Keynote zur ISX IT-Security Conference 2023 Unternehmen sollten ihre Microsoft 365-Umgebung mehrfach absichern

Anbieter zum Thema

SEPPmail - Deutschland GmbH

Mimecast Germany GmbH

Hornetsecurity GmbH

Auf die Frage, welches das größte Risiko für die Unternehmens-IT ist, antworten viele „Hacker!“ Dabei sind externe Faktoren meist nicht die größte Gefahr für Microsoft-365-Daten, denn: Eine Kette ist nur so stark wie das schwächste Glied. ISX-Keynote-Sprecherin Dr. Yvonne Bernard, CTO bei Hornetsecurity, erklärt, welche Angriffsvektoren Unternehmen beachten sollten und wie sie ihre M365-Tools bestmöglich schützen.

Mobile Work gehört mittlerweile genauso zum Arbeitsalltag wie virtuelle Brainstorms und E-Mails. Aus diesem Grund hat Microsoft seine Office Tools mit M365 in die Sphären des New Work transferiert, um seinen Nutzern so die bestmögliche User Experience zu bieten. Mittlerweile verfügt Microsoft 365 über mehr als 340 Millionen „bezahlte Seats“ – also Abo-Nutzer. All diese User verlassen sich tagtäglich auf die integrierten Schutzmechanismen der Tools. Was viele dabei nicht berücksichtigen: Die Wirksamkeitsgarantie der E-Mail-Filter gilt nicht für E-Mails mit überwiegend nicht-englischsprachigem Inhalt. Zudem kann Microsoft erst einschreiten, wenn eine Infektion mit einem bekannten und von Virenscannern erkennbaren Virus bereits geschehen ist. Eine einzige Sicherheitslücke im System gefährdet alle Nutzer.

Intensive Selbstwahrnehmung schützt das gesamte Ökosystem

Externe Faktoren wie Hacker sind in der Regel nicht die größte Gefahr für Microsoft-365-Daten. Böswillige Handlungen oder auch menschliches Versagen zählen dagegen zu den größeren Gefahren für die IT-Sicherheit. Besonders Ungenauigkeiten im Umgang mit Compliance-Richtlinien ermöglichen Hackern überhaupt erst den Zugriff auf Daten. Sei es im Zug auf dem Weg ins Büro oder ein unerlaubter Zugriff auf Anwendungen – die Mitarbeiter müssen immer wachsam sein und darauf achten, was ihre Handlungen für Auswirkungen haben könnten.

Ist es im Zug noch relativ einfach, die eigenen Daten zu sichern (kein öffentliches und ungeschütztes WLAN, den Laptop nicht unbeaufsichtigt lassen), wird es bei Anwendungen durch Drittanbieter schon schwieriger. Hier müssen die Mitarbeiter entsprechend geschult sein, getarnte Angriffe eigenständig erkennen zu können. Eine beliebte Masche: Ein Angreifer erstellt eine bösartige Anwendung, lässt sie legitim aussehen und veröffentlicht sie zum Download. Laden User diese herunter, erteilen sie oftmals unbewusst unerlaubte Zugriffsberechtigungen. Besonders vor diesem Hintergrund ist es umso wichtiger, die eigene Belegschaft kontinuierlich und dem jeweiligen Sicherheitslevel angemessen mit entsprechenden Security-Awareness-Trainings zu schulen. Das Hauptaugenmerk liegt dabei bei Kontinuität, denn bereits eine Pause von vier Monaten lässt die Sicherheits-Awareness wieder auf das Nullniveau vor der ersten Schulung fallen.

Externe Vektoren – Welche Angriffswege nutzen Hacker?

Doch selbst, wenn die Mitarbeiter entsprechend trainiert sind, wird die Bedrohung für die unternehmenseigene Cybersecurity nicht geringer. Hacker gehen ebenfalls mit der Zeit und selbst ungeschulte Angreifer können mittlerweile generative KI-Lösungen wie ChatGPT nutzen, um noch leichter als bisher Malware zu erzeugen. KI-Programme werden mit Algorithmen des Maschinellen Lernens gefüttert und können sich so selbst weiterentwickeln. Die erzeugte Malware wird dann meist auf breiter Ebene ausgerollt und kann bei Bedarf noch hochskaliert werden. So werden die Programme zum Angriffsvektor gegen Unternehmen. Diese Dateien werden gerne als Anhang per E-Mail versandt. Der Cyber Security Report 2023 belegt, dass HTML-Anhänge und PDF-Files die meistgenutzten Dateiformate sind, um Ransom- und Malware unter das Volk zu mischen.

