Security Awareness in Unternehmen Mitarbeiter als Sicherheitsfaktor

Anbieter zum Thema

Mimecast Germany GmbH

Open Text Software GmbH

Im Zusammenhang mit IT-Security in Unternehmen wird oft vom Risikofaktor Mensch gesprochen. Kein Wunder, einmal den falschen Link geklickt und schon kann unbedachtes Verhalten zu schwerwiegenden Schäden führen. Aber ist eine solche Denkweise wirklich zielführend? Nein, meint unser Autor Dr. Dieter Kehl. Stattdessen sollten Unternehmen anfangen, ihre Mitarbeiter als aktiven Teil ihrer Sicherheitsstrategie zu begreifen.

Phishing-Mails gehören sicherlich mit zu den lästigsten Erscheinungen unserer Zeit: im Privat- wie im Berufsleben. Manchmal sind sie schlecht gemacht, auf den ersten Blick als Fake zu erkennen und wandern sofort in den digitalen Papierkorb. Doch Kriminelle entwickeln ihre Fähigkeiten weiter und sind inzwischen in der Lage, Mails zu kreieren, die täuschend echt wirken – vom angeblichen Absender und der entsprechenden E-Mail-Adresse bis hin zum Inhalt. Wer nicht auf kleine Ungereimtheiten achtet, in Eile ist oder die Mail auf dem Smartphone liest, fällt schnell auf solche Fälschungen herein. Seit Beginn der COVID-19-Pandemie, der damit einhergehenden umfassenden Digitalisierung von Unternehmen und dem Wechsel vieler Mitarbeiter ins Homeoffice, ist die Zahl solcher und ähnlicher Cyberattacken deutlich gestiegen.

Für Unternehmen können die Folgen dramatisch sein, insbesondere in finanzieller Hinsicht: Ungeplante Ausfallzeiten verursachen durchschnittlich Kosten in Höhe von über 475.000 Euro, während sich Datenverluste sogar auf knapp 960.000 belaufen – und Bußgelder aufgrund von DSGVO-Verstößen können die Rechnung noch weiter in die Höhe treiben. Zudem sollte man den Vertrauensverlust bei Kunden nicht unterschätzen, manche wenden sich möglicherweise für immer von einem Unternehmen ab, das ihre Daten nicht ausreichend geschützt hat.

Die Mitarbeiter in die IT-Sicherheit einbinden

Damit Unternehmen überhaupt Maßnahmen zur Verhinderung von Cyber-Attacken ergreifen können, müssen sie ihre Wahrnehmung hinsichtlich ihrer eigenen Mitarbeiter neu überdenken. Anstatt sie als einen potenziellen Risikofaktor zu betrachten, sollten sie sie als erste Verteidigungslinie gegen externe Angriffe verstehen. Darüber hinaus sollten sie folgende Aspekte berücksichtigen, um die Rolle, die die Mitarbeiter für die IT-Sicherheit spielen, zu stärken:

1. Aspekt: Security-Awareness-Training, das tatsächlich wirkt

In vielen Unternehmen sind IT-Sicherheitsschulungen sicherlich inzwischen gang und gäbe, aber wie effektiv sind diese Trainings wirklich und wie oft werden sie überhaupt durchgeführt? Insbesondere erstere Frage sollten die Verantwortlichen kritisch beleuchten, denn Hinweise und Standardübungen fernab der Arbeitsrealität der Belegschaft werden kaum nachhaltige Wirkung entfalten. Stattdessen sollten die IT-Security-Verantwortlichen praxisnahe Schulungen aufsetzen, bei denen echte Phishing-Mails, die im Unternehmen eingegangen sind, als Beispiel dienen können. Auch Aspekte wie die richtige Nutzung von Geschäftsgeräten, Präventionsmaßnahmen oder Data Governance sollten dabei ausführlich behandelt werden. Grundsätzlich sollten die Verantwortlichen darauf achten, Erklärungen, Aufgaben und Fragen solcher Schulungseinheiten an ihr Unternehmen und die jeweilige Bedrohungslage anzupassen und das auf einem Niveau, das Mitarbeiter weder unter- noch überfordert.

Da sich die Sicherheitslage ständig verändert und Cyberkriminelle ihre Methoden weiterentwickeln, reicht zudem ein einmaliges Training nicht aus. Unternehmen sollten stattdessen das Wissen ihrer Mitarbeiter regelmäßig – etwa einmal im Jahr oder gar alle sechs Monate – auffrischen, damit sie wachsam bleiben und nicht auf neue Tricks hereinfallen.

