Wie sich Security weiterentwickelt: Von der Prävention zur Reaktion auf Bedrohungen

Die Sicherheitslandschaft von Unternehmen wird zunehmend komplexer. Angriffe können automatisiert werden und auf KI-basierte Techniken zurückgreifen, um Schwachstellen zu identifizieren und Angriffskampagnen effektiver zu gestalten. 

Auch in der Schweiz bleibt das Bedrohungsniveau hoch. Im Halbjahresbericht für das zweite Halbjahr 2025 verzeichnete das Bundesamt für Cybersicherheit (BACS) einen Anstieg von 108 % bei den identifizierten Phishing-Websites und wies damit auf eine stark zunehmende Bedrohungswelle hin, darunter auch KI-basierte Bedrohungen. Darüber hinaus sind KMU zu bevorzugten Zielen von Cyberkriminellen geworden, da sie häufig über eine geringere Sichtbarkeit und weniger Ressourcen für die kontinuierliche Überwachung ihrer Infrastruktur verfügen. 

In diesem Szenario müssen Unternehmen eine immer größere Angriffsfläche berücksichtigen. Es geht nicht mehr nur um Server, Firewalls und Workstations: Hinzu kommen E-Mail-Postfächer, Browser, SaaS-Anwendungen, Collaboration-Tools, mobile Geräte und Cloud-Dienste. 

Ein weiterer Faktor ist ebenfalls zu berücksichtigen: der menschliche Faktor. 

E-Mail bleibt einer der wichtigsten Kanäle zur Verbreitung von Phishing, Business E-Mail Compromise, schädlichen Anhängen und betrügerischen Links. Eine wirksame Sicherheitsstrategie muss daher auch das Verhalten der Nutzer berücksichtigen, ohne Schulungen auf eine allgemeine einmalige Maßnahme zu beschränken. 

Cybersecurity muss zu einem kontinuierlichen Prozess werden, der Menschen, Technologien und Verfahren auf allen Ebenen der Organisation einbezieht. 

Die erste Phase einer End-to-End-Strategie ist selbstverständlich die Prävention. Das Ziel besteht nicht nur darin, einen erfolgreichen Angriff zu verhindern, sondern auch die Wahrscheinlichkeit eines Angriffs zu reduzieren und sicherzustellen, dass die Organisation darauf vorbereitet ist, entsprechende Warnsignale zu erkennen. 

Das bedeutet, gleichzeitig an zwei Fronten zu arbeiten: Menschen und Technologie. 

Wie bereits erwähnt, stellen Menschen häufig einen der wichtigsten Einstiegspunkte für externe Bedrohungen in das Unternehmensökosystem dar. Aus diesem Grund kann Sicherheitsschulung nicht auf einen Einführungskurs oder eine gelegentliche Kommunikation beschränkt sein. 

Ein Security-Awareness-Programm muss kontinuierlich, messbar und in den Arbeitsalltag der Organisation integriert sein. SaaS-Lösungen wie FortiSAT von Fortinet ermöglichen es beispielsweise, verschiedene Schulungsstufen zu kombinieren: Basismodule von etwa 8–10 Minuten mit Quizfragen, Micro-Learning-Sessions und vieles mehr. 

Die Schulungen können durch simulierte Phishing-Kampagnen ergänzt werden, mit denen sich die Fähigkeit der Nutzer, eine Bedrohung zu erkennen, konkret überprüfen lässt. Der Mehrwert dieser Aktivitäten besteht nicht darin, Personen für Fehler verantwortlich zu machen, sondern darin, besonders exponierte Bereiche zu identifizieren und durch gezielte Schulungen darauf zu reagieren. 

Security Awareness wird damit zu einem integralen Bestandteil der Sicherheitsstrategie und kann auch dazu beitragen, die Anforderungen von Frameworks und Vorschriften wie ISO/IEC 27001:2022, NIS2, GDPR, DORA, PCI DSS und NIST SP 800-50 zu erfüllen. 

Das Bewusstsein der Nutzer muss durch einen mehrschichtigen technischen Schutz ergänzt werden. E-Mail-Sicherheit stellt eine erste Schutzebene dar, doch ist es nicht immer ausreichend, ausschließlich den E-Mail-Client zu schützen. Moderne Arbeitsumgebungen umfassen Plattformen und Collaboration-Tools wie Microsoft 365, Google Workspace, Teams, SharePoint, OneDrive und Slack, die als integraler Bestandteil des Sicherheitsbereichs betrachtet werden müssen. 

Dasselbe gilt für Netzwerk und Endpoints. Next-Generation-Firewalls wie FortiGate können dazu beitragen, den Datenverkehr zu segmentieren und Funktionen wie IPS, Web Filtering und Antivirus anzuwenden. Der Schutz der Endpoints kann hingegen über zentral verwaltete Agents wie FortiClient erfolgen. 

Ziel ist es, eine mehrschichtige Verteidigung aufzubauen, bei der das Überwinden einer einzelnen Schutzbarriere nicht automatisch zur Kompromittierung der gesamten Umgebung führt. 

Auch die beste Präventionsstrategie kann nicht garantieren, dass eine Organisation niemals Opfer eines Angriffs wird. Hier kommt das zweite Element der End-to-End-Security ins Spiel: die Fähigkeit, rechtzeitig zu erkennen, was geschieht. 

