So arbeiten Hacker und Cyber-Kriminelle

Maßnahmen gegen Bedrohungen richtig abschätzen

Zurück zum Safe: Will man sich einen Tresor besorgen, klingt das nach einem Modell der Sicherheitsstufe Grad 5 oder mehr. Hier sind dann mehrere 100.000 Euro an Vermögen im Spiel. Dabei ist die Hürde recht hoch, um diesen Tresor zu knacken. Wie sieht aber dann der kommunale Tresor aus, in dem die wertvollsten Unterlagen liegen? Was bedeutet dies in der Praxis der Informationssicherheit?

Nachdem man sich die zwei ersten Fragen gestellt und auch beantwortet hat, gleiche man die Antworten mit der Tabelle der Hacker-Level ab. Wie lange müssen die Systeme wem gegenüber standhalten? Dies bedingt, dass man sich intensiv mit Angriffsvektoren und Tools auseinander setzen muss - gegebenenfalls ist das die Stelle, an der man auf externe Unterstützung zurückgreifen sollte.

Basierend auf diesen Erkenntnissen heißt es, Abwehrmaßnahmen zu identifizieren und die Kosten hierfür zu ermitteln. Passen die Kosten in das Budget so kann man beruhigt aufatmen und mit der Umsetzung beginnen. Kritischer wird es wenn es eine Lücke zwischen den zu erwartenden Kosten und dem notwendigen Budget gibt. In diesem - gar nicht so seltenen - Fall, gilt es die Maßnahmen zu identifizieren, die das Schutzniveau am positivsten beeinflussen, das heißt die Zeitdauer zum Durchdringen der Sicherheitsmaßnahmen zu erhöhen.

Zur Verifizierung der Maßnahmen bietet es sich dann an, einen Penetrationstest gegen sich selbst zu beauftragen. Hierbei wird sich die Wirksamkeit der Maßnahmen zeigen und übersehene Lücken auffallen. Wichtig ist es hierbei, die Ergebnisse des Tests im Anschluss mit den selbstgesteckten Zielen abzugleichen. Erst dann ist die Verifizierung vollständig.

Vereinfacht kann man das Ziel so beschreiben: Der Schwierigkeitsgrad muss so hoch sein, dass der Angreifer die Lust verliert und sich im Zweifel ein leichteres Opfer sucht. Hiervon gibt es noch genug! Da diese aber auch mit der Zeit besser werden und neue Tools und Angriffsvektoren auftauchen, bleibt das Themenfeld IT-Sicherheit an dieser Stelle eine Art Wettrüsten im Rahmen eines stetigen Verbesserungsprozesses.