85 Prozent der Führungskräfte sehen menschliche Schwächen als größte Gefahr für die Cybersicherheit

Proofpoint hat in Zusammenarbeit mit der Economist Intelligence Unit eine Umfrage unter mehr als 300 CIOs und CISOs in Nordamerika, Europa und dem asiatisch-pazifischen Raum veröffentlicht [1]. Dabei sind fünf von sechs der Manager der Meinung, dass menschliche Schwächen ein deutlich größeres Risiko hinsichtlich Cyberattacken bergen als Lücken in der technischen Infrastruktur oder Probleme in Geschäftsprozessen.

»Mehr als 99 Prozent der gezielten Cyberangriffe benötigen eine menschliche Interaktion, um erfolgreich zu sein«, erklärt Ryan Kalember, Executive Vice President of Cybersecurity Strategy bei Proofpoint. »Die Ergebnisse der Economist Intelligence Unit bestätigen, wie wichtig es daher für Unternehmen ist, einen Ansatz für ihre Sicherheitsstrategie zu wählen, der den Schutz des Menschen in den Fokus rückt. Sicherheitsteams müssen genau wissen, wer innerhalb ihres Unternehmens attackiert wird und mit welchem Ziel. Damit können sie ihre Mitarbeiter effektiv über das richtige Verhalten im Fall der Fälle informieren. Cybersicherheit hat sich gleichermaßen zu einer menschlichen wie auch zu einer technischen Herausforderung entwickelt.«

Anzeige

 

Zu den wichtigsten Erkenntnissen der Studie zählen:

 

  • Die Mehrheit der befragten Führungskräfte (85 Prozent) ist der Meinung, dass menschliche Schwächen eher für – aus Sicht der Cyberkriminellen – erfolgreiche Cyberangriffe verantwortlich sind als das Versagen von Technologie oder Prozessen.
  • 86 Prozent der befragten Führungskräfte haben in den letzten drei Jahren mindestens einen digitalen Einbruch ins Unternehmen erlebt, weit über die Hälfte (60 Prozent) sogar mindestens vier.
  • Nahezu die Hälfte (47 Prozent) vermuten, dass sie in den nächsten drei Jahren mit einem größeren Datenverlust konfrontiert sein werden. Jedoch sind beispielsweise im Gesundheitswesen nur 56 Prozent der Führungskräfte davon überzeugt, dass ihr Unternehmen einen solchen Angriff verhindern, aufdecken oder richtig darauf reagieren könnte.
  • Zu den drei wichtigsten Folgen von Cyberattacken in Sachen Geschäftsbetrieb gehören: Umsatzeinbußen (33 Prozent), Kundenverluste (30 Prozent) und Kündigung von Mitarbeitern (30 Prozent). Bei großen Unternehmen liegt der Prozentsatz von Umsatzeinbußen im Falle von Cyberattacken sogar bei 38 Prozent.
  • Mehr Know-how erforderlich: neun von zehn Befragten sind sich im Klaren darüber, dass ihr Unternehmen besser verstehen muss, welche Cybersicherheitsmaßnahmen am besten funktionieren – ihr Augenmerk muss sich von der Quantität hin zur Qualität verlagern.
  • Fast alle Befragten (96 Prozent) CIOs/CISOs werden durch die oberste Führungsebene bei der Kontrolle von Cybersicherheitsrisiken unterstützt.
  • Beinahe genauso viele (93 Prozent) informieren die Unternehmensleitung regelmäßig über Cybersicherheitsrisiken.
  • Und vier von fünf Befragten (82 Prozent) sehen Cybersecurity und die entsprechenden Risiken als eine der wichtigsten Prioritäten für die Führungsebene des Unternehmens.

 

 

[1] Die komplette Studie der Economist Intelligence Unit »Cyber Insecurity: Managing Threats From Within« finden Sie hier zum Download:

https://www.proofpoint.com/us/resources/analyst-reports/the-economist-cyber-insecurity.

