Die Lücke zwischen der Einhaltung gesetzlicher Vorschriften und der betrieblichen Sicherheit schließen

Wenn es um Cyberabwehr geht, bedeuten die Abhakzeichen bei der Compliance nicht immer auch Sicherheit. Viele Organisationen bestehen nach wie vor ihre Audits, erhalten das Gütesiegel und werden anschließend Opfer von Sicherheitsverletzungen.

Angreifern ist es völlig egal, ob Sie einen Ordner mit Richtlinien oder einen einwandfreien Prüfungsbericht vorweisen können. Ihnen bereiten nicht gepatchte Endgeräte, schwache Identitäten, vergessene Ordner für die Zusammenarbeit und überlastete Sicherheitsteams Sorgen.

Für die Experten von Mimecast ist die Erkenntnis eindeutig: Compliance und Betriebssicherheit müssen Hand in Hand gehen. „Es reicht nicht aus, lediglich nachzuweisen, dass Kontrollmechanismen vorhanden sind“, sagt Andrew Williams, Principal Product Marketing Manager bei Mimecast. „Man muss beweisen, dass sie unter Druck Leistung bringen. „Andernfalls lassen Sie eine Tür offen.“

Compliance: Das Regelwerk, das Sie nicht ignorieren dürfen

Bei der Compliance geht es um die Einhaltung externer Anforderungen: die DSGVO in Europa, HIPAA im Gesundheitswesen, PCI DSS im Zahlungsverkehr, NIS2 für kritische Sektoren sowie ein immer umfangreicheres Flickwerk aus datenschutzrechtlichen Vorschriften der einzelnen Bundesländer.

Diese Rahmenwerke verlangen von Organisationen, dass sie Kontrollmaßnahmen umsetzen, Maßnahmen dokumentieren und die Einhaltung nachweisen. Protokolle, Berichte, Bescheinigungen – all dies bildet Ihre Nachweiskette gegenüber Aufsichtsbehörden und Interessengruppen.

Das Ergebnis ist eindeutig: rechtliche Absicherung und geringeres Haftungsrisiko. Doch die Einhaltung der Vorschriften allein beantwortet nur eine Frage: Können Sie den Prüfern nachweisen, dass Sie das Richtige getan haben? Das beantwortet jedoch nicht immer die wichtigere Frage: Können Sie einen Angriff abwehren?

Operative Sicherheit: Dort, wo der eigentliche Kampf stattfindet

Die operative Sicherheit (OpSec) ist das, was täglich im SOC geschieht. Es sind die Konfigurationen, Erkennungsmaßnahmen und Vorgehensanleitungen, die dafür sorgen, dass Bedrohungen eingedämmt werden.

Es ist risiko- und ergebnisorientiert:

• Identitätskontrollen wie MFA und rollenbasierter Zugriff.
• Netzwerksegmentierung zur Eindämmung lateraler Bewegungen.
• Patch- und Schwachstellenmanagement zur Verringerung der Angriffsfläche.
• Schnelle Erkennung und Reaktion auf punktuelle Eindringversuche.
• Sicherungs- und Notfallpläne zur Wiederherstellung, falls etwas schiefgeht.

Mimecast erkennt die Unterschiede bei seinen 42.000 Kunden und verarbeitet täglich Milliarden von Interaktionen. Unternehmen mit ausgereiften OpSec-Programmen erholen sich schneller, melden weniger Vorfälle und verbringen weniger Zeit mit der Bewältigung von Notfällen, wenn doch einmal ein Vorfall eintritt.

Warum diese Lücke besteht

Die Compliance legt die Mindestanforderungen fest und verlangt entsprechende Nachweise. OpSec stellt die entsprechenden Fähigkeiten bereit. Allzu oft werden sie isoliert voneinander betrieben.

Dies führt zu zwei schmerzhaften Folgen:

• Vorschriftskonform, aber unsicher: Unternehmen bestehen Audits, werden jedoch Opfer von Sicherheitsverletzungen, weil Kontrollmaßnahmen nicht durchgesetzt oder getestet wurden.
• Sicher, aber nicht konform: Die Teams verfügen über starke Abwehrmaßnahmen, jedoch über keine Nachweise, wodurch das Unternehmen dem Risiko behördlicher Sanktionen ausgesetzt ist.

