Zielscheibe „Mensch“ So schützen sich Unternehmen vor Social Engineering

Anbieter zum Thema

SEPPmail - Deutschland GmbH

Mimecast Germany GmbH

McAfee

Unternehmen sind aufgrund ihrer wertvollen Daten schon lange profitable Ziele für Cyber­kriminelle. Ein Großteil plant deswegen, ihr Budget für Cyber-Sicherheit im nächsten Jahr aufzustocken. Doch geraten auch die eigenen Mitarbeiter in den Fokus der Kriminellen. Durch Social Engineering wird der Mitarbeiter zu einem Sicherheitsrisiko, das man nicht unterschätzen sollte.

Unter Social Engineering (bzw. Social Hacking), versteht man die manipulative Methodik, nach der Hacker vorgehen, um Zugriff auf Unternehmensnetzwerke über dessen Mitarbeiter zu bekommen. Das Vertrauen dieser Mitarbeiter wird schamlos ausgenutzt, wenn ihnen eine E-Mail vorgetäuscht wird, die auf den ersten Blick von einem Kollegen versendet wurde. In der Regel reicht eine Mail mit infiziertem Anhang aus, um Schadsoftware in das Netzwerk zu schleusen. Dies beweisen CEO-Fraud-Attacken, bei denen Unternehmen mithilfe echt wirkender Mails aufgefordert wurden, Geld auf internationale Konten zu transferieren. Doch mit der technologischen Weiterentwicklung finden auch Cyberkriminelle neue Möglichkeiten, ihre Absichten durchzusetzen. So schafften es Cyberkriminelle sich in diesem Jahr mit einem durch Deepfake-Software verfremdeten Anruf 220.000 Euro zu beschaffen.

Die Gefahren im Innern

Aus der von PwC durchgeführten Untersuchung zur Wirtschaftskriminalität geht hervor, dass sich immer mehr Unternehmen unter den Opfern von Cyber-Kriminalität befinden. Und auch eine Bitkom-Umfrage zum Thema Wirtschaftsschutz in der digitalen Welt von 2019 bestätigt: Die befragten deutschen Unternehmen sind sich der Formen des Datendiebstahls und der Industriespionage bewusst, von denen sie in den letzten zwei Jahren betroffen waren. Aus den Ergebnissen wird deutlich, dass Social Engineering – neben dem direkten Diebstahl von IT-Geräten und physischen Dokumenten – eine nicht zu vernachlässigende Vorgehensweise ist, wie Cyberkriminelle an ihr Ziel gelangen. Im Vergleich zu dem eher kleinen Aufwand, den Hacker damit betreiben, können sie am Ende wesentlich größere Gewinne abgreifen, was Social Engineering zu einer rentablen Hacking-Methode macht und oftmals den operativen Betrieb nachhaltig stört.

Laut dem Report Grand Theft Data II von McAfee zählen zu den größten Risiken, denen sich Unternehmen gegenüberstehen, Datenlecks, Cloud-Applikationen und USB-Sticks. Mitarbeiter, die mit Malware infizierte E-Mail-Anhänge öffnen oder USB-Sticks an das Firmennetzwerk anschließen, eine bequeme Plug-and-Play-Mentalität oder der Aufbau einer Schatten-IT: Das sind nur wenige Beispiele von internen Schwachstellen, die die Angriffsfläche auf das Unternehmensnetzwerk vergrößern können. Letztere entzieht sich oftmals der Kontrolle der offiziellen Unternehmens-IT, woraus sich schnell ein beträchtliches Sicherheitsrisiko entwickeln kann.

Erste Präventivmaßnahmen liefern sowohl Intrusion Prevention Systeme (IPS), die in Verbindung mit der Firewall Bedrohungen erkennen, verdächtige Aktivitäten blockieren und somit der Gefahr durch Malware entgegenwirken, als auch Data Loss Prevention (DLP)-Lösungen, die es der IT-Abteilung erlauben, Software und Hardware zu überwachen und Nutzungsprivilegien zu verteilen. Aus dem Grand Theft Data Report geht trotz dieser zuverlässigen Ersthilfe hervor, dass 38 Prozent der Befragten die Sicherheitsrichtlinien ihrer DLP als nicht angemessen konfiguriert einschätzen. 37 Prozent geben sogar an, dass eine solche Lösung nicht in ihre IT-Landschaft integriert wurde.

