Mit der COVID-19-Pandemie hat sich der Begriff „neue Normalität“ in unseren Sprachgebrauch eingeschlichen. Damit werden die neuen oder veränderten Lebensweisen beschrieben, die durch die Pandemie entstanden sind. Das gilt für das private Umfeld ebenso wie für die Arbeitswelt.
Das Corona-Virus und seine Auswirkungen haben viele unserer eingespielten Abläufe und Verhaltensweisen auf den Kopf gestellt. Was gestern noch Utopie zu sein schien, ist heute Teil der „neuen Normalität“. Die virtuelle Realität hat uns alle eingeholt – egal aus welcher Perspektive man es auch immer betrachtet.

Im sozialen Kontext sind die Auswirkungen der „neuen Normalität“ besonders gravierend. Die Familienfeier wurde und wird zum virtuellen Kaffeeklatsch. Der Kneipenbesuch mit Freunden fand per Zoom-Konferenz statt. Der Besuch im Fitnessstudio wurde durch Online-Kurse ausgetauscht. Das Tragen von Masken ist in vielen Bereichen, in denen viele Menschen aufeinandertreffen, eine weitere Begleiterscheinung der „neuen Normalität“ und mittlerweile weitgehend akzeptiert.

Veränderte Geschäftswelt in Zeiten der Pandemie

Im geschäftlichen Umfeld haben sich durch die „neue Normalität“ ebenfalls Veränderungen ergeben. Geschäftsreisen wurden auf Eis gelegt, stattdessen erlebten Videokonferenzen einen Boom. Die bedeutendste Veränderung zeigte sich aber in der Art und Weise, wie und wo wir tagtäglich arbeiten. Das Homeoffice mit dem Fernzugriff auf die Ressourcen des Unternehmensnetzes trat einen ungeahnten Siegeszug an, der immer noch anhält. Diese Folgeerscheinung der „neuen Normalität“ wird in vielen Unternehmen wohl auch Bestand haben, wenn die Einschränkungen der Pandemie aufgehoben werden.

Die Umstellung der Arbeitswelt auf Homeoffice gilt zwar schon länger als interessante Alternative, aufgrund der Pandemie war der notwendige Wechsel allerdings vielfach aus der Not heraus geboren. Den meisten Unternehmen blieb wenig Zeit für die Planung, da sie gezwungen waren, sich schnell und in großem Umfang den neuen Umständen anzupassen. Angesichts von Büroschließungen und Ausgangssperren sollte schließlich weiterhin effektiv gearbeitet werden, ohne die Mitarbeiter zu gefährden.

Infolgedessen ist die Technologie einmal mehr zum Herzstück zahlreicher Unternehmen geworden. Strategien zur Einführung digitaler Technologien und zur Transformation liefen und laufen immer noch auf Hochtouren. Laut einem Bericht [1] der Europäischen Kommission sind fast 40 Prozent der Arbeitnehmer in der Europäischen Union (EU) infolge der Pandemie auf die Arbeit aus dem Homeoffice umgestiegen. Vor dem Ausbruch von COVID-19 hatten 85 Prozent der Befragten ihre Arbeit noch nie vom heimischen Schreibtisch aus erledigt.

Corona sorgt für Tempo bei der digitalen Transformation

Eine weltweite Umfrage [2] von McKinsey unter Führungskräften hat ergeben, dass Unternehmen durch die Pandemie die Digitalisierung ihrer Kunden- und Lieferketteninteraktionen sowie ihrer internen Abläufe um drei bis vier Jahre schneller umsetzten als ursprünglich geplant. Der Anteil digitaler oder digital unterstützter Produkte in den Unternehmensportfolios ist heute so hoch, wie er es unter normalen Umständen erst in sieben Jahren gewesen wäre.

Ein entscheidender Faktor für diese raschen Veränderungen war nicht zuletzt die Cloud. Sie bietet eine deutlich bessere Möglichkeit aus der Ferne zu operieren und mit Kunden zu interagieren als die klassischen IT-Infrastrukturen. Analog zur Cloud-Migration ergaben sich jedoch auch eine Reihe neuer Herausforderungen und Risiken.

IT-Experten behaupten, die Cloud-Migration sei so stressig wie ein Umzug. Obwohl man sich so gut wie möglich auf jede große Veränderung vorbereiten kann, gibt es immer wieder unvorhergesehene Herausforderungen. Das gilt auch, wenn die Hauptarbeit getan ist und man bereit für den Alltag ist – genau wie nach einem Umzug. Die Notwendigkeit, auf die Regelungen rund um die Pandemie zu reagieren, mag das Tempo der digitalen Transformation im Jahr 2020 diktiert haben. Aber die Verlagerung weiterer On-Premise-Legacy-Systeme in die Cloud wird darüber hinaus auch in den nächsten Jahren Priorität haben.

