"IT-Security ist ein ganzheitliches Thema"

Welche großflächigen Trends kennzeichnen die Malwareszene und welche aktuellen Sicherheitsbedrohungen können daraus abgeleitet werden?

Es ist Fakt, dass die Professionalisierung der Malware-Industrie seit Jahren immer weiter voranschreitet. Die Verlagerung von Malware ins Internet hat im vergangenen Jahr stark zugenommen. Mittels Drive-by-Download installiert sich vom Anwender vollkommen unbemerkt Schadcode durch Sicherheitslücken im Browser.  Das Internet gleicht vom Gefahrenpotential mittlerweile eher einem Minenfeld.  Es bietet den Angreifern aber auch die Möglichkeit den Schadcode nur an legitime Besucher auszuliefern. Wer keine gültige ID aus dem Link der Spam-Mail hat, wird im einfachsten Fall auf eine Webseite ohne Schadcode geleitet. Da immer öfter P2P-Strukturen zur Verbreitung der Kommandos genutzt werden, lassen sich die Botnetze der Kriminellen nicht so einfach vom Netz nehmen.

Bereits im vergangenen Jahr prognostizierten unsere Experten einen weiteren Trend: Wegwerf-Trojaner. Dieses Malware-Recycling beschert uns seit Anfang des Jahres eine unglaubliche Schwemme von  Schadcode. Bei diesem Konzept wird Schadcode nur einmal eingesetzt und dann in modifizierter Form in unglaublich kurzen Intervallen wieder in Umlauf gebracht.

Welche Konsequenzen ergeben sich daraus für die globale Wirtschaft beziehungsweise für einzelne Unternehmen?

Der Schaden, der durch Online-Kriminelle weltweit verursacht wird, ist generell schwer zu beziffern. In diesem Jahr erwarten wir eine Schadenshöhe, die deutlich im dreistelligen Milliardenbereich liegen wird. Der Kampf gegen die Kriminellen ist von staatlicher Seite äußerst schwierig, da diese – vergleichbar mit  Großunternehmen – weltweit agieren.  Multinationale Konzepte zur Bekämpfung sind von Seiten der Strafverfolgungsbehörden kaum ausgeprägt und scheitern bereits an fehlenden international verzahnten Strukturen der Verbrechensbekämpfung. 

Unternehmen müssen sich darüber im Klaren sein, dass Online-Kriminalität ein Profi-Geschäft ist. Der Schutz der eigenen IT-Infrastruktur durch Security-Lösungen ist obligatorisch. Die Folgen von Unternehmensspionage oder Schadcode hat in der Regel existenzbedrohende Auswirkungen für die betreffenden Firmen. Datensicherheit fängt beim schwächsten Glied in der Kette an – dem PC-Nutzer. An etwa drei Viertel aller Infektionen sind die Anwender beteiligt. Durch mehr oder weniger ausgeklügelte Betrugsmaschen (Social Engineering) werden die Anwender dazu verleitet E-Mailanhänge oder neuerdings Webseiten zu öffnen.  Hier gewinnen ganzheitliche Security-Konzepte an Stellenwert. Neben den obligatorischen technischen Lösungen, die auf allen Unternehmensrechnern eingesetzt werden sollten, müssen auch die Mitarbeiter so weit über die Security-Richtlinien und Malware-Gefahren aufgeklärt werden, dass sie Schutzmaßnahmen zumindest nicht unterlaufen und im Idealfall sogar erweitern.

Welche Konsequenten ergeben sich daraus für die Hersteller von Antimalware-Produkten?

Das Katz und Maus-Spiel zwischen Malware-Autoren und Antiviren-Herstellern hat deutlich an Fahrt zugenommen. Immer mehr Schadprogramme müssen in den Virenlabors untersucht werden. Für dieses Jahr erwarten wir ca. 10 Mio. neue Malware-Dateien. Je schneller ein Anbieter auf neue Bedrohungen reagiert, desto besser ist der Schutz.  Die Reaktionszeit auf neue Gefahren ist also ein entscheidender Faktor - hier liegt G DATA eindeutig an der Spitze.

Wie beurteilen Sie die Securitysituation in Österreich?

Die Unternehmensstruktur in Österreich ist mittelständisch geprägt.  G DATA Business-Lösungen orientieren sich vom Administrationssaufwand an diese Gegebenheiten. Von daher sind unsere Produkte passgenau für diesen Markt: High-End-Virenschutz für jegliche Unternehmensgröße gepaart mit einfacher Bedienung und geringstem Administrationsaufwand.

Ist das Problem nur mit technologischen Mitteln zu lösen? Welche Schritte sollten gesetzt werden, die darüber hinausgehen?

IT-Security ist ein ganzheitliches Thema und sollte von allen Mitarbeitern getragen werden. Security-Lösungen und Security-Konzepte müssen so konzipiert sein, dass sie nicht von einzelnen Mitarbeitern ausgehebelt werden können. Auf Mitarbeiterseite muss im erforderlichen Maße ein Bewusstsein vorhanden sein – hier sind nicht nur die IT-Verantwortlichen in den Unternehmen gefordert. Dabei spielen rechtliche und kulturelle Rahmenbedingungen eine wichtige Rolle. Und nicht zuletzt müssen die Unternehmensstrukturen so angepasst werden, dass Sicherheit im Unternehmen auch gelebt werden kann. Das fängt an mit der Bewilligung bzw. Schaffung von Budgets für IT-Sicherheit und IT-Sicherheitsverantwortliche. Aber auch die Kompetenzen müssen entsprechend verteilt sein. Die schönsten und sinnvollsten Sicherheitsrichtlinien sind nutzlos, wenn deren Einhaltung nicht kontrolliert werden.