Die Zukunft der Cybersicherheit: Was im kommenden Jahr NICHT passieren wird

Eine Version dieses Artikels erschien ursprünglich in Dark Reading. Er wurde für die hiesige Syndizierung aktualisiert.

In unserer Branche ist es für viele Sicherheitsexperten zur Gewohnheit geworden, die wichtigsten Themen für das kommende Jahr vorherzusagen (und ich mache da keine Ausnahme). Doch angesichts von mehr als fünf Milliarden gestohlenen sensiblen Datensätzen im Jahr 2019 hielt ich es für treffender, vorherzusagen, was nicht im Jahr 2020 oder in absehbarer Zukunft in der Cybersicherheit passieren wird.

Ich habe mich mit meinem Mitgründer Matias Madou zusammengesetzt und wir hatten viel Spaß bei der Erstellung dieser Liste. Sie ist als eher heiterer Ausblick gedacht, regt aber dennoch zum Nachdenken über den langen Weg an, der noch vor uns liegt, um jedes Unternehmen gegen böswillige Cyberangriffe zu wappnen.

Werfen wir nun einen Blick in unsere Kristallkugel und enthüllen unsere Vorhersagen. Wir werden Folgendes nicht sehen:

SQL-Injektionen, die aus sämtlicher Software verbannt wurden

Ich glaube, jeder Sicherheitsexperte auf diesem Planeten wartet auf den Tag, an dem er nicht mehr ständig damit aufgehalten wird, SQL-Injektions-Bugs bis zum Überdruss zu identifizieren.

Leider warten wir schon seit über zwanzig Jahren auf diesen Tag und werden mindestens noch ein weiteres Jahr warten müssen. Es ist die Schwachstelle, die wie eine Kakerlake bisher jede Taktik überlebt hat, um sie endgültig auszurotten.

Das ist gelinde gesagt frustrierend, da das Gegenmittel schon fast genauso lange bekannt ist. Die Priorisierung von Best Practices für Sicherheit in jeder Phase der Softwareentwicklung (insbesondere von Anfang an) bleibt jedoch zu gering und ist angesichts der massiven Zunahme der Code-Produktion seit der Entdeckung von SQL-Injektionen sicherlich unzureichend.

(Möchten Sie mehr über die Codierungsmuster erfahren, die zu SQL-Injektionen führen können? Nehmen Sie die Herausforderung hier an).

Entwickler und AppSec werden beste Freunde

Ach, Entwickler und das AppSec-Team. Werden sie sich jemals verstehen oder sind sie zu einem Leben voller Rivalität wie Rocky gegen Apollo verdammt? Die kurze Antwort lautet: Ja, sie können sich verstehen, aber derzeit sind ihre Prioritäten oft sehr unterschiedlich.

Wenn sie in einer Projektumgebung aufeinandertreffen, haben sie unterschiedliche Ansichten und geraten genau an der letzten Hürde aneinander: wenn AppSec-Spezialisten den Code eines Entwicklers durchforsten. Der Entwickler hat schöne, funktionale Funktionen erstellt (was seine oberste Priorität ist), die nun zerpflückt werden, wenn Sicherheitslücken entdeckt werden. Der Software-Sicherheitsguru hat im Grunde genommen ihr Baby als hässlich bezeichnet und den Entwickler gezwungen, zurückzugehen und alle Fehler zu beheben, was oft die Bereitstellung verzögert.

Im aktuellen Zustand wird sich das erst ändern, wenn Entwickler und AppSec-Teams auf ein gemeinsames Ziel hinarbeiten: die Erstellung sicherer Software. Das wird 2020 (und bei vielen Unternehmen auch noch einige Jahre danach) kein Standardprozess sein, aber mit dem Aufkommen der DevSecOps-Bewegung und darüber hinaus erkennen Entwickler die Notwendigkeit, sich im Bereich Sicherheit weiterzubilden und nach einem höheren Standard zu arbeiten – einem, der Sicherheitsziele von Anfang an einbezieht.

Ein Überangebot an Sicherheitsexperten

Im Jahr 2020, 2025, 2030... es ist so gut wie garantiert, dass wir weltweit einen Mangel an Sicherheitsexpertise haben werden.

Laut einem Bericht von ISC(2) sind derzeit rund 2,93 Millionen Stellen im Bereich Cybersicherheit unbesetzt. Das wird mit ziemlicher Sicherheit erst schlimmer werden, bevor es besser wird, und es gibt keine versteckte Sicherheitsarmee, die in den nächsten Jahren zu unserer Rettung eilen wird.

