Verizon DBIR 2022: Vertrauliche Inhalte sind ein Hauptziel für Cyberangriffe
Der Verizon 2022 Data Breach Investigations Report (DBIR) zeigt, dass im Gegensatz zu dem, was viele behaupten, 75 % der Sicherheitsverletzungen von externen Parteien ausgehen. Personenbezogene Informationen und Authentifizierungsdaten sind die am häufigsten ins Visier genommenen Datenquellen, die ausgenutzt werden, wenn Unternehmen sensible digitale Daten senden, teilen und empfangen.
Der Bericht belegt auch, dass bei vielen Angriffen personenbezogene Daten – die oftmals durch gesetzliche Vorgaben reglementiert sind – das Ziel der Angreifer waren. Der Mensch spielt zudem bei vielen der in dem Bericht erfassten erfolgreichen Angriffe eine entscheidende Rolle: Die Ursache für 82 % der Angriffe kann auf gestohlene Zugangsdaten, Phishing, Missbrauch oder schlichtweg Fehler zurückgeführt werden.
Im Folgenden werden die Zusammenhänge zwischen diesen Faktoren und der Kommunikation mit sensiblen Inhalten näher erläutert.
Zusammenfassung der im Bericht enthaltenen Befunde zu Datenpannen und Sicherheitsverletzungen
Das vergangene Jahr war in vielerlei Hinsicht außergewöhnlich, was Cyberangriffe angeht. Es gab eine Fülle von Berichten über Opfer (diejenigen, die angegriffen wurden) und Täter (diejenigen, die die Angriffe verübten). Unternehmen aus den unterschiedlichsten Branchen – Finanzsektor, Gesundheitswesen, Energie- und Versorgungswirtschaft, Öffentliche Hand, Fertigungsindustrie, Biowissenschaften und andere – waren von Ransomware-, Lieferketten- und anderen Angriffen betroffen. Die Lieferkette steht nach wie vor im Fadenkreuz von Cyberkriminellen und Schurkenstaaten, und das aus gutem Grund. Erfolgreiche Angriffe vervielfachen sich um das 10-, 100- und sogar 1.000-fache, wenn die Angreifer nicht nur Zugriff auf das Netzwerk, die Anwendungen und Inhalte des attackierten Unternehmens erhalten, sondern auch auf die nachgelagerten Partner in der Lieferkette.
Zugangsdaten, Phishing, das Ausnutzen von Schwachstellen und Botnets sind die vier Faktoren, die laut der Studie von Verizon mit Vorfällen und Sicherheitsverletzungen verbunden sind. Kein Unternehmen kann diese vier Aspekte vermeiden, und jeder Plan für das Security Risk Management muss diese vier Bereiche einbeziehen. Mit rund 50 % aller Vorfälle und Sicherheitsverletzungen stehen Zugangsdaten mit Abstand an erster Stelle, gefolgt von Phishing mit etwas weniger als 20 %, der Ausnutzung von Sicherheitslücken mit weniger als 10 % und Botnets mit weniger als 1 %.
Was die Angriffsvektoren betrifft, so blieb laut Verizon Ransomware auch im Jahr 2022 ein ernsthaftes Problem, mit einem Anstieg von fast 13 % – so viel wie in den letzten fünf Jahren zusammen (insgesamt also ein Anstieg von derzeit 25 %). Malware spielt in den DBIRs von Verizon seit jeher eine wichtige Rolle. Über 30 % der Datenschutzverletzungen wurden durch Malware verursacht – insofern bildet das Jahr 2022 hier keine Ausnahme.
Bei den Ransomware-Angriffsarten standen gestohlene Zugangsdaten und Malware im Vordergrund. Einer der Gründe, warum Cyberangreifer Ransomware mögen, ist, dass sie nicht nach bestimmten Datentypen und Daten von besonderem Wert suchen müssen, sondern einfach kritische Unternehmensfunktionen durch Verschlüsselung der zugehörigen Daten deaktivieren müssen. Bei den Anwendungen, auf die Ransomware abzielt, handelt es sich zu 40 % um Desktop-Sharing-Software und zu weiteren 35 % um E-Mail-Applikationen.
