Cyber Security

Eine Firewall ist kein Cyberschutz

Cyber Risiken für Unternehmen

Bei Cyber-Risiken gibt es nur zwei Arten von Unternehmen: solche, die schon gehackt wurden, und solche, die es noch nicht bemerkt haben. In Europa liegen bei 68% der Unternehmen keine Schätzungen zu den finanziellen Folgen eines Cyber-Angriffs vor und lediglich 25% verfügen über einen Krisenplan.

Cyber-Risiken entstehen durch die zunehmende Digitalisierung und Vernetzung von Wirtschaft und Gesellschaft. Heute kann die Infrastruktur jedes Unternehmens angegriffen werden. Datendiebstahl und das Sabotieren von Systemen durch Hacker, Cyber-Kriminelle oder durch (ehemalige) Mitarbeiter können jeden treffen und geschehen täglich. Die Folgen, die Cyber-Schäden in allen Bereichen des Unternehmens nach sich ziehen, sind oft weitreichend und schlecht überschaubar: Reputations- und Vertrauensverluste, Vermögensschäden durch verloren gegangene oder beschädigte Daten, Schadenersatz oder Strafzahlungen, Umsatzverluste durch Betriebsunterbrechung.

Analysiert man die verschiedenen Arten von Cyber-Angriffen, so lassen sich hauptsächlich drei Angriffsarten unterscheiden: Datendiebstahl, System-Manipulation und Spionage vor allem durch Social Engineering Techniken. Angriffe führen häufig zu einer Lähmung des Unternehmens mit hohen wirtschaftlichen Folgekosten. Cyber-Risiken gehören deshalb in den Fokus des betrieblichen Risikomanagements. Sind Ihre Informationen sicher? Haben Sie potenzielle Cyber-Risiken identifiziert? Sind Ihnen die möglichen Folgen eines Cyber-Angriffs für Ihr Unternehmen bekannt? Arbeiten Sie mit Zulieferern und Dienstleistern zusammen und kennen mögliche Schwachstellen?

Die am meisten verbreiteten Angriffsarten sind:

Phishing

Social Engineering

 

Phishing

Phishing leitet sich von dem englischen Wort „fishing“ für angeln ab. Es verfolgt das Ziel, sich Zugangsdaten von Internetusern illegal zu „angeln“ und diese für kriminelle Handlungen zum Schaden des Users zu verwenden. Oft stehen die Zugangsdaten zum Onlinebanking im Fokus von Phishing-Attacken. Aber auch Kennungen und Passwörter von Mailaccounts, Onlineshops oder sozialen Netzwerken sind häufig Ziel des Phishings.ackerangriffe auf Unternehmen verwendet.

Phishing beschreibt den Versuch des Diebstahls von Kennungen und Passwörtern per Internet durch den Versand von gefälschten E-Mails oder SMS. Internet-Anwender werden von Cyberkriminellen mittels täuschend echt nachgemachter E-Mails auf gefälschte Internetseiten von Banken, Onlineshops oder anderen Onlinediensten gelockt um dort deren Benutzerkennungen und Passwörter zu ergattern. Die ergaunerten Daten werden beispielsweise für Kontoplünderungen oder Hackerangriffe auf Unternehmen verwendet.

Die häufigste für das Phishing verwendete Methode beruht auf dem massenhaften Versenden von E-Mails mit gefälschtem Inhalt. Die E-Mails sind so gestaltet, dass sie den originalen E-Mails von Banken, Onlineshops oder anderen Internetplattformen in puncto Design, Absenderadresse und Kundenansprache möglichst nahe kommen.

Der Empfänger wird in der E-Mail dazu aufgefordert, einen in der Mail enthaltenen Link anzuklicken und dort seine Zugangsdaten einzugeben. Der Link führt zu einer gefälschten Login-Seite des Angreifers. Diese Seite ist der Originalseite der Internetplattform täuschend echt nachempfunden. Hält der Empfänger die E-Mail für echt und gibt seine Daten auf der gefälschten Internetseite ein, ist der Phisher im Besitz seiner Zugangsdaten und kann diese beliebig für seine Zwecke einsetzen. Da die gefälschten E-Mails in großen Mengen versandt werden, tappen trotz der Bekanntheit dieser Art von Attacken und vorhandener Schutzmaßnahmen immer wieder einzelne User in die Falle der Angreifer.

Eine besondere Form des Phishing ist das Spear-Phishing. Dabei handelt es sich in der Analogie des Fischens um den gezielten Versuch mittels einer Harpune einen einzelnen Fisch zu erlegen, statt mit dem Netz Dutzende oder Hunderte Fische zu erbeuten. Beim Spear-Phishing erfolgt eine gezielte Phishing-Attacke auf eine eng abgegrenzte Benutzergruppe, über die der Angreifer vorher Informationen einholt. Ziel einer Spear-Phishing-Attacke können beispielsweise die Mitarbeiter der Personalabteilung eines Unternehmens sein, denen eine E-Mail mit einer gefälschten Bewerbung auf eine aktuelle Stellenausschreibung des Unternehmens zugeht.

 

Security-Awareness-Tipps

Um sich vor Phishing zu schützen, ist neben verschiedenen technischen Schutzmaßnahmen eine gesunde Vorsicht im Umgang mit E-Mails und der Eingabe von Zugangsdaten im Netz erforderlich.

Grundsätzlich ist davon abzuraten, in E-Mails enthaltene Links anzuklicken und auf den aufgerufenen Seiten persönliche Daten einzugeben. Login-Seiten sollten immer direkt über die Adresszeile des Browsers geöffnet werden. Die Identität der geöffneten Seite ist zusätzlich in der Adresszeile zu prüfen.

