it-sa 365: Was unterscheidet klassische Cyber-Defense grundsätzlich vom Ansatz der Cyber-Resilience – und warum reicht reine Abwehr heutzutage nicht mehr aus?
Christian Kubik: Erfolgreich angegriffen zu werden, ist heutzutage leider nur noch eine Frage der Zeit. Es geht nicht mehr darum, ob es passiert, sondern wann es so weit sein wird. Unternehmen müssen sich auf eine Bedrohungslage einstellen, in der sich die Fähigkeiten von KI schneller weiterentwickeln als herkömmliche Sicherheitsannahmen. Und in der ihre Resilienz davon abhängt, ob sie in der Lage sein werden, bei einem Versagen der Kontrollmechanismen Bedrohungen zu erkennen, einzudämmen und den Normalbetrieb wiederherzustellen.
Wie sich Unternehmen auf diese Bedrohungslage einstellen und welche Angriffsmuster aktuell im Fokus stehen, beleuchtet die Themenseite Cyberangriff: Hacking & Abwehr.
Das Grundproblem dabei: Unternehmen können ihren Daten bei einem Cybersicherheitsereignis nicht mehr vertrauen - auch ihren Backups nicht. Sprach man bis vor kurzem noch davon, dass Angreifer sich bis zu 200 Tage in den Zielnetzwerken aufhalten und ihre Fühler ausstrecken, so hat sich diese Frist durch die Nutzung künstlicher Intelligenz massiv verkürzt. Bisweilen dauert es nur noch Minuten nach dem initialen Zugriff, bis Daten aus dem Unternehmen anfangen abzufließen. Dieses Grundproblem hat sich also nochmals verschärft. Backup-Systeme werden dabei bevorzugt ins Visier genommen, denn sie können eine Ransom-Attacke unwirksam werden lassen.
Wie Unternehmen ihre Daten mithilfe KI-gestützter Anomalieerkennung besser schützen können, zeigt der Beitrag Schlüssel zur KI-gestützten Cyber-Datenresilienz.
Wer Daten aus den Sicherungen einfach wiederherstellt und lediglich seine gewünschten RTO- und RPO-Werte einhält, hat zudem heutzutage das Kernziel der Cyberresilienz verfehlt. Denn mit unkontrolliert wiedereingespielten Backups werden Hintertüren, Malware-Codes und Fake Accounts mit wiederhergestellt, durch die Hacker einfach wieder ins Netz eindringen. Die Systeme sind erneut korrumpiert, die IT-Teams stehen wieder ganz am Anfang der Operation und müssen entscheiden, wie weit sie in der Timeline der Backups zurückgehen, um ein sauberes Backup zu finden. All das geschieht unter hohem Zeitdruck und Stress. Die Reputation bei der Geschäftsführung und den Kunden sinkt mit jedem verlorenen Tag.
Welche Rolle spielen Redundanz, Segmentierung und Isolation von Systemen für die Resilienz einer IT-Infrastruktur?
Christian Kubik: IT Sicherheits- und Infrastrukturteams müssen während der laufenden Attacke eng zusammenarbeiten, um die Integrität der Daten zu untersuchen, bevor sie die Daten aus Backups wieder einspielen. Dieses Verfahren setzt voraus, dass Firmen Backup-Daten air-gapped, also unsichtbar für die Hacker, an einer entfernten Stelle platzieren. Diese Daten müssen in einem Cleanroom erst gezielt durchleuchtet, nach Angriffsartefakten durchsucht und dann in einer isolierten Wiederherstellungs-Umgebung aufgespielt werden.
Welche zehn Schutzmaßnahmen gegen Schadsoftware Unternehmen insgesamt ergreifen sollten, zeigt der PraxisratgeberMalware verstehen und abwehren: Der Praxisratgeber für Unternehmen.
Damit die Teams in dieser Stresssituation genau wissen, was zu tun ist, müssen sie diese Abläufe regelmäßig testen. Commvault ermöglicht es, diesen Restore-Prozess jederzeit in einer mit einem Klick aufgesetzten isolierten Umgebung in der Cloud oder auch in einem lokalen On-Premise-Bereich zu üben, ohne die IT-Produktion zu beeinträchtigen.
