Security-Awareness-Tipps

Praxistipps für Mitarbeiter gegen Spam und Phishing

| Autor / Redakteur: Ralph Dombach / Peter Schmitz

Anders als für Software, gibt es für Menschen keine Security-Patches die Schwachstellen sofort beseitigen - da hilft nur immer wieder üben.
Anders als für Software, gibt es für Menschen keine Security-Patches die Schwachstellen sofort beseitigen - da hilft nur immer wieder üben. (© adiruch na chiangmai - stock.adobe.com)

Ähnlich wie beim Erste-Hilfe-Kurs sollten Unternehmen ihre Mitarbeiter auch regelmäßig zu Spam- und Phishing-Thematiken schulen, um den Mitarbeiter als schwächstes Glied in der Verteidigungskette zu stärken. Dabei ist die Technik selbst oft ein Problem, denn Je effektiver Spam-Filter und Anti-Phishing-Routinen arbeiten, desto seltener muss der Mitarbeiter sich selbst Gedanken machen, ob er gerade das Ziel einer Phishingattacke ist.

An den obligatorischen Erste-Hilfe-Kurs der mit dem Erwerb eines Führerscheins verbunden ist, wird sich jeder Autofahrer erinnern. Im Laufe der Jahre gerät das erworbene Wissen aber zunehmend in Vergessenheit und bestenfalls Schlagwörter wie „Mund-zu-Mund Beatmung“, „Stabile Seitenlage“ oder „Hilfe holen“ bleiben übrig. Doch im Notfall dann korrekt zu reagieren überfordert die Mehrzahl aller Verkehrsteilnehmer. Gleiches gilt auch in der IT, denn was man einmal gelernt hat gerät über die Jahre oft in Vergessenheit, vor allem wenn dieses Wissen nicht aktiv genutzt wird. Das amerikanische Unternehmen PhishMe, das sich auf das Thema Phishing spezialisiert hat, zeigt in seinem aktuellen Malware-Report für Q2/2017 auf, dass es für Cyberkriminelle nach wie vor lohnend ist, sich auf den Menschen als Angriffsziel, zu fokussieren. Denn anders als bei Software, gibt es für den Menschen keine Security-Patches die Schwachstellen sofort beseitigen.

Je effektiver Spam-Filter und Anti-Phishing-Routinen arbeiten, desto seltener muss der Mitarbeiter sich selbst Gedanken machen, ob er ggf. das Opfer einer perfiden Spearphishing-Attacke ist. Im Gegenteil, das Vertrauen der Mitarbeiter in die „Unfehlbarkeit“ der Technik nimmt zu und das eigene Misstrauen ab. Das dieser Effekt dann bei einem E-Mail-Angriff als Toröffner wirkt, zeigt sich nur zu oft in der Praxis. Denn die vermeintliche Rechnung, die Ankündigung einer Rechtebeschränkung oder die Information über eine eingereichte Strafanzeige sind zu verlockend, um nicht angeklickt zu werden.

Späte Erkenntnis

Im Nachhinein erkennen die Mitarbeiter das Sie genarrt wurden, denn die offensichtlichen Hinweise existieren. Jedoch – man vertraut auf die Technik und hat vergessen, worauf man achten sollte.

Bestimmt hat man im Rahmen einer Security-Awareness-Schulung Hinweise zu Spam und Phishing erhalten. Aber die Schulung vor einem Jahr und die stetige Optimierung der Abwehrtools lassen das Wissen des Mitarbeiters zunehmend unnütz werden.

Ja nach Unternehmenskultur führt dies zu verschiedenen Lösungen des Dilemmas durch den Mitarbeiter.