Oft ist es möglich, Phishing-Mails direkt an deren Inhalt zu erkennen. Meist fehlt eine persönliche Ansprache mit Namen oder anderen Kundendaten. Schlecht gemachte Phishing-Mails fallen zudem durch Mängel in der Rechtschreibung und die Dringlichkeit der Ansprache auf. Sind Sie sich bei einer erhaltenen Mail nicht sicher, ob es sich um eine Phishing-Mail handelt, können Sie nach enthaltenen Textpassagen im Internet suchen. Oft zeigen die Suchtreffer direkt, dass der Inhalt aus einer bekannten Phishing-Mail stammt.

Das Risiko von Phishing-Attacken lässt sich durch technische Maßnahmen zusätzlich minimieren. Viele Virenprogramme aber auch E-Mailprogramme sind in der Lage, Phishing-Mails aufgrund bestimmter Merkmale zu erkennen und vor diesen zu warnen. Zudem lässt sich die HTML-Darstellung von E-Mails in den Mailprogrammen ausschalten oder so wählen, dass nur Inhalte von vertrauten Quellen angezeigt werden. Zusätzlich zu den Mailprogrammen erkennen moderne Browser viele Phishing-Webseiten und warnen direkt bei deren Aufruf.

Allerdings helfen alle technischen Maßnahmen nicht, wenn die Mitarbeiter nicht geschult sind und es an der notwendigen Sensibilisierung mangelt.

Social Engineering

 

Social-Engineering gilt heute als eine der größten Sicherheitsbedrohungen für Unternehmen. Im Gegensatz zu traditionellen Hacking-Angriffen können Social Engineering-Angriffe auch nicht-technischer Natur sein und müssen nicht zwingend eine Kompromittierung oder das Ausnutzen von Software- oder System-Schwachstellen beinhalten. Im Erfolgsfall ermöglichen viele Social-Engineering-Angriffe einen legitimen, autorisierten Zugriff auf vertrauliche Informationen.

Die Social Engineering-Strategie von Cyberkriminellen fußt auf starker zwischenmenschlicher Interaktion und besteht meist darin, das Opfer dazu zu verleiten, Standard-Sicherheitspraktiken zu missachten. Und so hängt der Erfolg von Social-Engineering von der Fähigkeit des Angreifers ab, sein Opfer so weit zu manipulieren, dass es bestimmte Aktionen ausführt oder vertrauliche Informationen preisgibt. Da Social-Engineering-Angriffe immer zahlreicher und raffinierter werden, sollten Organisationen jeder Größe eine intensive Schulung ihrer Mitarbeiter als erste Verteidigungslinie für die Unternehmenssicherheit betrachten.

Social Engineering-Angreifer sind letztlich eine moderne Spielart der klassischen Trickbetrüger. Häufig verlassen sich diese Kriminellen auf die natürliche Hilfsbereitschaft von Menschen: Zum Beispiel rufen sie bei ihrem Opfer an und geben ein dringendes Problem vor, das einen sofortigen Netzwerkzugang erfordert.

Social Engineering-Angreifer nutzen gezielt bestimmte menschliche Schwächen wie Unsicherheit, Eitelkeit oder Gier aus und verwenden Informationen, die sie aus Lauschangriffen oder dem Ausspionieren sozialer Medien gewonnen haben. Dadurch versuchen sie, das Vertrauen autorisierter Benutzer zu gewinnen, damit ihre Opfer sensible Daten preisgeben, mit Malware infizierte E-Mail-Anhänge öffnen, oder sie deren Zugangsdaten für Computernetzwerke oder Datenspeicher stehlen können. Auch durch den Aufbau eines Schreckensszenarios wie einem angeblichen Sicherheitsvorfall können sie ihre Zielperson dazu bewegen, beispielsweise als Antiviren-Software getarnte Malware zu installieren und auszuführen.

Technologielösungen wie E-Mail-Filter, Firewalls und Netzwerk- oder Daten-Überwachungs-Tools helfen zwar, Social Engineering-Attacken abzuschwächen, doch eine gut geschulte Belegschaft, die in der Lage ist, Social Engineering zu erkennen, ist letztlich die beste Verteidigung gegen diese Art Angriffe. Unternehmen sollten ihre Mitarbeiter deshalb umfassend über die gängigen Arten von Social-Engineering aufklären und entsprechend trainieren. Mitarbeiterschulungen sind deshalb die erste und wichtigste Maßnahme, um zu verhindern, dass Unternehmen Opfer von Angreifern werden, die immer ausgefeiltere Methoden einsetzen, um Zugang zu sensiblen Daten zu erhalten. Durch Sensibilisierung der Mitarbeiter in Kombination mit entsprechenden Security- und Datensicherheitstechnologien kann dieses Risiko erheblich minimiert werden.

 

 

 

 

 

 

Ähnliche Beiträge
Cyber Security

Oft im Faden­kreuz, zu sel­ten vor­be­rei­tet

Cyber­ri­si­ken im pro­du­zie­ren­den Gewerbe Oft im Faden­kreuz, zu sel­ten…
Mehr lesen
Cyber Security

"Hacker könnten den Sensor einer Skijacke nutzen, um ins Unternehmen einzudringen"

„Hacker könnten den Sensor einer Skijacke nutzen, um ins Unternehmen…
Mehr lesen
Newsletter
Bleiben Sie informiert
Abonnieren Sie unseren Newsletter und erhalten nur die Infos, die für Sie wichtig sind! [mc4wp_form id="729"]

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind mit * markiert.