CISOs haben die Wahl

Verzichten Sie auf russische Lösungen!

Russische Security- und Technologieprodukte zu verwenden, ist nicht nur aus moralischer Sicht problematisch, sondern birgt für Unternehmen auch ernsthafte Risiken.
Von 
CSO | 11. März 2022 05:05 Uhr
Die Sanktionen gegen Russland werden zunehmend härter, immer mehr Unternehmen ziehen sich zurück. Auch für CISOs gibt es gute Gründe, russische Security-Produkte und -Services nicht mehr zu nutzen.
Die Sanktionen gegen Russland werden zunehmend härter, immer mehr Unternehmen ziehen sich zurück. Auch für CISOs gibt es gute Gründe, russische Security-Produkte und -Services nicht mehr zu nutzen.
Foto: noEnde - shutterstock.com

Der russische Angriffskrieg auf die Ukraine wirft für Technologieentscheider die Frage auf, welche Risiken entstehen, wenn sie in ihren Unternehmen die Nutzung von Security- und Technologieprodukten aus Russland einstellen. Wir haben diese Fragestellung mit Sicherheitsexperten, -Forschern und Analysten diskutiert.

Risiken durch russische IT-Produkte

"Aus moralischer Sicht sollten CISOs auf jeden Fall die Verwendung von Sicherheits- und Technologieprodukten russischer Herkunft einstellen. Aus sicherheitstechnischer Perspektive gestaltet sich die Lage allerdings wesentlich undurchsichtiger", meint Shawn Smith, Forscher und Director of Infrastructure beim Security-Service-Anbieter nVisium. "Es gibt immer wieder Konflikte auf der ganzen Welt. Zwar sollte man in solchen Situationen immer auch Backup-Möglichkeiten prüfen, die von den Russen hergestellten Produkte sind allerdings heute nicht weniger sicher als noch vor einem Monat."

Dominic Grunden, CISO der UnionDigital Bank, befürwortet nachdrücklich, Produkte und Services aus Russland nicht mehr zu nutzen: "Stellen Sie sich das aus moralischer und menschlicher Sicht vor: Sie bezahlen das russische Unternehmen, das die Sicherheits- und Technologieprodukte bereitstellt, und im Gegenzug Steuern in Russland entrichtet. Damit unterstützen Sie indirekt die Regierung Putins und das Militär, die in die Ukraine eingefallen sind und dort täglich Menschen töten." Darüber hinaus seien auch die weltweit gegen Russland verhängten Wirtschaftssanktionen ein Problem: "CISOs müssen sich auf Rechtssicherheit verlassen können."

Der wichtigste Grund, warum CISOs so schnell wie möglich auf Sicherheitsprodukte aus russischer Produktion verzichten sollten, ist laut Peter Lowe, leitender Sicherheitsforscher bei DNSFilter, die wachsende Zahl von Unternehmen, die sich derzeit aus Russland zurückziehen - darunter auch große Internet-Backbones: "Es besteht ein sehr reales Risiko, dass technische Produkte, die Server in Russland nutzen, einfach verschwinden. Das kann je nach Art des Service katastrophale Folgen nach sich ziehen."

Neal Dennis, Threat-Intel-Spezialist beim Sicherheitsanbieter Cyware, rät hingegen dazu, russische Produkte nicht pauschal aus dem Verkehr zu ziehen - aber zumindest skeptisch darüber nachzudenken, wie weitreichend solche Lösungen eingebunden werden: "Russland hat eine schmutzige Vergangenheit, was den Missbrauch von Technologieunternehmen für verschiedene Zwecke angeht."

