Zum Hauptinhalt wechseln

Cybersecurity

20. Mai 2024

 

Unter Cyber-Belagerung: Wie gut schützen sich Städte?

  

Städte ignorieren Cyberbedrohungen nicht, so eine neue Studie von RiskRecon, aber es sind weitere Anstrengungen erforderlich, um ihre Daten zu schützen und die Unterbrechung kritischer Dienste zu verhindern. 

Satta Sarmah Hightower

Contributor

Allein in den letzten sechs Monaten wurden amerikanische Städte – von St. Cloud, Florida, über Wichita, Kansas, bis hin zu Long Beach, Kalifornien, und anderen – Ziel von Cyberangriffen, wodurch lebenswichtige öffentliche Dienste gefährdet wurden. Eine aktuelle Studie zeigt jedoch, dass viele Städte diese Bedrohungen ernst nehmen und daran arbeiten, ihre Cyber-Resilienz zu stärken.

RiskRecon, ein Unternehmen von Mastercard und führender Anbieter von Cybersicherheitsratings und -bewertungen, hat analysiert, wie 271 Städte in den USA ihre Sicherheitslage in den letzten drei Jahren verändert haben. Im August 2021 bewertete das Unternehmen diese Städte und vergab Ratings basierend auf ihrer Leistung in neun Sicherheitsbereichen, die von Anwendungssicherheit bis hin zu Webhosting reichen. Seitdem hat RiskRecon festgestellt, dass sich das durchschnittliche Gesamtsicherheitsrating auf einer 10-Punkte-Skala von 7,3 auf 8,1 verbessert hat.

Stand Januar hatten 221 Städte ein A- oder B-Rating erhalten, was auf eine höhere Sicherheit in vielen Rechtsordnungen hindeutet.

Dennoch sollten Städte nicht unvorsichtig werden, sagt Rigo Van den Broeck, Executive Vice President of Cybersecurity Product Innovation bei Mastercard. „Keine Organisation ist zu groß oder zu klein, um ins Visier genommen zu werden. Es gibt für jede Organisation einen potenziellen Hacker – egal wie groß sie ist“, sagt er.

Eine der gefährlichsten Schwachstellen für Städte — und eine, die relativ einfach zu beheben ist — ist die Aktualisierung veralteter Software, so Rigo Van den Broeck von Mastercard.

In einem kürzlich geführten Gespräch mit dem Mastercard Newsroom erläutert Van den Broeck, was die Forschung von RiskRecon über die aktuelle Risikolandschaft für Städte offenbart und wie kritische Systeme und Daten besser geschützt werden können.

 

Die gute Nachricht ist, dass Regierungen Schritte unternehmen, um sich zu schützen. Die schlechte Nachricht ist, dass Regierungen und die von ihnen geschützte öffentliche Infrastruktur zunehmend ins Visier böswilliger Akteure geraten. Was treibt dies an?

Van den Broeck: Wir alle haben die Schlagzeilen über verheerende Cyberangriffe auf Regierungen und öffentliche Infrastrukturen gesehen – an Beispielen mangelt es nicht. In allen Sektoren ist die Digitalisierung seit vielen Jahren eine Konstante, aber historisch gesehen haben sich viele Regierungen langsamer angepasst. COVID war ein Wendepunkt, da das Angebot digitaler Dienste nicht mehr optional war. Es wurde entscheidend, dass Regierungen ihre Bürger über das Internet bedienen konnten. Diese rasante Entwicklung hat die Angriffsfläche erheblich vergrößert und Cyberkriminellen mehr Möglichkeiten geboten.

Es ist entscheidend zu verstehen, wer hinter den Angriffen steckt. Hacker wählen ihre Ziele oft auf der Grundlage einiger gemeinsamer Faktoren aus, wie etwa der Sensibilität der Daten einer Organisation oder der kritischen Bedeutung eines unterbrechungsfreien Betriebs. Regierungen sind ebenfalls Hauptziele für politisch motivierte böswillige Akteure. Wenn man all diese Faktoren zusammennimmt, ist es nicht überraschend, dass Regierungen häufig ins Visier genommen werden.
 

