Bedrohung durch Malware sinkt (Laut Umfragen)

Entgegen allgemeiner Erwartungen scheint das Problem der Malware zurückzugehen. Diese These wird zumindest von zwei aktuellen Umfragen über IT Sicherheit bestätigt, zu denen insgesamt rund 1000 Mitarbeiter von Unternehmen unterschiedlicher Größe befragt wurden. Es gibt aber keinen Grund zur Entwarnung.
In zwei kürzlich durchgeführten Studien wurden Personen aus kleinen, mittleren und großen Unternehmen verschiedener Branchen zum Thema Informationssicherheit befragt.
In der Zeitschrift wurde der ŽLagebericht zur InformationssicherheitŽ (LzI) veröffentlicht. Er hat die Meinungen von insgesamt 163 Lesern mittels Fragebögen gesammelt. Bei der zweiten Umfrage mit dem Titel ŽIT Security 2006Ž (ITS), die von Information Week durchgeführt wurde, bekamen 827 Personen mehr als 50 Fragen zu allen Bereichen der Informationssicherheit gestellt. Als Befragungsmethode kam hier das elektronische Interview (Homepage und Email) zum Einsatz. Die Umfragen fanden von Mai bis Juli 2006 statt.

Die Welt der Informationstechnik entwickelt sich ständig weiter. Bereits 80% (ITS) aller Firmenmitarbeiter verfügen über einen PC mit Internetanschluss. Unsere Informations-Gesellschaft setzt immer mehr auf das Sammeln digitaler Informationen in Datenbanken. IT-Sicherheit geht jeden an, wenn man bedenkt, dass heutzutage sowohl private, als auch geschäftliche Daten auf Servern auf der ganzen Welt gespeichert werden. Egal ob Chef einer großen Firma oder Privatperson - der Verlust oder die Veröffentlichung wichtiger Daten kann jeden ruinieren. Ganz gleich, ob Emails, Homebanking oder die komplette Abwicklung von Geschäften über das Internet - der Stellenwert von Daten erhöht sich immens.
Analog dazu steigt die Komplexität und die Ausbreitung der Technik, sodass eine immer größere Angriffsfläche für Computerkriminelle geschaffen wird. Doch wie wahrscheinlich ist es, dass Daten entwendet, zerstört, von Dritten manipuliert oder ausspioniert werden? Laut der Umfrage ITS sei das Risiko im Vergleich zu 2005 gesunken. So schätzen mehr als die Hälfte der Befragten das Risiko als eher gering ein (2005: 51,9%; 2006: 53,2%).
Die Umfrageergebnisse deuten zudem explizit auf eine sinkende Malwarebedrohung hin. Immerhin befinde sich das Malwareproblem nun auf Platz zwei hinter dem Problem des Irrtums und der Nachlässigkeit eigener Mitarbeiter (LzI, in 2005 auf Platz eins). So seien laut der Befragten seit 2005 weniger Angriffe durch schadhafte Software verzeichnet worden (ITS: -4,9%) als noch im Vorjahr. Ebenso sei die Ausfallzeit der Computer bei derartigen Angriffen gesunken (ITS: -0,5%). Diese Zahlen könnten dazu verleiten, die IT als sicher einzuschätzen. Doch dies ist ein gefährlicher Trugschluss. Immerhin ist die Anzahl neuer Computerschädlinge seit Anfang des Jahres um 30% gestiegen. Zudem vergrößert eine Entwarnung das bestehende Risiko ernorm, wie folgendes Beispiel zeigt:
Beim Autofahren passieren statistisch betrachtet weitaus häufiger Unfälle auf Strecken, die wir Žim Schlaf kennenŽ als auf neuen Wegen. Wenn wir uns besonders sicher fühlen, scheinen wir unvorsichtiger zu werden. Da sich die Firmen zunehmend sicherer fühlen, könnten die Verantwortlichen auf die Idee kommen, Budgets und Stellen für den Sicherheitsbereich zu streichen. Infolgedessen werden Barrieren für die Effektivität der IT Sicherheit errichtet.

