Daten im Fokus – Focus on data

In seinem Cybersecurity-Portfolio finden sich nun Kombination von Lösungen für Anwendungen, Daten und Identitäten im gesamten digitalen Ökosystem. „Im Mittelpunkt all unserer Bemühungen stehen aber die Daten des Kunden“, erläuterte Stephan Dykgers, Area Vice President DACH mit Sitz in Düsseldorf. Diese zu erfassen, zu schützen und nutzbar zu machen ist unsere Hauptaufgabe.

Dykgers kommt von Imperva, gemeinsam will man nun Kunden im Hinblick auf häufige Anfragen, den Schweregrad von Schwachstellen und Attacken sowie die Komplexität der IT-Infrastruktur unterstützen. Dafür stehen ihnen nun eine Kombination von Lösungen zur Verfügung, die Anwendungen, Daten und Identitäten im gesamten digitalen Ökosystem schützen soll:

• Anwendungssicherheit: Die Product Suite umfasst eine Web Application Firewall (WAF), Schutz vor DDoS-Angriffen (Distributed Denial of Service), erweiterten Bot-Schutz, API-Sicherheit (Application Programming Interface), ein Content Delivery Network (CDN) und RASP (Runtime Application Self-Protection).
• Datensicherheit: Die Product Suite offeriert die CipherTrust Data Security Platform, die Imperva Data Security Fabric sowie die Hardware-Sicherheitsmodule Luna und payShield, die häufig als Root of Trust für kryptografische Operationen verwendet werden.
• Identity & Access Management: Die Product Suite bietet dafür die OneWelcome Identity Platform und SafeNet Trusted Access.

„Die Übernahme von Imperva macht Thales zu einem der großen Security-Anbieter, weil es bestehende Stärken im Bereich der Datensicherheit ausbaut und in den dynamischen Markt der Anwendungssicherheit expandiert. Mit diesem neuen kombinierten Portfolio ist Thales hervorragend positioniert, um umfassende Lösungen für die wachsenden Sicherheits- und Compliance-Herausforderungen anzubieten“, sagte Dykgers.

Starke Datenverschlüsselung in der Cloud

In Nürnberg ging Dygkers auch auf die Ergebnisse der gerade veröffentlichten Studie „Wirtschaftliche Auswirkungen von API- und Bot-Angriffen“ ein. Die Analyse von mehr als 161.000 einzigartigen Cybersicherheitsvorfällen beziffert die globalen Kosten durch anfällige oder unsichere APIs und deren automatisierten Missbrauchs durch Bots auf bis zu 186 Milliarden Dollar für Unternehmen auf der ganzen Welt. Da sich die Anzahl der APIs in der Produktion vervielfacht, werden Cyberkriminelle zunehmend automatisierte Bots einsetzen, um die Geschäftslogik der API zu finden und auszunutzen, Sicherheitsmaßnahmen zu umgehen und sensible Daten zu exfiltrieren.

„Unternehmen auf der ganzen Welt müssen sich unbedingt mit den Sicherheitsrisiken auseinandersetzen, die durch unsichere APIs und Bot-Angriffe entstehen, sonst drohen ihnen erhebliche wirtschaftliche Belastungen“, so Dykgers. „Die vernetzte Natur dieser Bedrohungen erfordert, dass Unternehmen einen ganzheitlichen Ansatz verfolgen und umfassende Sicherheitsstrategien sowohl für Bot- als auch für API-Angriffe integrieren.“

Auch Cloud-Ressourcen seien zu einem der größten Ziele von Cyber-Attacken geworden, so die Thales Cloud Security Study 2024. Als häufigste Angriffskategorien würden dabei SaaS-Anwendungen (31 Prozent), Cloud-Speicher (30 Prozent) und Cloud-Management-Infrastruktur (26 Prozent) genannt. Infolgedessen ist der Schutz nicht nur von APIs, sondern auch von Cloud-Umgebungen zu einer Sicherheitspriorität geworden.