Was sind die finanziellen und operativen Risiken für Städte, die sich für Hacker angreifbar machen?

Van den Broeck: Hacker verwenden gestohlene Daten häufig für Erpressungsversuche oder verkaufen diese Informationen an andere Kriminelle, was zu erheblichen Verlusten für die betroffenen Organisationen führt. Der Cost of a Data Breach Report 2023 von IBM gibt die weltweiten durchschnittlichen Kosten einer Datenschutzverletzung im Jahr 2023 mit 4,45 Millionen US-Dollar an. 

Bei Städten besteht ein noch größeres finanzielles Risiko aufgrund der wesentlichen Dienstleistungen, die sie erbringen, und der sensiblen Daten, deren Schutz ihnen anvertraut ist. Wenn sie einen Cyber-Vorfall erleben, sind die Auswirkungen weitreichend. Wir haben Sicherheitsverletzungen erlebt, die Einsatzkräfte um Echtzeitinformationenbringen, die sie beispielsweise für eine effektive Krisenreaktion benötigen, oder den Zugang zu öffentlichen Computern bei einem der meistgenutzten Bibliothekssysteme der Welt einschränken. Die Wiederinbetriebnahme von Systemen kann kostspielig sein, und Städte können mit Kosten für Überwachung, Rechtsstreitigkeiten und die Reaktion auf Vorfälle konfrontiert werden.

Hinzu kommt der Reputationsschaden, bei dem der Verlust des öffentlichen Vertrauens schädlich sein kann, insbesondere wenn man bedenkt, dass lokale Regierungen zu den vertrauenswürdigsten staatlichen Stellen zählen. Das ist unbezahlbar.
 

Wie geht RiskRecon bei der Überprüfung der Sicherheitsvorkehrungen, sozusagen beim „Testen der Zäune“, vor?

Van den Broeck: RiskRecon bewertet kontinuierlich die Internetpräsenz von mehr als 19 Millionen Organisationen, die von E-Commerce-Händlern über multinationale Konzerne bis hin zu Gesundheitsorganisationen reichen. Die Bewertungen sind sowohl breit als auch tief angelegt und suchen nach öffentlich sichtbaren Hinweisen, die wir nutzen können, um auf die Cyber-Hygiene einer Organisation zu schließen, wie etwa veraltete und anfällige Software oder Internetkommunikation, die nicht angemessen geschützt ist. Unsere Forschung hat gezeigt, dass Organisationen mit sehr schlechter Cybersecurity-Hygiene – bewertet mit D oder F – 35-mal häufiger Sicherheitsverletzungen erlebten als Organisationen mit A-Bewertung.
 

4,45 Millionen $

Durchschnittliche Kosten einer Datenpanne im Jahr 2023 laut IBM

Was sind die wirkungsvollsten Methoden, mit denen Städte ihre Cybersicherheitslage verbessert haben?

Van den Broeck: Eine Reihe von Berichten und Studien, ob von Mastercard oder aus anderen Bereichen der Branche, identifizieren durchweg mehrere Hauptursachen, die zu einer Sicherheitsverletzung beitragen. Dazu gehören veraltete Software, die seit einiger Zeit keine Sicherheitsupdates mehr erhalten kann, sowie Fälle, in denen sensible Dienste dem öffentlichen Internet ausgesetzt sind, obwohl dies nicht der Fall sein sollte. Denken Sie an Datenbanken und Tools für den Fernzugriff. 

Die gute Nachricht ist, dass die Städte, die wir in den letzten Jahren beobachtet haben, insgesamt höhere Bewertungen aufweisen, was auf eine bessere Cyber-Hygiene hindeutet. Wir haben in acht der neun von uns bewerteten Sicherheitsbereiche durchgängige Verbesserungen festgestellt, und die Fortschritte erfolgten an den richtigen Stellen, einschließlich E-Mail- und Domain-Name-System-Sicherheit, Software-Patching und Web-Verschlüsselung.
 

Welches sind für Städte mit niedrigeren Bewertungen die einfachsten und unmittelbarsten Schritte, die sie unternehmen könnten?

