Basics einer Cyberabwehrstruktur Häufig vergessene Tipps zur Cybersicherheit

Die digitale Landschaft verändert sich stetig und mit ihr die Bedrohungen, die dort lauern können. Um damit Schritt halten zu können entwickelt man immer mehr und immer neue Abwehrmaßnamen. Neben all den neuen Gefahren sind die alten aber keineswegs verschwunden. Deshalb lohnt es sich, sich noch einmal die Basics einer Cyberabwehrstruktur in Erinnerung zu rufen.

1. Benutzer schulen und Bewusstsein schaffen: So wichtig wie eh und je!

Dieser Punkt ist der Heilige Gral der Cybersicherheit. Dabei geht es gar nicht um bösartige interne Bedrohungen (dazu später mehr), sondern um unvorsichtige oder nachlässige Benutzer. Sie klicken jeden Tag Katzenbilder an. Sie klicken auf Links in seltsamen E-Mails. Sie laden einen hübschen Desktophintergrund herunter, der als .exe-Datei daherkommt. Hier liegt die Wurzel allen Übels.

In letzter Zeit ist ein Anstieg der Social-Engineering- und Phishing-Versuche aufgefallen. Es beginnt ganz harmlos mit E-Mails, die vermeintlich von Kollegen gesendet wurden – allerdings von deren privaten Konten. Vielleicht, weil sie an einem Projekt weiterarbeiten möchten, aber ihnen dazu gerade ein bestimmtes Dokument fehlt. Was könnte da schon schiefgehen?

2. Ransomware gibt es immer noch, aber ihre Auswirkungen lassen sich leicht eindämmen

Es passiert schnell, und häufig ist es schon zu spät, wenn man es bemerkt: Die Daten sind weg und der Rechner kann nicht mehr verwendet werden. Was tut man jetzt? Ganz klar: Den Befehl „Format C:\“ ausführen und die Sicherung wiederherstellen. Es gibt keine Sicherung? Ups ... Endbenutzergeräte sind für solche Angriffe ein gefundenes Fressen.

Um Katastrophen zu verhindern, sollte man sicherstellen, dass die Start- und Benutzerordner entweder auf einem Remote-Server gesichert oder mit einer SaaS-Lösung synchronisiert werden. Dabei ist darauf zu achten, dass die Benutzer auch wirklich wissen, dass wichtige oder sensible Elemente außerhalb dieser Ordner nicht geschützt sind.

3. Die Arbeit im Homeoffice kann ein Risiko darstellen

Seit 2020 arbeiten die meisten Menschen mindestens gelegentlich von zuhause aus. Was die Sicherheit betrifft, sorgt das für eine herausfordernde Situation, in die ganz verschiedene Faktoren hineinspielen. Die IT hat zwar die Kontrolle über das Endgerät, aber nicht über die Umgebung. Es fängt an mit unsicheren WLAN-Verbindungen und endet mit all den IoT-Geräten, die verwendet werden. Ohne genaue Untersuchungen kann man nicht wissen, ob und welche Daten Arbeitnehmer aus dem Netzwerk abrufen und – falls ja – wo sie sie hinsenden.

Leider ist es alles andere als einfach, das Risiko unter solchen Umständen zu minimieren. Als Mindestmaßnahme sollte eine Kombination aus VPN-Verbindungen und Multi-Faktor-Authentifizierung für den Zugriff auf die wichtigsten Geschäftssysteme verpflichtend sein.

4. Haben Sie sich je gefragt, warum kostenlose Tools und Services überhaupt kostenlos sind?

Dieser Punkt ist nicht neu, aber er gerät zu oft in Vergessenheit. Es gibt zahllose kostenlose Tools und Webdienste, die erst mal sehr verlockend klingen. Eine automatische Volltextübersetzung in mehrere Sprachen? Ein Tool, das zwei oder mehr PDF-Dokumente zusammenführt? Ein weiteres Tool zum Erstellen von Flussdiagrammen und zum Visualisieren von Geschäftsprozessen? Nutzen wir dergleichen nicht alle?

Sich vorzunehmen, immer genau zu wissen, was mit all den freiwillig preisgegebenen Informationen passiert, funktioniert nicht. Unternehmen brauchen mehrschichtige Maßnahmen, mit denen sie Risiken reduzieren und Compliance-Anforderungen einhalten. Zunächst einmal können strengere Zugriffsrichtlinien implementiert werden, doch am besten ist es, Services so sicher wie möglich bereitzustellen. Schließlich sind auch die meisten kostenpflichtigen PDF-Editoren und Flussdiagramm-Tools durchaus noch bezahlbar.

5. Eingefrorene und reduzierte Budgets

IT-Budgets waren in Unternehmen schon immer meist nicht allzu groß, doch das Management hat gelernt, mit dem vorhandenen Geld umzugehen. Meistens hat das auch funktioniert. Üblicherweise bestand das größere Problem darin, neues Personal zu finden und anzuwerben. Insbesondere in den USA, wo zahlreiche Angestellte in der auch „Great Resignation“ genannten großen Kündigungswelle ihren Job aufgegeben oder verloren haben, scheint es heute einfacher zu sein, geeignetes IT-Personal zu finden, doch es fehlt das Geld, um es einzustellen. Die Personalsituation ist also unverändert, wenn nicht gar schlimmer. Was tut man jetzt also?

Die offensichtliche Antwort lautet, sich stärker auf Technologien zu verlassen, doch die Situation ist komplizierter. Die meisten Technologien (sprich: Tools) kosten ebenfalls Geld, und wo soll das herkommen, wenn keines verfügbar ist? Häufig sind Freeware- oder Open-Source-Lösungen die Rettung und manchmal ist es an der Zeit, endlich zu überlegen, wie Routineaufgaben automatisiert werden können.

6. Interne Bedrohungen der böswilligen Art

Frustration, ausgebliebene Bonuszahlungen oder versagte Gehaltserhöhungen können offensichtliche Gründe dafür sein, weshalb Angestellte verärgert und unzufrieden werden – und es gibt für Unternehmen kein größeres Sicherheitsrisiko.

Angestellte gelten als vertrauenswürdig, bis plötzlich etwas passiert. Oft gibt es keine Vorwarnung und es ist kaum möglich, einen solchen Vorfall zu unterbrechen. Es kommt vor, dass Angestellte Informationen weiterleiten, Daten oder Unternehmenseigentum zerstören und mehr. Doch auch wenn das schwer vorherzusagen sind, muss es Maßnahmen geben, um solche Vorfälle einzudämmen: Dazu gehören Lösungen, die Datenverluste verhindern, und das Prinzip der geringsten Rechte muss umgesetzt werden und funktionieren. Berechtigungen prüft man am besten doppelt und dreifach.

Was macht man also angesichts so vieler Punkte, die es zu berücksichtigen gilt? Verzagen ist jedenfalls keine Option. Die Basics müssen sitzen wie die Mitternachtsformel der Cybersecurity. Denn nur so schafft man eine solide Basis, auf der sich eine Festung gegen Cyberrisiken errichten lässt.

Über den Autor: Sascha Giese ist Head Geek bei SolarWinds.

(ID:49225127)