gegenzug zusichern zu lassen, dass Mitarbeiter keine Unternehmenskritischen Daten auf irgendwelchen mitgebrachten Endgeräten speichern. Regelmäßige Kontrollen gibt es nicht außer einem allgemeinen Monitoring. Die Idee dahinter ist, sagte Ray Wagner, "die Mitarbeiter wie Menschen zu behandeln, die Dinge richtig machen."

Wenn sie denn wissen, was richtig ist und was falsch, was gefährlich ist und was nicht. Erstaunlich an den Empfehlungen von Gartner ist - vor allem mit deutschem Datenschutz- und Security-Verständnis - dass es fast nur darum geht, neue Bedrohungen, Einfallstore und Lecks zu managen, anstatt den Versuch zu machen, sie zu schließen. Ist die Nutzung von Cloud-Services wirklich nötig? Wie kann ich das Eindringen von Unternehmensdaten in Soziale Netzwerke wirkungsvoll verhindern?
Das sind die Fragen, die sich IT-Verantwortliche spätestens seit den PRISM-Enthüllungen stellen sollten. Und eigentlich auch schon vorher.