Inhaltsverzeichnis
Derzeit mangelt es nicht an Beispielen für erfolgreiche Cyberangriffe. Ein Phänomen dabei: Die Schadenssummen steigen. Beim Hack der größten Kryptobörse Binance ist von einem geschätzten Gesamtschaden von 6,3 Milliarden Dollar die Rede. „Drei Milliarden sind definitiv weg“ titelt die Tagesschau dazu.
Wie sich jetzt herausstellt, wurde die Attacke über Monate vorbereitet. Mitarbeiter der Kryptobörse wurden in Fake-Bewerbungsgespräche gelockt und aufgefordert, Software zu installieren. Hinter dem Einbruch soll laut FBI die nordkoreanische Gruppe TraderTraitor stehen, der bereits zuvor ein Raub bei einer anderen Kryptobörse zur Last gelegt wurde.
Wie weit KI-gestützte Täuschung in Bewerbungsprozessen inzwischen reicht, zeigt der Beitrag Erfolgreich gegen 261 Konkurrenten: mit gefälschter Identität zum neuen Job.
Die physische Welt im Visier
Vermehrt gehen spektakuläre Cyberattacken auf das Konto staatlicher Akteure oder von Akteuren im Auftrag von Staaten. Joanna Swiatkowska, Chefin der European Cyber Security Organisation (ECSO), beunruhigt das sehr.
„Staatsakteure und solche, die in deren Auftrag arbeiten, machen mir am meisten Sorgen. Der Cyberspace ist ein sehr praktischer Ort für solche Aktivitäten“, sagte Swiatkowska in der Expertenrunde Cyber Thought Leaders Dialogue. Denn sie seien recht einfach umzusetzen und ließen sich gut verschleiern.
Wie Swiatkowska die Rolle europäischer Anbieter einschätzt, zeigt das Interview „Buy European“: Warum Europas Cybersecurity mehr Sichtbarkeit braucht.
Neben dem Trend zu höheren Schadenssummen zeichnet sich noch eine weitere Entwicklung ab: Die Angriffsziele verändern sich, OT gerät in den Fokus. Ein Beispiel sind die europaweiten Attacken auf Kühlsysteme in Supermärkten, bei denen teilweise die Temperatur auf 50 Grad Celsius hochgeregelt wurde.
Ursache waren gravierende Sicherheitsmängel. Die Geräte hingen ungeschützt im Internet, wurden teilweise mit den ausgelieferten Werkseinstellungen und Standardpasswörtern betrieben oder erhielten keine Updates.
(Anm. d. Red.: Woran sich Betreiber schon bei der Beschaffung orientieren können, zeigt der Beitrag CISA rät: 12 Empfehlungen zur Auswahl sicherer OT-Produkte.)
Doch Spezialisten rechnen mit einer deutlichen Zunahme der Angriffe auf OT-Geräte wie Kühlsysteme. Dirk Decker, Regional Director für Zentraleuropa beim Spezialisten für OT-Security, Forescout, sagte dazu während der it-sa: „Wir erwarten mehr Angriffe auf die physikalische Welt, da sie zumeist recht verheerend sind“.
Im Falle der Kühltruhenangriffe wird der Schaden durch verdorbene Lebensmittel allein in Frankreich auf einen mittleren zweistelligen Millionenbetrag geschätzt. Erst nachdem etliche Tage mit europaweit aufgetretenen Angriffen vergangen waren, wurden die verbliebenen Anlagen schließlich vom Internet getrennt.
KRITIS unter Beschuss
Doch dabei blieb es nicht. Inzwischen wurden die Angriffe sogar auf die Kühlanlage einer französischen Blutspende-Einrichtung ausgeweitet. Die Angreifer sollen die Zieltemperatur auf über 100 Grad Celsius hochgesetzt haben. Das wurde jedoch von einem diensthabenden Techniker bemerkt und abgestellt.
Spätestens jetzt bewegen sich die Attacken im KRITIS-Sektor. Dieser besonders verwundbare Bereich steht allerdings schon länger unter Beschuss.
In der bereits erwähnten Expertenrunde forderte die estnische Vorsitzende der Lenkungsgruppe der IT-Koalition innerhalb der Ukraine Defense Contact Group, Heli Tiirmaa-Klaar, mit Blick auf den Ukraine-Konflikt eine strikte Abkehr von riskanten Zulieferern. Sie sagt: „KRITIS sollte ausschließlich auf zuverlässige Komponenten von zuverlässigen Partnern zurückgreifen“.
