- Anzeigen -

Im Visier der Angreifer


SMB versus Großunternehmen? Ist das noch die Frage, wenn praktisch jedes Unternehmen potenziell Opfer einer Datenschutzverletzung werden kann?
Thesen, warum Mitarbeiter jedes Unternehmens im Fokus von Hackern sind, welche Fehler und Risiken es Cyberkriminellen einfacher machen und welche Regeln man beherzigen sollte

Anzeige

Von Fred Touchette, Security Analyst bei AppRiver, Spezialist für E-Mail- und Web-Sicherheit

(17.09.15) - Ist das noch die Frage, wenn praktisch jedes Unternehmen potenziell Opfer einer Datenschutzverletzung werden kann? Selbst großen Handelsketten mit bekanntermaßen hohem Sicherheitslevel wie Target oder Home Depot in den USA ist es so ergangen. Der Hauptunterschied liegt darin, dass Konzerne typischerweise ein deutlich höheres Budget und mehr Ressourcen für IT-Sicherheit einsetzen können. Mittelständischen und kleinen Unternehmen fehlt es nicht selten an allem: an entsprechendem Personal in einer IT-Abteilung, an Budget oder auch am Spezial-Know-how um Technologien und IT-Sicherheitsmaßnahmen abzugleichen und umzusetzen.

Technologie hat Grenzen – Der Faktor Mensch
Zu einer vollständigen IT-Sicherheitsstrategie gehört es zwingend dazu, den Faktor Mensch einzuziehen. Geschulte Mitarbeiter, die entsprechend wachsam sind, werden automatisch zu einem Teil des IT-Sicherheitsteams. Sonst bleibt der Mensch selbst die größte Schwachstelle im System. Eine Schwachstelle, die keine noch so wirksame Strategie beheben kann.

Im Fokus der Hacker: (Ihre) Mitarbeiter

Fünf Thesen, warum das so ist
>>
Der großflächige Einsatz von IT-Sicherheitstechnologien wie Intrusion Detection, die Überwachung des Netzwerks und Firewalls haben es Angreifern erheblich schwerer gemacht auf den klassischen Wegen in ein Netzwerk einzudringen.
>> Mitarbeiter denken nicht die ganze Zeit und bei allem, was sie tun an IT-Sicherheit. Sie sind schließlich keine Experten auf dem Gebiet.
>> Aus dieser Perspektive betrachtet haben Mitarbeiter eine ganze Reihe schlechter Angewohnheiten: Sie öffnen verdächtige E-Mails, sie tauschen Meme und Karten auf elektronischen Wegen aus, sie verwenden unsichere Passwörter oder sie "vergessen" sich abzumelden.
>> Mitarbeiter (wie Menschen allgemein) möchten kooperieren und einem Anrufer beispielsweise weiterhelfen.
>> Social Engineering kostet selten mehr als einen Anruf.

7 typische Risiken und Fehler
>> Risiko E-Mail -
Scammer können sich darauf verlassen, dass Mitarbeiter auf überzeugende oder neugierig machende Anhänge klicken. Das passiert immer wieder, unabhängig davon wie verdächtig das Ganze auch aussehen mag.

>> Risiko Passwörter - Zur gängigen, schlechten Praxis in Sachen Passwörter gehört es, kurze oder/und leicht zu erratende Passwörter auszuwählen, Passwörter an wenig geeigneten Stellen zu notieren und aufzubewahren oder ein Mal gewählte Passwörter nicht häufig genug zu ändern, Nutzer verwenden identische Passwörter für unterschiedliche Konten, melden sich nicht ordnungsgemäß ab oder verzichten darauf ihren Rechner zu sperren, wenn sie den Arbeitsplatz verlassen.

>> Risiko Der Wunsch höflich zu sein – Höfliche und dienstleistungsorientierte Mitarbeiter, die dazu tendieren jeden Kundenwunsch zu erfüllen, sind in aller Regel auch eine leichte Beute, um vertrauliche Daten und Informationen abzuziehen.

>> Risiko Mobiles Arbeiten von unterwegs – Der allzeit bereite mobile Mitarbeiter vernachlässigt nicht selten, sein IT-Equipment ausreichend zu schützen und gestattet unter Umständen unbefugten Zugriff, beispielsweise auf vertrauliche Unternehmensdaten oder Informationen zur Identifikation.

>> Risiko Physische Sicherheit – Computer-Arbeitsplätze werden nicht gesperrt, Schreibtischschubladen bleiben unverschlossen oder ganze Büros und Gebäude sind nicht ausreichend gesichert.

>> Risiko Surfen im Web – Mit jeder Sekunde, die ein Mitarbeiter online verbringt, und mit jeder Website, die er besucht, steigt die Wahrscheinlichkeit für irgendeine Art von Datenschutzverletzung, Bedrohung oder Hackerangriff.

>> Risiko Ignoranz – Und gar nicht so selten werden Sicherheitsvorkehrungen und entsprechende Tools ignoriert, umgangen oder abgeschaltet. Aus den verschiedensten Gründen.

5 Anzeichen, dass es schon passiert ist...
>> Ungewöhnlich langsame Internetverbindungen
>> Unüblich langsam arbeitende Computer - nicht selten ein Anzeichen, dass sich eine Malware oder ein Virus auf dem entsprechenden Rechner eingenistet hat.
>> Gesperrte Konten deuten unter Umständen auf eine Brute-Force-Attacke hin oder ein Konto ist bereits gehackt, und der Angreifer hat das Passwort geändert.
>> Jede Art von Anomalien im lokalen Netzwerk – wenn keine Wartung durchgeführt oder Veränderungen angekündigt worden sind, können diese Anzeichen auf ein Hardware-Problem oder eine potenzielle Datenschutzverletzung hinweisen.
>> Pop-Ups oder Webseiten laden nicht – ein Zeichen für einen Virus oder eine Malware auf dem betreffenden Rechner.

