Vertrauen gegen Cybercrime

Hinter FIRST (Forum of Incident Response and Security Teams) verbirgt sich der weltweite Zusammenschluss von CERTs (Computer Emergency Response Teams), die als Ansprechpartner für IT-Sicherheit dienen - sei es im nationalen Umfeld wie CERT.at, aber auch auf Unternehmensebene, im Universitäts- und Governmentbereich. FIRST dient dem Informationsaustausch sowie der Weiterbildung für die einzelnen Mitglieder.

"Die Arbeit von FIRST besteht darin, das Networking, die Zusammenarbeit und den Austausch von Fachwissen, sowie Managementpraxis anzuregen und zu fördern", betont Schischka. "Auf unserer jährlichen Konferenz können Teilnehmer Fachkollegen treffen und eine Vertrauensbasis schaffen, die über Konzernfachgebiete und geografische Grenzen hinausgeht."

Die Konferenz dient aber nicht nur dem Meinungsaustausch zwischen den Mitgliedern, sondern ermöglicht auch mit Security befassten IT-Professionals ein Update der aktuellen Entwicklungen sowohl was die internationale Entwicklung der Bedrohungslage, was Security-Management- und Compliancefragen als auch die Technologie betrifft.

Zu den Vortragenden zählen unter anderem renommierte Security-Spezialisten wie Peter Zinn von der Dutch National High Tech Crime Unit; Melissa Hathaway, President, Hathaway Global Strategies and Senior Advisor, Harvard Kennedy School's Belfer Center; der Security-Journalist und Blogbetreiber Brian Krebs; John Stewart, CSO von Cisco; Rob Thomas, Gründer von Team Cymru Research NFP; Eugene Kaspersky, Chef des gleichnamigen Antiviren-Produzenten; Francisco Garcia Morán von der Europäischen Kommission sowie Mikko Hypponen, Security-Spezialist von F-Secure.

Vertrauen zählt

Was die Organisation der CERTs so einmalig macht ist, dass zwischen den Mitgliedern eine gemeinsame, persönliche Vertrauensbasis besteht, die es ermöglicht, dass Informationen über sicherheitsrelevante Vorfälle rasch und unbürokratisch ausgetauscht werden können.

Deshalb begrüßt Schischka, dass immer mehr Unternehmen die Einrichtung von CERT-Teams überlegen. Im Finanzsektor hat sich diesbezüglich schon einiges getan. Auch hier sei Vertrauen und Informationsaustausch über Unternehmens- und Mitbewerbsgrenzen hinweg wichtig, um auf Security-Vorfälle rasch und gezielt reagieren zu können. Und für andere Branchen wie der Industrie wäre es genauso wichtig, sich hier einzubringen.

"Die Angriffe werden immer augefeilter und zielgerichteter", so Schischka. Er verweist auf so "sophisticated" entwickelte Bedrohungen wie Stuxnet: "Dabei geht es nicht nur um Wirtschaftsspionage, es könnte auch sein, dass einfach nur Chaos angerichtet werden soll."

Botnetze und mobile "Zeitbombe"

Vertrauen ist die eine Seite, das Bewusstsein für die schwierige Sicherheitsproblematik im Internet zu fördern, die andere. Das beginnt schon bei Privatanwendern, denen oft egal ist, was auf ihrem PC passiert, solange er nur funktioniert. Schischka begrüßt zum Beispiel die "Botfrei"-Initiative der deutschen Internet-Wirtschaft. Österreich schneide was Botnetze betrifft im Vergleich zu Deutschland zwar relativ gut ab, aber das Security-Bewusstsein unter "einfachen Usern" sei noch lange nicht dort, wo es sein sollte.

Mit Sorgenfalten betrachtet Schischka die Entwicklung im mobilen Bereich. "Hier triftet die Schere zwischen Anwenderbequemlichkeit und Sicherheit immer weiter auseinander, zumal auch die Kosten eine große Rolle spielen." Auf diese Weise werde die relative Sicherheit, die Mobilfunknetze einmal geboten haben, unterminiert. So würde der Einsatz von Smartphones die Zwei-Wege-Absicherung des Online-Bankings nicht gerade sicherer machen. Sein saloppes Fazit: "Je dümmer das Handy, umso sicherer."

Sorgen bereiten Schischka auch Soziale Netzwerke, wo oft völlig kritiklos private Daten eingestellt werden. "Solche private Daten werden immer mehr für Social Engineering-Attacken genützt", begründet der Experte seine Vorsicht.

Sichere Cloud?

Der Cloud-Boom birgt natürlich auch Sicherheitsrisiken "Ganz wichtig ist es für Unternehmen, dass sie sich die AGBs anschauen, bevor sie Cloud Dienstleistungen in Anspruch nehmen", betont Schischka. "Je greifbarer der Vertragspartner, umso besser." Unternehmen sollten sich auch ganz genau überlegen, welche Daten sie einer Public-Cloud überantworten: "Man sollte sich hier nicht vom Rechenstift leiten lassen, sondern eine Risikobewertung vornehmen."

Die diesjährige FIRST-Konferenz wird von CERT.at veranstaltet und wird im Hilton Vienna in Wien stattfinden. Mehr Informationen zu den Anmeldungsgebühren und -bedingungen unter http://conference.first.org