DEKRA Cyber SafeGRC ermöglicht es, IT-Sicherheitsstandards in Unternehmen einzuführen und deren Einhaltung zu kontrollieren.

Der neue Service DEKRA Cyber SafeGRC unterstützt Unternehmen und Organisationen bei der Einführung eines Informationssicherheits-Managementsystem (ISMS)

16:9

IT-Sicherheit

Cyber Security für die Qualitätssicherung

Industrie 4.0

Industrie 4.0 für die Qualitätssicherung

Lieferantenmanagement

Produktion

Compliance Management

Recht allgemein / sonst.

Datenbanken

Systemstandards ISO/VDA

Normen / Standards

Risikomanagement

Wirtschaft

Strategie und Organisation

IT-Dienstleister

Softwareentwicklung

DEKRA unterstützt mit neuem Service bei Informationssicherheit

Im Verbundprojekt KISK entsteht ein spezielles Konzept, um einen bewussteren Umgang mit IT- und Digitaltechnologien im Kontext kritischer Infrastrukturen zu erreichen.

In KISK entwickeln die Wissenschaftlerinnen und Wissenschaftler eine Blaupause für die Cyber-Sicherheit in deutschen Krankenhäusern

Seminare, Schulungen, Kongresse

Dienstleistungen

Medizintechnik

Datensicherheit

Fertigungsautomation

Sicherheitstechnik

Universitäten, TU, FH, GH

Trainings machen Krankenhaus-Personal fit gegen Cyberangriffe

Eine Studie des Forschungsprojektes AppSecure.nrw hat bezüglich der Sicherheit dringenden Handlungsbedarf für softwareentwickelnde Unternehmen in Deutschland identifiziert.

Sichere Software-Entwicklung ist Teamarbeit: Im Forschungsprojekt AppSecure.nrw entstanden konkrete Maßnehmen für Entwickler:innen, Product Owner und Führungskräfte.

Web Allgemein

Sicherheit

Web & Mobile Programmierung

Web-Development

So ergreifen Unternehmen in puncto Software Security die Initiative

Der TÜV-Verband bemängelt, dass es trotz steigender Zahl von Cyberangriffen fast keine verbindlichen Vorgaben für Cybersicherheit von Maschinen und Anlagen gibt.

Trotz kontinuierlicher Zunahme von Cyberangriffen auf deutsche Unternehmen gibt es bisher weitestgehend keine verbindlichen gesetzlichen Vorgaben für die Cybersicherheit der meisten Anlagen und Maschinen.

Maschinensicherheit

Maschinen- / Anlagensicherheit

Integrierte Sicherheitskonzepte schützen vor Ausfällen und Angriffen

Durch den Fortschritt der Digitalisierung stellt sich die Frage, ob Informationssicherheit bereits als QM der IT und somit als Qualitätsmerkmal für Unternehmen dienen kann.

Informationssicherheit sollte als Qualitätsmanagement der IT und damit als Qualitätsmerkmal für Unternehmen gesehen werden.

Qualitätssicherung

qz-online.de

Qualitätsmanagement

Informationssicherheit als Qualitätsmanagement der IT

Angesichts des russischen Angriffskriegs gegen die Ukraine hat das Bundesinnenministerium neue Maßnahmen für mehr Cybersicherheit vorgestellt.

Das Bundesinnenministerium strebt eine «Anpassung der Zuständigkeitsverteilung im Bereich der Gefahrenabwehr im Cyberraum» an.

Digitale Transformation

Innovationen und neue Technologie

Kommunikationsanlagen

Digitaltechnik

Elektronik

Kommunikation

Management allgemein

Bundesinnenministerium nimmt neuen Anlauf für mehr Cybersicherheit

Die EU-Kommission legt mit dem Cyber Resilience Act fest, dass Produkte „mit digitalen Elementen“ wie Hard- und Software zukünftig vor durch Hacker ausnutzbaren Schwachstellen geschützt werden müssen.

Die EU-Kommission legt mit dem Cyber Resilience Act, einem Gesetz zur „Cyber-Widerstandsfähigkeit, fest, dass Produkte „mit digitalen Elementen“ wie Hard- und Software zukünftig während des vollen Lebenszyklus vor durch Hacker ausnutzbaren Schwachstellen geschützt werden müssen.

Cyber-Risiken durch smarte Elektrogeräte reduzieren | Prüfverfahren für den Programm-Code | ONEKEY-Lösung ermöglicht automatisierte Firmware-Analyse | ➤ Jetzt informieren!

