Software Bots und was sie für die Cybersicherheit bedeuten

Von Juliette Rizkallah, CMO, SailPoint

Jedes Ding hat zwei Seiten. Diese Redewendung gilt auch für die heutige Omnipräsenz von Software-Bots in den Unternehmen. Auf der einen Seite sind wir uns wohl alle einig, dass Bots Zeit sparen. Beispielsweise halfen Bots in einem Fall einem Unternehmen, mehr als 100 Aufgaben zu automatisieren, und sparten ihm unzählige Arbeitsstunden. Auf der anderen Seite können Bots aber auch zu Übeltätern werden – so zeichneten „böse“ Bots gar wiederholt für die Plünderung von Daten bekannter Unternehmen verantwortlich. Trotz dieser Kluft besteht der Unterschied zwischen einem „guten“ und einem „bösen“ Bot aber im Grunde nur darin, wie wirksam seine Zugriffe geregelt werden. Entscheidend dabei: Wenn Bots in die Identity Governance eingebunden werden, dann werden sie uns auf Jahre hinaus wertvolle Dienste leisten. Vor diesem Hintergrund haben wir uns in unserer SailPoint Market Pulse Survey 2019 mit Bots als neuartigen „Benutzern“ befasst und die Frage gestellt, was sie für die Cybersicherheit bedeuten.

Einsatz von Bots

Wir haben festgestellt, dass die IT-Teams sich mit Bots angefreundet haben – zwei von drei Befragten setzen in ihrem Unternehmen Software-Bots ein. Das ist auch kein Wunder. Bots tragen entscheidend zur Entlastung der Mitarbeiter bei, weil sie Arbeiten automatisch erledigen und eine Vielzahl verschiedener Aufgaben übernehmen können. So können sie sich etwa bei Kundendienstanfragen und administrativen Aufgaben nützlich machen (man denke nur, wie mühsam es ist, Informationen manuell in eine Datenbank eingeben zu müssen). Und wir wissen, wie wertvoll Zeit für die IT-Teams ist. Zeit können sie immer brauchen, und Bots können da eine hervorragende Lösung sein.

Verantwortung für Bots

Obwohl die Zahl der Bots rasant steigt, haben wir festgestellt, dass die Unternehmen deren tägliche Aktivitäten immer noch nicht richtig kontrollieren. Nur 5 % der Befragten berücksichtigen beim Identitätsmanagement Bots und deren Zugriffe zu 100 %. Dieses Verantwortungsdefizit im Hinblick auf Bots reißt riesige Identitäts-Löcher in die Unternehmen – Löcher, die sie teuer zu stehen kommen können, falls die Benutzerdaten eines Bots in die falschen Hände geraten. Wenn sich unbekannte Bots im Netzwerk befinden oder die Identität eines Bot anders behandelt wird als die der menschlichen Benutzer, kann dies verheerende Auswirkungen auf die gesamte Cyberhygiene eines Unternehmens haben. Gerade jetzt vor Weihnachten ist es wichtig, sich das vor Augen zu führen: Kundendienst-Bots haben dann Hochsaison, verarbeiten also auch wesentlich mehr Kundendaten, und die Unternehmen müssen wissen, was diese Bots tun.

Schatten-Bots

Der alarmierende Mangel an Sichtbarkeit bei Bots ist aber noch nicht alles – es gibt noch ein weiteres Sicherheitsproblem. Zwei von drei Befragten gaben nämlich an, festgestellt zu haben, dass Mitarbeiter ihres Unternehmens ohne Kenntnis der IT-Abteilung Bots verwendeten. Diese „Schatten-Bots“ läuten eine neue Runde von Sicherheitsrisiken für Unternehmen ein. Ähnlich wie bei der sonstigen Schatten-IT werden auch Schatten-Bots von Teams eingesetzt, um unternehmensweit repetitive Geschäftsprozesse zu automatisieren. Theoretisch mag diese Idee auch produktiv klingen, doch in der Praxis tut sich hier ein ganz neues Universum voller sicherheitsrelevanter Probleme auf, die die IT-Teams bewältigen müssen. Die Mehrheit dieser Probleme fällt (zum Glück) in den Bereich des Identitätsmanagements.

Was Bots für die Cybersicherheit bedeuten

Unsere Untersuchung zeigt, dass Unternehmen Bots verwenden, deren Identität aber nicht immer korrekt verwalten oder überwachen. Ohne eine solche Aufsicht besteht jedoch die Gefahr, dass die Bots im Unternehmen aus dem Ruder laufen. Wird ein solcher unkontrollierter Bot von einem Hacker aufgespürt und in einen „bösen Bot“ verwandelt, kann dies zu einer Vielzahl von Sicherheitsvorfällen führen. Diesen Problemen kann jedoch mit einem effektiven Identity-Governance-Programm begegnet werden, das dazu beiträgt, Bots wie ihre menschlichen Gegenstücke zu behandeln. Immerhin erledigen Bots die Arbeit von Menschen – behandeln wir sie also auch wie solche. Es ist höchste Zeit, dass wir Bots akzeptieren, wie sie eben sind – die guten wie die bösen.

Für die Market Pulse Survey 2019 beauftragte SailPoint das unabhängige Marktforschungsinstitut Vanson Bourne mit der Befragung von 550 Personen in Australien, Frankreich, Deutschland, Großbritannien und den USA, die in Unternehmen mit 1.000 bis 5.000 Mitarbeitern beschäftigt sind.