Vom CISO zum Verdächtigen: IT-Fachleute und Hacking

Wenn Hacker zuschlagen, liegt der Schwerpunkt auf der Schadensbegrenzung und dem Schutz der Systeme vor weiteren Angriffen. Dabei wird jedoch oft vergessen, welche Rolle IT-Experten in dem Chaos spielen, das entsteht, wenn Ihre Informationssicherheit ins Visier genommen wird. Wenn sich das Chaos gelegt hat, will jeder wissen, wie es überhaupt dazu gekommen ist und vor allem, wer die Schuld trägt.

Dann stehen die IT-Experten im Rampenlicht. Die Folgen eines erfolgreichen Hackerangriffs treffen in der Regel die IT-Abteilungen, die sozusagen „leichte Ziele“ sind, weil sie in der Regel immer in direktem Kontakt mit den Hackern stehen. Lesen Sie weiter, um mehr darüber zu erfahren, warum IT-Fachleute nach einem Hack leicht in Schwierigkeiten geraten können und was sie tun können, um sich sowohl persönlich als auch beruflich zu schützen.

• CISOs können wegen eines Sicherheitsvorfalls gefeuert werden (oder noch schlimmer)
• Die Gefahren der White-Hat-Welt
• Auch nachlässige IT-Fachleute können die Folgen zu spüren bekommen
• IT-Fachleute warten nicht auf Hacks, sie verhindern sie

CISOs können wegen eines Sicherheitsvorfalls gefeuert werden (oder noch schlimmer)

Wenn ein Hack droht, sind die Reaktion und die sofortigen Maßnahmen von IT-Fachleuten, insbesondere von Sicherheitsverantwortlichen in Unternehmen wie CISOs und CTOs, von größter Bedeutung. Nicht nur, um die Systeme des Unternehmens zu schützen, sondern auch, um ihre Karriere zu sichern. Die häufigsten Folgen für einen IT-Experten, der nicht angemessen auf einen Hacking-Vorfall reagiert hat, sind der Verlust des Arbeitsplatzes und eine Anklage gegen ihn.

Was passiert, wenn ihre Reaktionen „fragwürdig“ erscheinen? Ein Beispiel ist der Fall des ehemaligen Sicherheitschefs von Uber, Joe Sullivan. Sullivan war an der Zahlung von 100.000 Dollar in Bitcoin an Hacker beteiligt, nachdem diese die Daten von 57 Millionen Uber-Kunden gestohlen hatten. Daraufhin wurde er entlassen und wegen Behinderung der Justiz und Verheimlichung eines Verbrechens angeklagt, als der neue CEO des Unternehmens davon erfuhr. Er ist nicht der Einzige. In ihrem Bericht „2018 State of Web Application Security“ berichtet Radware, dass bei 23% der Unternehmen Führungskräfte im Zusammenhang mit einem Anwendungsangriff entlassen wurden.

Für IT-Fachleute und Sicherheitschefs mag es wie ein Weltuntergang aussehen, wenn Hacker in die Systeme eindringen, für deren Schutz sie verantwortlich sind. Laut einer Studie der Goldsmiths University of London und Symantec gaben jedoch 26% der IT-Sicherheitsfachleute, die einen Sicherheitsverstoß erlebt hatten, an, dass sie weniger Stress bei ihrer Arbeit empfanden. Manchmal ist die Angst vor einem Ereignis furchterregender als die Gefahr selbst. Aber was ist mit den Gefahren, die man nicht kommen sieht?

Die Gefahren der White-Hat-Welt

Es versteht sich von selbst, dass Hacker ziemlich clevere Leute sind! Sie nutzen Ihre Gefühle aus und stellen sicher, dass jeder ihrer Schritte sorgfältig geplant ist. Das ist keine gute Sache für IT-Fachleute, die Gefahr laufen, den Hackern in die Hände zu spielen. Eine unscheinbare, unschuldige Bemerkung, die in der richtigen Absicht gemacht wird, während man mit einem Hacker kommuniziert, kann leicht missverstanden werden. Hier können sich IT-Fachleute der Gefahr aussetzen, sich schuldig zu machen.

