Zu oft arbeiten IT-Operations und Security-Teams aneinander vorbei. Dabei gilt: Unified Endpoint Management und SecOps müssen zusammenspielen, um die Abwehrreihen zu schließen.

Von Heinrich Vaske

Einen Mangel an Sicherheitstools gibt es wahrlich nicht, das Angebot ist in den vergangenen Jahren sogar regelrecht explodiert. In vielen Enterprise-Umgebungen konkurrieren auf einzelnen Windows- oder Mac-Clients vier, fünf oder noch mehr Agenten um CPU-Zyklen und Arbeitsspeicher. Mit jedem weiteren Tool sinkt die Transparenz, während die Verwundbarkeit zunimmt.

Der Grund dafür liegt in einem organisatorischen und architektonischen Konstruktionsfehler, den viele IT-Abteilungen seit zwei Jahrzehnten mitschleppen: IT-Operations und SecOps-Teams sind jeweils in eigenen Silos gefangen. Die einen optimieren die Softwarepaketierung und die Mitarbeiterzufriedenheit an den Arbeitsplätzen (Digital Employee Experience = DEX), die anderen konzentrieren sich auf Alerts im Security Operations Center (SOC).

Wenn es dann brennt, beginnen die gegenseitigen Schuldzuweisungen. Die SecOps-Verantwortlichen sehen die jeweilige Schwachstelle in ihrem Dashboard, können sie aber nicht patchen. Der Betrieb hat zwar die Deployment-Rechte, kann aber in der akuten Bedrohungslage nur begrenzt agieren und priorisieren.

Viele Angreifer wissen um die dadurch entstehende Verzögerung zwischen Erkennen und Beheben. Sie berücksichtigen sie in ihren Angriffsketten. Deshalb stehen IT-Führungsebenen oft vor der grundsätzlichen Entscheidung, ob sie die Symptome weiter mit Insellösungen kurieren oder eine radikale Konsolidierung vornehmen wollen.

NIS-2 und DORA erzeugen zusätzlichen Druck

Zusätzlich setzen die regulatorischen Anforderungen aus NIS-2 und DORA IT-Chefs unter Druck. Mit NIS-2 ist IT-Sicherheit endgültig bei den Vorständen und Geschäftsführern angekommen, denn es geht um persönliche Haftung (siehe auch: „NIS-2: Darüber stolpern Unternehmen“).

Für Finanzunternehmen und Dienstleister sind mit DORA (Digital Operational Resilience Act) noch schärfere Regelungen in Kraft getreten: Schwerwiegende IKT-Vorfälle müssen innerhalb von vier Stunden nach ihrer Klassifizierung als größerer Incident gemeldet werden, spätestens jedoch 24 Stunden nach der Erkennung. Außerdem muss ein Zwischenbericht innerhalb von 72 Stunden und ein Abschlussbericht innerhalb eines Monats folgen.

DORA begründet zudem eine eigenständige Governance-Verantwortung der Leitungsorgane für die digitale operationale Resilienz, auch wenn die persönliche Geschäftsleiterhaftung hier nicht so explizit wie im NIS-2-Umsetzungsgesetz ausgestaltet ist.

Mit anderen Worten: Wer seine Endpoints nicht in Echtzeit inventarisieren, bewerten und absichern kann, riskiert hohe Bußgelder und (unter NIS-2) auch die persönliche Haftung der Geschäftsleitung.

Die Schmerzgrenze der Anwender

Neben den verschärften gesetzlichen Anforderungen steigen auch die Anforderungen der Mitarbeitenden. Sie erwarten maximale Flexibilität in ihrer oft hybriden Arbeitswelt. Lähmen mächtige Security-Stacks den Firmenrechner, werden die Beschäftigten Auswege suchen – und die lassen sich schnell finden. Die Folge nerviger und schlecht integrierter Sicherheitssoftware sind unerlaubte Umwege, Schatten-IT und die Nutzung privater Cloud-Speicher.

Vor dem Hintergrund der angesprochenen Problematik dürften Ende Oktober bei der it-sa verschiedene strategische Entwicklungen Thema auf den Nürnberger Messefluren sein:

1. UEM, DEX und SecOps verschmelzen

IT-Sicherheitsanbieter machen inzwischen ihre Versprechen wahr und bündeln Unified Endpoint Management (UEM), Schwachstellen-Patching und Extended Detection and Response (XDR) unter einer Telemetrie-Haube. Entscheidend dabei ist das Continuous Threat Exposure Management (CTEM): Schwachstellen werden nicht mehr nach den abstrakten Industriestandards zur Bewertung des Schweregrads von Sicherheitslücken (CVSS-Scores) abgearbeitet, sondern in Echtzeit mit dem operativen Zustand des Rechners und aktiven Bedrohungsmustern abgeglichen. Damit bekommt zum Beispiel ein ungepatchtes System, das isoliert in einem Labor steht, eine andere Priorität als das Notebook des Vertriebsleiters im Hotel-WLAN.

