BSI-Lagebericht 2021

Das Urteil von BSI-Präsident Arne Schönbohm zur Lage der IT-Sicherheit in Deutschland 2o21: Es herrscht Alarmstufe Rot. Und die Prognose, die der BSI-Lagebericht 2021 für die Zukunft aufstellt, ist nicht weniger besorgniserregend.

Wir liefern eine Zusammenfassung des BSI-Lagebericht 2021 und nennen die größten Bedrohungen für die Lage der IT-Sicherheit in Deutschland.

BSI: Cyberattacken verschärfen aktuelle Bedrohungslage

Wie gefährdet ist Deutschland durch Cyberattacken? Diese Frage stellt das Bundesamt für Sicherheit in der Informationstechnik (BSI) als Cyber-Sicherheitsbehörde des Bundes jedes Jahr wieder und hält die Antworten darauf in einem ausführlichen Bericht zur Lage der IT-Sicherheit in Deutschland fest. So zeigt der jetzt vorgestellte BSI-Lagebericht 2021 für den Berichtszeitraum von Juni 2020 bis Mai 2021, dass die aktuelle Bedrohungslage nur eine Richtung kennt: Sie steigt und steigt und steigt.

War im BSI-Lagebericht 2020 noch die Rede davon, dass die aktuelle Bedrohungslage als „angespannt“ zu bewerten sei, stuft der BSI-Lagebericht 2021 sie jetzt schon als „angespannt bis kritisch“ ein, was wohl definitiv als Steigerung zu verstehen ist. BSI-Präsident Arne Schönbohm findet dafür deutliche Worte: „Wir haben in Teilbereichen der Informationssicherheit Alarmstufe Rot.“ Und Bundesinnenminister Horst Seehofer ergänzt, dass die Gefährdungslage künftig wohl weiter zunehmen werde.

Nicht nur die Anzahl von Sicherheitsvorfällen ist dabei besorgniserregend; auch die rasante Entwicklung neuer und angepasster Angriffsmethoden, die massenhafte Ausnutzung schwerwiegender Software-Schwachstellen und die teilweise gravierenden Folgen durch erfolgreiche Cyberangriffe seien alarmierend.

BSI-Lagebericht 2021: Zusammenfassung

Der BSI-Lagebericht 2021 – beziehungsweise der Bericht „Die Lage der IT-Sicherheit in Deutschland 2021“ – ist mit 100 Seiten wieder ein umfassendes Werk und enthält eine solche Fülle an Informationen, dass eine Zusammenfassung nicht einfach ist. Wir wagen den Versuch trotzdem und beginnen damit, die nach Angaben von Arne Schönbohm drei größten Probleme zu benennen:

• Deutliche Professionalisierung der Cyberkriminalität:
  Der vergangene Berichtszeitraum hat laut BSI-Lagebericht 2021 besonders gezeigt, mit welcher Professionalität Cyberkriminelle inzwischen vorgehen. Und das nicht nur hinsichtlich ihrer Taktiken, sondern auch bezüglich ihrer Geschäftspraktiken (Stichwort: Ransomware-as-a-Service). Die Qualität der Cyberangriffe entwickelt sich rasant und die Folgen werden immer dramatischer. Ein Beispiel dafür ist die Uniklinik in Düsseldorf, die sich nach einer erfolgreichen Cyberattacke im September 2020 13 Tage lang von der Notfallversorgung abmelden musste. Die Zahl der Erpressungsversuche steigt ebenfalls; zusätzlich zu Lösegeld wird inzwischen auch Schweigegeld für gestohlene Daten verlangt.
• Zunehmende digitale Vernetzung:
  Die vergangenen Jahre haben die Digitalisierung rasant beschleunigt. So begrüßenswert diese Entwicklung an sich ist, birgt sie doch auch Risiken. Denn: Die digitalen Abhängigkeiten und die Angriffsfläche werden dadurch größer. Diese Entwicklung wird sich künftig weiter verstärken, da der Stand der Digitalisierung inzwischen ein wichtiger Wettbewerbsfaktor ist. Ein Beispiel für die Gefahr der zunehmenden Vernetzung war im Jahr 2021 der Cyberangriff auf das Software-Unternehmen Kaseya. Er hat gezeigt, wie schnell ein Angriff auf Lieferketten einen echten Domino-Effekt auslösen kann.
• Schwachstellen in IT-Produkten:
  Wenn Software Schwachstellen aufweist, haben es Cyberkriminelle leicht, ihre Attacken erfolgreich darauf abzuzielen. Auch hierfür hat das Jahr 2021 ein Beispiel gebracht: Eine Sicherheitslücke in der Exchange-Server-Software hatte massive Angriffe auf den E-Mail-Dienst zur Folge. Viele Unternehmen haben darauf allerdings nicht oder erst nach schriftlicher Kontaktaufnahme des BSI reagiert. Noch immer haben zahlreiche Unternehmen das Sicherheitsupdate nicht ausgespielt und sind entsprechend gefährdet.