Eine nicht erkannte Bedrohung kann ungestört weiterwirken. Die Möglichkeit, anomales Verhalten unmittelbar zu identifizieren, verkürzt dagegen die verfügbare Zeit für den Angreifer und ermöglicht es, einzugreifen, bevor der Vorfall weitreichendere Folgen hat. 

Um diese Transparenz zu erreichen, müssen die von der Infrastruktur generierten Ereignisse kontinuierlich gesammelt und analysiert werden. 

• Log-Analyse. Die aus dem Netzwerk und den Endpoints stammenden Logs müssen zentralisiert und in Echtzeit analysiert werden. Dedizierte Repositories wie FortiAnalyzer ermöglichen es, diese Informationen zu sammeln und für nachfolgende Analyseaktivitäten bereitzustellen.
• Filterung relevanter Ereignisse. Die Datenmenge, die von einer modernen Infrastruktur generiert wird, ist jedoch enorm. Jedes Ereignis manuell zu analysieren, ist nicht realistisch und birgt das Risiko, ein weiteres sehr menschliches Problem zu verursachen: die sogenannte Alert Fatigue, einen Zustand psychologischer und kognitiver Desensibilisierung, der entsteht, wenn Mitarbeiter mit einer übermäßigen Anzahl von Benachrichtigungen konfrontiert werden. Hier kommen die Ereigniskorrelation, signaturbasierte Regeln und Machine-Learning-Techniken ins Spiel. Ziel ist es, von Millionen Ereignissen zu einer deutlich geringeren Anzahl von Anomalien zu gelangen, die tatsächlich die Aufmerksamkeit der Analysten erfordern.
• Threat Intelligence. Ergänzt wird diese Tätigkeit durch Threat Intelligence, die es ermöglicht, Ereignisse mit Informationen aus globalen Quellen anzureichern, beispielsweise mit Feeds von FortiGuard Labs. Die Zuordnung der Ereignisse zum MITRE-ATT&CK-Framework ermöglicht zudem, das beobachtete Verhalten in einen Kontext zu setzen und zu verstehen, in welcher Phase des Angriffsverlaufs sich die Bedrohung befindet.

Es geht also nicht darum, einen Alert nach dem anderen zu bewerten, sondern eine enorme Datenmenge in nützliche Informationen für fundierte Entscheidungen umzuwandeln. 

Das Security Operations Center ist die Einheit, in der Monitoring, Analyse und Reaktion in einen kontinuierlichen Prozess integriert werden. 

Seine Aufgabe besteht darin, das Ökosystem rund um die Uhr zu überwachen, auf Auffälligkeiten hinzuweisen, die Art des Ereignisses zu verstehen, dessen Schweregrad zu bewerten und die erforderlichen Maßnahmen einzuleiten. 

Der operative Zyklus lässt sich in sieben Phasen unterteilen: 

• Protect, die Konfiguration und Verwaltung der Perimeter-Schutzmaßnahmen und Endpoints.
• Logging, also die zentralisierte Sammlung und Analyse der von der Infrastruktur generierten Daten.
• Detect, die Identifizierung anomaler Aktivitäten durch Ereigniskorrelation und den Einsatz von Analyse- und KI-Techniken.
• Investigate, die vertiefte Untersuchung des Alerts, die Unterscheidung zwischen einem tatsächlich gefährlichen Ereignis und einem False Positive sowie die Einordnung der beobachteten Aktivität in die Cyber Kill Chain.
• Escalate, wenn der Vorfall entsprechend seinem Schweregrad klassifiziert wird, beispielsweise anhand der Stufen P1–P4, und gemäß festgelegten Verfahren und SLAs bearbeitet wird.
• Remediate, die Phase, in der das Incident Response Team eingreift, um den Angriff einzudämmen, kompromittierte Hosts zu isolieren, schädliche Indikatoren zu blockieren und die Wiederherstellung des Betriebs zu unterstützen.
• Improve, denn nach der Bearbeitung des Vorfalls muss analysiert werden, was geschehen ist, welche Schutzmaßnahmen funktioniert haben und welche verbessert werden müssen. Entsprechend werden Regeln und Verfahren aktualisiert.

Der Wert dieses Modells liegt gerade in der Kontinuität und dem Kreislaufcharakter des Prozesses: Der Vorfall markiert nicht das Ende der Sicherheitsaktivitäten, sondern wird zu einer Informationsquelle, um die Sicherheitsstrategie der Organisation künftig zu stärken. 

Das Post-Incident Review ermöglicht es, Erfahrungen in konkrete Verbesserungen umzusetzen: Die während des Sicherheitsvorfalls gesammelten Informationen können genutzt werden, um Erkennungsregeln zu aktualisieren, Richtlinien anzupassen, die Schulung der Nutzer zu stärken und Änderungen an den Infrastrukturkonfigurationen vorzunehmen. 

Bei Tinext Cloud sind Prävention, Monitoring und Reaktion daher keine drei unabhängigen Aktivitäten, sondern Bestandteile eines einzigen Prozesses der kontinuierlichen Optimierung und Verbesserung. 

Für viele Organisationen, insbesondere wenn es nicht möglich ist, intern über ein spezialisiertes Team zu verfügen, das rund um die Uhr im Einsatz ist, kann die Nutzung eines Managed Services wie SOC-as-a-Service eine Möglichkeit darstellen, die eigenen Abwehrmaßnahmen ganzheitlich zu stärken. 

Die Weiterentwicklung der Cybersecurity erfordert somit einen Perspektivenwechsel: weg von der Reaktion auf einen Angriff hin zu einer kontinuierlichen, zyklischen End-to-End-Strategie.