Im Visier der Angreifer: SMB versus Großunternehmen?

illu barc visierIst das noch die Frage, wenn prakti­sch jedes Unter­neh­men poten­zi­ell Opfer einer Daten­schutz­ver­let­zung werden kann? Fred Touchette, Security Analyst bei AppRi­ver, hat einige Thesen aufge­stellt, warum Mitar­bei­ter jedes Unter­neh­mens im Fokus von Hackern sind, welche Fehler und Risiken es Cyber­kri­mi­nel­len einfa­cher machen und welche Regeln man beher­zi­gen sollte.

Selbst großen Handels­ket­ten mit bekann­ter­ma­ßen hohem Sicher­heits­le­vel wie Target oder Home Depot in den USA ist es so ergan­gen. Der Haupt­un­ter­schied liegt darin, dass Konzerne typischer­weise ein deutlich höheres Budget und mehr Ressour­cen für IT-Sicherheit einset­zen können. Mittel­stän­di­schen und kleinen Unter­neh­men fehlt es nicht selten an allem: an entspre­chen­dem Perso­nal in einer IT-Abteilung, an Budget oder auch am Spezial-Know-how um Techno­lo­gien und IT-Sicherheitsmaßnahmen abzuglei­chen und umzuset­zen.

Techno­lo­gie hat Grenzen – Der Faktor Mensch

Zu einer vollstän­di­gen IT-Sicherheitsstrategie gehört es zwingend dazu, den Faktor Mensch einzu­zie­hen. Geschulte Mitar­bei­ter, die entspre­chend wachsam sind, werden automa­ti­sch zu einem Teil des IT-Sicherheitsteams. Sonst bleibt der Mensch selbst die größte Schwach­stelle im System. Eine Schwach­stelle, die keine noch so wirksame Strate­gie beheben kann.

Im Fokus der Hacker: (Ihre) Mitar­bei­ter

5 Thesen, warum das so ist

  1. Der großflä­chige Einsatz von IT-Sicherheitstechnologien wie Intru­sion Detec­tion, die Überwa­chung des Netzwerks und Firewalls haben es Angrei­fern erheb­lich schwe­rer gemacht auf den klassi­schen Wegen in ein Netzwerk einzu­drin­gen.
  2. Mitar­bei­ter denken nicht die ganze Zeit und bei allem, was sie tun an IT-Sicherheit. Sie sind schließ­lich keine Exper­ten auf dem Gebiet.
  3. Aus dieser Perspek­tive betrach­tet haben Mitar­bei­ter eine ganze Reihe schlech­ter Angewohn­hei­ten: Sie öffnen verdäch­tige E-Mails, sie tauschen Meme und Karten auf elektro­ni­schen Wegen aus, sie verwen­den unsichere Passwör­ter oder sie »verges­sen« sich abzumel­den.
  4. Mitar­bei­ter (wie Menschen allge­mein) möchten koope­rie­ren und einem Anrufer beispiels­weise weiter­hel­fen.
  5. Social Enginee­ring kostet selten mehr als ein/en Anruf.

 

