Werte, Bedrohungen und verhältnismäßige Kontrollen wählen

Sicherheitsaufwand ist begrenzt: Zeit, Geld, und wie viel Reibung du und deine Kollegen ertragen, bevor ihr eine Schutzmaßnahme aufgebt. NIST Special Publication 800-30, der Risikobewertungsleitfaden der US-Regierung, existiert, um diesen Aufwand dort landen zu lassen, wo er zählt. Er definiert Risikobewertung als „den Prozess des Identifizierens, Abschätzens und Priorisierens von Risiken“, und seine Kernidee lässt sich leicht herunterskalieren: Eine zweiköpfige NGO kann dieselben vier Fragen durchgehen wie eine große Behörde, nur schneller und mit weniger Papierkram.

Die vier Begriffe, die Risikobewertung funktionieren lassen

Ein durchgerechnetes Beispiel: die Spenderliste

Nimm die Spender-Tabelle einer kleinen NGO, aufbewahrt in einem gemeinsam genutzten Cloud-Ordner. Der Wert sind Namen, E-Mail-Adressen und Spendenbeträge der Spender. Eine plausible Bedrohung ist eine Phishing-E-Mail an jeden mit Bearbeitungszugriff, mit dem Ziel, dessen Login zu stehlen. Die Schwachstelle ist, dass der Ordnerlink nur ein Passwort braucht, keinen zweiten Faktor, und dass dieses Passwort anderswo wiederverwendet wird. Die Wahrscheinlichkeit ist relevant (Phishing ist verbreitet, laut der vorherigen Lektion), und die Auswirkung ist real, aber nicht katastrophal: Peinlichkeit, möglicherweise Sorge bei Spendern, keine körperliche Gefahr. Diese Kombination weist auf verhältnismäßige Kontrollen hin: Multi-Faktor-Authentifizierung für das Konto, ein einzigartiges Passwort, und Bearbeitungszugriff auf Personen zu beschränken, die ihn tatsächlich brauchen – nicht etwa, die Liste komplett offline zu nehmen oder Unternehmenssicherheitssoftware zu kaufen, die die Organisation nicht pflegen kann.

Ein durchgerechnetes Beispiel: die Identität der Quelle

Nimm nun das Wissen eines Journalisten über eine vertrauliche Quelle innerhalb einer Regierungsbehörde. Der Wert ist die Identität der Quelle. Die Bedrohung ist ein staatlicher Akteur mit rechtlicher Macht, Aufzeichnungen anzufordern, und genug Motivation, diese auch tatsächlich zu nutzen (erinnere dich an das Adversary Model aus der ersten Lektion: dieser Akteur hat echte Ressourcen und geringe Risikoscheu). Die Schwachstelle könnte sein, dass der Mobilfunkanbieter des Journalisten protokolliert, wer wen angerufen hat, oder dass Notizen in einer gewöhnlichen, unverschlüsselten Notiz-App existieren. Die Wahrscheinlichkeit mag geringer sein als im Phishing-Beispiel, aber die Auswirkung ist schwerwiegend – die Quelle könnte ihre Anstellung, Freiheit oder Sicherheit verlieren. Diese Kombination rechtfertigt Kontrollen, die unverhältnismäßig zum Spenderlisten-Beispiel erscheinen: separate Geräte für sensible Recherchen, Kommunikation über Signal statt gewöhnliche Anrufe oder SMS, und, laut der nächsten Lektion, dies als Fall für professionelle Hilfe statt selbst erlernter Verteidigung zu behandeln.

Aufwand am Risiko ausrichten, nicht an der Angst

NIST 800-30 formuliert dies als Bewertung von Risiko „hinsichtlich Technologie, Prozessen, Einzelpersonen [und] des Unternehmens“ und die Wahl einer Reaktion: ein kleines Risiko akzeptieren, es mit einer Kontrolle reduzieren, oder in seltenen Fällen es übertragen oder gänzlich vermeiden (zum Beispiel, indem man eine Information einfach gar nicht aufbewahrt). Die Disziplin besteht darin, zwei gegensätzlichen Fehlern zu widerstehen: jedes Risiko als katastrophal zu behandeln, was Menschen und Budgets an Kontrollen erschöpft, die niemand aufrechterhält, und jedes Risiko als akzeptabel zu behandeln, was die eine echte Bedrohung unadressiert lässt. Eine fünfminütige, aufgeschriebene und bei veränderten Umständen erneut durchgesehene Version dieser Analyse schlägt ein unausgesprochenes Gefühl, „wir sollten wohl vorsichtiger sein“.

Eine kurze, wiederverwendbare Checkliste

• Liste die zwei oder drei Dinge auf, deren Offenlegung, Verlust oder Zerstörung du am wenigsten möchtest.
• Benenne für jedes den realistischen Angreifer aus der ersten Lektion – nicht den furchteinflößendsten, den du dir vorstellen kannst.
• Benenne eine konkrete Schwäche, die dieser Angreifer tatsächlich ausnutzen könnte.
• Bewerte Wahrscheinlichkeit und Auswirkung ehrlich, dann wähle eine dazu passend dimensionierte Kontrolle.
• Schreibe die Entscheidung auf; überprüfe sie erneut, wenn sich deine Arbeit, deine Daten oder der Angreifer ändern.