Was ist eine Bedrohung in ISO 27001?
Eine Bedrohung ist jede mögliche Ursache für einen unerwünschten Vorfall, der zu Schäden an Ihren Informationssystemen oder Ihrer Organisation führen kann. In ISO 27001:2022 ist…
Übersicht
Eine Bedrohung ist jede mögliche Ursache für einen unerwünschten Vorfall, der zu Schäden an Ihren Informationssystemen oder Ihrer Organisation führen kann. In ISO 27001:2022 ist die Identifizierung von Bedrohungen ein grundlegender Bestandteil der Risikobewertung (Klausel 6.1.2) und bestimmt, welche Sicherheitsmaßnahmen Sie implementieren müssen.
Das Verständnis von Bedrohungen hilft Ihnen, die Wahrscheinlichkeit und die Auswirkungen von Risiken für Ihre Informationswerte zu bewerten.
Bedrohungen in der Praxis
Während der Risikobewertung identifizieren Sie Bedrohungen, die Schwachstellen in Ihren Assets ausnutzen und Sicherheitsvorfälle verursachen könnten. Bedrohungen können sein:
- Absichtlich: Vorsätzliche Handlungen von Bedrohungsakteuren (Hacker, böswillige Insider, Konkurrenten)
- Unbeabsichtigt: Ungewollte Handlungen, die Schäden verursachen (Mitarbeiterfehler, Fehlkonfigurationen)
- Umweltbedingt: Natürliche Ereignisse oder physische Bedingungen (Brände, Überschwemmungen, Stromausfälle)
Bedrohungen nutzen Schwachstellen aus, um Risiken zu erzeugen. Eine Schwachstelle ohne eine glaubwürdige Bedrohung kann ein minimales Risiko darstellen, während eine Bedrohung ohne eine auszunutzende Schwachstelle keinen Schaden verursachen kann.
Kategorien von Bedrohungen
Cyber-Bedrohungen
Bedrohungen, die auf digitale Systeme und Daten abzielen:
- Malware: Viren, Ransomware, Trojaner, Spyware
- Phishing: Social Engineering zum Stehlen von Anmeldedaten oder sensiblen Informationen
- Distributed Denial of Service (DDoS): Überlastung von Systemen, um die Verfügbarkeit zu stören
- Advanced Persistent Threats (APTs): Hoch entwickelte, gezielte Angriffe
- SQL-Injection und Web-Angriffe: Ausnutzung von Anwendungs-Schwachstellen
- Zero-Day-Exploits: Angriffe unter Nutzung bisher unbekannter Schwachstellen
Beispiel: Eine Ransomware-Bedrohung könnte eine ungepatchte Server-Schwachstelle (A.8.8) ausnutzen, um geschäftskritische Daten zu verschlüsseln und finanzielle Verluste sowie betriebliche Störungen zu verursachen.
Menschliche Bedrohungen
Bedrohungen, die von Personen ausgehen:
- Böswillige Insider: Mitarbeiter oder Auftragnehmer, die absichtlich Daten stehlen oder Systeme sabotieren
- Social Engineering: Manipulation von Nutzern, um Sicherheitskontrollen zu umgehen
- Missbrauch von Berechtigungen: Autorisierte Nutzer, die ihre Zugriffsrechte überschreiten
- Unbeabsichtigte Fehler: Versehentliches Löschen von Daten, Fehlkonfigurationen oder das Senden sensibler Informationen an falsche Empfänger
Beispiel: Ein Mitarbeiter, der auf eine Phishing-E-Mail klickt, könnte Anmeldedaten preisgeben, die unbefugten Zugriff auf Kundendaten ermöglichen (abgewehrt durch Sicherheitsbewusstseinstraining A.6.3 und MFA A.5.17).
Physische Bedrohungen
Bedrohungen für physische Assets und Einrichtungen:
- Diebstahl: Stehlen von Laptops, Servern, Backup-Medien
- Unautorisierter Zugriff: Eindringlinge in gesicherten Bereichen
- Vandalismus: Vorsätzliche Beschädigung von Geräten
- Naturkatastrophen: Erdbeben, Überschwemmungen, Brände
- Infrastrukturausfälle: Stromausfälle, HVAC-Störungen, Wasserschäden
Beispiel: Ein Brand in einem Rechenzentrum gefährdet die Verfügbarkeit von Servern (behandelt durch physische Sicherheitskontrollen A.7.1-A.7.14 und Backup-Verfahren A.8.13).
Bedrohungen durch Dritte
Bedrohungen durch Lieferanten, Partner und Dienstleister:
- Lieferkettenangriffe: Kompromittierte Software oder Hardware von Anbietern
- Ausfälle von Cloud-Diensten: Provider-Ausfälle oder Sicherheitsverletzungen
- Fahrlässigkeit von Auftragnehmern: Dritte, die Sicherheitskontrollen nicht einhalten
Beispiel: Eine Sicherheitsverletzung bei einem Cloud-Anbieter, die Kundendaten offenlegt (gemildert durch Sicherheitsbewertungen von Lieferanten A.5.19-A.5.23 und vertragliche Sicherheitsanforderungen).
