Antiviren Software die vermeintliche Sicherheit

Oftmals hört man von IT-Verantwortlichen das die Hauptabwehr für Schadprogramme eine Antiviren Software, in ihrer aktuellen IT-Sicherheitsstrategie, sei. Weiterhin hört und sieht man das IT-Sicherheitsupdates stark verzögert oder gar nicht eingespielt werden, denn das sei kompliziert oder teuer sowie mit testen der Updates verbunden. Das Einspielen könnte sogar die Produktivität der Mitarbeiter einschränken oder behindern.

So eine Haltung und so ein Vorgehen ist natürlich hoch gefährlich für die IT Sicherheit des gesamten Unternehmens, denn das Antiviren Programm kennt immer nur bestimmte Muster und erkennt oftmals das Schadprogramm gar nicht (siehe unten lediglich 4 von bis zu 50 Antiviren Programmen erkennen das Schadprogramm). Weiterhin das Eindringen von „menschlichen“ Angreifern über Sicherheitslücken bekommt die Antiviren Software gar nicht mit.

Im Schadensfall bei meldepflichtigen Verstößen steigt das Bußgeld drastisch auf Grund von fehlender IT-Sicherheit.

Das zeitnahe Einspielen von IT-Sicherheitsupdates ist nach wie vor wichtiger als eine Antiviren Software.

Complete scanning result of "R19340003422.doc", processed in VirusTotal at 11/07/2019 12:12:56 (CET)

[ file data ]
* name..: R19340003422.doc
* size..: 34063
* md5...: ee26e33725b14850b1776a67bd8f2d0a
* sha1..: 7e4b1fd3a82448e9dd3422487aa8d2488f95bf26

[ scan result ]
ALYac	1.1.1.5/20191106	found nothing
AVG	18.4.3895.0/20191107	found nothing
Ad-Aware	3.0.5.370/20191107	found nothing
AegisLab	4.2/20191107	found nothing
AhnLab-V3	3.16.4.25692/20191107	found nothing
Alibaba	0.3.0.5/20190527	found TrojanDownloader:VBA/Obfuscation.595b19b1
Antiy-AVL	3.0.0.1/20191107	found nothing
Arcabit	1.0.0.861/20191107	found nothing
Avast	18.4.3895.0/20191107	found nothing
Avast-Mobile	191107-00/20191107	found nothing
Avira	8.3.3.8/20191107	found nothing
Baidu	1.0.0.2/20190318	found nothing
BitDefender	7.2/20191107	found nothing
BitDefenderTheta	7.2.37796.0/20191106	found nothing
Bkav	1.3.0.9899/20191107	found nothing
CAT-QuickHeal	14.00/20191107	found nothing
CMC	1.1.0.977/20190321	found nothing
ClamAV	0.102.0.0/20191107	found nothing
Comodo	31695/20191107	found nothing
Cyren	6.2.2.2/20191107	found nothing
DrWeb	7.0.41.7240/20191107	found nothing
ESET-NOD32	20307/20191107	found nothing
Emsisoft	2018.12.0.1641/20191031	found nothing
Endgame	3.0.15/20190918	found malicious (high confidence)
F-Prot	4.7.1.166/20191107	found nothing
F-Secure	12.0.86.52/20191107	found nothing
FireEye	29.7.0.0/20191107	found nothing
Fortinet	5.4.247.0/20191105	found nothing
GData	A:25.23901B:26.16563/20191107	found nothing
Ikarus	0.1.5.2/20191107	found Win32.Outbreak
Jiangmin	16.0.100/20191106	found nothing
K7AntiVirus	11.75.32481/20191107	found nothing
K7GW	11.75.32480/20191107	found nothing
Kaspersky	15.0.1.13/20191107	found nothing
Kingsoft	2013.8.14.323/20191107	found nothing
MAX	2019.9.16.1/20191107	found nothing
Malwarebytes	2.1.1.1115/20191107	found nothing
McAfee	6.0.6.653/20191107	found nothing
McAfee-GW-Edition	v2017.3010/20191107	found nothing
MicroWorld-eScan	14.0.297.0/20191107	found nothing
Microsoft	1.1.16500.1/20191107	found nothing
NANO-Antivirus	1.0.134.24859/20191107	found nothing
Panda	4.6.4.2/20191106	found nothing
Qihoo-360	1.0.0.1120/20191107	found nothing
Rising	25.0.0.24/20191107	found nothing
SUPERAntiSpyware	5.6.0.1032/20191101	found nothing
SentinelOne	1.0.31.22/20190807	found DFI - Malicious OPENXML
Sophos	4.98.0/20191107	found nothing
Symantec	1.11.0.0/20191107	found nothing
TACHYON	2019-11-07.02/20191107	found nothing
Tencent	1.0.0.1/20191107	found nothing
TotalDefense	37.1.62.1/20191107	found nothing
TrendMicro	11.0.0.1006/20191107	found nothing
TrendMicro-HouseCall	10.0.0.1040/20191107	found nothing
Trustlook	1.0/20191107	found nothing
VBA32	4.2.0/20191106	found nothing
VIPRE	79146/20191107	found nothing
ViRobot	2014.3.20.0/20191107	found nothing
Yandex	5.5.2.24/20191106	found nothing
Zillya	2.0.0.3945/20191107	found nothing
ZoneAlarm	1.0/20191107	found nothing
Zoner	1.0.0.1/20191106	found nothing

