„Never Trust, Always Verify“: Mit dem Versprechen, kriminelle Hacker fernzuhalten, setzt das moderne Security-Paradigma Zero Trust auf schärfste Einschränkungen der Zugriffsrechte. Wie das Prinzip „Null Toleranz“ im Unternehmenskontext wirkt und welche organisationalen Voraussetzungen für die Implementierung geschaffen werden müssen, erklärt Michael Beaupre von Hays im dritten und letzten Teil unserer Interviewreihe.

Foto: Hays Michael Beaupre, Head of Cyber Security bei Hays: „Die erfolgreiche Umsetzung von Zero Trust erfordert viel Geduld und eine enge Zusammenarbeit mit allen internen Interessengruppen. Abkürzungen oder halbherzige Ansätze können den Betrieb zum Stillstand bringen und großen finanziellen Schaden anrichten.“ it&t business: Im letzten Teil unseres Gesprächs erklärten sie, wie Sun Tzus Philosophie der Kunst des Krieges im Cyber-Kontext Anwendung finden kann. Kurz zusammengefasst: Unternehmen müssen anerkennen, dass sie sich im Kampf befinden. Sie müssen sich verpflichten, diesen Kampf zu gewinnen. Und nicht zuletzt müssen sie die dazu notwendigen Fähigkeiten entwickeln. Wie sehen diese Kompetenzen heute konkret aus?

Mike Beaupre: Das aktuell wirksamste Security-Paradigma heißt Zero Trust und basiert auf dem bewährten Sicherheitsparadigma DAPE (Deny All, Permit by Exception). Einfach ausgedrückt, wird standardmäßig jeder Zugriff verweigert. Die einzigen Ausnahmen sind explizit autorisierte Benutzer, deren Zugriffsrechte kontinuierlich überprüft werden. Die Zero-Trust-Maxime ist also – „never trust, always verify“.

Im Prinzip kann man sich das wie eine Bankfiliale vorstellen. Der Kundschaft wird freier Einlass zu den Bankautomaten, den Schaltern oder ausgewählten Büros gewährt. Darüber hinaus ist der Zutritt verboten. Andere Bereiche darf niemand ohne Erlaubnis betreten. Der Zugang zum Tresorraum und den Schließfächern wird allen Personen verweigert, die keine gültige Berechtigung vorweisen können. Wer durchgelassen wird, darf nur für einen bestimmten Zeitraum bleiben und nur bestimmte Aktionen durchführen. Jeder Zutritt bedarf einer begründeten Ausnahme.

Zero Trust geht jedoch über die physischen Grenzen hinaus. Die Daten werden kontinuierlich geschützt – unabhängig von den Umständen. Denken Sie an einen Geldtransport und daran, dass bei jedem Stopp der Zugriff auf das Geld kontrolliert und überprüft wird.

it&t business: Was gibt es bei der Einführung von Zero Trust zu beachten?

Mike Beaupre: Es gibt eine wichtige Voraussetzung für die erfolgreiche Umsetzung des Zero-Trust-Prinzips. Das Unternehmen muss festlegen, wer worauf zugreifen darf und was offengelegt werden kann, und zwar an wen. Je komplexer das Unternehmen ist, desto schwieriger ist es, diese Anforderung zu erfüllen. Es kommt also immer auf den Kontext an.

Viele Unternehmen führen Zero-Trust-Modelle ein, ohne sich die Zeit genommen zu haben, ein Verständnis für das Prinzip zu entwickeln oder mögliche Anwendungen zu simulieren. Sie unterschätzen oft die Komplexität und Vielfalt ihres Geschäfts. Nach der Einführung wird von der IT-Abteilung erwartet, dass sie selbst Lösungen findet – ein wenig erfolgversprechender Ansatz ohne den Geschäftskontext.

Zero-Trust-Architekturen sind sehr wertvoll, wenn sowohl die zugrunde liegenden Klassifizierungsprozesse als auch die Anweisungen für die gemeinsame Nutzung auf verständliche Weise definiert wurden. Die erfolgreiche Umsetzung erfordert viel Geduld und eine enge Zusammenarbeit mit allen internen Interessengruppen des Unternehmens. Abkürzungen oder halbherzige Ansätze können den Betrieb zum Stillstand bringen und großen finanziellen Schaden anrichten.

it&t business: Auf welchen Gründen scheitern Zero-Trust-Projekte ihrer Erfahrung nach?

Mike Beaupre: Es liegt nicht am Zero-Trust-Modell per se. Vielmehr sehe ich den Grund in einem fehlenden Verständnis der geschäftlichen Interoperabilität – diese zu verstehen bedarf viel Aufwand. Geduld zahlt sich in diesem Kontext aus. Denn ohne das notwendige organisationale Verständnis des Kontexts scheitern Zero Trust-Projekte. Deswegen sind Geduld, Sorgfalt und die Auswahl der richtigen Partnerunternehmen so relevant.

it&t business: Wie bewerten Sie die Zukunft von Cybersicherheit im Kontext des exponentiellen technologischen Wachstums? Auf welche Entwicklungen müssen sich Unternehmen einstellen?

