Mit der fortschreitenden Digitalisierung und der zunehmenden Abhängigkeit von vernetzten Systemen und Geräten sind Cyberangriffe zu einem der größten Geschäftsrisiken für deutsche Unternehmen geworden. Die Angriffsmuster werden immer komplexer und dynamischer. Die dritte Ausgabe des Cyber Mornings hat diese Thematik aufgegriffen und sich mit der aktuellen Cybersicherheitslage auseinandergesetzt.
Im Zuge der dreistündigen Online-Veranstaltung gaben die Referentinnen und Referenten Antworten auf die Fragen, wie Cyberkriminelle Krisensituationen ausnutzen, welche Maßnahmen Unternehmen ergreifen sollten, um die eigene Organisation erfolgreich gegen Cyberangriffe aufzustellen und wie man sich im Cybernotfall richtig verhalten sollte, um Schäden weitestgehend eingrenzen zu können.
Der Faktor Mensch – größtes Einfallstor und bester Schutz zugleich
Den Aufschlag machte Kevin Schomburg vom Niedersächsischen Verfassungsschutz mit einer Einschätzung der aktuellen Bedrohungslage in Sachen Cybersicherheit. Dabei wurde deutlich: Die aktuellen Entwicklungen – Industriespionage und der Konflikt in der Ukraine – haben auch in der Cyberwelt zu Verschiebungen geführt. Vor allem Ransomware-Attacken haben in der jüngsten Vergangenheit zugenommen und nehmen Bezug auf aktuelle Themen, die durch mediale Berichterstattung die entsprechende Aufmerksamkeit erhalten.
Jedes Unternehmen kann davon ausgehen, dass es irgendwann – wenn es das nicht schon war – von Cyberangriffen betroffen sein wird. Diese können sowohl die IT-Technik als auch den Abfluss sensibler Daten betreffen und ebenso durch unabsichtliche Fehler von Mitarbeitenden wie auch gezielt verursacht werden. Der Faktor Mensch spielt für Schomburg eine entscheidende Rolle bei der erfolgreichen Durchführung von Cyberangriffen, allerdings genauso bei deren Eindämmung. Um letzteres zu erreichen, muss die Belegschaft einer Organisation aktiv an deren Sicherheitsarchitektur beteiligt sein. Dafür sind verschiedene Faktoren notwendig: Fehlerkultur, Mitarbeitendenführung sowie Mitarbeitendenzufriedenheit sind einschlägig dafür, ob Cybersicherhheit in einem Unternehmen gelebt wird oder nicht. Vor allem kommt es auf die Integration einer gesunden Fehlerkultur in das Cybersicherheitskonzept eines Unternehmens an. Mitarbeitende müssen offen mit Fehlern in Bezug auf Cybersicherheit – zum Beispiel den Klick auf einen schadhaften Link – umgehen können und dürfen nicht dafür “bestraft” werden. Das ganze Unternehmen sollte anhand solcher Vorfälle gemeinsam lernen.
Auch Dr. Michael Kreutzer ging in seinem Vortrag über nachhaltige Cybersicherheitskonzepte in Unternehmen auf den Faktor Mensch ein. Der Cybersicherheitsforscher vom Nationalen Forschungszentrum für angewandte Cybersicherheit ATHENE betonte ebenfalls die zentrale Rolle von Mitarbeitenden bei Cyberangriffen.
Mangelnde Sicherheitsprozesse beziehungsweise fehlende Vorgaben führen in den meisten Fällen zu Fehlern in puncto Cybersicherheit – beispielsweise durch Festplatten, die versehentlich ohne endgültige Löschung der darauf befindlichen Daten weiterverkauft würden und Datenlecks verursachten.