Warum Antiviren-Software allein nicht ausreicht

Die Ergebnisse des VirusTotal-Scans zeigen ein erschreckendes Bild: Von etwa 50 getesteten Antiviren-Programmen erkannten lediglich vier die Schadsoftware. Das bedeutet, dass über 90 Prozent der am Markt verfügbaren Lösungen diese konkrete Bedrohung nicht identifizieren konnten. Für Unternehmen, die sich ausschließlich auf ihre Antiviren-Software verlassen, ist das ein massives Sicherheitsrisiko.

Der Grund liegt in der Funktionsweise signaturbasierter Erkennung: Antiviren-Programme vergleichen Dateien mit einer Datenbank bekannter Schadsoftware-Signaturen. Neue oder leicht modifizierte Schadprogramme werden erst erkannt, wenn der Hersteller eine entsprechende Signatur erstellt und als Update verteilt hat. Zwischen dem erstmaligen Auftreten einer Schadsoftware und der Erkennung durch Antiviren-Programme können Stunden, Tage oder sogar Wochen vergehen.

Mehrstufige Sicherheitsarchitektur als Lösung

Statt sich auf eine einzelne Verteidigungslinie zu verlassen, sollten Unternehmen eine mehrstufige Sicherheitsarchitektur (Defense in Depth) implementieren. Diese umfasst mehrere Schutzschichten, die sich gegenseitig ergänzen:

• Patch-Management: Das zeitnahe Einspielen von Sicherheitsupdates ist die wichtigste Einzelmaßnahme zum Schutz vor Cyberangriffen. Viele erfolgreiche Angriffe nutzen bekannte Schwachstellen aus, für die bereits Patches verfügbar sind. Ein automatisiertes Patch-Management-System stellt sicher, dass Updates zeitnah und flächendeckend installiert werden.
• E-Mail-Sicherheit: Da ein Großteil der Schadsoftware über E-Mail-Anhänge und Links verbreitet wird, ist ein professionelles E-Mail-Gateway mit Sandboxing-Technologie wichtig. Verdächtige Anhänge werden in einer isolierten Umgebung geöffnet und analysiert, bevor sie den Empfänger erreichen.
• Netzwerksegmentierung: Durch die Aufteilung des Firmennetzwerks in separate Segmente wird die Ausbreitung von Schadsoftware im Falle einer Infektion begrenzt. Produktionsnetzwerke, Büronetzwerke und Gastnetzwerke sollten strikt voneinander getrennt sein.
• Endpoint Detection and Response (EDR): Moderne EDR-Lösungen gehen weit über den Funktionsumfang klassischer Antiviren-Software hinaus. Sie überwachen das Verhalten von Prozessen in Echtzeit und können auch bisher unbekannte Bedrohungen anhand verdächtiger Verhaltensmuster erkennen und blockieren.
• Privileged Access Management: Die Einschränkung administrativer Rechte auf das absolute Minimum reduziert die Angriffsfläche erheblich. Mitarbeiter sollten im Normalfall keine Administratorrechte auf ihren Arbeitsplatzrechnern haben.

Die Rolle des Datenschutzes bei IT-Sicherheitsvorfällen

IT-Sicherheitsvorfälle haben häufig auch datenschutzrechtliche Konsequenzen. Wenn durch einen Angriff personenbezogene Daten kompromittiert werden, liegt eine meldepflichtige Datenschutzverletzung nach Art. 33 DSGVO vor. Die Meldung an die zuständige Aufsichtsbehörde muss innerhalb von 72 Stunden erfolgen.

Bei der Bemessung von Bußgeldern berücksichtigen die Aufsichtsbehörden gemäß Art. 83 Abs. 2 DSGVO auch, welche technisch-organisatorischen Maßnahmen der Verantwortliche zum Zeitpunkt des Vorfalls getroffen hatte. Wer nachweisen kann, dass ein umfassendes IT-Sicherheitskonzept implementiert war und regelmäßig überprüft wurde, muss in der Regel mit geringeren Sanktionen rechnen als ein Unternehmen, das sich ausschließlich auf eine Antiviren-Software verlassen hat.