Da viele Unternehmen ihre Umstellungen unter Zeitdruck vornahmen, wird es für die meisten von ihnen jetzt höchste Zeit, die verbleibenden Aufgaben in Angriff zu nehmen. Es gilt, die Herausforderungen, Sicherheitsrisiken und bewährten Verfahren zu berücksichtigen, um sicherzustellen, dass ein Cloud-basiertes Betriebsmodell so erfolgreich und nachhaltig wie möglich sein kann.

Ist die Cloud ein zweischneidiges Schwert?

Die Cloud hat immense Chancen eröffnet, aber auch erhebliche Risiken mit sich gebracht. Durch die Fernarbeit beispielsweise vergrößerte sich der digitale Fußabdruck von Unternehmen deutlich. Immer mehr Geräte und Anwendungen mussten in die vorhandenen Ökosysteme integriert werde. Das zog gleichzeitig leider auch die Aufmerksamkeit von Cyberkriminellen an. So meldete das FBI seit Beginn der Pandemie einen Anstieg von cyberkriminellen Aktionen um 300 Prozent. Diese Entwicklung ist nicht zuletzt auf die immer größer werdenden digitalen Fußabdrücke zurückzuführen, die Angreifern deutlich mehr Angriffsflächen bieten.

Genau wie die Unternehmen haben sich Cyberkriminelle den aktuellen Umständen angepasst. Ihre Methoden wurden raffinierter und sie habe ihre Taktiken auf das aktuelle Umfeld ausgerichtet. Allein im April 2020 blockierte Google nach eigenen Angaben täglich rund 18 Millionen Malware- und Phishing-E-Mails. Sie standen nachweislich im Zusammenhang mit dem Coronavirus, was zeigt, wie einfallsreich Cyberkriminelle sich aktuelle Umstände zunutze machen.

IBM errechnete, dass die durchschnittlichen Kosten einer Datenschutzverletzung durch Fernarbeit um 137.000 US-Dollar gestiegen sind. Laut Fintech News [3] ist die Zahl der Cloud-basierten Cyberangriffe zwischen Januar und April 2020 um 630 Prozent gestiegen. Diese Statistiken sprechen für sich.

Die Bekämpfung der Cyberkriminalität ist daher eine der vordringlichsten Herausforderungen der Cloud-Migration. Eine weitere, oft unterschätzte Gefahrenquelle, sind allerdings auch Bedrohungen durch Insider. Ohne angemessene Sicherheitsprotokolle können Mitarbeiter beliebig auf sensible Daten zugreifen. Selbst ehemalige Mitarbeiter haben, häufig noch lange nach ihrem Ausscheiden aus einer Firma, Zugang zu vertraulichen Informationen. Angesichts der vielschichtigen Bedrohungslage müssen Sicherheitsüberlegungen deshalb bei der Cloud-Migration Priorität haben. Tatsächlich war die Entwicklung eines soliden Sicherheitskonzepts nie wichtiger als heute.

Privilegierte Zugriffsverwaltung schützt sensible Daten

Über die Notwendigkeit einer ordnungsgemäßen Datenverwaltung wurde bereits in der Vergangenheit viel diskutiert. Die Einführung der Datenschutzgrundverordnung (DSGVO) und des Datenschutzgesetzes von 2018 leisten hier bereits einen wichtigen Beitrag. Unternehmen sind mehr als jemals zuvor gefordert, ihre sensiblen Daten zu schützen, die Einhaltung von Regularien zu gewährleisten und den unbefugten Zugriff auf die Systeme zu verhindern. Angesichts der vielfältigen Bedrohungslage bietet sich zur Unterstützung ein „Privileged Access Management“, kurz PAM genannt, als adäquate Lösung an.

PAM ist eine Lösung, die privilegierte Benutzerkonten sicher verwaltet, zusätzliche Sicherheitskontrollen beinhaltet und das Prinzip der geringsten Privilegien durchsetzt. Das reduziert die Angriffsfläche einer Organisation erheblich. Schäden, die durch externe Angriffe oder Insider-Bedrohungen entstehen können, werden verhindert oder zumindest gemildert.

Privilegierte Benutzer sind Anwender, die Zugriff auf eine Vielzahl von Unternehmensdaten haben. Sie sind für Cyberkriminelle ein besonders lohnendes Ziel. Wo immer es möglich ist, sollten Benutzerprivilegien daher eingeschränkt werden. Das verbessert die Gesamtsicherheit und reduziert das Potenzial für einen Einbruch in das Unternehmensnetzwerk. Weil Cyberkriminelle dadurch gezwungen werden, bei ihren Attacken mehr Risiken einzugehen, sorgen sie im Netzwerk für mehr Aufmerksamkeit. Zwischenfälle werden leichter bemerkt und Verteidigern erhalten eine bessere Chance, Angreifer zu entdecken, bevor sie einen Schaden anrichten können.

Wie funktioniert ein potenziellen Cyberangriff?