Wie sich ein solcher Cleanroom-Ansatz auch regulatorisch – etwa mit Blick auf DORA und NIS2 – absichern lässt, zeigt die SessionKI-gestütztes Data Security & Management für operative Cyber-Resilienz der it-sa Expo & Congress 2024.
Außerdem greifen den Teams sogenannte Runbooks unter die Arme, die die Schritte einer Recovery für bestimmte Workloads, wie das Active Directory, genau kennen. Die Runbooks erklären den Verantwortlichen in der GUI jeden einzelnen Schritt, führen sie exakt durch den Konfigurationsdschungel und erledigen vieles bereits vollautomatisiert. Sollte eine wiederherzustellende Umgebung stark von der Norm abweichen, lassen sich individuelle Schritte und Konfigurationen in das Runbook einbinden. Die Verantwortlichen schreiben also ihr eigenes Werk, das ihre Umgebung ideal wiedergibt. Gerade während des höchsten Stresslevels einer Attacke helfen die Erfahrungen, die sich aus Vorabtests ergeben und in die Runbooks einfließen, Nerven, Zeit und Geld zu sparen.
Wie misst man eigentlich, ob ein Unternehmen resilient ist? Gibt es Kennzahlen oder Reifegradmodelle, die sich in der Praxis bewährt haben?
Christian Kubik: Die Integrität der Daten gilt es zu untersuchen, bevor sie wieder in die Produktion gespielt werden. Wir müssen uns also von der reinen RTO- und RPO-Diskussion emanzipieren und den Prozess Cyberresilienz in seiner Gesamtheit betrachten. Wir bei Commvault nennen diese Analyse und die durchschnittliche Zeit bis zur vollständigen Wiederherstellung Mean Time to Clean Recovery (MTCR). Im Wesentlichen definiert MTCR die durchschnittliche Zeit, in der die IT-Sicherheits- und Infrastrukturteams zuvor definierte kritische Geschäftsanwendungen und die zugrunde liegenden Systeme, Infrastrukturen sowie die zugehörigen sauberen, validierten Daten nach einem Cyberangriff wiederherstellen. Darin ist also der ganze Prozess von A bis Z erfasst.
Wer diesem Ansatz folgt, wird die Größe der Resilienzlücke genau vermessen und mit der Geschäftsleitung realistische Szenarien besprechen können. Dabei kann er besser verargumentieren, warum die bestehende Backup- zu einer echten Cyberresilienz-Umgebung modernisiert werden muss. Wie Unternehmen Resilienz auch organisatorisch verankern und selbst in geopolitischen Krisenzeiten handlungsfähig bleiben, beleuchtet der Beitrag Cyberresilienz & Incident Response in geopolitischen Krisen.
Welche konkreten organisatorischen und technischen Schritte muss ein Unternehmen gehen, um von einer reinen Verteidigungsstrategie zu echter Cyberresilienz zu gelangen?
Christian Kubik: Die meisten Organisationen haben noch erheblichen Spielraum, ihre Resilienz zu verbessern – vor allem für den Fall, dass präventive Abwehrmaßnahmen aus welchen Gründen auch immer versagen. Dabei zählt vor allem die operative Vorbereitung, die den Unterschied ausmacht zwischen Organisationen, die sich schnell und reibungslos erholen, und solchen, die mit langwierigen Ausfällen zu kämpfen haben.
Viele Verantwortliche denken bei Resilienz beispielsweise immer noch vor allem an Backup-Technologien oder Wiederherstellungslösungen. Diese sind zwar absolut entscheidend, doch eine solche Denkweise kann ein trügerisches Gefühl der Sicherheit vermitteln: Über Wiederherstellungs-Technologien zu verfügen, ist nicht gleichbedeutend mit der Fähigkeit, den Betrieb unter realen Angriffsbedingungen tatsächlich wiederherzustellen. Echte Recovery-Kompetenzen, auf die man sich im Ernstfall verlassen kann, beruhen auch auf Planung, kontinuierlichen Tests und Validierungen sowie auf dem Verständnis der gegenseitigen Abhängigkeiten kritischer Geschäftsprozesse. Diese Fähigkeiten werden als »Resilience Operations« oder kurz »ResOps« bezeichnet. Dabei steht die kontinuierliche Überprüfung der Wiederherstellungsfähigkeiten im Mittelpunkt, damit Unternehmen sicher sein können, dass sie im entscheidenden Moment handlungsfähig bleiben.
