Jetzt sind Security-Profis am Werk

Die IT-Security-Szene professionalisiert sich. Einerseits greifen Hacker schlicht um des schnöden Mammon willen an und nicht mehr aus Geltungsdrang. Anderseits müssen Anbieter von IT-Security-Dienstleistungen gewissen Standards genügen.

Die Computersicherheit ist und bleibt beherrschendes Thema der Schweizer Unternehmen. Dies ergibt auch die Zusatzbefragung der diesjährigen Top-500-Erhebung von Computerworld. So sehen fast die Hälfte der Befragten (48,4 Prozent) die IT-Sicherheit als eines der Zugpferde der Branche für die nächsten zwei Jahre an. Dieses Ergebnis wird nur vom Bereich E-Business getoppt, und zwar um einen Prozentpunkt. Fast schon ein mattes Rösslein geben nach Meinung der Top-500-Teilnehmer neue Telekomdienste ab. Nur gerade ein Drittel der Befragten sehen hier die treibende Kraft der zukünftigen Entwicklung in der Industrie.

Zu einem ähnlichen Ergebnis kommt auch eine Studie, die von Accenture in Auftrag gegeben wurde. Sie wollte von den Chief Information Officers (CIO) wissen, was die wichtigsten Themen der nächsten 24 Monate sind. Bei dieser Studie schwang die Sicherheit obenauf, knapp gefolgt von der IT-Effizienz. Modethemen wie IT-Outsourcing oder gar Offshoring scheinen laut Accenture-Studie die CIO dagegen herzlich wenig zu beschäftigen. Um ihre IT-Sicherheit zu steigern, sind allerdings eine Mehrzahl der Beantworter der Top-500-Zusatzfrage, nämlich 54 Prozent, nicht bereit, dieses Jahr hierfür das Budget zu erhöhen. Dies bedeutet natürlich nicht, dass all die IT-Security-Firmen nun darben müssten. Denn die Ausgaben sind Insidern zufolge hierzulande auf hohem Niveau. Und immerhin 43 Prozent der von Computerworld befragten Firmen gibt an, dieses Jahr bis zu ein Fünftel mehr für IT-Security ausgeben zu wollen.

Hacker werden professioneller

Diese Zahlen verdeutlichen, dass IT-Security in der Schweiz sehr ernst genommen wird. Experten wie Markus Pacher von der Walliseller IT-Security Spezialistin Omicron bestätigen dies. «Die Schweizer Firmen sind zwar vorbildlich und die Investitionen in die Computersicherheit sind hierzulande hoch. Sie sind aber nicht vor Attacken gefeit», sagt er. Vor allem die grosse Dichte von Finanz-instituten gebe ein lukratives Ziel ab.

Generell lasse sich sagen, so Pacher, dass die Angriffe sehr viel gezielter ausgeführt würden. «Die Hacker von heute treibt nicht der Geltungsdrang, sondern das Geld», sagt er. So gäbe es heute Wurmprogrammierer, die Malware für bestimmte Firmen entwickelten. Diese seien so geschrieben, dass sie sich sehr unauffällig auf den Wirtsystemen verhielten, um so lange wie möglich Informationen abschöpfen zu können, ergänzt Pacher. «Die Szene bewegt sich in Richtung organisierte Kriminalität», resümiert er.

IT-Security-Berater Wolfgang Sidler bestätigt diesen Trend und meint, dass diese Angriffe künftig zunehmen würden. Er sieht eine Welle von Werkspionage und Erpressungsversuchen auf die helvetischen Firmen zukommen. Laut Bruno Baeriswyl, Datenschutzbeauftragter des Kanton Zürich, ist auch mit regelrechter Wirtschaftsspionage zu rechnen. Hier seien sogar Geheimdienste involviert, fügt er an.

Dass die Gefahr vor allem aus dem Ausland droht, davon ist auch Pacher überzeugt. «Dort liegt viel technisches Know-how brach», meint er. In der Schweiz gebe es dagegen für potenzielle Hacker nach der Ausbildung lukrative Jobs in der Wirtschaft. Daher sei niemand versucht, seine Brötchen unlauter zu verdienen.

Erwachsene Anbieter

Die Professionalisierung gilt nicht nur für die Bösewichte. Auch die Anbieter von IT-Security-Dienstleistungen seien heute professioneller, meint Pacher. So sei es vor ein paar Jahren noch möglich gewesen, einen Penetrationstest ohne Standards und ohne klares Konzept anzubieten. «Heute können sich nur jene IT-Security-Dienstleister behaupten, die sich an entsprechende Standards wie die britische Norm BS 7799 oder an die Richtlinien des deutschen Bundesamtes für Sicherheit in der Informationstechnik halten», meint Pacher. Umgekehrt verlangten auch die Unternehmen eine klare Dokumentation.Schliesslich sind gewisse Security-Methoden reifer geworden. So haben laut IBM-Sicherheitsspezialist und Computerworld-Online-Blogger Reto Baumann beispielsweise sogenannte Intrusion-Prevention-Systeme (IPS) die Kinderschuhe abstreifen können. Allerdings bräuchten selbst die intelligentesten IPS – und gescheiter sind sie tatsächlich geworden – eine professionelle Anpassung an die jeweilige Firmenumgebung und eine Überwachung durch einen Administrator.

Dieser Artikel stammt aus der Ausgabe Computerworld 34/2006.