2. Autonomous Remediation

Heute ertrinken viele SOC-Teams in Warnmeldungen. Kompromittieren Angreifer mittels KI-gestützter Skripte in kürzester Zeit Systeme, ist das Ticket im Servicedesk keine Lösung mehr. Neue Architekturen setzen auf Selbstheilung in vier Schritten:

• Erkennung und Überwachung: Sensoren, Logs oder Monitoring-Tools (z. B. SIEM, EDR, APM) stellen eine Anomalie, eine Sicherheitslücke oder einen Systemausfall fest.
• Die Plattform bewertet im Rahmen einer Kontextanalyse die Dringlichkeit, identifiziert die Ursache (Root Cause Analysis) und prüft Abhängigkeiten im Netzwerk.
• Die passende Behebungsmaßnahme wird autonom initiiert. Das kann zum Beispiel der Neustart eines Dienstes sein, der Rollback eines fehlerhaften Deployments oder das Isolieren eines kompromittierten Endpunkts.
• Schließlich prüft die Lösung, ob der Normalzustand wiederhergestellt ist, und dokumentiert den Vorfall für das IT-Team.

3. Zero-Trust-Schutz auf Hardwareebene

Viele Angreifer zielen heute auf Firmware oder das Unified Extensible Firmware Interface (UEFI). Dort ist herkömmliche Antivirensoftware meistens blind. Deshalb beginnt echter Zero-Trust-Schutz bereits auf der Chipebene (TPM 2.0, Secure Enclave, Pluton).

Hilfreich sind hier auch die immer beliebteren gehärteten und nicht zu verändernden (immutable) Betriebssysteme und Cloud-PC-Konzepte. Dort laufen Anwendungen wie etwa der Browser oder Mail-Clients in isolierten Micro-Containern. Selbst wenn hier ein Exploit greift, verpufft der Schadcode beim Schließen der Sitzung.

4. Identity-First

Einmaliges Einloggen per Multifaktor-Authentifizierung (MFA) reicht heute nicht mehr aus, da Angreifer aktive Sitzungen direkt übernehmen können. Die Endpoint-Sicherheit muss daher permanent mit dem Identitätsmanagement gekoppelt sein: Verliert ein Endgerät während des Betriebs seinen Schutzstatus, wird der Zugriff auf Unternehmensdaten in Echtzeit pausiert und erst dann wieder freigeschaltet, wenn alle Sicherheitsanforderungen erfüllt sind.

Fünf Fragen für den Nürnberger Messerundgang

IT- und Sicherheitsverantwortliche sind auf der it-sa gut beraten, wenn sie den Lösungsanbietern folgende fünf Fragen stellen:

1. Agenten-Wildwuchs: Wie viele verschiedene Agenten und Hintergrundprozesse benötigt Ihre Gesamtlösung für UEM, Patching, DEX und EDR in der Praxis wirklich? Können Sie genau aufzeigen, welcher Einfluss auf CPU-Last und Akkulaufzeit zu erwarten ist?
2. Autonome Selbstreparatur: Was passiert nach einem Alert? Erzeugt Ihre Lösung nur ein weiteres Ticket für mein überlastetes Team oder repariert sich das System nachweislich selbst, ohne geschäftskritische Apps abzuschießen?
3. Vendor-Lock-in: Unterstützen Sie offene Schemata wie das Open Cybersecurity Schema Framework (OCSF)? Bieten Sie vollwertige REST-APIs an, damit wir Telemetriedaten ohne Aufpreis in unsere bestehenden ITSM- und SIEM-Systeme leiten können?
4. NIS-2-Audits: Können wir aus Ihrer Konsole heraus innerhalb von Minuten einen revisionssicheren Report ziehen, der den Anforderungen der 24-Stunden-Frühwarnmeldung nach NIS-2 genügt?
5. IdP-Kopplung: Wie tief und mit welcher Latenz übermittelt Ihre Plattform den Gerätezustand (Device Posture) an Identitätssysteme wie Microsoft Entra ID oder Okta für bedingte Zugriffsentscheidungen?

Konsolidieren mit Plan

Die Zusammenführung von Endpoint Management und Security bedeutet einen Kulturwandel. CIOs und CISOs müssen zusammenarbeiten und sich zunächst einen ungeschönten Überblick über alle eingesetzten Agenten verschaffen. Redundante Tools sollten konsequent abgeschaltet werden. Das spart Budget und verkleinert sofort die Angriffsfläche.

Im zweiten Schritt gilt es, ein gemeinsames Kennzahlsystem einzurichten. Solange der Workplace-Verantwortliche an niedrigen Ticketzahlen und der Sicherheits-Chef an erfolgreich bearbeiteten Schwachstellen gemessen wird, arbeiten beide gegeneinander. Besser ist es, ein gemeinsames Kennzahlsystem einzuführen, wobei Metriken wie die Mean Time to Remediate (MTTR) oder der DEX-Score hilfreich sind.

Schließlich sollten sich Unternehmen von Punktlösungen verabschieden und auf gute, integrierte Plattformen mit offenen Schnittstellen setzen. Speziallösungen, die sich nicht nahtlos automatisieren lassen, haben im Enterprise-Betrieb keine Zukunft mehr.

Resilienz entsteht dort, wo Sicherheit geräuschlos im Hintergrund agiert, während die Mitarbeitenden unterbrechungsfrei produktiv sind. Außerdem ist es wichtig, dass Compliance automatisiert nachgewiesen werden kann. Daran sollten CIOs und CISOs denken, wenn sie ihren it-sa-Besuch planen: Es geht um einen durchgängig störungsfreien und sicheren Betrieb.