Das sind die Cyber Security Trends 2023

Der Kampf gegen Cyberkriminalität geht 2023 in eine neue Runde. Vor dem Hintergrund geopolitischer Spannungen geraten vor allem Betreiber kritischer Infrastrukturen zunehmend ins Visier von (politisch motivierten) Cyberkriminellen. (Inter-) nationale Krisen – allen voran die Energiekrise und Wirtschaftskrise – erhöhen weiter den Druck auf Unternehmen und ihre IT-Sicherheit, unabhängig von ihrer Größe und Branche: Schon im letzten Jahr wurden immer mehr mittelständische und kleine Unternehmen (KMU) Opfer von Cyberangriffen – ein Trend, der auch 2023 anhalten wird. Gleichzeitig steigen die regulatorischen Anforderungen an Unternehmen und neue Sicherheitskonzepte bringen Bewegung in den Markt. Wir haben die Cyber Security Trends für dieses Jahr ausgemacht und möchten sie Ihnen in unserem heutigen Beitrag vorstellen.

Cyber Security Trends: Neues KRITIS-Dachgesetz und Novellierung von IT-Sicherheitsgesetz

Der Krieg in der Ukraine wird nicht mehr nur mit physischen Waffen, sondern zunehmend auch im Cyberspace ausgetragen. So warnt das BSI (Bundesamt für Sicherheit in der Informationstechnik) bereits vor verstärkten Cyberangriffen auf die Kritische Infrastruktur (KRITIS) in Deutschland, darunter Wasser- und Energieversorger, die Verkehrs- und Transportbranche, das Finanz- und Versicherungswesen, Verwaltungen und Gesundheitseinrichtungen. Bereits im letzten Jahr wurden in diesem Zusammenhang vermehrt Krankenhäuser, Universitäten und Stadtverwaltungen mit Ransomware angegriffen.

Um diese Kritischen Infrastrukturen noch besser zu schützen, will der Gesetzgeber die Sicherheits-Anforderungen an KRITIS-Betreiber weiter verschärfen Derzeit arbeitet das Innenministerium unter Hochdruck an einem KRITIS-Dachgesetz, welches noch in diesem Jahr die Anforderungen zu Resilienz und physischer Sicherheit an Kritische Infrastrukturen konkretisieren soll.

Zudem wurde ebenfalls für 2023 eine Novellierung des 2021 in Kraft getretenen IT-Sicherheitsgesetzes 2.0 angekündigt: Mit dem IT-Sicherheitsgesetz 3.0 werden Unternehmen weiterer Sektoren, darunter auch bestimmte KMU, unter die KRITIS-Verordnung fallen. Die betroffenen Unternehmen werden damit noch in diesem Jahr vor der Herausforderung stehen, das wachsende Regelwerk umsetzten.

Absicherung geschäftskritischer SaaS-Plattformen wird wichtiger

Zunehmend nutzen Unternehmen SaaS-Plattformen für ihre Geschäftsprozesse, darunter beispielsweise SAP, Salesforce oder Oracle. Diese werden über eine API mit anderer Software verbunden und bilden so ein großes Ökosystem. Genau daraus entstehen Risiken, die es abzusichern gilt. Dazu gehören beispielsweise Konfigurationsfehler, wodurch es wiederum zu unsicheren API-Zugriffen und Datenabfluss kommen kann.

Die gute Nachricht: Einige Security-Anbieter haben sich bereits auf die Absicherung von großen SaaS-Plattformen spezialisiert und wir erwarten, schon allein aufgrund der Relevanz dieses Themas, dass dieses Marktfeld weiter wachsen wird.

Cyberangriffe: Immer mehr, immer schneller, immer ausgereifter

Kompromittierung geschäftlicher E-Mails, Active-Directory-Angriffe, Ransomware, Phishing oder MFA-Fatigue-Attacken (Attacken zum Knacken von Multifaktor-Authentifizierung): Die Bandbreite an Angriffsmethoden ist in 2023 größer als jemals zuvor und wird für Cyber-Kriminelle die Basis für ein effektives und lukratives Geschäft bilden. Auch in diesem Jahr wird in diesem Zusammenhang voraussichtlich die größte Bedrohung von Erpressungssoftware ausgehen: Bereits seit Jahren nehmen vor allem die Angriffe mit Ransomware zu und daran wird sich auch in diesem Jahr nichts ändern. Im Gegenteil: Erpressungssoftware wird eine der größten Gefahren für Unternehmen, Behörden und Institutionen bleiben.

Auch Social Engineering bleibt in 2023 aktuell: Die Kriminellen streuen ihre Angriffe über den massenhaften Versand von Phishing-Mails nicht mehr breit, wie noch vor einigen Jahren. Stattdessen spähen sie ihre Opfer gezielt aus, um erkannte Sicherheitslücken auszunutzen. Dabei kommen Hacker immer schneller ans Ziel: Im Schnitt genügen ihnen elf Tage, um ihre Ziele auszuspionieren, lukrative Daten zu identifizieren, sie zu stehlen und/oder zu verschlüsseln. Unternehmen benötigen deshalb zunehmend intelligente Systeme zur frühzeitigen Angriffserkennung und Fachpersonal, das sich um deren Monitoring und eine schnelle Reaktion im Ernstfall kümmert.

