Big Picture Security: Ein strukturierter Ansatz für ganzheitliche Cyber-Sicherheit

In diesem äußersten Bereich findet der Zugriff von externen und mobilen Nutzern – sowohl über firmenverwaltete Geräte (Mobile Device Management / MDM) als auch über private Geräte (BYOD) – sowie die Nutzung von Public-Cloud-Diensten (SaaS, IaaS) statt. Somit liegt hier ein großer Teil der Angriffsfläche.

External Risk Management (ERM) setzt genau dort an: Es beobachtet die nach außen sichtbare, digitale Angriffsfläche eines Unternehmens – etwa öffentlich erreichbare Systeme, Domains und Zugangsdaten. Über Threat Intelligence sowie Angriffsflächen- und Dark-Web-Monitoring lassen sich Risiken frühzeitig erkennen, bevor sie aktiv ausgenutzt werden. Mit der wachsenden Verbreitung von Cloud-Diensten wie Microsoft 365 stehen Unternehmen zugleich vor neuen Herausforderungen: Diese Dienste ermöglichen standardmäßig den Zugriff von nahezu jedem Ort und Gerät aus. Um diese Zugriffe wirksam zu steuern und abzusichern, braucht es einen modernen Architekturansatz wie Secure Access Service Edge (SASE). SASE bündelt Netzwerk- und Sicherheitsfunktionen in der Cloud und gewährleistet so einen sicheren, direkten Zugriff auf Unternehmensressourcen – unabhängig von Standort und Endgerät.

SASE umfasst insbesondere die folgenden Teilbereiche:

• ZTNA (Zero Trust Network Access): Zugriff auf Unternehmensressourcen erhalten ausschließlich autorisierte Benutzer und Geräte – unabhängig davon, ob sie sich innerhalb oder außerhalb des Unternehmensnetzwerks befinden. Jeder Zugriff wird einzeln geprüft und freigegeben, um Bedrohungen zu minimieren.
• CASB (Cloud Access Security Broker): Schafft Transparenz und Sicherheitskontrolle über Cloud-Anwendungen und -Dienste. Ziel ist es, Daten zu überwachen und zu schützen, die in der Cloud gespeichert und übertragen werden.
• Web-Sicherheit: Die Absicherung der Webzugriffe – insbesondere von Endgeräten – rückt zunehmend in den Fokus, da sich diese immer häufiger außerhalb des Unternehmensnetzwerks bewegen und einem höheren Angriffsrisiko ausgesetzt sind. Secure Web Gateways sorgen hier für angemessenen Schutz.

Zusätzlich müssen E-Mails konsequent abgesichert werden (Mail Security) – sie sind nach wie vor das Einfallstor Nummer 1 für Cyber-Attacken in Unternehmen und Behörden. Phishing und die Verbreitung von Malware erfolgen in den meisten Fällen zunächst über E-Mail. Maßnahmen wie Sandboxing und URL-Redirection gehören deshalb heute zum notwendigen Standard.

Für das interne Netzwerk ist die Firewall die erste Verteidigungslinie. Stand der Technik sind Next-Generation Firewalls (NGFW): Sie überwachen den Datenverkehr und stellen sicher, dass ausschließlich autorisierte Anwendungen und Inhalte zugelassen werden – sowohl bei ein- als auch bei ausgehenden Verbindungen. Entscheidend ist dabei das Aufbrechen verschlüsselter Verbindungen, um das Gefahrenpotenzial überhaupt bewerten und weitere Schutzmaßnahmen greifen lassen zu können. Für eingehende Verbindungen kommen unter anderem Intrusion-Prevention-Systeme (IPS) zum Einsatz, die Angriffe musterbasiert erkennen und unterbinden. Mit Maßnahmen zur Zero-Day-Prevention lassen sich darüber hinaus bislang unbekannte Angriffe erkennen und stoppen – etwa anhand von Abweichungen im verwendeten Kommunikationsprotokoll.

In der Demilitarisierten Zone (DMZ) übernehmen verschiedene Komponenten zentrale Aufgaben. Dazu zählen Proxy-Server – insbesondere Reverse-Proxys – die als Vermittler zwischen internen Ressourcen und externen Anwendern dienen. Auch Webserver, Relays und Connection Broker unterstützen die sichere Kommunikation und den Zugriff auf interne Systeme von außen.

