[datensicherheit.de, 08.08.2020] Nach Erkenntnissen von tenable haben 96 Prozent aller deutschen Unternehmen in den vergangenen zwölf Monaten mindestens einen geschäftsschädigenden Cyber-Angriff erlitten – doch nur drei von zehn Sicherheitsverantwortlichen in Deutschland könnten die Frage „Wie sicher bzw. gefährdet sind wir?“ beantworten.

Abbildung: tenable

tenable-Studie: Warnung vor wirtschaftlichen Auswirkungen von Cyber-Angriffen

103 befragte Führungskräfte in deutschen Unternehmen

tenable hat nach eigenen Angaben eine neue weltweite Branchenstudie veröffentlicht, aus der demnach hervorgeht, dass die überwiegende Mehrheit der deutschen Unternehmen (96%) in den vergangenen zwölf Monaten einen geschäftsschädigenden Cyber-Angriff erlitten hat, sowohl nach Angaben von Geschäfts- als auch von Sicherheitsverantwortlichen.
Die Daten stammten aus „Der Aufstieg des geschäftsorientierten Security Executive“ („The Rise of the Business-Aligned Security Executive“), einer Auftragsstudie unter mehr als 800 Führungskräften weltweit aus den Bereichen Wirtschaft und Cyber-Sicherheit, darunter auch 103 Befragte in Deutschland, welche von FORRESTER im Auftrag von tenable durchgeführt worden sei.

Unternehmen erlitten zum Teil schwerwiegende Auswirkungen

Vor dem Hintergrund der unablässigen Angriffe von Cyber-Kriminellen hätten 74 Prozent der Befragten in Deutschland in den vergangenen zwei Jahren einen „drastischen Anstieg bei der Anzahl geschäftsschädigender Cyber-Angriffe feststellen“ können, die zum Teil schwerwiegende Auswirkungen gehabt hätten:
Unternehmen berichteten von Produktivitätsverlust (45%), Verlust von Kundendaten (37%) und Verlust durch Identitätsdiebstahl (36%). Ungefähr 61 Prozent der Sicherheitsverantwortlichen in Deutschland gäben an, dass von diesen Angriffen auch operative Technologie (OT) betroffen gewesen sei.

Führungsebene in Unternehmen benötigen klares Bild

Wirtschaftsführer wollten ein klares Bild davon haben, wie gefährdet ihre Unternehmen sind und wie sich dieses Risiko im Rahmen der Planung und Umsetzung von Geschäftsstrategien verändert.
Doch nur drei von zehn Sicherheitsverantwortlichen in Deutschland gäben an, dass sie die grundlegende Frage „Wie sicher bzw. gefährdet sind wir?“ mit einem hohen Maß an Zuversicht beantworten könnten – trotz der Häufigkeit von Cyber-Angriffen mit geschäftsschädigenden Auswirkungen.

Weniger als die Hälfte der Unternehmen betrachtet Cybersecurity-Bedrohungen im Kontext spezifischer Geschäftsrisiken

Weltweit erklärten weniger als 50 Prozent der Befragten, dass sie Cybersecurity-Bedrohungen im Kontext eines spezifischen Geschäftsrisikos betrachteten.
Obwohl beispielsweise 95 Prozent der Befragten Reaktionsstrategien auf die „COVID-19-Pandemie“ erarbeitet hätten, gäben 75 Prozent der Führungskräfte aus den Bereichen Business und Sicherheit zu, dass ihre Reaktionsstrategien nur „teilweise“ aufeinander abgestimmt gewesen seien.

Unternehmen mit business-orientierten Sicherheitsverantwortlichen im Vorteil

Unternehmen, in denen Sicherheits- und Geschäftsverantwortliche an einem Strang ziehen, wenn es darum geht, Cybersecurity als strategisches Geschäftsrisiko zu messen und zu managen, liefern demnach „nachweisbare Ergebnisse“. Verglichen mit isoliert agierenden Fachkollegen sei es bei business-orientierten Sicherheitsverantwortlichen so:

• Es sei achtmal wahrscheinlicher, dass sie in hohem Maße von ihrer Fähigkeit überzeugt sind, Rechenschaft über die Sicherheits- oder Risikolage ihres Unternehmens ablegen zu können.
• 90 Prozent seien sehr oder völlig zuversichtlich, nachweisen zu können, „dass Cybersecurity-Investitionen positive Auswirkungen auf die Geschäftsentwicklung haben, verglichen mit lediglich 55 Prozent ihrer isoliert agierenden Fachkollegen“.
• 85 Prozent verfügten über Metriken, um den Cybersecurity-ROI und die Auswirkungen auf die Geschäftsentwicklung zu verfolgen, im Vergleich zu nur 25 Prozent ihrer isoliert agierenden Fachkollegen.

