European Cybersecurity Month Wichtige Trends für interne Security-Awareness-Schulungen

Anbieter zum Thema

Arvato Systems

SoSafe GmbH

Keeper Security EMEA Ltd.

Fink & Fuchs AG

Cisco Systems GmbH Attn: Accounts Payable Business Campus München

Viele Unternehmen möchten mit Phishing-Simulationen und Awareness-Schulungen langfristige Verhaltensänderungen ihrer Mitarbeitenden bewirken. Dabei sollten sie unter anderem individuelle Inhalte und realitätsnahe Angriffsszenarien nutzen.

42 Prozent der CISOs in Unternehmen leiden an Cybersicherheitsmüdigkeit und resignieren bei der proaktiven Verteidigung gegen Angreifer, so der CISO Benchmark Report 2020 von Cisco. Denn Hacker greifen jeden PC mit Internetzugang alle 39 Sekunden an. Das sind im Durchschnitt 2.244 Attacken pro Tag, laut einer Studie der Clark School. Unsichere Benutzernamen und Passwörter erhöhen dabei die Erfolgschancen der Hacker. Denn sie verwenden häufig Brute-Force-Methoden, um nach dem Zufallsprinzip eine große Anzahl von Computern anzugreifen.

Die Studien-Autoren richteten auf vier Linux-Computern mit Internetzugang schwache Sicherheitsvorkehrungen ein und zeichneten auf, wie die Rechner angegriffen wurden. Demnach nutzten die meisten Angriffe relativ einfache Methoden. Am häufigsten wurde „root“ als Benutzername ausprobiert – 12 Mal so oft wie der zweitplatzierte „admin“. Es folgten „test“, „guest“, „info“, „adm“, „mysql“, „user“ und „administrator“. Demnach gehen wohl viele Hacker davon aus, dass voreingestellte Standard-Passwörter nie geändert werden.

Beim Passwort wiederholen die meisten Angriffsversuche einfach den Benutzernamen. Das war in 43 Prozent der Fälle zu beobachten. Am zweithäufigsten wurde als Passwort der Benutzername gefolgt von „123“ ausprobiert. Weitere oft versuchte Eingaben waren „123456“, „password“, „1234“, „12345“, „passwd“, „123“, „test“ und „1“. Diese Ergebnisse unterstreichen einmal mehr die Bedeutung von komplexen Passwörtern.

Die wichtigsten Schutzmaßnahmen

Um die häufigsten Angriffe abzuwehren, müssen die Administratoren in Unternehmen konsequent alle Systeme auf solche voreingestellten und häufig genutzten Kombinationen aus Kennwort und Passwort untersuchen. Anschließend sind längere, komplexe Zugangskennungen aus Groß- und Kleinbuchstaben sowie Sonderzeichen und Zahlen zu wählen, die nicht für Brute-Force-Angriffe anfällig sind. Falls Nutzer selbst ihr Passwort ändern, kann entsprechende Software die Wahl einfacher Passwörter verhindern.

Auf die Einsicht der Anwender sollten Sicherheitsteams nicht allzu stark setzen. Denn nach einer aktuellen Studie des BSI war jeder vierte Deutsche bereits Opfer von Cyber-Kriminalität, etwa vier Prozent der Befragten sogar mehrfach. Doch ausgerechnet diejenigen, die häufiger Opfer von Online-Kriminalität waren, schützen sich am schlechtesten. Sie setzen weniger oft ein Antiviren-Programm ein und nutzen seltener eine Zwei-Faktor-Authentifizierung.

Die Security Awareness erhöhen

So sollten Unternehmen die technischen Vorgaben mit geeigneten Security Awareness Trainings ergänzen. Dabei gibt es aus Ciscos internationaler Erfahrung fünf wichtige Trends, die eine langfristige Verhaltensänderung bewirken:

• Hochqualitativer Inhalt: Sicherheitstraining darf nicht auf einem „Standardansatz“ basieren. Inhalte, die in Format und Länge variieren sowie der firmenspezifischen Umgebung entsprechen, fördern bessere Teilnahme- und Nutzungsraten.

• Intuitiver Phishing-Simulator: Szenarien auf Basis echter Cyber- und Phishing-Bedrohungen sollten in das Training integriert sein, um das Nutzerverhalten realitätsnah einschätzen zu können.

• Mehrsprachige Inhalte und Plattform: Für globale Security-Awareness-Programme ist eine entsprechende Sprachunterstützung (mündlich und schriftlich) nötig.

• Kommunikations- und Unterstützungsmaterial: Große Bibliotheken mit vorgefertigten Inhalten und Vorlagen für interne Kampagnenwerbung und Inhaltsverstärkung umfassen auch Videos, Plakate und Newsletter.

• Beratung: Ein Rundum-Angebot enthält unter anderem CISO-Coaching, Managed Services und die individuelle Anpassung von Inhalten.

Zahlreiche Vorteile

Unternehmen können eine Partnerschaft mit einem Experten für Security Awareness eingehen, der umfassende Fachkenntnisse bietet, um eine optimale Strategie zu entwickeln. Er analysiert den Bedarf des Unternehmens und entwickelt in enger Zusammenarbeit die strategischen Ziele. Der Partner unterstützt die Planung des Sensibilisierungsprogramms einschließlich Phishing-Simulation, Awareness-Training, Kommunikation und Intensivierung. Zudem optimiert er die Programmleistung durch das Festlegen und Messen von strategischen Metriken und KPIs.

So lassen sich qualitativ hochwertige Inhalte für Trainings entwickeln, die Spaß machen und langfristige Verhaltensweisen bewirken. Ein bewährter pädagogischer Ansatz und eine Methodik für die Erwachsenenbildung gewährleisten ein hohes Engagement der Nutzer. Diese lernen grundlegende Maßnahmen für die Cybersicherheit auf eine Weise kennen, die gleichzeitig ihre Affinität zum Unternehmen erhöht. Damit kann sich das Security-Team wieder auf die Abwehr externer Bedrohungen konzentrieren statt auf Schadensbegrenzung durch Leichtsinn oder Unwissen der Mitarbeitenden. Schließlich erkennt keine Sicherheitstechnologie alle eingehenden Bedrohungen vollständig. So spielt die Erhöhung der Security Awareness eine entscheidende Rolle für den allgemeinen Sicherheits- und Risikostatus einer Organisation.

Über den Autor: Michael von der Horst ist Managing Director Cyber Security bei Cisco.

(ID:46922498)