Die Cybersicherheit am Arbeitsplatz gewinnt zunehmend an Bedeutung, da immer mehr Unternehmen auf digitale Ressourcen und die Cloud umsteigen. Ransomware steht ganz oben auf der Liste der Bedrohungen, die ein Unternehmen lahmlegen können, und diese Angriffe beginnen oft mit einer bösartigen Phishing-E-Mail, die auf bestimmte Mitarbeiter abzielt. Es reicht schon ein einziger Mitarbeiter, der einem ausgeklügelten Angriff zum Opfer fällt, und Ihr Unternehmen könnte durch blockierten Dateizugriff, gestohlene Daten und im Netzwerk versteckte fortgeschrittene, hartnäckige Bedrohungen lahmgelegt werden.
Die Colonial Pipeline, die Gas und Düsentreibstoff von Texas an die Ostküste transportiert, wurde Opfer eines Ransomware-Angriffs. Der Angriff führte zu einer Unterbrechung der Produktion und zwang die Energieinfrastruktur zur Stilllegung. Angriffe dieser Art haben weiter zugenommen, und sie beginnen damit, dass ein Mitarbeiter im Unternehmen ins Visier genommen wird, der nicht erkennt, dass eine Nachricht bösartig ist. Häufig liegt die Ursache in Mängeln bei der Schulung und Sensibilisierung im Bereich Cybersicherheit am Arbeitsplatz.
CryptoLocker, einer der ersten und bekanntesten Ransomware-Angriffe, begann mit einer Phishing-E-Mail. Er betraf fast 500.000 Computer und führte weltweit zu umfangreichen Datenverlusten. Die Malware wurde durch den Versand einer enormen Anzahl von E-Mails mit einem ZIP-Dateianhang verbreitet. Nach dem Öffnen durchsuchte die Ransomware die Computer und verschlüsselte Dateien, sodass diese gesperrt wurden und nur gegen Zahlung eines Lösegelds wieder zugänglich waren. Nutzer sollten sich bewusst sein, dass jede E-Mail mit einem ZIP-Dateianhang als verdächtig einzustufen ist.
CISO: Der Wert eines „Sündenfressers“
Die Rolle eines Chief Information Security Officer (CISO) ähnelt stark der des mythischen und mittelalterlichen „Sündenfressers“ aus der englischen Volksüberlieferung. Ein Sündenfresser nahm eine Mahlzeit zu sich und nahm dabei die Sünden der Verstorbenen auf. Der Sündenfresser trug die Sünden anderer Menschen mit sich, um diese von Schuld, Scham und den Folgen im Jenseits zu befreien.
Ein CISO nimmt eine ähnliche Rolle ein, wobei die Verfehlungen interner Mitarbeiter den Ruf, die Arbeitsleistung und die Zukunftsaussichten des CISO beeinträchtigen. Sollte ein Mitarbeiter Opfer interner Cybersicherheitsskandale werden, ruiniert er den Ruf der Organisation und legt die Produktionsdienste lahm. Um einen bestimmten Mitarbeiter vor den negativen Auswirkungen und Folgen zu schützen, nimmt der CISO die Schuld des unglücklichen Opfers auf sich und übernimmt die Verantwortung für dessen Fehler.
Die Tatsache, dass es innerhalb der Organisation nur einen CISO gibt, bedeutet nicht, dass die Verantwortung allein bei einer einzelnen Person liegt. Die Verantwortung trägt die Organisation als Ganzes. Im Fall der Datenpanne bei Equifax könnten die Serveradministratoren und der für die Überwachung und die Installation von Patches zuständige CISO allein für eine der bislang größten Datenpannen verantwortlich sein; dennoch wurde das gesamte Unternehmen Equifax als unverantwortlich angesehen und musste die Schuld für die Folgen auf sich nehmen.
Ein CISO ist nicht nur für die interne Cybersicherheit verantwortlich, sondern sieht sich auch einer zunehmenden Arbeitsbelastung gegenüber, da immer mehr Unternehmen während der Pandemie-Lockdowns im Jahr 2020 auf die Cloud umsteigen und den digitalen Wandel vorantreiben. Um produktiv zu bleiben, waren Unternehmen gezwungen, ihren Mitarbeitern nach der weltweiten Ausbreitung von COVID-19 die Arbeit von zu Hause aus zu ermöglichen. Diese Veränderung der Arbeitsumgebung führte zu einem plötzlichen Vorstoß in Richtung Cloud-Computing und digitaler Arbeitsabläufe. Die Folge war, dass Unternehmen nun in der Cloud tätig waren, ohne dabei der Cybersicherheit ausreichend Beachtung zu schenken. Cybersicherheit wurde erst im Nachhinein berücksichtigt, und Angreifer nutzten diese Nachlässigkeit voll aus. Phishing und Ransomware nahmen stark zu, da immer mehr Mitarbeiter Opfer ausgeklügelter Kampagnen wurden, die gezielt auf Einzelpersonen abzielten.
