Beiträge

Cyber Resilience ist in aller Munde – Medien, Unternehmen, Hersteller und auch Regierungen diskutieren über diesen Nachfolger der klassischen IT Security mit wachsender Intensität. Doch was verbirgt sich hinter dem Konzept genau und wie können es Unternehmen umsetzen beziehungsweise was zeichnet Unternehmen aus, die bereits besonders widerstandsfähig gegen Cyber-Angriffe sind? Diesen Fragen sind wir bei Greenbone mit einer großangelegten globalen Studie in Zusammenarbeit mit dem Marktforschungsunternehmen Frost & Sullivan auf den Grund gegangen. Die Ergebnisse liegen nun in einem 52-seitigen Berichtsband vor.

Cyber Resilience

Die Zukunft der IT Security heißt Cyber Resilience, das wird immer mehr Verantwortlichen bewusst. Angesichts zunehmend aggressiverer Hacker-Strategien und steigender Technologiekomplexität können sie nicht länger darauf vertrauen, dass der IT-Security-Schutzwall um ihre Unternehmens-IT alle Angriffe abwehrt. Früher oder später wird ein Angreifer einen Weg finden – und was dann? Dann geht es darum, den Schaden so gut wie möglich einzudämmen und die Kerngeschäftsprozesse aufrechtzuerhalten, um Kunden weiterhin mit Produkten und Dienstleistungen zu versorgen.

Kernziel der Studie: Resilienz-Merkmale identifizieren

Wir bei Greenbone beschäftigen uns schon seit mehreren Jahren intensiv mit Cyber Resilience. Was macht sie aus? Welche Dimensionen gibt es zu beachten? Vor welchen individuellen Herausforderungen stehen Unternehmen in verschiedenen Branchen dabei? Welche Best Practices haben sich bewährt? Um Antworten auf diese und noch mehr Fragen zu finden, haben wir zusammen mit dem Marktforschungsunternehmen Frost & Sullivan eine großangelegte Studie durchgeführt. Unser Grundgedanke dabei war, besonders widerstandsfähige Unternehmen zu identifizieren und anschließend zu analysieren, was diese im Vergleich zu weniger widerstandfähigen Betrieben auszeichnet. Auf diese Weise lassen sich konkrete Handlungs- und Investitionsempfehlungen ableiten – die uns nicht zuletzt auch dabei helfen, unsere bewährte Schwachstellenmanagement-Technologie weiterzuentwickeln, die wir seit Kurzem auch als Managed Service anbieten.

Zufällig entdecktes Datenleck im Gesundheitssektor verzögert Veröffentlichung

Besonderes Augenmerk legen wir dabei auf Unternehmen in kritischen Infrastrukturen (KRITIS). Denn bei Ihnen geht es nicht nur um wirtschaftliche Einbußen oder Rufschädigungen – hier sind im Extremfall Menschenleben bedroht, wenn etwa medizinische Geräte ausfallen oder die Stromversorgung für die Bevölkerung zusammenbricht. Daher wollten wir die Studienergebnisse mit Praxisbeispielen aus eben diesen KRITIS-Sektoren anreichern – und stießen bei unseren Recherchen auf ein riesiges Datenleck im Gesundheitsbereich: Millionen Patientendatensätze und damit verknüpfte medizinische Bilder waren über eine Schwachstelle der PACS-Server (Picture Archiving and Communication Systems-Server), auf denen sie gespeichert sind, frei zugänglich – auch ohne jegliche Programmierkenntnisse. Komplette Krankengeschichten, inklusive persönlichen Daten wie Name und Geburtstag des Patienten sowie Name des behandelnden Arztes, konnten vollständig ausgelesen werden.

Ein Skandal, der für uns die Veröffentlichung der Studienergebnisse erst einmal in den Hintergrund rücken ließ. In Zusammenarbeit mit dem Bayerischen Rundfunk und der US-Investigativ-Plattform ProPublica, die über unsere Recherche berichteten, und anschließend mit Behörden und IT-Security-Spezialisten rund um den Globus setzten wir uns intensiv dafür ein, den freien Zugriff auf diese Patientendaten schnellstmöglich einzuschränken. Mit nur teilweisem Erfolg: Noch immer sind etwa 400 PACS-Systeme mit dem Internet verbunden und die darauf gespeicherten Patientendaten damit für jedermann zugänglich. Daher sind wir auch weiterhin in engem Austausch mit den zuständigen Behörden. Unseren Bericht zum Patientendatenleck gibt es hier zum Download.

