Checkliste für Ciso: 7 Maßnahmen

1. Ermittlung des tatsächlichen Ausbreitungsradius: Die Analyse basiert auf Fakten statt auf theoretischen Architekturdiagrammen. Hierfür werden repräsentative Stichproben ausgewählt: ein Mitarbeitergerät, ein Server, eine privilegierte Identität, eine Cloud-Workload sowie eine betriebliche Ressource. Auf dieser Grundlage wird exakt ermittelt, welche Systeme jeweils tatsächlich erreichbar sind und welche Ports sowie Protokolle dafür offenstehen.

Lösung: Ein Schwachstellen-Score gibt Aufschluss darüber, wie schwerwiegend eine Schwachstelle sein könnte. Eine Bewertung des Ausbreitungsradius zeigt, wie schwerwiegend die Lage im Unternehmen ist.

2. Priorisierung von Schwachstellen nach erreichbaren Auswirkungen: Das konsequente Einspielen von Patches bleibt eine Kernaufgabe der IT-Sicherheit. Reine CVSS-Scores reichen jedoch nicht aus, um das tatsächliche Geschäftsrisiko abzubilden.

Lösung: Eine kritische Schwachstelle auf einer isolierten Ressource kann ein geringeres Geschäftsrisiko darstellen als ein Schwachpunkt mit niedrigerer Einstufung auf einer Workstation, von der aus 85 Prozent der Umgebung erreichbar sind.

3. Schließen unnötiger Ost-West-Verbindungen: Viele interne Zugriffsmöglichkeiten existieren lediglich aus historischer Gewohnheit oder Bequemlichkeit, nicht aufgrund tatsächlicher geschäftlicher Anforderungen. Verbindungen, die durch flache Netzwerkarchitekturen, veraltete Konfigurationen oder zu freizügige Firewall-Regeln entstanden sind, gilt es systematisch zu identifizieren und eliminieren. 

Der Grundsatz ist: Ausschließlich geschäftlich notwendige Kommunikation wird zugelassen, jeglicher andere Datenverkehr wird konsequent blockiert. Die Abgrenzung kritischer Netzwerkgrenzen – wie etwa das Unterbinden von Direktzugriffen von Mitarbeiter-Laptops auf Produktionsserver – erfordert präventives Handeln und darf nicht erst die Reaktion auf eine neu bekannt gewordene Sicherheitslücke sein.

4. Schutz privilegierter Protokolle zum Zeitpunkt des Zugriffs: Protokolle wie RDP, SMB, SSH, WinRM und RPC bieten zwar leistungsstarke Verwaltungswege, ermöglichen Angreifern jedoch gleichzeitig die rasche Ausweitung eines initialen Zugriffs. Privilegierte Ports bleiben daher standardmäßig geschlossen, bis ein legitimer Zugriff angefordert wird. Unerwartete Zugriffe – ob durch menschliche Akteure oder KI-Agenten – erfordern eine Identitätsprüfung nach dem Just-in-Time-Prinzip, während bekannte Maschine-zu-Maschine-Kommunikation weiterhin zugelassen wird. Gestohlene Anmeldedaten allein dürfen einem Angreifer niemals uneingeschränkte interne Bewegungsfreiheit gewähren.

5. Entkopplung der Eindämmung von der Erkennung: Unternehmen müssen Kontrollmaßnahmen so konzipieren und testen, dass sie laterale Bewegungen stoppen – selbst, wenn die anfängliche Kompromittierung noch nicht identifiziert wurde.

Lösung: Erkennungsmechanismen dienen der Sichtbarkeit und der Bereitstellung von Kontext. Sie dürfen jedoch nicht die einzige Schutzschicht zwischen einem kompromittierten Endgerät und einem unternehmensweiten Ausfall darstellen.

6. Ergänzung von SOC-Geschwindigkeitskennzahlen durch Resilienz-Metriken: Die durchschnittliche Erkennungs- und Reaktionszeit (MTTD/MTTR) bleiben relevante Leistungskennzahlen. Sie bieten dem Vorstand jedoch keine ausreichende Aussage darüber, ob das Unternehmen Angriffe in KI-Geschwindigkeit abwehren kann.

Lösung: Das Reporting ist um ressourcen- und architekturorientierte Kennzahlen zu erweitern. Die zentrale Kennzahl auf Vorstandsebene sollte einfach sein: Wie viel vom Geschäftsbetrieb kann ein kompromittiertes System stören?

7. Vorbereitung einer belastbaren Argumentation für den Vorstand: Vorstände stellen zunehmend die Frage: Was passiert, wenn KI eine ausnutzbare Schwachstelle entdeckt, bevor sie sich beheben lässt? Der Verweis auf bestehende Erkennungssysteme stellt hierbei keine ausreichende Antwort mehr dar.

Eine fundierte Positionierung lautet: Das Unternehmen kennt die genauen Ausbreitungswege, die von einem kompromittierten System aus erreichbar sind. Unnötige Zugriffspfade wurden eliminiert, privilegierte Protokolle eingeschränkt und risikoreiche Zugriffe verifiziert. Der potenzielle Schadensumfang wird somit bereits vor Beginn eines Angriffs wirksam begrenzt. Dies stellt eine messbare und überprüfbare Aussage zur Widerstandsfähigkeit dar.