Leseprobe
Inhaltsverzeichnis
Tabellenverzeichnis
Abbildungsverzeichnis
Abkürzungsverzeichnis
1 Einleitung
1.1 Zielsetzung
1.2 Thematische Abgrenzung
1.3 Aufbau und Struktur
2 Status Quo der IT-Sicherheit
2.1 Unternehmen im Fokus von Cyberkrimminellen
2.2 Bedrohungen durch alte Technologien
2.3 Bedrohungen durch neue Technologien
3 IT-Sicherheitsmarkt
3.1 Marktübersicht
3.2 Markttreiber
3.2.1 Wirtschaft-/Privatsektor
3.2.2 Öffentlicher Sektor
3.3 Zusammenfassung
4 Fazit und Ausblick
Literaturverzeichnis
Tabellenverzeichnis
3.1 Auszug von aufsteigenden Anbietern für spezialisierte und Ni- schenlösungen für IT-Sicherheit
Abbildungsverzeichnis
2.1 Evolution von Cyber-Bedrohungen seit Anfang der 1990er
2.2 Anzahl Cyberattacken auf Unternehmen
3.1 Ausgaben für IT-Sicherheit bis 2019/2020
3.2 Durchschnittliche Budgets für IT-Sicherheit in Unternehmen
3.3 Gartners Hype Cycle for Emerging Technologies
Abkürzungsverzeichnis
Abbildung in dieser Leseprobe nicht enthalten
1 Einleitung
Die Digitalisierung der Gesellschaft schreitet weiter voran und hält in immer mehr Arbeits- und Lebensbereichen Einzug. Allein zwischen 2007 und 2013 hat sich die Zahl der Internetnutzer weltweit mehr als verdoppelt.1
In jüngster Zeit reißen jedoch vor allem die Negativschlagzeilen um Datenspio- nage, fehlende Datensicherheit und gravierende Sicherheitslücken nicht ab: Die USA und Großbritannien spionieren mit ihren Überwachungssystemen Prism2 und Tempora3 unzählige von Nutzerdaten und Verbindungen. Als „NSA-Affäre“ bekanntgeworden, schafft es das Themain die Themen-Top-3 der deutschen TV-Nachrichten.4 Bei Cyberattacken auf Software- und Internetkonzerne wie eBay oder Adobe werden millionenfach Zugangsdaten gestohlen5 und schwerwiegende Sicherheitslücken wie HeartBleed, ShellShock und Poodle machen hunderttausende Webserver verwundbar.6
IT-Sicherheit rückt für Unternehmen immer stärker in den Fokus und ist zu- nehmend nicht mehr nur ein Thema für IT-Professionals, sondern vielmehr des Managements.7 Im Zuge eines stetig wachsenden Marktes8 für vernetzte Systeme in Unternehmen, getrieben durch neue Technologien wie M2M-Kommunikation oder Bring-Your-Own-Device (BYOD), wächst auch der Bedarf an IT-Sicherheit, um geistiges Eigentum und Betriebsinterna vor Daten- und Wirtschaftsspiona- ge zu schützen. Im Privatsektor sind Technologien wie das vernetzte Zuhause („SmartHome“) und Cloud-Dienste auf dem Vormarsch, sodass bei den Bürgern das Bedürfnis nach Mechanismen zum Schutz der eigenen Privatsphäre wächst.
1.1 Zielsetzung
Die vorliegende Praxisarbeit soll - unter Berücksichtigung der gegenwärtigen Situation innerhalb und außerhalb Europas - eine Übersicht aktueller Bedro- hungen für IT-Systeme geben. Ferner sollen der IT-Sicherheitsmarkt und seine Markttreiber charakterisiert werden. Insgesamt wird der Fokus dabei stärker auf Unternehmenssicht, als auf den Privatsektor gelegt.
