Autoren-Beiträge Issues-Management: Cyberwar und Cybersecurity
- Details
- von Gerhard Pfeffer, Siegburg
Cyberwar mag in erster Linie ein militärisches Thema sein. Skrupellose und kriminelle Gegner in der Welt der Wirtschaft bedienen sich jedoch schon heute derselben Mittel wie die Militärs. Für Firmen wird es deshalb immer wichtiger, sich dem Thema Cybersecurity zuzuwenden und ihr Unternehmen durch geeignete Maßnahmen vor solchen Angriffen zu schützen. Der Zeitpunkt, damit zu beginnen, war schon gestern.
Die informationsintensivsten Gesellschaften sind am ehesten anfällig für Angriffe und Störungen durch Cyberattacken. Wettbewerber suchen nach Bauplänen, Kalkulationen und Blaupausen, die von Unternehmen digital gespeichert werden. Mit dem Ende des Wirtschaftsbooms und drohender Absatzkrise ringen Wettbewerber und deren Berater mit allen Mitteln um Aufträge und damit um ihre Zukunft. Gezielt werden Nachrichten über Privatpersonen und Wirtschaftsunternehmen in Umlauf gebracht, um deren Reputation negativ zu beeinflussen.
Die Angreifer können Regierungen, NGOs, aber auch frustrierte Einzeltäter sein. Solche Angriffe auf die Reputation von Unternehmen haben nicht nur große finanzielle Schäden zur Folge, sondern auch eine nachhaltige Schwächung der Wettbewerbsposition. Die Operationen verstoßen jedoch nicht unbedingt gegen geltendes Recht. Sie werden häufig unter Ausnutzung sämtlicher Kommunikationsmöglichkeiten innovativ geführt. Ziel dabei ist es, den Gegner lächerlich zu machen. Bei dieser Art der Kampfführung in der Wirtschaft ist die Einbeziehung des Web 2.0 unumgänglich.
Dem können Unternehmen gezielt entgegenwirken, wenn sie möglichst frühzeitig Themen identifizieren, die positiv besetzt werden können. Solche Issues werden dann im Falle eines Angriffs gezielt kommuniziert. In einer Phase des gezielten Angriffs sollten gleichzeitig die Schwachstellen des Gegners aufgedeckt werden, um auch hier mit kommunikativen Mitteln gezielt Einfluß zu nehmen.
Die Haupttechniken des Cyberwar sind:
• Spionage – Das illegale Eindringen in fremde Computernetze zur Erlangung geheimer Informationen.
• Defacement – Die Veränderung von Inhalten von Webseiten, um Propaganda zu verbreiten oder den Betreiber zu diskreditieren.
• Social Engineering – Die Erschleichung des Vertrauens des Benutzers durch falsche E-Mails oder gefälschte Webseiten zur Erlangung sensitiver Daten, z.B. Kreditkartennummern, Paßwörtern etc.
• Datenmanipulation – Die Zerstörung oder Veränderung fremder Daten, ohne es den Benutzer merken zu lassen, so daß Computeroperationen fehlschlagen oder falsche Ergebnisse liefern.
• DDoS-Angriffe – Distributed Denial of Services: Mit Hilfe von in Bot-Netzen zusammengeschlossenen Zombie-Computern werden Angriffe zur Blockierung von Internetdiensten oder zur Manipulierung/Zerstörung sensitiver Infrastruktureinrichtungen ausgeführt.
• Kontrollverlust – Übernahme der Kontrolle in Computern/Netzwerken oder auch Lahmlegung durch das Einschleusen von Trojanern aber auch durch schon beim Bau installierte Hard- oder Softwarekomponenten.
Experten sind sich darüber einig, daß es bisher noch keinen heißen „Cyberkrieg“ gegeben hat, da noch keine kritische Infrastruktur eines Landes angegriffen wurde. Das „Europäische Programm für den Schutz kritischer Infrastrukturen“ vom 17. Novembver 2005 identifiziert neun Sektoren, die als kritisch für die Sicherheit und das Wohlergehen der Gesellschaften der EU-Staaten gelten.
Energieanlagen und -netze (Strom, Öl, Gas), Kommunikations- und Informationstechnologie (Fernmeldewesen, Rundfunk, Fernsehen), Finanzwesen (Banken, Versicherungen, Investment), Gesundheitswesen (Krankenhäuser, Rettungswesen, Pharmaindustrie, Blutversorgung, Laboratorien), Lebensmittel (Produktionsmittel, Industrie, Großhandel), Wasser (Staudämme, Aufbereitung), Verkehr (Flughäfen, Leitsysteme, Häfen, Eisenbahnen, Öffentlicher Nahverkehr), Erzeugung, Lagerung, Transport gefährlicher Güter, staatliche Einrichtungen (wichtige Dienste, Anlagen, Denkmäler, Gedenkstätten).
Veränderungen sind notwendig. Um sich systemisch gegen Gefahren abzusichern, sollten Unternehmen ihre Sicherheitskompetenzen bündeln. Früher getrennte Bereiche wie Security und IT-Sicherheit sollten zum besseren Schutz des Unternehmens zusammengelegt werden. Der Chief Security Officer sollte dadurch in die Lage versetzt werden, sich ein Gesamtbild der Sicherheitslage des Unternehmens machen und entsprechend effektive und verbindliche Gegenmaßnahmen entwickeln und umsetzen zu können.
Janus
- Zugriffe: 2952