  • Jede verdächtige E-Mail wird an die interne Security-Abteilung weitergeleitet
  • Jede verdächtige E-Mail wird gelöscht
  • Jede E-Mail wird bearbeitet, da ja gefährliche E-Mails am Gateway blockiert werden
  • Verdächtige E-Mails werden, eigenverantwortlich nach besten Wissen diagnostiziert

Dass keine der Maßnahmen im Sinne des Unternehmens sein kann liegt auf der Hand. Denn eine Überflutung der Security-Abteilung mit Anfragen ist, wie auch die Schadsoftware-Diagnose durch Mitarbeiter, kontraproduktiv.

Erste-Hilfe-Maßnahmen

Sinnvoller ist es, die Mitarbeiter mit Hilfsmitteln auszustatten, die ihm einen Weg zeigen, zum effektiven Umgang mit möglicherweise verdächtigen E-Mails. Dies kann eine interaktive Webseite sein die man ansurft, ein clever programmierter Chatbot oder ganz einfach, eine ausgedruckte „SPAM- & Phishing-Checkliste“. Wichtig ist, dass der Mitarbeiter einfach darauf zugreifen kann und dieses Hilfsmittel an die Bedrohungslage angepasst wird. Denn eine einheitliche Lösung für alle Fälle gibt es nicht. Die Risikolage ist je Unternehmen individuell, ebenso wie die Konfiguration der eingesetzten Security-Tools.

Gelingt es zunehmend Phishing-E-Mails die unternehmenseigenen Security-Systeme zu passieren, muss man das Hilfsmittel dahingehend optimieren und dem Anwender einfache Erkennungsmöglichkeiten aufzeigen. Schadsoftware wird sich nie vermeiden lassen und nicht ob man Opfer wird ist die Frage, sondern wann! Maßnahmen, zu denen auch die Unterstützung des Anwenders mit einer Erste-Hilfe“-Info für SPAM- und Phishing-E-Mails gehört, gelingt es hoffentlich, dieses „WANN?“ weiterhin in die Zukunft zu verschieben.

Informationen zu Download-Dokumenten

Die diesem Artikel beigefügten PDF-Dateien sind ein Erste-Hilfe-Tool, um diese Strategie in der Praxis zu erproben. Die einseitige Anleitung ist die Kurzform, wie man mit verdächtigen E-Mails umgeht. Wobei hier, keine Dateianlage bearbeitet wird, sondern nur die Elemente Logik, E-Mail-Text und Absender überprüft. Eine Bearbeitung einer möglicherweise virulenten Dateianlage durch einen Anwender, mit unterschiedlichem Wissensstand, wird nicht empfohlen. Bei der „Inbetriebnahme“ dieses „Erster-Hilfe-Tools“ sollte auch die zweite Datei ausgegeben werden, die auf einem einfachen Niveau die Hintergründe und Nutzung (beispielsweise bei VirusTotal) erklärt. Die dritte Datei ist ein original Spam-Text zur Anschauung.

Alle drei Dateien können Sie für die interne Schulung Ihrer Mitarbeiter nutzen und für Ihr Unternehmen, Ihre Mitarbeiter und Ihre Risikosituation anpassen. Die Spam-Schnellprüfung und die Zusatzinformationen zur Schnellprüfung dürfen ohne Zustimmung des Verlags nicht kommerziell genutzt werden. Eine Weitergabe der Dokumente ist nur mit Quellenangabe zu diesem Artikel gestattet.

Kommentare werden geladen....

Kommentar zu diesem Artikel

Anonym mitdiskutieren oder einloggen Anmelden

Avatar
  1. Avatar
    Avatar
    Bearbeitet von am
    Bearbeitet von am
    1. Avatar
      Avatar
      Bearbeitet von am
      Bearbeitet von am

Kommentare werden geladen....

Kommentar melden

Melden Sie diesen Kommentar, wenn dieser nicht den Richtlinien entspricht.

Kommentar Freigeben

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

Freigabe entfernen

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

copyright

Dieser Beitrag ist urheberrechtlich geschützt. Sie wollen ihn für Ihre Zwecke verwenden? Infos finden Sie unter www.mycontentfactory.de (ID: 45047137 / Mitarbeiter-Management)