Der Wandel, den wir im AppSec-Wilden Westen brauchen: Meine Prognosen für 2019

2018 war ein gewaltiges Jahr für Cybersicherheitsexperten. Trotz der Warnungen, Sicherheit ernster zu nehmen, und der ständigen Berichterstattung über die Förderung von Talenten in der Sicherheitsbranche sowie allgemeiner Bemühungen, Unternehmen für Cybergefahren zu sensibilisieren, stehen wir vor den rauchenden Trümmern hunderter Cyberangriffe. Diese führten zu großflächigen Datenlecks und einem massiven Vertrauensverlust der Verbraucher gegenüber bekannten Marken. Allein in der ersten Jahreshälfte 2018 wurden 4,5 Milliarden Datensätze kompromittiert – verteilt auf 945 einzelne Vorfälle.

Ich habe es schon oft gesagt: Wir können das besser. Die eigentliche Herausforderung besteht jedoch nicht im Kampf gegen Script-Kiddies, gefährliche organisierte Cyberkriminelle oder mysteriöse Gestalten mit Kapuzenpullovern vor ihren Laptops – der Kampf liegt darin, mehr Menschen dazu zu bewegen, sich überhaupt für diese Sicherheitsvorfälle zu interessieren.

Die DSGVO-Konformität ist ein guter Anfang, wird aber kurzfristig keine großen Auswirkungen haben.

Die Datenschutz-Grundverordnung (DSGVO) der Europäischen Union ist nun in vollem Gange und schwebt wie ein Damoklesschwert über Unternehmen, die den Datenschutz nicht ernst nehmen. Mit drohenden hohen Bußgeldern bei Verstößen sollte dies ein Weckruf für Unternehmen sein, ihre Sicherheitspraktiken zu verschärfen, Kundendaten respektvoller zu behandeln und Strategien zur Abwehr von Cyberangriffen zu entwickeln.

Einige Unternehmen wurden bereits vor hohen Strafen gewarnt, doch die wirklichen Konsequenzen bei Nichteinhaltung der DSGVO lassen noch auf sich warten. Bisher gab es keine existenzbedrohenden Strafen, sondern nur eine Flut von Pop-ups, die wir Webnutzer wegklicken müssen. Das liegt zum Teil daran, dass juristische Prozesse viel Zeit in Anspruch nehmen und zahlreiche Einspruchsmöglichkeiten bieten – Unternehmen, an denen ein Exempel statuiert werden könnte, stecken wahrscheinlich in monate- oder jahrelangen Rechtsstreitigkeiten. Zum Abschluss eines Albtraumjahres für Facebook wurde kürzlich eine weitere Datenpanne gemeldet: Ein API-Fehler legte private Fotos von 6,8 Millionen Nutzern für 1500 nicht autorisierte Anwendungen offen. Der Fehler wurde zwar innerhalb von zwei Wochen entdeckt und behoben, doch Datenschutzbehörden und die Öffentlichkeit wurden erst Monate später darüber informiert. Die DSGVO schreibt eine Meldung innerhalb von 72 Stunden vor, was viele Fragen zur tatsächlichen Wirksamkeit und zum Einfluss dieser Gesetze aufwirft.

Natürlich haben die Datenpannen andernorts nicht aufgehört: Der Marriott-Vorfall im November offenbarte, dass satte 500 Millionen Datensätze kompromittiert wurden. Noch besorgniserregender ist, dass die Angreifer vier Jahre lang Zugriff auf die Systeme hatten, bevor sie entdeckt wurden. Es sei jedoch angemerkt, dass Marriott einige Maßnahmen zur Schadensbegrenzung ergreift: Den Opfern wurde ein kostenloses 12-monatiges Abonnement von WebWatcher angeboten, einem Tool zur Kreditüberwachung. Doch bei 500 Millionen Datensätzen, die Hacker durchforsten können, bleibt abzuwarten, ob ein Jahr ausreicht, um für die meisten Nutzer eine sinnvolle Überwachung zu gewährleisten; schließlich kann es Jahre dauern, bis Ihre Daten für betrügerische Zwecke verwendet werden.

Langfristig werden Vorschriften wie die DSGVO einen positiven Wandel bewirken, sofern sie konsequent durchgesetzt werden. Wenn Unternehmen mit empfindlichen Geldstrafen (oder Sammelklagen von Kunden, deren Daten kompromittiert wurden) oder langfristigen Gewinneinbußen konfrontiert werden, wird meiner Meinung nach ein hektischer Fokus auf die Absicherung von Online-Datenbanken einsetzen.

Finanzinstitute werden auch weiterhin eine Vorreiterrolle bei kurzfristigen positiven Veränderungen einnehmen.

Es dürfte kaum überraschen, dass Finanzinstitute – als Hüter des hart verdienten Geldes weltweit – über einige der strengsten Best-Practice-Richtlinien für Cybersicherheit sowie über durchgängige Prozesse zur Risikominimierung verfügen.