Preview einiger Studienergebnisse

Neben unserer Arbeit im Gesundheitssektor bezogen wir in unsere Studie auch Unternehmen aus den Bereichen Energie, Finanzen, Telekommunikation, Transport und Wasser ein. Insgesamt befragten wir 370 Organisationen mit durchschnittlich 13.500 Mitarbeitern aus den fünf größten Volkswirtschaften der Welt: den USA, Großbritannien, Frankreich, Japan und Deutschland. Aus diesem breit gefächerten Studiendesign konnten wir neben Antworten auf unsere Kernfragen einige weitere interessante Erkenntnisse gewinnen:

US-Unternehmen sind Vorreiter in Sachen Cyber Resilience

Insgesamt sind nur 36 Prozent der befragten Unternehmen in hohem Maße Cyber-resilient. Die USA schneiden mit 50 Prozent am besten ab, europäische Unternehmen liegen im Mittelfeld und japanische Organisationen bilden mit nur 22 Prozent das untere Ende der Skala.

Sektor Transport am wenigsten widerstandsfähig gegen Cyber-Angriffe

Über alle Länder hinweg sind Finanz- und Telekommunikationsunternehmen (46 Prozent) am besten gegen Cyber-Angriffe gerüstet. Es folgen die Sektoren Wasser (36 Prozent), Gesundheit (34 Prozent) und Energie (32 Prozent). Bei Transportunternehmen erreichen nur 22 Prozent ein hohes Niveau an Cyber Resilience.

Nicht Budget, sondern Verständnis von Geschäftsprozessen ist entscheidend

Zwar haben die von uns identifizierten Cyber-resilienten Unternehmen im Schnitt einen größeren Umsatz und ein höheres IT-Budget. Detailanalysen zeigen jedoch, dass die keinesfalls entscheidend ist. Wichtiger ist vielmehr ein grundlegendes Verständnis der Geschäftsprozesse und ein Bewusstsein dafür, welches die geschäftskritischen digitalen Ressourcen im Unternehmen sind.

Elf Merkmale, die Cyber-resiliente Unternehmen auszeichnen

In unserer Untersuchung konnten wir drei Gruppen von Merkmalen identifizieren, die die Cyber-Resilienz von Unternehmen um den Faktor zwei, drei und sechs erhöhen. Daraus haben wir eine Art „Roadmap“ entwickelt, mit der Unternehmen ihren Reifegrad erhöhen und ein hohes Maß an Cyber Resilience schaffen können.
Den vollständigen Studien-Report inklusive Roadmap können Sie hier anfragen.

Osnabrück, 27. Februar 2020 – Greenbone, Lösungsanbieter zur Schwachstellenanalyse von IT-Netzwerken, verstärkt mit Elmar Geese als Chief Operating Officer (COO) das Management. Geese ist seit Anfang 2020 bei Greenbone tätig und kümmert sich seitdem vor allem um Strategie, Prozessoptimierung und Controlling. Die Position wurde neu geschaffen, um das anhaltend starke Wachstum von Greenbone auch auf Management-Ebene weiter zu unterstützen.

Elmar Geese ist seit Anfang 2020 Teil des Management-Teams von Greenbone. Der Schwerpunkt seiner Tätigkeit liegt auf Strategie, Prozessoptimierung und Controlling. In seinem Schaffen will er den Mehrwert der Greenbone-Produkte für die Kunden noch wirksamer werden lassen. „Greenbone hat mit seinen Lösungen für intelligentes Schwachstellen-Management das Potenzial, sich von einem europäischen Marktführer zum internationalen Player zu entwickeln“, so Geese. „Die Sicherheit von Informationssystemen ist für Unternehmen und unsere moderne Gesellschaft elementar. Das zeigen die vielen Sicherheitsvorfälle, von denen wir mittlerweile täglich erfahren. Greenbone leistet einen entscheidenden Beitrag, unsere Welt sicherer zu machen. Ich freue mich darauf, mich hier entscheidend einbringen zu dürfen.“

