Vortrag:

Regelmäßig veranstaltet das BIGS Potsdam sogenannte PizzaSeminare, bei denen Teilnehmer nicht nur Pizza genießen können, sondern auch die Möglichkeit haben einen spannenden Vortrag zu einem aktuellen Thema zu diskutieren. Esther Kern und Alexander Szanto haben das erste nicht-digitale Seminar des Jahres genutzt, um ihre Forschung aus Cyberfactory#1 vorzustellen: Cyberangriffe auf Lieferketten und die damit verbundenen Kosten für die betroffenen Unternehmen. Das Seminar fand am 19. August 2021 in Berlin statt.

Hier geht es zu den Folien.

Podcast:

Im Anschluss an die Präsentation haben die Sprecher eine Podcastfolge zum gleichen Thema aufgenommen, moderiert von Dr. Tim Stuchtey. Die Folge ist Teil der Reihe “Sicher das? – Der BIGS-Podcast zur Sicherheitsforschung”, herausgegeben vom Brandenburgischen Institut für Gesellschaft und Sicherheit.

Hier geht es zum Podcast.

Thema:

Für viele Unternehmen ist die IT- und Cybersicherheit, trotz nach wie vor z.T. gravierender Sicherheitslücken, inzwischen Bestandteil des Risikomanagements. Die Qualität der technischen und organisatorischen Maßnahmen sowie das zur Verfügung stehende Budget, unterscheiden sich dabei jedoch erheblich. Dafür mitverantwortlich ist auch teilweise die fehlende Sensibilisierung für bestimmte Sicherheitsthemen in den Entscheidungsebenen sowie die Einschätzung der Kosten-Nutzenkalkulation. IT- und Cybersicherheit wird häufig im Arbeitsalltag nicht wahrgenommen und wenn, dann nur als zusätzliche Arbeitsbelastung. Was Unternehmen jedoch wahrnehmen, ist der Schaden der entsteht, wenn das eigene Unternehmen betroffen ist.

Kein neues, aber ein nach wie vor vielfach unterschätztes Thema in der Präventionsbetrachtung ist der Umgang mit Lieferketten. Diese werden bei einer Risikobetrachtung häufig nicht mitberücksichtigt und somit die Chance verpasst, Abhängigkeiten zu identifizieren, geeignete Redundanzen aufzubauen und sowohl Schnittstellen als auch Schwachstellen bei Zulieferern besser zu schützen.

Bei sogenannten Cyber Supply Chain Attacks nutzen Angreifer gezielt Schwachstellen in den Lieferketten für ihre bösartigen Zwecke aus. Am 13. Dezember 2020 meldete FireEye die Entdeckung eines weit verbreiteten Supply-Chain-Angriffs, bei dem SolarWinds Orion Business Software Updates trojanisiert wurden, um Malware zu verbreiten.  ORION ist eine IT-Überwachungs- und -Verwaltungssoftware, die von der überwiegenden Mehrheit der Fortune-500-Unternehmen sowie von vielen Regierungsbehörden verwendet wird. Zu den betroffenen Einrichtungen gehören Behörden sowie Organisationen aus den Bereichen Beratung, Technologie, Telekommunikation, Gesundheitswesen und Öl- und Gasindustrie auf vier Kontinenten. Nach Angaben von SolarWinds ist die Sicherheitslücke wahrscheinlich das Ergebnis eines hochentwickelten, gezielten und manuellen Angriffs auf die Lieferkette durch einen unbekannten Nationalstaat.

Symantec berichtet in seinem Internet Security Threat Report von 2019 von einem Anstieg der Angriffe auf die Lieferkette um 78 % im Jahr 2018, wobei die 20 größten beobachteten Gruppen besonders aktiv sind.  Bekannte Gruppen wie Dragonfly nutzen seit 2011 gezielt Zulieferer, um sich Zugang zu den Zielunternehmen zu verschaffen, wobei die Ziele in diesem Fall hauptsächlich im Energiesektor liegen.

Vor diesem Hintergrund hat sich das BIGS in Kooperation mit VTT, das Ökosystem von Lieferketten näher angeschaut und die finanziellen Auswirkungen von Angriffen auf diese betrachtet.