In solchen Unternehmen mit business-orientierten Cybersecurity-Verantwortlichen sei es außerdem

• dreimal wahrscheinlicher, dass Cybersecurity-Ziele mit geschäftlichen Prioritäten in Einklang stehen,
• dreimal wahrscheinlicher, dass die Sicherheitsabteilung die gesamte Angriffsoberfläche des Unternehmens umfassend im Blick hat und
• dreimal wahrscheinlicher, dass bei der Priorisierung von Behebungsmaßnahmen eine Kombination aus Asset-Kritikalität und Schwachstellendaten verwendet wird.

Zukunftsorientierte Unternehmen betrachten Cybersecurity-Strategie als unerlässlich für Innovation

„In Zukunft wird es zwei Arten von ,CISOs‘ geben – diejenigen, die sich direkt mit dem Business abstimmen, und alle anderen. Die einzige Möglichkeit, im heutigen Zeitalter der rapide voranschreitenden Digitalisierung erfolgreich zu sein, besteht darin, ‚Cyber‘ in alle geschäftlichen Fragen, Entscheidungen und Investitionen einzubeziehen“, betont Renaud Deraison, „Chief Technology Officer“ und Mitgründer von tenable.
Deraisons Fazit: „Unserer Ansicht nach zeigt diese Studie, dass zukunftsorientierte Unternehmen eine Cybersecurity-Strategie als unerlässlich für Innovation betrachten und dass es zu transformativen Ergebnissen führen kann, wenn Sicherheits- und Geschäftsverantwortliche eng zusammenarbeiten.“

Weitere Informationen zum Thema:

tenable
FORRESTER: „Wie sicher sind wir? Nur ein Business-orientierter Cybersecurity-Verantwortlicher kann diese Frage zuversichtlich beantworten“

[datensicherheit.de, 04.04.2019] „Schon wieder ein Datenleck bei facebook!“, kommentiert Renaud Deraison, Mitgründer und „Chief Technology Officer“ bei Tenable: „Es scheint so, als würde fast jede Woche ein Sicherheitsproblem bei facebook entdeckt werden.“

facebook gibt Drittanbieter-Apps Zugriff auf Benutzerdaten

„facebook gibt Drittanbieter-Apps Zugriff auf Benutzerdaten. Das bedeutet, dass der riesige Datenpool des Unternehmens potenziell in den Händen von Tausenden Dritten auf der ganzen Welt liegt“, erläutert Deraison. App-Entwickler konzentrierten sich vor allem darauf, schnell neue Angebote auf den Markt zu bringen – das sei es, was die Konsumenten schließlich erwarteten.

Offenbar keine verbindlichen Richtlinien für Cyber-Sicherheit bei Partnern

Deraison: „Es sieht so aus, als hätte facebook keine verbindlichen Richtlinien, wenn es darum geht, wie Partner mit Cyber-Sicherheit umgehen sollen.“ Solange die Cyber-Sicherheit in der digitalen Wirtschaft eine untergeordnete Rolle spielt, würden wir es weiterhin mit solchen Datenlecks zu tun haben, die eigentlich leicht vermeidbar wären, so sein Fazit.

Foto: Tenable

Renaud Deraison: Datenlecks eigentlich leicht vermeidbar!

Weitere Informationen zum Thema:

datensicherheit.de, 21.03.2019
facebook: Erneut erhebliche Datenschutzdefizite

datensicherheit.de, 01.10.2018
Facebook-Angriff erfolgt über typische Sicherheitslücke

 [datensicherheit.de, 29.11.2018] Tenable hat gemeldet, dass das hauseigene Forschungsteam eine ernstzunehmende Schwachstelle in der „Zoom“-Anwendung für Desktop-Konferenzen entdeckt hat: Externen Angreifern oder betrügerischen Meeting-Teilnehmern ermögliche diese Schwachstelle, Bildschirme zu kontrollieren, sich als anderer Teilnehmer in Chats auszugeben oder andere aus der Konferenz auszuschließen. Betroffen seien bis zu 750.000 Unternehmen weltweit, die „Zoom“ täglich einsetzten.