Doch vernachlässigte IT Sicherheit hat schwerwiegende Folgen. Die finanziellen Verluste seien zwar etwas gesunken (ITS : -0,8%). Vorfälle, bei denen geistiges Eigentum (ITS: +2,1%) oder Kundendaten gestohlen (ITS: +1,0%) oder manipuliert (ITS: +0,4%) wurden, sind jedoch häufiger aufgetreten. Dass Angriffe auf das Unternehmen auch aus den eigenen Reihen stammen könnten, halten 88,3% (ITS) der Befragten für unmöglich. Doch auch die Tragweite dieser Angriffe kann verheerend sein. Gestohlenes geistiges Eigentum vernichtet sowohl jahrelange Forschungsarbeit als auch den Wettbewerbsvorteil in einem Zug. Darüber hinaus müssen Unternehmen mit ihrem Namen für illegale Handlungen haften, die Kriminelle mit Hilfe ihres Netzes begangen haben. Finanzieller Schaden scheint noch das geringere Übel zu sein, wenn man bedenkt, dass das Aufbauen eines positiven Firmenimages Jahre in Anspruch nehmen kann - der Verlust jedoch in Sekundenschnelle auftreten kann.

Dass IT Sicherheit gerade heutzutage ein Teil des Ganzen sein muss, möchte keiner wahr haben. Dass sich aber beinahe alles darauf stützt oder davon abhängig ist, kann niemand leugnen. Leider herrscht in vielen Unternehmen noch ein mangelndes Sicherheitsbewusstsein. Sicherheitsinvestitionen scheitern in erster Linie am Geld (LzI: 55%, ITS:32,8%). Es existiert zwar Angst vor den möglichen Folgen vernachlässigter Sicherheit, doch keine Bereitschaft, die erforderlichen Mittel zu investieren. Immer noch wird die IT Sicherheit von Entscheidungsträgern, wie Managern, als lästiges Übel angesehen. Viele, die über das Budget dieses Bereichs entscheiden, kennen sich nicht ausreichend mit der Materie aus. Zum Beispiel kommen immer mehr WLANs zum Einsatz (ITS: +2,1%), wobei die Mehrheit dieser Netze (ITS: 68,9%) mit einem Verschlüsselungsverfahren geschützt wird, dass in wenigen Minuten zu brechen ist. Außerdem wird unternehmensweit zunehmend Internet-Telefonie eingesetzt. Dass unerwünschte Nachrichten (SPAM) auch für vernetzte Telefone (SPIT = SPAM over Internet Telephony) möglich sind, ist nur ein weiteres der verdrängten Probleme. Wie in vielen anderen Bereichen wird erst gehandelt, wenn das Kind im Brunnen liegt.

Abschließend kann man sagen, dass eine absolute Sicherheit nicht erreicht werden kann. Trotz Zeit-, Geld- und Personalproblemen sollte die IT Sicherheit jedoch nie vernachlässigt werden. Unabdingbar ist die Erarbeitung von Sicherheitsrichtlinien, die sowohl ein stetiges Mitwachsen, als auch eine Anpassung an sich ständig ändernde Gegebenheiten erlauben. Denn Sicherheit ist kein Zustand, sondern ein dynamischer Prozess. Dieser Prozess erfordert eine enge Ausrichtung auf die Geschäftsziele, um effektiv zu sein. Dies konnten leider nur 13,1% (ITS) der Befragten von ihrem Unternehmen behaupten.

Doch egal ob Privatperson und Mitarbeiter eines großen Unternehmens: Wichtig ist zunächst einmal, dass die Notwendigkeit von Informationssicherheit anerkannt und geschätzt wird. Aktuelle Firewall-, Antiviren- und Anti-Spam-Software ist heutzutage Pflicht für jeden Computerbenutzer. Dass das nicht immer ausreicht, zeigt allein die Zahl der täglich entdeckten Sicherheitslücken - von der Dunkelziffer ganz zu schweigen.