Cyberkriminalität: Unternehmen wehren sich
Vorsicht: Bissiger Ex! Kaum ein betrieblicher Prozess funktioniert noch ohne IT-Unterstützung – deren Absicherung ist also überlebenswichtig. In IT-Sicherheit wird investiert und die Unternehmen wehren sich gegen Cyberkriminalität. Was viele übersehen: Die Achillesferse ist weniger die Technik als vielmehr der Mitarbeiter – vor allem der ehemalige.
IBM-Studie zur Cyberkriminalität: Achillesferse (Ex-)Mitarbeiter
Brühl, 5. September 2016 – Rund die Hälfte aller Cyberattacken auf Unternehmen kommt nicht von Profi-Hackern, sondern aus den eigenen Reihen. Das berichtet das Fachportal „iX“ unter Berufung auf zwei Studien vom Computerhersteller IBM.
Nach dem „2015 Cyber Security Intelligence Index“ finden sich unter den Angreifern:
- Dienstleister mit Systemzugriff
- Mitarbeiter als Opfer von Kriminellen
- ehemalige Angestellte
Rund ein Viertel der Attacken geht auf Anwenderfehler zurück, etwa das Klicken auf präparierte Links in Spam-E-Mails. Der Anteil von mit Schadsoftware infiziertem Spam ist seit 2013 von einem auf derzeit vier Prozent angestiegen. Das geht aus einem weiteren Bericht, dem „X-Force Threat Intelligence Quarterly Report“, hervor. Unterm Strich gehören unbefugte Zugriffe damit heute zu den häufigsten Sicherheitsvorfällen.
Schwachstellen in IT-Systemen
Bestätigt werden diese Feststellungen vom Bundesamt für Sicherheit in der Informationstechnik (BSI). Laut dessen „Bericht zur Lage der IT-Sicherheit in Deutschland“ liegt die Anzahl der Schwachstellen und Verwundbarkeiten in IT-Systemen weiterhin auf einem hohen Niveau. Neben umfangreichen technischen Maßnahmen beginnt die Verbesserung des Schutzes aber vor allem bei den Mitarbeitern.
Hier rücken vermehrt ehemalige Mitarbeiter von Unternehmen in den Fokus. Gegenüber „Themenwelt Unternehmensführung“ rät der Sicherheitsexperte Markus Schaffrin, Geschäftsbereichsleiter Mitglieder Services im eco–Verband der Internetwirtschaft e. V., zu Wachsamkeit.
1. Maßnahme gegen Cyberkriminalität: Rückgabe aller Logindaten
Im ersten Schritt sollten die Accounts ausscheidender Mitarbeiter von allen internen und externen Plattformen entfernt werden. Bei von mehreren Mitarbeitern gemeinsam genutzten Diensten sollte das Passwort geändert werden.
Außerdem sollte der ausscheidende Mitarbeiter alle seine Logindaten herausgeben. So sichert sich das Unternehmen den weiteren Zugang zu allen Services und Diensten. Das hat den gleichen Stellenwert wie die Abgabe der Schlüssel und des Laptops.
2. Maßnahme gegen Cyberkriminalität: Das Team über die Kündigung informieren
Im zweiten Schritt gelte es, das Team über die Kündigung zu informieren und zu erklären, dass auf Kontaktaufnahme des ehemaligen Kollegen nicht reagiert werden darf.
Schaffrin: „Das A und O sind allerdings geschulte Mitarbeiter, die um die Gefahren des Human Hacking wissen und solche Versuche frühzeitig erkennen und einordnen können.“ Schulungen müssten regelmäßig wiederholt werden, um Kenntnisse aufzufrischen und zu aktualisieren.
Human Hacking – das Einfallstor von Cyberganoven
Marco Krause, Security Engineer bei der ING-DiBa AG und Redner auf den „Internet Security Days“ am 22. und 23. September 2016 in Brühl bei Köln, beobachtet „Human Hacking“ als häufiges Einfallstor von Cyberganoven: „Die Human Hacker haben in den letzten zwanzig Jahren eine unglaubliche Professionalisierung durchlaufen.“ Je nach eingesetztem Medium – E-Mail, Telefon oder im direkten Kontakt – seien sie in der Lage, ausgefeilte psychologische Tricks so einzusetzen, dass bei ihren Opfern meist eine vorhersagbare Irrationalität eintritt.
Nach Ansicht Krauses holen viele Security-Awareness-Programme die Anwender nicht richtig ab. Sie liefern mitunter falsche Handlungsempfehlungen. So sind Phishing-Mails zum Beispiel immer häufiger:
- in fehlerfreier Rechtschreibung verfasst,
- sprechen den Empfänger persönlich an und
- kommen scheinbar von einem bekannten Absender.
„Solange bestehende Abwehrmechanismen nicht ausreichend professionalisiert oder mehrschichtig erweitert werden, garantiert Human Hacking im Bereich der Schattenwirtschaft auch weiterhin einen schnellen Return on Investment“, warnt Krause.
IT-Sicherheit geht Jede und Jeden im Unternehmen an
„Egal, ob Assistenz oder Geschäftsführung, jeder muss um die Bedeutung der IT-Sicherheit wissen“, ergänzt Martin Wundram, Geschäftsführer von IT-Forensiker DigiTrace GmbH und ebenfalls Redner in Brühl. Dazu müssten Unternehmen das Know-how ihrer Mitarbeiter ausgebauen.
Es sei unabdingbar, dass „alle Mitarbeiter zumindest über sattelfeste Grundkenntnisse verfügen“, betont Wundram – sonst fallen die Unternehmen früher oder später Locky und Co. sowie Social Engineering zum Opfer. Und das kann weit teurer werden als eine solide Ausbildung der Mitarbeiter in IT-Sicherheit .