 

Bei IT-Sicherheit unbedingt den Faktor »Mensch« einrechnen

Hacker greifen bei ihren Raubzügen auf unterschiedlichste Methoden zurück, denen klassische IT-Schutzmaßnahmen längst nicht mehr gewachsen sind. Die Schulung der Mitarbeiter in puncto IT-Sicherheit und die Schaffung eines entsprechenden Bewusstseins für die Gefahren sind wichtige Punkte im Kampf gegen Cyberkriminelle. Noch besser ist allerdings eine IT-Security-Lösung, die solche Attacken ins Leere laufen lässt.

Nicht immer sind es komplexe Algorithmen und Programme, mit denen Hacker versuchen, in das Netzwerk eines Unternehmens einzudringen. Vielmehr sind die Mitarbeiter das größte Einfallstor für Cyber-Angriffe: Sicherheitslücken, bei denen die Kriminellen auf menschliches Fehlverhalten setzen, nehmen ständig an Bedeutung zu. Neben klassischer Malware sind besonders Phishing-E-Mails beliebt, über die mit Hilfe gefälschter Webseiten oder augenscheinlich harmloser Dateianhänge in E-Mails Ransomware in das Firmennetzwerk eingeschleust werden soll. Gefährlich wird es auch, wenn Mitarbeiter eigenständig ein Programm-Update herunterladen, ohne darauf zu achten, von welcher Webseite die Datei kommt. Oder wenn sie ohne zu überlegen einen USB-Stick, den sie auf einer Messe geschenkt bekommen oder irgendwo gefunden haben, an den Unternehmensrechner anschließen.

Sicherheitslösungen und Trainings sind ein Weg, …

Klassische Sicherheitslösungen wie Firewalls, Web- und E-Mail-Filter oder Antiviren-Programme können diese Gefahren nur bedingt abwehren. Ihr Problem besteht darin, dass sie zum Beispiel unter Nutzung von Signaturen auf die Malware-Erkennung angewiesen sind. Bisher unbekannte Schadsoftware wie einen neuen Virus in einem E-Mail-Anhang können sie damit kaum aufspüren. Sicherheitstrainings für die Mitarbeiter sind ein anderer Punkt im Maßnahmenkatalog von Unternehmen gegen Cyber-Angriffe. So wichtig es ist, ein Bewusstsein für IT-Security zu schaffen und die entsprechenden Kompetenzen zu vermitteln, die Erfahrung zeigt, dass selbst erfahrene IT-Mitarbeiter nicht davor geschützt sind, auf gut gemachte Phishing-E-Mails oder andere Attacken reinzufallen.

Die Verantwortung durch Schulungen gewissermaßen auf die Mitarbeiter „abzuwälzen“, bringt schon rein rechtlich nichts. IT-Sicherheit ist Chefsache:Für die Betreiber kritischer Infrastrukturen gilt das IT-Sicherheitsgesetz, welches einen Mindeststandard an IT-Sicherheit fordert. Jedoch müssen sich auch alle anderen Unternehmen aufgrund der aktuellen Gefährdungslage um das Thema IT-Security und ein funktionsfähiges IT-Risikomanagement kümmern. Die Verantwortung dafür trägt in erster Linie die Geschäftsleitung. Schließlich sind es die Vorstände einer AG und die Geschäftsführer einer GmbH, welche bei Fahrlässigkeit für den hieraus entstehenden Schaden haften.

… der bessere ist das Isolieren von Schadcode

Angesichts einer gefährlichen Lücke nicht detektierbarer Malware und dem Risikofaktor Mensch, ist es sinnvoller, Schadcode mittels Micro-Virtualisierungzu isolieren. Diesen Weg geht Bromium mit seiner Software Secure Platform.Die Lösung ermöglicht das sichere Öffnen und Bearbeiten von Daten unabhängig, ob die Quelle seriös ist oder nicht. So erfolgt etwa das Öffnen eines PDF im E-Mail-Anhang oder eines heruntergeladenen Office-Dokuments ebenso wie der Aufruf einer Webseite oder der Zugriff auf die Daten eines portablen Speichermediumsin sogenannten Micro-VMs. Diese virtuellen Instanzen werden isoliert voneinander, vom Betriebssystem und vom verbundenen Netzwerkausgeführt. Mögliche Schädigungen bleiben immer auf die jeweilige virtuelle Instanz begrenzt, die zudem nach Beendigung einer Aktivität, etwa dem Schließen eines Filesoder Browser-Tabs, automatisch gelöscht wird. Das heißt: Es ist nicht länger relevant, ob Schadprogramme einen Rechner erreichen oder nicht. Ebenso wenig, ob diese als maliziös erkannt werden können. Eine Infizierung des Endgeräts und des Unternehmensnetzes ist somit nahezu ausgeschlossen. Auch Systeme, die beispielsweise nicht auf aktuellem Upgrade- oder Patch-Stand sind, bleiben damit umfassend geschützt.

