«Auto-Hacks werden so verbreitet sein wie Ransomware»

Ich weiss, dass mein Auto gehackt werden könnte. Aber … Paul Such

Sicherheit von Anfang an mitdenken
Die Autoindustrie, aufgeschreckt von Such und seinen Kollegen, nimmt inzwischen IT-Security ernst. Dennoch werden sie kriminelle Hacks nicht völlig verhindern können, im Gegenteil. «Autos hacken wird eines Tages so verbreitet sein wie Ransomware heute», ist Such überzeugt.

Daraus folgert der erfahrene Security-Experte, dass man bei jedem IT-Projekt von Anfang an die Sicherheit einbeziehen müsste. Doch selbst dann ist 100%-ige Sicherheit nicht möglich, bestmögliche hingegen sehr wohl.

Wir verkaufen kein magisches Produkt, sondern helfen Kunden, Probleme zu lösen, die er auch hat. Paul Such

SOC als Lösung
Und hier kommt seine Firma Hacknowledge, ein Abraxas-Partner, zum Zuge. In einem unauffälligen Gebäude in einer unauffälligen Gewerbezone nahe Morges arbeiten erfahrene Security-Experten im Security Operations Center (SOC) daran, Hacks bestmöglich zu verhindern und mit ihren Analyse-, Monitoring-und Consulting-Dienstleistungen die Sicherheit von Abraxas-Kunden zu verbessern.

«Wir bieten einen Überwachungsdienst an, der hilft, die Zeit zwischen Einbruch und Entdeckung zu verkürzen, mit dem Ziel, IT-Bedrohungen zu stoppen», sagt Such. Und rasche Reaktion wäre eigentlich zentral, doch es dauert laut Studien durchschnittlich mindestens 100 Tage, bis ein Angriff von einer Firma oder Gemeinde überhaupt entdeckt wird. Hacknowledge-Experten und ihr selbst entwickeltes Security Information and Event Management (SIEM) benötigten dazu noch wenige Stunden, verspricht die Firma.

Such und sein Geschäftspartner seit 21 Jahren haben ihre gesamte Erfahrung in das Angebot und die Philosophie ihrer Firma einfliessen lassen. Selbstverständlich gehört die seit Jahren vorhandene ISO 27001-Zertifizierung dazu, welche auch Abraxas einforderte und besitzt.

Security Swiss made
«Wir sind eine Schweizer Firma, die mir, meinem langjährigen Partner und einem Dritten gehört», erklärt Such weiter. Er weiss, diese Transparenz ist seit der Affäre um die «Schweizer» Crypto Group und Crypto AG relevant hierzulande. Hacknowledge ist auch in Luxemburg tätig, hat aber den Hauptmarkt in der Schweiz, betont er. «Alle unsere Mitarbeitenden für Schweizer Kunden wohnen in der Schweiz und wir haben das SIEM speziell für die Bedürfnisse kleiner und mittelgrosser staatlicher Organisationen und Firmen in der Schweiz entwickelt», sagt Such. Dies sei zentral, denn die Security-Probleme hierzulande seien teilweise anders als in den USA oder Deutschland.

Keine magischen Produkte …
Ein weiterer zentraler Faktor der Firmenphilosophie ist, dass Hacknowledge keine Produkte verkauft. Such begründet dies in klaren Worten. «Geld und skrupellose Anbieter haben die Sicherheitsbranche korrumpiert», sagt er. «Alle sechs Monate wird irgendein magisches Produkt lanciert, das alles regeln soll. Aber das ist nicht möglich! Oder warum entdecken denn die magischen Produkte ein Problem erst nach 100 Tagen?» Nun lacht Such nicht mehr, sondern argumentiert mit Überzeugung: «Wir verkaufen keine magischen Produkte und keine Träume von 100% Sicherheit. Wir helfen einem Kunden, die Probleme zu lösen, die er tatsächlich hat. Falls nötig empfehlen wir ein Produkt, aber oft benötigt der Kunde gar nichts Neues!»

… sondern konkrete Use Cases
Auch in der Arbeitsweise unterscheidet sich Hacknowledge von diversen Security-Anbietern und Produktverkäufern. Die Experten fahnden nicht in Terabytes von Logfiles nach möglichen Angreifern. «Das funktioniert nicht! Denn wenn man nicht weiss, wonach man sucht, wird man es auch nicht finden.»

Stattdessen kommen Use Cases zum Einsatz. «Wir diskutieren mit Kunden, was wir finden sollen und finden werden. Das kann ein Computer sein, der sich aus einem fremden Land einwählt, ein neuer Admin-Account und andere Auffälligkeiten.» Dank den Uses Cases wissen die Hacknowledge-Systeme und Experten, wonach sie fahnden müssen. Aber auch vermeintliche Banalitäten, doch häufige Einfallstore für Hacker – fehlende Patches – kontrolliert man im SOC systematisch.

Neben weiteren Sensoren gehören «Honigtöpfe» und «Canaries» (Kanarienvögel) seit langem zu den simplen, aber wirksamen Security-Mechanismen. Dabei bietet man Angreifern attraktiv wirkende Scheinziele und falsche Türen an, und schnappt dieser den Köder, so bemerken und isolieren ihn das SIEM und die Mitarbeitenden sofort.

Will man beim SOC kein Geld verschwenden, so müssen zwei Bedingungen erfüllt sein Paul Such

Pragmatismus statt Schlagworte
Statt «innovative nextgen 3.0»-Produkte und Schlagworte zu verkaufen, bietet der Abraxas-Partner Swissness, Erfahrung, Praxiskenntnisse und Pragmatismus. Entsprechend setzt das Marketing auch nicht auf die Angst vor berüchtigten Zero-Day-Lücken (dem Hersteller unbekannte Schwachstellen) oder den viel verlangten 24/7-Service. «Oft resultieren die Security-Probleme aus einem fehlenden Patch oder einem Konfigurationsfehler. Zero-Day-Attacken sind im richtigen Leben von Hacknowledge-Kunden selten und es wird teuer, wenn man diese abdecken will», sagt Such. Das gelte auch für kleine und mittelgrosse Ämter oder Gemeinden.

Ein 24/7-Service klinge zwar gut, sei oft aber unnötig und reine Geldverschwendung. Acht Stunden an fünf Tagen sei optimal, falls beim Kunden sowieso niemand rund um die Uhr mit Alerts umgehen könne. «Ein paar Stunden Reaktionszeit ist doch viel schneller als 100 Tage!»

Wann macht ein SOC Sinn?
Was benötigen Interessenten, damit ein SOC as a Service von Abraxas-Hacknowledge überhaupt sinnvoll ist? Auch hier überrascht Suchs Antwort. «Will man beim SOC kein Geld verschwenden, so müssen zwei Bedingungen erfüllt sein. Erstens ist Management-Support zwingend und zweitens muss der Kunde einen IT-Security-Verantwortlichen beschäftigen.»

100% Sicherheit wird es dann keine geben, denn Menschen machten Fehler und die komplexe Soft- und Hardware-Lieferkette sei nicht kontrollierbar. «Wir bieten keine Träume», wiederholt Such, aber Angst sollte auch nicht der Treiber sein. Er fährt deshalb nach wie vor Auto und nicht nur mit dem Velo. «Ich weiss, dass mein Auto gehackt werden könnte. Aber die Annehmlichkeiten sind viel grösser als das Risiko.»