„Die Skalierbarkeit und Flexibilität, die die Cloud bietet, ist für Unternehmen äußerst attraktiv. Daher ist es nicht verwunderlich, dass sie in ihren Sicherheitsstrategien eine zentrale Rolle spielt“, so Dykgers weiter. „Da die Angriffsfläche der Cloud jedoch immer größer wird, müssen Unternehmen die in der Cloud gespeicherten Daten, die Schlüssel, mit denen sie sie verschlüsseln, genau im Griff haben und die Möglichkeit haben, vollständige Transparenz darüber zu haben, wer auf die Daten zugreift und wie sie verwendet werden.“

Datenverschlüsselung für das Quantenzeitalter

Im Vorfeld der it-sa hat Thales in Zusammenarbeit mit Quantinuum ein PQR-Starter Kit angekündigt. Es soll Unternehmen bei der Vorbereitung auf die Post-Quantum-Kryptographie (Post-Quantum Cryptography, PQC / https://cpl.thalesgroup.com/de/encryption/post-quantum-crypto-agility) unterstützen und dafür eine vertrauenswürdige Testumgebung für PQC-fähige Verschlüsselungscodes aufbauen. Die ist wichtig, weil Unternehmen weltweit ihre Anwendungen, Daten und Geräte, deren Verschlüsselung derzeit mittels herkömmlicher Kryptografie erfolgt, testen müssen, ob sie auf quantensichere Protokolle allergisch reagieren.

Mit dem PQC Starter Kit können Unternehmen Tests in einer vertrauenswürdigen Laborumgebung durchführen. Unter Verwendung der aktuellen, vom NIST entwickelten Algorithmen, die bereits in das System integriert sind, lassen sich verschiedene Sicherheitsanwendungen wie PKI, Code-Signierung, TLS und IoT überprüfen.

„Wir empfehlen Unternehmen, ihre aktuellen Anwendungen, Daten und Geräte, die einen kryptografischen Schutz verwenden, möglichst bald zu testen, um einen reibungslosen Übergang zum PQC zu gewährleisten. Auch wenn das Quantencomputing ein in der Zukunft liegendes Risiko zu sein scheint, sollten Unternehmen angesichts der Hacker-Taktik ‚Harvest Now, Decrypt Later‘ (Jetzt ernten, später entschlüsseln) schon heute das Thema Post-Quantum-Resilienz im Blick haben“, sagt Armin Simon, Regional Director for Encryption Solutions Deutschland bei Thales. „Die Härtung von Verschlüsselungscodes ist von entscheidender Bedeutung für die Post-Quantum-Ära.“

Menschen benötigen eine Identität

Thales unterstützt darüber hinaus Bemühungen, jedem Menschen eine sichere und vertrauenswürdige Identität zu garantieren. „In der heutigen vernetzten Welt ist ein sicherer und vertrauenswürdiger Ausweis unerlässlich, um auf Dienste zuzugreifen, Rechte auszuüben und die wirtschaftliche Entwicklung zu fördern“, erläuterte Simon. „Bei Thales haben wir uns verpflichtet, Innovationen bei biometrischen und digitalen Identitätslösungen voranzutreiben und sicherzustellen, dass jeder Einzelne seinen rechtmäßigen Platz in der Gesellschaft einnehmen kann.“

Thales begrüße daher das Vorhaben der EU, ab 2026 jedem EU-Bürger eine digitale Geldbörse zur Verfügung zu stellen. Ermöglicht werden soll dies durch das sogenannte eIDAS 2.0-Framework. Es soll die Funktionalität mobiler digitaler ID-Wallets erweitern und die Ausgabe, Speicherung, Präsentation von PID und Bescheinigungen umfassen. Zum Einsatz sollen u.a. internationale Standards wie ISO mDoc 18013-5 und VC W3C kommen. Sie definieren die Art und Weise, wie Daten ausgetauscht und überprüft werden. Das bedeutet, dass, wenn ein Benutzer den digitalen Nachweis vorlegt – beispielsweise einen Führerschein oder einen Universitätsabschluss – die „vertrauende Partei“ leicht überprüfen kann, ob dieser authentisch und gültig ist.

„Damit wäre es für Kriminelle fast unmöglich, sich als jemand anderes auszugeben“, erklärte Simon. „Ein starker digitaler Ausweis kann jedoch nicht nur Online-Betrug eindämmen. Er kann Bürgern auch die Erledigung einer Reihe wichtiger Aufgaben sowohl online als auch vor Ort erleichtern: Grenzübertritte, Altersnachweise, das Unterzeichnen von Dokumenten und das Einlösen von Rezepten.“

Dykgers joined the company from Imperva, and together they aim to help customers deal with the high volume of requests, the severity of vulnerabilities and attacks, and the complexity of IT infrastructure. They now have a combination of solutions to protect applications, data and identities across the digital ecosystem:

– Application Security: The product suite includes a web application firewall (WAF), distributed denial of service (DDoS) protection, advanced bot protection, application programming interface (API) security, content delivery network (CDN), and runtime application self-protection (RASP).