Jan-Oliver Wagner, Greenbone Gründer und CEO, ergänzt: „Greenbone wächst kontinuierlich. Aktuell arbeiten wir daran, unsere Schwachstellen-Management-Lösung auch als Managed Service zur Verfügung zu stellen. Davon profitieren vor allem Unternehmen, die Inhouse nicht die personellen oder zeitlichen Kapazitäten für eine umfassende Schwachstellen-Analyse mit Hardware-Modulen haben. Mit Elmar Geese haben wir einen fähigen Kopf mit starkem unternehmerischen Background für uns gewonnen, der uns im Management unterstützt. Wir freuen uns sehr auf die Zusammenarbeit und sind zuversichtlich, dass wir mit ihm an Bord die Aufgaben, die ein schnelles Unternehmenswachstum mit sich bringt, mit Leichtigkeit bewältigen.“

Elmar Geese blickt auf eine langjährige Management-Erfahrung zurück. Er ist seit mehr als drei Jahrzehnten als Gründer, Manager und Berater im Bereich Informationstechnologie tätig. Zuletzt war er als CIO beim Berliner Gesundheits-Startup machtfit für deren SaaS-Plattform für betriebliches Gesundheitsmanagement verantwortlich. Dort hat er als Leiter der Produktentwicklung und -betriebs dazu beigetragen, Kunden wie die Bayer AG, die Deutsche Bahn, Lufthansa, Edeka und Lanxess dauerhaft für das Unternehmen zu gewinnen

Neue OS-Versionen werden jeweils zum 30. April und 31. Oktober veröffentlicht

2019 werden wir auf ein neues Release-Schema für Greenbone OS – dem Betriebssystem unserer Greenbone Security Manager (GSM) – umsteigen. Das bedeutet: Zukünftig gibt es feste Veröffentlichungstermine, die jedes Jahr gleich bleiben. Das gibt nicht nur unseren Kunden und Partnern, sondern auch dem Greenbone-Entwicklungsteam selbst mehr Planungssicherheit.

Die neuen fixen Termine sind jedes Jahr der 30. April und der 31. Oktober. Im Übergangsjahr 2019 veröffentlichen wir das als nächstes anstehende GOS 5.0 noch in der zweistufigen Aufteilung für ENTRY/SME (30. April) und MIDRANGE/ENTERPRISE/SENSOR (30. Juni). Das GOS 6.0 wir dann bereits gemäß dem neuen Schema in einem einzigen Schritt für alle GSM-Geräte freigegeben. Ab 2020 gilt das neue Time-Based-Release-System in vollem Umfang.

Das Schema basiert auf harten Fristen für neue Funktionen, neue GSM-Typen und neue Hardware. Wenn ein Feature es nicht zu einem Veröffentlichungstermin schafft, wird es für das Folge-Release berücksichtigt.

Ausgereifte Systeme durch einmonatige Testphase in der Greenbone-Community

Zudem durchläuft unser GVM für jedes GOS Release eine einmonatige Testphase: Vor dem Release am 30. April beziehungsweise 31. Oktober wird die jeweils aktuelle Source Edition im GVM Release der Greenbone-Community bereitgestellt. Eventuelle Bugs lassen sich so eliminieren, bevor unsere Kunden und Partner das neue GOS in Betrieb nehmen.

Ein weiterer Vorteil der neuen Time-Based Releases: Der Zyklus von zwei neuen Hauptversionen pro Jahr erhöht das Tempo, mit dem Innovationen zu unseren Anwendern gelangen. Zudem können User schneller auf neue GOS-Versionen aufspringen: Zum einen alle sechs Monate zu den offiziellen Release-Terminen (Innovation Cycle). Zum anderen alle 12 Monate während einer dreimonatigen Migrationsphase, in der sie dann eine GOS-Generation überspringen können – diese sind jeweils Mai/Juni/Juli oder November/Dezember/Januar (Conservative Cycle).