1.2 Thematische Abgrenzung
Der Bereich „IT-Sicherheit“ zählt gerade in jüngster Zeit sicherlich mit zu den interessantesten Themen der Informationstechnologie. Er umfasst Strategien und Maßnahmen, um zum einen die Verfügbarkeit von IT-Systemen zu gewährleisten und zum anderen, um das eigene Netzwerk vor unbefugten Zugriffen und Datendiebstahl zu schützen.9 Da es sich somit um ein sehr breitgefächertes Thema handelt, kann aufgrund der Vorgaben nur ein limitierter Einblick gegeben werden. Eine Unterteilung des Marktes wird nicht durchgeführt, sodass bspw. keine dedizierte Betrachtung des Marktes für physische Sicherheit (u. a. zur Prävention von Schäden durch höhere Gewalt) erfolgt. Der primäre Fokus wird mehr in Richtung Cyber-Sicherheit, d. h. IT-Sicherheit im Zusammenhang mit Internet und vernetzen Systemen gelegt.
In der vorliegenden Praxisarbeit wurde versucht, die weltweite Situation zu beleuchten, wobei sich dies aufgrund der zur Verfügung stehenden Quellen in den meisten Fällen auf Europa (Deutschland eingeschlossen) und die USA beschränkt. Umfangreiches Quellenmaterial für z. B. den asiatischen Markt stand zum Zeitpunkt des Verfassens nicht oder nicht ausreichend zur Verfügung.
1.3 Aufbau und Struktur
Insgesamt gliedert sich die Arbeit in vier Kapitel, deren Rahmen durch Kapitel 1 (Einleitung) und Kapitel 4 (Fazit und Ausblick) gebildet wird.
Kapitel 2 (Status Quo der IT-Sicherheit) beleuchtet gegenwärtige Bedrohungen sowie die aktuelle Situation der IT-Sicherheit und bereitet auf den Hauptteil vor. Dieser ist in Kapitel 3 und behandelt das Kernthema „Internationaler IT- Sicherheitsmarkt“ der vorliegenden Arbeit. Es erfolgt eine Übersicht des Marktes (Abschnitt 3.1), sowie dessen Markttreibern (Abschnitt 3.2).
2 Status Quo der IT-Sicherheit
2.1 Unternehmen im Fokus von Cyberkrimminellen
Vor allem für Unternehmen hat die Art Bedrohung ihrer IT-Systeme in den letz- ten Jahren einen Wandel durchlaufen: In den letzten drei Dekaden dominierten primär Computerviren und -würmer sowie Phishing-Mails, die durch willkürliche Verbreitung Schäden in IT-Landschaften anrichteten.10 Mittlerweile gibt es verstärkt gezielte und systematische Angriffe auf große Unternehmen,11 da sie typischerweise handelsstrategische Dokumente, Informationen über künftige Produktdesigns oder Kundendaten besitzen.12
Abbildung in dieser Leseprobe nicht enthalten
Abb. 2.1: Evolution von Cyber-Bedrohungen seit Anfang der 1990er Quelle: MarketsandMarkets (2013)
Aber auch Kleine- und Mittelständische Unternehmen (KMUs) stehen im Fokus der Cyberkriminellen, wenngleich sie auf den ersten Blick als „nicht relevante Ziele“ eingestuft würden.13 Bei den so genannten „Hidden Champions“ aus Branchen wie Maschinenbau, Elektrotechnik und Fahrzeugtechnik verzeichneten bspw. 30% der deutschen Unternehmen mit mehr als 20 Mitarbeitern Cyberan- griffe in den letzten zwei Jahren. Hierbei kristallisierte sich heraus, dass mehr als die Hälfte (58%) der Angriffe von Innen, d.h. durch eigene oder externe Mitar- beiter, erfolgte.14 Dass kleinere Unternehmen attackiert werden, liegt aber auch an dem Versuch der Cyberkriminellen, bei Großunternehmen „einen Fuß in die Tür“ zu bekommen. Oftmals sind die kleineren Unternehmen als Zulieferer mit dem Netzwerk der Großunternehmen verbunden, sodass Cyberkriminelle über die vermeintlich schwächer geschützten Netzwerke an einen Zugriff gelangen können.15
In der Gesamtbetrachtung stieg die Zahl der Angriffe zwischen 2013 und 2014 um 48% auf insgesamt 42,8 Millionen an, was mehr als 117.000 Angriffen täglich ent- spricht. Vor allem in Europa wurde ein signifikanter Anstieg verzeichnet, wobei die Dunkelziffer nicht entdeckter Angriffe insgesamt noch weitaus höher liegen dürfte. Resultierend entstand global betrachtet ein durchschnittlicher finanzieller Schaden in Höhe von 2,16 Millionen Euro.16 McAfee beziffert den verursachten Schaden mit 320 Milliarden Euro per anno.17
Abbildung in dieser Leseprobe nicht enthalten