Angesichts hybrider Kriegsführung ist IT-Sicherheit zunehmend von strategischer Bedeutung. Ihr Fazit lautete daher: „Unsere KRITIS-Systeme werden die erste Verteidigungslinie bilden“.
Welche Sektoren dazuzählen und welche Schutzpflichten für sie gelten, bündelt die Themenseite Kritische Infrastrukturen (KRITIS) – Bedeutung und Schutz.
Mit KI gegen KI: Cyberabwehr für IT und OT unter Zeit- und Kostendruck
Als Reaktion auf Angriffe im KRITIS-Sektor habe das BSI erste Pilotprojekte zur Netzwerksensorik bei KRITIS-Unternehmen gestartet, erwähnte in jener Expertenrunde die ständige Vertreterin des Abteilungsleiters CI (Cyber- und Informationssicherheit) im Bundesministerium des Innern und für Heimat (BMI), Barbara Kluge.
Wie diese digitale Überwachung funktioniert, zeigt das Konzept der auch als IT-Herzschlag bezeichneten automatisierten Zustandsüberwachung. „Das BSI erhält regelmäßige Signale zur IT-Verfügbarkeit von Krankenhäusern“, berichtete Kluge. Dadurch könnten Ausfälle sofort erkannt werden.
Angesichts der jüngsten Angriffe fordern Fachleute, dass die Abwehr von Angriffen schneller erfolgen muss. Insbesondere, wenn Angriffe KI-gestützt geführt werden.
Die Anforderungen sind hoch: „Die Abwehr muss schneller sein als die KI, die die Angriffsprozesse steuert. Die Systeme müssen Veränderungen des Steuersystems erkennen können und das sehr schnell. Das ist nur mit KI möglich“, erklärt Sven von Kreyfeld, System Engineer bei Forescout.
Das Unternehmen setzt dazu auf eine Plattform, die eine kontinuierliche Kontrolle aller verwalteten OT-Komponenten vornimmt. Mittels Deep Packet Inspection (DPI) können dabei über 350 industrielle Netzwerkprotokolle analysiert werden.
„Das Tool sitzt in einer Produktionsumgebung, beobachtet die Kommunikation zwischen den Geräten und erkennt Anomalien von Prozessen, ohne dass das durch eine Malware ausgelöst werden muss“, sagt von Kreyfeld. „Es können auch Kabelbrüche erkannt werden, weil dann Signale nicht mehr ankommen, und sogar Wackelkontakte“, ergänzt er.
Doch nicht nur Forescout arbeitet mit KI. Kaum ein Anbieter von Security-Produkten verzichtet noch auf die Vorteile künstlicher Intelligenz bei der Cyberabwehr.
(Anm. d. Red.: Warum sich dieses Wettrennen kaum noch mit menschlichen Reaktionszeiten gewinnen lässt, ordnet das Interview Künstliche Intelligenz in der Cyberabwehr: KI versus KI ist die neue Realität ein.)
Beim Monitoring von IT- oder OT-Infrastruktur fallen große Datenmengen an, die ausgewertet werden müssen. Diese Auswertung erfolgt häufig mit einem SIEM (Security Information and Event Management). „Wenn das aber als Dienst in der Cloud läuft, kostet das Geld“, weiß Stefan Strobel, Geschäftsführer und Gründer des Sicherheitsspezialisten cirosec.
Deshalb haben clevere Entwickler eine Lösung ersonnen: Security Data Pipeline Platforms (SDPP). „Sie sammeln Security-Logdaten von Endgeräten, Firewalls und dergleichen ein und bauen sie um. Die Pipeline befindet sich vor der Cloud und filtert heraus, was nicht unbedingt für das SIEM benötigt wird“, erläutert Strobel.
Die aussortierten Daten landen in einem separaten Speicher, wo sie beispielsweise für forensische Analysen aufbewahrt werden. „Die Pipeline kann auch Daten für Service-Desks herausfiltern“, ergänzt er. Die durch SDPP erzielten Einsparungen können bei über 50 Prozent liegen.
Wie eine solche KI-gestützte Vorauswertung im Betrieb eines Security Operations Center aussieht, zeigte die Session Vom Rohalarm zum fertigen Fall: KI-gestützte Analyse von Sicherheitsmeldungen im SOC der it-sa EXPO & Congress 2026.
Backup bleibt eine Basis von IT-Sicherheit – auch für OT
Eine Binsenweisheit im IT-Bereich, die im OT-Sektor nicht immer ganz einfach umzusetzen ist: Security beginnt mit einem funktionierenden Backup. Unter anderem, weil auf den Systemen häufig keine zusätzliche Software installiert werden darf.