Die größten Probleme sind damit genannt. Es sind aber nicht die Einzigen.

Zahlen, Daten, Fakten aus dem BSI-Lagebericht 2021

Sehr interessant sind immer die Zahlen, Daten und Fakten, die der Bericht zur Lage der IT-Sicherheit in Deutschland regelmäßig liefert – das Jahr 2021 bildet da keine Ausnahme. Hier ein Überblick:

• Die Zahl der monatlich aktiven Daten-Leak-Seiten ist um 360 Prozent gestiegen – und jede einzelne dieser Seiten enthält Millionen von gestohlenen Datensätzen. Daraus ist erkennbar, wie sehr sich cyberkriminelle Erpressungsmethoden verbreitet haben. Oft geht einer Verschlüsselung von Daten inzwischen ein unbemerkter Datendiebstahl voraus. Dieser soll den Druck auf die Opfer erhöhen. Weigern sie sich, das Lösegeld zu zahlen, sind die Konsequenzen weitreichend: Durch die Veröffentlichung des Datendiebstahls droht ein Image-Verlust, besonders bei einer dreifachen Erpressung; zusätzlichen Profit schlagen die Angreifer daraus, dass sie erbeutete Daten verkaufen oder versteigern; durch die Meldung bei der zuständigen Datenschutzbehörde könnten saftige Strafgelder drohen.
• Die Zahl neuer Schadprogramm-Varianten ist im Vergleich zum Vorjahresbericht noch einmal deutlich gestiegen – und zwar um 22 Prozent. Insgesamt kamen im Berichtszeitraum Juni 2020 bis Mai 2021 144 Millionen neue Schadprogramm-Varianten hinzu, im Durchschnitt waren es 394.000 neue Varianten pro Tag. Im Februar 2021 hat das BSI mit 553.000 Varianten an einem Tag einen neuen Höchstwert gemessen.
• Täglich ließen sich bis zu 40.000 durch Botnetze infizierte Geräte verzeichnen. Ausgerichtet sind die Botnetze inzwischen vorrangig auf Tablets und Smartphones, die mit Android laufen. Nach der Infektion durch Schadsoftware werden diese Geräte in die Botnetze eingegliedert und anschließend für weitere kriminelle Aktionen wie Informationsdiebstahl oder die Weiterverbreitung der Schadsoftware missbraucht. Das BSI hat diese Botnetz-Infektionen an die deutschen Provider gemeldet, die wiederum die Betroffenen ermittelt und benachrichtigt haben.

Diese Zahlen zeigen: Cyberkriminelle schlafen nicht – und wenn doch ersinnen sie in ihren Träumen neue Methoden, mit denen sie die IT-Sicherheit gefährden und Profit daraus schlagen können.

Bedrohung für die Wirtschaft laut BSI-Lagebericht 2021

In der Wirtschaft sind laut BSI-Lagebericht 2021 besonders Betreiber Kritischer Infrastrukturen (KRITIS) gefährdet. Hier versucht das BSI regelmäßig zu prüfen, ob ein ausreichender Schutz gewährleistet ist. Zudem werden Überlegungen angestellt, wie entsprechende Infrastrukturen weiterentwickelt werden können und welche praxisgerechten Sicherheitsanforderungen, Standards und Handlungsempfehlungen KRITIS-Einrichtungen einhalten sollten. Mit dem IT-Sicherheitsgesetz besteht für KRITIS-Einrichtungen eine Nachweispflicht zum Umsetzungsstatus der Sicherheitsanforderungen.