Sicherheitsverantwortliche bezeichnen dies als „Audit-Theater“ – eine perfekte Dokumentation, die jedoch kaum etwas mit der täglichen Ausfallsicherheit zu tun hat. Das eigentliche Risiko besteht darin, dass beide Probleme gleichzeitig auftreten: Schwachstellen, die Angreifer ausnutzen können, und Compliance-Lücken, die von den Aufsichtsbehörden geahndet werden.

Zusammenhänge erkennen: Compliance als Schutzmaßnahme nutzen

Die Forscher von Mimecast vertreten die Ansicht, dass die Lösung darin besteht, regulatorische Verpflichtungen direkt mit operativen Kontrollmaßnahmen zu verknüpfen.

DSGVO → Operative Kontrollmaßnahmen

Datenminimierung, Zugriffskontrolle, Verschlüsselung und Benachrichtigung bei Datenschutzverletzungen entsprechen folgenden Maßnahmen: Datenklassifizierung, DLP, Schlüsselverwaltung, zentralisierte Protokollierung und Leitfäden zur Reaktion auf Vorfälle.

HIPAA → Operative Kontrollmaßnahmen

Zu den administrativen und technischen Sicherheitsmaßnahmen für PHI gehören: MFA und RBAC, Protokollierung des Zugriffs auf PHI, Absicherung von Endgeräten, Tests zur Notfallwiederherstellung sowie die Überwachung von Dienstleistern.

PCI DSS → Operative Kontrollmaßnahmen

Das kontinuierliche Schwachstellenmanagement und die Segmentierung beziehen sich auf: die Mikrosegmentierung von Umgebungen mit Karteninhaberdaten, Scanning-SLAs, SIEM-Warnmeldungen und strukturierte Änderungsfenster.

NIS2 → Operative Kontrollmaßnahmen

Risikomanagement und Vorfallmeldung umfassen: festgelegte MTTD-/MTTR-Ziele, Tabletop-Übungen, SBOM-Bestandsaufnahmen sowie eine kontinuierliche Lieferantenüberwachung.

In jedem Framework wird Ihnen mitgeteilt, welche Voraussetzungen erfüllt sein müssen. Indem Sie diese Maßnahmen mit konkreten Vorgehensweisen verknüpfen, stellen Sie sicher, dass sie Sie unter realen Bedingungen tatsächlich schützen.

Sieben Schritte zur Schließung der Lücke

Die Experten von Mimecast empfehlen ein strukturiertes Leitfadenkonzept, das Compliance und OpSec in einem single Referenzsystem vereint. Stellen Sie sich das wie den Unterschied zwischen einem Auto mit funktionierenden Scheinwerfern und einem Armaturenbrett vor, das Ihnen tatsächlich anzeigt, wenn einer davon ausfällt. Sie benötigen beides.

1) Eine gemeinsame Sprache etablieren

Die Teams aus den Bereichen Recht, Risiko und Sicherheit reden oft aneinander vorbei. Im Rechtsbereich geht es um Gesetze und Klauseln. Der Bereich Sicherheit befasst sich mit Konfigurationen und Telemetriedaten. Im Risikomanagement stehen das verbleibende Risiko und die Auswirkungen im Mittelpunkt.

Die Überbrückung dieser Lücke beginnt mit einem gemeinsamen Kontrollkatalog. Ordnen Sie jede Anforderung – von der DSGVO bis zur NIS2 – den entsprechenden Kontrollmaßnahmen zu, die diese erfüllen. Weisen Sie anschließend Namen zu:

• Die Verantwortlichen für die Kontrolle verfassen die Richtlinien und sorgen dafür, dass diese stets auf dem neuesten Stand bleiben.
• Die Service-Verantwortlichen kümmern sich im Tagesgeschäft um die technische Umsetzung.
• Die Verantwortlichen für die Nachweise belegen gegenüber den Wirtschaftsprüfern, dass die Kontrollmechanismen funktionieren.

Diese Struktur verhindert hektische Maßnahmen in letzter Minute während von Prüfungen und hilft dabei, Abhilfemaßnahmen zu priorisieren, wenn eine Kontrollmaßnahme nicht mehr den Anforderungen entspricht. Es handelt sich nicht nur um eine Dokumentation, sondern um eine Rechenschaftspflicht in schriftlicher Form.

