Wie das DNC eine Sicherheitskultur mit ungewöhnlichen Mitteln aufbaute

Lord und Tran beschrieben beim Auftritt auf der Black Hat, wie stark Sicherheitskultur von Symbolik, Routinen und Führung abhängt. Lord verteilte nicht nur „Bobmoji“-Sticker mit einem Avatar seines Gesichts, sondern nutzte auch spielerische Formate, um Sicherheitschecklisten im Arbeitsalltag zu verankern. Bei „Security Feud“ riefen Beschäftigte etwa Antworten wie „Software aktualisieren“ und „Multifaktor-Authentifizierung verwenden“ in den Raum. Für Lord war diese Theatralik kein Selbstzweck, sondern ein Mittel, damit Mitarbeitende Sicherheit tatsächlich verinnerlichen.

Als Tran 2022 die Rolle des CSO übernahm, ersetzte er die „Bobmojis“ durch Wackelkopffiguren. Zugleich machten beide deutlich, dass ein Führungswechsel in der Sicherheitsverantwortung regelmäßig auch Reibung erzeugt. Wer neu in eine solche Position komme, beginne mit einem Audit, um Umgebung, Menschen und Prozesse zu verstehen. Tran habe zunächst nachvollziehen wollen, wie Lord gedacht habe. Genau diese Überprüfung der kulturellen Grundlagen sei für Nachfolger entscheidend.

In technischen Fragen waren sich die beiden nicht in allem einig. Tran wunderte sich über Lords Entscheidung gegen E-Mail-Scanning und über den Einsatz von Chromebooks statt der von ihm erwarteten Windows-Geräte. Besonders die Chromebook-Strategie hielt er zunächst für unpraktisch oder kaum umsetzbar. Nach Lords Darstellung erwiesen sich die Geräte jedoch nicht nur als sichererer Weg, sondern auch als günstiger als der Versuch, die veraltete Windows-Infrastruktur und den Active-Directory-Controller der Organisation wiederzubeleben. Ein lokal betriebenes Active Directory sei ein „Angriffsmagnet“, warnte Lord.

Tran räumte ein, mit bestimmten Erwartungen angetreten zu sein. Positiv überrascht habe ihn, dass Hardware-Sicherheitsschlüssel bereits eingeführt waren und starke Multifaktor-Authentifizierung genutzt wurde. An Lord gewandt sagte er, die schwierigste Aufgabe sei bereits erledigt gewesen: eine große Nutzerbasis dazu zu bringen, sich für YubiKeys zu registrieren und sie auch einzusetzen. Außerdem seien die Laptops stark abgesichert gewesen, und die Nutzer hätten tatsächlich gepatcht.

Kritischer sah Tran das fehlende E-Mail-Scanning. Lord verteidigte diese Entscheidung jedoch als bewusst gesetzten Schwerpunkt. Er habe Angriffe nicht primär im Moment der Zustellung stoppen wollen, egal ob sie per E-Mail oder SMS kommen. Wichtiger sei es, die Organisation gegen Social-Engineering-Betrug widerstandsfähig zu machen. Nach seiner Logik ist es besser, einen Angriff im Moment des Eindringens zu stoppen – also dann, wenn jemand dazu verleitet werden soll, Software zu installieren oder Benutzername und Passwort preiszugeben. Ziel sei, Systeme so robust zu machen, dass Angreifer weder einfach Schadsoftware ausführen noch sensible Zugangsdaten stehlen können.

Eine weitere zentrale Rolle spielte laut Lord die Unterstützung aus der Führungsebene. Trotz knapper Budgets sei der Finanzchef sein „größter Verbündeter“ gewesen. Noch weiter ging die Rückendeckung durch Tom Perez, der von 2017 bis 2021 DNC-Vorsitzender war. Er ließ das Sicherheitsteam bei jeder Mitarbeiterversammlung die ersten zehn Minuten sprechen und verpflichtete sich dazu, die Sicherheitsstandards anzuheben. Als Sicherheitsschlüssel für alle ausgerollt wurden, rief Perez nach Ablauf der Frist persönlich nach, ob sich wirklich alle registriert hatten. Als noch Nachzügler übrig waren, kontaktierte er sie auf ihren privaten Mobiltelefonen. Laut Lord war das keine bloße Unterstützung von oben, sondern Mitverantwortung.

Tran sagte, er habe beim DNC ein starkes Sicherheitsprogramm von seinem Vorgänger übernommen. Seine Aufgabe sei deshalb gewesen, die Organisation weiterzuentwickeln. Mit einer tief verankerten sicherheitsorientierten Denkweise im Rücken konzentrierte er sich auf ein Upgrade der Cloud-Sicherheit und führte ein Portal für Wissensmanagement sowie ein Gremium für Sicherheitsrisiken ein. Lord gab Sicherheitsverantwortlichen zum Abschluss einen knappen Rat mit: Wer neu in eine Organisation komme, solle mit Unerwartetem rechnen.