Eine lückenlose Überwachung der digitalen Angriffsfläche zum Schutz vor Cyberattacken ist deshalb für Betreiber Kritischer Infrastrukturen (Kritis) von zentraler Bedeutung. Die Cybersprint Attack Surface Management Platform sucht allein über die Eingabe des Marken- oder Unternehmensnamens nach Schwachstellen, die damit in Verbindung stehen. Mit Hilfe von künstlicher Intelligenz und Analysten werden die Ergebnisse ausgewertet und klassifiziert, um konkrete Handlungsempfehlungen für die Beseitigung zu liefern. Weil auch die Angriffe über die Lieferkette immer weiter zunehmen, verzichtet die Plattform auf vordefinierte IT-Rahmen.
Digitale Angriffsfläche bei Kritischen Infrastrukturen wächst
Unter der digitalen Angriffsfläche, oder „Attack Surface“ versteht man alle Angriffsvektoren, über die ein unautorisierter Nutzer versuchen kann, Daten einzubringen oder zu entwenden. Angriffsvektoren sind dabei alle IT-Assets, die über das Internet adressierbar sind. Sind sie beispielsweise falsch konfiguriert, können sie IT-Kriminellen als Sprungbrett dienen, über das sie in das Unternehmensnetzwerk eindringen können. Mit der Digitalisierung und dem Trend zur Cloud vergrößert sich die digitale Angriffsfläche permanent.
IT-Sicherheitsgesetz 2.0 fordert höhere Schutzmaßnahmen gegen Cyberattacken
Um die Versorgungssicherheit zu gewährleisten und die Kunden zu schützen, fordert das Bundesamt für Sicherheit in der Informationstechnik (BSI) einen Ausbau der Schutzmaßnahmen bei Kritis-Betreibern. So sind diese ab dem 1. Mai 2023 dazu verpflichtet, Systeme zur Angriffserkennung einzusetzen. Diese Systeme ermitteln anhand von Anomalien im Netzwerk, ob es von einer Cyberattacke betroffen ist. Ein kontinuierliches Angriffsflächenmanagement setzt einen Schritt weiter vorne an und hilft dabei, einen Überblick über die IT-Infrastruktur und ihre Schwachstellen zu erhalten, damit es gar nicht erst zu einer Attacke kommt.
Mit dem IT-Sicherheitsgesetz 2.0 werden mehr Unternehmen dem Kritis-Sektor zugeordnet als bislang. Die „Entsorgung von Siedlungsabfällen“ gehört nun ebenso zu den kritischen Dienstleistungen, sowie Unternehmen von „besonderen öffentlichen Interesse“. Darüber hinaus betrifft das Gesetz die bestehenden Kritis-Bereiche Gesundheit, Wasser, Informationstechnik und Telekommunikation, Transport und Verkehr, Ernährung, Energie, sowie Finanz- und Versicherungswesen. Auch innerhalb der Sektoren gibt es Änderungen: So sinken im Bereich Stromerzeugung und -handel beispielsweise die Schwellenwerte, ab denen ein Unternehmen dem Kritis-Sektor zuzuordnen ist. Damit erweitert sich der Kreis der betroffenen Unternehmen deutlich.
