Die komplette Wahrheit über Viren & Co.

Donnerstag, 12. Januar 2023

In Ausgaben des Projekts „Die komplette Wahrheit über Viren & Co.“ berichten wir oft über Bedrohungen im Internet. Digitale Bedrohungen sind vielfältig. Nicht nur Privatnutzer, sondern auch Unternehmen sind bedroht. Cyberkriminelle schlafen nie, suchen ständig nach Sicherheitslücken und erfinden immer neue Tricks, um Netzwerkangriffe durchzuführen. Solange Cyberkriminelle denken, dass sie vom Angriff auf ein Informationssystem profitieren könnten, ist dieses bedroht. Oft liegt das Problem jedoch nicht an Softwareschwachstellen oder falschen Netzwerkeinstellungen. Es gibt noch weitere Faktoren, die zur Infektion eines Unternehmensnetzwerks führen könnten.

Die Netzwerkinfrastruktur eines großen Unternehmens ist immer ein Leckerbissen für Virenschreiber und Hackerteams. Ein erfolgreicher Cyberangriff kann einen bedeutenden materiellen Schaden verursachen, den Betrieb lahmlegen oder sogar die Existenz des Unternehmens bedrohen. In den letzten Jahren wurden oft gezielte Angriffe zur Spionage großer Unternehmen durchgeführt. Bei solchen Angriffen werden häufig Verschlüsselungstrojaner verwendet. In den letzten paar Jahren gab es Dutzende aufsehenerregende Vorfälle, deren Gesamtschaden sich auf Milliarden Dollar belief. Wie kann so etwas passieren? Nutzen große Unternehmen keine Antivirensoftware, um solche Vorfälle zu verhindern? Doch. Angriffsszenarien können zwar unterschiedlich sein, aber am häufigsten ist es ein Mensch – einer der Mitarbeiter, – der das Eindringen einer Bedrohung in das Unternehmensnetzwerk (in der Regel ungewollt) ermöglicht. In dieser Ausgabe möchten wir die Rolle von Mitarbeitern in der Informationssicherheit eines Unternehmens besprechen und erläutern, warum selbst ein auf den ersten Blick gut geschütztes Unternehmensnetzwerk gefährdet sein könnte.

Ursache 1. Fahrlässigkeit bei der Informationssicherheit

Nicht nur große Unternehmen werden mit Cyberkriminellen konfrontiert. Bei den meisten Cyberattacken handelt es sich nicht um gezielte Angriffe. Cyberkriminelle „scannen“ Unternehmensnetzwerke auf Sicherheitslücken, z.B. durch das massenhafte Versenden bösartiger E-Mails. Nicht alle Kleinunternehmen sorgen angemessen für Cybersicherheit. Oft begreifen weder einfache Mitarbeiter noch Führungskräfte, dass ein zuverlässiger Antivirus nicht nur installiert, sondern auch genutzt werden muss. Frei zugänglicher Server. Fehlende Sicherheitsrichtlinien für die Mitarbeiter. Keine Zugriffshierarchie. Die Mitarbeiter werden über aktuelle Bedrohungen nicht informiert und wissen nicht, wie sie auf Computervorfälle reagieren sollten. Solche Fahrlässigkeit kommt leider nicht selten vor.

Ursache 2. Mangelndes Bewusstsein für den Wert von Informationen

In der Regel liegt dies daran, dass die Mitarbeiter nicht in den Datenschutzprozess miteinbezogen werden. Dies macht die Netzwerkinfrastruktur anfällig. Es genügt nicht, moderne Software zu installieren und das Netzwerk sachgemäß zu konfigurieren, wenn sich die Mitarbeiter nicht des Wertes der Informationen, zu denen sie Zugang haben, bewusst sind. In diesem Fall brauchen Cyberkriminelle nicht nach Schwachstellen in der Software des Unternehmens zu suchen – Sie nutzen Social Engineering, um sich Zugriff auf das Unternehmensnetzwerk zu verschaffen. Je schwächer das Sicherheitssystem aufgebaut ist, desto höher ist das Risiko, dass das Unternehmensnetzwerk über einen USB-Stick, den ein Mitarbeiter zufällig auf seinem Arbeitstisch gefunden hat, oder über eine bösartige E-Mail infiziert wird.

Ursache 3. Fehlende Schulung für Mitarbeiter

Auch wenn das Unternehmen über eine zuverlässige Sicherheitsinfrastruktur und ein eigenes IT-Sicherheitsteam verfügt, ist es nicht weniger wichtig, dass alle Mitarbeiter wissen, was sie tun sollen, um das Eindringen von Bedrohungen zu vermeiden. Sicherheitsrichtlinien und -regeln schützen nicht, wenn sie nicht eingehalten werden. Die meisten Mitarbeiter konzentrieren sich auf ihre unmittelbaren Aufgaben und denken nicht an die digitale Hygiene. Auch erfahrene technische Spezialisten wissen nicht immer, wie sie einige Computervorfälle verhindern könnten oder Bedrohungen behandeln sollten. Durch regelmäßige Schulungen mit anschließenden Tests werden Mitarbeiter über das sichere Verhalten im Internet aufgeklärt. Solche Schulungen verbessern die Kultur der digitalen Sicherheit der Mitarbeiter.

Ursache 4. Absichtliche Schadenzufügung

Leider sind solche Vorfälle nicht selten. Wenn sich ein Mitarbeiter als Hacker erweist, hängt die Größe des Schadens davon ab, über welche Bevollmächtigungen er verfügt. Falls der Mitarbeiter einen direkten Zugang zu einem wichtigen Objekt der Unternehmensinfrastruktur (z.B. Server) hat, hat er freie Hand und kann sogar alle Daten vernichten. Ein weiterer Fall: Der Mitarbeiter hat erhöhte Berechtigungen in dem anzugreifenden System. Solche Berechtigungen stellen sich oft als überflüssig für den Aufgabenbereich des Mitarbeiters heraus. Noch riskanter wird es, wenn das System weitere Sicherheitslücken aufweist: Keine Sicherungskopien werden erstellt, es gibt kein System zur Überwachung und Verhinderung von Netzwerkbedrohungen, Netzwerkgeräte sind nicht richtig konfiguriert etc.

Die Informationssicherheit eines Unternehmens hängt nicht nur von der genutzten Hard- und Software, sondern auch von allen Mitarbeitern ab. Cyberkriminelle wissen: Oft stellen Mitarbeiter die größte Schwachstelle im Unternehmen dar. Daher werden solche betrügerischen Methoden und Tricks wie Phishing, böswillige Mailings und infizierte USB-Sticks nach wie vor aktiv als Angriffsmittel genutzt. Die Praxis zeigt, dass auch ein teures und gut konfiguriertes Schutzsystem am menschlichen Versagen scheitern kann.