Gastbeitrag : Cyberrisiko aus der Lieferkette
Eine aktuelle Studie zeigt, dass mehr als die Hälfte der deutschen Unternehmen bereits Opfer von Cyberangriffen durch externe Anwender aus ihrer Lieferkette geworden sind. Trotz der hohen Risiken fehlt es oft an einer umfassenden Dokumentation und Kontrolle der Zugriffsrechte Dritter.
Unternehmen nehmen bei externen Zugriffen auf ihre Netzwerke bewusst hohe Sicherheitsrisiken in Kauf – das zeigt eine aktuelle internationale Studie des Ponemon Instituts. Die Ende 2024 durchgeführte Befragung von rund 2.000 IT- und Sicherheitsverantwortlichen aus Deutschland, den USA, Großbritannien und Australien offenbart besorgniserregende Zahlen: Allein in Deutschland berichtete mehr als die Hälfte der 573 befragten Unternehmen von Datenlecks oder Cyberattacken, die durch Zugriffe aus der eigenen Lieferkette verursacht wurden.
In komplexen Lieferketten greifen viele externe Anwender und Applikationen tagtäglich mehr oder weniger kontrolliert auf die IT-Ressourcen eines Unternehmens zu. Dabei handelt es sich um Mitarbeiter und Systeme von Lieferanten, Zulieferern, Subunternehmen und Dienstleistern sowie andere Externe, wie Zeitarbeitskräfte, selbstständige Berater oder sonstige freie Mitarbeiter.
Aktuelle Datenschutz- und Sicherheitsrichtlinien verpflichten Unternehmen zwar zu umfassenden Schutzmaßnahmen, differenzieren aber nicht ausreichend zwischen internen und externen Zugriffen. IT-Sicherheitsverantwortliche stehen dabei vor einem grundsätzlichen Problem: Sobald externe Anwender oder Anwendungen außerhalb der Unternehmensgrenzen agieren, haben sie keine direkte Kontrolle mehr über deren Aktivitäten. Diese fehlende operative Kontrolle macht es für Unternehmen nahezu unmöglich, sicherheitsrelevante Maßnahmen bei externen Zugriffen effektiv durchzusetzen. Hinzu kommt, dass die Hälfte der deutschen Studienteilnehmer (50 Prozent) kein einheitliches Vorgehen für die Verwaltung von Zugängen und Berechtigungen für Externe hat.
Zugriffe Externer nur zur Hälfte dokumentiert
Der Begriff „Fremdzugriff“ ist in diesem Zusammenhang irreführend. Grundsätzlich sollte man davon ausgehen, dass externe Anwender und Systeme bekannt sein sollten und somit nicht als „fremd“ bezeichnet werden können. Allerdings sollte im Kontext des Zero-Trust-Prinzips jeder Zugriff durch externe Anwender und Systeme als „Fremdzugriff“ gewertet werden, weil dadurch die Kritikalität und das Sicherheitsrisiko verdeutlicht werden können.
51 Prozent der Befragten aus Deutschland gab an, dass ihr Unternehmen in den zwölf Monaten vor der Befragung von einer Datenverletzung oder einem Cyberangriff betroffen war, bei dem aus der (vertrauten) Infrastruktur eines seiner Lieferanten oder anderer Externer auf die eigene IT-Infrastruktur zugegriffen wurde. Die Ursache dafür sahen 34 Prozent darin, dass Externen zu weitreichende Zugriffsrechte eingeräumt waren.
Immerhin 56 Prozent der deutschen Befragten gaben an, dass ihr Unternehmen über eine umfassende Dokumentation aller dritten Parteien mit Zugriff auf das Netzwerk verfügt. Am häufigsten genannte Gründe für mangelnde Dokumentation waren fehlende Ressourcen für die Überwachung von Drittanbietern (45 Prozent) und keine zentrale Kontrolle über die Beziehungen zu ihnen (37 Prozent).
Es fehlt also an einer Transparenz darüber, was Externe mit ihrem Zugang tun. Eine Kontrolle der Zugriffe ist nicht möglich und damit auch keine Diagnose, wer im Schadensfall zum Beispiel Daten kompromittiert hat.