2. Aspekt: Den Ernstfall ernst nehmen

Das Training sollte natürlich auch abdecken, wie sich Mitarbeiter im Ernstfall verhalten sollten, denn hier kommt es oft auf Geschwindigkeit an, um größere Schäden zu vermeiden. Daher sollten Unternehmen Möglichkeiten schaffen, mit denen die Mitarbeiter verdächtige Nachrichten oder Telefonanrufe einfach und schnell der IT melden können. Dadurch bekommt die IT-Abteilung ein besseres Bild davon, ob nur einzelne Mitarbeiter ins Visier genommen wurden oder ein großflächiger Angriffsversuch stattfindet und kann entsprechende Warnungen veröffentlichen. Für Microsoft Outlook existiert beispielsweise ein kostenloses Add-In, mit dem Mitarbeiter mit wenigen Klicks E-Mails dem Systemadministrator ihres Unternehmens melden können. Vor allem sollte den Mitarbeitern auch vor Augen geführt werden, dass sie lieber einmal zu viel als einmal zu wenig eine Nachricht melden sollten. Falsche Zurückhaltung ist hier nicht angebracht.

Aber auch wenn das Kind schon in den Brunnen gefallen ist, sollten Mitarbeiter sofort wissen, was sie zu tun haben: Dem IT-Security-Beauftragten Bescheid geben, die Arbeit am IT-System einstellen und gegebenenfalls Kollegen darauf hinweisen, Beobachtungen dokumentieren und auf weitere Anweisungen warten. Im besten Fall lässt sich so verhindern, dass sich der Schaden ausbreitet.

3. Aspekt: Der richtige Umgang mit Hardware und Software

Phishing und schädliche Links oder Webseiten sind aber nicht der einzige Weg, über den Kriminelle ins Unternehmensnetzwerk gelangen können. Ungesicherte private Endgeräte und Netzwerke sowie Anwendungen, die von der IT nicht freigegeben sind, öffnen ihnen ebenfalls Tür und Tor. Zwar verfügen Unternehmen in der Regel über klare Richtlinien, was den Umgang mit der IT-Hardware und -Software betrifft, doch sind sie den Mitarbeitern nicht immer bewusst. Daher sollten die Sicherheitsverantwortlichen diese Vorgaben aktiv an die Belegschaft kommunizieren und diese bei der Lösungsfindung unterstützen. Nutzt ein Mitarbeiter beispielsweise seinen privaten Laptop, um im Homeoffice überhaupt arbeiten zu können, kann ein Endpoint-Protection-Tool Abhilfe schaffen: Dieses überwacht die Aktivitäten auf dem Gerät, erkennt Anomalien wie Viren und Malware und kann im Zuge dessen mögliche Angriffe blockieren. In Verbindung mit Threat Intelligence erhält die Lösung zudem kontinuierlich aktuelle Bedrohungsinformation und ist damit in der Lage, auch neue Bedrohungen aufzuspüren.

Auch sollten Unternehmen im Hinblick auf Anwendungen, die von den Mitarbeitern verbotenerweise genutzt werden, versuchen, gemeinsam eine Lösung zu finden. Denn Mitarbeiter installieren Software im Alleingang vor allem, um Zugang zu bestimmten Funktionen zu erhalten, die ihnen bislang fehlen. Im Dialog mit der IT lässt sich sicherlich eine Anwendung finden, die sowohl die Vorgaben der IT als auch die Bedürfnisse der Mitarbeiter erfüllt.

Security Awareness ist essenzieller Teil der Sicherheitsstrategie

Wenn Unternehmen anfangen, ihre Mitarbeiter nicht mehr als Risiko zu sehen, sondern ihnen Verantwortung für die IT-Sicherheit übertragen, wird sich auch in der Belegschaft eher ein Bewusstsein für das Thema verankern. Dafür müssen Unternehmen aber ihren Beitrag leisten und das Thema IT-Security Awareness ganz oben auf die Agenda setzen und entsprechende Maßnahmen umsetzen. Halbherziges Engagement wird von Mitarbeitern genauso wahrgenommen und sie orientieren sich in ihrem eigenen Verhalten daran.

Aber Security Awareness ist nur ein Aspekt einer holistischen Sicherheitsstrategie. Auch der Einsatz intelligenter, automatisierter und mehrschichtiger Sicherheitslösungen ist entscheidend, um Bedrohungen, die außerhalb der Wahrnehmung der Mitarbeiter auftreten, zu identifizieren und rechtzeitig zu beseitigen. Gerade in Zeiten, in denen viele Teile der Belegschaft dezentral arbeiten und dies auch in Zukunft vorhaben, müssen Unternehmen ihre IT-Security neu aufstellen, um gleichzeitig Sicherheit und Flexibilität im erforderlichen Maß ermöglichen zu können.

Über den Autor: Dr. Dieter Kehl ist Director Sales DACH/ CEE/MEA bei OpenText Security Solutions.

(ID:48543440)