Empfehlungen für KMU

Gerade kleine und mittlere Unternehmen verfügen häufig nicht über die Ressourcen für eine eigene IT-Sicherheitsabteilung. Dennoch gibt es wirksame Maßnahmen, die auch mit begrenztem Budget umsetzbar sind:

• Automatische Updates für alle Systeme aktivieren und deren Installation überwachen.
• Regelmäßige Datensicherungen durchführen und die Wiederherstellung testen.
• Mitarbeiter regelmäßig zu IT-Sicherheit und Phishing-Erkennung schulen.
• Einen IT-Notfallplan erstellen und mit den Mitarbeitern durchsprechen.
• Einen externen IT-Sicherheitsdienstleister oder Datenschutzbeauftragten hinzuziehen, der die Sicherheitslage regelmäßig bewertet.

IT-Sicherheit ist kein Produkt, das man einmal kauft, sondern ein kontinuierlicher Prozess. Nur durch regelmäßige Überprüfung, Anpassung und Weiterentwicklung der Sicherheitsmaßnahmen lässt sich ein angemessenes Schutzniveau dauerhaft aufrechterhalten.

Aktuelle Bedrohungslandschaft

Die Bedrohungslandschaft hat sich in den letzten Jahren dramatisch verändert. Ransomware-Angriffe, bei denen Angreifer die Daten eines Unternehmens verschlüsseln und Lösegeld fordern, haben massiv zugenommen. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) stuft Ransomware als die größte Bedrohung für Unternehmen in Deutschland ein. Dabei sind längst nicht mehr nur Großunternehmen betroffen, sondern zunehmend auch kleine und mittlere Unternehmen, Krankenhäuser, Kommunalverwaltungen und Bildungseinrichtungen.

Besonders gefährlich sind sogenannte Supply-Chain-Angriffe, bei denen nicht das eigentliche Zielunternehmen direkt angegriffen wird, sondern ein Zulieferer oder Softwareanbieter. Über die kompromittierte Software gelangt die Schadsoftware dann in die Systeme aller Kunden des Anbieters. Der SolarWinds-Angriff von 2020 hat eindrücklich gezeigt, welche Ausmaße solche Angriffe annehmen können.

Ein weiterer Trend sind gezielte Spear-Phishing-Angriffe, bei denen sich die Angreifer als Vorgesetzte, Geschäftspartner oder Behörden ausgeben, um Mitarbeiter zur Herausgabe von Zugangsdaten oder zur Überweisung von Geldbeträgen zu bewegen. Diese Angriffe sind oft so professionell gestaltet, dass selbst erfahrene Mitarbeiter sie nicht sofort erkennen.

Zero-Trust-Architektur als zukunftssicherer Ansatz

Ein modernes Sicherheitskonzept basiert zunehmend auf dem Zero-Trust-Prinzip: Kein Nutzer, kein Gerät und keine Anwendung wird automatisch als vertrauenswürdig eingestuft, unabhängig davon, ob der Zugriff von innerhalb oder außerhalb des Firmennetzwerks erfolgt. Jeder Zugriff muss authentifiziert, autorisiert und verschlüsselt werden.

Die Umsetzung einer Zero-Trust-Architektur umfasst unter anderem die konsequente Einführung von Multi-Faktor-Authentifizierung, die Mikrosegmentierung des Netzwerks, die kontinuierliche Überwachung aller Netzwerkaktivitäten und die automatische Erkennung und Reaktion auf verdächtiges Verhalten. Für viele Unternehmen ist dies ein schrittweiser Prozess, der über mehrere Jahre hinweg umgesetzt wird.

Fazit: IT-Sicherheit beginnt beim Grundschutz

Die Erkenntnis, dass eine Antiviren-Software allein keinen ausreichenden Schutz bietet, sollte jedes Unternehmen zum Anlass nehmen, seine IT-Sicherheitsstrategie grundlegend zu überprüfen. Der BSI-Grundschutz und die internationale Norm ISO 27001 bieten bewährte Rahmenwerke, an denen sich Unternehmen jeder Größe orientieren können.

Dabei muss nicht sofort ein umfassendes Informationssicherheits-Managementsystem (ISMS) implementiert werden. Bereits die konsequente Umsetzung der Basismaßnahmen wie regelmäßige Updates, sichere Passwörter, Netzwerksegmentierung und Mitarbeiterschulungen kann das Sicherheitsniveau eines Unternehmens erheblich steigern. Ergänzt um eine professionelle Datenschutzberatung und regelmäßige Sicherheitsüberprüfungen entsteht ein Schutzschild, das deutlich wirksamer ist als jede noch so teure Antiviren-Software allein.