1: SPIONE NUTZEN SOCIAL ENGINEERING
Virtuelle Einbrecher observieren ihre Opfer im Vorfeld genauso wie traditionelle Diebe, nur dass sie nicht ums Gebäude schleichen, sondern Datenspuren im Internet aufnehmen. Sie nutzen öffentlich zugängliche Quellen zum Ausspähen. Zum Beispiel verraten Firmenorganigramme auf der Website Positionen und Zuständigkeiten. Der Abwesenheitsagent verrät, wer wann nicht im Büro ist. Wenn Mitarbeiter auf Facebook oder Instagram dann noch Urlaubsfotos posten, bekommen Betrüger eine Bestätigung. Social Engineering (SE) ist kein reines IT-Thema. Es geht auch um psychologische Manipulation: Mit täuschend echt gefälschten E-Mails wird Vertrauen erschlichen, werden Ängste geschürt und Druck gemacht. Tipp: Vom Azubi bis zum Chef sollte das gesamte Team darauf achten, im Internet und in den sozialen Medien möglichst wenig persönliche Daten preiszugeben. Bitte auch nicht die Firmen-Mailadresse für privates Surfen im Internet nutzen.
2: WACHSAME MITARBEITER
Die besten technischen IT-Sicherheitstüren nützen nichts, wenn sie nicht abgeschlossen sind. Oft dringt Schadsoftware durch die Firewall, weil Mitarbeiter auf Tricks von Hackern hereinfallen. Häufig sind es E-Mails mit infizierten Anhängen, die nach dem Öffnen unbemerkt Späh- oder Schadsoftware installieren. Das Bundesamt für Sicherheit in der Informationstechnik rät, dass Mitarbeiter regelmäßig geschult und für IT-Gefahren sensibilisiert werden. So lernen sie, welche Tricks Hacker anwenden. Eine Maßnahme ist: Vorsicht bei unerwarteten E-Mails und solchen von unbekannten Absendern. Im Zweifel telefonisch beim Absender nachfragen. Auch Fehlermeldungen, Warnungen und Hinweise auf die Installation von Programmen sollten ernst genommen werden: Besser die IT-Fachleute informieren.
Tipp: Schaffen Sie eine Vertrauenskultur. Es muss ein Bewusstsein für den Schutz des Betriebes gestärkt werden. Firmengeheimnisse sollten auch intern bleiben.
3: SCHADSOFTWARE ABWEHREN
Wachsamkeit ist das A und O. Auf vertrauenswürdige Quellen sowie Absender zu achten ist wichtig. Es kann aber auch sein, dass die Systeme oder Identitäten Ihrer Geschäftspartner oder Kunden gekapert werden. Allerdings gibt es Programme, die wie beim Online-Banking eine externe Browserbox öffnen, in der man geschützt im Internet surfen oder E-Mails und Dokumente öffnen und bearbeiten kann. Jedoch sinkt der Bedienkomfort, weil diese Programme alles in virtuellen Räumen abkapseln, was die Bearbeitung verlangsamt oder z. B. das Drucken erschwert. Tipp: Mit Downloads aus dem Internet kann man sich auch Schadsoftware ins Haus holen. Ob Fotos, Filme oder Dokumente: Sie können sich als Trojaner, Spähsoftware oder Ransomware entpuppen.
4: NICHT ERPRESSEN LASSEN
Das Bundeskriminalamt hat 2020 insgesamt 108.000 Cybercrime-Delikte registriert – und das sind nur die gemeldeten Fälle. Die Dunkelziffer dürfte viel höher liegen. Erpresserische Ransomware-Angriffe nehmen zu. Alle Sicherheitsbehörden raten dringend davon ab, Lösegelder zu zahlen. Erstens ist nicht gewährleistet, dass die Hacker im Anschluss alle Daten freigeben (dekryptieren). Zweitens unterstützt jede Zahlung das kriminelle System. Die Gelder werden reinvestiert in den Ausbau der Hackernetzwerke. Beim nächsten Mal fordern die Täter dann noch höhere Summen. Bisher standen Angriffe auf Großunternehmen wie z. B. die Funke-Mediengruppe in den Schlagzeilen. Aber Mittelständler und Kleinbetriebe sollten sich nicht in falsche Sicherheit wiegen, nach dem Motto: Ich bin doch kein lohnendes Ziel. Die nächsten automatisierten Angriffswellen können jeden treffen. Tipp: Zeigen Sie Hackerangriffe oder andere strafbare Handlungen beim BKA und Bundesamt für Sicherheit in der Informationstechnik (BSI) an.
5: IT-CHECK
Man kann es nicht oft genug sagen: Jedes Unternehmen sollte über einen IT-Grundschutz verfügen. Dazu gehören u. a.: aktueller Virenschutz, regelmäßige Updates sämtlicher Programme und Patches, Firewalls, spezielle Angriffserkennungssysteme, Verschlüsselung sensibler Daten und des Firmen-WLANs und natürlich eine regelmäßige Datensicherung. Je nach firmeninternen Datenaufkommen sollten die Backups täglich oder wöchentlich erfolgen. Die Sicherungskopien müssen vom Firmennetzwerk unabhängig, d. h. physisch, getrennt sein. Auch beim Arbeiten im Homeoffice sollte auf IT-Sicherheit geachtet werden – etwa über einen VPN-Tunnel einwählen. Tipp: Es gibt auch „gute“ Hacker: Die „White Hats“ oder „Ethical Hacker“ suchen im Auftrag von Unternehmen nach Sicherheitslücken und führen PEN-Tests durch.
