Gefühlt im Wochentakt liest man von neuen Cyber-Angriffen, bei denen Passwörter gehackt worden sind. Angriff auf Spotify: 300.000 Passwörter gestohlen. Zoom: 500.000 Account-Daten im Darknet aufgetaucht. Hack bei LinkedIn: 117 Millionen Datensätze in unbekannter Hand.

Problematisch sind dabei zwei Dinge: Zum einen besitzt ein Hacker damit Zugriff auf jenes Konto, von dessen Anbieter er die Daten gestohlen hat. Zum anderen kann er über „Credential Stuffing“ diese Passwörter automatisiert bei unzähligen weiteren Diensten durchspielen. Schließlich nutzen viele Menschen ihr Lieblingspasswort gleich mehrfach – ob bei ebay, PayPal oder auch für den VPN-Zugang zum Unternehmensserver.

Lesen Sie auch: Wie schützen Sie sich vor automatisierten Angriffen auf Ihr IT-System? Mit automatisierter Verteidigung!

Zwei Dinge helfen, sich zu schützen: Gut ist, wenn sich ein Nutzer für jeden Account ein separates Passwort anlegt. Noch besser ist, wenn er eine Zwei-Faktor-Authentifizierung nutzen kann. Er muss damit einen Login über ein zweites Medium bestätigen. Beliebt als Kanal für die zweite Authentifizierung sind  OTP-Apps, die einen weiteren Code zur Verifizierung anzeigen. Eine Methode, die häufig beim Online-Banking verwendet wird. Andere Anbieter senden SMS-Codes zur zusätzlichen Verifizierung.

Zwei Faktoren für deutlich mehr Sicherheit

Obwohl die Zwei-Faktor-Authentifizierung heutzutage gängig sein sollte, setzen viele Unternehmen noch nicht auf diesen „doppelten Boden“. Beim Login an einem Windows-Rechner oder beim Office365-Passwort etwa. Dabei wäre das dringend nötig. Denn viele Angreifer versuchen via Phishing die Anmeldedaten abzufangen. Wenn ihnen das gelingt, können sie sich nach Gusto an einem Rechner des Unternehmens anmelden und erhalten Zugriff auf alle Anwendungen. Auch beim Remote-Login im VPN-Tunnel ist eine Zwei-Faktor-Authentifizierung immens wichtig. Gerade in Zeiten des verstärkten Homeoffice ist der VPN-Zugang ein beliebter Angriffspunkt.

Lesen Sie auch: Phishing-Mails – So können Sie sich vor Methoden der Angreifer schützen!

Was also tun? Unser Tipp: Wägen Sie ab, welche Zugänge und Anwendungen zuerst geschützt werden müssen. Und überlegen Sie, welche Art der Zwei-Faktor-Authentifizierung sinnvoll und praktikabel ist. Sicherlich gibt es auch Methoden wie den biometrischen Fingerabdruck oder den Augen-Scan. Der Vorteil ist, dass sie kaum zu kopieren sind. Der Nachteil: Sie sind technisch aufwendig und verändern sich nicht pro Login. Und sollten sie einmal gestohlen werden, können biometrische Merkmale nicht einfach ausgetauscht werden.

30 schützenswerte Anwendungen in jedem Unternehmen

Wichtig ist also, in einem ersten Schritt zu entscheiden, welche Anwendungen unbedingt schützenswert sind und welche nicht. Wir als GISA sichern für unsere Kunden zunächst alle wichtigen Zugänge wie Windows Logins und VPN-Zugang ab. Anschließend prüfen wir, welche Unternehmensanwendungen besonders geschützt werden müssen.

Wir erstellen eine Übersicht aller businesskritischen Anwendungen sowie eine Risikoanalyse, um den Schutzbedarf zu priorisieren. Denn jedes Unternehmen besitzt etwa 30 schützenswerte Anwendungen wie SAP oder Administrations-Tools. Im Anschluss überlegen wir mit dem Kunden, welche Technologie für die zweite Verifizierung sinnvoll ist.

GISA löst die Zwei-Faktor-Authentifizierung beim VPN-Login beispielsweise über eine RSA App. Eine Software, die einen ein-eindeutigen Token-Code als zweiten Faktor generiert. Wir bieten Kunden außerdem USB-Dongles. Diese sind auf eine Person verifiziert und werden als Bestätigung einer Identität an einen Rechner gesteckt. Für normale Apps, deren Sicherheitsrelevanz nicht so hoch ist, kann auch die Einführung eines Passwort-Managers genügen, der komplexe Passwörter generiert.

Security beginnt beim Menschen

Für Ihren Arbeitsalltag noch ein kleiner Tipp: Verschlüsseln Sie nicht nur die virtuellen Zugänge zu Daten, sondern auch die haptischen! Die beste Verifizierungsmethode nützt nichts, wenn zugleich auf einem Arbeitstisch eine externe, unverschlüsselte Festplatte für Backups liegt. Sprich: Security beginnt beim Menschen, und Technologie kann nur helfen, wenn er sie fachgerecht einsetzt.

IT-Security ist auch für Ihr Unternehmen ein Thema? Dann kontaktieren Sie uns gerne. Wir bieten Ihnen eine unverbindliche Erstberatung mit einem unserer Security-Experten. Kontaktieren Sie uns jetzt.

Michael Netzband

Michael Netzband ist seit 2009 bei GISA und leitet im Unternehmen den Bereich Security Analytics and Response. Neben den Thema IT-Security macht die ITIL-Prozessberatung einen Schwerpunkt seiner täglichen Arbeit aus. Als ITIL v3 Expert und Auditor verfügt er über tiefgehende Kenntnisse von IT-Prozessen.