Abb. 2.2: Anzahl Cyberattacken auf Unternehmen (in Mio.) Quelle: Eigene Darstellung
„Advanced Persistent Threats“ sind laut aktuellen Sicherheits-Jahresberichten von Sophos und Cisco stark auf dem Vormarsch.18 APTs stellen unter Einsatz verschiedener Techniken systematische Angriffe auf Regierungseinrichtungen, Unternehmen und Personen dar, bei welchen die Angreifer langfristig Zugang zum Zielnetzwerk erhalten wollen. Dieses wird durch speziell auf die Opfer zugeschnittene Angriffsmethoden erreicht.19 Stuxnet, ein Schädling der gezielt Industrieanlagen mit Siemens S7-Steuerungen infizierte, oder dessen Nachfolger Duqu waren prominente Beispiele großangelegter und geplanter Attacken.20 Hervorzuheben ist hierbei, dass Stuxnet ursprünglich durch die Regierungen Is- raels und der USA in Auftrag gegeben wurde, um u. a. iranische Atomkraftwerke lahmzulegen.21
Neuester Trend ist zudem der Einsatz von „Watering Hole“-Attacken. Bei diesen suchen Angreifer gezielt nach potentiellen Opfern, z.B. über soziale Netzwer- ke. Die Angreifer versuchen dabei an Informationen über die Interessen (wie bspw. favorisierte Webseiten) ihrer Opfer zu gelangen. Danach erfolgen Angrif- fe auf diese vermeintlich seriösen Webseiten, z.B. per Cross-Site-Scripting, um dann mittels platzierter Malware auf den Rechner des Opfer zu gelangen.22 Eine weitere populäre Methode ist das „Spear-Phishing“, bei welchem personalisierte Phishing-Mails an die Opfer versendet werden. Unter dem Deckmantel einer gefälschten Identität verschicken Angreifer E-Mails als Absender der Lieblingswebseite und versuchen so die Anwender auf gefälschte Webseiten zu locken.23 Sophos stellte ferner fest, dass bspw. die Anzahl der Angriffe auf Bankkonten nicht erheblich zugenommen hat, dafür die Intensität der Angriffe, welche insgesamt als „hartnäckiger“ beschrieben werden.24
2.2 Bedrohungen durch alte Technologien
Nicht nur neue, auch alte Technologien wie das Betriebssystem Windows XP stellen Unternehmen vor Herausforderungen zum Schutz ihrer IT-Landschaften. Trotz dem endgültigen Supportende des 13 Jahre alten Betriebssystems im April 2014, liegt der weltweite Marktanteil (wenn auch rückläufig) bei noch im- mer fast 20% (Oktober 2014: 17,18%).25 Problematisch ist, dass u. a. verschiedene Kassensysteme (PoS-Systeme) oder medizinische Geräte, deren Betriebssyste- me auf Windows XP basieren, sich nur schwer patchen oder ersetzen lassen. Somit entstehen hohen Risiken z.B. bei Transaktionen mit Kreditkarten. Die Kreditkartengesellschaft VISA alarmierte im Dezember 2012 Händler vor der Malware Dexter, welche Kassensysteme befällt, Magnetstreifendaten stiehlt und an einen zentralen Server schickt.26 Die amerikanische Lebens- und Arzeimittel- Überwachungsbehörde warnte im Juni 2013 vor Malware, die medizinische Geräte infizierte und funktionsuntüchtig machte. Teilweise konnte die Malware auf Patientendaten, Überwachungssysteme oder implantierte Geräte zugreifen.27
2.3 Bedrohungen durch neue Technologien
Aktuelle Trendthemen wie Cloud-Dienste, die auch im privaten Sektor eine immer stärkere Rolle spielen, oder BYOD rücken verstärkt in den Fokus der Unterneh- men. Malware-Bedrohungen auf mobilen Endgeräten machten 2013 laut einer Cisco-Studie nur 1,3% aller Malware-Bedrohungen aus, dennoch werden sie in Zukunft eine größere Gefahr darstellen.28 Dies liegt vor allem an noch immer mangelndem Sicherheitsbewusstsein der Anwender, z.B. durch Herunterladen unbekannter und ggf. schädlicher Apps.29 Gerade auf mobilen Endgeräten mit Android-Betriebssystem hat die Anzahl der Malware-Apps zugenommen. Bereits 2010 konnten die SophosLabs über 300 Malware-Familien identifizieren, dar- unter z.B. der Trojaner Ginmaster, der gut getarnt allein zwischen Februar und April 2013 über 4.700 Android-Smartphones infizierte.30 Begrenzte IT-Budgets be- günstigten unsichere BYOD-Infrastrukturen ebenfalls, wodurch die Absicherung oftmals nicht ausreichend ist.