Ein weiteres Problem, mit dem sich Unternehmen werden auseinandersetzen müssen, sind zunehmende synthetische Identitätsdiebstähle. Dabei kombinieren Cyberkriminelle gestohlene Informationen mit falschen persönlichen Angaben und erschaffen daraus neue, betrügerische Identitäten. Mit diesen können sie dann Konten eröffnen, im Internet einkaufen oder Kredite beantragen. Um diesem Problem Herr zu werden, werden vor allem Kredit- und Finanzinstitute, aber auch Gläubiger, verstärkt Scans oder Fotos der Pässe oder Ausweise von Antragsstellern verlangen, um damit die Identitäten zu verifizieren.

Remote-Zugriffe: Zero Trust statt VPN

Hybrid Work bleibt auch in diesem Jahr ein aktuelles Thema: Arbeiten im Homeoffice, von unterwegs oder im Büro liegt im Trend. Damit haben sich aber auch die Grenzen der Unternehmensnetzwerke verschoben: Wer hybrid arbeitet, greift auf einen Großteil seiner Anwendungen via Software-as-a-Service (SAAS) zu. Klassische VPN-basierte Konzepte stoßen hier jedoch an ihre Grenzen und sind nicht mehr zeitgemäß: Sie führen zu Performance-Engpässen und Latenzen in der Cloud-Performance, da Daten immer erst über einen sicheren Tunnel ins Unternehmensnetzwerk geleitet werden müssen.

Die Alternative bildet der Zero-Trust-Ansatz mit SASE (Secure Access Service Edge) – ein Konzept für einen sicheren Remote-Zugriff, das sich hoffentlich weiter durchsetzen wird. Denn dabei werden die entsprechenden Security-Kontrollen von einer Cloud-basierten Plattform bereitgestellt, an der sich die Nutzenden per Single-Sign-On anmelden. SASE sichert alle Zugriffe ab und ermöglicht eine performante Remote-Arbeit. Allerdings gibt es bislang nur wenige, ausgereifte Angebote auf dem Markt – und die sind dann auch noch sehr teuer. Eine Weiterentwicklung darf es hier in diesem Jahr gern geben!

Weniger Passwörter: Alternativen auf dem Vormarsch

Die Sicherheitslücke bei Uber (im September letzten Jahres gelang es einem 18-jährigen per Social Engineering an Login-Daten kommen und den Fahrdiensteanbieter zu hacken) konnte die Schwächen der Multifaktor-Authentifizierung (MFA) aufzeigen.

Wenngleich nicht davon auszugehen ist, dass Passwörter 2023 komplett verschwinden, dürfte sich die Zahl der insgesamt im Einsatz befindlichen Nutzername-Passwort-Verfahren in diesem Jahr erstmals reduzieren. Denn passwortlose Anmeldeverfahren sind auf dem Vormarsch und werden sich nach und nach durchsetzen. Solche passwortlosen Verfahren bestehen aus einem Besitzfaktor (beispielsweise ein mobiles Endgerät) und einem inhärenten Faktor (beispielsweise ein biometrisches Merkmal) und überprüfen die Identität von Nutzenden damit nicht nur sicherer, sondern auch anwenderfreundlicher, weil unkomplizierter.

Dennoch werden Passwort-Manager im nächsten Jahr allgegenwärtig sein, was sie wiederum zu einem wertvollen Ziel für Hacker macht.

KI und IoT

KI-gestützte Tools sind längst im Unternehmensalltag angekommen und auch der Einsatz von vernetzten Geräten, also das Internet of Things (IoT), wird in Unternehmen weiter zunehmen. Verständlich, denn beide Technologien versprechen mehr Flexibilität, Effizienz und Schnelligkeit in den Betriebsabläufen.

Für die IT-Sicherheit bringen sie Nutzen und Herausforderung zugleich: Wo KI-Systeme gezielt die IT-Sicherheit unterstützen und verbessern kann, können diese Systeme gleichzeitig zum Ziel von Angreifenden werden, um diese für ihre noch gezielteren und raffinierteren, automatisierten Attacken zu nutzen. Der Schutz von KI-Systemen vor Angriffen kommt in diesem Jahr noch höhere Priorität zu.

Fazit zu Cyber Security Trends 2023

Es zeichnet sich für dieses Jahr eine vielschichtige Bedrohungslage ab. Die eine Sicherheits-Bedrohung für eine bestimmte Branche gibt es nicht. Vielmehr müssen Unternehmen aller Branchen und Größen, KMU eingeschlossen, damit rechnen, Ziel eines Cyberangriffs zu werden. Denn Daten, Informationen und die Aussicht auf Lösegeld machen Unternehmen und Organisationen jeder Größe zum lohnenswerten Opfer.

Tatenlos zusehen und abwarten muss und darf jedoch niemand! Eine ganzheitliche IT-Security-Strategie, die neben Technik vor allem auch geschulte Verantwortliche und sensibilisierte Mitarbeitende einbezieht, kann effektiv zur Sicherheit eines Unternehmens beitragen.