Angesichts der Nachrichten des vergangenen Jahres überrascht es nicht, dass drei Viertel der externen Sicherheitsverletzungen darauf zurückzuführen sind, dass Angreifer eine Schwachstelle in der Supply Chain ausgenutzt haben. Gleichzeitig waren 62 % der Vorfälle, bei denen in Systeme eingedrungen wurde, mit der Lieferkette verbunden. Während Cyberkriminelle häufig monetär motiviert sind, verfolgen Schurkenstaaten in den meisten Fällen andere Ziele, indem sie keine Lösegeldforderungen stellen und stattdessen einfach den Zugang behalten.
Worauf es Kriminelle abgesehen haben – E-Mail-Server, Web-Anwendungen und Inhalte
Die beiden Datenarten, auf die es Cyberkriminelle und Schurkenstaaten am häufigsten abgesehen haben, sind Zugangsdaten und personenbezogene Daten. Da Zugangsdaten verwendet werden können, um sich als legitime Benutzer eines Systems oder einer Anwendung auszugeben, sind sie ein beliebtes Ziel für Cyberkriminelle. Außerdem bieten ihnen diese Daten eine Tarnkappe; sie bleiben unentdeckt, bis sie angreifen. Der Diebstahl von Zugangsdaten kann einen Langzeiteffekt haben, da gehackte Zugangsdaten über einen längeren Zeitraum im Darknet verbleiben – ein “nachhaltiges Geschenk” also.
Persönliche Daten oder Informationen, die einer Person zugeordnet werden können, sind ein Ziel für externe Angreifer und arglistige Insider. In 22 % der Fälle wurden medizinische Daten entwendet. Weil das Gesundheitswesen in Bezug auf Datenschutzverletzungen alle anderen Branchen übertrifft, ergibt diese Statistik durchaus Sinn.
Zeitaufwand für die Entdeckung von Schwachstellen und Datenschutzverletzungen
Im Rahmen des DBIR wurde auch untersucht, wie lange ein Angriff im Durchschnitt dauert, bis die Daten erfolgreich ausgenutzt wurden. Es war etwas überraschend, dass viele Angriffe nur eine Handvoll Schritte umfassten. Phishing, Downloader und Ransomware waren die häufigsten Angriffsmethoden, wobei fünf oder mehr verschiedene Taktiken nur selten eingesetzt wurden. Hier scheinen sich die Angreifer auf die Taktiken zu konzentrieren, die sie am besten kennen und bei denen sie bleiben. Verizon fand außerdem heraus, dass je mehr Aktionen ein Angreifer durchführt, desto mehr Möglichkeiten hat ein Verteidiger, auf einen Einbruch zu reagieren, ihn zu entdecken und zu beheben, bevor die Daten abgeschöpft werden. Gleichzeitig stellt Verizon jedoch fest, dass das Risiko höher ist, da es mehr potenzielle Schwachstellen gibt. Daher sollte das Cyber-Risikomanagement im Mittelpunkt der Sicherheitsstrategie eines jeden Unternehmens stehen, um sensible Daten zu schützen und zu verhindern, dass Schwachstellen ausgenutzt werden.
Web-Applikations- und Mail-Server
Web-Anwendungen sind ein Hauptziel für Cyber-Attacken, denn sie sind für etwa 70 % der Sicherheitsvorfälle verantwortlich. Gestohlene Zugangsdaten sind mit mehr als 80 % das am häufigsten genutzte Instrument für den Zugriff auf diese Anwendungen. Bei den Angriffen auf Webanwendungen standen personenbezogene Daten und Patienteninformationen an erster Stelle. 69 % der Datenschutzverletzungen betrafen personenbezogene Daten, während medizinische Daten (zu denen auch Patienteninformationen gehören) in 15 % der Fälle betroffen waren.
An zweiter Stelle stehen Mailserver (ca. 20 %), die angegriffen werden. Dabei wurden 80 % mit gestohlenen Zugangsdaten und 30 % mit einer Form von Exploit kompromittiert. Auch wenn diese 30 % nicht besonders hoch erscheinen, hat die Zahl der Angriffe auf Mailserver unter Ausnutzung von Sicherheitslücken seit dem letzten Jahr drastisch zugenommen, als nur 3 % der Kompromittierungen darauf entfielen.
