Forscher fordern einen entschlossenen Weg zur Cybersicherheit, da wir dabei sind, den Kampf gegen die Cyberkriminalität zu verlieren

Pierre Delcher, leitender Sicherheitsforscher bei Kaspersky's Global Research and Analysis Team (GReAT) über die Probleme im Kampf gegen Cyberkriminalität und einen Plan, was wir tun sollten, um diesen Kampf endlich zu gewinnen

Cybersicherheitsforscher, Regierungsbehörden, unabhängige Bedrohungsjäger, private Cybersicherheitsorganisationen – wir alle tun unsere Arbeit nicht im Geringsten, um zu einer umfassenderen Mission beim Aufbau einer sichereren Welt beizutragen. Doch irgendwie scheitern wir.

Die Zahl der Cyberangriffe steigt jedes Jahr weiter an. Nie zuvor war Cyberkriminalität so laut und real und erreichte jedes mögliche Gerät, vom IoT über Supercomputer bis hin zu Smartphones. Was auch immer die böswillige Absicht ist – um den Wettbewerb zu bekämpfen, einen Partner auszuspionieren, eine Minderheit zu verfolgen, kritische Infrastrukturen zu stören, Wahlprozesse zu beeinflussen, was auch immer, Cyber-Angriffe sind die häufigsten Begleiter. Cyberbasierte Konflikte eskalieren weiter und Ransomware oder staatlich geförderte Cyberangriffe haben hart getroffen, selbst als wir alle mit einer Pandemie konfrontiert waren. Insgesamt sieht es nicht so gut aus, und das parallel zur schnelllebigen Cybersicherheitsbranche.

Warum sollten herausragende technische Anstrengungen, eine Fülle von Cybersicherheitslösungen, hochqualifizierte Arbeitskräfte und jahrzehntelange Bewusstseinsbildung Cyberbedrohungen nicht bewältigen können?

Dafür gibt es mehrere Gründe. Wenn wir dieses Thema mit meinen Kollegen, anderen Organisationen und Fachleuten auf diesem Gebiet diskutieren, kommen wir alle zu mehr oder weniger den gleichen Schlussfolgerungen.

Mangelnde Sorge, spezialisiertes technisches Wissen, qualifizierte Ressourcen und Ausbildung sind kein großes Hindernis mehr. Was den Erfolg am meisten verhindert, ist die Governance und das Verantwortungsbewusstsein vieler Marktteilnehmer. Lassen Sie uns das aufschlüsseln.

Regierende Willenskraft herum?

Ob es offensichtlich oder überraschend für Sie ist, es fehlt eine kooperative globale Willenskraft und Governance auf hoher Ebene, um Cyberangriffe angemessen zu bekämpfen und das zu schützen, was auf dem Spiel steht, und als Ergebnis einen wesentlichen Fortschritt der Cybersicherheit auf globaler Ebene zu verhindern. Wobei wir uns alle einig sind Menschenrechte, Abnahme der Atomsprengköpfe und anderen internationalen Konzepten ist dies für Cybersicherheit noch nicht der Fall – und sollte es unbedingt sein. Diese entscheidenden Garantien für Frieden, Freiheit und Resilienz sind nicht zufällig in Kraft getreten. Sie kamen aus politischer Willenskraft, internationaler Zusammenarbeit, kontinuierlich verbesserter Regierungsführung und entschlossener Durchsetzung.

Bestehende Regelungen sind nicht (global) genug

Die bestehenden Regelungen reichen einfach nicht aus. Die meisten der bestehenden Initiativen und Richtlinien sind nicht bindend und daher weder wirksam noch weit verbreitet, wie es erforderlich wäre. Tatsächlich nutzen die meisten Cyberangriffe, denen wir ausgesetzt sind, keine ausgeklügelten technischen Schwachstellen oder Tools, da dies nicht erforderlich ist. Es ist oft viel zu einfach Zugang zu Geräten und Netzwerken öffentlicher und privater Organisationen, da elementare Cybersecurity-Maßnahmen noch immer nicht umgesetzt sind und die unternehmenseigenen digitalen Assets nicht eindeutig identifiziert oder nicht ausreichend kontrolliert werden. Beispielsweise sind mit dem kontinuierlichen Aufkommen und der Entwicklung neuer Technologien – von IoT bis hin zu Robotik und „Cloud-Infrastrukturen“ – Vorschriften erforderlich, die Security by Design durchsetzen – andernfalls werden wir weiterhin neue potenzielle Angriffsvektoren sehen, die den Bedrohungsakteuren praktisch auf den Teller gereicht werden. Die Implementierung grundlegender Cybersicherheitskompetenz in Bildungsprogramme ist ebenfalls erforderlich.

