IT-Sicherheit 2015: BSI sieht zugespitzte Bedrohungslage durch APT-Angriffe

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) sieht auch in diesem Jahr eine erheblich beeinträchtigte IT-Sicherheit in Deutschland. Ihr Lagebericht für 2015 (PDF) führt eine hohe Zahl von Schwachstellen sowie Verwundbarkeiten in IT-Systemen auf. Er konstatiert eine sich weiter zuspitzende Bedrohungslage im Cyber-Raum und beschreibt zunehmend professionalisierte Angriffsmethoden.

Das gilt laut BSI insbesondere bei Angriffen, die als Advanced Persistent Threat (APT) bezeichnet werden und als andauernde komplexe Bedrohungen Unternehmen wie Verwaltungen betreffen. Zu dieser Kategorie zählten etwa die Cyberangriffe auf den Deutschen Bundestag im Mai und auf den französischen Sender TV5 Monde im April. Allerdings würden nur wenige APT-Angriffe öffentlich bekannt.

Der 52-seitige Bericht wurde von Bundesinnenminister Thomas de Maizière und dem scheidenden BSI-Präsidenten Michael Hange auf einer Pressekonferenz im Haus der Bundespressekonferenz vorgestellt. Er stellt unter anderem heraus, dass manche IT-Produzenten angesichts der hohen Zahl bekannter Schwachstellen dazu neigten, keine Sicherheitsupdates mehr für aus ihrer Sicht weniger schwerwiegende Sicherheitslücken bereitzustellen. Das verschärfe die Gefährdungslage unnötig, moniert der Innenminister in seinem Vorwort. Besondere Erwähnung findet das nachlässige Update-Verhalten der Hersteller angesichts der Stagefright-Lücke in Android.

Der Schutz der zunehmend von IT abhängigen Kritischen Infrastrukturen ist ein weiteres Schwerpunktthema. Viele KRISIS-Branchen sind demnach sicherheitstechnisch gut aufgestellt, aber es gebe auch Nachholbedarf in manchen Branchen. Wie für andere Unternehmen und Organisationen sei es für Kritische Infrastrukturen wesentlich, die IT-Sicherheit als Bestandteil ihres unternehmerischen Risikomanagements zu betrachten.

„Alle Unternehmen müssen sich darauf einstellen, dass Cyber-Angriffe durchgeführt werden und auch erfolgreich sind“, sagte BSI-Chef Hange. „Neben der Prävention müssen auch die Säulen der Detektion und Reaktion gestärkt werden, denn dadurch können Folgeschäden erheblich gemindert werden.“