Thought Leadership
Vor etwas mehr als einem Monat entdeckte Microsoft die Sicherheitslücke Bluekeep, die die schlimmsten Cyberangriffe seit der berüchtigten Ransomware-Attacke WannaCry aus 2017 ermöglichen könnte.
WannaCry konnte sich nur deshalb so weit ausbreiten und solch immense Schäden verursachen, weil Tausende von Systemen nicht gepatcht waren. Microsoft hatte zwar einen Patch bereitgestellt, der vor WannaCry geschützt hätte, aber dieser Patch war bei vielen Systemen nicht aufgespielt worden. So blieben diese Systeme verwundbar.
Mit Bluekeep droht sich die Geschichte zu wiederholen: Einige Wochen nach der Entdeckung von Bluekeep und Bereitstellung des Patches durch Microsoft sind immer noch fast eine Millionen Systeme mit extern exponiertem RDP ungepatcht.
Die als Bluekeep bezeichnete Sicherheitslücke im Remote Desktop Protocol (RDP) birgt ein so großes Gefahrenpotenzial, dass neben Microsoft auch die National Security Agency (NSA) darüber informiert. Microsoft hat mehrere Blogposts darüber veröffentlicht. Die NSA gibt an, dass die terroristische Organisation ISIS nach Wegen sucht, Bluekeep für Cyberangriffe auszunutzen. Das Department of Homeland Security fordert jeden dazu auf, jetzt seine Systeme zu patchen.
Die Gemeinsamkeiten zwischen BlueKeep und WannaCry sind beunruhigend. Beide sind das Ergebnis von RDP Exploits. Beide sind Exploits, die ein Wurm ausnutzen kann, der sich dann automatisch über Systeme hinweg verbreiten würde, ohne dass eine Benutzerauthentifizierung oder -interaktion erforderlich ist.
Wenn trotz des derart hohen Gefahrenpotenzials immer noch Systeme ungepatcht sind, stellt sich die Frage nach den Gründen dafür. Einer könnte sein, dass Unternehmen nicht so gewissenhaft sind wie sie sein sollten, wenn es um die Cybersicherheit ihrer Lieferanten geht. Die Transparenz der Cybersicherheit der Lieferkette – oder das Fehlen dieser Transparenz – ist ein großes Problem, besonders in unserer immer stärker vernetzten Welt.
Durch die Globalisierung arbeiten Unternehmen völlig selbstverständlich mit Anbietern aus der ganzen Welt zusammen, die IT-Sicherheit sehr unterschiedlich handhaben. Wie können sie sicher sein, dass ihre Lieferanten und Partner ihre Systeme routinemäßig patchen, um sicherzustellen, dass sie vor Schwachstellen wie BlueKeep und WannaCry geschützt sind?
Unternehmen könnten ihre Lieferanten einfach fragen, ob sie ihre Sorgfaltspflicht erfüllen und auf gute Cyber-Hygiene achten. Aber wenn die Lieferanten dann mit Ja antworten, wer weiß, ob das wirklich wahr ist? Unternehmen könnten von ihren Lieferanten auch verlangen, dass sie ihre IT-Sicherheit verbessern, aber die Unternehmen brauchen dann immer noch einen Weg, um zu prüfen, dass diese Verbesserungen stattgefunden haben und erfolgreich waren („vertrauen, aber überprüfen“). Unternehmen könnten Lieferanten auch von ihrem Netzwerk trennen, aber das kann je nach Wichtigkeit des Lieferanten zu enormen Störungen im eigenen Unternehmen führen.
Ein besserer Ansatz ist stattdessen, Transparenz über die Cybersicherheit der Lieferanten zu gewinnen. Diese Unterdisziplin von Supply Chain Risk Management wird auch als Risikomanagement des Lieferanten-Cyberrisikos bezeichnet. Im Zuge dessen werden zuerst mit technischen Lösungen in Echtzeit und automatisiert die Sicherheitsschwachstellen von Lieferanten aufgespürt. Mit diesem Wissen können Unternehmen zweitens bei ihren Lieferanten darauf hinwirken, gezielt Schwachstellen zu beseitigen. Drittens wird mit den oben erwähnten technischen Lösungen dann überprüft, ob die Schwachstellen tatsächlich erfolgreich beseitigt wurden. So gewinnen Unternehmen Daten darüber, welche ihrer Lieferanten es ernst meinen, Cyberrisiken zu senken und dazu beitragen, dass die von ihrer Lieferkette ausgehenden Cyberrisiken sinken.
Ohne eine derartige, datenbasierte Transparenz bleiben Unternehmen über ihre Lieferkette angreifbar. Genau darauf setzen Organisationen wie ISIS und andere Gruppen. Sie wissen, dass manche Unternehmen Themen wie Bluekeep nicht so viel Aufmerksamkeit schenken wie sie sollten. Denn die Angreifer brauchen nur eine einzige passende Schwachstelle, um einen Angriff durchzuführen, der sich rasend schnell ausbreitet.
Derzeit sind bei Unternehmen aus den Branchen Telekommunikation, Bildung und Technologie noch die meisten Systeme ungepatcht und daher verwundbar für Angriffe über Bluekeep. Es könnte schwerwiegende Folgen haben, wenn ein Angreifer unter Ausnutzung von Bluekeep in das Kommunikationsnetz eines Landes eindringen würde.
Unternehmen müssen so viele Schwachstellen wie möglich schließen, um Angreifern keine Gelegenheiten zu bieten. Sie sollten sich nicht zurücklehnen und darauf warten, bis Malware erkannt wird, denn das ist nur eine Frage der Zeit. Unternehmen dürfen auch nicht das Risiko eingehen, ungewollt bei der Finanzierung eines Terroranschlags mitzuwirken, indem sie bösartigen Akteuren erlauben, Zugang zu ihren Konten zu erlangen.
Stattdessen müssen Unternehmen Transparenz in ihre Lieferkette und die davon ausgehenden Cyberrisiken bringen. Sie müssen Schwachstellen bei sich und bei ihren Lieferanten schließen. Dazu brauchen sie Planung und Vorbereitung. Noch existiert so gut wie keine Malware, die Bluekeep ausnutzt, aber das ist nur eine Frage der Zeit. Es ist jetzt Zeit zu handeln, bevor Bluekeep zu WannaCry 2.0 wird.
www.bitsight.com
