Unsichere VPNs bereiten Kopfzerbrechen – Insecure VPNs cause headaches

„92 Prozent der Befragten ist sich der Bedeutung einer Zero Trust-Architektur im Kampf gegen Cyberkriminalität bewusst. Besorgniserregend ist, dass dennoch viele Unternehmen nach wie vor VPNs für den Remote-Zugriff von Mitarbeitenden und Drittanbietern verwenden und damit unbeabsichtigt eine Angriffsfläche für Bedrohungsakteure bieten“, sagt Deepen Desai, Global CISO und Head of Security Research bei Zscaler. „Um sich vor den wandelnden Ransomware-Angriffen zu schützen, ist es für Unternehmen von entscheidender Bedeutung, die Verwendung von VPNs zu eliminieren, die Segmentierung von Usern zu Anwendungen zu priorisieren und eine kontextbezogene Data Loss Prevention Engine mit vollständiger TLS-Inspektion zu implementieren.“

VPN-Schwachstellen unterstreichen die Notwendigkeit einer Zero Trust-Architektur

88 Prozent der Unternehmen sind sehr besorgt über potenzielle Sicherheitsverletzungen aufgrund von VPN-Schwachstellen. Dabei bieten insbesondere Phishing-Attacken (49 Prozent) und Ransomware-Angriffe (40 Prozent) als Folge der regelmäßigen VPN-Nutzung Anlass zur Sorge.

Fast die Hälfte der Unternehmen verzeichnete Cyberangriffe über eine VPN-Schwachstelle wie veraltete Protokolle oder Datenlecks. Jedes fünfte Unternehmen gab an, im letzten Jahr von einem solchen Angriff betroffen gewesen zu sein. Insbesondere Ransomware hat sich zu einer großen Gefahr entwickelt: 33 Prozent der Befragten wurden im vergangenen Jahr Opfer von Ransomware-Angriffen, die auf VPNs abzielen.

User von Drittparteien bieten Grund zur Sorge

90 Prozent der Unternehmen sind trotz Sicherheitsvorkehrungen sehr besorgt darüber, dass Drittanbieter von Angreifern kompromittiert werden und sich Cyberkriminelle über diese Hintertür Zugang zu ihren Netzwerken verschaffen. Externe User wie Kontraktoren und Lieferanten stellen aufgrund unterschiedlicher Sicherheitsstandards, mangelnder Transparenz ihrer Sicherheitspraktiken und der Komplexität der Verwaltung des externen Zugriffs ein potenzielles Risiko dar.

Herkömmliche Netzwerk- und Sicherheitsarchitekturen erlauben den Zugriff auf interne Anwendungen durch direkten Zugriff auf das Netzwerk. Sie vertrauen darauf, dass die Benutzer ihre Anmeldedaten am Zugriffspunkt bestätigen können. Das stellt ein Problem dar, sobald diese Anmeldedaten gestohlen wurden. Bei einem Zero Trust-Ansatz verbinden sich die User direkt mit den benötigten Anwendungen und Ressourcen, und nicht mit den Netzwerken. Verbindungen vom User zur Anwendung und von Anwendung zu Anwendung eliminieren das Risiko von lateralen Bewegungen, wodurch verhindert wird, dass kompromittierte Geräte andere Ressourcen infizieren. Außerdem sind User und Anwendungen im Internet unsichtbar, sodass sie weder entdeckt noch angegriffen werden können.

Schlechtes Anwendererlebnis kann zu Sicherheitsproblemen führen

Zusätzlich zu den Sicherheitsbedenken sind 72 Prozent der User aufgrund langsamer und unzuverlässiger Verbindungen unzufrieden mit ihrer derzeitigen VPN-Erfahrung. Ein Viertel (25 Prozent) ist wegen der langsamen Anwendungsgeschwindigkeit frustriert, während 21 Prozent mit häufigen Verbindungsunterbrechungen zu kämpfen haben.

Eine unzuverlässige Internetverbindung trägt zu einer schlechten Anwendererfahrung bei, was zu Frustration und geringerem Engagement führt. Darüber hinaus können die Komplexität der Authentifizierung und Reibungsverluste zu Produktivitätseinbußen, Umsatzeinbußen und einem erhöhten Risiko von Datenverlusten durch User führen, die ineffiziente VPN-Services unterlaufen.

