Richtig geschützt

Ein unbedachter Klick auf den Mailanhang und schon kann sich der gefährliche Eindringling im gesamten Unternehmensnetzwerk in Sekunden breitmachen. Die Folgen sind weitreichend und verheerend: Bei Ransomware werden alle Daten vom Schädling verschlüsselt, der Zugang wird nur gegen Lösegeld freigegeben. Ein Backdoor-Schädling kann hingegen wichtige Firmengeheimnisse ausspionieren – und nebenbei auch weitere Schädlinge in das Netzwerk einschleusen. Auch beliebt sind Phishingmails, die vorgeben, von der obersten Chefetage zu stammen, und Mitarbeiter mit Finanzvollmachten auffordern, eine hohe Geldsumme schnellstmöglich auf ein bestimmtes Konto zu überweisen.

Sie glauben, das alles passiert nur anderen? Von wegen, all das hat sich schon in der Schweiz ereignet. Damit Sie verschont bleiben, hat der PCtipp die vier grossen Sicherheitsanbieter Bitdefender, Eset, G Data und Kaspersky nach der aktuellen Bedrohungslage für kleine und mittelständische Unternehmen (KMU) befragt. Gleichzeitig erhalten Sie wichtige Tipps zum Schutz Ihrer Firma. 

Thomas Uhlemann, Eset: Einer der häufigsten Gründe für erfolgreiche Cyberangriffe bei KMU ist der Glaube, nicht betroffen zu sein. Viele unterschätzen, dass Sicherheit wie Datenschutz ein Prozess ist. Sie machen ihn allein am Sicherheitsprodukt fest. Die Bedrohungen und Anforderungen ändern sich stetig, sodass technische Implementierungen sowie Richtlinien im Umgang mit BYOD (Bring Your Own Device; Nutzung persönlicher Geräte in der Firma), die App-Verwendung und Sicherheitseinstellungen regelmässig überprüft.

Tim Berghoff, G Data: Viele gehen los und kaufen Werkzeuge ein, bevor sie sich Gedanken machen und einen Plan entwickeln. So wird an den eigenen Anforderungen «vorbeigekauft». Danach versucht man, seine eigenen Prozesse und Strukturen an die Gegebenheiten der neuen Lösung anzupassen, was häufig einen steigenden Administrationsaufwand bedeutet.

Holger Suhl, Kaspersky: 80 Prozent der IT-Sicherheitsvorfälle werden von den Mitarbeitern verursacht. Daher muss auch bei kleineren Unternehmen neben technischen Lösungen die Schulungen von Mitarbeitern den technischen Lösungen die Schulung von Mitarbeitern (vom Geschäftsführer bis zur Sekretärin) eine Rolle innerhalb der Cybersicherheitsstrategie der Firma spielen.

Thomas Uhlemann: Folgt man der 2016er-Statistik, hatten die meisten Schweizer Unternehmen mit Phishing (84 Prozent), Malware (80 Prozent) und Social-Engineering-Angriffen (64 Prozent) zu tun. Dazu zählen zum Beispiel gefälschte Rechnungen im Postfach bis hin zum sogenannten CEO-Fraud. Ziel des CEO-Frauds ist es, einen Mitarbeiter mit Finanzverantwortung zu finden, der per Mail eine angeblich vom Chef angeordnete, streng geheime Blitzüberweisung tätigen soll. Allein im Kanton Genf waren bereits 2015 zehn solcher Angriffe erfolgreich. Der Schaden belief sich  auf rund 400'000 Franken.

Liviu Arsene, Bitdefender: Cyberangriffe zielen häufig auf den schwächsten Punkt innerhalb eines Unternehmens. Angestellte in der Buchhaltung, am Empfang oder im Vertrieb werden oftmals mit Social Engineering, also nicht technischen Tricks, dazu überlistet, bösartige Anhänge auszuführen. Denn diese Mitarbeiter sind für gewöhnlich im regelmässigen Austausch mit den Kunden und haben nur wenig bis gar keine Sicherheitsschulungen durchlaufen. Nachdem ein Computer kompromittiert wurde, versuchen Angreifer, die nachhaltige Kontrolle des Rechners zu erlangen.

Thomas Uhlemann: Der Mensch ist das wichtigste Glied und die grösste Schwachstelle in der Sicherheitskette. KMU stehen deswegen im Fokus der Kriminellen, weil kaum eine dieser Firmen eine Anlaufstelle für IT-Sicherheitsfragen oder einen Datenschutzbeauftragten hat. Im Umkehrschluss bedeutet das, dass Mitarbeiter häufig weitaus mehr Zugriffsrechte haben, als sie sollten. Können diese damit nicht umgehen, haben Kriminelle leichtes Spiel.

Tim Berghoff: Der Mensch ist und bleibt noch immer Dreh- und Angelpunkt in einem Sicherheitskonzept. Das darf man bei aller Technik und Automation nicht vergessen. Technik kann den Menschen zwar in vielen Belangen unterstützen und ihm teilweise auch Arbeit abnehmen, allerdings kann sie den Menschen nicht ersetzen. Das sieht man spätestens an den jüngsten Betrugsfällen, in denen kein Computersystem gehackt und kein Netzwerk kompromittiert wurde. Hier haben Betrüger nur mit Menschen interagiert, ganz ohne Schad-Software und aufwendige Spionagewerkzeuge.

Thomas Uhlemann: Im Fahrwasser von Internet of Things (IoT) könnte in Zukunft das vernetzte Auto einer Unternehmensflotte freigekauft werden müssen, um es wieder zu benutzen. Bisher spielt die Sicherheit in der Produktentwicklung bei den wenigsten «smarten» Herstellern eine Rolle und Sicherheitsanbietern sind die Hände gebunden. So wird vielleicht künftig der Kühlschrank anstelle der Webcam zum Einfallstor ins Netzwerk oder Teil eines infizierten Netzwerks, das wiederum andere Server über einen Angriff (zum Beispiel durch eine Spam-Flut) in die Knie zwingt.

Liviu Arsene: Künftige Bedrohungen werden noch ausgefeilter und nachhaltiger sein. Zudem werden bereits bekannte Bedrohungen (beispielsweise nach Ransomware-Muster und den damit verbundenen Erpressungen) noch gefährlicher. Es sind Methoden, die dazu prädestiniert sind, schnell Geld zu erwirtschaften.