IoT-Plattformen für die Qualitätssicherung

Recht

Unternehmen und Unternehmer

Smart Home / IoT

Maker

Cyber-Resilienz der EU wird zum Kraftakt für die Industrie

Wie aus dem Lagebericht des BSI hervorgeht, gefährden Cyberkriminielle und staatliche Akteure die Sicherheit der Deutschen im Cyber-Raum so stark wie nie zuvor.

Laut Bundesamt für Sicherheit in der Informationstechnik (BSI) ist die Bedrohung durch Cyberkriminalität so hoch wie noch nie.

Lagebericht des Bundesamts für Sicherheit in der Informationstechnik (BSI) | Sicherheit im Cyber-Raum stark gefährdet | Verzögerung wegen BSI-Chef Arne Schönbohm | ➤ Jetzt informieren!

Computer Hardware

Software

BSI-Lagebericht: Gefährdungslage im Cyber-Raum hoch wie nie

In 2022 bewertet der Bericht des BSI auch die IT-Sicherheitslage im Kontext des russischen Angriffskriegs auf die Ukraine.

Die IT-Sicherheitslage in Deutschland 2022.

Cybersecurity in Deutschland mangelhaft

Ab 2022 müssen Automobilhersteller für die Typzulassung nachweisen, dass sie ihre Fahrzeuge vor Cyberangriffen schützen könnnen und in der Lage sind, Cybersecurity zu managen. Derzeit gibt es mehrere nationale und internationale Aktivitäten zur Standardisierung von Cybersecurity-Managementsystemen und deren Auditierung mit unterschiedlichen Adressanten und Zielsetzungen.

Wie in der Autoindustrie Cybersecurity-Managementsysteme auditiert werden

Schutz vor Cyber-Attacken  im Automobil

Die technischen Möglichkeiten zur Vernetzung sind vorhanden. Sie ermöglichen es jedoch auch Hackern, auf Unternehmensdaten zuzugreifen. Ein umfassendes Risikomanagement schützt.

Digitalisierung

IT-Sicherheit im Zuge von Industrie 4.0

Cyber Security hat in einer digital-vernetzten, mit dem Internet verbundenen Fertigung höchste Priorität. Prinzipiell kann jede Maschine zum Ziel einer Cyber-Attacke werden, wenn sie nicht geschützt ist. In dieser Serie erfahren Sie, worauf Sie achten sollten, um Ihre Produktion zu sichern.

Cyber Security in Industrie 4.0 (Teil 3)

Cyber Security in Industrie 4.0 (Teil 1)

Cyber Security in Industrie 4.0 (Teil 2)

Die Corona-Pandemie hat weltweit die Digitalisierung beschleunigt – aber nicht nur in der legitimen Wirtschaft. Cyberkriminelle haben Hochkonjunktur. Ein besonders profitables Geschäftsmodell der Hacker verursacht immer höhere Schäden.

Rückversicherer Munich Re erwartet weiteren Anstieg

Warum Cybersecurity von Ethical Hacking profitiert

Ethical Hacker oder auch White Hats, können Penetration-Tests durchführen, um die Verwundbarkeit der IT eines Unternehmens auf den Prüfstand zu stellen.

Ethical Hacker oder auch White Hats, können Penetration-Tests durchführen, um die Verwundbarkeit der IT eines Unternehmens auf den Prüfstand zu stellen. Aber viele Organisationen, ob privatwirtschaftlich oder öffentlich, scheuen den Aufwand und die Kosten. Dabei lassen sich nur durch geeignete Pentests so viele Sicherheitslücken wie möglich identifizieren, bevor Cyberkriminelle dort eindringen können.

Michael Niewöhner und Daniel Querzola

Viele Unternehmen haben die Relevanz von Cybersecurity erkannt. Denn grundsätzlich kann heute jedes Unternehmen zum Ziel eines Cyberangriffs werden – etwa durch Ransomware, die im Rahmen eines Erpressungsversuchs Unternehmensdaten verschlüsselt. Gerade diese Form von Cyberangriffen wird in der Regel breit gestreut: Statt ein spezifisches Unternehmen ins Visier zu nehmen, warten die Angreifer einfach ab, in welcher Organisation ihre Phishing-E-Mail zum Erfolg führt.