Das interne Netzwerk enthält die besonders schützenswerten Bereiche eines Unternehmens, da hier meist Kundendaten und vertrauliche Informationen verarbeitet und vorgehalten werden. Folgende Sicherheitsmaßnahmen sind daher dringend zu empfehlen:

• Identity and Access Management (IAM): Verwaltung und Überwachung der Zugriffsrechte, damit ausschließlich autorisierte Personen auf sensible Unternehmensressourcen zugreifen können.
• Network Access Control (NAC): NAC-Systeme prüfen und steuern, welche Geräte auf das interne Netzwerk zugreifen dürfen, sodass nur sichere und autorisierte Geräte zugelassen werden. Auch BYOD lässt sich so unterstützen – vorausgesetzt, es stehen entsprechende VDI- oder Terminalserver-Umgebungen bereit und das Netzwerk ist sinnvoll segmentiert.
• Absicherung von Servern, Daten und Applikationen: Dazu gehören der verschlüsselte Zugriff, die verschlüsselte Ablage von Daten (Data Encryption) sowie die regelmäßige Sicherung in Form von Backups inklusive Medienbruch (Backup und Archivierung). Die Wiederherstellung muss zudem zyklisch getestet werden.

Zwei Themen gewinnen im internen Netzwerk zunehmend an Bedeutung:

#1 OT (Operational Technology): Steuerungssysteme aus Produktion, Logistik und Gebäudetechnik verschmelzen immer stärker mit der klassischen IT. Da OT-Systeme oft lange Lebenszyklen haben und nicht für die heutige Bedrohungslage konzipiert wurden, benötigen sie besonderen Schutz – vor allem eine konsequente Netzsegmentierung (Trennung von IT und OT), das Monitoring des OT-Datenverkehrs sowie abgestimmte Patch- und Härtungskonzepte.

#2 KI (Künstliche Intelligenz): Mit dem Einzug von KI-Systemen rückt ihr sicherer Betrieb und ihre regelkonforme Nutzung in den Vordergrund. Vier Aspekte stehen dabei im Fokus:

• Sichere Bereitstellung (On-Premises oder Cloud): Die Wahl der Betriebsumgebung richtet sich nach der Sensibilität der Daten. Besonders schützenswerte Daten – etwa Gesundheitsdaten oder personenbezogene Daten (PII) – werden meist über eine On-Premises-Bereitstellung verarbeitet, die volle Kontrolle und Datenhoheit gewährleistet. Für andere Workloads bietet sich dagegen der Betrieb in der Cloud an, der Skalierbarkeit und Wirtschaftlichkeit verbindet.
• Schulung und KI-Kompetenz (EU AI Act):Wenn Mitarbeitende KI-Systeme nutzen, müssen Unternehmen sicherstellen, dass sie über ausreichende KI-Kompetenz verfügen. Gezielte Schulungen vermitteln den sicheren und regelkonformen Umgang mit KI und stärken das Bewusstsein für deren Grenzen und Risiken.
• Absicherung gegen Prompt-Injection: KI-Anwendungen müssen gegen manipulierte Eingaben (Prompt-Injection) gehärtet werden – etwa durch Filterung von Ein- und Ausgaben, eine klare Trennung von System- und Nutzerkontext sowie eine Begrenzung der Aktionen, die ein Modell auslösen darf.
• Kontrolle der Zugriffe und Regelung von Schatten-KI: Wer KI-Systeme nutzt, konfiguriert oder mit Daten versorgt, benötigt ein konsequentes Zugriffs- und Rechtemanagement. Ergänzend müssen nicht freigegebene KI-Dienste identifiziert und bewertet werden, damit sensible Daten nicht unkontrolliert in externe Systeme gelangen. Dazu gehören klare Nutzungsrichtlinien, technische Kontrollen sowie ein Freigabeprozess für KI-Anwendungen, der Sicherheit, Datenschutz und Anforderungen der Nutzer gleichermaßen berücksichtigt.

Umfassende Cyber-Sicherheit gelingt nur ganzheitlich im Zusammenspiel aus technologischen und organisatorischen Maßnahmen. Jeder der vier Bereiche leistet seinen Beitrag zum Schutz der IT-Systeme und Daten; erst gemeinsam ergeben sie ein belastbares Gesamtbild. Neue Entwicklungen wie KI-gestützte Angriffe, der Schutz von OT-Umgebungen und regulatorische Vorgaben wie NIS2 zeigen dabei, dass Cyber-Sicherheit kein einmaliges Projekt, sondern ein fortlaufender Prozess der kontinuierlichen Verbesserung ist.

Bei Fragen zu den einzelnen Bausteinen oder zur Einordnung Ihrer eigenen Sicherheitslage stehen wir Ihnen gern zur Verfügung.

Autor: Christian Müller
Bildquellen: SHD, Freepik