Wechsel auf Zero Trust

Unternehmen, die sich der Sicherheits- und Anwendererfahrungsprobleme von VPNs bewusst sind, wechseln zu Zero Trust-Architekturen. Immerhin erkennen 92 Prozent der Befragten die Bedeutung eines Zero Trust-Ansatzes für den Schutz ihrer Assets und Daten – ein Anstieg von 12 Prozent im Vergleich zum Vorjahr. 69 Prozent planen bereits, ihre aktuellen VPN-Lösungen durch Zero Trust Network Access zu ersetzen. Der Bericht empfiehlt Unternehmen, eine Zero Trust-Architektur zu implementieren, um die mit VPN-Schwachstellen verbundenen Risiken wirksam zu bekämpfen und ihre sensiblen Daten und Anwendungen vor Cyberangriffen zu schützen.

Methodik

Der Zscaler VPN-Report 2023 basiert auf einer Umfrage unter 382 IT-Fachleuten und Cybersecurity-Experten und untersucht deren vielschichtigen Herausforderungen in Bezug auf Sicherheit und Anwenderfreundlichkeit. Der VPN Risk Report 2023 zeigt die Komplexität der heutigen VPN-Verwaltung, Probleme bei der User Experience, Schwachstellen, die von Cyberangriffen ausgenutzt werden und ihr Potenzial, die allgemeine Sicherheitslage von Unternehmen zu beeinträchtigen.

„Ninety-two percent of respondents are aware of the importance of a Zero Trust architecture in the fight against cybercrime. Worryingly, yet many organizations continue to use VPNs for remote employee and third-party access, inadvertently providing an attack surface for threat actors,“ said Deepen Desai, Global CISO and Head of Security Research at Zscaler. „To protect against the changing ransomware attacks, it is critical for organizations to eliminate the use of VPNs, prioritize user-to-application segmentation, and implement a contextual data loss prevention engine with full TLS inspection.“

VPN vulnerabilities underscore need for zero trust architecture

88 percent of enterprises are very concerned about potential security breaches due to VPN vulnerabilities. Phishing attacks (49 percent) and ransomware attacks (40 percent) are of particular concern as a result of regular VPN use.

Almost half of the companies recorded cyberattacks via a VPN vulnerability such as outdated protocols or data leaks. One in five companies said they had been affected by such an attack in the past year. Ransomware in particular has become a major threat, with 33 percent of respondents falling victim to ransomware attacks targeting VPNs in the past year.

Third-party users offer cause for concern

Despite security measures, 90 percent of organizations are very concerned about third-party users being compromised by attackers and cybercriminals gaining access to their networks through this backdoor. External users such as contractors and suppliers pose a potential risk due to varying security standards, lack of visibility into their security practices, and the complexity of managing external access.

Traditional network and security architectures allow access to internal applications through direct access to the network. They rely on users to confirm their credentials at the access point. This presents a problem once those credentials are stolen. In a zero trust approach, users connect directly to the applications and resources they need, not to the networks. User-to-application and application-to-application connections eliminate the risk of lateral movement, preventing compromised devices from infecting other resources. In addition, users and applications are invisible on the Internet, so they cannot be detected or attacked.

Poor user experience can lead to security issues

In addition to security concerns, 72 percent of users are dissatisfied with their current VPN experience due to slow and unreliable connections. A quarter (25 percent) are frustrated because of slow application speed, while 21 percent struggle with frequent disconnections.

An unreliable Internet connection contributes to a poor user experience, leading to frustration and lower engagement. In addition, authentication complexity and friction can lead to lost productivity, lost revenue and increased risk of data loss from users who subvert inefficient VPN services.

Switch to Zero Trust

Organizations that are aware of the security and user experience issues of VPNs are switching to Zero Trust architectures. After all, 92 percent of respondents recognize the importance of a Zero Trust approach to protecting their assets and data – a 12 percent increase over last year. Sixty-nine percent already plan to replace their current VPN solutions with Zero Trust Network Access. The report recommends organizations implement a Zero Trust architecture to effectively address the risks associated with VPN vulnerabilities and protect their sensitive data and applications from cyberattacks.

Methodology

The Zscaler VPN Report 2023 is based on a survey of 382 IT professionals and cybersecurity experts and examines their multi-faceted security and user experience challenges. The VPN Risk Report 2023 reveals the complexity of today’s VPN management, user experience issues, vulnerabilities exploited by cyberattacks and their potential to impact the overall security posture of organizations.