Aber selbst wenn man auf der richtigen Seite bleibt, können die Grenzen in der White-Hat-Welt sehr schnell verschwimmen. Wer sich mit Hacking befasst, hat es mit Hackern zu tun, und das ist schon eine Gefahr für sich. Dies gilt insbesondere für IT-Sicherheitsberater, die als Bug-Bounty-Jäger tätig sind und häufig mit dem Markt für Zero-Day-Exploits konfrontiert werden. In dieser Welt spüren Kodierungsexperten Schwachstellen auf und tauschen sie zusammen mit kommerziellen Angeboten mit gefährdeten Unternehmen aus, um diese bei der Sicherung ihrer Umgebung zu unterstützen.

IT-Sicherheitsberater im Graubereich

In einem solchen Umfeld ist es manchmal schwer, ethisches Verhalten von dunkleren Taktiken zu unterscheiden. Von White-Hat-Bug-Jägern, die einen CISO zu einer bezahlten Mission drängen, um in die Sicherheit zurückzukehren, bis hin zu Black-Hat-Hackern, die ihre Erkenntnisse an den Meistbietenden verkaufen – manchmal gibt es nur mehrere verschiedene Grautöne. Wenn Sie mit einer Karriere in diesem Bereich liebäugeln, sollten Sie immer einen tadellosen Lebenslauf und eine tadellose Einstellung mitbringen, um zu vermeiden, dass Sie der nächste selbsternannte ethische Hacker im Gefängnis sind.  

Auch für „White-Hat-Hacker“ ist die Welt da draußen nicht gerade rosig. Nehmen Sie zum Beispiel den Fall der White-Hat-Hacker Justin Wynn und Gary DeMercurio. Sie waren vom US-Bundesstaat Iowa, der einen Vertrag mit Wynns und DeMercurios Arbeitgeber, Coalfire Labs, geschlossen hatte, autorisiert worden, einen professionellen Penetrationstest durchzuführen. Allerdings wurden sie dann vom Sheriff verhaftet, wegen unbefugten Betretens und Einbruchs angeklagt und mussten sich selbst verteidigen, wobei ihnen eine Gefängnisstrafe drohte. Dies veranschaulicht, wie sehr es in der komplexen Welt der IT-Sicherheit eine Frage der Wahrnehmung sein kann, der Gute zu sein.

Auch nachlässige IT-Fachleute können die Folgen zu spüren bekommen

Man muss kein CISO oder ein umbenannter IT-Sicherheitsberater sein, um wegen eines Hacks in Schwierigkeiten zu geraten. Auch normale IT-Manager laufen Gefahr, entlassen zu werden, wenn sie nicht die notwendigen Schritte unternehmen, um die IT-Sicherheit ihres Unternehmens zu gewährleisten. Welche Maßnahmen können sie ergreifen, um ihr System zu schützen?

1. Schatten-IT

Schatten-IT bezieht sich auf die Nutzung von IT-Systemen, Geräten und Software, die nicht ausdrücklich von einer IT-Abteilung genehmigt wurden. Ein Beispiel für Schatten-IT ist die Verwendung Ihres persönlichen E-Mail-Kontos für geschäftliche Zwecke. Schatten-IT ist ein wachsendes Problem für IT-Fachleute, da sie sie daran hindert, sichere Umgebungen aufrechtzuerhalten.