In naher Zukunft besteht unsere beste Chance, diesen Fachkräftemangel zu beheben, darin, Sicherheit zu einer organisatorischen Priorität zu machen und unsere bestehende Belegschaft weiterzubilden. Das bedeutet, Entwickler mit Schulungen und Tools für sicheres Programmieren auszustatten sowie eine unternehmensweite Sicherheitskultur zu schaffen. Die meisten aktuellen AppSec-Teams kämpfen wahrscheinlich gegen bekannte, alte Sicherheitslücken (siehe Punkt 1 oben). Wenn wir sicherstellen, dass sie keine wertvolle Zeit und Mühe mit der Behebung dieser häufigen Probleme verschwenden müssen, haben sie mehr Kapazitäten, um sich auf schwierige Sicherheitsprobleme zu konzentrieren (derzeit dürften dies Probleme mit APIs sowie die Entwicklung von Tools sein, die in Entwicklungspipelines passen).

Weniger Code-Produktion

Die Welt digitalisiert sich in einem atemberaubenden Tempo und die gesellschaftliche Nachfrage wird nicht nachlassen. Jedes Jahr werden etwa 111 Milliarden Zeilen Code geschrieben, und diese Zahl wird nur noch größer und erschreckender werden (zumindest für die ohnehin schon überlasteten AppSec-Teams).

Ein erhöhtes Code-Volumen erhöht zwangsläufig die potenziellen Sicherheitslücken. Daher sind Überlegungen, dass 2020 ein langsameres Jahr für Softwareproduktion und Sicherheitsverletzungen werden könnte, etwa so realistisch wie ein Einhornrennen beim Grand National.

Weniger gestohlene Datensätze

Wie bereits erwähnt: Mehr Code bedeutet mehr Schwachstellen, und das bietet Angreifern mehr Möglichkeiten, Wege zum Datendiebstahl zu finden.

Im Jahr 2019 wurden weltweit mindestens 5,3 Milliarden Datensätze gestohlen, und die Abwehr von Angreifern gleicht nach wie vor einem verzweifelten, reaktiven Wettlauf. Diese Zahl wird sich in den nächsten zwölf Monaten vielleicht nicht verdoppeln, aber ich denke, wir kommen dem nahe.

Betrachten wir als Beispiel die historischen Trends bei den gemeldeten Datendiebstählen in den Vereinigten Staaten im Jahresvergleich:

Im Zeitraum von 2005 bis 2010 zeigt sich ein stetiger Anstieg mit leichten Schwankungen zwischen den Jahren. Das ist interessant, aber ein wichtiger Punkt ist, dass 2009 die Zahl der gemeldeten Sicherheitsverletzungen im Vergleich zu 2008 stark zurückging. Dennoch gab es einen deutlichen Anstieg bei der Anzahl der gestohlenen Datensätze, obwohl es weniger Vorfälle gab.

Datensätze sind das neue Gold; sie haben für Angreifer einen Wert. Das Diagramm spiegelt einen allgemeinen Aufwärtstrend bei Sicherheitsverletzungen und der Anzahl gestohlener Datensätze wider, mit einem massiven Höchststand im Jahr 2017. Die Zahl der Angriffe war 2018 rückläufig, möglicherweise aufgrund strengerer Sicherheitsmaßnahmen, aber die Anzahl der erbeuteten Datensätze war so hoch wie nie zuvor. Cyberangriffe werden immer ausgefeilter, nehmen an Volumen zu und werden so schnell nicht verschwinden. Weltweit ist für 2020 kaum mit einem Rückgang zu rechnen, da Unternehmen rasant mehr Software produzieren als je zuvor. Sie sind die Hüter unserer Daten und müssen intelligenter arbeiten, um unsere Privatsphäre zu schützen.

Entwickler fordern längere und häufigere videobasierte Sicherheitsschulungen

Wenn es eines gibt, das Entwickler lieben, dann ist es das stundenlange Anschauen von computerbasierten Schulungsvideos (CBT). Die Nachfrage nach diesen fesselnden Inhalten ist sogar so groß, dass Netflix bald eine völlig neue Unterkategorie für allgemeine Sicherheitsschulungsvideos ankündigen wird.

Äh, nein. Nicht jetzt, nicht 2020, niemals.

