Die britischen Universitäten stehen von allen Seiten unter Beschuss. Ein Bericht aus dem letzten Jahr enthüllte, dass Dutzende von Einrichtungen in den vorangegangenen sechs Jahren mindestens 122 bis 156 Millionen Pfund aus chinesischen Quellen erhalten hatten. Das Problem: Rund ein Fünftel dieser Spenden stammte von Organisationen, die aufgrund ihrer Verbindungen zum chinesischen Militär von den USA sanktioniert wurden. Diese Enthüllungen unterstreichen die Spitzenforschung, die viele Universitäten betreiben, und deren strategische Bedeutung für bestimmte Regierungen.

Der britische Inlandsgeheimdienst MI5, stets wachsam gegenüber der Bedrohung, informierte kürzlich die Rektoren von 24 führenden Universitäten über anhaltende staatlich geförderte Bemühungen zur Aneignung geistigen Eigentums. Doch nicht nur Nationalstaaten müssen bekämpft werden. Auch die Bedrohung durch finanziell motivierte Cyberkriminelle ist beträchtlich.

Schwer zu verteidigen

Der Hochschulsektor leistet einen oft unterschätzten Beitrag zur Volkswirtschaft. Laut aktuellen Zahlen erwirtschaften Universitäten und andere Hochschulen jährlich 71 Milliarden Pfund an Bruttowertschöpfung und 130 Milliarden Pfund an allgemeiner Wirtschaftsleistung. Allein das ist Grund genug, ihn vor staatlichen Eingriffen und Cyberkriminalität zu schützen.

„Der Cyberraum bietet ihnen eine Möglichkeit, Informationen zu erlangen, die ihnen sonst nicht zugänglich wären, ohne dass sie dies bemerken“, so das Nationale Zentrum für Cybersicherheit (NCSC) über staatlich unterstützte Agenten. „Er wird wahrscheinlich anstelle von oder in Verbindung mit traditionellen Wegen genutzt, um Zugang zu Forschungsergebnissen zu erhalten, wie etwa Partnerschaften, abgeordnete Studierende oder Direktinvestitionen.“

Dennoch stehen Hochschulen bei ihren Bemühungen um mehr Cybersicherheit vor zahlreichen Herausforderungen. Zum einen nutzen viele Mitarbeitende und Studierende ihre Netzwerke. Dadurch wird Phishing zu einer beliebten Methode, um Zugangsdaten und personenbezogene Daten zu erlangen. Erschwerend kommt hinzu, dass zwar 84 % der Universitäten Schulungen zur Informationssicherheit für ihre Mitarbeitenden anbieten, diese aber nur für Studierende verpflichtend sind (nur 5 %).

Universitäten müssen außerdem Risiken in einer potenziell großen und komplexen IT-Netzwerktopologie managen. Laut NCSC enthalten viele Universitätsnetzwerke „eine Ansammlung kleinerer, privater Netzwerke, die engmaschige Dienste für Fakultäten, Labore und andere Funktionen bereitstellen“. Dies kann die konsequente Durchsetzung von Sicherheitsrichtlinien schwieriger machen. Erschwerend kommt hinzu, dass es potenzielle Risiken an den verteilten Rändern gibt – darunter Heimarbeiter und Fernstudenten.

„Die akademische Forschung lebt von der Zusammenarbeit und dem offenen Informationsaustausch. Dies erfordert einen offenen Zugang zu Netzwerken und Ressourcen, was die Umsetzung übermäßig restriktiver Sicherheitsmaßnahmen erschwert. Die Balance zwischen Offenheit und robuster Sicherheit zu finden, ist ein ständiger Kampf“, sagt Chris Gilmour, CTO von Axians UK, gegenüber ISMS.online.

„Dies wird noch dadurch verschärft, dass Studenten und Mitarbeiter persönliche Geräte verwenden – Laptops, Smartphones. Hier müssen die Universitäten eine Balance zwischen BYOD und dem Zugriff auf wichtige Ressourcen finden und gleichzeitig insgesamt eine angemessene Sicherheitslage aufrechterhalten. Diese nicht verwalteten Geräte können, wenn sie nicht richtig gesichert sind, Schwachstellen aufweisen und als potenzielle Eintrittspunkte für Cyberangriffe dienen.“

Schließlich sehen sich Hochschulen laut einem Bericht des Public Accounts Committee aus dem Jahr 2022 „langfristigen, systemischen Belastungen ihrer finanziellen Tragfähigkeit und Überlebensfähigkeit ausgesetzt“ . Die fortgesetzte Deckelung der Studiengebühren und kurzfristige Faktoren wie steigende Energie- und Kreditkosten sowie die Inflation erschweren die Budgetplanung. Dies kann sich wiederum auf die Budgets für Cybersicherheit auswirken und die Schäden durch Sicherheitslücken verstärken. Neben den direkten Kosten müssen Universitäten auch die potenziellen Auswirkungen einer schwerwiegenden Sicherheitslücke auf ihren Ruf bei potenziellen Studierenden berücksichtigen.