Die sieben Todsünden der Cybersicherheit am Arbeitsplatz
Das Bewusstsein für Cybersicherheit ist entscheidend für die Risikovermeidung. Wenn Ihre Mitarbeiter nicht wissen, wie ein Phishing-Angriff aufgebaut ist, kann man von ihnen nicht erwarten, dass sie ihn abwehren können. Menschliches Versagen ist ein wesentlicher Faktor bei Datenschutzverletzungen, doch hier sind sieben „Todsünden“ und Möglichkeiten, wie Sie vermeiden können, das nächste Opfer zu werden:
- Unsichere Passwörter. Die Komplexität und Länge von Passwörtern verringern das Risiko eines Brute-Force-Angriffs auf die Zugangsdaten von Mitarbeitern. Administratoren können Passwortregeln festlegen, die eine bestimmte Länge und Komplexität vorschreiben und verhindern, dass Passwörter wiederverwendet werden.
- Risiken bei öffentlichen WLAN-Netzen. Nutzer sollten sich der mit öffentlichen WLAN-Netzen verbundenen Risiken bewusst sein. Alle kritischen Anwendungen sollten über ein virtuelles privates Netzwerk (VPN) genutzt werden, und Nutzer sollten niemals Daten unverschlüsselt übertragen.
- Antivirenprogramm installiert und auf dem neuesten Stand. Unternehmen, die eine „Bring-Your-Own-Device“-Richtlinie (BYOD) anbieten, sollten die Nutzer darüber aufklären, wie wichtig es ist, ein Antivirenprogramm zu verwenden und dieses stets auf dem neuesten Stand zu halten. Administratoren können Updates auf den Arbeitsplätzen erzwingen, sind jedoch darauf angewiesen, dass die Nutzer ihre eigenen Geräte mit der aktuellsten Antivirensoftware schützen.
- Öffnen von E-Mail-Anhängen. Administratoren können verdächtige E-Mail-Nachrichten blockieren, doch durch „False Negatives“ erhalten Angreifer die Möglichkeit, Empfänger dazu zu verleiten, schädliche Anhänge zu öffnen. Benutzer sollten wissen, dass sie keine Anhänge öffnen dürfen, insbesondere wenn diese von externen Absendern stammen.
- Das Anklicken von Links in E-Mails. Über bösartige Links werden von Angreifern kontrollierte Websites geöffnet, auf denen Nutzer dazu verleitet werden können, ihre Netzwerk-Zugangsdaten oder andere sensible Informationen preiszugeben. Nutzer sollten wissen, dass sie nach dem Anklicken von Links keine Zugangsdaten eingeben dürfen. Geben Sie stattdessen die Domain manuell in Ihren Browser ein, um zu überprüfen, ob die Nachricht echt ist.
- Weitergabe von Zugangsdaten an andere Benutzer. Benutzer sollten niemals Passwörter weitergeben. Sollten sie dies dennoch tun, könnte ein Mitarbeiter, der nicht mehr im Unternehmen tätig ist, weiterhin Zugriff auf kritische Systeme haben, obwohl sein eigenes Konto deaktiviert wurde.
- Es fehlt an Sensibilisierung für Cybersicherheit. Ohne entsprechende Schulungen verfügen die Nutzer nicht über die notwendigen Mittel, um einen Angriff zu erkennen. Es liegt in der Verantwortung des CISO, ein Umfeld zu schaffen, in dem Schulungen zur Cybersicherheit zu einer besseren Risikovermeidung und weniger menschlichen Fehlern beitragen.
Unterstützung der Mitarbeiter bei der Abwehr von Cyberangriffen und der Stärkung ihres Sicherheitsbewusstseins
Wenn CISOs sich nicht die Zeit nehmen, ihre Mitarbeiter zu schulen, hinterlassen sie eine große Lücke in der Cybersicherheitsstrategie des Unternehmens. Das Bewusstsein für Cybersicherheit ist die erste Verteidigungslinie gegen raffinierte Angriffe, die auf menschliche Fehler abzielen; daher sollte es stets ein obligatorischer Schulungsbestandteil für neue und bestehende Mitarbeiter sein.
Sensibilisierungsmaßnahmen können auf verschiedene Weise angeboten werden: E-Learning, praktische Schulungen und Richtlinien. Mitarbeiter sind keine Hacker, daher sollten die Informationen leicht verständlich sein. Sie sollten die Folgen eines Angriffs verstehen und über Informationen verfügen, die es ihnen ermöglichen, die Legitimität einer E-Mail, eines Telefonanrufs, einer Website und jeder anderen Form von Cyberangriff zu hinterfragen. Sie benötigen zwar kein umfassendes technisches Wissen, müssen jedoch mit den richtigen Informationen ausgestattet sein.
Die größten Bedrohungen für ein Unternehmen sind Phishing und Ransomware, doch durch Schulungen lassen sich die mit diesen Bedrohungen verbundenen Risiken verringern. Mitarbeiter, die über das richtige Wissen verfügen, erkennen den Angriff, vermeiden es, Opfer zu werden, alarmieren die zuständigen Personen, und der CISO kann seine Arbeit wesentlich stressfreier ausüben. Ohne Sensibilisierung für Cybersicherheit reagiert der CISO weiterhin nur reaktiv auf Angriffe, die den Ruf des CISO und des Unternehmens ruinieren könnten.