Wirksame Strategien zur Minimierung von Cybersicherheitsrisiken

Der „Mensch in der Maschine“ ist ein grundlegender Aspekt bei der Entwicklung einer wirksamen Strategie zur Minimierung von Cybersicherheitsrisiken. Diese Aussage umfasst jedoch viele Facetten, da unsere Mitarbeiter ein wesentlicher Bestandteil des Erfolgs unseres Unternehmens sind; anstatt Schuld zuzuweisen, müssen wir böswillige Handlungen von versehentlichen unterscheiden, erstere aufdecken und letztere verhindern.

Durch gezielte Schulungen zur Sensibilisierung für Sicherheitsfragen lassen sich menschliche Faktoren, die zu menschlichen Fehlern führen, mindern. Im Folgenden erfahren Sie, wie und warum Cybersicherheitsrisiken durch Sicherheitsbewusstsein gesteuert werden können.

Warum menschliche Faktoren zu Cybersicherheitsrisiken führen

Der menschliche Faktor bei Cybersicherheitsrisiken wird üblicherweise als „Insider-Bedrohung“ bezeichnet. Bei diesen „Insidern“ handelt es sich sowohl um Mitarbeiter als auch um Nicht-Mitarbeiter, wie beispielsweise Berater. Allein die Tatsache, dass Insider ein fester Bestandteil der Prozesse einer Organisation sind und IT-Ressourcen mit Genehmigung nutzen, erschwert es, die menschlichen Fehler anzugehen, die zu Cybersicherheitsrisiken führen.

Cybersicherheitsrisiken durch Insider stellen ein großes Problem dar: Ein „Insider Threat Report“ von Cyber Security Insiders aus dem Jahr 2020 weist darauf hin, dass sich 68 % der Unternehmen gegenüber Insider-Bedrohungen „mäßig bis extrem anfällig“ fühlen. Dies ist nicht überraschend, wenn man sich einige der Schlagzeilen zu Cyberangriffen des letzten Jahres ansieht, wie beispielsweise den Twitter-Hack von 2020, bei dem auf hochkarätige Twitter-Konten, darunter das von Barack Obama, zugegriffen und diese genutzt wurden, um Twitter-Nutzer zur Durchführung illegaler Bitcoin-Transaktionen zu verleiten. Die Verluste werden auf rund 180 Millionen US-Dollar (129 Millionen Pfund) geschätzt, und der Aktienkurs von Twitter verlor 4 % an Wert. Der Hack erfolgte durch Spear-Phishing-Angriffe auf Twitter-Mitarbeiter und den Diebstahl privilegierter Zugangsdaten.

Cyberkriminelle nutzen menschliche Faktoren aus, um sich unbefugten Zugriff zu verschaffen, Zugangsdaten zu stehlen und IT-Systeme sowie Endgeräte mit Malware wie beispielsweise Ransomware zu infizieren. Ohne den „Human-in-the-Machine“-Effekt wäre Cyberkriminalität wesentlich schwieriger.

Die menschlichen Faktoren, die zu menschlichen Fehlern führen

Laut einer Studie von IBM sind die drei wichtigsten Bereiche, auf die man bei der Erstellung von Sicherheitsstrategien zur Minderung von Cybersicherheitsrisiken den Fokus legen sollte, folgende:

1. 1. Phishing

1. 1. Scannen und ausnutzen

1. 1. Unbefugte Nutzung von Zugangsdaten

Alle drei Vektoren weisen ein Element auf, bei dem an einer Stelle der Angriffskette ein menschlicher Faktor eine Rolle spielt.

Phishing und Spear-Phishing – menschliche Faktoren: Hier ist ein menschliches Ziel erforderlich, das auf einen Link klickt oder einen infizierten Anhang öffnet, um die Infektionskette in Gang zu setzen. Häufig wird Phishing eingesetzt, um privilegierte Benutzer (Spear-Phishing) ins Visier zu nehmen und deren Zugangsdaten zu erbeuten. Benutzer mit erweiterten Rechten haben Zugriff auf wichtigere Ressourcen – der Diebstahl dieser Zugangsdaten gilt als der „heilige Gral“ der Hacker. Hier kommt ein menschlicher Faktor ins Spiel, beispielsweise die automatisierte Klickreaktion.

Scannen und Ausnutzen – menschliches Versagen: Hacker nutzen alles, was ihnen das Leben erleichtert, und die Möglichkeit, automatisch nach Schwachstellen zu suchen, ist ein nützlicher Einfallstor für Malware-Infektionen. IT-Systemkomponenten wie Webserver, Datenbanken und Cloud-Anwendungen können falsch konfiguriert werden, wenn die Auswirkungen mangelnder Sicherheit nicht vollständig verstanden werden. Unsichere Anwendungen und Webkomponenten führen zu Sicherheitslücken, die Hacker ausnutzen können. In diesem Fall führt menschliches Versagen zu einem Cybersicherheitsrisiko.

Unbefugte Nutzung von Zugangsdaten – menschliches Versagen und menschliche Faktoren: Der Diebstahl von Zugangsdaten führt zu unbefugtem Zugriff auf IT-Systeme und -Ressourcen. Zu den Möglichkeiten, wie Zugangsdaten unbefugt genutzt werden können, gehören:

• • „Shoulder Surfing“: Zugangsdaten werden gestohlen, wenn eine böswillige Person beobachtet, wie jemand ein Passwort eingibt.

• • Phishing: Eine Person dazu zu verleiten, ihre Anmeldedaten auf einer gefälschten Anmeldeseite einzugeben.

