„Wir können es uns nicht leisten, Infostealer-Infektionen zu übersehen“

Mit 12.500 Mitarbeitern weltweit, Dutzenden von Werften und einem Umsatz von mehreren Milliarden Euro ist Damen Shipyards der größte Schiffbauer in den Niederlanden. Neben zivilen Schiffen ist Damen auch im Bau von Militärschiffen für Marinen und Küstenwachen aktiv. Um Darknet-Daten und Infostealer-Infektionen abzubilden, nutzt das Unternehmen Passguard. Hans Quivooij, CISO von Damen Shipyards, erklärt warum.

Der Anlass

Hans, kannst du uns erzählen, warum ihr angefangen habt, Passguard zu nutzen?

Jedes Unternehmen kann Hackern als „Target of Opportunity“ (Gelegenheitsziel) zum Opfer fallen: eine Chance, die zu attraktiv ist, um sie zu ignorieren. Als Milliardenunternehmen, das in sensiblen Sektoren tätig ist, sind wir zudem einem zusätzlichen Risiko ausgesetzt: Wir sind ein „Target of Choice“ (gezieltes Angriffsziel). Dies bringt Risiken wie Industriespionage und Hacktivismus mit sich. Man kann sich nur dann gut schützen, wenn man weiß, wogegen man sich schützt. Das nimmt uns in die Pflicht, den Blick nach außen zu richten. Deshalb haben wir uns für Passguard entschieden.

Eine spezifische Überlegung ist das Infostealer-Risiko, das Passguard transparent macht. Da die Rolle der digitalen Identität immer wichtiger wird – wie es auch bei uns der Fall ist –, verlagert sich die Schwachstelle auf dieses Thema. Wir können es uns nicht leisten, diese Infostealer-Infektionen zu übersehen.

„Wir können es uns nicht leisten, diese Infostealer-Infektionen zu übersehen.“

Wenn wir über diese Infostealer-Infektionen sprechen, wie nimmst du sie wahr?

Infostealer sind fast wie APTs (Advanced Persistent Threats), die sich gegen Verbraucher richten: hochentwickelt und sehr diskret. Das ist der Unterschied zu den klassischen Viren, mit denen die Menschen in den letzten 20 Jahren konfrontiert waren: Diese waren zwar weniger schädlich, machten aber viel Lärm, beispielsweise durch das Versenden von Spam. Infostealer verhalten sich sehr unauffällig, stehlen jedoch hochrelevante Informationen, was für Unternehmen verheerend sein kann.

Ergebnisse

Was habt ihr mit Passguard herausgefunden?

Die gute Nachricht ist, dass wir durch Passguard festgestellt haben, dass unsere verwalteten Geräte gut geschützt und nicht mit Infostealern infiziert waren. Die schlechte Nachricht ist, dass auch Kollegen mit nicht verwalteten Geräten Zugriff auf bestimmte geschäftliche Systeme haben und diese Geräte tatsächlich Infostealer-Infektionen aufweisen.

Unsere Kernsysteme sind vollständig geschützt: Nur verwaltete Geräte können sich anmelden. Es gibt jedoch eine Grauzone von Systemen, die zwar nicht geschäftskritisch sind, aber dennoch schützenswerte Informationen enthalten. Wir sehen, dass sich mit Infostealern infizierte Geräte bei diesen Systemen anmelden. Die Visualisierung der Infostealer-Infektionen hat uns bewusst gemacht, dass wir möglicherweise auch den Zugriff auf diese Systeme weiter absichern müssen.

Eine Infektion auf einem privaten Gerät kann also dennoch eine Rolle spielen?

Absolut. Solange Mitarbeiter mit ihren privaten Geräten Zugriff auf geschäftliche Systeme und Informationen haben, ist das wichtig. Das kann so etwas Einfaches wie eine E-Mail-Anwendung sein. Wenn dieses Gerät mit einem Infostealer infiziert ist, kann jemand an die Zugangsdaten und Cookies gelangen, um diesen Zugriff zu missbrauchen.

„Wenn dieses Gerät mit einem Infostealer infiziert ist, kann jemand an die Zugangsdaten und Cookies gelangen, um diesen Zugriff zu missbrauchen.“

Gibt es ein bestimmtes Ergebnis, das du teilen kannst?

An einem unserer Auslandsstandorte – an dem normalerweise alle am standardmäßigen, sicheren Arbeitsplatz arbeiten – stellte sich heraus, dass in einem Lager ein Computer verwendet wurde, der aus Bequemlichkeit lokal gekauft worden war. Dieser Computer verfügte nicht über unsere Standard-Sicherheitsmaßnahmen. Er wurde von mehreren Kollegen für einige unkritische interne Systeme genutzt. Passguard erkannte eine Infostealer-Infektion auf diesem Computer. Obwohl keine kritischen Systeme kompromittiert wurden, zeigt dies, wie leicht es mit Infostealern zu einem Zwischenfall kommen kann.

Umgang mit Infektionen

Wenn du eine solche Infektion auf der Passguard-Plattform siehst, wie einfach oder schwierig ist es zu bestimmen, was vor sich geht?

Da die Sitzungen sichtbar sind, hat man immer einen Benutzernamen, was es sehr einfach macht, den betroffenen Benutzer zu identifizieren. Basierend auf den verfügbaren Informationen kann man dann schnell feststellen, ob es sich um ein geschäftliches Gerät handelt und welche Systeme betroffen sind. Wir kennen in der Regel das Betriebssystem des Geräts und oft auch den Hostnamen, sodass sich schnell bestimmen lässt, ob es ein geschäftliches Gerät ist, oder man kann dies direkt ausschließen. Man kann zwar nicht immer mit absoluter Sicherheit feststellen, um welches private Gerät es sich handelt, aber meistens lässt es sich ableiten.

Und welche Schritte unternehmt ihr als Nächstes?

Das Standardverfahren sieht vor, ein Ticket zu erstellen, damit wir im Nachhinein nachvollziehen können, was passiert ist. Die genaue Folgemaßnahme hängt von der Art der Benachrichtigung ab. Bei allen neueren und relevanten Logins haben wir die Sitzungen für ungültig erklärt und eine Passwortänderung erzwungen. Wie bereits erwähnt, traten die Infektionen nicht auf verwalteten Geräten auf. Daher haben wir uns an die Benutzer gewandt, die die infizierten Geräte nutzen, und ihnen den Sachverhalt erklärt, ohne Panik zu verbreiten.

Fazit

Würdest du anderen empfehlen, Passguard zu nutzen? Und warum?

Ja, zu 100 %. Traditionell blicken viele Unternehmen nur intern auf ihre eigenen Abläufe. Dadurch entgeht ihnen alles, was außerhalb des Unternehmens passiert. Durch die Zusammenarbeit mit Passguard bildet man zusätzliche Angriffsindikatoren ab. Man findet heraus, welche Benutzerinformationen extern verfügbar sind, die es eigentlich nicht sein sollten – Informationen, die auch gegen einen selbst verwendet werden können. Passguard verschafft einem die Zeit, Sicherheitslücken zu schließen, bevor sie ausgenutzt werden, und liefert wertvolle Frühwarnindikatoren (Early Warning Indicators).

„Man findet heraus, welche Benutzerinformationen extern verfügbar sind, die es eigentlich nicht sein sollten – Informationen, die auch gegen einen selbst verwendet werden können.“

Gibt es noch etwas, das man beachten sollte, wenn man mit Passguard startet?

Stellt euch auf einen Augenöffner ein! Es werden Informationen ans Licht kommen, mit denen ihr nicht gerechnet habt, ganz egal, für wie sicher ihr euch haltet.