Die Angriffsfläche eines Unternehmens beschränkt sich nicht mehr nur auf seine Arbeitsplätze. Die Stärkung der IT-Sicherheit im Jahr 2024 erfordert die Behandlung von Aspekten, die die meisten Leitfäden nur streifen: Netzwerkgeräte, die im Internet exponiert sind, stille Datenexfiltration und Lieferantenrisiken. Hier erläutern wir die technischen Schwerpunkte, die die Verteidigungsstrategie konkret verändern.
Exponierte Netzwerkgeräte: Der Einstiegspunkt, den Unternehmen unterschätzen
Firewalls, VPN-Hubs, E-Mail-Gateways: Diese Geräte sind direkt über das Internet zugänglich und stellen bevorzugte Ziele dar. Der Cyberbedrohungsbericht 2025, veröffentlicht von der ANSSI am 11. März 2026, bestätigt, dass die Schwachstellen dieser perimeter Geräte nach wie vor ein bedeutender Eindringlingsvektor sind.
Das Problem ist nicht das Fehlen einer Firewall, sondern deren Veralterung. Eine Firmware, die seit sechs Monaten auf einem VPN-Gerät nicht aktualisiert wurde, bietet ein Eingangstor, das so groß ist wie ein Server ohne Passwort. Die kosteneffektivste Maßnahme besteht darin, ein umfassendes Inventar der exponierten Dienste zu führen und die Patches kurzfristig nach Veröffentlichung anzuwenden.
Regelmäßige Überprüfung der von außen geöffneten Ports, Deaktivierung der über das Internet zugänglichen Administrationsschnittstellen und Segmentierung der eingehenden Datenströme nach Vertrauenszonen: Diese Maßnahmen reduzieren die Angriffsfläche ohne zusätzliche Softwareinvestitionen. Um die passenden Lösungen für Ihren Kontext zu vertiefen, können Sie die Website Cyber Vista besuchen, die verschiedene Ansätze zum Netzwerkschutz detailliert.
Datenexfiltration: Ausgänge überwachen, nicht nur Eingänge
Die Mehrheit der Cybersicherheitsstrategien konzentriert sich auf die Blockierung von Eindringlingen. Die ANSSI stellt in ihrem letzten Bericht eine Zunahme von Datenexfiltrationsvorfällen fest, während die Kompromittierungen durch Ransomware leicht zurückgehen. Der stille Diebstahl von Daten wird häufiger als die Verschlüsselung durch Ransomware.
Konkrete Angreifer, die im Netzwerk Fuß gefasst haben, können Kundendaten, Vertragsdokumente oder geistiges Eigentum kopieren, ohne jemals einen Alarm auszulösen, wenn keine Überwachung der ausgehenden Datenströme eingerichtet ist. DLP-Lösungen (Data Loss Prevention) oder Erkennungsregeln für anormale Transfervolumina zu ungewöhnlichen Zielen werden zu einer notwendigen Ergänzung der Backups.
Zu überwachende Indikatoren im Netzwerk
- Ungewöhnliche ausgehende Datenvolumina außerhalb der Arbeitszeiten, insbesondere zu geolokalisierten IP-Adressen außerhalb des gewohnten Unternehmensbereichs
- Massenzugriffe oder sequenzielle Zugriffe auf sensible Dateiverzeichnisse durch ein einzelnes Benutzerkonto über einen kurzen Zeitraum
- Ausgehende Verbindungen von internen Servern, die normalerweise keinen Internetzugang benötigen (Datenbankserver, Domänencontroller)
Diese schwachen Signale, die in einem SIEM oder einem Netzwerküberwachungstool korreliert werden, ermöglichen es, eine laufende Exfiltration zu identifizieren, bevor der Schaden irreversibel wird.
