Reiseziel Resilienz

Wer ist dieser Reisekonzern?

Der Konzern gehört zu den führenden Reiseanbietern Europas, befördert jedes Jahr Millionen Reisende, ist in sieben Ländern aktiv und beschäftigt über ein Portfolio von Gesellschaften rund 3.000 Menschen. Seine IT trägt die gesamte Reise des Kunden: vorne die Buchungssysteme, dahinter die Koordination, die Reisende ans Ziel bringt und unterwegs betreut.

Sicherheit hat hier zwei Aufträge zugleich. Verfügbarkeit: Ein Ausfall oder ein Angriff kann Buchungen stoppen, die Abwicklung vor Ort stören oder Reisende ohne rechtzeitige Information zurücklassen. Vertrauen: Der Konzern verarbeitet sensible personenbezogene Daten, darunter Namen, Passdaten, Geburtsdaten und Buchungsdaten. Fünf Frameworks und Regularien prägen das Programm: CIS, PCI DSS, ISO 27001, NIS2 und die DSGVO. Die DSGVO ist dabei besonders fordernd, weil die Branche Kundendaten mit Partnern in Drittländern austauschen muss.

Die Vorgabe der Geschäftsführung an das sechsköpfige Security-Team ist klar: das Unternehmen so sicher wie möglich machen, ohne den Betrieb auszubremsen.

“Diese Daten zu schützen und den Reisebetrieb am Laufen zu halten, das lässt sich vom Schutz des Geschäfts überhaupt nicht trennen.”

IT-Security-Leiter

Wie lief die Arbeit vor Mondoo?

Der alte Prozess war eine Kette aus einzelnen Tools und manueller Nacharbeit. Ein wöchentlicher Scan mit Tenable Nessus erzeugte ein PDF. Jemand sichtete es, übersetzte die Befunde in Tickets, telefonierte den Verantwortlichen hinterher und scannte irgendwann erneut, um zu sehen, ob sich etwas verändert hatte. Für das Remote-Scanning mit Zugangsdaten musste außerdem auf jeder Maschine im Bestand ein hochprivilegiertes Konto eingerichtet und abgesichert werden.

Zwei Probleme verstärkten sich gegenseitig. Verzögerung: Weil der Scan nur wöchentlich lief, konnte eine Schwachstelle bis zu sieben Tage bestehen, bevor sie überhaupt auffiel, und danach brauchte die Remediation eines kritischen Befunds noch ein bis drei Arbeitstage. Abdeckung: Am größten waren die Lücken bei den geschäftskritischen AIX-Systemen, wo eine tiefe Prüfung externe Spezialisten mehrere Tage pro Stichprobe beschäftigte und der native CIS-Scanner keine brauchbaren Hinweise zur Behebung lieferte. Das Team stützte sich also auf Stichproben und Erfahrung statt auf laufend verifizierte Nachweise.

“Auch der Geschäftsführung ein aktuelles Risikobild zu geben, war schwieriger, weil der Bericht beim Lesen schon veraltet sein konnte.”

IT-Security-Leiter

Was hat den Wechsel ausgelöst?

Es gab keinen Sicherheitsvorfall und kein durchgefallenes Audit. Stattdessen kamen drei Dinge zusammen: ein neu aufgestelltes, bereichsübergreifendes Security-Team, der Auftrag, das Sicherheitsniveau über bisher getrennt arbeitende Teams hinweg zu heben, und die Entscheidung für CIS als praktischen Standard des Konzerns. Diese letzte Entscheidung gab den Ausschlag, und sie brauchte einen Weg, der ohne manuelle Erhebung und Stichproben auskommt. Ohne skalierbare Plattform wäre die Wahl gewesen: lückenhafte Abdeckung akzeptieren oder geschätzt vier Personen zusätzlich einstellen.

“Mondoo hat das CIS-Ziel nicht erfunden. Mondoo hat es operativ erreichbar gemacht.”

IT-Security-Leiter

Warum fiel die Wahl auf Mondoo?

Mondoo prüft die gesamte hybride Infrastruktur: On-Premises-Linux, Windows und AIX über den lokal installierten Mondoo Client, dazu mehrere AWS-Konten. Schwachstellen und Compliance bleiben dabei in einer Plattform statt in getrennten Tools und Abläufen.

Open Source im Kern.

Die Scan-Komponente cnspec ist Open Source. Das Team kann also nachvollziehen, was in der eigenen Umgebung tatsächlich läuft, und die Community kann das ebenfalls. Auch die offene Dokumentation half, Deployment und Produktqualität vorab zu bewerten, ohne vorher mit dem Vertrieb sprechen zu müssen.

Ein Deployment, das sich nativ anfühlt.

Der Mondoo Client installiert sich über die üblichen Paketmanager wie apt und dnf. Der Rollout fühlte sich dadurch an wie ein Teil der eigenen Linux-Umgebung, nicht wie ein Fremdkörper. Gegenüber Remote-Scannern liefert der lokal installierte Client zudem ein aktuelleres Bild, ohne ein hochprivilegiertes Konto mit Zugangsdaten über den gesamten Bestand zu verteilen.

Eine Plattform für beide Aufgaben.

Schwachstellen und Compliance liegen auf denselben Daten, und mit wachsender Abdeckung tragen diese Daten inzwischen auch das Reporting, die Asset-Übersicht und neue Automatisierungen.

Ein Anbieter, den das Team erreichen kann.

Der kommerzielle Vergleich war wichtig, die Beziehung wog aber genauso schwer. Das Team konnte direkt mit Engineers sprechen, die wissen, wovon sie reden, dazu mit der Geschäftsführung von Mondoo, Feature-Wünsche einbringen und Gehör finden.