7 Sicherheitstipps
Unglücklicherweise gibt es kein Wundermittel, das hundertprozentige Sicherheit vor einem Angriff garantiert. Es ist also sinnvoll verschiedene Methoden und Technologien miteinander zu kombinieren, um wenigstens einen möglichst hohen Sicherheitslevel zu erreichen.

>> Setzen Sie auf Schulungen und halten Sie Ihre Mitarbeiter dazu an, selbst wachsam zu sein. Formulieren Sie entsprechende Richtlinien wie mit Kundendaten und sensiblen Informationen umzugehen ist und wie man sie schützen kann.
>> Versuchen Sie das Netzwerk und die einzelnen Rechner so clean wie möglich zu halten. Ein Sicherheitsansatz mit unterschiedlichen Layern macht das leichter.
>> Setzen Sie in jedem Fall entsprechende Firewall-Lösungen ein.
>> Führen Sie regelmäßige Datensicherungen durch.
>> Erziehen Sie Ihre Mitarbeiter dazu sichere Passwörter zu verwenden, für jedes Konto ein anderes. Und stellen Sie sicher, dass diese Passwörter häufig gewechselt werden.
>> Mitarbeiter sollten grundsätzlich nur auf die Daten und Systeme zugreifen können, die sie für ihre Tätigkeit wirklich brauchen.
>> Und Mitarbeiter sollten nicht ohne Erlaubnis Software auf ihrem Computer installieren dürfen.
(AppRiver: ra)

AppRiver: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

 
Kostenloser IT SecCity-Newsletter
Ihr IT SecCity-Newsletter hier >>>>>>

- Anzeigen -


Meldungen: Tipps & Hinweise

Tipps für ein energieeffizientes IT-Klimakonzept Die richtige Klimatisierung ist ein wichtiger Baustein bei der Realisierung einer ausfallsicheren IT-Umgebung. Denn ohne Kühlung überhitzen die Systeme in Sekundenschnelle. Dies ist vergleichbar mit dem Motor eines Autos: Fällt die Wasserpumpe aus, wird der Kühlkreislauf unterbrochen und der Motor zerstört. Ähnlich verhält es sich bei der Unternehmens-IT: Nur durch permanente Kühlung lassen sich Server, Speichersysteme und Netzwerkkomponenten dauerhaft betreiben.

Vielleicht kann ein Entschlüsselungs-Tool helfen Scareware, Locker, Crypto-Trojaner - diese drei Ransomware-Typen bedrohen derzeit weltweit private und unternehmensinterne Daten. Das Ziel: finanziellen Vorteil durch Erpressung erlangen. Insgesamt wurde in den letzten Monaten weltweit mehr als 325 Mio. Dollar Erpressergeld bezahlt. Wie sich Unternehmen schützen können, verrät IT-Security-Expertin Forcepoint in vier Schritten.

Vorsicht bei öffentlichen WLAN-Netzen Meistens verfügen diese öffentlichen WLANs über keine Verschlüsselung. Übertragene Informationen können von Datendieben leicht ausspioniert werden. Das ist besonders gefährlich, wenn es um Login-Daten für Webdienste (z.B. E-Mail-Account), Kreditkartendaten und sicherheitskritische Anwendungen wie Online-Banking geht. Schützen können sich Urlauber, indem sie auf ihrem Smartphone oder Tablet eine VPN-App installieren. Damit lässt sich eine sichere Verbindung ins Internet herstellen und übertragene Daten werden verschlüsselt. Datendiebe habe keine Chance.

Prozesse der Datensicherheit Anpassungsfähig sollte sie sein, gleichzeitig sicher und vielseitig - die Payment-Lösung für den Online-Shop. Doch nach welchen Kriterien sollten Shopbetreiber auswählen, welches Zahlungssystem am besten zu ihrem Business-Modell passt? Die secupay AG gibt Unternehmen dazu unter einen Ratgeber als Leitfaden an die Hand.

Chrome wird keine SHA-1-Zertifikate akzeptieren Wenn aktuelle Standards unsicher werden, ist es an der Zeit, sie durch Nachfolger abzulösen. So auch der veraltete Hash-Algorithmus SHA-1 bei SSL-Zertifikaten. Seit langem gilt der bereits als unsicher und wird derzeit durch den Nachfolger SHA-2 ersetzt. Spätestens, wenn der Online-Shop nicht mehr oder nur noch für einen Teil der Kunden erreichbar ist, sollten Webseiten-Betreiber schnellstmöglich auf SHA-2 signierte SSL-Zertifikate umsteigen. Dann nämlich kann es sein, dass der Shop beziehungsweise die Webseite von Webbrowsern bereits blockiert wird. "Tatsächlich stufen einige Browser Webseiten mit SHA-1 signiertem SSL-Zertifikat bereits als unsicher ein. Für Online-Shops ist das fatal, denn es geht ja zulasten des Umsatzes", bringt es Christian Heutger, Geschäftsführer der PSW Group, auf den Punkt.

Autor / Quelle (abcd) der Beiträge siehe Angabe in Klammern vor Doppelpukt: (abcd:)