Kommunikation, Training, Simulation Schutzschilde gegen Cyber-Attacken

Anbieter zum Thema

Mimecast Germany GmbH

COGITANDA Dataprotect AG

Täglich finden Hacker- und Phishing-Angriffe statt, die zu empfindlichen Schäden führen. Einige Unternehmen haben die Gefahr erkannt und bereits Versicherungen gegen finanzielle Risiken eines Cyber-Angriffs abgeschlossen. Doch um größere Schäden abzuwenden, muss das Risikomanagement bei einer wirksamen, nachhaltigen und kontinuierlichen Prävention von Cyber-Angriffen ansetzen.

Die Cyber-Kriminalität hat inzwischen gewaltige Dimensionen angenommen. Denn noch nie zuvor konnten Kriminelle auf vergleichsweise einfachem Wege und mit überschaubarem Risiko erkannt zu werden, an das Vermögen anderer gelangen. Der Schaden durch Hacking und andere Cyber-Angriffe belief sich in Deutschland im Jahr 2021 auf 223 Milliarden Euro – und ist damit in diesem Zeitraum stärker gewachsen als das bundesdeutsche BIP. Ein wahrhaftig historischer Angriff auf den Wohlstand in unserem Land!

In vielen Unternehmen wird Cyber-Sicherheit jedoch immer noch stiefmütterlich behandelt und gerne in die IT-Abteilung abgeschoben. Eine Firewall aufzusetzen, reicht dabei aber längst nicht mehr aus. Cyber-Sicherheit ist kein reines IT-Thema und auch keines, das mit einer einzelnen Maßnahme einfach erledigt wäre. Es ist vielmehr ein fortlaufender Prozess, der kontrolliert, begleitet und aktualisiert werden muss – und das unternehmensweit. Die folgenden Schritte sind notwendig, um für ein Unternehmen ein adäquates Sicherheitsniveau zu erreichen:

Aktiveren Sie Ihre ‚Human-Firewall‘

Der Aufbau einer effektiven „Human-Firewall“ ist eine zentrale Stellschraube in der Cyber Risk Prevention. Die Belegschaft muss akute Gefahren (er)kennen und einschätzen können, um darauf angemessen zu reagieren. Das Fatale ist, dass für einen erfolgreichen Angriff nicht einmal professionelle Hacker am Werk sein müssen. Oftmals reicht es, die Schwachstelle Mensch geschickt auszunutzen. Die Schlupflöcher sind vielfältig: Ein Mitarbeiter findet einen USB-Stick auf dem Parkplatz und will sehen, was darauf gespeichert ist. Eine täuschend echte E-Mail behauptet, die Passwort-Richtlinien des Unternehmens hätten sich geändert und verlangt eine neue Passwortvergabe. Oder ein Anrufer erfragt unter falschem Namen sensible Daten und Passwörter. Dank solcher und ähnlicher Methoden geben Mitarbeiterinnen und Mitarbeiter leichtfertig Daten preis und öffnen damit Einfallstore für die Angreifer. Derartige Unachtsamkeit muss im Unternehmen von Anfang an verhindert werden. Deshalb gilt es, das Risikobewusstsein der Mitarbeitenden für diese Gefahren zu sensibilisieren und den Blick zu schärfen, und zwar nicht nur als einmalige Schulungsaktionen, sondern im Rahmen eines kontinuierlichen Prozesses.

Schaffen und trainieren Sie Awareness

Cloud-Strukturen, Smartphone-Apps, Videotelefonie – neue Technologien bringen leider immer auch neue Risiken mit sich. Das Wissen um neue Sicherheitslücken und Einfallstore muss somit ständig aktualisiert werden. Der edukative Dreiklang lautet hier: Kommunikation, Training und simulierte Angriffe. Mitarbeiterinnen und Mitarbeiter müssen ständig sensibilisiert werden, dass sie die primäre Zielscheibe für die Angreifer sind und im Alltag erleben, was das bedeutet. Das Ziel muss eine gelebte Awareness sein. Zwei Beispiele: Erhält ein Mitarbeiter ein spontanes Impfangebot, sollte er automatisch hinterfragen, ob solch ein Angebot über seine betriebliche E-Mail-Adresse seriös sein kann. Auch bei E-Mails mit Schlagworten, wie „dringend“, „sofort“ oder „eilig“ im Betreff, sollte jeder hellhörig werden und sich entsprechend vorsichtig verhalten. Diese Mechanismen müssen immer wieder gelernt, wiederholt und komplett verinnerlicht werden.