Viele mögen denken, dass diese Art von Angriffen hauptsächlich das Werk einfallsreicher Krimineller ist, die das Internet auf der Suche nach schwachen Zugangsdaten durchkämmen. Jedoch nutzen auch Schurkenstaaten diesen Ansatz – er ist kostengünstig und zahlt sich aus: 20 % der Datenschutzverletzungen lassen sich auf Spionage zurückführen.
Die Fehler in der Konfiguration: Personenbezogene Daten stehen an erster Stelle
Fehlkonfigurationen sind für etwa 10 % der Datenschutzverletzungen verantwortlich – und schuld daran sind vor allem die Mitarbeiter. Cloud-Daten gehören zu den häufigsten Schwachstellen. Das ist nicht überraschend, da Cloud-Implementierungen oft ohne angemessene Zugangskontrollen eingerichtet werden. Auch die falsche Zustellung privater Daten ist ein Faktor, denn in vielen Fällen gehen E-Mails an den falschen Empfänger. Die meisten dieser Vorfälle und Verstöße betreffen schließlich personenbezogene Daten von Kunden.
Die Feststellung, ob ein Sicherheitsvorfall zu einem Datenschutzverstoß geführt hat, ist in 90 % der Fälle schwierig, da es nur schwer festzustellen ist, wo die Daten kompromittiert wurden. Das Gesundheitswesen macht einen großen Teil der Unternehmen aus, die von Datenschutzverletzungen betroffen sind. Das Forscherteam von Verizon vermutet, dass die strengeren Compliance-Vorschriften für den Umgang mit Patientendaten die Wahrscheinlichkeit erhöhen, dass Unternehmen solche Vorfälle melden.
Die Bedeutung von Governance-Kontrollen und Sicherheit zur Vermeidung von Datenpannen
Das Third-Party Risk Management ist ein Bereich, dem Unternehmen besondere Aufmerksamkeit schenken sollten. Ein Blick auf die wichtigsten Aktionsvektoren im DBIR zeigt, dass Drittparteien (Partner) die Liste anführen. Die Einführung der richtigen Governance für Sicherheit und Compliance ist hier entscheidend. Sensible Inhalte, wie z. B. personenbezogene Daten, vertrauliche Informationen, Finanzdaten und geheime Unternehmensdaten, müssen mit den richtigen Kontrollmechanismen versehen werden.
Aus diesem Grund sollten Unternehmen kontrollieren, wer auf Informationen zugreift, wer daran mitarbeiten und Änderungen vornehmen kann, an wen sie gesendet werden können und über welche Kommunikationskanäle und Geräte sie gesendet werden. Wenn dies nicht der Fall ist, kann dies ein erhebliches Sicherheitsrisiko durch Drittparteien darstellen, das sich auf die gesamte Lieferkette auswirkt. Bei Sicherheitsverletzungen in der Lieferkette kann die Zahl der sekundären Opfer schnell ansteigen und Hunderte oder Tausende von Unternehmen und Hunderttausende oder gar Millionen von Einzelpersonen betreffen.
Mit der Kiteworks-Plattform können Unternehmen Private Content Networks erstellen und Sicherheits- und Compliance-Richtlinien für den digitalen Austausch, das Senden und Empfangen vertraulicher Informationen zentral definieren und verwalten. Die Governance-Kontrollen können festlegen, wer auf diese Informationen zugreifen darf, wer sie ändern darf, an wen sie gesendet werden dürfen und vieles mehr. Mit einem Defense-in-Depth-Sicherheitsansatz und einem inhaltsdefinierten Zero-Trust-Ansatz verwendet Kiteworks gehärtete Sicherheits- und Verschlüsselungsmechanismen, um den Zugriff auf sensible Inhalte zu sperren, wenn diese digital ausgetauscht werden, unabhängig vom verwendeten Kommunikationskanal – E-Mail, File-Sharing, Managed File Transfer, Web-Formulare oder Application Programming Interfaces (APIs).
Weitere Informationen