2) Setzen Sie die Richtlinie in Standards um

Richtlinien sind oft als Zielvorgaben formuliert: „Wir verlangen eine Zwei-Faktor-Authentifizierung (MFA) für alle Benutzer mit Zugriffsrechten.“ Standards sorgen für die praktische Umsetzung: „MFA muss durch Richtlinien für den bedingten Zugriff für 100 % der privilegierten Identitäten durchgesetzt werden, wobei zeitlich begrenzte Ausnahmen vom CISO genehmigt werden müssen.“

In sensiblen Umgebungen sollten Sie noch einen Schritt weiter gehen:

• Für Domänenadministratoren ist FIDO2 oder eine gegen Phishing geschützte MFA vorgeschrieben.
• Setzen Sie auf Systemen mit hohem Risiko Zeitlimits für Sitzungen durch.
• Wenden Sie strengere Protokollierungs- und Aufbewahrungsvorschriften für geschützte Gesundheitsdaten (PHI) oder Karteninhaberdaten an.

Ein derart hoher Grad an Konkretheit beseitigt Unklarheiten, ermöglicht eine nachvollziehbare Überprüfung der Einhaltung und gibt den Ingenieuren ein klares Ziel vor, das es zu erreichen gilt.

3) Automatisierung der Beweisführung

Screenshots gehören der Vergangenheit an, und Angreifer wissen, wie sie die Vorschriften gerade so lange einhalten können, bis eine Prüfung bestanden ist. Echte Ausfallsicherheit erfordert Echtzeit-Telemetrie.

Die Bedienelemente der Geräte sind so ausgelegt, dass sie ihren eigenen Status melden:

• Abdeckung der Endgeräteverschlüsselung durch MDM.
• Einhaltung der Patch-Vorgaben durch Schwachstellenscanner.
• MFA-Registrierungsdaten von Ihrem IdP.

Speisen Sie diese Daten in ein zentrales GRC-Dashboard ein, damit der Compliance-Status kontinuierlich aktualisiert wird. Anstelle der jährlichen „Panikphase“ können Ihre Führungskräfte nun anhand einer Echtzeit-Anzeige erkennen, wie es um das Unternehmen steht – ob grün, gelb oder rot – und Maßnahmen ergreifen, noch bevor ein Wirtschaftsprüfer überhaupt vor Ort erscheint.

4) Wirksamkeitstest

Es reicht nicht aus, die Kontrolle zu haben – Sie müssen wissen, dass das System auch unter Druck funktioniert. An dieser Stelle kommen Stresstests ins Spiel:

• Phishing-Simulationen: Prüfen Sie, ob Ihre Mitarbeiter verdächtige E-Mails tatsächlich erkennen und melden.
• „Red Team“- und „Purple Team“-Übungen: Identifizieren Sie Lücken bei der Erkennung und Reaktion.
• Sicherungs- und Wiederherstellungsübungen: Weisen Sie nach, dass Sie ein kritisches System innerhalb der RTO wiederherstellen können.
• Zeitlich begrenzte Tischübungen: Messen Sie, wie schnell die Teams Eskalationen vornehmen, kommunizieren und reagieren.

Durch die Erfassung von Kennzahlen wie der mittleren Zeit bis zur Erkennung (MTTD) und der mittleren Zeit bis zur Reaktion (MTTR) wird Sicherheit zu einem Thema der Leistungsbewertung und nicht nur zu einer reinen Abhakübung.

5) Die Einhaltung der Vorschriften fest in den Lieferprozess integrieren

Die moderne Infrastruktur verändert sich täglich. Wenn die Einhaltung von Vorschriften lediglich in einem Richtliniendokument verankert ist, ist eine Abweichung unvermeidlich. Bauen Sie stattdessen Sicherheitsvorkehrungen direkt in den Entwicklungsprozess ein:

• Überprüfen Sie die „Infrastructure-as-Code“-Umgebung auf Fehlkonfigurationen.
• Blockieren Sie die Bereitstellung von Containern, die kritische Sicherheitslücken aufweisen.
• Erfassen Sie Genehmigungen und Ausweichpläne automatisch.

Dieser Ansatz stellt sicher, dass die Einhaltung von Vorschriften kein separater Arbeitsbereich ist, sondern in die Art und Weise integriert ist, wie neue Systeme eingeführt und gewartet werden.