Vertrauliche Online-Meetings in Gefahr

Die Digitale Transformation schreitet voran und in deren Kontext werden auch mobile Angestellte zunehmend zur Normalität: Konferenzsysteme wie z.B. „Zoom“ seien deshalb fast allgegenwärtig.
Diese seien für viele Unternehmen der neue Konferenzraum, in dem sie auch vertrauliche Meetings abhielten, die aufgezeichnet und in der Cloud gespeichert würden.
Nutzen Angreifer die Schwachstelle aus, könne das nicht nur Geschäftsprozesse stören, sondern auch erheblichen Schaden für das Ansehen des Unternehmens bedeuten – gerade dann, wenn es um wichtige Konferenzen, etwa des Managements, mit Kunden oder Interessenten, geht.

Malware laden, Chats manipulieren oder Teilnehmer abblocken…

Cyber-Kriminelle können laut Tenable Research durch diese „Vulnerability“ die Kontrolle über Bildschirme übernehmen: Indem sie die Zugriffsrechte für die geteilten Bildschirme umgingen, könnten Angreifer den Desktop eines Opfers vollständig kontrollieren, Malware herunterladen und ausführen.
Auch Chat-Nachrichten könnten gefälscht werden: Während des Meetings könnten Chat-Nachrichten im Namen anderer Nutzer verschickt werden.
Auch seien Teilnehmer aus einer Konferenz auszuschließen: Selbst Personen ohne Host-Rechte könnten andere aus der Konferenz „werfen“.

Angriffsoberfläche vergrößert

„Wer in der heutigen, digitalen Wirtschaft erfolgreich Geschäfte treiben will, muss auf neue Technologien und Services für die Vernetzung setzen. Zugleich eröffnet jede neue Technologie potenzielle Angriffsmöglichkeiten. Die ,Zoom‘-Schwachstelle ist das perfekte Beispiel für eine scheinbar harmlose Lösung, die allerdings die Angriffsoberfläche vergrößert“, erläutert Renaud Deraison, Mitgründer und „Chief Technology Officer“ von Tenable.
Tenable Research konzentriere sich darauf, Schwachstellen zu finden und diese gemeinsam mit den Anbietern zu beheben. Deraison: „Nur so können wir erreichen, dass die Technologie sicher ist, auf die wir als Kunden und Unternehmen angewiesen sind.“

Anbieter Zoom hat nach Information umgehend reagiert

Tenable Research hat nach eigenen Angaben die entdeckte Schwachstelle gegenüber dem Anbieter Zoom gemäß den Standardverfahren der „Tenable Vulnerability Disclosure Policy“ offengelegt.
Diese Schwachstelle betrifft demnach die „Zoom“-Version 4.1.33259.0925 für „MacOS“ und „Windows“ sowie 2.4.129780.0915 für „Ubuntu“. Zoom habe schnell reagiert und Version 4.1.34814.1119 veröffentlicht, um die Schwachstelle in „Windows“ zu schließen. Für „MacOS“ sei die Vulnerabilität mit Version 4.1.34801.1116 behoben worden. Nutzer sollten sicherstellen, dass ihr Desktop-Konferenzsystem auf dem neuesten Stand ist.
Tenable habe selbst ein Plugin veröffentlicht, mit dem Unternehmen herausfinden könnten, ob sie verwundbar sind.

Weitere Informationen zum Thema:

tenable, David Wells, 29.11.2018
Tenable Research Advisory: Zoom Unauthorized Command Execution (CVE-2018-15715)

tenable
Zoom Client for Meetings 4.x < 4.1.34801.1116 Message Spoofing Vulnerability (macOS)

tenable
Zoom Client for Meetings 4.x < 4.1.34814.1119 Message Spoofing Vulnerability

datensicherheit.de, 02.10.2018
Unternehmensschutz: DevOps in IT-Sicherheitsmaßnahmen einbeziehen

datensicherheit.de, 13.08.2017
EU-Datenschutz-Grundverordnung: Tenable Inc. stellt drei essentielle Schritte vor