Rückblick: 16. Tag der IT-Sicherheit in Karlsruhe

Begrüßung und Moderation

Die Begrüßung übernahmen der neu ernannte IHK-Präsident Frank Roth sowie David Herrmanns, Geschäftsführer des CyberForums. Durch das Nachmittagsprogramm führte wie gewohnt Dirk Fox, der die Veranstaltung seit nunmehr 16 Jahren organisiert, begleitet und mit Themen sowie Referentinnen und Referenten befüllt – ein echtes Urgestein der Karlsruher IT-Sicherheitsszene.

Deutschlands erster Cyberkatastrophenfall: Der Angriff auf Anhalt-Bitterfeld

Den Auftakt machten Julia Schreiber und Jens Bohnmüller von der InterConnect GmbH & Co. KG mit einer sehr dichten und eindrücklichen Aufarbeitung des Ransomware-Angriffs auf den Landkreis Anhalt-Bitterfeld vom 6. Juli 2021.

Die beiden zeichneten den zeitlichen Verlauf minutiös nach: Der Angriff wurde am frühen Morgen des 6. Juli gegen 6:45 Uhr entdeckt. Bereits drei Tage später, am 9. Juli, rief der Landkreis den Katastrophenfall aus – zu diesem Zeitpunkt eine Premiere in Deutschland. In der zweiten Woche nach dem Angriff wurden Finanzmittel bereitgestellt, in der dritten Woche räumte der erst kurz zuvor ins Amt gekommene Landrat öffentlich ein, dass es sich um eine Lösegelderpressung handelte. Ab der vierten Woche unterstützten dann auch BSI und Bundeswehr vor Ort. Bis zum vollständigen Aufbau einer neuen IT-Infrastruktur vergingen jedoch Monate – der Vorfall war erst im März 2024 vollständig aufgearbeitet. Eine im Vergleich zu vielen anderen Fällen außergewöhnlich lange Zeitspanne, die zeigt, wie tiefgreifend ein solcher Angriff eine öffentliche Verwaltung treffen kann.

Als zentrale Ursachen der Cyberkatastrophe nannten die Referierenden:

• fehlerhafte beziehungsweise nicht funktionsfähige Backups
• eine unzureichende IT-Sicherheitsinfrastruktur
• Personalmangel
• mangelnde Sensibilisierung der Mitarbeitenden
• fehlende Notfallpläne
• und – nicht zuletzt – fehlende Unterstützung durch die oberste Leitung für die Verantwortlichen für Informationssicherheit, wobei ausdrücklich betont wurde, dass die Verantwortung dafür nicht beim IT-Leiter selbst lag.

Auch die Ermittlungsergebnisse der Behörden zu Täterschaft und Hintergrund des Angriffs wurden vorgestellt. Als Lehren aus dem Vorfall leiteten Schreiber und Bohnmüller unter anderem folgende Handlungsempfehlungen ab: regelmäßige Schulungen und Phishing-Tests, die Entwicklung und regelmäßige Übung von Notfallplänen und Notfallkontakten, die Durchführung von Schwachstellen-Scans und Penetrationstests mit anschließender Behebung der gefundenen Lücken sowie – ganz entscheidend – die dauerhafte Bereitstellung ausreichender Ressourcen und die regelmäßige Überprüfung des eigenen Sicherheitsstands.

ISMS pragmatisch: Von Säulen zu Brücken

Im zweiten Vortrag des Nachmittags berichteten der CISO der Everest GmbH und sein Berater für Informationssicherheit im Dialog, wie sie ein Informationssicherheits-Managementsystem im Unternehmen etabliert haben. Der vorgestellte Ansatz deckt sich in weiten Teilen mit unserer eigenen Vorgehensweise: Am Anfang steht die Frage nach dem Ziel, das erreicht werden soll, danach folgen die Risikobetrachtung und erst dann die konkreten Maßnahmen. Entscheidend ist dabei, das eigene Unternehmen und sein Umfeld zu verstehen – denn Sicherheit ist immer nur eines von mehreren Unternehmenszielen.

Als die fünf wichtigsten Takeaways blieben hängen:

1. Für wen wird dieses ISMS eigentlich gemacht?
2. Erst die Ziele definieren, dann daraus die Maßnahmen ableiten.
3. Klar festlegen, wer Risiken einschätzt, bewertet und am Ende entscheidet.
4. Die Controls aus Annex A sind Fragen, die es entsprechend der eigenen Risikobewertung zu beantworten gilt – nicht jedes Control lässt sich sinnvoll anwenden.
5. Sicherheit an dem ausrichten, was im Unternehmen bereits funktioniert.

Elevator Pitches und Buffet-Networking

Kurz vor der Nachmittagspause hatten zwei Start-ups Gelegenheit, sich und ihren jeweiligen Sicherheitsansatz in kurzen Pitches vorzustellen. Anschließend ging es ins Buffet-Networking mit Fingerfood, Kuchen, Kaffee und Getränken. Auch wir waren mit einem eigenen kleinen Messestand samt Roll-up vor Ort und kamen mit vielen Gesprächspartnerinnen und -partnern ins Gespräch.

Open Source Security: Abhängigkeiten im Griff behalten

Nach der Kaffeepause übernahm Christoph Menzel von inovex mit einem Vortrag zu Open-Source-Security und Risikoanalyse. Im Mittelpunkt standen die Abhängigkeiten zwischen Software- und Hardwareprodukten, die bei der Produktentwicklung zum Einsatz kommen. Vorgestellt wurde unter anderem OWASP CycloneDX, mit dem sich Abhängigkeiten zwischen Komponenten und bekannten Schwachstellen sichtbar machen lassen, um Risiken und Handlungsbedarf frühzeitig zu erkennen. Eine sogenannte Software Bill of Materials ist dafür essenziell, ebenso die Visualisierung der Abhängigkeitspfade innerhalb eines Produkts.

Interessant – und aus unserer Sicht durchaus bemerkenswert – war die Beobachtung, dass viele Unternehmen erst in den letzten Jahren damit begonnen haben, solche Abhängigkeiten systematisch zu erfassen, obwohl die entsprechenden Möglichkeiten schon seit über zwanzig Jahren bestehen. Dass dies heute noch nicht flächendeckend gelebte Praxis ist, hat uns bei dieser Gelegenheit doch ein wenig überrascht.

Multifaktor-Authentifizierung und die Zukunft der Anmeldung

Den Abschluss des Vortragsprogramms bildete ein Fachkollege von AppSphere, der zum Thema Multifaktor-Authentifizierung referierte und den aktuellen Entwicklungspfad der Authentifizierung aufzeigte. Besonders spannend war die klare Einordnung, was Passkeys eigentlich sind und wohin sich die Authentifizierung in Zukunft entwickeln muss, um es Angreifenden deutlich schwerer zu machen, persönliche Zugangsdaten abzugreifen.

Glöckner & Schuhwerk – Ihr Partner für integrierte Managementsysteme aus Karlsruhe

Unser Team von Glöckner & Schuhwerk mit Sitz in der schönen Fächerstadt Karlsruhe ist Ihr erfahrenes Beratungsunternehmen für integrierte Managementsysteme. Seit über 10 Jahren begleiten wir Unternehmen dabei, ihre Prozesse effizienter, sicherer und nachhaltiger zu gestalten – maßgeschneidert auf ihre individuellen Anforderungen.

Sie benötigen Unterstützung bei der Einführung und Optimierung Ihrer Managementsysteme? Gemeinsam finden wir die beste Lösung für Ihr Vorhaben – unverbindlich, kompetent und zielorientiert.