Laut Kreutzer ist die Verbesserung der Cybersicherheit eines Unternehmens ein fortwährender Prozess. Dafür nannte er folgende konkrete Ü-Tipps:
- Den Überblick über die hauseigene Daten- und IT-Landschaft sowie über die Ablage von Notfalldokumenten
- Die kontinuierliche Überwachung der Infrastruktur in Bezug auf Sicherheitsprobleme
- Das regelmäßige Übernehmen von Sicherheits-Updates und -Patches.
- Übergabe: Backups an separaten Orten und ggf. Übertragen der Administration sicherheitskritischer Prozesse an einschlägig ausgewiesene Dienstleister
- Ständiges Überprüfen der Systeme sowie regelmäßiges Üben mit Awareness- oder Cyberrange-Trainings
Die interne Kommunikation sieht der Cybersicherheitsforscher als einen zentralen Aspekt: Das Management eines Unternehmens muss Cybersicherheit bei sich verankern, kontinuierlich kommunizieren und vorleben. Verantwortlichkeiten in diesem Bereich müssen klar definiert sein.
Cyberangriffe: schneller passiert als gedacht
Wie einfach es für Cyberkriminelle ist, in ein Unternehmen einzudringen, verdeutlichte Jan-Tilo Kirchhoff. In einer Live-Demo zeigte der Geschäftsführer der Compass Security Deutschland GmbH anhand unterschiedlicher Beispiele, wie schnell ein Cyberangriff erfolgen kann. Dabei betonte Kirchhoff, dass kriminelle Hacker es häufig nicht nur auf Daten des angegriffenen Unternehmens abgesehen haben. Ebenfalls hoch im Kurs stehen Daten von Kunden oder nachgelagerten Dienstleistungsunternehmen.
Mit der Simulation einer Denial-of-Service, kurz DoS-Attacke veranschaulichte Kirchhoff wie Cyberkriminelle problemlos eine Website außer Gefecht setzen können: Mehrere Tausend Anfragen werden an Webserver geschickt, damit er überlastet wird und zusammenbricht. Mit dieser Methode ließ sich bereits in vielen Fällen Geld erpressen.
Am häufigsten kommen jedoch Ransomware-Angriffe durch Phishing-E-Mails vor. Dabei erfolgen die Angriffe im Gießkannenprinzip in Form von Massen-E-Mails oder sehr gezielt und professionalisiert. Kirchhoff warnte anhand unterschiedlicher Beispiele von Ransomware-Dateien vor allem vor ausführbaren Dateien sowie schadhaften Office-Makros in Dateien unbekannter Absender. Auf diese Weise wurden beispielsweise 2016 massenhaft Personalabteilungen mit dem Goldeneye-Trojaner angegriffen. Auch heute ist diese Methode noch immer weit verbreitet.
Weiterhin ging Kirchhoff auf die Verwendung von Social Engineering für Cyberangriffe ein und veranschaulichte lebhaft, mit welchen Werkzeugen Cyberkriminelle an persönliche Daten gelangen oder ein gefälschtes Social-Media-Profil erstellen. Fazit: Einfacher als gedacht.
Der Profi für Pentesting empfiehlt grundsätzlich eine gute Passwort-Hygiene. Passwörter sollten einmalig, ausreichend lang und komplex sein, die Zwei-Faktor-Authentifizierung sollte so oft wie möglich eingesetzt werden.
Wie ein Cyberangriff aus der Sicht von Betroffenen wahrgenommen wird, konnte Angela Rieck dem Publikum aus erster Hand näher bringen. Die Leiterin der Lotto Bezirksstelle Kempten fielen im Zuge eines Datenabgleichs ungewöhnliche Aktivitäten ihres Servers auf. Erst durch die Aktivierung des Bildschirm-Modus wurde klar, dass es sich um einen Cyberangriff handeln musste: Viele hieroglyphenartige Zeichen erschienen, breiteten sich über dem Bildschirm aus und es erschien die Nachricht ”Sie wurden gehackt – zahlen Sie 1.000 Bitcoin”.
