Vier Fragen am Whiteboard: Ex-CISO Lora Vaughn stellt schlankes Threat-Modeling-Verfahren vor

Die Antworten auf die vier Fragen liefern laut Vaughn eine Landkarte für Investitionsentscheidungen. Das erfordere weitere Auseinandersetzung, räumt sie ein, denn es stehe stets eine neue Technologie bereit, die verspricht, die Kosten für Cybersicherheit im Unternehmen zu drücken. Realität und Branchenhype müssten ausbalanciert werden.

Als Beispiele führte sie mehrere Wellen an: Um 2015 sollte der Umzug in die Cloud die Verantwortung auf Anbieter wie AWS verlagern — es folgte eine Flut von Fehlkonfigurationen und Missverständnissen darüber, wer welchen Teil der Sicherheit verantwortet. 2018 lautete das Schlagwort „Automatisierung", doch die Teams merkten schnell, dass sich nur automatisieren lässt, was zuvor als sauber definierter Prozess vorliegt — ein oft prohibitiv zeitaufwendiges Unterfangen, das viele Projektzeitpläne nach hinten schob. 2021 hatten alle Zero-Trust-Netzwerke im Kopf; das erwies sich weniger als Rezept denn als anpassbares Leitprinzip, und der Aufbau einer echten Zero-Trust-Umgebung verlangt hohe Investitionen in Systeme und damit eine deutlich längere Reise, als sich viele in der Branche erhofft hatten.

Zum aktuellen Zeitgeist, die Unternehmenssicherheit einem agentischen KI-Modell zu übergeben, wurde Vaughn auf der Bühne deutlich: Das sei eine „Fantasie". „KI ist ein Kraftverstärker", sagte Vaughn. „Sie vervielfacht nur das, was man ohnehin schon hat. Null mal irgendetwas ist immer noch null. Die Mathematik ist ungeschlagen."

Das Fazit: Ist das Bedrohungsmodell erstellt, solle man den weiteren Weg mit offenen Augen und klugem Urteil wählen — und anerkennen, dass es sich um einen fortlaufenden Zyklus handelt. „Das Bedrohungsmodell vierteljährlich auffrischen", ergänzte Vaughn. „Oder nach jeder großen Veränderung."

Die erste Frage lautet: Was wäre das Worst-Case-Szenario, wenn man am Montagmorgen um 8 Uhr zur Arbeit käme? Ein Ransomware-Angriff, der zum Abfluss sensibler Informationen führt? Einer, der Produktionssysteme lahmlegt? Das massenhafte Übernehmen von Firewalls und Edge-Geräten? Ein Business E-Mail Compromise (BEC), der in einer Überweisung von 100.000 US-Dollar an Angreifer endet? Oder würde es große Probleme verursachen, auf das nordkoreanische Schema der gefälschten Remote-Mitarbeiter hereinzufallen?

Vaughn betonte, dass diese Szenarien anschließend nach dem Schmerz für das Geschäft zu ordnen sind. Fünf bis acht „schmerzhafte" Punkte seien eine vernünftige Größenordnung. Risiken teilt sie in drei Kategorien ein:

• existenziell: Ein Vorfall würde das Unternehmen schließen.
• schmerzhaft: Geschäftsunterbrechung mit entsprechenden Kosten und schlechter Presse.
• lästig: etwas, das sich halbwegs einfach beheben lässt.

Ein zentrales Stück des Risikoprofils ist die Frage, wer einen überhaupt als Ziel sieht. Haben staatlich gesteuerte APT-Gruppen die eigene Organisation im Visier? Oder ist das Geschäft eher für BEC-Betrug attraktiv? Suchen Ransomware-Affiliates einen Weg in die Systeme? Betreibt man einen großen Bestand an Software oder Appliances, die weit oben auf den Zielisten der Angreifer stehen? Wie steht es um die Patch-Hygiene, und gibt es Schwachstellen, die bekanntermaßen ausgenutzt werden?