Ebenfalls besonders gefährdet sind kleine und mittelständische Unternehmen (KMU). Der Grund dafür: In der Regel sind dort keine dedizierten IT-Sicherheitsteams beschäftigt, oft gibt es auch keine eigene IT-Abteilung. Weil es zudem auf Management-Ebene häufig an Bewusstsein für die Risiken und Abhängigkeiten mangelt, die der Einsatz von Informationstechnik mit sich bringt, sind KMU gegenüber Cyberbedrohungen besonders bedroht.

Genau dieser Mangel hat sich auch im Fall der Exchange-Server-Sicherheitslücke gezeigt: Die Analysen des BSI haben ergeben, dass vor allem KMU lange mit dem Ausspielen des Sicherheitspatches gezögert haben – und dass sie zusätzlich durch weitere Sicherheitslücken, für die schon seit geraumer Zeit Sicherheitsupdates zur Verfügung standen, extrem gefährdet waren. Daher will das BSI besonders KMU künftig verstärkt sensibilisieren.

Umfangreiche Maßnahmen für IT-Sicherheit

Um der Bedrohungslage begegnen zu können, sind in den vergangenen Monaten zahlreiche Maßnahmen durchgeführt worden, um die Cybersicherheit in Deutschland massiv zu stärken. Unter anderem wurde die Position des BSI als Cybersicherheitsbehörde gestärkt. Unter anderem durch das IT-Sicherheitsgesetz 2.0, das im April 2021 verabschiedet worden ist und das die IT-Sicherheit von Verwaltungen und Unternehmen, aber auch von 5G-Netzen stärken soll. Im Kern geht es darum, die Voraussetzungen für eine sichere Digitalisierung zu schaffen – und dafür muss die IT-Sicherheit von Anfang an mitgedacht werden, betonte Arne Schönbohm bei der Vorstellung des BSI-Lagebericht 2021.

Das BSI ist dazu inzwischen gut aufgestellt. Mittlerweile sind 1.500 Mitarbeiter angestellt, darunter zahlreiche Experten auf dem Gebiet der IT-Sicherheit. Dieses Aufstockung an Personal zahlt sich nach Meinung von Horst Seehofer aus. Er lobte, dass das BSI immer schnell auf aktuelle Themen reagiert – im Jahr 2020 brachte es zum Beispiel zügig eine Studie zur IT-Sicherheit im Home Office heraus. Außerdem bringt es inzwischen in zahlreichen Projekten seine Expertise ein, so beispielsweise bei der Entwicklung der Corona-Warn-App.

IT-Fachleute unterstützen mit IT-Sicherheit

Bei all diesen schlechten Nachrichten von Cyberattacken und Bedrohungen gibt es sowohl für kleine als auch mittelständische aber auch gute Nachrichten: Einerseits will das BSI seine Aktivitäten zum Schutz der IT-Sicherheit weiter verstärken; andererseits gibt es fähige IT-Dienstleister, die Unternehmen mit und ohne eigene IT-Abteilung bei sämtlichen Bemühungen rund um die Erhöhung der IT-Sicherheit unterstützen. Solche fähigen IT-Dienstleister finden Sie selbstverständlich auch unter den Experten aus dem IT-SERVICE.NETWORK.

Die IT-Fachleute aus unserem Netzwerk helfen Unternehmen dabei, die IT-Sicherheit in einem hohen Maß umzusetzen. Mit einem IT-Sicherheitscheck und einem Penetrationstest unterziehen sie IT-Netzwerke einem Härtetest und entwickeln darauf aufbauend eine umfassende IT-Sicherheitsstrategie. Mit der Umsetzung der empfohlenen Maßnahmen sorgen Unternehmen dafür, dass sie vor Angriffen bestmöglich geschützt sind.

Interesse an einer unverbindlichen Beratung? Dann nutzen Sie unsere Dienstleistersuche und finden in wenigen Minuten einen passenden IT-Dienstleister ganz in Ihrer Nähe. Wir freuen und auf Ihre Anfrage!

---

Weiterführende Links:
BSI, BSI, Youtube, BSI