28.09.2022 | „Wir erleben gerade am eigenen Leib die drastischen Folgen eines Cyberangriffs. Auch, wenn die Attacke sich nicht gegen die IHK Siegen selbst, sondern einen Dienstleister richtete, sind die Folgen tagtäglich zu spüren: Nach wie vor sind wir vom E-Mail-Verkehr abgeschnitten und digitale Plattformen funktionieren nicht“, erläutert Hans-Peter Langer, Geschäftsführer der IHK-Siegen. „Die Angriffe richten sich heute offenkundig längst nicht nur gegen Unternehmen. Ziele sind Behörden, Institutionen, Verbände - praktisch alle gesellschaftlichen Akteure, die Daten verarbeiten!“ Die Kammer betrachtet die Folgen solcher Angriffe im heimischen Wirtschaftsraum mit großer Sorge und rät zu einer dauerhaften Sensibilisierung der Belegschaften. Empfehlenswert sei, in Zusammenarbeit mit Experten maßgeschneiderte Schutzmaßnahmen zu entwickeln, hebt Hans-Peter Langer hervor. „Dazu ist es unerlässlich, die bestehende IT-Sicherheit auf Herz und Nieren zu prüfen.“

Eben dies ist die Aufgabe sogenannter „Penetration Tester“. Die hochprofessionellen Experten schlüpfen in die Rolle von Cyberkriminellen und suchen Wege, die Sicherheitsvorkehrungen der Betriebe zu durchdringen. Ihre Auftraggeber: die Unternehmen selbst. Mit dem groß angelegten Projekt „Stresstest IT-Sicherheit“ unterstützt die IHK Siegen mit erheblichen Mitteln heimische Unternehmen beim Einsatz der Pentester und bereitet die gewonnenen Erkenntnisse für alle Betriebe auf.

„Es geht beim Penetration Testing um kontrollierte Versuche, in ein bestimmtes Computersystem oder -netzwerk einzudringen, Schwachstellen zu identifizieren, sie zu dokumentieren und sie ggf. auszunutzen“, erläutert Maurice Rothe, Head of Penetration Testing von der SVA System Vertrieb Alexander GmbH. Das Unternehmen ist unter anderem auf solche „Pentests“ spezialisiert und verfügt 

in diesem Bereich über jahrelange Erfahrung. Mit den autorisierten Angriffen kann geprüft werden, inwieweit die Sicherheit der IT-Systeme durch Bedrohungen von Hackern gefährdet ist, also Lücken vorhanden sind, und ob bestehende Sicherheitssysteme tatsächlich greifen. „Wir nutzen dabei dieselben oder ähnliche Techniken, die auch bei einem realen Angriff zum Einsatz kommen. Die gefundenen Schwachstellen können dann durch entsprechende Maßnahmen behoben werden, um zu verhindern, dass sie tatsächlich zu einem erfolgreichen Angriff führen“, erklärt Maurice Rothe. Das ist dann die Aufgabe von Forensikern. Sie rekonstruieren den genauen Ablauf eines kriminellen Angriffs und entwickeln gemeinsam mit dem betroffenen Unternehmen Handlungs-und Umsetzungsempfehlungen. 

Der Druck ist enorm: Seit Jahren nehmen die meist in Wellen auftretenden Cyberattacken auch bei heimischen Unternehmen drastisch zu. „Wir beobachten seit geraumer Zeit, dass die Angriffe sich nicht mehr nur auf große Konzerne konzentrieren, bei denen vermeintlich große Summen erpresst werden können, sondern sich längst in die Fläche bewegen und gegen kleine und mittlere Unternehmen richten. Gerade ihnen fällt es meist schwer, sich hinreichend vor digitalen Angriffen zu schützen. Da gibt es sehr viele offene Flanken“, hebt Bianca Stolte-Reeh vom IT-Dienstleister dokuworks in Siegen hervor. 

IHK unterstützt IT-Stresstest mit 180.000 Euro

Die Folgen solcher Angriffe sind häufig sehr weitreichend, selbst dann, wenn schnell reagiert wird: Dazu gehören Datenverlust, Wirtschaftsspionage, Systemverluste und Haftpflichtansprüche aufgrund von Datenschutzverletzungen. Ganz schlimm wird es, wenn die Produktion betroffen ist, Aufträge nicht mehr bearbeitet werden können und Maschinenparks stillgelegt werden müssen - „das geht schnell an die Existenz“, unterstreicht Roger Schmidt, Leiter des Referats Technologie, Energie, Umwelt der IHK, der das Projekt „Stresstest IT-Sicherheit“ entworfen hat und betreut. „Pentests können da für die Betriebe den entscheidenden Unterschied machen.“ Die IHK-Vollversammlung hat deshalb für das Projekt „Stresstest IT-Sicherheit“ bis 2023 die erforderlichen Mittel in Höhe von 180.000 € bereitgestellt. Unternehmen, die zu einem Penetrationstest bereit sind, erhalten einen Zuschuss von 7.500 € und machen die gewonnenen Erkenntnisse und typischen Sicherheitslücken anschließend anonymisiert auch weiteren Betrieben zugänglich. Zu den 16 Firmen, teilnahmen, gehört auch die TRACTO-TECHNIK GmbH 8: Co. KG in Lennestadt.

„Die vor einiger Zeit auf uns verübte Cyberattacke hatte zur Folge, dass wir unsere IT-Infrastruktur neu aufgesetzt haben. Da war dieses Projekt eine willkommene Gelegenheit, unsere Systeme durch ein Spezialisten-Team für IT-Sicherheit und Forensik durchleuchten zu lassen“, erläutert Markus Tesche, IT-Leiter der TRACTO-TECHNIK. Die eigene IT-lnfrastruktur einem Pentester, also jemand anderem, zu „überlassen“, sei durchaus mit einem mulmigen Gefühl verbunden gewesen. Allerdings seien die Tester vorher bereits bekannt und die Zusammenarbeit sehr eng und vertrauensvoll gewesen. „Der Pentest war definitiv ein Erfolg. Wir haben wertvolle Erkenntnisse über die bei uns eingesetzte Software gewonnen, die wir den Software-Anbietern zur Verfügung gestellt haben. Einige fielen aus allen Wolken und stellten in Windeseile entsprechende ‚Patches‘ bereit, um die Sicherheitslücken zu beseitigen!“

Die bislang durchgeführten Tests zeigen aber auch, in welchen Bereichen Firmen gut aufgestellt sind. „Mehrere Unternehmen bestätigten uns, dass der Zuschuss der IHK ein wichtiger Anreiz gewesen sei, sich auf diesen spannenden Weg zu begeben“, freut sich Roger Schmidt. Die Ergebnisse werden in den kommenden Monaten für eine Veranstaltungsreihe der IHK Siegen inhaltlich aufbereitet. „Unser Ziel ist, dass möglichst viele Betriebe Nutzen aus dem Projekt ziehen und sich für die Zukunft rüsten können. Hierfür stehen den Unternehmen auch in unserer Region hervorragende IT-Dienstleister mit ihrer Expertise zur Seite,“ so Hans-Peter langer. Einen Überblick über aktuelle Entwicklungen und Akteure in diesem Bereich bietet der IT-Sicherheitstag NRW am 6. Dezember in Siegen, der von IHK NRW in der Siegerlandhalle ausgerichtet und durch die IHK Siegen federführend organisiert wird.