Eine Attacke auf das Unternehmensnetzwerk ist nicht immer leicht zu erkennen. In den meisten Fällen sendet ein Cyberkrimineller eine authentisch aussehende Spear-Phishing-E-Mail an einen Unternehmensmitarbeiter. Dieser lädt daraufhin unwissentlich eine bösartige Applikation herunter. Damit haben Cyberkriminelle einen Fuß in der Tür zum Unternehmensnetzwerk. Verfügt das angegriffene Unternehmen nicht über ein PAM, haben Cyberkriminelle meist freie Bahn. Sie können beispielsweise die Berechtigungen für das infizierte Konto erhöhen und sich dann ungehindert im Netzwerk bewegen. Darüber hinaus besteht für die Angreifer die Möglichkeit, wichtige digitale Daten abzurufen und sie beliebig zu verwenden – sei es, um dem Ruf des Unternehmens zu schaden oder um finanzielle Forderungen zu stellen. Auch mit Ransomware, die meistens einen hohen Schaden anrichtet, kann eine IT-Umgebung infiziert werden.

Phishing-Angriffe sind für Unternehmen ein häufiges Problem. Das überrascht nicht, denn 95 Prozent aller Cyberverletzungen sind auf menschliches Versagen zurückzuführen. Angriffe dieser Art sind mittlerweile fast unvermeidlich, weil ihre Ausführung immer raffinierter wird. Ihre negativen Folgen können aber reduziert werden, indem die IT-Verantwortlichen einen Überblick darüber haben, wer im Detail Zugang zu welchen Daten, Anwendungen und Systemen hat.

Sichtbarkeit und Autorisierung sind entscheidend

Wie also kann PAM eingesetzt werden, um die Unternehmenstransparenz in einer Multi-Hybrid-Cloud-Welt zu verbessern, in der Cloud-basierte Betriebsmodelle mit On-Premises-Umgebungen koexistieren? In erster Linie erfordert PAM eine kontinuierliche Authentifizierung und Autorisierung sämtlicher Anwender. Das hebt die IT-Sicherheit auf ein Level, das weit über den Schutz eines traditionellen Passworts hinausgeht. PAM verhilft Unternehmen zu einer kontinuierlichen Verifizierung. Passwörter rücken dabei in den Hintergrund. Die Anwendung funktioniert ähnlich wie ein digitaler Lügendetektortest. Nur wer ihn besteht, erhält Zugang zu den Ressourcen eines Unternehmens.

In der Regel bestehen die Anmeldedaten von Anwendern aus einem Benutzernamen in Verbindung mit einem Passwort. Nur mit dieser Kombination können Nutzer auf Anwendungen und Geräte zugreifen. Werden diese Anmeldedaten nicht ordnungsgemäß verwaltet, aktualisiert und gesichert, steigt das Risiko für die Unternehmen. Mit einer PAM-Lösung lassen sich diese Risiken aber deutlich reduzieren. Dafür sorgen rollenbasierte Zugriffskontrollen, die mit einer Multi-Faktor-Authentifizierung verbunden sind.

PAM erweitert die klassischen Schutzfunktionen für das Netz deutlich. Statt allen Nutzern einen Zugang zum gesamten digitalen Portfolio zu gewähren, können Unternehmen durch PAM das Prinzip der geringsten Privilegien anwenden. Mitarbeiter dürfen dabei nur auf die Daten zugreifen, die sie für ihre spezifischen Aufgaben benötigen. Auf diese Weise wird nicht nur die Sicherheit erhöht, sondern gleichzeitig auch ein Hauptproblem vieler Chief Information Security Officers (CISOs) angegangen: Transparenz und Überprüfbarkeit.

Sichtbarkeit und Transparenz

PAM verfolgt den Zugriff von Einzelpersonen auf eine ganzheitliche Weise. Sie ermöglicht es, bestimmte Instanzen zu überwachen und bei Bedarf zu markieren, wenn etwas verdächtig erscheint. Das verbessert sowohl in lokalen als auch in Cloud-Umgebungen die Sichtbarkeit und Transparenz. Für alle Aktionen wird ein individueller Prüf-Pfad erstellt. Er sorgt dafür, dass Verstöße früher erkannt werden. Im Wesentlichen bietet PAM einen detaillierten Einblick in die verschiedenen Risikostufen, die sich bei Bedarf individuell an die jeweilige Bedrohungslage anpassen lassen.

In Cloud-Umgebungen ist die Fähigkeit, den Zugriff mit kontinuierlicher Authentifizierung und Autorisierung zu verwalten, der Schlüssel für eine granulare Kontrolle. Das ist die Basis für ein adaptives, risikobasiertes Modell, mit dem das Sicherheitsteam den Schutzwall um das Unternehmensnetz individuell an die jeweilige Situation anpassen kann.

Quellen und Referenzen:

[1] https://ec.europa.eu/jrc/sites/default/files/jrc120945_policy_brief_-_covid_and_telework_final.pdf

[2] https://www.mckinsey.com/business-functions/strategy-and-corporate-finance/our-insights/how-covid-19-has-pushed-companies-over-the-technology-tipping-point-and-transformed-business-forever

[3] https://www.fintechnews.org/the-2020-cybersecurity-stats-you-need-to-know/