Keine reine Pri­vat­sache: Schutz digi­taler Iden­ti­täten

Digitale Iden­ti­täten geraten immer stärker in den Fokus von Angreifern. Deshalb sollten Unter­nehmen ihre Sicher­heits­stra­tegien neu über­denken.

Wenn es um den Schutz digi­taler Iden­ti­täten vor einem Dieb­stahl geht, kommen den meisten Men­schen zunächst unrecht­mäßige Waren­be­stel­lungen bei Online­shops oder Miss­brauch von Kre­dit­kar­ten­daten in den Sinn. Die Mög­lich­keiten mit der gestoh­lenen Iden­tität Ver­brechen zu begehen sind aber viel umfas­sender (Siehe den Lage­be­richt zur IT-Sicherheit in Deutschland 2014 vom BSI Seite 20). Fast jeder Mit­ar­beiter eines Unter­nehmens hat min­destens eine digitale Iden­tität. Und mit diesen lassen sich vor­trefflich Straf­taten und Daten­dieb­stähle im großen Stil begehen.

In den USA wurden im letzten Jahr viele große Han­dels­ketten wie Target, Home Depot, aber auch der Kran­ken­ver­si­cherer Anthem, Opfer von Sicher­heits­vor­fällen. Eine Analyse dieser großen Vor­fälle, in denen Mil­lionen von Kun­den­daten ent­wendet wurden, ergab, dass ihnen immer Iden­ti­täts­dieb­stähle zugrunde lagen.
 
Die Angreifer kamen nicht von außen, sondern befanden sich schon vorher mittels gestoh­lener digi­taler Iden­ti­täten längere Zeit in den Unter­neh­mens­netz­werken, bevor sie end­gültig zuschlugen. Der Iden­ti­täts­dieb­stahl geschieht meist mittels Tro­janern und Malware, die auf den Geräten des End­be­nutzers instal­liert werden. Die Malware wie­derum wurde ent­weder über Phishing-Methoden oder auch über Drive-by-Infe­k­­tionen, also die Infektion eines Com­puters mit Malware allein durch das Auf­rufen einer Web­seite, ein­ge­schleust. Es handelt sich hierbei nicht um eine neue Bedrohung. Vielmehr wurden bekannte Angriffs­mög­lich­keiten wei­ter­ent­wi­ckelt und ver­bessert. Beim Social-Engi­neering beob­achten und ana­ly­sieren die Angreifer mitt­ler­weile viel pro­fes­sio­neller als bisher, sodass sie dann ein­zelne Opfer ziel­ge­rich­teter aus­wählen können.

Um zu ver­hindern, dass die Iden­ti­täten als Angriffs­fläche genutzt werden können, müssen die Sicher­heits­ex­perten ihre bewährten Methoden auch wei­ter­ent­wi­ckeln, damit sie kein Nach­sehen gegenüber Cyber­kri­mi­nellen haben. Einer­seits ist es wichtig, wie bisher das Iden­­titäts- und Zugrif­f­rech­tema­nagement im Auge zu behalten. Wie häufig müssen die Nutzer ihre Pass­wörter ändern? Ist eine gewisse Kom­ple­xität der Pass­wörter erfor­derlich? Wird die Security-Awa­­reness der Benutzer gefördert, damit die Mit­ar­beiter wissen, wie Social-Engi­neering und Pass­wortklau funk­tio­nieren?
Ein neues Problem ist aber die Menge an digi­talen Iden­ti­täten in Unter­nehmen. Durch Themen wie Cloud und BYOD sind in vielen Unter­nehmen eine Vielzahl zusätz­licher Iden­ti­täten dazu­ge­kommen. Nur eine Über­wa­chung all dieser Iden­ti­täten mit neuen Werk­zeugen und Auto­ma­tismen kann dabei helfen, einen etwaigen Iden­ti­täts­miss­brauch zu ver­hindern.
 
Wirklich effektive Authen­ti­fi­zie­rungs­tech­no­logien müssen so kon­zi­piert sein, dass sie ein Höchstmaß an Sicherheit mit ein­facher Bedienung kom­bi­nieren. Dazu gehört auch, dass die Authen­ti­fi­zie­rungs­systeme ska­lierbar sind, um die schnell wach­sende Zahl an End­an­wendern, die mit den unter­schied­lichsten End­ge­räten die ver­schie­densten Trans­ak­tionen durch­führen im Griff zu behalten. Zusätzlich sollte eine ein­ge­baute Ano­­malie-Erkennung vor­handen sein, um vor unbe­fugten Zugriffen schützen. Kurzum, das System sollte sich fle­xibel an die Erfor­der­nisse anpassen können.

Wie man sehen kann, ist Iden­ti­täts­dieb­stahl nicht reine Pri­vat­sache. Auch Unter­nehmen müssen damit rechnen, dass Kri­mi­nelle mittels gestoh­lener Iden­ti­täten mona­telang ihr Unwesen im Fir­men­netzwerk treiben können. Das Gute an solchen Vor­fällen ist aber, dass sie eine Chance bieten, es zukünftig besser zu machen.

 Bild: © alphaspirit / Fotolia.com