03.02.2021

Supply Chain Attack – Wie das Security by Design Prinzip Ihre Infrastruktur schützt

Die archaischste Jagdtaktik der Welt ist heute aktueller denn je: Warum Supply Chain Attacken so gefährlich sind und wie Sie sich schützen können. 

Es ist eine archaische Jagtaktik, die sich die frühen Hominiden von den großen Carnivoren abgeschaut haben, deren Beute sie zunächst vor allem selbst waren. Das war bevor sich der Mensch zum Herrscher des Planeten aufgeschwungen und weit bevor er seine Umwelt in Bits und Bytes, in Nullen und Einsen zerlegt hat. Seit damals, seit Menschen ihre Clans in den ur-afrikanischen Savannen vor den Angriffen großer Fleischfresser beschützen mussten, sind die Zeiten für die allermeisten von uns sicherer geworden. Weder müssen wir uns vor Säbelzahntigern schützen, noch riskieren wir unsere Gesundheit bei der Jagd auf Wollmammuts. Aber die Jäger sind immer noch da draußen. Sie lauern im Verborgenen auf Beute. Und noch immer nutzen sie diese älteste Jagtaktik der Welt. Denn wenn sie kommen, attackieren sie immer das schwächste Mitglied Ihrer Horde. 

Diese Jäger tragen keine Felle mehr und jagen nicht mehr mit Speeren oder Steinschleudern. Sie sind – ob aus krimineller Habgier oder politisch motiviert und mit staatlicher Unterstützung – auf der Jagd nach Ihrem Unternehmenseigentum, Ihren Daten, Ihrem Kapital. Mit Scripts und Applikationen. Im Grunde haben Sie deshalb noch immer die Aufgabe des urzeitlichen Clanführers: Sie haben die Verantwortung für den Schutz Ihres Unternehmens, für das, was Ihnen anvertraut wurde. 

Die Welt ist allerdings komplizierter geworden. Denn das abgeschottete Unternehmen, das quasi in einer Blase für sich selbst existiert, gibt es nicht mehr. Ihre Unternehmung ist eingebunden in ein Ökosystem aus Zulieferern, Partnern, externen Dienstleistern und anderen Einheiten. Dieses Ökosystem ist es, was in der Cyber Security als Supply Chain bezeichnet wird. Die Glieder dieser Kette sind die mit Ihnen verbundenen Einheiten, Ihre Zulieferer und Sub-Unternehmer. 

Das bedeutet gleichzeitig, dass Sie als Verantwortlicher für die Sicherheit Ihres Unternehmens, immer auch die Sicherheit der mit Ihnen verbundenen Einheiten im Auge behalten müssen. Auf der anderen Seite tragen Sie als Dienstleister eines übergeordneten Unternehmens nicht nur die Verantwortung für Ihr eigenes Unternehmen, sondern müssen Ihre Maßnahmen und Ihre Technik so wählen, dass Sie auch die Sicherheit für das übergeordnete Unternehmen gewähren können. 

Insbesondere in der aktuellen pandemischen Lage ist es nahezu unmöglich, ein solches Ökosystem geschlossen zu halten. Remote Work ist zu einem Gebot der Sicherheit Ihrer Mitarbeiter geworden. Kommunikation wird damit mehr und mehr Grundlage jedes unternehmerischen Handelns. Intern und extern. Leider ist es so, dass die meisten der heute verwendeten Kommunikationstools darauf angewiesen sind, dass Sie die eigene Firewall ein Stück weit öffnen müssen, wenn Rechner des eigenen Netzwerks mit externen Rechnern kommunizieren. Und das macht Sie angreifbar. Denn Sie sind darauf angewiesen, dass Ihr Partner ebenso wie sie alles tut, um Sicherheitslücken zu vermeiden.

Ein Beispiel: Können Sie garantieren, dass das WLAN, das die Mitarbeiter Ihres Zulieferers im Home-Office nutzen – und deren Kinder im Homeschooling – so gesichert ist, dass es nicht als Einfallstor für Schadsoftware in Ihr Unternehmen dienen kann und damit womöglich auch als Einfallstor in Ihr Unternehmen? Und könnten sie das auch über das WLAN sagen, das der Kollege in Venezuela nutzt? Denn genau das ist eine Supply Chain Attacke. Ein Angriff auf das schwächste Glied der Kette. 

Opfer der jüngst aufgedeckten Supply Chain Attacke, die auch als Solarwinds Hack bekannt wurde, sind unter anderem Regierungsbehörden und Unternehmen aus den Bereichen Beratung, Technologie, Telekommunikation und Rohstoffförderung in Nordamerika, Europa, Asien und dem Nahen Osten. Es ist davon auszugehen, dass es weitere Opfer in anderen Ländern und Branchen gibt.

Security by Design und Supply Chain Attacken

Es gibt natürlich Wege und Möglichkeiten eine Supply Chain Attacke unmöglich zu machen. Aber wenn selbst die mächtige und gefürchtete US-amerikanische NSA Opfer der Initiatoren des Solarwinds Hacks werden konnte zeigt das nur zu deutlich, wie schwer es ist, ein komplette Supply Chain auf herkömmlichen Wegen zu kontrollieren. 

Halten Sie dazu die Supply Chain so klein wie möglich. Dies ist bei multinationalen und hochgradig vernetzten Unternehmen zwar ein guter aber umso schwerer umzusetzender Ratschlag. Halten Sie das Sicherheitslevel immer so hoch wie möglich, öffnen Sie für externe Kommunikation beispielsweise nur überwachte Ports. Auch dieser Rat ist schnell gegeben. Aber bei großen Netzwerken sehr schwer umzusetzen. Und er ist mit extrem hohem Aufwand und damit Kosten verbunden. Verwenden Sie deswegen idealerweise nur Tools, die nach dem Prinzip Security by Design entwickelt wurden und verpflichten Sie auch Ihr Netzwerk darauf, nur Kommunikationstools zu verwenden, die diesem Architektur-Prinzip entsprechen. 

Security by Design ist die Antwort

Security by Design bedeutet, dass Tools und Programme von Anfang an so angelegt wurden, dass sie kein Einfallstor für Malware bieten können. Ihre Architektur macht dies unmöglich, so wie bei unserer Remote Collaboration Lösung POINTR. Warum POINTR sicher ist erfahren Sie beispielsweise hier. Menschliche Fehler bei der Konfiguration von Firewalls und dem Öffnen von Ports in großen, vielfältigen, verteilten Netzwerken, die die gesamte Lieferkette umfassen, verursachen große Sicherheitslücken. Mit POINTR müssen überhaupt keine eingehenden Ports geöffnet werden, so dass solche menschlichen Fehler mit dem Prinzip der Security by Design ausgeschlossen sind. 

Die Verwendung von POINTR hat für Sie als Clanführer einen weiteren großen Vorteil im Hinblick auf Ihr Ökosystem. Das Lizenzmodell von POINTR ermöglicht nämlich den Einsatz im gesamten Business-Netzwerk, ohne das Ihren Partnern dadurch Kosten entstehen. Somit schließen Sie effektiv ein weiteres Einfallstor, egal, ob Ihr Netzwerkpartner für die Kommunikation mit seinen weiteren Partnern aus Bequemlichkeit, Unwissenheit oder den Umständen geschuldet Unsicherheitsfaktoren WhatsApp oder WeChat nutzt! Mehr Infos bekommen Sie hier. Denken Sie daran, die Jäger sind immer noch da draußen.