Für Entwickler erfolgt der erste Kontakt mit dem Thema Sicherheit oft über Compliance-Schulungen am Arbeitsplatz. Sichere Programmierung ist selten Teil ihrer akademischen Ausbildung, und die Einarbeitung im Job ist oft die erste Begegnung mit Softwaresicherheit. Und wenig überraschend: Sie mögen das meistens nicht.

Damit Entwickler Sicherheit ernst nehmen – und damit Schulungen nützlich sind – müssen sie relevant, ansprechend und auf ihre tägliche Arbeit zugeschnitten sein. Einmalige Compliance-Schulungen oder eine endlose Flut langweiliger Videos sind nicht der richtige Weg, um Entwickler zu überzeugen, und sie werden die Zahl der Schwachstellen nicht verringern.

Wenn die Entwickler-Community eine Chance haben soll, zu einer sicherheitsbewussten Verteidigungslinie gegen gängige Schwachstellen zu werden, müssen sie mit echten Codebeispielen arbeiten – genau solchen, denen sie in ihrem Arbeitsalltag begegnen. Gestalten Sie das Lernen in kleinen Häppchen, leicht aufeinander aufbauend und motivieren Sie mit einer Prise Spaß. Damit eine Sicherheitskultur gedeihen kann, muss sie positiv und ansprechend sein und echte Fähigkeiten sowie Lösungen im gesamten Unternehmen fördern.

Wer weiß? Mit der richtigen Schulung entdeckt ein Entwickler vielleicht seinen inneren Sicherheits-Champion und trägt die Vorteile sicherer Programmierung weit in das Unternehmen hinein.

Null Todesfälle durch einen Cybersicherheitsvorfall

Das ist natürlich kein Spaß. Ich habe schon oft gesagt, dass die Welt sich erst dann wirklich für Cybersicherheit interessieren wird, wenn Menschen durch einen Cyberangriff zu Schaden kommen.

Das Problem ist, dass dies bereits geschehen ist, ohne dass es groß bemerkt wurde.

Cyberangriffe auf US-Krankenhäuser wurden 2019 mit einem Anstieg von Todesfällen durch Herzinfarkte in Verbindung gebracht. Natürlich haben die Angreifer keine tödlichen Herzereignisse bei Patienten verursacht, aber ihre Ransomware-Angriffe auf Krankenhaussysteme und -geräte verzögerten die Behandlungszeiten in der Notfallversorgung.

Diese Studie der University of Central Florida untersuchte 3.000 Krankenhäuser, von denen 311 eine Datenpanne erlebt hatten. In den betroffenen Einrichtungen dauerte es durchschnittlich 2,7 Minuten länger, bei Verdacht auf einen Herzinfarkt ein EKG durchzuführen. Dies lag wahrscheinlich an geänderten Abläufen, neu eingeführten Sicherheitsmaßnahmen und IT-Problemen, die mehr Zeit in Anspruch nahmen als zuvor. Die Erkennung und Behandlung eines Herzinfarkts ist ein Wettlauf gegen die Zeit, und diese Krankenhäuser verzeichneten im Durchschnitt 36 zusätzliche Todesfälle pro 10.000 Herzinfarkte pro Jahr.

Das ist schockierend, und leider befürchte ich, dass es erst schlimmer wird, bevor es besser wird. Dies sollte uns allen als deutliche Mahnung dienen, dass wir mehr tun müssen, um die Softwaresicherheit zu verbessern und sie in jedem Unternehmen in den Mittelpunkt zu rücken.

Weniger Stockfotos von „kapuzenbewehrten Hackern“

Gibt man bei einer Bildersuche „Hacker“ ein, stößt man unweigerlich auf Tausende Bilder einer gesichtslosen Gestalt mit Kapuze, die auf einem Laptop tippt, oder auf eine ähnliche Figur mit Guy-Fawkes-Maske.

Dieses Klischee vom Hacker ist mittlerweile ziemlich ausgelutscht und lässt zudem jeden wie einen Bösewicht aussehen. Es gibt jede Menge Sicherheitsexperten, und die negativen Konnotationen rund um das „Hacker“-Image tun niemandem einen Gefallen.
Ob sich das in absehbarer Zeit ändert? Wahrscheinlich nicht, aber man darf ja wohl noch träumen. Vorerst ist es wichtig, sich daran zu erinnern, dass Sicherheit nicht beängstigend sein muss.