Van den Broeck: RiskRecon befürwortet einen Ansatz, der untersucht, wie schwerwiegend das Problem ist, mit dem eine Organisation konfrontiert ist, und wie sensibel das System ist, das davon betroffen ist. Veraltete Software gilt seit Langem als eine der gefährlichsten Schwachstellen für Unternehmen, und es ist nicht zu erwarten, dass sich dies in absehbarer Zeit ändern wird. Das sollte eine Priorität sein.

Der Aufbau einer starken Cyber-Hygiene braucht Zeit. Daher ist es immer wichtig, Möglichkeiten zur Risikominderung während Ihrer gesamten Cybersecurity-Reise zu bewerten. Es gibt Ressourcen, die Städten unabhängig von ihrer Größe helfen können. Cybersicherheitsbehörden auf verschiedenen Regierungsebenen und Computer-Notfallteams haben umfassende Aufgaben, die zur Sicherung des Internets beitragen. Mastercard unterstützt zudem stolz mehrere Organisationen, die kostenlose Cybersicherheitsdienste anbieten, darunter das CyberPeace Institute, die Global Cyber Alliance und die Shadowserver Foundation.
 

Wie stellen Städte, die auf Drittanbieter angewiesen sind, sicher, dass sie sich nicht angreifbar machen?

Van den Broeck: Das Verständnis der Risiken durch Drittanbieter ist für Unternehmen von entscheidender Bedeutung, insbesondere angesichts der Komplexität wachsender Lieferketten und der zunehmenden Häufigkeit von Sicherheitsverletzungen durch Dritte. In der Cybersicherheit gibt es ein Phänomen, bei dem ähnliche Organisationen dieselben Arten von Technologien verwenden, weil sie bestimmte Funktionen benötigen und sich für dieselbe Software entscheiden, oder auch dann, wenn es nur wenige spezialisierte Anbieter gibt, die die Anforderungen dieser Organisationen erfüllen. Dies führt zu einer systemischen Konzentration von Cyberrisiken, die katastrophale Folgen haben kann, wenn einer dieser Dienstleister oder Softwarelieferanten von einem Cybersicherheitsvorfall betroffen ist.

In unserer kürzlich mit dem Cyentia Institute durchgeführten Umfrage „The state of third-party risk management“ stellten wir fest, dass 23 % der Befragten angaben, ihr Unternehmen habe einen Sicherheitsverstoß durch einen Drittanbieter erlitten. Der Aufbau eines robusten Risikomanagementprogramms für Drittanbieter ist heute eine Notwendigkeit. Wir sind über den Punkt hinaus, an dem Due-Diligence-Prüfungen nur in der Phase der Anbietereinbindung stattfinden. Stattdessen benötigen Unternehmen Echtzeit-Einblick in ihre Drittanbieter, um deren Risiken angemessen zu verstehen und zu verwalten. 
 

Was würden Sie Städten sagen, die glauben, sie seien zu klein, um ins Visier genommen zu werden?


Interessanterweise haben wir festgestellt, dass bei kleineren Städten und Regierungen unerwartet Cybersicherheitsrisiken auftreten, da sie viele Ressourcen teilen, um Effizienz zu erzielen. Dies bedeutet, dass eine Schwachstelle in einem System ausreichen kann, um die Dienste vieler Gemeinden lahmzulegen, wie wir vor einigen Jahren bei einem Ransomware-Angriff auf 23 kleine Städte in Texas gesehen haben. Man könnte leicht annehmen, dass man kein Ziel eines Cyberangriffs ist, weil ein Motiv möglicherweise nicht sofort ersichtlich ist, aber die Vorfälle, die wir weiterhin beobachten, beweisen das Gegenteil.
 

 

 

Es gibt eine Lücke bei den Cyber-Talenten. Die Ausbildung von Gehörlosen kann helfen

Es gibt nicht genügend Fachkräfte, um Cybersecurity-Stellen zu besetzen. Die Ausbildung von gehörlosen und hörgeschädigten Menschen kann die Cyber-Abwehr stärken.

Mehr erfahren
Eine Frau sitzt vor einem Computer in einem Büro.