Nicht zuletzt entlastet die Lösung auch die Mitarbeiter, da sie nicht mehr jeden Klick auf einen E-Mail-Anhang oder eine Webseite überdenken müssen. Sie hebt damit nicht nur die Sicherheit auf ein neues Niveau, sondern verhindert auch eine Beeinträchtigung von Benutzerkomfort und Produktivität.


Jochen Koehler ist
Regional VP Sales Europe
bei Bromium in Heilbronn

 

 

 

Foto: © Bromium; Illustration: © SARANYA_V/shutterstock.com

 

2118 Artikel zu „Sicherheit Mensch“

Ein Viertel der Menschen bevorzugt Cybersicherheit durch künstliche Intelligenz

Über die Hälfte der Befragten sieht die Verantwortung für ihre Online-Datensicherheit bei sich selbst.   Palo Alto Networks hat in Kooperation mit YouGov und Dr. Jessica Barker, einer britischen Expertin für das Verhalten von Menschen im Zusammenhang mit Cybersicherheit, eine Online-Studie mit mehr als 10.000 Befragten in der EMEA-Regioni durchgeführt [1]. Dabei wurde die Einstellung…

Schwerwiegende Cyberattacke in Deutschland – Menschliche IT-Sicherheitsteams sind zunehmend überfordert

Die weitreichende Cyberattacke auf Politiker, Journalisten und Prominente in Deutschland schlägt international hohe Wellen. Noch ist wenig über die Hintergründe bekannt, aber der Schaden scheint enorm zu sein.   Gérard Bauer, VP EMEA bei Vectra, Experte für KI-basierte Cybersicherheit (künstliche Intelligenz), nimmt Stellung zum Status Quo:   »Für ein Land, in dem die Privatsphäre des…

Cybersicherheit: Der Mensch als Schlüsselfaktor

Jeder sechste Mitarbeiter würde auf eine gefälschte E-Mail der Chefetage antworten und sensible Unternehmensinformationen preisgeben. Das hat eine Befragung des Bundesamtes für Sicherheit in der Informationstechnik (BSI) ergeben. Informationen über Zuständigkeiten im Unternehmen, zur Zusammensetzung von Abteilungen, internen Prozessen oder Organisationsstrukturen, die über das sogenannte Social Engineering gewonnen werden, sind für Cyberkriminelle wertvolle Grundlage zur…

Der Faktor Mensch in der Cybersicherheit: Dropbox ist beliebtester Phishing-Köder

In der Untersuchung »Der Faktor Mensch« wird detailliert aufgezeigt, wie Cyberkriminelle aktiv versuchen, den Menschen anstelle von technischen Sicherheitslücken auszunutzen, um monetäre Gewinne zu generieren oder Informationen zum Zwecke der Spionage beziehungsweise für zukünftige Angriffe zu stehlen [1]. Der Bericht von Proofpoint basiert auf der Analyse von bereits erfolgten Angriffsversuchen bei mehr als 6.000 Unternehmenskunden…

Mensch und Maschine Hand in Hand für höhere Cybersicherheit

Leitfaden zu künstlicher Intelligenz in Security Operations Centern. Ratgeber beleuchtet die Automatisierung der Cybersicherheit in Security Operations Centern durch künstliche Intelligenz – Entlastung von Routineaufgaben. Zuletzt brachte es die weltweite Ransomware-Attacke mit dem Erpressungstrojaner »Wanna Cry« an den Tag: Sehr viele, selbst renommierte Technologieunternehmen, werden immer wieder Opfer von Cyberattacken, auch wenn diese mit relativ…