Was die weitere Verwendung von IT- und Security-Lösungen aus russischer Produktion betrifft, sollten Unternehmen einige wichtige Faktoren beachten, wenn es nach CISO Grunden geht: "Sicherheits- und Technologieprodukte könnten der russischen Regierung ermöglichen, auf Unternehmens- und Kundendaten zuzugreifen und sie möglicherweise für böswillige Zwecke zu nutzen. Nach geltendem russischem Recht unterliegen diese Daten keinem Schutz - Gesetze zur nationalen Sicherheit und Cybersicherheit schaffen zudem für die Putin-Regierung eine Rechtsgrundlage, um in Russland tätige Technologieunternehmen zur Zusammenarbeit mit den Sicherheitsbehörden zu zwingen. Die wirkliche Gefahr besteht jedoch darin, dass Schwachstellen ausgenutzt und damit Hintertüren in Unternehmensnetzwerke geschaffen werden."

Laut Smith stellt die wachsende Skepsis gegenüber allen Produkten aus Russland ein weiteres Problem für CISOs dar: "Die von den Russen entwickelten Plattformen sind zwar nicht unsicherer als noch vor ein paar Monaten, werden aber verstärkt auf Schwachstellen abgeklopft, wodurch auch mehr Lücken gefunden werden. Das größte Sicherheitsrisiko besteht darin, dass eine in Ihrer Software gefundene Schwachstelle aufgrund der aktuellen Situation nur sehr langsam gepatcht werden kann. Langfristig kann es sicherer sein, jetzt zu evaluieren und umzusteigen, als abzuwarten und in eine Situation zu geraten, in der man gezwungen ist, mit sehr wenig Vorlauf zu wechseln."

Folgen eines Not-Aus für russische Produkte

Obwohl er der Meinung ist, dass Unternehmen die Nutzung von Produkten und Dienstleistungen aus russischer Produktion einstellen sollten, räumt Grunden ein, dass das nicht ohne Folgen für CISOs und ihre Unternehmen bleiben wird: "Eine Organisation zu zwingen, die Nutzung eines Produkts oder Services sofort einzustellen, kann deren Fähigkeit, Cyberbedrohungen und Sicherheitsvorfälle zu erkennen und abzuwehren, beeinträchtigen. Ein Austausch beziehungsweise Umstieg ist zudem mit unmittelbaren Kosten und Aufwand verbunden, was sich angesichts des Security-Personalmangels und der zunehmenden Sorge vor Burnout äußerst nachteilig auswirken könnte."

Zudem könne die fristlose Beendigung eines Vertrages zu rechtlichen Problemen führen, die sich wiederum auf die Kreditwürdigkeit des Unternehmens auswirken könnten, analysiert der CISO. "Die russische Invasion in der Ukraine hat dazu geführt, dass große Unternehmen wie Apple, Microsoft, Google, Amazon oder SAP ihre Geschäfte in und mit Russland eingestellt haben. Das hat sich unmittelbar auf den Markt für Sicherheitsprodukte und -dienstleistungen ausgewirkt."

"Russische Unternehmen bieten eine Menge wertvoller Services und Produkte im Technologiebereich an. Zunächst werden viele Services in der Region nicht mehr zur Verfügung stehen, dazu kommt die Gefahr staatlicher Eingriffe und die geringere Bereitschaft der westlichen Welt, russische Technologien einzukaufen", stimmt Lowe zu.

Das könnte Unternehmen wiederum vermehrt dazu veranlassen, unabhängige Forschungsinitiativen ernster zu nehmen, meint Dennis: "Organisationen sollten Open Source Intelligence effektiver nutzen, um selbstgesteuert Informationen zu generieren, statt sich ausschließlich auf Big-Data-Anbieter zu verlassen."

Infrastruktur-Spezialist Smith rechnet jedoch nicht mit signifikanten, langfristigen Auswirkungen für die gesamte Branche: "In Anbetracht der Größe der Sicherheitsbranche glaube ich nicht, dass es hier zu großen Veränderungen kommen wird. Einige Fachleute werden von den russischen Produkten abwandern, andere nicht - und einige kleinere Unternehmen könnten ihr Business schließen oder in andere Länder abwandern. Letztendlich wird der Security-Markt im Allgemeinen so bleiben, wie er ist." (fm)

Dieser Beitrag basiert auf einem Artikel unserer US-Schwesterpublikation CSO Online.

Michael Hill schreibt für unsere US-Schwesterpublikation CSO Online.