– Data Security: The product suite includes the CipherTrust Data Security Platform, the Imperva Data Security Fabric, and the Luna and payShield hardware security modules, which are often used as the root of trust for cryptographic operations.

– Identity & Access Management: The product suite includes the OneWelcome Identity Platform and SafeNet Trusted Access.

The acquisition of Imperva makes Thales a major security player, building on its existing strengths in data security and expanding into the dynamic application security market. With this new combined portfolio, Thales is uniquely positioned to offer comprehensive solutions for the growing security and compliance challenges,‘ said Dykgers.

Strong data encryption in the cloud

In Nuremberg, Dykgers also discussed the results of the recently published „Economic Impact of API and Bot Attacks“ study. Based on an analysis of more than 161,000 unique cybersecurity incidents, the study estimates the global cost of vulnerable or insecure APIs and their automated abuse by bots at up to $186 billion for businesses worldwide. As the number of APIs in production multiplies, cybercriminals will increasingly use automated bots to find and exploit API business logic, bypass security measures and exfiltrate sensitive data.

It is imperative that organizations around the world address the security risks posed by insecure APIs and bot attacks or risk significant economic impact,“ said Dykgers. The interconnected nature of these threats requires organizations to take a holistic approach and integrate comprehensive security strategies for both bot and API attacks.

According to the Thales Cloud Security Study 2024, cloud resources have also become one of the biggest targets for cyber-attacks, with SaaS applications (31 percent), cloud storage (30 percent) and cloud management infrastructure (26 percent) cited as the most common attack categories. As a result, protecting not only APIs but also cloud environments has become a security priority.

The scalability and flexibility offered by the cloud is extremely attractive to organizations. So it is not surprising that it is playing a central role in their security strategies,“ continued Dykgers.

However, as the attack surface of the cloud continues to expand, organizations need to have complete control over the data stored in the cloud, the keys they use to encrypt it, and the ability to have complete visibility into who is accessing the data and how it is being used.

Data encryption for the quantum era

Ahead of it-sa, Thales has announced a PQR Starter Kit in collaboration with Quantinuum. It is designed to help companies prepare for post-quantum cryptography (PQC / https://cpl.thalesgroup.com/de/encryption/post-quantum-crypto-agility) and to provide a trusted test environment for PQC-compliant encryption. This is important because organizations around the world need to test their applications, data, and devices that are currently encrypted using conventional cryptography to see if they are allergic to quantum-safe protocols.

With the PQC Starter Kit, organizations can conduct testing in a trusted laboratory environment. Using the latest NIST-developed algorithms already built into the system, various security applications such as PKI, code signing, TLS, and IoT can be tested.

„We recommend that organizations test their current applications, data and devices that use cryptographic protection as soon as possible to ensure a smooth transition to PQC. Even if quantum computing seems to be a risk of the future, given the hackers‘ tactic of ‚harvest now, decrypt later‘, companies should already be thinking about post-quantum resilience today,“ said Armin Simon, Regional Director for Encryption Solutions Germany at Thales. „The hardening of encryption keys is crucial for the post-quantum era.“

People need identity

Thales also supports efforts to ensure that everyone has a secure and trusted identity. „In today’s connected world, a secure and trusted identity is essential to access services, exercise rights and drive economic development,“ Simon explained. „At Thales, we are committed to driving innovation in biometric and digital identity solutions and ensuring that everyone can take their rightful place in society.“

Thales therefore welcomes the EU’s plan to provide every EU citizen with a digital wallet by 2026. This will be made possible by the so-called eIDAS 2.0 framework. It will extend the functionality of mobile digital ID wallets to include the issuance, storage and presentation of PIDs and certificates. International standards such as ISO mDoc 18013-5 and VC W3C will be used. They define how data is exchanged and verified. This means that when a user presents a digital credential – such as a driver’s license or university degree – the relying party can easily verify that it is authentic and valid.

„This would make it almost impossible for criminals to impersonate someone else,“ Simon explained. „But a strong digital ID can do more than reduce online fraud. It can also make it easier for citizens to perform a number of important tasks both online and on the ground: crossing borders, proving age, signing documents, and filling prescriptions.“