Lieferantenrisiko und Software-Lieferkette
Die IT-Sicherheit eines Unternehmens endet dort, wo die seiner Dienstleister beginnt. Der Bericht der ANSSI beschreibt Kompromittierungen über Dienstleister, was das Management von Drittanbieter-Risiken zu einer operativen Priorität macht, nicht nur zu einer vertraglichen.
Ein SaaS-Anbieter, dessen Infrastruktur kompromittiert ist, ein Integrator mit permanentem VPN-Zugang zu Ihrem Netzwerk, ein Subunternehmer, der Ihre Daten in einer schlecht isolierten gemeinsamen Umgebung speichert: Jedes Glied fügt einen Angriffsvektor hinzu. Die NIS-2-Richtlinie, deren Umsetzung in französisches Recht derzeit geprüft wird, verstärkt zudem die Verpflichtungen zur Risikomanagement im Zusammenhang mit Lieferanten für die betroffenen Stellen.
Konkrete Maßnahmen zur Kontrolle von Drittanbieter-Risiken
Von jedem kritischen Dienstleister einen dokumentierten Notfallplan verlangen. Die Fernzugriffe auf das unbedingt Notwendige beschränken mit einem Zero Trust-Ansatz für Lieferantenkonten: obligatorische Multi-Faktor-Authentifizierung, zeitlich begrenzte Sitzungen, vollständige Protokollierung.
Die Integration einer Sicherheitsprüfungs-Klausel in die Verträge ermöglicht es, regelmäßig zu überprüfen, ob der Dienstleister ein Schutzniveau aufrechterhält, das mit der Sensibilität der verarbeiteten Daten übereinstimmt. Ohne diese Sichtbarkeit delegiert das Unternehmen seine Sicherheit ohne jegliche Kontrollmöglichkeiten.
Authentifizierung und Benutzerverwaltung: Über das Passwort hinaus
Die Multi-Faktor-Authentifizierung (MFA) ist keine Option mehr, sondern eine Voraussetzung. Phishing-Angriffe zielen massiv auf die Anmeldedaten der Benutzer ab, und ein Passwort allein, selbst wenn es komplex ist, hält einer gut durchgeführten Phishing-Kampagne nicht stand.
Die phishing-resistente MFA basiert auf Hardware-Schlüsseln oder FIDO2-Protokollen, nicht auf einer einfachen SMS. Die per SMS gesendeten Codes sind anfällig für SIM-Swapping-Techniken. Für privilegierte Konten (Systemadministratoren, Zugang zu sensiblen Daten) reduziert der Wechsel zu physischen Tokens oder lokaler biometrischer Authentifizierung das Risiko einer Kompromittierung erheblich.
- Die MFA zuerst auf allen Fernzugängen (VPN, Cloud-Anwendungen, E-Mail) bereitstellen und dann auf kritische interne Zugänge ausweiten
- Die Konten von Mitarbeitern, die das Unternehmen verlassen haben, sofort widerrufen, einschließlich der zugehörigen Dienstkonten
- Die Zugriffsrechte nach dem Prinzip der geringsten Privilegien segmentieren: Jeder Benutzer hat nur Zugang zu den Ressourcen, die für seine Funktion erforderlich sind
Das Identitäts- und Zugriffsmanagement (IAM) bildet das Fundament, auf dem jede Strategie zum Schutz von Informationssystemen basiert. Ohne Kontrolle darüber, wer auf was zugreift, verlieren die anderen Sicherheitsschichten einen Großteil ihrer Wirksamkeit.
Die Stärkung der IT-Sicherheit eines Unternehmens im Jahr 2024 erfolgt nicht durch das Anhäufen von Werkzeugen, sondern durch die systematische Abdeckung der blinden Flecken: perimeter Geräte, ausgehende Datenströme, Lieferkette und starke Authentifizierung. Es sind diese technischen Grundlagen, die über einen längeren Zeitraum aufrechterhalten werden, die den Unterschied gegenüber zunehmend opportunistischen Angreifern ausmachen.
