2022 war für die IT-Sicherheit ein Jahr voller Herausforderungen. Der Digitalverband Bitkom schätzt den Gesamtschaden in diesem Zeitraum allein für Deutschland auf 202,7 Milliarden Euro. Die Cyberangriffe auf das Stromnetz im Ukrainekrieg haben die Furcht vor einem Blackout auch in Deutschland geschürt. Die deutsche Wirtschaft und Behörden waren verstärkt im Fadenkreuz der Hacker. Der Autozulieferer Continental, die Industrie- und Handelskammern sowie zahlreiche Kreis- und Kommunalverwaltungen waren Opfer von Cyberangriffen.
Die Experten von ESET, einem Anbieter für Sicherheitssoftware, rechnen mit einer weiteren Zunahme der gezielten Angriffe. "Die deutsche Wirtschaft stand 2022 unter Dauerbeschuss durch Hacker. Das wird auch 2023 nicht anders werden und sich sogar noch verstärken", warnt Thorsten Urbanski, IT-Sicherheitsexperte bei ESET.
Kosteneffiziente Cybersecurity-Lösungen
Sudhir Ethiraj, Global Head of Cybersecurity Office bei TÜV Süd, sieht in der Gefahr von Cyberangriffen eines der größten Risiken für Unternehmen. "Durch die Bedrohungslage sowie durch neue Regularien und deren Umsetzung werden Investitionen in Cybersicherheit immer wichtiger. Vor allem kleine und mittlere Unternehmen achten künftig aber stärker auf die Kosteneffizienz von Cybersecurity-Lösungen", so Ethiraj.
Die Nachfrage nach günstigen und effektiven Sicherheitslösungen und Services werde laut TÜV Süd im Jahr 2023 steigen. Denn es machen sich Unsicherheit angesichts der allgemeinen Wirtschaftslage sowie negative Effekte durch Pandemie und den Ukraine-Krieg bemerkbar.
Regulierungen
Nachdem einige Gesetze und Regulierungen zur Cybersecurity national und international auf den Weg gebracht wurden, beginnt nun die Phase der Umsetzung. Unter anderem soll die Sicherheit von vernetzten Geräten sowie von Cloud-Systemen und Netzwerken, die alle smarten Geräte miteinander verbinden, erhöht werden. Weitere Beispiele: Die EU-Richtlinie über die Netz- und Informationssicherheit (NIS) wird ersetzt durch die NIS-2-Richtlinie, unter anderem mit strengeren Überwachungsmaßnahmen und Meldepflichten sowie EU-weit harmonisierter Sanktionen. Der Gesetzesentwurf zum European Cyber Resilience Act (CRA) schreibt EU-weit erstmalig verpflichtende Maßnahmen für die Cybersicherheit internetfähiger Geräte und Produkte vor. Ab August 2024 umfasst die EU-Verordnung zur Radio Equipment Directive (RED) zudem verpflichtend Cybersicherheit für alle Wireless-Geräte wie Mobiltelefone, Tablets oder Smartwatches.
Für alle Regularien gilt: Unternehmen müssen prüfen, ob sie betroffen sind und wie sie entsprechende Änderungen am effizientesten durchführen. Normen und Zertifizierungen durch unabhängige Dritte werden dabei noch wichtiger mit Blick auf die länderübergreifende Umsetzung.
Kritische Infrastruktur stärker im Fokus
Die Anzahl der Phishing-, Malware- und Ransomware-Attacken steigt stetig und dieser Trend wird andauern, so die Analyse von TÜV Süd. Angesichts der zunehmenden Professionalisierung von Cyberkriminellen sowie virtueller Kriegsführung steht der Schutz kritischer Infrastruktur deshalb weiter im Mittelpunkt, vor allem in hochsensiblen Bereichen wie Energieversorgung und Gesundheitswesen. In Deutschland soll ein KRITIS-Dachgesetz kommen, das durch sektorübergreifende Mindestvorgaben das Gesamtsystem widerstandsfähiger macht.
Ransomware und Deepfakes
Ransomware ist eine der größten Cyberbedrohungen für Unternehmen und Privatpersonen. Solche Verschlüsselungstrojaner werden von Kriminellen mittlerweile noch gezielter eingesetzt. ESET Experten sehen derzeit eine Abkehr vom Modell der massenhaften Verbreitung hin zu präzisen Angriffen auf lukrative Ziele und zu "Ransomware-as-a-Service", bei dem Cyberkriminelle eine Erpressersoftware entwickeln und sie für Attacken vermieten.
Auch sogenannte Deepfakes werden immer häufiger eingesetzt. Im Oktober 2022 wurde ein Deepfake von US-Präsident Joe Biden in Umlauf gebracht. Statt der Nationalhymne singt er in diesem Video das Lied Baby Shark. Solche mit Hilfe von künstlicher Intelligenz gefälschten Aufnahmen imitieren Gesichter und Stimmen täuschend echt. Insbesondere bei Fernidentifikationsverfahren (zum Beispiel der Videoidentifikation) sind solche Angriffe erfolgversprechend. Auch bei Spear-Phishing-Attacken können Deepfake-Verfahren eingesetzt werden, um so an finanzielle Mittel oder Daten zu gelangen. Ebenso können diese Methoden für Desinformationskampagnen genutzt werden, um gefälschte Medieninhalte von Schlüsselpersonen zu erstellen und zu verbreiten.
Zielgruppenorientiertes Training
Der menschliche Faktor ist nach wie vor ein neuralgischer Punkt in der Cybersecurity. Neben Technik und Prozessen sind die Mitarbeitenden das dritte relevante Element. Bisher standen vor allem breitangelegte Awareness-Schulungen für die gesamte Belegschaft im Mittelpunkt. Der Trend geht in Zukunft verstärkt zu Trainingsmaßnahmen für konkrete Zielgruppen und deren Bedürfnisse. Dabei geht es auch um die Anforderungen in konkreten Branchen. Auch Fachexperten und die Führungsebene benötigen regelmäßige Weiterbildung zu Cyberbedrohungen und dem richtigen Verhalten.
Digitales Vertrauen durch Standardisierung
Digitales Vertrauen in KI sicherzustellen, ist ein wichtiger Schlüsselfaktor. Normen und Standards werden deshalb relevanter. Auf regulatorischer Seite hat die EU-Kommission im April 2021 den Artificial Intelligence Act vorgelegt. Deshalb müssen nun Diskussionen über KI-Zertifikate und prüfbare Standards geführt werden, um eine möglichst sichere IT-Umgebung aufzubauen. Normierungsorganisationen wie die ISO (Internationale Organisation für Normung) befassen sich damit. Auch die Wirtschaft erarbeitet Vorschläge und Lösungen für mögliche KI-Label. Ein Beispiel ist die Charter of Trust, eine Cybersecurity-Allianz globaler Unternehmen, der auch TÜV Süd angehört.
