100 Gramm Security, bitte! Warum man Cybersicherheit nicht kaufen kann

Auch wenn viele sich das wünschen: IT-Sicherheit ist nichts, was man mal eben kaufen kann. Zum Glück weiß unsere Kolumnistin, was wirklich hilft. Immer wieder melden sich Menschen mit einem etwas seltsamen Anliegen bei mir: „Du Bianca, ich habe gerade etwas Budget für IT-Security bekommen, was kaufe ich da jetzt am besten?“ Meine Antwort ist meistens: „Egal, was du jetzt machst, kaufe nicht vorschnell irgendwelche Security-Produkte.“ Darauf reagieren Menschen immer sehr irritiert – daher ist es heute an der Zeit, diese Irritation etwas aufzulösen. Warum Cybersecurity kein Produkt ist, das sich einfach einkaufen lässt. Cybersicherheit: Mehr hilft nicht immer mehr Im ersten Moment wirkt es logisch: Für Cybersecurity brauche ich ein paar technische Produkte, die mich vor diversen Gefahren schützen. Firewalls gegen unerwünschten Netzwerkverkehr aus dem bösen Internet etwa, oder Virenscanner – neudeutsch Endpoint-Detection-Systeme – gegen Malware und Viren auf Systemen. Dazu noch eine Virtual-Private-Network-Lösung, kurz VPN, damit ich unterwegs oder im Homeoffice auch entspannt das Intranet oder andere interne Anwendungen nutzen kann. Dann müsste das mit ein paar Produkten doch ganz viel Sicherheit geben, oder? [crosslinks ids="252957,252939,252836"] Meist ist in der Realität das Gegenteil der Fall. Nicht mehr Sicherheit entsteht durch den Einsatz von solchen Produkten, sondern sogar weniger. Nicht selten sind solche Cybersecurity-Produkte oftmals sogar der explizite Grund für Cyberangriffe. Die wegen Sicherheitslücken undichte Firewall, der Zero-Day-Exploit im VPN oder andere Fehler eröffnen Angreifern oftmals sehr schnell Zugriff auf eigentlich geschützte Systeme. Massenhaft. Warum also führen Security-Produkte allein nicht automatisch zu mehr Sicherheit? Zuerst einmal kommt ein Security-Produkt mit seinen Versprechungen, bestimmte Sicherheitsrisiken zu minimieren, nicht umsonst. Security-Produkte kosten nicht nur Geld, sie kosten auch Komplexität und Aufwand in Form von zusätzlichen Abhängigkeiten. Jedes Security-Produkt will kontinuierlich mit Updates versorgt werden, es muss aktuell gehalten werden mit Updates an der Software und weiteren Informationen wie zum Beispiel Definitionen von Viren und Malware. Was uns der Crowdstrike-Fehler lehrt Mit jedem Security-Produkt kauft sich der Mensch also zusätzliche Arbeit und oftmals auch mehrere Points of Failure. Komponenten also, deren Ausfall oder Fehlverhalten ganze Unternehmen angreifbar machen oder zum Stillstand bringen kann. Diese teils sehr hohe Abhängigkeit von einzelnen Security-Produkten und deren Anbietern haben etwa Fluggesellschaften Mitte Juli 2024 schmerzlich erfahren müssen: Als der Anbieter Crowdstrike bei seiner Endpoint-Detection-Software Falcon ein fehlerhaftes Definitionsupdate ausrollte, ging sehr schnell gar nichts mehr. Etwa 5.000 Flüge weltweit mussten gecancelt werden, und in den USA fielen in mehreren Bundesstaaten die Notrufnummern aus. Der Crowdstrike-Fehler hat damit auch gleich noch gezeigt, dass es nicht besonders vorteilhaft ist, eine weitgehend homogene IT-Systemlandschaft aus nur einem oder wenigen Herstellern zu haben. Weil deren Fehler ganze Unternehmen mit in den Abgrund ziehen können. Security-Produkte schaffen so nicht selten ein falsches Gefühl von Sicherheit, wenn sich Unternehmen oder Einzelpersonen nur allein auf die Sicherheitsversprechen und die Funktion dieser wenigen Produkte verlassen. Wie also wäre das Budget besser investiert? IT-Sicherheit beginnt erst einmal mit dem Verständnis des oftmals komplexen Systems der eigenen IT-Landschaft. Wie hängen diese ganzen Anwendungen und Produkte eigentlich zusammen? Was greift wie ineinander? Was passiert, wenn ein Teil der Kette versagt? Gibt es einen Plan B für den Notfall? Dieses Gesamtverständnis zu schaffen, kostet oftmals nicht viel Geld, aber Gedankenleistung und ist mühsam. Es hilft aber dabei, genauer zu verstehen, wo Security-Produkte eigentlich helfen können, denn: Security ist kein Produkt, es ist am Ende das Verständnis eines Gesamtprozesses.