Warum strukturierte Incident-Response-Strategien Resilienz zu einem echten Wettbewerbsvorteil machen können, zeigt die Session Vom Ernstfall zum Erfolgsfaktor: Wie Cyber Resilienz Unternehmen schützt der it-sa Expo & Congress 2025.
Man stelle sich zwei Unternehmen vor, die von demselben Ransomware-Angriff betroffen sind. Beide verfügen über Backups. Doch nur eines weiß genau, welche Systeme zuerst wiederhergestellt werden müssen, und hat seine Verfahren für Forensik, Bereinigung und Wiederherstellung bereits validiert. Das andere Opfer muss sich erst noch einen Überblick über die Systemabhängigkeiten verschaffen und Entscheidungen zur Wiederherstellung treffen – während der Geschäftsbetrieb ruht und noch nicht wieder aufgenommen werden kann. Der entscheidende Unterschied zwischen den beiden hat kaum etwas mit der vorhandenen Technologie zu tun, sondern hängt vor allem davon ab, wie gut sie auf den Angriff vorbereitet waren.
Kommt es also darauf an, schon vor etwaigen Cyberangriffen die richtigen Prioritäten zu setzen?
Christian Kubik: Entscheidend für eine schnelle Recovery ist dabei die richtige Priorisierung: Diese Minimum Viable Company (MVC) ist die minimale Kombination aus Systemen und Diensten, die erforderlich ist, um den Betrieb nach einem Vorfall aufrechtzuerhalten. Ziel ist die Wiederherstellung jener Funktionen, die es dem Unternehmen ermöglichen, Kunden weiterhin zu bedienen und die wichtigsten Tätigkeiten auszuführen; dies unterscheidet sich unter Umständen von der gleichzeitigen Wiederherstellung sämtlicher Systeme.
Die Definition der MVC erfordert, dass Unternehmen wichtige Geschäftsdienste und Toleranzgrenzen für Auswirkungen identifizieren sowie Abhängigkeiten zwischen Systemen bereits vor einem Vorfall erfassen. So vermeiden sie es, unter Zeitdruck geschäftskritische Entscheidungen zur Wiederherstellung treffen zu müssen. Zu den typischen Komponenten gehören Identitätsdienste, operative Datenbanken, Kommunikationsplattformen, Finanz- oder Abrechnungssysteme sowie weitere für das Tagesgeschäft unentbehrliche Anwendungen. Diese variieren je nach Unternehmen.
Mehr zu Identitätsdiensten und Zugriffsmanagement als zentralen Bausteinen der MVC liefert die Themenseite Data Center Security & Identity Access Management.
Je nach Integrationsgrad kann es zudem erforderlich sein, zu prüfen, ob KI-bezogene Komponenten – etwa Datenpipelines oder autonome KI-Workflows – inzwischen betriebskritisch sind. Wichtig ist, dass sich die MVC-Parameter gemeinsam mit dem Unternehmen weiterentwickeln, anstatt statisch zu bleiben.
Einen breiteren Überblick über den Stellenwert künstlicher Intelligenz für die IT-Sicherheit bietet die Themenseite Künstliche Intelligenz & IT-Security.
Es liegt auf der Hand, dass Unternehmen, die ihre MVC identifiziert und validiert haben, wesentliche Betriebsabläufe meist schneller wiederherstellen können, weil sie die Prioritäten für die Wiederherstellung bereits festgelegt haben. Kommt dazu noch ein geschärftes Verständnis für die eigentliche Bedeutung von Resilienz, sind Unternehmen bestens gerüstet.
Wie künstliche Intelligenz und Automatisierung zusammen mit gezielter menschlicher Kontrolle zu nachhaltiger Cyber-Resilienz beitragen, zeigt die Session IT im Griff, Angreifer im Aus – Nachhaltige Cyber-Resilienz Made in Germany der it-sa Expo & Congress 2025.
Sie wollen mit Expertinnen und Experten für Cyber-Resilience und Recovery-Strategien direkt ins Gespräch kommen? Auf der it-sa EXPO & Congress erwarten Sie Live-Vorträge, praxisnahe Use Cases und den direkten Austausch mit Ausstellern zu Cybersicherheit und Datenresilienz. Jetzt besuchen!
Die Fragen stellte Andreas Knoll.