Die nötige Sensibilisierung muss alle vorstellbaren Bereiche des Social Engineering umfassen. Die gesamte Belegschaft eines Unternehmens muss jederzeit wissen, wie man sich im Cyber-Raum verhält. Nicht nur im Firmenkontext, sondern auch darüber hinaus. So nutzen Angreifer zum Beispiel private Fotos und Informationen in sozialen Netzwerken, um eine vertrauenerweckende Ansprache durchzuführen, auf die Mitarbeitende dann relativ leicht hereinfallen.

Ebenso muss die Aufmerksamkeit der Angestellten immer wieder auf die Probe gestellt werden, etwa durch simulierte Phishing-Angriffe. Um die Kolleginnen und Kollegen stets über aktuelle Angriffsmethoden auf dem Laufenden zu halten, bieten sich E-Learning Plattformen an.

Sorgen Sie für sichere Prozesse

Neben der Human-Firewall sollte eine zweite Verteidigungslinie eingerichtet werden, denn die technischen Maßnahmen bilden einen nicht minder wichtigen Schutzschild. Das können zum Beispiel vernünftige Filter-Technologien und E-Mail-Gateways sein, die bösartige E-Mails identifizieren. Auch der Malware-Schutz auf Endgeräten ist wichtig. Darüber hinaus sollten Sicherheitslücken in eingesetzter Software aufgespürt und umgehend geschlossen werden.

Zu den sicherheitsrelevanten Prozessen zählt auch die korrekte Steuerung externer IT-Dienstleister. Sie kümmern sich um die Systeme, führen Updates durch oder warten Endgeräte, doch sie können dem Unternehmen nicht das Risiko als solches abnehmen. Es ist zwar sinnvoll, Sicherheitsanforderungen unbedingt vertraglich mit IT-Dienstleistern zu vereinbaren sowie Reportings und Regelprozesse aufzusetzen. Dadurch wird sichergestellt, dass die Gefahr eines Cyber-Einfallstores über einen externen Dienstleister minimiert wird. Dennoch ist es wichtig, die IT-Landschaft, eingesetzte Software, die bestehenden Prozesse usw. regelmäßig durch neutrale, externe Spezialisten auditieren zu lassen, die nicht mit den IT-Dienstleistern im Tagesgeschäft identisch sein sollten.

Investieren Sie an der richtigen Stelle

Seit sich Erpresserangriffe aus dem Netz häufen und die Schadensummen immer weiter steigen, sind auch die Preise von Cyber-Versicherungen stetig gestiegen. Versicherer bleibt keine andere Wahl, solange die Schadenaufwände immer weiter steigen. Wenn ein Unternehmen eine Cyber Versicherung abschließen will, muss es erstmal in eine ordentliche Prävention investieren. Denn ohne adäquates Sicherheitsniveau erhalten Unternehmen heute keine Cyber-Versicherung mehr. Wenn man Versicherungsschutz angeboten bekommt, hängt die Höhe der Prämie stark vom Schutzgrad ab.

Als Faustformel gilt: Unternehmen sollten etwa fünf bis zehn Prozent des IT-Budgets in ihre Cyber-Sicherheit investieren. Gute Präventions-Pakete umfassen unter anderem System-Analysen und Sicherheits-Audits, Penetrationstests, qualifizierte Angriffssimulationen und Mitarbeiterschulungen. Sind diese Schutzschilde erst einmal implementiert und greift die Prävention, muss nur noch ein deutlich geringeres Risiko über Versicherungslösungen abgesichert werden. Das zu erreichen, sollte das Ziel eines jeden Unternehmens sein, das sich gegen Cyber Angriffe schützen möchte.

Über den Autor: Dr. Florian Wrobel ist Geschäftsführer der Cogitanda Risk Prevention GmbH.

(ID:48663781)