Angela Rieck reagierte schnell und rief ihren IT-Fachmann an, der ihr auf die Schnelle riet, den Stecker des Arbeitsrechners zu ziehen. Der Cyberangriff hatte Auswirkungen auf verschiedene Prozesse im Unternehmen. Mehrere Wochen war die Weiterleitung der Zahlungen an die Zentrale nicht gesichert. Das Unternehmen von Angela Rieck hatte Glück im Unglück: Offenbar waren durch den Cyberangriff keine Kundendaten gestohlen worden und Systeme konnten wiederhergestellt werden. Allerdings musste ihr Unternehmen den entstandenen Schaden in Höhe von 10.000 Euro selbst tragen, da eine Elektronikversicherung die Anschaffung von neuem Equipment durch einen Cyberangriff nicht deckt. Der Ursprung des Cyberangriffs konnte auch durch das Hinzuziehen von verantwortlichen Behörden nicht nachvollzogen werden.
In diesem Zuge gab Thorsten Linge von Perseus Technologies hilfreiche Handlungsempfehlungen zum richtigen Verhalten im Zuge eines Cybersicherheits-Vorfalls: Eine Notfallkarte bietet eine erste Hilfestellung für den Ernstfall und sollte in ausgedruckter Form für alle Mitarbeitenden zugänglich sein.
Cybervorfälle und Datenschutz: alles eine Frage der Daten
Den Abschluss des Cyber Morning Vol. 3 lieferte Katharina Schreiner. Die Volljuristin und Leiterin des Bereichs Privacy bei der Proliance GmbH (datenschutzexperte.de) zog die Verbindung zwischen Datensicherheit, Cybersicherheit und Datenschutz: Werden bei Cyberangriffen personenbezogene Daten kompromittiert, ist es häufig unerlässlich, den Vorfall innerhalb von 72 der Datenschutzaufsichtsbehörde zu melden. Dabei sind eine gute Dokumentation sowie eine transparente Kommunikation, z. B. mithilfe einer Landing Page oder eines Live-Tickers, essentiell und werden auch von der betroffenen Kundschaft sowie Kooperationspartnern positiv wahrgenommen. Welche Schritte aus Datenschutzsicht unternommen werden müssen, ist abhängig von der Bewertung der Risiken.
Deren Höhe wird u.a. durch die Sensibilität der Daten sowie die Art des Datenschutzvorfalls – z. B. ob es sich um einen Angriff oder technische Fehler handelt – eingeordnet und bewertet.Schreiners Fazit: Es lohnt sich auf jeden Fall, auf einen Datenschutzvorfall vorbereitet zu sein und entsprechende Expertinnen und Experten mit einzubeziehen, um die Abwicklung so unkompliziert wie möglich zu gestalten. Wichtig ist letztlich, dass die Mitarbeitenden für das Thema sensibilisiert und Verantwortlichkeiten geklärt sind.
Johannes Vakalis, Head of Sales & Marketing bei Perseus Technologies, moderierte die Online-Veranstaltung. Der Cyber Morning Vol. 4 findet im September 2022 statt und wird sich mit der Bedeutung von Cybersicherheit und Risikobewertung in der Versicherungsbranche auseinandersetzen.
Hier finden Sie die Videos der einzelnen Vorträge:
Michael Kreutzer | Cybersicherheitsexperte |
Nationalen Forschungszentrum für angewandte Cybersicherheit ATHENE
In wenigen Schritten zu mehr Cybersicherheit in Ihrer Organisation
Jan-Tilo Kirchhoff | Managing Director |
Compass Security Deutschland
Live Demo: So einfach geraten Unternehmen ins Visier von Cyberkriminellen
Thorsten Linge | Channel Sales Lead Direktkunden | Perseus Technologies GmbH
Angela Rieck | Leiterin | Lotto Bezirksstelle Kempten
Was tun im Notfall? Erfahrungsberichte und Lösungsansätze