Illustration: piqsels.com
Von Marco Wyrsch
Die Cyberkriminalität ist eine riesige Herausforderung für Unternehmer und Privatpersonen rund um den Globus. Einen hundertprozentigen Schutz gibt es nicht. Mit den richtigen Massnahmen lässt sich das Risiko, selbst Opfer einer Cyberattacke zu werden, aber stark minimieren.
Täglich ist in der Presse von neuen Cyberangriffen zu lesen. Auch die Schweiz bildet hier keine Ausnahme. Jüngst waren es die Schweizerischen Bundesbahnen, die ins Visier von Hackern geraten sind. Cyberkriminellen war es gelungen, Schadsoftware via E-Mail-Versand zu streuen und in einen Teil des SBB-Unternehmensnetzwerks einzudringen. Auch die Universität Zürich sorgte eben erst für Schlagzeilen, weil sie von Hackern angegriffen worden war.
Unabhängig von der Branche oder der Grösse eines Unternehmens: Treffen kann es grundsätzlich alle, selbst Regierungen sind vor Angriffen nicht gefeit. Leider denken aber immer noch viele Unternehmer, dass ihre Firma nicht interessant genug für Cyberkriminelle sei. Das ist eine gefährliche Haltung, denn die Hacker haben schon lange erkannt, dass Daten Gold wert sind. Dazu kommt, dass auch cyberkriminelle Organisationen immer mehr auf Automatisierung setzen, um sich Zugang zu einem beliebigen Unternehmen zu verschaffen. In einem nächsten Schritt wird entschieden, ob der Zugang direkt ausgenutzt oder weiterverkauft wird.
Gerade KMU sind in ihrer Vielzahl lukrative Ziele und leider meist auch ziemlich einfach anzugreifen. Ob Malermeister, Treuhandbüro oder Start-up – jedes Unternehmen kann Opfer eines Cyber-Angriffs werden. Solange Firmen sich nicht besser schützen und Lösegeld bezahlen, ist nicht mit einer Abnahme solcher Attacken zu rechnen. Dafür ist das Geschäftsmodell aus Sicht der Kriminellen einfach viel zu lukrativ. Ich gehe aber davon aus, dass bis 2025 die Hürden für die Bezahlung von Lösegeldern höher sein werden, entweder vonseiten der Versicherungen oder aufgrund gesetzlicher Regulierungen.
Das skrupellose Geschäft mit gestohlenen Daten
Um herauszufinden, wie gut die eigene Firma gegen Cyber-Risiken geschützt ist, bietet sich ein professionell durchgeführtes Security Assessment an. Dabei durchleuchten IT-Sicherheitsexperten das Unternehmen auf Schwachstellen und Sicherheitslücken. Im Anschluss erhalten die Auftraggeber eine Risikoeinschätzung sowie eine Handlungsempfehlung zur Verbesserung der IT-Sicherheit. Um sich einen ersten Eindruck zu verschaffen, gibt es auch anonyme Online-Selbsttests, wie beispielsweise den kostenlosen KMU Schnell-Check des Verbandes digitalswitzerland.
Swisscom hält für Privatanwender, KMU und Grossunternehmen verschiedene Security-Lösungen bereit. Sie schützen beispielsweise Unternehmensnetzwerke mit professionellen Netzwerksicherheitslösungen, kümmern sich um automatisierte Backups und helfen bei der frühzeitigen Erkennung von Angriffen. Sollte eine Firma Opfer eines Cyberangriffes geworden sein, bieten wir mit CSIRT Rapid Response eine Soforthilfe an. Dabei unterstützen Swisscom Incident Manager betroffene Kunden bei der Beseitigung der Schadsoftware und der Wiederherstellung des operativen Betriebs.
Mitarbeitende nicht vergessen
Was neben all den technischen Lösungen aber nicht vergessen werden darf, ist der Mensch. Er kann sowohl Bollwerk gegen als auch Eintrittstor für Cyberangriffe sein. Ihm wird häufig zu wenig Beachtung geschenkt. Dies kann fatale Folgen haben, wenn man berücksichtigt, dass in den meisten Sicherheitsvorfällen der Mensch und die Prozesse im Unternehmen versagt haben – und nicht die Technik. Umso wichtiger ist es, innerhalb des eigenen Unternehmens ein Bewusstsein für Sicherheit – manche nennen es Sicherheitskultur – zu etablieren.
Um hierbei langfristig Erfolg zu haben, muss bei sämtlichen Mitarbeitenden, inklusive dem Management, ein Umdenken angestossen werden. Alle im Unternehmen müssen verstehen, wo welche Sicherheitsrisiken im Arbeitsalltag lauern. Zudem müssen sie lernen, Daten so handzuhaben, als würde es sich dabei um ihr eigenes Geld handeln. Niemand lässt Geldscheine auf seinem Pult liegen, wenn er das Büro zum Lunch verlässt. Genauso selbstverständlich muss es sein, dass der eigene Rechner beim Verlassen des Arbeitsplatzes gesperrt wird. Auch der vorsichtige Umgang mit E-Mails will gelernt sein. Schliesslich ist Phishing noch immer eine der häufigsten Angriffsmethoden.
Steter Tropfen höhlt den Stein
Eine einmalige Mitarbeiterschulung in Sachen Informationssicherheit wird nicht von Erfolg gekrönt sein. Es braucht regelmässige Trainings und den gezielten Aufbau von Security Skills in den verschiedenen Teams, um das Risiko für einen Cyberangriff zu minimieren. Schon einfache Massnahmen, wie das Verteilen von Security-Checklisten mit den wichtigsten Verhaltensregeln im Berufsalltag, können helfen, das Bewusstsein der Mitarbeitenden im Umgang mit Daten zu steigern. Zudem ist es wichtig, dass Vorgesetzte mit gutem Beispiel vorangehen und Security Awareness vorleben und diese auch konsequent von ihren Mitarbeitenden einfordern.
Auch positive und negative Praxisbeispiele eignen sich sehr gut, um Mitarbeitende ins Boot zu holen und so eine positive Securitykultur zu etablieren. Dieses Bewusstsein der Mitarbeitenden ist im Kampf gegen Cyberkriminalität extrem wichtig. Denn technische Abwehrmassnahmen nützen wenig, wenn innerhalb der Firma fahrlässig mit Daten umgegangen wird. Hacker sind sich dessen schon lange bewusst und versuchen Mitarbeitende gezielt für ihre Attacken auszunutzen.