Wenn Menschen sich einen Einbruch vorstellen, denken sie an etwas Filmreifes. Eine Gestalt mit Kapuze, maĂźgeschneiderte Malware, ein Zero-Day, den noch niemand gesehen hat. Das gibt gutes Fernsehen. Es passiert fast nie so.
Die echten Vorfälle sind schmerzhaft langweilig. Ein Mitarbeiter hat ein Passwort wiederverwendet, das vor drei Jahren woanders geleakt ist. Ein Server blieb acht Monate ungepatcht, weil sich niemand zuständig fühlte. Ein Speicher-Bucket wurde „vorübergehend" öffentlich gestellt. Jemand hat auf einen Link geklickt, der echt genug aussah. Der Einbruch war kein Geniestreich. Er war eine offene Tür, die jemand zu schließen vergaß.
Das ist unangenehm, weil langweilige Probleme kein Budget bekommen. Es ist leichter, ein aufregendes neues Werkzeug zu kaufen, als die unspektakuläre Arbeit zu tun: jedes System kennen, Mehr-Faktor-Authentifizierung erzwingen, nach Plan patchen, und Zugänge am Tag entziehen, an dem jemand geht. Das aufregende Werkzeug fühlt sich nach Sicherheit an. Die langweilige Hygiene ist Sicherheit.
Ich lasse mich nicht mehr von ausgefeilten Bedrohungen beeindrucken und fürchte stattdessen die grundlegende Nachlässigkeit. Der Angreifer muss nicht brillant sein, wenn du die Grundlagen liegen gelassen hast. Er nimmt den einfachen Weg, denn es gibt immer einen einfachen Weg, wenn sich niemand um das Langweilige kümmert.
Der Einbruch, der dich erwischt, ist wahrscheinlich nicht clever. Das heiĂźt, die Verteidigung, die dich rettet, muss es auch nicht sein. Sie muss nur gemacht werden.
– Serguey Shinder
