Selbst nach Cyber-Attacke: Unternehmen ändern ungern Sicherheitsstrategie

Globale CyberArk-Umfrage „Advanced Threat Landscape“ zum elften Mal durchgeführt

[datensicherheit.de, 01.03.2018] Laut einer aktuellen CyberArk-Untersuchung ändert mehr als ein Drittel der deutschen Unternehmen auch nach einer Cyber-Attacke kaum die Sicherheitsstrategie. Die globale Umfrage „Advanced Threat Landscape“ wurde nach CyberArk-Angaben zum elften Mal durchgeführt – demnach wurden 1.300 IT-Verantwortliche und Geschäftsbereichsleiter, darunter 200 aus Deutschland, befragt.

„Privileged Account Security“ und Endpunktsicherheit im Fokus

Ein Untersuchungsschwerpunkt seien die Unternehmensaktivitäten rund um „Privileged Account Security“ und Endpunktsicherheit gewesen. Obwohl sowohl die Anzahl der Attacken als auch der dadurch verursachte Schaden stiegen, blieben die Unternehmen in Sachen IT-Sicherheit vielfach noch zu inaktiv – sie setzten weiterhin auf herkömmliche Sicherheitsmaßnahmen, die bewiesenermaßen nur unzureichend Schutz böten.
So hätten auch 39 Prozent der befragten deutschen Unternehmen erklärt, dass sie ihre Sicherheitsstrategie nicht signifikant verändern würden, wenn sie Opfer einer Cyber-Attacke geworden sind.

Unverzichtbar: Schutz privilegierter Accounts!

Für den Großteil der befragten deutschen Unternehmen sei die Sicherung privilegierter Accounts für den Schutz der IT-Umgebung von erheblicher Bedeutung – 96 Prozent stimmten der Aussage, dass „IT-Infrastruktur und kritische Daten erst dann vollständig geschützt sind, wenn die privilegierten Accounts und Zugangsdaten gesichert sind“, vollständig oder teilweise zu.
Doch hierbei bestehe bei vielen Unternehmen noch Handlungsbedarf: Zwar bestätigten 42 Prozent, dass sie in den letzten beiden Jahren Sicherheitsmaßnahmen zum Management privilegierter Accounts getroffen haben, doch mehr als die Hälfte (51 Prozent) befinde sich allerdings erst im Planungsstadium.

Nach wie vor unzureichend vor Cyber-Bedrohungen geschützt

Nicht überraschend sei deshalb auch, dass die Unternehmen nach wie vor unzureichend vor Cyber-Bedrohungen geschützt sind. So bestätigten auch 53 Prozent, dass sie den Zugriff von Angreifern auf das interne Netzwerk nicht in jedem Fall verhindern könnten – und fast die Hälfte (47 Prozent) der deutschen Unternehmen erklärt laut CyberArk, dass Kunden- oder generell personenbezogene Daten Sicherheitsrisiken ausgesetzt sind.
„Diese Zahl ist mehr als überraschend“, betont Michael Kleist, „Regional Director DACH“ bei CyberArk in Düsseldorf. Angesichts der bevorstehenden EU-Datenschutz-Grundverordnung (EU-DSGVo) könne sich eigentlich kein Unternehmen mehr einen laxen Umgang mit personenbezogenen Daten leisten.

„Cyber-Angreifer entwickeln ihre Methoden und Taktiken permanent weiter. Inaktivität oder Stillstand auf Unternehmensseite bei der IT-Sicherheit kann nicht die adäquate Antwort sein“, unterstreicht Kleist.
Unternehmen müssten sich mit den zentralen Einfallstoren auseinandersetzen. Kleist: „Dass ungesicherte privilegierte Accounts dabei zu den größten Sicherheitsrisiken gehören, ist inzwischen weitgehend bekannt, wie die Untersuchung zeigt. Das ist schon einmal positiv, jetzt fehlt es vielfach noch an der Umsetzung erforderlicher Sicherheitsmaßnahmen.“

Auch Endpunkte ebenfalls ein Sicherheitsrisiko

Administratorenrechte oder weitreichende Benutzerrechte stellten gerade auch auf Endgeräten ein großes Risiko dar, das allerdings vielfach noch nicht berücksichtigt werde. Darauf deutet laut Kleist auch folgende Entwicklung hin: Die Befragten bestätigten, dass die Zahl der Anwender, die über lokale administrative Privilegien auf ihren Endgeräten verfügen, von 64 Prozent in der letztjährigen Untersuchung auf jetzt 83 Prozent gestiegen sei – eine Zunahme um 19 Prozentpunkte.
„In unseren Augen ist das genau der falsche Weg. Dass auch normale Anwender auf ihrem ,Windows‘-Rechner Administratorenrechte erhalten, erhöht die Sicherheitsgefahren drastisch“, warnt Kleist. „Vielmehr sollten Unternehmen eine Lösung einsetzen, die die Umsetzung flexibler Least-Privilege-Richtlinien für Fach- und administrative Anwender unterstützt – mit einer Einschränkung der Privilegien auf das notwendige Mindestmaß und mit einer bedarfsabhängigen, temporären Vergabe von höheren Rechten.“

Weitere Informationen zum Thema:

datensicherheit.de, 26.09.2017
Häufig von Unternehmen unterschätzt: Privilegierte Zugriffsrechte als Sicherheitsrisiko

datensicherheit.de, 12.07.2013
Acht Prämissen für die effiziente Verwaltung privilegierter Accounts

datensicherheit.de, 22.05.2013
Cyber-Ark-Studie zeigt: Sicherheitsrisiken privilegierter Accounts werden unterschätzt