Diese Security-Technologien haben ausgedient – Source: www.csoonline.com

JL_OFF | shutterstock.com

Sicherheitsentscheidern steht eine ständig wachsende Auswahl von digitalen Tools zur Verfügung, die sie dabei unterstützen, Cyberattacken abzuwehren. Und wie aktuelle Zahlen von Gartner belegen, nutzen sie diese auch ausgiebig: Demnach prognostizieren die Marktforscher für das Jahr 2025 einen Anstieg der Ausgaben für Cybersicherheit um 15 Prozent von 87,5 auf über 100 Milliarden Dollar.

Natürlich entfällt das Gros dieser Investitionen auf neue Technologien und Features – insbesondere solche, die einen GenAI-„Stempel“ vorweisen können. Allerdings planen CISOs einen Teil ihres Budgets auch dafür ein, veraltete Technologien und Praktiken zu substituieren. Welche das sind, haben wir im Gespräch mit Sicherheitsentscheidern verschiedener Unternehmen erörtert.

1. Passwörter

Richard Marcus, CISO beim Softwareanbieter AuditBoard, macht keinen Hehl aus seiner Ablehnung gegenüber traditionellen Passwörtern: „Kennwörter sind out – insbesondere in Zusammenhang mit Drittanbietern. Wenn man diese Anmeldedaten nicht diszipliniert rotiert, ist das Risiko einfach zu hoch.“

Bei AuditBoard nimmt man laut CISO Marcus seit 2024 zunehmend Abstand davon, Passwort-gestützte Sicherheitskontrollen einzusetzen. Stattdessen setzt das Unternehmen auf dynamische Methoden zur Benutzerauthentifizierung: „Wenn wir einen Anbieter selektieren, sagen wir ganz offen, dass wir keine statischen Authentifizierungsmethoden wie Passwörter oder Token ausgeben möchten. Man muss dabei aber realistisch bleiben: Wenn das bei bestimmten Produkten nicht umsetzbar ist, müssen die verwendeten Passwörter regelmäßig geändert werden. Für uns sind statische Credentials zur Ausnahme geworden.“

2. Penetrationstests mit Termin

Kein Security-Tool, in den Augen mancher Experten aber eine veraltete Strategie: Terminierte Penetrationstests. Diese Ansicht vertritt zum Beispiel Attila Torok, seines Zeichens CISO beim Softwareanbieter GoTo. Er hält insbesondere Pentests, die ein- oder zweimal im Jahr abgehalten werden, um Compliance- oder Anbieteranforderungen zu erfüllen, für überflüssig: „Das ist nicht geeignet, um die die tatsächliche Sicherheitslage eines Unternehmens effektiv zu bewerten. Vielmehr handelt es sich um eine Momentaufnahme. Die Umgebung bei GoTo verändert sich beispielsweise ständig: Wir ändern unseren Code mehrmals am Tag – ein jährlicher Penetrationstest würde also nichts bringen außer exorbitante Kosten.“

Allerdings ist der Sicherheitsentscheider nicht per se ein Gegner von Penetrationstests: Er setzt nach eigener Aussage selbst ein Team ein, das die Goto-Umgebung in regelmäßigen Abständen auf Schwachstellen testet: „Ein dynamischer Ansatz für Pentests ist für Umgebungen, die sich ständig verändern, die bessere Wahl.“   

Darüber hinaus hält Torok auch Bug-Bounty-Programme für effektiver hält als terminierte Penetrationstests: „Bei Penetrationstests wird der Anbieter bezahlt, unabhängig vom Ergebnis. Bei einem Bug-Bounty-Programm muss vorab ein bedeutendes Ergebnis vorliegen. Das schafft meiner Meinung nach einen größeren Anreiz, Schwachstellen zu finden.“

3. VPNs

Begrenzten Mehrwert liefern inzwischen auch Virtual Private Networks (VPNs) – wenn man einigen CISOs Glauben schenkt. Zum Beispiel Pablo Ballarin, Mitbegründer und CISO des spanischen IT-Dienstleisters Balusian: „VPNs machen nur in bestimmtem Kontext Sinn. Etwa, wenn viele Mitarbeiter in ihrem Unternehmen nur über eigene Geräte verfügen und ansonsten keine andere Möglichkeit besteht, auf interne Services zuzugreifen. Es gibt inzwischen bessere Optionen und ergänzende Lösungen.“

Die sieht der Sicherheitsentscheider zum Beispiel in:

• Multifaktor-Authentifizierung,
• Zertifikat-basierter Authentifizierung, oder
• einer Zero-Trust-Strategie.

Aktuellen Research-Ergebnissen zufolge stellen VPNs inzwischen auch ein nicht zu unterschätzendes, potenzielles Einfallstor für Angreifer dar. So wurden laut dem „2024 VPN Risk Report“ von Zscaler 56 Prozent der in diesem Rahmen befragten Unternehmen mindestens einmal über ungepatchte VPN-Schwachstellen angegriffen. Diese Gefahr ist den Studienteilnehmern aber auch bewusst: 91 Prozent der 647 befragten IT- und Sicherheitsexperten äußerten Bedenken hinsichtlich der Gefährdung ihrer IT-Sicherheitsumgebung durch VPNs.

4. On-Premises-SIEMs

SIEM-Systeme (Security Information and Event Management) können potenzielle Bedrohungen und Schwachstellen identifizieren und beheben – und zählen zu den grundlegenden Sicherheitstechnologien.

Geht es nach George Gerchow, IANS-Research-Dozent und Interims-CISO bei MongoDB, sollten On-Premises-SIEMs allerdings der Vergangenheit angehören: „Diese Systeme geben zu viele Warnmeldungen aus und führen zu Alert Fatigue. Außerdem sind sie nicht auf die Cloud ausgelegt, was die Anwender dazu zwingt, entweder große Datenmengen zu bewegen und diese zu speichern. Oder ganz darauf zu verzichten, die Daten zu nutzen, die nötig sind, um die Sicherheit von Cloud-Deployments zu gewährleisten.“

Gerchow erkennt zwar an, dass viele Unternehmen SIEMs On Premises einsetzen, weil sie sensible Protokolldaten nicht in die Cloud stellen wollen. Dennoch hält er daran fest, dass die On-Premises-Zeiten von SIEM vorbei sind.

5. Konventionelle Firewalls

Firewalls gehören schon seit den 1980ern zum Security-Handwerkszeug. Natürlich haben sich auch diese Tools bedeutend weiterentwickelt – allerdings werden einfache, traditionelle Firewalls und WAFs (Web Application Firewalls) den heutigen Anforderungen nicht mehr gerecht. Davon ist etwa Stephanie Hagopian, Vice President bei der CISO-Beratung CDW, überzeugt: „Die Firewall als traditionelles Hardware-Asset ist tot. Der Trend geht zu digitalen Lösungen, zum Beispiel aus der Cloud.“

Allerdings warnt die Security-Expertin davor, den Umstieg auf solche modernen Firewall-Lösungen auf die leichte Schulter zu nehmen: „Es geht nicht nur darum, einen Schalter umzulegen. Die neue Lösung muss konfiguriert und die alte Hardware ausgemustert werden. Und das Team muss lernen, mit der neuen Technologie umzugehen.“ (fm)

Sie wollen weitere interessante Beiträge rund um das Thema IT-Sicherheit lesen? Unser kostenloser Newsletter liefert Ihnen alles, was Sicherheitsentscheider und -experten wissen sollten, direkt in Ihre Inbox.