“Wir konnten direkt mit Leuten sprechen, die sich auskennen, und Feature-Wünsche loswerden. Man fühlt sich gehört und eben nicht wie einer von Zehntausenden Kunden.”

IT-Security-Leiter

Wie beantwortet das Team die CVE-Frage heute?

Beim alten Scanner sah die Frage „Sind wir betroffen?“ so aus: das passende Plugin finden, Ziele und Zugangsdaten konfigurieren, scannen, warten, Ergebnisse exportieren und nach dem Patchen alles noch einmal, um zu belegen, dass der Fix sitzt. Mit Mondoo liegt das aktuelle Ergebnis für den gesamten Bestand schon im Tenant. Das Team filtert es, weist Verantwortliche zu und erzeugt die Tickets direkt aus der Plattform. Die Verantwortlichen für die AIX-Systeme arbeiten mit denselben Daten an Härtung und Compliance-Scores. Zwei Dinge überraschten das Team positiv: wie schnell MQL-Abfragen antworten und wie viel operative Arbeit inzwischen an dieser einen Stelle stattfindet.

Wie liefen Auswahl und Rollout?

Das Team verglich Rapid7, Tenable Nessus und Qualys sowie agentenbasierte Alternativen, anhand klarer Kriterien: breite Ökosystem- und AIX-Abdeckung, CIS-Fähigkeit, ein schlankes Deployment-Modell, aktuelle Nachweise, brauchbare Hinweise zur Behebung, Transparenz und Kosten. Der Leiter des Security-Teams und der Head of IT entschieden gemeinsam, dass ein lokal installierter Client das richtige Modell ist, wohl wissend, dass auch ein solcher Client selbst Teil der Angriffsfläche ist und entsprechend bewertet werden muss.

Den Rest erledigte ein sorgfältig vorbereiteter Proof of Concept. Mondoo fragte, was das Team sehen muss, setzte konkrete Arbeitssitzungen von einer bis anderthalb Stunden an und führte genau diese Abläufe dann auch vor. So passte das Onboarding im Produktivbetrieb zu den Erwartungen aus dem PoC. Die Systeme einzubinden war ungewöhnlich schmerzfrei. Die Spaces, Mondoos Arbeitsbereiche pro Team, gaben jedem Team den passenden Installationsbefehl, und die Assets landeten automatisch im richtigen Kontext. Der schwierigste Teil war organisatorisch: zu definieren, was 100 % Abdeckung überhaupt heißt, wenn man nicht sicher sein kann, dass die CMDB jedes Asset kennt.

“Mondoo hat das Deployment leicht gemacht. Es hat aber auch gezeigt, wie wichtig es ist, den Bestand zu kennen, den man abdecken will.”

IT-Security-Leiter

Was würde das Team einem Kollegen mitgeben?

• Mit dem Ziel anfangen, nicht mit dem Tool.
• Damit rechnen, dass das Deployment Schwächen in der CMDB offenlegt. Das ist eine nützliche Information, kein Rückschlag.
• Die Risiko- und Compliance-Scores in den ersten Wochen für Schwung nutzen, wenn Teams ihre eigenen Fortschritte sofort sehen.
• Sich bei der Härtung Zeit lassen. Einen Score über 90 % zu treiben, ohne die betrieblichen Folgen zu verstehen, kann ein System auf dem Papier sicher und in der Praxis unbenutzbar machen.
• Ausnahmen richtig nutzen: dokumentiert, befristet und überprüfbar.

Rückhalt in der Organisation

Das Vertrauen der Geschäftsführung war schon da. Das Team stellte Mondoo als Mittel dar, um die CIS- und Sicherheitsziele rechtzeitig und zu vertretbaren Kosten zu erreichen, und wählte den Horizont von drei Jahren bewusst, um genug Anlauf für ein sauberes Deployment zu haben und mit der Plattform zu wachsen.

“Der Business Case war keine Feature-Liste für ein Jahr. Es ging um tragfähige Abdeckung und um Hebel für das Sicherheitsprogramm.”

IT-Security-Leiter

Was ist die ehrliche Lesart der Ergebnisse?

Die ehrliche Lesart der Zahlen zählt so viel wie die Schlagzeile. Die Nachweise beruhen heute auf aktuellen technischen Belegen statt auf selbst ausgefüllten Tabellen: Das gibt Security und GRC deutlich mehr Vertrauen in die Ergebnisse. Bei der Behebung ist der Vergleich noch nicht sauber. Die MTTR für kritische Befunde lag zum Zeitpunkt des Interviews bei rund acht Tagen, gerechnet von der Veröffentlichung der CVE bis zur Behebung. Der frühere Prozess kombinierte einen wöchentlichen Scan mit ein bis drei Arbeitstagen für den Fix: Derselbe kritische Befund war also erst nach grob acht bis zehn Tagen geschlossen, und das auch nur, wenn der Scan ihn überhaupt fand. Strukturell zählt, dass der Blindflug von sieben Tagen wegfällt. Die Werte für die Behebung dürften mit der Reife des Programms nachziehen.

Mondoo wird außerdem zur führenden Quelle für eine verlässlichere Software- und Security-CMDB, und Stakeholder greifen inzwischen selbst auf die Auswertungen zu, statt einen weiteren Scan-Bericht anzufragen, der beim Lesen schon veraltet sein kann. Was dem Team am meisten wert ist, passt allerdings in keine Tabelle. Es hat den sicheren Überblick über fast die gesamte IT-Landschaft, on premises und in der Cloud, aktuell genug, um danach zu handeln. Und wenn ein Befund auftaucht, sieht das Team die technische Grundlage dahinter, statt sie aus einem veralteten Bericht oder einer Selbstauskunft abzuleiten.

Die IT-Landschaft ist gewachsen.Die Reaktion ist schneller geworden.Die Arbeitslast nicht.