Das IT-Sicherheitsgesetz: Nicht Gesetze, sondern Menschen erhöhen die IT-Sicherheit

Seit Ende Juli 2015 gilt das neue IT-Sicherheitsgesetz in Deutschland: das »Gesetz zur Erhöhung der Sicherheit informationstechnischer Systeme« betrifft die Betreiber »Kritischer Infrastrukturen«. Als »Einrichtung aus dem Sektor Telekommunikation, die von hoher Bedeutung für das Funktionieren des Gemeinwesens ist«, zählen nach § 2 (10), auch die Fullservice-Internetprovider zu diesen Einrichtungen. Meldepflicht an das BSI Maßnahmen…

Sicherheit bei Windows-Servern: Das Risiko Mensch ist massiv

Im April gelang es Sicherheitsforschern in den USA, mithilfe einer manipulierten JPEG-Bilddatei Zugang zu SQL-Servern und Domänen-Controllern zu erlangen. »Es handelte sich zwar in diesem Fall nur um eine simulierte Attacke auf einen Windows Server 2012 R2. Dennoch zeigt dieses Beispiel eindrucksvoll, dass einmal eroberte Server kinderleicht zum Einfallstor werden können, um sich Zutritt zu…

Den Mythen der IT-Sicherheit auf der Spur

Rund um das Thema IT-Sicherheit kursieren immer noch zahlreiche falsche Vorstellungen.   Die hohe Bedeutung von IT-Sicherheit stellt kaum jemand mehr in Frage. Doch wer ist dafür verantwortlich und wie ist sie realisierbar? Hier gibt es nach wie vor viele Irrtümer. Bromium räumt mit fünf gängigen auf. Cyber-Security ist in erster Linie ein Thema für…

Eine gute Frage: Was wäre, wenn jeder für Sicherheitsvorfälle persönlich haften müsste?

Angesichts der Tatsache, dass das Cyberrisiko mittlerweile sogar als Bewertungskriterium von Rating-Agenturen aufgenommen wurde und im Falle von Datendiebstahl oder Datenverlust immer öfter damit gedroht wird, dass Mitarbeiter und Unternehmensleiter selbst für den Schadensfall haften, könnten Sanktionen aufgrund von Fahrlässigkeit, Verantwortungslosigkeit oder unzureichender digitaler Hygiene in den kommenden Jahren häufiger vorkommen.     Einige Fälle…

Das Erkennen von IT-Sicherheitsbedrohungen ist Aufgabe des Managements

Die Zunahme und Komplexität an Angriffen erfordern mehr Fachkräfte für IT-Sicherheit. Die IT-Sicherheit in Unternehmen muss Aufgabe des Managements und der Führungsetage werden. Das fordern die IT-Sicherheitsexperten der PSW GROUP: »In Deutschland mangelt es an Fachkräften, während die Angriffe auf sowie die Bedrohungen für die IT-Sicherheit weiter steigen. Die Chef-Etage muss deshalb mit anpacken, denn…

Cybersicherheit: größere Zuversicht trotz gleichbleibend hohem Bedrohungsniveau

98 Prozent der befragten deutschen Unternehmen berichten von Sicherheitsverletzungen, Hauptursache sind Phishing-Angriffe.   Carbon Black, Anbieter von Cloud-nativen Lösungen für den Schutz von Endpoints, gibt die Ergebnisse seines zweiten Threat Reports für Deutschland bekannt. Für den Carbon Black Threat Report wurden weltweit gut 2000 CIOs, CTOs und CISOs befragt, davon 256 aus ganz Deutschland. Die…

IT und Sicherheit im Einklang – engerer Austausch zwischen CIO und CISO

In Unternehmen gerät viel in Bewegung, wenn neue Technologien zur Schaffung von Geschäftsvorteilen eingeführt werden, denn: Oft muss ein Spagat zwischen Sicherheit und Performance gelingen. Diese Entwicklung hat ihre Wurzeln in den sich verändernden Rollen des CIO und des CISO sowie in der strategischen Natur ihrer Zusammenarbeit. Für Führungskräfte kann die Art und Weise, wie…