Gehackt – Lektion gelernt!

Die Lehren aus dem Cybervorfall

Als Reaktion auf den Angriff hat CONVOTIS die internen Systeme noch sicherer gemacht und ihre Architektur neu aufgebaut: Wer Zugriff auf Server und Systeme der Kunden haben will, muss nun mehrere Multifaktor-Authentifizierungen durchlaufen. Außerdem wurde die Kommunikation zwischen den Architekturbestandteilen überarbeitet: Sie ist nur dort möglich, wo sie auch notwendig ist. Diese Systematik verhindert eine schnelle Ausbreitung von Schadsoftware im System. Hier zeigt sich, dass Sicherheit und Arbeitskomfort nicht immer Hand in Hand gehen.

Allerdings sind die eigenen IT-Systeme nur ein Teil einer umfassenden Sicherheitsarchitektur: Auch die Zugangspunkte der Kunden müssen geschützt werden. Lokale Endgeräte wie Laptop und PC können Angriffstore darstellen. Es stellt sich in der Tat heraus, dass der Angriff auf CONVOTIS über ein solches Kundensystem erfolgt war. Deswegen wurde eine Endpoint Security aufgebaut, ein geschlossenes System von jedem Kundenrechner zur Serverarchitektur von CONVOTIS, die auf verschiedenen Sicherheitsprogrammen basiert. CONVOTIS nutzt eine KI- und verhaltensbasierte Cybersicherheitslösung. Im Gegensatz dazu identifizieren signaturbasierte Antivirenlösungen nur Angriffe von bereits bekannter Schadsoftware – da täglich neue Lösungen auf den Markt kommen, bieten sie nur einen eingeschränkten Schutz. Verhaltensbasierte Tools erkennen dagegen verdächtiges Verhalten wie eine unerwartete Verschlüsselung oder den Abfluss von Daten. Dies wird unterbunden, die verdächtige Software isoliert und deinstalliert. Ein genaues Monitoring und IT-Forensik geben dann genaue Einblicke, woher der Angriff kam und welche Maßnahmen eingeleitet werden müssen. Eine weitere Sicherheitsmaßnahme ist die Zero Day Erkennung, bei der unbekannte Sicherheitslücken oder Schwachstellen ebenfalls erkannt werden können.

Außerdem richtete CONVOTIS ein Security Operation Center (SOC)-Team ein, das die Systeme überwacht und sofort eingreifen kann – das Team besteht aus eigenen Technikern. „Unser Support sollte kein Callcenter sein“, so Philipp Hüne. Das SOC-Team hat eine Reaktionszeit von unter 30 Minuten.

Auch die Inventarisierung gehört zur Sicherheitsstrategie: Sie schafft einen Überblick, welche Geräte der Kunde im Einsatz hat, welche Updates und Patches vorhanden sind und ob Sicherheitslücken entstanden sind, die geschlossen werden müssen.