Innenminister Horst Seehofer (CSU) warnte vor dem Hintergrund des Politiker-Datenleaks vor Sorglosigkeit seitens der Nutzer und forderte ein risikobewusstes Handeln jedes Einzelnen. Denn kein IT-Sicherheitssystem sei zu 100 Prozent sicher. Schaut man sich die vielfältigen Angriffsarten an, setzen gerade Social Engineering-Attacken auf soziale Manipulation – also den Menschen als Schwachstelle.
Neben Angriffen wie Phishing, bergen CEO-Fraud– und Whaling-Attacken genau hier große Gefahren. Ihr Ziel ist es, Mitarbeiter eines Unternehmens zu täuschen, um an vertrauliche Daten wie beispielsweise Passwörter zu gelangen. Die Angreifer üben dazu emotionalen sowie zeitlichen Druck aus, um schneller an ihr Ziel zu gelangen. Laut einer Befragung von „KnowBe4“ gaben 77 Prozent der Befragten als Hauptursache für Angriffe im Jahr 2018 Social Engineering an – eine ernstzunehmende Erkenntnis.
Der Mensch als Schwachstelle im System – ist die Lücke zu schließen?
Ein Klick auf eine vermeintlich seriöse E-Mail, die Verwendung externer Datenträger, der Einsatz von unsicheren Passwörtern – schon kann es um die unternehmensinterne IT geschehen sein. Oftmals ohne Absicht, sondern eher durch Naivität oder Unwissenheit, gefährden Mitarbeiter ihr Unternehmen. Es fehlt die Sensibilisierung für solche Sicherheitsrisiken und das Wissen um ihre Vermeidung. Durch sogenannte „Security-Awareness-Trainings“ werden Mitarbeiter für Themen der IT-Sicherheit sensibilisiert. Ihnen werden verschiedene Angriffsarten zu Gemüte geführt und Ratschläge gegeben, wie sie sich und das Unternehmen davor schützen können.Security-Awareness im Unternehmen nicht zu fördern, wäre jedoch fatal. Olaf Petry, CISO bei Hornetsecurity meint dazu: „Es ist schwierig, Awareness mit Zahlen konkret und aussagekräftig zu messen. IT-Sicherheit wird von den Verantwortlichen meist als zu kostenintensiv und ohne erkennbares Ergebnis wahrgenommen. Wichtig ist jedoch, dass sie Einzug in die Köpfe der Mitarbeiter erhält und im Arbeitsprozess eingebunden, aktiv gefordert und gefördert wird.“
Security & Awareness:
Das Wissen um das richtige IT-Sicherheitsverhalten ist das eine, den Grund dafür zu verstehen ist das andere. Die Ausmaße eines Datenleaks oder Hackerangriffs scheinen vielen nicht bewusst. Und darüber hinaus: Warum sollte es gerade mich treffen? Eine Security-Awareness-Schulung sollte daher nicht nur Was- und Wie-Fragen beantworten können, sondern auch das „Warum“ und „Wieso“ in den Fokus stellen. Mitarbeiter müssen verstehen, welche Auswirkungen ein Hackerangriff haben kann und was er selbst tun kann, um diese zu vermeiden. Dabei ist es wichtig, dass IT-Sicherheit nicht nur firmenbezogen, sondern übergreifend gelebt wird, denn auch die private Sicherheit hat Einfluss auf die Unternehmenssicherheit. Nehmen wir zwei Beispiele, um das zu verdeutlichen:2. Beispiel: BYOD im Unternehmen
In einigen Unternehmen herrscht eine „Bring-your-own-device“-Kultur – kurz: „BYOD“, das heißt, Mitarbeiter können auch mit privaten Endgeräten im Unternehmen arbeiten. Die Kultur bringt so seine Vorteile mit sich, jedoch auch einige Nachteile, wenn es um die firmeninterne IT-Sicherheit geht. Über eine ungepatchte Sicherheitslücke auf dem heimischen Laptop nistet sich eine fiese Malware ein. Der Mitarbeiter bekommt davon nichts mit: sie macht sich nicht bemerkbar und bleibt im Hintergrund. Greift der Mitarbeiter mit seinem Laptop auf unternehmensinterne Systeme zu, nutzt die Malware die Chance aufs große Ganze und verbreitet sich über die IT-Infrastruktur des Unternehmens weiter.
Das Optimum aus Security-Awareness-Schulungen rausholen
Für die Konzeption eines Trainings empfiehlt Hornetsecurity IT-Sicherheitsexperte Olaf Petry folgendes: „Security-Awareness-Trainings sollten sich immer nach der Zielgruppe richten – stehe ich vor Mitarbeitern eines IT-Unternehmens oder einer Bank? Das technische Know-How ist bei der Themenauswahl sehr wichtig, um die Teilnehmer weder zu überfordern noch zu unterfordern. Jedoch sollten gängige Themen wie Passwortsicherheit immer Bestandteil einer Schulung sein.“Generell sollte eine Schulung ausgewählte Awareness-Aspekte zum Thema haben. So könnte es ein Ziel sein, dass Mitarbeiter nach der Schulung eine der folgenden Fragen sofort beantworten können:
- Wie sieht die aktuelle Bedrohungslage aus?
- Welche Risiken ergeben sich für das Unternehmen und den Mitarbeiter?
- Welche Schutzmaßnahmen muss ich im Fall einer Nutzung eines externen Datenträgers ergreifen?
- Welche Gefahren ergeben sich durch soziale Netzwerke?
- Wie gehe ich sicher mit meinen E-Mails und Passwörtern um?
- Was ist Phishing und wie läuft eine entsprechende Attacke ab?
- Wie verhalte ich mich bei Malware-Befall?
Aktueller Einsatz von Security-Awareness-Schulungen
Rund die Hälfte der deutschen Unternehmen setzen laut BSI Lagebericht 2018 bereits auf Security-Awareness-Schulungen und nehmen Trainingsangebote von einem mittlerweile breiten Anbietermarkt wahr. Für 29 % der Unternehmen kommen derzeit und auch in Zukunft keine Security-Awareness-Trainings zum Einsatz. 19 % der befragten Unternehmen planen jedoch ein entsprechendes Schulungsangebot für ihre Mitarbeiter.Einsatz von Security Awareness-Schulungen in Unternehmen
%
Ja
%
Nein
%
In Planung
Weiterführende Informationen:
-
- Schutz vor hochkomplexen Cyber-Bedrohungen
- Blogbeitrag: Cybercrime Trends 2019 – Worauf wir uns gefasst machen können
- Weitere Informationen zum Thema Cybersicherheit finden Sie ab sofort in der Hornetsecurity Wissensdatenbank.