Warum für industrielle Systeme generell andere Security-Regeln gelten als für Büronetze, bündelt die Themenseite OT Security: Industrielle Systeme schützen.
Eine Lösung dafür zeigte der polnische Anbieter Xopero. Er hat ein OT-Backup entwickelt, das mit einem USB-Stick funktioniert. Die Backup-Daten können ebenfalls auf dem USB-Stick gespeichert und später in die Cloud transferiert oder auf Onpremise-Speicher wie NAS oder SAN gesichert werden.
Liegen die Daten in einer Cloud, ermöglicht diese Lösung im Ernstfall mittels spezieller Techniken ein sehr schnelles Recovery. Mit dem Produkt kann Xopero auch Daten aus Cloud-Plattformen wie Confluence, JIRA, Bitbucket, GitHub, GitLab oder Microsoft 365 sichern.
Ferner ist „ein Cross-Recovery, also ein Recovery auf andere Plattformen möglich, was somit den Wechsel auf eine andere Plattform erlaubt, wie zum Beispiel von Bitbucket zu GitLab“, berichtet Karol Zielinski, Channel Manager bei Xopero. Die Backups können mit einem Schlüssel des Kunden verschlüsselt werden.
Verkürzte Zertifikatslaufzeiten erhöhen den Handlungsdruck
Auf ein massiv unterschätztes Problem macht Patrick Schraut, Managing Director Cybersecurity DACH bei NTT DATA, aufmerksam: das Zertifikatsmanagement. TLS-Serverzertifikate sind die Grundlage sicherer Web-Aktivitäten.
Die auch als SSL-Zertifikate bezeichneten digitalen Ausweise dienen der Authentifizierung, also dem Identitätsnachweis eines Servers, und der Verschlüsselung. Darüber hinaus stellen sie sicher, dass Daten nicht unbemerkt während einer Übertragung manipuliert werden können.
Sie bilden somit die Basis für eine sichere, verschlüsselte und vertrauenswürdige Verbindung zwischen einem Client, wie einem Webbrowser, und einem Server.
Bei der Gültigkeit dieser Prüfsiegel stehen Änderungen an, die drastische Auswirkungen haben können. Waren die Zertifikate bis März dieses Jahres noch bis zu 398 Tage und damit über ein Jahr gültig, hat sich die Gültigkeitsdauer bereits halbiert und wird sich weiter verringern.
„Ab 15. März 2027 werden es nur noch 100 Tage sein und ab März 2029 sogar nur noch 47 Tage“, erklärt Schraut. Das habe Auswirkungen auf das Zertifikatsmanagement, denn viele würden Zertifikate noch manuell verwalten.
„Das wird zukünftig nicht mehr möglich sein. Es braucht dafür Tools und die gibt es auch“, ergänzt Schraut. Doch derzeit denken noch viele, sie könnten das aussitzen, und warten ab.
„Wer nicht rechtzeitig handelt, riskiert, dass Systeme nicht mehr miteinander kommunizieren können“, warnt er und fügt hinzu: „Abgelaufene Zertifikate sind einer der häufigsten Gründe für Ausfälle im IT-Betrieb.“
Wie sich die Verwaltung dieser Laufzeiten automatisieren lässt, zeigte die Session Nie wieder abgelaufene Zertifikate! der it-sa EXPO & Congress.
Sie wollen die hier skizzierten Trends mit Herstellern, Betreibern und Security-Verantwortlichen weiterdiskutieren? In der it-sa 365 Community erwarten Sie das ganze Jahr über Fachbeiträge, Sessions und den direkten Austausch rund um OT-Security, KRITIS-Schutz und KI-gestützte Abwehr. Mitglied werden!
Quellen:
Tagesschau: „Drei Milliarden sind definitiv weg“
Tagesschau: FBI macht Nordkorea verantwortlich
CNBC: Binance co-CEO Richard Teng says hackers used fake job interviews, AI tool to steal $6.3 billion in crypto
Heise-Online: Cyberangriffe auf Kühlsysteme: Hersteller in der Kritik
The Guardian: Not cool: who hacked France’s supermarket fridges?
GlobalSign: Vorbereitung auf die Zeit der 47-tägigen Gültigkeit von SSL/TLS-Zertifikaten. Ein Leitfaden mit Fragen und Antworten für Unternehmen
Deutsche Krankenhausgesellschaft: Branchenspezifischer Sicherheitsstandard „Medizinische Versorgung“