Hohe Gefahrenlage mit schlimmen Konsequenzen
Cyberattacken, an denen zugangsberechtigte Dritte beteiligt waren, hatten laut Ponemon-Studie meistens schwerwiegende Folgen. Zu den häufigsten zählten nach Angaben der Befragten in Deutschland der Verlust oder Diebstahl sensibler und vertraulicher Daten (55 Prozent), Geldstrafen (47 Prozent) und belastete Geschäftsbeziehungen (45 Prozent).
Dass sich die Lage bessern wird, daran glaubt nur eine Minderheit: 68 Prozent der Befragten erwarten, dass die Zahl der Sicherheitsverletzungen durch Dritte in den nächsten 12 bis 14 Monaten zunehmen oder mindestens gleich bleiben wird. Gleichzeitig bewerten 47 Prozent der Befragten die Zugriffsmöglichkeiten für Dritte als die größte Angriffsfläche der IT. Das verheißt für die nahe Zukunft nichts Gutes: Die Angriffe aus der Lieferkette werden weiter steigen und die Zugriffsmöglichkeit Dritter bleibt eines der größten IT-Sicherheitsrisiken. Firmen wissen also, dass sie etwas tun müssen.
Lieferkette sichern muss Vorrang bekommen
Da viele Dritte Zugang zum Netzwerk haben, hat die ordnungsgemäße Sicherung dieses Zugangs höchste Priorität. Und hier gibt es tatsächlich auch gute Nachrichten: 47 Prozent der Befragten gaben an, dass ihr Unternehmen beziehungsweise ihre IT- oder IT-Sicherheitsabteilung der Sicherheit des Zugriffs von Externen auf ihr Netzwerk höchste Wichtigkeit einräumen. Und tatsächlich bejahten sogar 77 Prozent der Befragten, dass ihr Unternehmen über eine Vendor-Privileged-Access-Management-Lösung verfügt. Mit einer VPAM-Lösung lässt sich regeln, wie der Zugriff eines Externen erfolgen darf und welche Rechte er im Netzwerk hat. Allerdings sind nur 52 Prozent dieser Gruppe davon überzeugt, dass ihre VPAM-Lösung den Missbrauch von privilegierten Zugängen Externer wirksam verhindert.
Die beiden operativen Maßnahmen sind die Verwaltung der Zugänge (Konten und Berechtigungen) sowie die Überwachung der Aktivitäten von externen Anwendern und Systemen. Dabei ist die Überwachung der Systeme kritisch zu bewerten, da die Aktivitäten ohne bewusste oder aktive Benutzerinteraktion erfolgen.
Zu aufwendig und zu komplex
Eine VPAM-Lösung und guter Wille nützt nur nichts, wenn sich IT-Abteilungen damit überfordert fühlen und die Ressourcen zusätzlich belastet werden. Das gaben 38 Prozent der Befragten aus Deutschland an. Sie sagten weiterhin aus, dass die größten Hindernisse bei der Verringerung der Zugriffsrisiken durch Externe in der fehlenden Kontrolle oder Steuerung (47 Prozent), der Komplexität der Compliance- und gesetzlichen Anforderungen (59 Prozent) und den unzureichenden Ressourcen oder Budgets (27 Prozent) liegen.
Strategien und Einsatz effektiver Tools erforderlich
Unternehmen haben zwar erkannt, dass sie bei der Verwaltung und Kontrolle im Kontext der Nutzung eigener IT-Services durch Dritte Risiken eingehen, sie tun sich aber schwer, die Sicherheitslücken zu schließen. Und Cyberkriminelle schlafen nicht, sondern nutzen jede Lücke aus. Es muss daher darum gehen, Maßnahmen und Tools strategisch und konsequent einzusetzen. Zeitgemäße Access-Management-Tools können dabei helfen, wenn sie sich intuitiv bedienen lassen und Zugriffsvorgänge automatisiert unterstützen und überwachen, was zur Entlastung der IT-Abteilung beiträgt.
Autor
Dirk Wahlefeldt ist Manager Unimate Tech Services bei der Imprivata GmbH.