Um die Cyberresilienz einer Organisation auf ein solides Niveau zu heben, ist Ethical Hacking heute unverzichtbar. Sechs Argumente sprechen für Penetration-Tests:

Externes Pentesting identifiziert Sicherheitslücken

Leider sehen Budgetverantwortliche nicht immer ein, dass ihr IT-Administrationsteam in Sachen Cybersecurity Unterstützung benötigt. Mitunter herrscht im Management die Auffassung, Pentests seien etwas, dass die Administratoren nebenher miterledigen könnten. Aber das können sie nicht und es gibt gute Gründe dafür:

 Die Aufgabe der IT-Administration ist es, für den reibungslosen Betrieb der IT in der Organisation zu sorgen. Hier kennen sich die IT-Fachleute des Unternehmens auch exzellent aus. Die Expertise von Ethical Hackern ist naturgemäß genau entgegengesetzt: Sie decken Wege auf, die es ermöglichen können, die Unternehmens-IT zu zerstören. Zudem sind Cybersicherheit und Ethical Hacking Wissensfelder, die sich extrem schnell wandeln und weiterentwickeln. Pentester können ihren Wissensvorsprung nur sichern, weil sie hochspezialisiert sind und sich täglich mit ihrem Thema beschäftigen.

Während es IT-Administratoren mit der Betriebsebene einer Software zu tun haben, beschäftigen sich Ethical Hacker mit dem Programmcode. Gegebenenfalls wenden Pentester auch Reverse Engineering an, bei dem sie die Programmdateien zur Laufzeit analysieren und ihr Verhalten beobachten. Dazu ist es natürlich nötig, den Binär- respektive Maschinencode des Programms zu verstehen. Administratoren können das in der Regel nicht, da es gar nicht in ihrem Aufgabenbereich liegt.

Ethical Hacker sind so auch in der Lage, undokumentierte Funktionalitäten zu finden, die nicht vorhersehbar waren, aber potenzielle Angriffsvektoren darstellen. Dies können beispielsweise Testmethoden sein, die ein Softwareentwickler zum Debugging genutzt und irrtümlich im Programm hinterlassen hat. IT-Sicherheit ist ein Spezialgebiet, bei dem sehr viel Know-how durch den täglichen Umgang mit Cybersicherheit entsteht. Schließlich muss die Hauptuntersuchung eines Autos auch durch einen spezialisierten Prüfer erfolgen – der Kfz-Mechaniker selbst kann sie nicht durchführen.

 Ein internes „Red Team“ kann Kosten reduzieren

Ist ein Unternehmen groß genug, kann es sich allerdings lohnen, das Ethical Hacking inhouse zu organisieren. Dazu baut das Unternehmen ein eigenes, dediziertes Red Team für mehr oder minder kontinuierliche Pentests auf. Den Angreifern im Red Team steht dann oft ein dediziertes Blue Team mit den Verteidigern gegenüber. Für das eigene Red Team muss ein Unternehmen in der Regel mindestens zwei bis drei Pentester in Vollzeit engagieren – je nach Unternehmensgröße auch mehr.

Ein internes Red Team ist in großen Unternehmen auf Dauer die wohl kostengünstigere Lösung in Sachen Ethical Hacking. Sie hat aber den Nachteil, dass dem eigenen Red Team über kurz oder lang eine gewisse Betriebsblindheit droht. Der Vorzug externer Ethical Hacker ist meist, dass sie beim Pentesting einen frischen Blick mitbringen – in Gestalt wertvoller Erfahrung aus zahlreichen anderen Unternehmen und Organisationen mit entsprechend vielfältigen IT-Strukturen.

 Die unverzichtbaren Pentests müssen enttabuisiert werden

In manchen Unternehmen gibt es immer noch eine Tendenz, Ethical Hacking zu tabuisieren. Konsequentes Pentesting scheitert dann bereits an der Sorge, die Tatsache, dass das Unternehmen überhaupt solche Tests durchführen lässt, könne an die Öffentlichkeit gelangen – und dem Image schaden. Dabei hilft es einem Unternehmen in keiner Weise, das Thema Cybersicherheit mit Tabus zu umstellen.

Im Gegenteil: IT-Sicherheit ist im Zeitalter der allgemeinen Digitalisierung eine Herausforderung, der sich sämtliche Unternehmen stellen müssen, vom mittelständischen Maschinenbauer bis zum IT-Giganten wie Google. Als Unternehmen zu zeigen, dass man das Thema IT-Sicherheit angemessen adressiert, hilft dem Image weit mehr, als dass es schaden könnte. Durch Ethical Hacking demonstriert eine Organisation ihren Willen, ihre Cyberresilienz zu stärken.