Doppelspiel

Ein weiterer Faktor, der den aktuellen Stand der Dinge beeinflusst, ist Doppelzüngigkeit: Dieselben Parteien, die Opfer von Cyberangriffen werden können, unterstützen und sponsern häufig Cyberkriminalität, wenn sie davon profitieren. Cyberangriffe erscheinen kurzfristig hochprofitabel, schwer zuzuordnen, unbeaufsichtigt und weitgehend ungestraft, selbst wenn sie aufgedeckt werden – denken Sie an viele Fälle, in denen bestimmte Hacker beschuldigt und sogar strafrechtlich verfolgt wurden, aber mit einer einfachen Geldstrafe oder einer Verwaltungsstrafe davonkamen. Solche Praktiken zuzulassen oder überhaupt zu übersehen, ermöglicht die Verbreitung von Cyberkriminalität und gibt Cyberkriminellen und Bedrohungsakteuren die Möglichkeit, ihre Fähigkeiten kontinuierlich zu verbessern und Geld zu verdienen, um noch mehr Cyberkriminalität zu finanzieren.

Auch Regierungsstellen, die sich der Cybersicherheit verschrieben haben, und nichtstaatliche Akteure könnten dieses gefährliche Spiel spielen. Cybersicherheits-Bedrohungsinformationen und -Daten sind von höchstem Interesse für die nationale Verteidigung und das Sicherheitsmanagement sowie sehr wertvoll für das wettbewerbsorientierte Cybersicherheitsgeschäft, was bedeutet, dass es in ihrem Interesse liegt, es für sich zu behalten. Ohne jedoch Informationen und Erkenntnisse über Ermittlungen an die Community weiterzugeben kostenlos registrieren, kann kein globales Ergebnis erzielt werden.

Was können wir dagegen tun?

Es ist eher ungewöhnlich, dass Cybersicherheitsforscher und -experten es wagen, über Governance-Fragen zu schreiben. Doch hier sind wir – teilen unsere Bedenken und schlagen einen gemeinsamen Weg zur Cybersicherheit vor. Wir behaupten nicht, dass der weitere Vorschlag der genaueste und umfassendste ist, und vielleicht ist er idealistisch, aber wir sind zuversichtlich, dass uns diese Vorschläge auf jeden Fall einer sicheren Welt näher bringen können:

Ein universelles kooperatives und globales Regierungsinstrument

Es muss ein dediziertes, starkes, dauerhaftes und zielgerichtetes internationales Instrument geschaffen werden, das möglicherweise von den Vereinten Nationen beherbergt wird, um die oben dargelegten Fehlerursachen anzugehen und den Regierungen zu helfen, Vorschriften durchzusetzen und bei Bedarf kooperativ Maßnahmen zu ergreifen. Dieses Gremium sollte im Idealfall einen kontinuierlichen Dialog mit Vertretern von Regierungen, dem Privatsektor, der Zivilgesellschaft und der technischen Gemeinschaft gewährleisten und sicherstellen, dass die meisten Erkenntnisse zwischen Nationen und Akteuren der Cybersicherheit geteilt werden.

Das geschaffene Steuerungsinstrument sollte auch in der Lage sein, Normen und Vorschriften aufzubauen und sich darauf zu verlassen bestehende unverbindliche Normen, und ein kooperativer Ansatz zur Kontrolle, Zuordnung von Cyberangriffen und Sanktionierung von nicht konformem Verhalten oder Verbrechen, Risikoanalyse, Aufbau von Kapazitäten und Bildung für Cybersicherheit. Und dieser Schritt ist sicherlich nicht einfach, aber wir können nicht darauf verzichten, wenn wir die sichere Zukunft vorantreiben wollen.