Die Bedrohung ist echt

Wenn Staaten ihre Ziele nicht durch großzügige „altruistische“ Spenden an Hochschulen erreichen, greifen sie auf traditionelle Cyberspionage zurück. Gleichzeitig nehmen Cyberkriminelle immer häufiger personenbezogene Daten von Mitarbeitern und Studierenden sowie ungeschützte Systeme ins Visier und attackieren diese mit Ransomware. Laut Jisc , einem IT-Partner für Hochschulen, gilt Ransomware als die größte Cyberbedrohung für den Sektor, gefolgt von Social Engineering/Phishing und ungepatchten Sicherheitslücken. Die gemeinnützige Organisation gibt an, dass 97 % der Hochschulen Cyberrisiken in ihrem Risikoregister führen und 87 % regelmäßig an ihre Hochschulleitung berichten. Doch damit ist die Herausforderung nicht einfach gelöst.

Tatsächlich ist das Problem ausgeprägter denn je. Einem Regierungsbericht vom April 2023 zufolge haben 85 % der Hochschulen in den vorangegangenen zwölf Monaten Sicherheitslücken oder Angriffe festgestellt, verglichen mit nur 32 % der Unternehmen.

Ein verheerender Sicherheitsverstoß an der Universität Manchester im Jahr 2023 führte zur Kompromittierung von über einer Million Patientendatensätzen des britischen Gesundheitsdienstes NHS und war auf einen Phishing-Angriff zurückzuführen. Tatsächlich sind Ransomware-Angriffe dieser Art keine Seltenheit, und Angriffe, die – wie so oft – mit der kritischen Phase der Datenbereinigung zusammenfallen, können besonders gravierende Folgen haben.

Die Bedrohung durch staatliche Akteure ist subtiler, aber dennoch weit verbreitet. Im Februar 2021 drangen mutmaßlich staatlich unterstützte Hacker in die Abteilung für Strukturbiologie der Universität Oxford ein, die zu diesem Zeitpunkt gemeinsam mit AstraZeneca an einem COVID-19-Impfstoff arbeitete. Bereits 2018 hatten iranische Hacker britische Universitäten ins Visier genommen, um sensible Forschungsergebnisse zu stehlen.

Zurückschlagen

Glücklicherweise können laut Gilmour sogar Hochschulen mit knapper Kasse ihre Cyber-Resilienz mit einigen bewährten Best Practices verbessern.

„Die Priorisierung der Schulung der Mitarbeiter im Bereich Cybersicherheit befähigt alle, Bedrohungen zu erkennen und zu vermeiden“, argumentiert er. „Die Implementierung von Open-Source-Sicherheitstools und die Nutzung kostenloser staatlicher Ressourcen können einige Sicherheitslücken schließen. Und die Förderung einer Kultur der Datenminimierung und der Priorisierung kritischer Systeme ermöglicht es ihnen, mit weniger mehr zu erreichen.“

Tim Line, Leiter der Dienste bei Secure Schools, fügt hinzu, dass eine tiefgreifende Verteidigung der Schlüssel ist. Multi-Faktor-Authentifizierung, Notfallreaktionsplanung, robuste Backups, Endpunkterkennung (EDR), Firewalls und Verschlüsselung sollten alle Priorität haben, sagt er gegenüber ISMS.online. Die Einführung solcher Kontrollen und betrieblicher Best Practices wie zeitnahes Patchen, akzeptable Nutzung und sichere Konfiguration sollten in klaren Richtlinien dargelegt werden, „die Erwartungen umreißen und Regeln festlegen“, fügt Line hinzu.

„Stellen Sie sich jede Sicherheitskontrolle wie eine Scheibe Schweizer Käse vor“, erklärt er. „Eine Scheibe hat viele Löcher und ist leicht zu durchbrechen. Wenn Sie eine weitere Scheibe Sicherheitskontrolle hinzufügen, werden einige der Löcher in der ersten Scheibe geschlossen, und so weiter, bis das Risiko auf ein akzeptables Niveau reduziert ist.“

Sowohl Line als auch Gilmour weisen auch auf den Wert bewährter Sicherheitsstandards wie ISO 27001 und Angebote wie das NIST Cybersecurity Framework hin.

„ISO 27001 bietet einen strukturierten Ansatz für das Informationssicherheitsmanagement. Durch die Implementierung der entsprechenden Kontrollen können Universitäten Cybersicherheitsrisiken identifizieren und managen, eine Kultur des Sicherheitsbewusstseins entwickeln und klare Prozesse für die Reaktion auf Vorfälle etablieren“, sagt Gimour.

Auch grundlegendere Initiativen wie Cyber ​​Essentials können zur Risikominderung beitragen, fügt Line hinzu.

„Sie werden das Risiko nie ganz auf null reduzieren – genauso wenig wie die Implementierung von Rauchmeldern, Brandschutztüren, Feueralarmen und Evakuierungsverfahren das Brandrisiko auf null reduziert“, schlussfolgert er. „Sie reduzieren jedoch das Risiko des Auftretens eines Brandes, seiner Ausbreitung und seiner erheblichen Auswirkungen auf Menschen und Betrieb erheblich.“