IT-Sicherheit: Wie Cyberkriminelle die Corona-Krise für sich nutzen

Um ihre Mitarbeiter vor einer Ansteckung mit dem Coronavirus zu schützen, sind in den vergangenen Wochen viele Unternehmen dazu übergegangen, die Belegschaft ins Homeoffice zu schicken. Diese Entscheidung dient vorrangig dem Wohl der Mitarbeiter und soll sicherstellen, dass diese weiterhin einsatzbereit und arbeitsfähig sind. Auf der anderen Seite birgt dieser teilweise sehr hektische Umstieg aktuell große Risiken. Denn Cyberkriminelle machen sich die weltweit grassierende Coronavirus-Pandemie zunutze.

EINFALLSTOR E-MAIL

Dabei wählen sie den einfachsten Weg: die Schwachstelle Mensch. Sie verschicken verstärkt Mails mit schadhaftem Anhang – wie Links zu vermeintlichen Sonderangeboten für Desinfektionsmittel oder Schutzmasken.

In der aktuellen Situation, in der viele Unsicherheiten bestehen, sei es in Bezug auf die Krankheit oder daraus resultierende wirtschaftlichen Folgen, tendieren viele Menschen dazu, eher Links anzuklicken, weil sie sonst einen persönlichen Nachteil vermuten. Cyberkriminelle spielen hier ganz bewusst mit Ängsten und verleiten Nutzer zu Schritten, die sie im Normalfall nicht gehen würden.

Hinzu kommt, dass die Betroffenen im Homeoffice nicht wie gewohnt die Möglichkeit haben, bei Kollegen schnell und unkompliziert nachzufragen, ob sie bspw. auch diese eine merkwürdige E-Mail erhalten haben. Viele fühlen sich in dieser Situation – wenn auch nur unterschwellig – ein stückweit allein und hilflos.

HÄUSLICHE NETZWERKE OFT NICHT AUSREICHEND GESCHÜTZT

Ein anderes, weitaus größeres Problem ist, dass sich durch das Coronavirus nun auf einen Schlag unzählige Geräte in häuslichen Netzwerken befinden. Diese verfügen nicht über dieselbe Sicherheitszone wie Unternehmensnetzwerke, wodurch sie weniger vor Angriffen geschützt sind.

Zwar besteht ein vergleichsweiser guter lokaler Schutz, wenn sich Mitarbeiter bspw. mithilfe von Token in das jeweilige Firmennetzwerk einwählen. Dennoch ist der Weg des privaten WLAN für Mitarbeiter der IT-Sicherheit nicht kontrollierbar, was Angreifern in Zeiten von Corona durchaus in die Karten spielt.

In diesem Zusammenhang sollte noch einmal kritisch betrachtet werden, dass Mitarbeiter eigene, private Endgeräte an Unternehmensnetzwerke anschließen. Hier besteht die Gefahr, dass diese schon kompromittiert wurden und somit nicht mehr sicher sind. Das wiederum lässt sich kaum nachvollziehen, da die Geräte durch Unternehmen gewöhnlich nicht gescannt werden dürfen.

MITARBEITER FÜR GEFAHREN SENSIBILISIEREN

Wie also sollen Unternehmen mit der unsichtbaren Gefahr aus dem Netz umgehen? Wir als GISA versuchen, sowohl bei unseren Kunden als auch unseren Mitarbeitern stets Aufklärung zu betreiben. Ein Weg sind Awareness-Schulungen, die GISA nicht nur für die eigenen Mitarbeiter, sondern auch Kunden anbietet. Dabei sensibilisieren wir bspw. für die Gefahr, die von schadhaften Mails ausgeht. Diese ist keineswegs zu unterschätzen, immerhin macht das Einfallstor Mail über 60 Prozent aller Angriffe aus.

Bei Awareness-Schulungen erhalten die Mitarbeiter u.a. Phishing-Mails, die in dem Fall jedoch keinen Schaden anrichtet, weil sie von Sicherheitsspezialisten entworfen wurden. Diese Tests sollen aufzeigen, was hätte passieren können. Denn die allgemeine Erfahrung zeigt: Wenn Menschen schon einmal persönlich mit einer Situation konfrontiert waren, verstehen sie die Notwendigkeit von Maßnahmen oder akzeptieren diese zumindest.

In diesem Sinne sind Awareness-Maßnahmen ein gutes Mittel, um Mitarbeitern in einem geschützten Rahmen vor Augen zu führen, was das Nicht-Einhalten von Regeln für Auswirkungen haben kann.

GEZIELTER ANGRIFF ALS ÜBUNG

Eine andere Methode sind sogenannte Red-Teaming-Events, bei denen Angreifer von der Geschäftsführung dazu bemächtigt werden, physikalisch und technisch so weit wie möglich in das Unternehmen einzudringen. Dazu gehört, dass Mitarbeiter auch am Telefon dazu animiert werden, Informationen herauszugeben, die sie nicht rausgeben sollen.

Die Wege, um Mitarbeiter speziell in der aktuellen, für viele ungewissen Zeit für potenzielle Gefahren zu sensibilisieren, sind vielfältig. Unsere Erfahrung zeigt: Regelmäßiges Üben ist besonders wichtig, wenn es darum geht, im Arbeitsalltag wachsam zu bleiben, um mögliche Gefahren erkennen und Schaden vom Unternehmen abwenden zu können.

Wenn Sie mehr über die Möglichkeiten von Awareness-Schulungen und Red-Teaming-Events erfahren möchten, dann kommen Sie gern auf uns zu!

Hören Sie außerdem, wie unser IT-Experte Hendrik Nitz die Datensicherheit der neuen Corona-App einschätzt. Hier geht’s zum Interview!