Die Cyberbedrohungsprognosen für 2016 vom Datenschutz- und Data-Governance-Spezialisten Varonis klingen nicht erfreulich. Mehr Angriffe, intensivere Angriffe – und zugleich ein immer größerer Datenwust, in dem sich die Malware-Akteure und Cyber-Gangster verstecken können.

»WeBuyBitcoins«, ein Service im Darkweb, der Cash umtauscht oder eine elektronische Bezahlmöglichkeit für Bitcoins anbietet (Bild: Trend Micro)Laut dem US-amerikanischen Identity Theft Resource Center (ITRC) wurden in den USA vom 1. Januar bis zum 3. November 2015 insgesamt 641 Datensicherheitsvorfälle erfasst. Die meisten Organisationen wissen jedoch, dass dies nur die Spitze des Eisbergs ist. Die Anzahl der gemeldeten Datensicherheitsvorfälle wird laut Varonis 2016 steigen – nicht nur aufgrund verschärfter Datenschutzgesetze mit entsprechender Meldepflicht. Vielmehr können Sicherheitssysteme, die sich auf die Netzwerkgrenzen konzentrieren, die Sicherheit wertvoller, vertraulicher Daten nicht mehr gewährleisten.

Auch die Tatsache, dass Mitarbeiter zunehmend mehr mobile Endgeräte einsetzen und Unternehmen IT-Workloads in die Cloud migrieren, wird zu einem drastischen Anstieg von Datenschutzverletzungen führen. Auf längere Sicht sollte das dazu beitragen, dass zunehmend in vorausschauende, datenzentrierte Schutzmaßnahmen investiert wird. Wahrscheinlich ist allerdings, dass sich die Lage erst verschlimmert, bevor sie sich verbessert.

Insider sind die neue Malware

Benutzer zu schulen, aber auch deren Aktivitäten zu überwachen wird zum Schwerpunkt bei Datensicherheitsmaßnahmen. Manager und IT-Experten haben fast genauso viel Angst vor ihren eigenen Mitarbeitern wie vor Angreifern von außen. Mitarbeiter mit gefährlichen Zugriffsrechten auf sensible Daten können leicht zu unschuldigen und nichtsahnenden Werkzeugen für Hacker werden. 2016 werden Unternehmen zunehmend erkennen, dass sie trotz aller Investitionen in IT-Sicherheit weitere Verluste riskieren, wenn die betroffenen Nutzer die Spielregeln nicht einhalten.

Mitarbeiter müssen in die Sicherheitsprozesse einbezogen werden, die Klassifizierungs- und Einordnungsrichtlinien (die zunächst definiert werden müssen) befolgen und lernen, wie man nicht mehr auf Phishing-E-Mails hereinfällt. Ein Sicherheitsprozess steht und fällt mit den Mitarbeitern, die mehr Einfluss darauf haben, als ihnen vielleicht bewusst ist. Nutzer lassen sich nicht patchen, aber schulen. Die Benutzeraktivitäten überwachen und zu analysieren, wie Nutzer ihre Daten verwenden, trägt dazu bei Angriffe frühzeitig zu erkennen.

Mindestens fünf C-Level-Führungskräfte werden aufgrund von Sicherheitsvorfällen gefeuert

In den vergangenen Jahren mussten schon mehrere Top-Manager nach Cyber-Angriffen einen Karriereknick in Kauf nehmen. CEO Gregg Steinhafel und CIO Beth Jacob von der Handelskette Target, United States Office of Personnel Management Director Katherine Archuleta sowie Amy Pascal von Sony Pictures und andere wurden entweder entlassen oder sahen sich zum Rücktritt gezwungen. Und zwar nachdem massive Datenlecks die betreffenden Unternehmen und Institutionen Geld, Kunden und Glaubwürdigkeit gekostet hatten.

Diese Entwicklung wird sich 2016 verschärfen. Die Schuldigen bei Sicherheitsvorfällen werden nicht mehr in der IT-Abteilung, sondern im oberen Management gesucht. Daten haben Auswirkungen auf alle Bereiche eines Unternehmens. Es wird immer klarer, dass das Management das komplette Unternehmen und seine Stakeholder gefährdet, wenn es versäumt in die Sicherheit kritischer Daten zu investieren.

Immer mehr false-positive Ergebnisse verdeutlichen den Bedarf an eingegrenzten, präzisen Informationen

Unternehmen und Institutionen werden sich sehr viel ernsthafter damit auseinandersetzen, wie viele Daten sie sammeln und welche davon gelöscht werden können. Beim großen Hacking-Angriff auf die Handelskette Target Ende 2013 hatten die IT-Systeme bereits seit Wochen Alarm geschlagen. Dennoch hatte niemand etwas bemerkt. Dieses Problem tritt mittlerweile häufig auf. Warum?

Die IT-Sicherheitsabteilungen sind angesichts der Vielzahl von installierten Sicherheitstools in den meisten Unternehmen hoffnungslos überfordert. Die Teams arbeiten an ihrer Kapazitätsgrenze, und die überwältigende Menge an false-positive Ergebnissen, bei exponentiell wachsenden Datenmengen, führt dazu, dass kritische Sicherheitslücken schlicht und einfach übersehen werden. Clevere IT-Teams werden sich 2016 darauf konzentrieren, Analysen und Alarmierungen mit einer höheren Trefferquote und weniger falschen Alarmen einzusetzen.

Die US-Präsidentschaftswahl wird Ziel einer Cyber-Attacke

Mit den Hacking-Versuchen auf den privaten E-Mail-Server von Hillary Clinton hat das Thema Cybersicherheit bereits den Weg in den amerikanischen Präsidentschaftswahlkampf gefunden. Varonis erwartet, dass 2016 ein gezielter Cyber-Angriff die Kampagne treffen und zu einer massiven Datenschutzverletzung führen wird, bei der Identitäten von Sponsoren, Kreditkartennummern und bisher private politische Präferenzen offengelegt werden.

Stellen Sie sich einfach vor, Sie sind einer der Sponsoren, gehen aber davon aus, anonym zu bleiben. Oder ein Kandidat, dessen »Basisorganisation« Big-Data-Analysen nutzt, um demografische Wählerdaten und andere Faktoren, die das Wahlergebnis beeinflussen, auszuwerten. Diese Daten sind für jedes Wahlkampf-Team äußerst nützlich. Sind diese Daten nicht ausreichend geschützt, werden sie schnell zu einer Belastung. Ein solcher Sicherheitsvorfall wird jedoch nicht nur dem unglücklichen Kandidaten oder der betroffenen Partei einen Dämpfer verpassen. Er wird Cybersicherheit zu einem zentralen Wahlkampfthema machen, das eng mit geopolitischen Bedrohungen wie der Ausbreitung von Terrorismus verknüpft ist.

Wahlkampfdaten wie Sponsorenlisten, Strategien, demografische Daten, Stimmungsindikatoren und Informationen über die gegnerische Partei sind eine Goldmine für Hacker. Ein derartiges Ereignis wird nicht nur die US-Regierung erneut daran erinnern, dass sie das Thema Cybersicherheit kontinuierlich im Auge behalten muss und es Investitionen auf höchster Ebene erfordert. Der Kandidat, der den Eindruck vermittelt, dass er sich mit der Sache auskennt und Cyber-Bedrohungen im Griff hat wird auch bei der Wahl gute Karten haben.

.