Ein wesentlicher Treiber für diese Compliance ist der PCI Security Standards Council, der sich weiterhin dafür einsetzt, Finanzorganisationen bei der Implementierung tragfähiger Sicherheitsrichtlinien zu unterstützen und Leitlinien in allen Bereichen aufrechtzuerhalten. Sie haben maßgeblich dazu beigetragen, dass dieser Sektor heute zu den höchsten Sicherheitsstandards bei Zahlungssoftware gehört.

Was machen Finanzinstitute also anders als andere? Meiner Erfahrung nach sind sie generell sicherheitsbewusster und investieren Ressourcen in ganzheitliche Schulungsprogramme – nicht nur für AppSec-Profis und Pentester, sondern auch für ihre (meist sehr großen und global verteilten) Entwicklungsteams. Sie stellen sicher, dass Entscheidungsträger auf höchster Ebene verstehen, dass Sicherheitsprozesse keine einmaligen Maßnahmen sind; sie müssen sich so schnell weiterentwickeln wie die verwendete Technologie und sich an verändernde Risiken anpassen.

Immer mehr Unternehmen werden ihre Sicherheitspipeline transformieren.

Im Vergleich zu anderen IT-Bereichen ist AppSec noch relativ jung. Es ist schwer, der Neue zu sein: Man wird leicht missverstanden und hat vielleicht noch nicht die nötigen Schlüsselbeziehungen aufgebaut. Ich glaube jedoch, dass es mit jedem Jahr einfacher wird, AppSec selbst in den verstaubtesten Unternehmen zu etablieren, die sich gegen Veränderungen sträuben.

Es wird immer deutlicher, dass Unternehmen Sicherheits-Compliance nicht als letzten, kurzfristigen Schritt in ihren Softwareprozessen betrachten dürfen. Es muss durchgängige Kontrollen und Maßnahmen geben, wobei der Fokus stärker auf der Datenaggregation und der Bereitstellung von Transparenz für die Führungsebene liegen sollte. Ohne dies bleibt Sicherheit für die meisten ein Randthema. In einem solchen Szenario ist es praktisch unmöglich, die Ressourcen für eine fundierte Risikoplanung zu bündeln.

Die gute Nachricht ist, dass mehr Unternehmen als je zuvor ihre eigenen Cyberangriffe erkennen und an deren Behebung arbeiten. Die schlechte Nachricht? Dieser Prozess dauert durchschnittlich fünfundachtzig Tage.

Pentesting-Tools und manuelle Code-Reviews sind mühsam, teuer und langsam in einer Zeit, in der schnelle Innovation und Feature-Produktion in der Technologiebranche ein Muss sind. Das Sicherheitsbewusstsein muss von Anfang an vorhanden sein: von dem Moment an, in dem ein Entwickler den Code überhaupt erst schreibt.

Unsere Branche wird das Hauptproblem erkennen: Wir müssen dafür sorgen, dass es den Menschen wichtiger ist.

Fakt ist: Ich könnte konservativ geschätzt zwanzig Personen in meinem Netzwerk nennen, die in den letzten vier Jahren in einem Marriott-Hotel übernachtet haben. Bei 500 Millionen gestohlenen Datensätzen in diesem Zeitraum ist die Wahrscheinlichkeit hoch, dass ihre Daten betroffen waren. Alles, von aktuellen Kontaktdaten über noch gültige Kreditkartennummern bis hin zu Passdaten, könnte gerade jetzt im Darknet zum Verkauf stehen. Ihr Interesse daran war jedoch gleich null.

Und nun ja, es ist leicht, sich in Sicherheit zu wiegen, wenn man bei einem derart groß angelegten Datendiebstahl im Grunde nur eine Nadel im Heuhaufen ist.

Das eigentliche Problem ist jedoch: Unternehmen, die die Daten ihrer Kunden nicht schützen konnten, haben kaum Konsequenzen zu befürchten. Sinkt der Aktienkurs unmittelbar nach dem Vorfall? Aber sicher. Target, Equifax und jetzt Marriott können das bestätigen. Ein Blick auf die letzten zwölf Monate zeigt jedoch, dass die Erholung recht schnell erfolgt. Ein paar Jahre später ist finanziell alles vergeben und vergessen.

Solange es keine ernsthaften Konsequenzen gibt – hohe Bußgelder, strengere Vorschriften und erhebliche Geschäftseinbußen –, wird AppSec eine Branche bleiben, die ständig darum kämpfen muss, die Schwere der wachsenden Cyberrisiken zu vermitteln, denen ein Unternehmen ausgesetzt ist.

Ich fürchte, es wird erst noch viel schlimmer, bevor es besser wird. Daher ist es von größter Bedeutung, dass wir sicherheitsbewusste Entwickler ausbilden und robuste Sicherheitskulturen in den technischen Teams eines Unternehmens etablieren. Behalten Sie das im Fokus und streben Sie stets nach einem höheren Standard bei der Softwaresicherheit.