Versteckte Feinde und falsche Erwartungen Woran Security Awareness im Unternehmen scheitert

Anbieter zum Thema

Arvato Systems

Rapid7 Germany

Keeper Security EMEA Ltd.

Security Awareness ist ein Schlüsselfaktor für den Erfolg der IT-Sicherheit im Unternehmen. Nur wenn die Mitarbeiter alle Spielregeln befolgen und sicherheitsbewusst handeln, greift die Security-Strategie. Nur wie bekommt man die Angestellten dazu, IT-Sicherheit aktiv zu leben?

Awareness-Maßnahmen zielen darauf ab, bei Mitarbeitern das Bewusstsein für die Aufgaben der IT Sicherheit zu erhöhen und diese aktiv in die Security-Architektur einzubinden. Denn der Mensch hat den Verstand, gegebenenfalls Bedrohungen zu erkennen und zu eliminieren, bei denen die maschinelle Security-Prüfung keinen Befund ergab.

Ein Problem dabei ist, dass man keinen sichtbaren Gegner hat, gegen den man die Kräfte mobilisieren kann. Es gibt nur Feinde, die sich der individuellen Wahrnehmung auf vielfältige Art entziehen und somit quasi „unsichtbar“ für den Anwender sind.

Der Hacker

Wie sieht ein Hacker aus? Ist es der Jugendliche, der sich von Fast-Food ernährt und aus Frustration die Datennetze von Großunternehmen attackiert. Oder ist es der mondäne Geschäftsmann im eleganten Anzug, der sich mit seinen illegalen Aktivitäten ein Luxusleben finanziert. Vielleicht ist es auch ein moderner Cyber-Robin Hood, der in staatlichen Systemen nach Beweisen für Verschwörungstheorien sucht?

Schwierig, denn der Hacker hat kein Gesicht! Die Hackergruppe Lulzsec wird durch ein gezeichnetes Männchen in der Öffentlichkeit symbolisiert. Wer sich aber dahinter verbirgt bleibt im Dunkeln.

Erst jüngst gelang es den Behörden, Täter aus dem Umfeld zu identifizieren und festzunehmen. Aber lediglich Hector Xavier Monsegur alias „Sabu“ erhielt ein Konterfei im Licht der Presse.

Portraits der anderen Täter findet man nur mit etwas Aufwand – wen wundert es da, dass man die Bedrohung durch Hacker und Cyberkriminelle schlecht an den Mitarbeiter „verkaufen“ kann! Die Täter sind gut versteckt und agieren aus der Cyberwelt – unbekannt und geschützt durch Anonymität.

Das Virus

Computerviren sind, bedingt durch ihre Anfänge in den 80er Jahren (Pakistani Brain 1986) für viele Anwender fester Bestandteil des EDV-Lebens. Etliche IT-Nutzer der ersten Stunde haben auch schon selbst ein Virus bzw. dessen Auswirkungen gesehen: Beispielsweise beim Blick auf einen infizierten Bootsektor. Wer da noch die legendäre Nachricht „Your PC is now Stoned!“ fand, wusste Bescheid.

Computerviren im Jahr 2012 sind anders – sie haben nicht mehr den Charme der Vergangenheit, wie Ambulance Car, bei dem ein Krankenwagen über den Monitor flitzt. Sie sind knallharte Cyber-Angriffswaffen. Malware heutiger Herstellung verbirgt sich fast perfekt vor dem User.

Erst wenn der Virenscanner etwas blockiert und mit einem Pop-Up-Fenster darauf aufmerksam macht, wird man daran erinnert, dass es noch Malware gibt. Nur giert diese heute nicht mehr nach Aufmerksamkeit, sondern nach Daten die sich zu Geld machen lassen. Sicherlich liest man hier und da über Bot-Netzwerke, Cyberkriminalität und Umsätze in diesem Metier, die sogar den Drogenhandel inzwischen in den Schatten stellen.

Doch wie real ist diese Bedrohung? Geschieht das nicht nur in den USA oder Asien – ist nicht Deutschland die heile IT Welt? Leider nein, denn Deutschland liegt als Industrienation ebenso im Focus der Cyberkriminellen wie jedes andere hochtechnisierte Land auch. Der Anwender unterschätzt die Bedrohung durch Malware – denn das Pop-Up des Virenscanners suggeriert „Alles okay“ und die Malware selbst agiert im Hintergrund.

Die Technik

Der moderne Mensch neigt dazu, ein unerschütterliches Vertrauen in die Technik zu setzen. Auch in der IT ist dies nicht anders und man vertraut auf die genutzte Security-Technik. Dies führt dazu, dass sich Einzelperson/Anwender nicht um Security kümmern, denn dies ist die Aufgabe der „unfehlbaren“ Tools, die genutzt werden.

Dieses Verhalten ist durchaus nachvollziehbar, denn die technischen Angriffsvektoren sind für den Anwender nicht verständlich und auch nicht nachvollziehbar. Dies ist das Feld einer Handvoll Experten, die entweder als Angreifer tätig sind, oder als Analysten und Programmierer bei einem Security-Unternehmen arbeiten.

Der Mensch akzeptiert die Technik und verwendet sie, ohne sie im Detail zu begreifen. Gerade in der IT ist aber die eingesetzte Technik derart komplex, dass sich mitunter Security-Lücken ergeben, an die niemand vorab gedacht hat. In solchen Fällen kann die Technik nur versagen und es obliegt dem Anwender hier zu handeln.

Einen Angriff via APT (Advanced Persisted Thread) kann es gelingen, die technischen Hürden zu überwinden. Dies belegt beispielsweise auch der erfolgreiche RSA-Hack im März 2011. Ein Mitarbeiter hätte die Phishing-E-Mail mit dem Betreff “I forward this file to you for review. Please open and view it.” durchaus erkennen können. Möglicherweise ging das spätere Opfer aber davon aus, dass es der Technik gelingt, alle Arten von Angriffen zu stoppen.

Wahrnehmung der Mitarbeiter korrigieren

Die Sicht der Anwender auf IT Security ist, vereinfacht gesagt, geprägt durch folgende Aussagen:

• Die Security-Technik ist allmächtig und kann gegen jede Attacke bestehen.

• Ich bin kein potentielles Opfer und verfüge über keine wichtigen Daten.

• Die Täter sind nur pubertierende Jugendliche - Script-Kiddies eben.

• Die Risikoaussagen sind allesamt übertreiben, um den Security-Produktverkauf anzuregen.

Solange dieses Credo besteht, ist „Security Awareness“ zum Scheitern verurteilt. Denn bei einer solchen Ausgangsbasis gibt es keine Veranlassung, sich mit IT-Sicherheit zu beschäftigen! Berichte in den öffentlichen Medien, auch in der (Fach-)Presse, sind mitunter zu abstrakt, um das reale Bedrohungspotential der breiten Anwenderschar nachhaltig zu vermitteln

Leider greifen manche Berichte auch nur punktuell Themen heraus, die sich gut darstellen lassen. Die hübsche junge Frau, deren persönliche Daten über eine unseriöse Partneragentur eine ungeahnte Nutzung erfahren haben ist viel plakativer, als die missbräuchliche Verwendung von Kontodaten zum Diebstahl von Kleinbeträgen via eBanking.

Bevor man sich mit Security Awareness beschäftigt um die Mitarbeiter besser ins Security-Boot zu bekommen, muss zunächst die Ausgangssituation in der Wahrnehmung der Mitarbeiter geändert werden. Denn nur, wenn allen Beteiligten die korrekte Ist-Situation bekannt ist, kann man darauf aufbauend Security Awareness betreiben.

(ID:35155410)