Mike Beaupre: Der technologische Fortschritt, angetrieben durch die Pandemie, den 5G-Wettlauf, die IoT-Revolution, bewaffnete Konflikte gepaart mit staatlich geförderter Cyberkriminalität, haben das Leben, wie viele Menschen es kannten, grundlegend verändert.

Von smarten Zahnbürsten bis hin zur Smart Cities – Technologien, künstliche Intelligenz und Automatisierung spielen im menschlichen Zusammenleben sowie in der Arbeitswelt von heute eine zentrale Rolle. Einhergehend mit der exponentiellen Technologisierung wächst aber auch die Angriffsfläche für Cyber-Kriminalität. Mehr Technologie bedeutet mehr Schwachstellen. Mehr Schwachstellen bedeutet mehr Möglichkeiten angegriffen zu werden.

Cyberkriminelle investieren in moderne Technologien. Ein Teil der jährlich erbeuteten 10,5 Milliarden US-Dollar wird u.a. in Machine Learning, KI und Automatisierung investiert. Erschwerend kommt hinzu, dass kriminelle Hacker-Gruppen weder Gesetzen noch moralischen Grundwerten oder Führungsprinzipien folgen. Das macht sie schneller und gefährlicher. Wir müssen darauf vorbereitet sein.

it&t business: Wie können Unternehmen Cyber-Kriminalität die Stirn bieten?

Mike Beaupre: Es bedarf einer ganzheitlichen und zeitgemäßen Investitionsstrategie, um mit der Entwicklungsgeschwindigkeit von Cyberkriminalität Schritt zu halten. Unternehmen sollten deshalb ausreichend Kapital zur Verfügung stellen sowie die Verfügbarkeit knapper Ressourcen maximieren. Außerdem sollte in die Zusammenarbeit mit Forschung, Cyber-Sicherheitsabteilungen, internationalen Gremien und lokalen Gesetzgebern intensiviert werden. Denn bislang sind Cyber-Kriminelle agiler und besser finanziert als ihre Opfer. Gerade deshalb müssen Unternehmen ihre bisherige Herangehensweise an Cyber-Sicherheit radikal überdenken – sonst ziehen sie auf Dauer den Kürzeren.

it&t business: Welche Rolle spielt hierbei KI bzw. Automatisierung?

Mike Beaupre: KI und Automatisierung stellen großartige Möglichkeiten dar, den Nutzen von Investitionen zu maximieren, neue Geschäftsfelder zu erschließen und den wirtschaftlichen Schaden von Cyberangriffen erheblich zu reduzieren.

Dem IBM-Bericht „The Cost of a Data Breach 2022“ zufolge kosten Datendiebstähle in Unternehmen ohne KI und Automatisierung im Durchschnitt 65,2 Prozent mehr als in Unternehmen mit vollständig implementierten KI- und Automatisierungslösungen. Würde dieses Potenzial global ausgeschöpft werden, könnte der prognostizierte Gesamtschaden der Welt-Wirtschaft durch Cyber-Angriffe deutlich reduziert werden.

it&t business: Worauf kommt es schlussendlich an, um den Cyber-Kampf zu gewinnen?

Mike Beaupre: Ich bin noch immer der Überzeugung, dass der Mensch das Herzstück erfolgreicher Cyber-Strategien ist. Die Herausforderung, mit welcher sich Unternehmen konfrontiert sehen, ist die eklatante Qualifikationslücke. Weltweit wird von 3,5 Millionen unbesetzter Cyber-Stellen ausgegangen. Kein Wunder also, dass es laut dem IBM-Report 62 Prozent der Unternehmen an Personal fehlt, um ihre Cyber-Strategien umzusetzen.

Zu denken, die prekäre Cyber-Sicherheitslage wäre lediglich auf fehlendes Personal zurückzuführen, wäre allerdings zu kurz gedacht. Denn Cyber-Sicherheit ist eine multidimensionale Herausforderung, die eine ganzheitliche Herangehensweise erfordert. Es bedarf eines End-to-End-Lösungsansatzes, welcher menschliche Kompetenz sowie technologische Kapazität harmonisiert – komplementär, global vernetzt und strategisch integriert.

Um das zu erreichen, ist ein Paradigmenwechsel notwendig. Weg vom Konkurrenzgedanken und hin zu mehr Kollaboration in der Cyber-Domäne. Stellenweise ist dieser Trend bereits zu beobachten. Zukünftig muss diese Veränderung aber international skaliert und beschleunigt werden.

Kurzum: In innovative Technologie zu investieren und zukunftsorientiere Führungskräfte auszubilden, die sowohl ein wirtschaftliches Verständnis als auch operative Cyber-Kompetenz haben, ist unverzichtbar. Es kommt schlussendlich auf die Harmonisierung menschlicher Kompetenz und technologischer Kapazität an, um den Kampf gegen Cyber-Kriminalität zu gewinnen.

Michael Beaupre ist Head of Cyber Security beim Spezialisten für Personallösungen Hays. Der Experte für Cybersecurity, organisatorisches Risikomanagement und IT-Compliance blickt auf über 25 Jahren Erfahrung in der Beratung internationaler Unternehmen jeder Größenordnung und Einrichtungen des öffentlichen Sektors zurück.

Ende der Interview-Serie. Die vorherigen Teile lesen hier und hier.