6) Sichern Sie die Lieferkette

Ihre Sicherheitslage ist nur so stark wie die Anbieter, die Zugriff auf Ihre Daten haben. Ordnen Sie die Verpflichtungen, DPAs, BAAs und SOC-2-Berichte jedes Anbieters Ihrem Kontrollkatalog zu.

Behalten Sie diese anschließend kontinuierlich im Auge:

• Nutzen Sie Risikomanagement-Plattformen von Drittanbietern, um Lieferanten auf offene Ports, abgelaufene Zertifikate oder durchgesickerte Zugangsdaten zu überprüfen.
• Verlangen Sie Bescheinigungen und jährliche Überprüfungen für Lieferanten mit hohem Risiko.
• Nehmen Sie Klauseln zum Prüfungsrecht auf, damit Sie sich nicht auf blindes Vertrauen verlassen müssen.

Angreifer nutzen Schwachstellen gerne aus. Die Aufsichtsbehörden werden Ihnen keine Nachsicht gewähren, wenn eine Sicherheitsverletzung bei einem Partner ihren Ursprung hat.

7) Schaffen Sie eine Kultur der Verantwortlichkeit

Kontrollmaßnahmen sind nur so wirksam wie die Menschen, die sie anwenden. Bieten Sie rollenbasierte Schulungen an, die einen Bezug zu den tatsächlichen Aufgaben herstellen:

• Ingenieure erfahren, was die Protokollspeicherung bedeutet und wie man sie konfiguriert.
• Mitarbeiter der Personalabteilung und des Supports lernen, wie sie Datenanfragen sicher bearbeiten.
• Führungskräfte lernen, wie sie Dashboards auswerten und risikobasierte Entscheidungen treffen.

Veröffentlichen Sie einfache, anschauliche Dashboards, die Führungskräften zwei Dinge nebeneinander anzeigen:

• Sicherheit: Halten wir die Vorschriften ein?
• Bereitschaft: Wären wir in der Lage, einen Angriff abzuwehren, sollte er heute stattfinden?

„Ständig neue Erkenntnisse verändern die Lage grundlegend“, sagt Williams. „Dadurch wird die Einhaltung von Vorschriften nicht mehr nur zu einer jährlichen Panik, sondern zu einer täglichen Gewohnheit, und Sie beweisen Ihrem Vorstand, dass Sie auf echte Angriffe vorbereitet sind – nicht nur auf Prüfungen.“

Wie Erfolg aussieht

Erfolg bedeutet nicht, einmal im Jahr eine Prüfung zu bestehen. Es geht darum, über ein unified Kontrollsystem zu verfügen, in dem jede Anforderung erfasst, gemessen und überwacht wird. Es handelt sich um Quartalsberichte, in denen der Stand der Compliance mit betrieblichen Kennzahlen kombiniert wird. Die Prüfungen laufen schneller und mit weniger Betriebsunterbrechungen ab, und es gibt weniger Überraschungen, wenn der nächste Angreifer an Ihre Tür klopft.

Wenn Compliance und OpSec sich gegenseitig verstärken, verbringen CISOs weniger Zeit damit, Screenshots zu sammeln, und mehr Zeit damit, die Abwehrmaßnahmen zu verbessern.

Die Quintessenz

Cyberkriminelle entwickeln sich rasant weiter. Die Aufsichtsbehörden schrauben die Erwartungen hoch. Und diejenigen Organisationen, die sich durchsetzen werden, sind jene, die ihre theoretischen Nachweise mit den Abwehrmaßnahmen in der Praxis verknüpfen.

Mimecast unterstützt CISOs genau dabei – mit einem unified Schutz für E-Mail und Zusammenarbeit, KI-gestützter Erkennung und einer kontinuierlichen Überwachung der Kontrollmechanismen, die den Anforderungen der Aufsichtsbehörden gerecht wird und gleichzeitig Angreifer fernhält.

Vereinbaren Sie noch heute einen Termin für eine Demo und erfahren Sie, wie Mimecast Compliance-Anforderungen in operative Stärke verwandelt – damit Sie sicher sein können, dass Ihre Kontrollmechanismen nicht nur vorhanden sind, sondern auch funktionieren.

Entdecken Sie die Lösungen von Mimecast für E-Mail- und Kollaborationssicherheit →