Cloud-Dienste werden weiterhin sowohl für Unternehmen als auch für private Anwender immer populärer, wenngleich der Aufwärtstrend mit der „NSA-Affäre“ gerade in Deutschland einen Dämpfer bekommen hat. In vielen Unternehmen ist noch immer die Angst vor Angriffen oder der Diebstahl von sensiblen Unter- nehmensdaten verbreitet.31 Einer Studie der ITIF zufolge könnten amerikanische Anbietern durch die Affäre in den nächsten drei Jahren zwischen 17-28 Mil- lionen Euro verloren gehen.32 Nachrichten über Angriffe und Diebstähle bei Plattformen wie Dropbox oder Apples iCloud sorgen für zusätzliche Skepsis.
Auch wenn die Unternehmen die Schuld (teilweise begründet) von sich weisen und Datendiebstähle oft am Nutzerverhalten33 - zu schwache Passwörter zu wählen - oder unsicherer Drittanbieter-Diensten34 begründet liegt, schwingt ein gewissen Misstrauen in die Technologien selbst mit.
[...]
1 Vgl. InternetLiveStats.com (2014)
2 Vgl. Gellman, Barton und Poitras, Laura (2013)
3 Vgl. MacAskill, Ewen et al. (2013)
4 Vgl. Krüger, Udo Michael (2014), S. 80
5 Vgl. Heise Security (2013), (2014)
6 Vgl. Mutton, Paul (2014); Gayer, Ofer (2014); Böck, Hanno (2014)
7 Vgl. PricewaterhouseCoopers (2014), S. 1
8 Vgl. Dr. Pols, Axel (2013)
9 Vgl. Laudon, Kenneth C., Laudon, Jane P. und Schoder, Detlef (2010), S. 1015
10 Vgl. Viruslist.com (2008)
11 Vgl. Kaspersky Lab (2013); Symantec (2014), S. 18
12 Vgl. PricewaterhouseCoopers (2014), S. 7
13 Vgl. Sophos GmbH (2014), S. 18
14 Vgl. Bundeskriminalamt (2014), S. 3
15 Vgl. PricewaterhouseCoopers (2014), S. 7
16 Vgl. ebd., S. 8 ff.
17 Vgl. McAfee (2014), S. 2
18 Vgl. Sophos GmbH (2014), S. 1; Cisco Systems, Inc. (2014), S. 41 f.
19 Vgl. BSI (2013), S. 5
20 Vgl. Heise Security (2010), (2011)
21 Vgl. Sanger, David E. (2012)
22 Vgl. Grimes, Roger A. (2013)
23 Vgl. Kaspersky Lab (2014)
24 Vgl. Sophos GmbH (2014), S. 18
25 Vgl. NetMarketShare (2014)
26 Vgl. VISA Inc. (2012)
27 Vgl. Food and Drug Administration (2013)
28 Vgl. Cisco Systems, Inc. (2014), S. 34 f.
29 Vgl. Bitkom (2012)
30 Vgl. Sophos GmbH (2014), S. 7
31 Vgl. Bitkom (2014), S. 1 f.
32 Vgl. Castro, Daniel (2013), S. 1
33 Vgl. Heise (2014)
34 Vgl. Dropbox Blog (2014)