Solche Informationen gebe es kostenlos, etwa bei der Cybersecurity and Infrastructure Security Agency (CISA), daneben auch von privaten Threat-Intelligence-Diensten. Vaughn empfahl CISOs und Sicherheitsverantwortlichen zudem, sich auf die Information and Analysis Centers (ISACs) ihrer jeweiligen Branche zu stützen. „Das ist die wertvollste Ressource", sagte Vaughn. „Und sie ist kostenlos."

Dort, wo sich die Liste der Worst-Case-Szenarien und die Liste der wahrscheinlichen Angreifer überschneiden, müssen Teams zuerst ansetzen. „Jede Überschneidung ist ein Szenario", erklärte Vaughn. „Schreiben Sie einen Satz zu jedem: wer, wie, wogegen und mit welchen Kosten?"

Beim BEC-Angriff verwies Vaughn darauf, dass eine einfache telefonische Rückbestätigung die wirksamste Prävention sein könne — und nichts koste. „Finden Sie heraus, wo der Angriff mit dem geringsten Geldeinsatz gestoppt wird", riet Vaughn. „Geben Sie in dieser Reihenfolge aus."

Weitere kostenlose Maßnahmen, die nach ihrer Einschätzung tatsächlich wirken: Multifaktor-Authentifizierung überall, die sie als „nicht verhandelbar" bezeichnet und für die CISOs „kämpfen" sollten. Auch ein Asset-Inventar sei unbezahlbar, selbst wenn es nur eine Tabelle sei — das „schlägt immer noch, gar nichts zu tun". Hinzu kommen das Patchen von Schwachstellen, die bereits ausgenutzt wurden, der Verzicht darauf, allen Administratorrechte zu geben, und das Testen von Backups. Bei Ransomware reichen Backups allein nicht: Netzwerksegmentierung müsse dazukommen.

„Wenn Sie nicht aus Backups wiederherstellen können oder gar keine haben, dann haben Sie Hoffnung", sagte Vaughn. „Hoffnung ist keine Sicherheitsmaßnahme."

Nichts auf dieser Liste lasse sich bei einem Anbieter kaufen. „Es gibt keine Artikelnummer für ‚MFA einschalten‘ und ‚eine Tabelle pflegen‘", fügte sie hinzu.

Für Sicherheitsteams sei es verlockend, die vier Fragen im eigenen Kreis zu beantworten. Vaughn plädierte jedoch dafür, das Management einzubeziehen: Das richte die Prioritäten besser am Gesamtgeschäft aus und helfe der Führungsebene zu verstehen, welche Folgen es hat, wenn Cybersicherheit liegen bleibt.

Dafür nannte sie mehrere bewährte Vorgehensweisen. Ausgaben sollten an ein Geschäftsergebnis gekoppelt werden — ihr Beispiel: „Wenn niemand eine CVE finanziert, können wir eine Woche lang nicht ausliefern." Außerdem empfiehlt sie, drei Ausgabenoptionen mit Preisschildern vorzulegen und dann eine davon zu empfehlen. CISOs und Sicherheitsteams sollten niemals „Sicherheit" versprechen, sondern ausschließlich reduziertes Risiko, und Investitionsentscheidungen aus dieser Perspektive diskutieren.

Konkret könnten die Optionen etwa „12.000 US-Dollar, 4.000 US-Dollar oder null" lauten, erklärte sie. „Null bedeutet, wir akzeptieren das Risiko, deshalb empfehle ich die 4.000 Dollar."

Ist die Entscheidung gefallen, solle eine E-Mail folgen, etwa: „Zur Bestätigung: Wir verschieben X und akzeptieren das Risiko Y. Sagen Sie mir, wenn ich das falsch verstanden habe." Diese Dokumentationsspur könne sich nach einer Kompromittierung als äußerst wertvoll erweisen.