Kritische Infrastruktur – kritische IT-Sicherheit

Kritische Infrastruktur ist in Deutschland aktuell besonders gefährdet, wenn es um das Thema IT-Sicherheit geht. Laut der Frankfurter Allgemeinen Sonntagszeitung wurden bis Anfang November 2020 141 erfolgreiche Cyberangriffe gemeldet. Davon 43 auf Gesundheitsdienstleister. Im vergangenen Jahr waren es im Berich der kritischen Infrastruktur noch 121, 2018 sogar lediglich 62 erfolgreiche Versuche.

Neben dem Gesundheitswesen sind auch u.a. Energie- und Wasserversorger, Banken und Versicherungen betroffen. Meist handelt es sich bei derartigen Vorfällen um sog. Ransomware-Angriffe, die eine Lösegeldforderung zur Entschlüsselung von Daten nach sich ziehen.

Experten geben als eine der Ursachen für die gestiegene Anzahl an Cyberangriffen auf Unternehmen der sog. kritischen Infrastruktur die Krise in Folge der Corona-Pandemie an. Besonders medizinische Einrichtungen haben noch einen erhöhten Handlungsbedarf beim Thema IT- und Cybersicherheit. Mindestens 15 Prozent der IT-Investitionen sollten für IT- und Cybersicherheit aufgewendet werden.

Weshalb das Gesundheitswesen so gefährdet ist und wie genau eine solche Investition aussehen kann, haben wir Ihnen in diesem Beitrag zusammengefasst: Viren im Krankenhaus –IT-Sicherheit während der Corona-Pandemie

Denn natürlich gelten für die kritischen Einrichtungen ähnliche Schutz-Szenarien wie für das Gesundheitswesen.

KRITIS als lohnendes Angriffsziel

Das Voranschreiten der Digitalisierung eröffnet auch potenzielle SIcherheitlücken für Angriffer. Waren Anfangs besonders Staaten daran interessiert, die Sicherheitsmechanismen „gegnerischer“ Staaten auszuhebeln, ist dies nun auch vermehrt von privaten Gruppen zu beobachten. Die Absicherung der IT-Systeme von KRITIS-Betreibern ist dabei kein leichtes Unterfangne. Zum einen handelt es sich um privat-wirtschaftliche Unternehmen von verschiedener Größe. Zum anderen haben die genutzten IT-Strukturen einen langen Lebenszyklus, weshalb sie häufig nicht oder nicht zeitnah über die nötigen Sicherheitsupdates verfügen. Seit 2016 sind alle Betreiber von Unternehmen, die zur KRITIS zählen, zu einem 2-jährigen Sicherheitsnachweis ihrer Infrastruktur gezwungen. Betrachtet man jedoch die Frequenz, mit der Schadsoftware weiterentwickelt wird, ist dringend angeraten, relevante Sicherheitsupdates öfter durchzuführen. Und tiefgehende präventive Maßnahmen zur Absicherung Ihrer Systeme einzuleiten.

Insbesondere auch die Absicherung des Angriffsziels „Mensch“ gehört zu einem validen Sicherheitskonzept. Denn oftmals sind zwar die technischen Sicherheitsmaßnahmen hoch und stark, doch schützen diese nicht vor dem Eingriff des (unbedarften) Users. Hierzu zählen insbesondere erfolgreiche Phishing-Angriffe, insbesondere sog. Speer-Phishing-Kampagnen, die zielgerichtet Social Engineering-Techniken einsetzen. Wir raten daher zu regelmäßigen und tiefgreifenden Mitarbeiterschulungen. Sowie zur Einrichtung von starken Multi-Faktor-Authentifikationsregelungen, um Ihre System bestmöglich vor dem Faktor Menschen zu schützen.