Die häufigste Angriffsmethode ist jedoch nach wie vor das (Spear-)Phishing. Im Zuge des Reports wurden insgesamt mehr als 25 Milliarden E-Mails analysiert. Das Ergebnis: Nahezu jede zweite (40,5 Prozent) war maliziös, wobei nur etwa fünf Prozent der potenziell gefährlichen Mails von Mitarbeitern als solche erkannt wurden. Das verdeutlicht noch einmal die Bedeutung einer aufmerksamen wie geschulten Belegschaft. Indem sich die Kriminellen als IT-Admin oder Vorgesetzter ausgeben, erzeugen sie ein falsches Vertrauen beim Endnutzer. Folgt dieser dann den Anweisungen aus der E-Mail, stehen dem Cyber-Angreifer Tür und Tor offen, um sich an den unternehmensinternen Daten zu laben.

Neue und noch unbekanntere – aber ebenso gefährliche – Methoden sind der Angriff über maliziöse QR-Codes (Quishing) oder SMS (Smishing). In beiden Fällen fordern simulierte Nachrichten oder Seiten den Nutzer dazu auf, Zugangsdaten für die Firmen-IT am Handy einzugeben. Diese werden dann abgefangen und stellen für Hacker einen Universalschlüssel in die IT dar. Eine weitere Gefahr dabei liegt in der immer häufiger auftretenden Verschmelzung von Privat- und Firmenhandy. Denn besonders in der Freizeit sind Menschen gegenüber SMS oder QR-Codes unachtsamer. Ist dann zu allem Überfluss auf dem Telefon noch eine M365-Applikation des Arbeitgebers installiert, können die Daten auch abgefangen werden, ohne dass der Nutzer irgendwo firmeneigene Zugangsdaten eingibt.

Handlungsempfehlungen

Die Gefahr ist allgegenwärtig. Umso wichtiger ist es, entsprechende Schritte für die eigene Cybersecurity-Strategie in die Wege zu leiten. Unternehmen sollten sich zeitnah darum bemühen, professionelle Konfigurationen für eine Multi-Faktor-Authentifizierung für alle Mitarbeiter zu implementieren. Darüber hinaus ist es ratsam, entsprechende E-Mail- und M365-Sicherheits-Tools nach neuesten Standards der Advanced Threat Protection einzusetzen, die sowohl QR-Codes als solche erkennen, aber auch Möglichkeiten für ein verantwortungsvolles sowie standortbezogenes Access-Management gewährleisten. Als dritter Schritt ist es zu empfehlen, sich an einen vertrauensvollen 3rd-Party-Anbieter für Security, Backup und andere sicherheitsrelevante Themen zu wenden. Im besten Fall wählt man dafür einen Provider aus, der nicht nur diese drei Schritte abdecken kann, sondern gleichzeitig auch noch eine proaktive Mitarbeitersensibilisierung und -schulung als Security Awareness Service anbietet. Denn nur, wer Cybersecurity ganzheitlich denkt, hat in dem Kampf gegen Hacker eine Chance, allein über sensible Firmendaten zu verfügen.

Über die Autorin: Dr.-Ing. Yvonne Bernard treibt seit 2021 als Chief Technical Officer in den Bereichen Produktmanagement, Softwareentwicklung, Innovation and Research, Security Lab und Cloud Entwicklung die strategische und technische Weiterentwicklung des Cloud Security Pioniers Hornetsecurity voran. Sie studierte an der Leibniz Universität Informatik (B.Sc., M.Sc.) und promovierte anschließend dort im Bereich Sicherheit in offenen verteilten Systemen in der DFG-Forschergruppe OC-Trust. Sie arbeitete parallel über 5 Jahre an der Leibniz Universität Hannover als wissenschaftliche Mitarbeiterin im Gebiet System- und Rechnerarchitektur. Während dieser Zeit veröffentlichte sie über 20 wissenschaftliche Publikationen in den Bereichen Vertrauen, Sicherheit, offene Systeme, Verteilte Systeme, Multiagentensysteme sowie Machine Learning.

Über die ISX IT-Security Conference: Die ISX 2023 findet am 28. Juni in Hamburg, am 4. Juli in Mainz und am 6. Juli in München statt. Für Anwender ist die Teilnahme an der ISX kostenfrei. IT-Dienstleister nehmen mit dem Zugangscode ISX23-SEI zum reduzierten Preis von 75 Euro (inkl. MwSt.) teil.

(ID:49515905)