6: VORSORGE TREFFEN
Man will ja nicht den Teufel an die Wand malen, aber die präventive Bildung eines Krisenstabes (oder einer Projektgruppe IT-Sicherheit) erleichtert das Managen von Notfällen. Der Krisenstab sollte Notfallpläne ausarbeiten, um im Ernstfall besonnen und schnell reagieren zu können. Rollen und Zuständigkeiten müssen geklärt sein. Wiederanlaufpläne helfen, den Schaden zu begrenzen und IT-Systeme wieder in Gang zu bringen. Die zuvor genannten Datensicherungen retten nicht nur nach Cyber-Angriffen, sondern auch nach längeren Stromausfällen oder technischen Defekten. Regelmäßige Krisenstabsübungen – ähnlich wie Erste-Hilfe-Kurse – schärfen das Bewusstsein. Es lohnt sich auch, im Vorfeld einen Rahmenvertrag mit externen IT-Experten abzuschließen, die eine 24-Stunden-Hotline anbieten. Tipp: Spezielle Cyberversicherungen zahlen im Schadensfall – und beschäftigen auch Fachleute, die im Notfall rauskommen und helfen, die Schäden zu beseitigen.
7: AUCH PRIVATE TECHNIK BEACHTEN
Schon vor der Corona-Pandemie hatte die Nutzung privater Endgeräte wie Smartphones, Tablets oder Laptops für berufliche Zwecke zugenommen. Gerade in kleinen und mittelständischen Unternehmen birgt der Trend zum BYOD (Bring Your Own Device) Gefahren für die IT-Sicherheit. Auf den Privatgeräten ist oft nicht einmal ein Virenscanner installiert. Nutzer riskieren, dass sie sich spezielle Smartphone-Viren einfangen, die z. B. das Handy-Mikro zum Dauerabhören einschalten. Oder es wird Spionagesoftware über die Geräte ins Firmennetzwerk eingeschleust. Tipp: Stellen Sie den Beschäftigten besser Firmengeräte zur Verfügung, die mit einer Sicherheitssoftware und Verschlüsselungstechnik ausgestattet werden. Dann können die Geräte auch privat genutzt werden.
8: WAS HILFT IM NOTFALL?
Hundertprozentigen Schutz gibt es nirgendwo; trotz aller Vorsichtsmaßnahmen kann auch das eigene Unternehmen Opfer eines Hackerangriffs werden. Doch das BSI gibt konkrete Tipps für den Notfall. Zunächst gilt: Ruhe bewahren. Verschaffen Sie sich eine Übersicht: Was ist passiert? Welche Systeme sind betroffen? Betroffene Systeme sollten vom internen produktiven Netzwerk und dem Internet getrennt werden – dazu das Netzwerkkabel ziehen. Gerät nicht herunterfahren oder ausschalten, sofern eine technische Analyse beabsichtigt ist. Zudem rät das BSI, im Krisenstab zu beraten, welche weiteren Schritte nötig sind, z. B. Mitarbeiter auf dem Laufenden halten, zertifizierte IT-Sicherheitsdienstleister hinzuziehen oder Sicherheitsbehörden informieren. Im Notfall zahlen sich die Vorsorgemaßnahmen aus (s. Tipp sechs).
Tipp: Die Website www.bsi.bund.de enthält nützliche Checklisten für den IT-Grundschutz, den IT-Sicherheitsvorfall und Hintergrundinformationen zu aktuellen Betrugsfällen..
9: ALLIANZ GEGEN CYBER-SICHERHEIT
Gemeinsam ist man stärker: Im Netzwerk „Allianz für Cyber-Sicherheit“ haben sich Unternehmen, Institutionen und Behörden zusammengeschlossen, um gemeinsamen gegen Kriminelle im Internet vorzugehen. Die Mitglieder weisen gegenseitig auf Attacken und Sicherheitsmängel hin. Das Netzwerk geht auf eine Initiative des Bundesamtes für Sicherheit in der Informationstechnik zurück. Das BSI versorgt die Mitglieder mit Informationen aus erster Hand. Tipp: Mehr Informationen und Empfehlungen stehen unter www.allianz-fuer-cybersicherheit.de
10: KOMPETENZZENTRUM BERÄT
Das im März gegründete Kompetenzzentrum DIGITAL.SICHER.NRW will vor allem kleine und mittlere Unternehmen in Sachen IT-Sicherheit beraten. Finanziert wird das Projekt vom NRW-Wirtschaftsministerium. KMU bekommen hier praktische und verständliche Tipps, wie sie ihre Systeme möglichst gut und mit relativ geringem Aufwand schützen können. Denn Prävention steht im Vordergrund. Tipp: Unter www.digital-sicher.nrw kann man auch einen Newsletter abonnieren.
Claudia Schneider | redaktion@regiomanager.de
Teilen:
Weitere Inhalte der Serie