Um Schatten-IT zu erkennen und zu verwalten, können IT-Manager Folgendes tun:

• Überwachung ihres Netzwerks auf neue und unbekannte Geräte
• Priorisierung der Risiken, indem risikoreiche Dienste über die bestehende Infrastruktur blockiert oder die Benutzer aufgefordert werden, sie nicht zu nutzen
• Erstellung einer Liste mit zugelassener Software und Anwendungen, die über die Standardsoftware hinausgeht, und Weitergabe an alle Mitarbeiter
• Angebot von Alternativlösungen für Softwareprodukte, die blockiert oder verboten wurden
• Einschränkung des Zugriffs auf Anwendungen von Drittanbietern, wie SharePoint und DropBox
• Angebot einer Amnestie für Benutzer von Schatten-IT und Entwicklung und Umsetzung einer sichereren Lösung
• 2. Sicherheit des E-Mail-Ökosystems

Phishing-Angriffe sind derzeit eine der häufigsten Formen des Hackings. IT-Manager können ihre Systeme vor den Gefahren der Kompromittierung von geschäftlichen E-Mails schützen, indem sie eine vertrauenswürdige Quelle wie EasyDMARC nutzen. EasyDMARC bietet Domain-Schutz und Tools zur Überwachung aller Aspekte der E-Mail-Authentifizierung. Durch die Authentifizierung und den Schutz ihrer DMARC-, SPF-, BIMI– und DKIM-Einträge erhalten IT-Manager einen leistungsstarken und effektiven Schutz vor Phishing-Angriffen.

Die Nutzung der Dienste von EasyDMARC bietet Ihnen folgende Vorteile:

• Verhinderung von Datenverlusten
• Schutz Ihres Unternehmens vor finanziellen Verlusten
• Verhinderung von Kundenverlusten
• Schutz Ihrer E-Mail-Konten
• 3. System-Updates

Mit der Patch-Verwaltung können Sie sicherstellen, dass Ihre Systeme nie veraltet sind und dass alle Sicherheitslücken behoben werden, so dass Hacker sie nicht ausnutzen können. Ihr CISO wird Ihnen dafür danken! Dieser Prozess konzentriert sich auf die Risikominderung und umfasst den Erwerb, die Überprüfung und die Bereitstellung von Patches, d. h. von Software-Code, für die Systeme Ihres Unternehmens.

Der Einsatz von Patch-Management bietet Ihnen folgende Vorteile:

• Reduzierung der Angriffsfläche, um Ihre Gefährdung durch Cyberangriffe zu minimieren
• Verbesserte Produktivität, da alle Ihre Anwendungen mit den neuesten Updates ausgestattet sind
• Verhinderung von Malware, die sich schnell in einem Netzwerk verbreiten kann
• Feststellung, ob einer Ihrer Software-Anbieter nicht mehr in Betrieb ist 

IT-Fachleute warten nicht auf Hacks, sie verhindern sie

Es liegt im besten Interesse aller IT-Fachleute, alles in ihrer Macht Stehende zu tun, um die Systeme ihres Unternehmens zu schützen. Vom CISO bis zum IT-Manager ist dies nicht nur für das Wohlergehen des Unternehmens wichtig, sondern auch für die Sicherung der eigenen Arbeitsplätze. Wenn Sie ein IT-Experte sind, sollten Sie sich über diese drei Schutzmethoden und -software informieren:

1. Überwachung der Schatten-IT
2. Sicherung Ihres E-Mail-Systems mit einem Programm wie EasyDMARC
3. Aktualisierung Ihrer Systeme mithilfe von Verfahren wie dem Patch-Management
4. Und wenn Sie speziell im Graubereich arbeiten, wo IT-Fachleute in die digitalen Schützengräben gehen, um Hacker aufzuspüren und zu bekämpfen, sollten Sie sich stets tadellos verhalten. Gehackt zu werden ist keine schöne Erfahrung, und es steht viel auf dem Spiel, wenn Sie einem Hacker zum Opfer fallen oder in einen komplexen Hacking-Fall verwickelt werden. Seien Sie also wachsam, lassen Sie Vorsicht walten, wenn Sie mit einem potenziellen Hacker kommunizieren, und bleiben Sie immer geschützt!