Redlings IT-Security

Auch börsengelistete Unternehmen nutzen verstärkt Pentesting

Sie hoffen auf Renditen, die allerdings durch einen erfolgreichen Hackerangriff kleiner ausfallen oder ganz verlorengehen können. Eine schlecht aufgestellte IT-Security kann zu großen Schäden führen, in wirtschaftlicher Hinsicht und mit Blick auf die Reputation des Unternehmens. Mit Pentesting lassen sich bekannte und neue Sicherheitslücken identifizieren.

IT-Sicherheitsüberprüfungen durch Experten mit Hackerwissen

Wenn man beschreiben sollte, was die von Dr. Ewan Fleischmann gegründete Redlings GmbH tut, dann ließen sich die Dienstleistungen des Unternehmens als IT-Sicherheitsüberprüfungen bezeichnen, die von erfahrenen IT-Sicherheitsexperten durchgeführt werden. Dabei greifen die Pentester auf das Wissen der Hacker zurück und testen die IT-Infrastruktur indem sie so vorgehen, wie es Cyber-Kriminelle tun würden, nur in einem geschützten Umfeld.

Unabhängig davon, ob und in welchem Börsenindex ein Unternehmen gelistet ist, professionelle Hacker haben sich vor allem Konzerne als Ziele ausgesucht. Ob nun die deutsche Bank, Allianz oder Siemens, kein Unternehmen ist davor gefeit, zur Zielscheibe von Cyberkriminellen zu werden. Aus diesem Grund gibt es Unternehmen wie die Redlings GmbH. Sie unterstützen ihre Auftraggeber durch Penetrationstests dabei, bereits bekannte und auch noch unbekannte Schwachstellen in der IT-Infrastruktur zu finden.

Wie hilft Pentesting bei der Stärkung der IT-Security?

Das Pentesting lässt sich prinzipiell auf einzelne Bereiche der IT-Infrastruktur beschränken, kann aber auch dazu genutzt werden, das gesamte Netzwerk des Unternehmens zu prüfen.

Im Rahmen des Tests wird auf Basis von Hackerwissen überprüft, wie weit Hacker in ein System eindringen könnte, z. B. beispielsweise über Fehlkonfigurationen oder Exploits (kleine Programme zum Aufspüren und Ausnutzen von Schwachstellen). Dabei gehen die Pentesting-Experten oft folgende Schritte:

1. Enumeration: Sammeln von Informationen zum IT-System (DNS, IP-Range), verwendeten internen und externen Dienstprogrammen usw. des Zieles
2. Schwachstellenidentifizierung: Suchen nach Konfigurationsfehlern, fehlerhaften Befehlsfolgen sowie Exploits
3. Schwachstellenausnutzung: Prüfung, ob sich Schwachstellen ausnutzen lassen, Einsatz der identifizierten Exploits
4. Post-Expoitation: Überprüfung der Erreichbarkeit desvereinbarten externen Testzieles
5. Testfortsetzung oder Prozessneustart: Erneute Enumeration, ob vom erreichten Zielpunkt aus der Zugang zum internen System bzw. Netzwerk möglich ist
    

Die Anwendung eines externen Pentests kann sich als besonders effizient erweisen, wenn das beauftragende Unternehmen vorher bereits Anstrengungen unternommen hat, seine externen Perimeter zu verstärken. Ein interner Penetrationstest ist sinnvoll, wenn vorher versucht wurde, den Schutz des internen Netzwerkes zu optimieren.

Übrigens muss nicht nur die Technik regelmäßig auf Schwachstellen überprüft werden, sondern auch das vermeintlich schwächste Glied der Sicherheitsbarriere von Unternehmen, nämlich der Mensch. Hier können ein sogenannter Social Engineering & Phishing Pentest oder spezielle Schulungen zu diesem Thema hilfreich sein.

Die Herausforderung ist, das System als Ganzes, aber auch jeden einzelnen Bereich, beispielsweise die Cloud oder Web Application, effizient vor unberechtigtem Zugriff von innen und außen gleichermaßen zu schützen.

Dr. Ewan Fleischmann beschreibt das Vorgehen so: „Der erste Schritt für ein Unternehmen zur Verbesserung der Sicherheit besteht darin, die Stärken und Schwächen der eigenen Sicherheitsarchitektur genau zu kennen.“

Dr. Fleischmann beschreibt auch, weshalb die von Redlings geleistete Arbeit so wertvoll ist: „Unser Wert liegt darin, die Wurzel der Sicherheitsprobleme zu erkennen, so dass die Ressourcen effektiv an die richtigen Stellen verteilt werden können.“

Es geht also beim Pentesting in einem ersten Schritt darum, Sicherheitslücken aufzudecken und dem beauftragenden Unternehmen so die Größe des Gefährdungspotenzials sowie mögliche Schutzmaßnahmen aufzuzeigen. Der wichtigere Schritt folgt danach, denn das Unternehmen muss seine bisherige IT-Sicherheitsstrategie an die neue Gefährdungslage anpassen und entsprechende Sicherheitsmaßnahmen ergreifen.

Globalisierung und Digitalisierung als Herausforderung in Sachen IT-Security

Gerade global agierende börsengelistete Konzerne, etwa Versicherungsgesellschaften, Banken oder Forschungsunternehmen benötigen ein extrem komplexes IT-System, um sämtliche Geschäftsprozesse zu steuern. Damit die Schutzmaßnahmen aus Firewalls, Passwörtern und Zugangsberechtigungen durch Hackerangriffe nicht durchbrochen werden können, reichen heute Einzelmaßnahmen längst nicht mehr aus

Es muss eine Verzahnung unterschiedlichster Vorkehrungen stattfinden, die gewährleisten, dass die öffentlich zugänglichen IT-Netzwerke und IT-Systeme sicher sind. Unternehmen benötigen also eine umfassende IT-Sicherheitsstrategie, die aktive und passive Security Assessments beinhaltet.

Cyberkriminalität hat verschiedene Ziele. Viele Hacker wollen Daten oder Informationen zum Zweck des Weiterverkaufs stehlen. Andere Angreifen möchten das IT-System eines gehackten Unternehmens lahmlegen und erst gegen erpresstes Geld wieder freigeben. Die wohl gefährlichste Gruppe von Hackern hat terroristische Ziele. Sie will mit ihrer Attacke Geschäftsprozesse, Produktionsabläufe oder Kommunikationskanäle sabotieren und so einen Zusammenbruch herbeiführen. Man muss sich nur vorstellen, Hackern würde es gelingen, in die IT-Infrastruktur der Deutschen Börse einzudringen und mithilfe von Schadprogrammen dafür zu sorgen, dass der Handel stunden- oder gar tageweise ausgesetzt werden muss. Der Schaden für die börsengelisteten Unternehmen und auch für die Gesamtwirtschaft wären nicht absehbar, aber immens. Pentesting kann solchen Szenarien entgegenwirken.