Erweitertes Risiko durch Cloud Services

Dreiviertel der Unternehmen, die im Rahmen der Cloud Monitor-Studie 2019 von Bitkom in Zusammenarbeit mit dem Beratungsunternehmen KPMG befragt wurden, sind mittlerweile im Cloud Computing angekommen. Die Migration in die Cloud verspricht Unternehmen viele Vorteile. Neben einer Steigerung der Effizienz und Produktivität, können Kosten gesenkt und die Time-to-Market verkürzt werden. Doch birgt Cloud-Computing ebenso Gefahren, wenn die entsprechenden Anwendungen nicht angemessen abgesichert werden.

Gemäß dem Cloud Adoption und Risk Report von 2019 handelt es sich nach Einschätzung von McAfee bei den Daten, die in der Cloud gespeichert werden, zu 21 Prozent um unternehmenskritische Daten. 65 Prozent davon werden in Business-Anwendungen wie Office 365 gespeichert. Die Links, mit denen man dem Empfänger Zugriff auf Daten und Dokumente gewährt, sind oftmals ungeschützt, was den Zugang zum Unternehmensnetzwerk durch unbefugte Dritte erleichtert.

DLP-Anwendungen erkennen unautorisierte Zugriffe und verdächtige Aktivitäten und schützen im Zuge der Detektion vertrauliche Daten und deren unerlaubten Versand, indem sie den Zugriff blockieren und IT-Administratoren alarmieren. Dennoch greifen diese Anwendungen oftmals nur einseitig. Sprich: Gilt die DLP nur für das lokale Netzwerk, dann sind deren Sicherheitsrichtlinien nicht auf die Cloud-Applikation übertragbar. Über die Cloud werden diese Policies umgangen, wodurch sich die Angriffsfläche des Unternehmensnetzwerks vergrößert. Eine Datei, die durch die DLP-Lösung lokal blockiert wird, ließe sich einfach über die Cloud versenden.

Umfassender Schutz für hybride Umgebungen

Um einem Missbrauch der Cloud als Schlupfloch für Cyber-Kriminalität vorzubeugen, braucht es eine umfassende Lösung, die sowohl das lokale Unternehmensnetzwerk als auch sämtliche Cloud-Anwendungen einbezieht. Cloud Access Security Broker (CASB) übertragen die Policies, die in der DLP für Sicherheit sorgen, gleichzeitig in die Cloud. Durch die Zusammenführung beider Lösungen in eine einheitliche Architektur, sind IT-Administratoren in der Lage, die Sicherheitsregeln zentral zu verwalten und die Prozesse zu überwachen. Die Zentralisierung in Verbindung mit den Analysefunktionen des Tools begünstigen ein effizientes Incident Management, da sie schneller auf auffällige Aktivitäten und Bedrohungen reagieren und Nutzungsprivilegien verteilen können.

Mitarbeiter für digitale Risiken sensibilisieren

DLP- und CASB-Lösungen bieten ausreichend Schutz auf technologischer Seite, doch bleibt immer noch der menschliche Risikofaktor. Auch wenn die IT-Abteilung für Cyber-Sicherheit zuständig ist, ist jeder Mitarbeiter ebenso verantwortlich dafür, dass sensible Daten nicht in die Hände von Cyber-Kriminellen gelangen. Ein erster Schritt in diese Richtung ist eine umfassende Aufklärung über die Gefahren der Schatten-IT. Denn nur wenn die Mitarbeiter besonnen mit Unternehmensdaten umgehen, laufen sie nicht Gefahr, die technologischen Sicherheitsbestrebungen auszuhebeln und auch nur dann kann ein ganzheitlicher Schutz des Unternehmensnetzwerks gewährleistet werden.

Über den Autor: Hans-Peter Bauer ist Vice President Central Europe bei McAfee.

(ID:46406036)