Auch ISO 27001 und Tisax fordern Penetration-Tests

Generell wächst das Verständnis für Penetration-Tests. So fordert auch die Norm ISO 27001, die ein Informationssicherheits-Managementsystem (ISMS) beschreibt, sowohl anlassbezogene Sicherheitsüberprüfungen bei Veränderungen in der eigenen IT als auch turnusmäßige Prüfungen. Entsprechend sind für eine Zertifizierung gemäß ISO 27001 in jedem Fall regelmäßige Pentests nötig.

Im Automotive-Bereich findet die ISO 27001 ihr Pendant im „Trusted Information Security Assessment Exchange“ (Tisax). Tisax ist ein branchenspezifischer ISMS-Standard des Verbands der Automobilindustrie (VDA). Auch eine Tisax-Zertifizierung erfordert Penetration-Tests. Unternehmen sollten Pentests deshalb als so selbstverständlich ansehen, wie eine obligatorische Tüv-Prüfung des Autos.

Richtig ausgelegte Pentests wirken mit Sicherheit

Die Entscheidung für eine Sicherheitsüberprüfung mithilfe von Ethical Hacking setzt in jedem Fall ein positives Zeichen. Allerdings will die Ausgestaltung des Tests wohlüberlegt sein. Bei der Auswahl geeigneter Pentester empfiehlt es sich, nicht nur auf deren Zertifizierungen zu achten, sondern besonderen Wert auf ihre Praxiserfahrung zu legen. Wichtig ist zudem, den Scope des Tests nicht künstlich zu beschränken – etwa indem Legacy-Systeme ausgeklammert werden. Schließlich käme kein Angreifer auf die Idee, noch in Betrieb befindliche Legacy-Systeme als potenzielle Angriffsvektoren auszuschließen, im Gegenteil.

Zudem ist bei Pentests zwischen Whitebox- und Blackbox-Ansätzen zu wählen. Bei ersterem stehen den Ethical Hackern bereits Informationen, Daten oder Quellcodes zur Verfügung. Solch ein Whitebox-Test empfiehlt sich etwa, wenn man gezielt ermitteln möchte, wie es um die Sicherheit einer völlig neuen Anwendung bestellt ist. Dagegen kann ein Blackbox-Ansatz beispielsweise in unabhängigen Folgeprüfungen ratsam sein, wenn der Scope bereits gründlich im Whitebox-Verfahren geprüft wurde und die Organisation schon entsprechende Sicherheitsmaßnahmen getroffen hat. Zwischen diesen beiden Extremen sind selbstverständlich unterschiedlichste Abstufungen möglich.

Fazit: Ethical Hacking ist aus dem Werkzeugkasten für die Cybersecurity von Unternehmen nicht mehr wegzudenken. Dabei dokumentieren Pentests das Engagement einer Organisation in Sachen Cyberresilienz nicht nur gegenüber Zertifizierungseinrichtungen, sondern auch gegenüber der Öffentlichkeit und interessierten Stakeholdern. Es ist höchste Zeit, dass Unternehmen endgültig mit dem Tabu rund um Penetration-Tests brechen und ihr Engagement für Cyberresilienz offensiv kommunizieren. Denn ein gut geplanter und durchgeführter Pentest bringt Sicherheit.

Ventum Consulting GmbH & Co. KG  

https://www.ventum-consulting.com

<ul><li>QZ-Herausgeber Prof. Herbert Schnauber über seinen Weg zu QM</li><li>Neuer VDA RGA: Reifegradabsicherung von Neuteilen</li><li>SPECIAL: Trendreport QS in der Elektronikfertigung</li></ul>

Ausgabenartikel

Ethikcal Hacking

Ethical Hacking | White Hats | Pentests für Cybersecurity

Michael Niewöhner ist seit 2021 Manager für IT Security & Penetration Testing bei Ventum Consulting und Offensive Certified Security Professional. Zu seinem Kompetenzportfolio im Bereich Cybersecurity gehören unter anderem Reverse Engineering, Web Application Penetration Testing, Linux Audits und Hardening, Embedded Penetration Testing sowie Security by Design.

Daniel Querzola ist Manager IT Security & Penetration Testing bei Ventum Consulting. Zu seiner Kernexpertise gehört es, Audits im Kontext komplexer Unternehmensarchitekturen durchzuführen. Neben Netzwerk- und Software-Pentests liegt ein besonderer Fokus auf Windows-Domänen.

<a href="mailto:michael.niewoehner@ventum.de">michael.niewoehner@ventum.de</a>

<a href="mailto:daniel.querzola@ventum.de">daniel.querzola@ventum.de</a>