Bedrohungen entwickeln sich ständig weiter. Ihre Risikobewertung sollte regelmäßig überprüft werden (in geplanten Abständen und bei wesentlichen Änderungen), um neue Bedrohungen wie aufkommende Malware-Varianten oder geopolitische Risiken zu identifizieren.
Bedrohungsbewertung in der Risikobewertung
Bei der Durchführung der Risikobewertung (Klausel 6.1.2) bewerten Sie Bedrohungen, indem Sie Folgendes berücksichtigen:
- Bedrohungsquelle: Wer oder was die Bedrohung verursachen könnte (Cyberkriminelle, Konkurrenten, Naturereignisse)
- Motivation: Warum sie Ihre Organisation angreifen würden (finanzieller Gewinn, Spionage, Störung)
- Fähigkeit: Ihr Qualifikationsniveau und ihre Ressourcen
- Wahrscheinlichkeit: Die Wahrscheinlichkeit, dass die Bedrohung eintritt und eine Schwachstelle ausnutzt
Beispiel für ein Bedrohungsszenario:
- Asset: Kundenzahlungsdatenbank
- Schwachstelle: Schwache Passwortrichtlinie (keine MFA)
- Bedrohung: Externer Hacker, der finanziellen Gewinn anstrebt
- Risiko: Unbefugter Zugriff auf Zahlungsdaten, was zu einem Datenleck und regulatorischen Strafen führt
- Behandlung: Implementierung von MFA (A.5.17), starke Passwortrichtlinie (A.5.17) und Verschlüsselung (A.8.24)
Bedrohungsinformationen
ISO 27001:2022 Anhang A enthält A.5.7 (Bedrohungsinformationen) als neue Kontrolle, die Organisationen dazu verpflichtet, Bedrohungsinformationen zu sammeln und zu analysieren, um relevante Bedrohungen zu verstehen.
Quellen für Bedrohungsinformationen:
- Nationale Cybersicherheitsbehörden (CISA, NCSC, CERT)
- Branchen-Informationsaustauschgruppen (ISACs)
- Kommerzielle Bedrohungsfeeds und Sicherheitsanbieter
- Dark-Web-Überwachungsdienste
- Vorfallberichte von Peer-Organisationen
Nutzen Sie ISMS Copilot, um relevante Bedrohungen für Ihre Branche und Assets zu identifizieren, Bedrohungsszenarien für Risikobewertungen zu generieren oder Bedrohungen den passenden Anhang-A-Kontrollen zuzuordnen.
Bedrohung vs. Schwachstelle vs. Risiko
Diese Begriffe sind verwandt, aber unterschiedlich:
- Bedrohung: Die mögliche Ursache eines Vorfalls (z. B. Ransomware-Angriff)
- Schwachstelle: Eine Schwäche, die ausgenutzt werden kann (z. B. ungepatchte Software)
- Risiko: Die Kombination aus Bedrohung, Schwachstelle, Wahrscheinlichkeit und Auswirkung (z. B. hohes Risiko, dass Ransomware ungepatchte Server verschlüsselt und betriebliche Störungen verursacht)
Kontrollen behandeln Risiken durch:
- Reduzierung von Schwachstellen (z. B. Patch-Management A.8.8)
- Erkennung oder Blockierung von Bedrohungen (z. B. Malware-Schutz A.8.7)
- Begrenzung der Auswirkungen, falls eine Bedrohung erfolgreich ist (z. B. Backups A.8.13)
Häufige Bedrohungen nach Branche
Finanzdienstleistungen
Advanced Persistent Threats, Phishing mit Ziel auf Kundenzugangsdaten, DDoS-Angriffe, Insiderhandel, regulatorische Prüfungen.
Gesundheitswesen
Ransomware, die Patientensysteme angreift, Diebstahl von Krankenakten, Missbrauch von Insider-Zugriffen, Schwachstellen in medizinischen Geräten.
Einzelhandel/E-Commerce
Diebstahl von Zahlungskartendaten, Credential Stuffing, Lieferkettenangriffe, DDoS während Spitzenverkaufszeiten, betrügerische Transaktionen.
SaaS/Technologie
API-Missbrauch, Account-Übernahmen, Datenlecks, Insider-Bedrohungen, Cloud-Fehlkonfigurationen, Zero-Day-Exploits.
Dokumentieren Sie identifizierte Bedrohungen in Ihrem Risikobewertungsregister und verknüpfen Sie jede Bedrohung mit Assets, Schwachstellen und ausgewählten Kontrollen. Aktualisieren Sie das Register, wenn neue Bedrohungen auftreten.
Verwandte Begriffe
- Risk Assessment – Prozess zur Identifizierung und Bewertung von Bedrohungen
- Asset – Was Bedrohungen angreift
- Control – Maßnahmen, die Bedrohungen abmildern
- Risk Treatment – Wie Sie identifizierte Bedrohungen behandeln