7 typische Risiken und Fehler

  1. Risiko E-Mail – Scammer können sich darauf verlas­sen, dass Mitar­bei­ter auf überzeu­gende oder neugie­rig machende Anhänge klicken. Das passiert immer wieder, unabhän­gig davon wie verdäch­tig das Ganze auch ausse­hen mag.
  2. Risiko Passwör­ter – Zur gängi­gen, schlech­ten Praxis in Sachen Passwör­ter gehört es, kurze oder/und leicht zu erratende Passwör­ter auszu­wäh­len, Passwör­ter an wenig geeig­ne­ten Stellen zu notie­ren und aufzu­be­wah­ren oder einmal gewählte Passwör­ter nicht häufig genug zu ändern. Nutzer verwen­den identi­sche Passwör­ter für unter­schied­li­che Konten, melden sich nicht ordnungs­ge­mäß ab oder verzich­ten darauf ihren Rechner zu sperren, wenn sie den Arbeits­platz verlas­sen.
  3. Risiko Der Wunsch höflich zu sein – Höfli­che und dienst­leis­tungs­ori­en­tierte Mitar­bei­ter, die dazu tendie­ren jeden Kunden­wunsch zu erfül­len, sind in aller Regel auch eine leichte Beute, um vertrau­li­che Daten und Infor­ma­tio­nen abzuzie­hen.
  4. Risiko Mobiles Arbei­ten von unter­wegs – Der allzeit bereite mobile Mitar­bei­ter vernach­läs­sigt nicht selten, sein IT-Equipment ausrei­chend zu schüt­zen und gestat­tet unter Umstän­den unbefug­ten Zugriff, beispiels­weise auf vertrau­li­che Unter­neh­mens­da­ten oder Infor­ma­tio­nen zur Identi­fi­ka­tion.
  5. Risiko Physi­sche Sicher­heit – Computer-Arbeitsplätze werden nicht gesperrt, Schreib­tisch­schub­la­den bleiben unver­schlos­sen oder ganze Büros und Gebäude sind nicht ausrei­chend gesichert.
  6. Risiko Surfen im Web – Mit jeder Sekunde, die ein Mitar­bei­ter online verbringt, und mit jeder Website, die er besucht, steigt die Wahrschein­lich­keit für irgend­eine Art von Daten­schutz­ver­let­zung, Bedro­hung oder Hacker­an­griff.
  7. Risiko Ignoranz – Und gar nicht so selten werden Sicher­heits­vor­keh­run­gen und entspre­chende Tools ignoriert, umgan­gen oder abgeschal­tet. Aus den verschie­dens­ten Gründen.

 

5 Anzei­chen, dass es schon passiert ist... 

  1. Ungewöhn­lich langsame Inter­net­ver­bin­dun­gen
  2. Unüblich langsam arbei­tende Compu­ter – nicht selten ein Anzei­chen, dass sich eine Malware oder ein Virus auf dem entspre­chen­den Rechner einge­nis­tet hat.
  3. Gesperrte Konten deuten unter Umstän­den auf eine Brute-Force-Attacke hin oder ein Konto ist bereits gehackt, und der Angrei­fer hat das Passwort geändert.
  4. Jede Art von Anoma­lien im lokalen Netzwerk – wenn keine Wartung durch­ge­führt oder Verän­de­run­gen angekün­digt worden sind, können diese Anzei­chen auf ein Hardware-Problem oder eine poten­zi­elle Daten­schutz­ver­let­zung hinwei­sen.
  5. Pop-Ups oder Websei­ten laden nicht – ein Zeichen für einen Virus oder eine Malware auf dem betref­fen­den Rechner.

 

7 Sicher­heits­tipps

Unglück­li­cher­weise gibt es kein Wunder­mit­tel, das hundert­pro­zen­tige Sicher­heit vor einem Angriff garan­tiert. Es ist also sinnvoll verschie­dene Metho­den und Techno­lo­gien mitein­an­der zu kombi­nie­ren, um wenigs­tens einen möglichst hohen Sicher­heits­le­vel zu errei­chen.

 

  1. Setzen Sie auf Schulun­gen und halten Sie Ihre Mitar­bei­ter dazu an, selbst wachsam zu sein. Formu­lie­ren Sie entspre­chende Richt­li­nien wie mit Kunden­da­ten und sensi­blen Infor­ma­tio­nen umzuge­hen ist und wie man sie schüt­zen kann.
  2. Versu­chen Sie das Netzwerk und die einzel­nen Rechner so clean wie möglich zu halten. Ein Sicher­heits­an­satz mit unter­schied­li­chen Layern macht das leich­ter.
  3. Setzen Sie in jedem Fall entspre­chende Firewall-Lösungen ein.
  4. Führen Sie regel­mä­ßige Daten­si­che­run­gen durch.
  5. Erzie­hen Sie Ihre Mitar­bei­ter dazu sichere Passwör­ter zu verwen­den, für jedes Konto ein anderes. Und stellen Sie sicher, dass diese Passwör­ter häufig gewech­selt werden.
  6. Mitar­bei­ter sollten grund­sätz­lich nur auf die Daten und Systeme zugrei­fen können, die sie für ihre Tätig­keit wirklich brauchen.
  7. Und Mitar­bei­ter sollten nicht ohne Erlaub­nis Software auf ihrem Compu­ter instal­lie­ren dürfen.

Weitere Artikel zu