Ein international bindender Vertrag über verantwortungsvolles Verhalten im Cyberspace

Derzeit bestehende Definition von 13 Prinzipien, die eine Norm für verantwortungsvolles Verhalten im Cyberspace darstellen 2016 von der UN-Generalversammlung angenommen und 2018 gebilligt erfolgt auf freiwilliger Basis. Dies soll sich mit der Verbindlich- keit der Normen ändern. Was private Unternehmen anbelangt, könnte die Norm Transparenz- und Ethik-Grundlinien setzen.

Wir konnten nicht umhin zu erwähnen Kasperskyist eigen Globale Transparenzinitiative, von dem wir wirklich glauben, dass es eine gute Inspirationsquelle ist, um einige auf den Privatsektor ausgerichtete Normen festzulegen. Dazu gehören unabhängige Überprüfungen von Prozessen, Sicherheitskontrollen und Softwarecode, Verlagerung der Datenverarbeitung sowie die Möglichkeit für vertrauenswürdige Partner, Kunden und Regierungsvertreter, direkt auf Softwarecode oder Regeln zur Erkennung von Bedrohungen zuzugreifen und diese zu überprüfen. Ethik-Kodex oder Ethik-Prinzipien, vom „ERSTEN“ internationale CSIRTs-Community oder von Kaspersky, die sich insbesondere mit der verantwortungsvollen Offenlegung von Sicherheitslücken befassen, könnte auch als Inspiration für private Unternehmen angewandte Norm genutzt werden.

Globale Vorschriften und gemeinsame Mittel für Cybersicherheit

Um verbleibende Doppeldeutigkeitsprobleme und Regulierungsbedürfnisse anzugehen, die wir zuvor in unseren Hypothesen aufgedeckt haben, sollte das globale Regulierungsinstrument oder die Leitlinien weitere gemeinsame Regulierungen aufbauen und unterstützen, zusätzlich zu den zuvor erwähnten Verhaltensnormen. Solche globalen Vorschriften würden eine konsistente Grundlinie von Sicherheitsanforderungen gewährleisten, um die Verbreitung von Cyberwaffen zu verhindern, Cyberangriffe zu verhindern und entschieden zu verurteilen, Cybersicherheitskontrollen umzusetzen, Verantwortung zu fördern und die Zusammenarbeit zu erleichtern. Wie, wo und unter welchen Bedingungen dieses Steuerungsinstrument oder diese Leitlinien eingerichtet werden können – sollte eine Diskussion für staatliche und nichtstaatliche Akteure sein, um sicherzustellen, dass wir alle unsere Verantwortung für die Sicherheit des digitalen Raums voll und ganz anerkennen.

Etwas zusammenfassen

Der globale Cybersicherheitszustand hat eine unzureichende Obergrenze erreicht, während das Potenzial für cyberbasierte Konflikte noch gefüllt wird. In der Zwischenzeit mussten wir alle angesichts der COVID-19-Pandemie beobachten, wie wichtig Informationstechnologien und digitale Ressourcen für die Demokratie, die Wirtschaft, die Entwicklung der Gesellschaft, die Sicherheit und die Unterhaltung sind.

Einige der dringendsten Probleme, die Länder auf der ganzen Welt teilen, sind global und können nur gemeinsam gelöst werden. Das ist zwar nicht einfach und bringt uns auf einen langen Weg der Zusammenarbeit, aber es ist im Interesse aller. Es ist eine gute Zeit für die Führer von Regierungen, internationalen und regionalen Organisationen, dem Privatsektor, der technischen Gemeinschaft und der Zivilgesellschaft, sich kooperativ für den langfristigen Frieden unseres Cyberspace zu entscheiden, über kurzfristige nationalistische oder private Interessen.

Die Welt ist digital, sie ist vernetzt und sie muss gesichert werden.