• • Social Engineering: Eine Person dazu zu verleiten, ihre Anmeldedaten per Telefon, über soziale Medien oder mithilfe anderer Kommunikationskanäle wie E-Mails, Helpdesks und SMS preiszugeben.

Bei allen drei der erfolgreichsten Angriffsvektoren spielen sowohl der menschliche Faktor als auch menschliches Versagen eine große Rolle. Das Cybersicherheitsrisiko konzentriert sich auf unsere Mitarbeiter und externe Personen – doch wie können wir dieses Risiko verringern?

Bewährte Verfahren: Wie lässt sich verhindern, dass menschliche Faktoren zu menschlichen Fehlern werden?

Eine Studie von Kaspersky, die sich mit der Rolle menschlicher Faktoren bei Cybersicherheitsrisiken befasste, ergab, dass „unachtsames oder uninformiertes Personal“ die zweithäufigste Ursache für schwerwiegende Sicherheitsverletzungen ist; an erster Stelle steht die Infektion mit Malware, die jedoch häufig selbst durch unachtsames oder uninformiertes Personal verursacht wird. Angesichts des hohen Risikos, das mit menschlichen Faktoren verbunden ist, ist die Reduzierung von Fehlern von entscheidender Bedeutung für die Minderung von Sicherheitsrisiken.

Zwei Bereiche stechen besonders hervor, die sowohl nachlässiges als auch uninformiertes Personal betreffen:

Unüberlegte Entscheidungen, die zu Sicherheitslücken führen: Fehlentscheidungen im Bereich der Sicherheit, wie beispielsweise die fehlerhafte Konfiguration von IT-Systemen und -Komponenten oder das unüberlegte Anklicken eines Phishing-Links, sind menschliches Versagen, das zu einem erhöhten Cybersicherheitsrisiko führt. Die fehlerhafte Konfiguration von IT-Systemen und -Komponenten ist ein Beispiel für eine unüberlegte Sicherheitsentscheidung. Das Anklicken eines Phishing-Links ist ein weiteres Beispiel. Sowohl IT- als auch Nicht-IT-Mitarbeiter sind zu unbedachten Entscheidungen fähig, die zu Sicherheitslücken führen. Die Sicherstellung, dass alle Mitarbeiter – sowohl technische als auch nicht-technische – sich der Auswirkungen ihrer Entscheidungen bewusst sind, ist eine grundlegende Maßnahme zur Minderung von Cybersicherheitsrisiken.

Uninformierte Mitarbeiter als Ursache für Sicherheitslücken: Wenn Mitarbeiter sich ihrer Handlungen nicht bewusst sind, wie sollen sie dann die sicherheitsrelevanten Konsequenzen erkennen? Unternehmen schulen ihre Mitarbeiter routinemäßig in anderen Geschäftsbereichen, und dies sollte auf Schulungen zur Sensibilisierung für Sicherheitsfragen ausgeweitet werden. Die Schulung der Mitarbeiter im Bereich Sicherheit umfasst das Verständnis dafür, wie Phishing funktioniert, sowie für andere häufige Sicherheitsmängel, wie beispielsweise die Weitergabe von Passwörtern und die versehentliche Weiterleitung von E-Mails. Bemerkenswert ist, dass laut dem „Verizon Data Breach Investigation Report“ (DBIR) die versehentliche Weiterleitung von E-Mails als Form des menschlichen Fehlers weiterhin zunimmt.

Minderung des menschlichen Faktors bei Cybersicherheitsrisiken

Die Kaspersky-Studie hat ein entscheidendes Element menschlichen Versagens im Bereich der Sicherheit identifiziert – den Drang, Fehler zu verheimlichen. Die Umfrage ergab, dass in 40 % der Unternehmen Mitarbeiter Sicherheitsvorfälle verschwiegen haben. Diese Zahl sollte Alarmglocken läuten lassen und dazu führen, dass die Sicherheitsschulungen intensiviert werden. Selbst wenn der Mitarbeiter die Tragweite eines Sicherheitsvorfalls erkannte, fühlte er sich dennoch gezwungen, die Informationen zu verheimlichen. Dies wirft die Frage auf, warum dies so ist – eine Frage, auf die es zwei Antworten gibt:

Machen Sie Sicherheit zu einem Teil Ihrer Unternehmenskultur: Das mag zwar wie ein Klischee klingen, doch wenn der Gedanke der Sicherheit fest in Ihrer Unternehmenskultur verankert ist, ist es weniger wahrscheinlich, dass Ihre Mitarbeiter überfordert sind und Angst bekommen, wenn etwas passiert. Eine Sicherheitskultur entsteht durch Schulungen zur Sensibilisierung für Sicherheitsfragen, die dazu beitragen, bei den Mitarbeitern positive Sicherheitsgewohnheiten zu etablieren.

Erleichtern Sie die Meldung von Sicherheitsvorfällen: Vorfälle müssen gemeldet werden, damit sie von den entsprechend qualifizierten Mitarbeitern bearbeitet werden können, deren Einsatz dem jeweiligen Risikoniveau entspricht. Ein Meldesystem, das so konzipiert ist, dass die Meldung für die Mitarbeiter besonders einfach ist, erleichtert die Meldung von Vorfällen erheblich und erhöht die Wahrscheinlichkeit, dass diese tatsächlich erfolgen.

Menschliche Faktoren führen zu menschlichen Fehlern. Durch Schulungen zur Sensibilisierung für Cybersicherheit können Unternehmen die Verhaltensweisen ihrer Mitarbeiter angehen, die zu unachtsamen Fehlern und Fehlentscheidungen führen, und so das Cybersicherheitsrisiko verringern.