Das alte Sprichwort „Nichts ist so sicher wie der Tod und die Steuern“ sollte auf Veränderungen in der Cybersicherheitslandschaft ausgeweitet werden. Fachleute für Cybersicherheit und Führungskräfte in der Wirtschaft können dazu beitragen, die Bedrohungen für ihre Organisationen zu verringern, wenn sie wissen, was sich in dieser sich ständig wandelnden Landschaft abspielt.
Da Cyberbedrohungen selbst die kampferprobtesten Unternehmen weiterhin auf die Probe stellen, kann uns ein Blick auf das Jahr 2023 dabei helfen, unsere Cybersicherheitsmaßnahmen auf Vordermann zu bringen.
Hier finden Sie einen Überblick über fünf Trends im Bereich der Cybersicherheit zu Beginn des Jahres 2023.
Menschen sind nach wie vor ein Ziel im Bereich der Cybersicherheit
Der menschliche Faktor in der Cybersicherheit stellt seit vielen Jahren in allen Branchen eine Herausforderung dar. Der Mensch ist das schwache Glied in einer komplexen Kette, die zu Datenlecks, Ransomware-Infektionen und anderen Katastrophen führt. Cyberkriminelle nutzen Mitarbeiter aus; diese Taktik hat aufgrund der Fehlbarkeit des menschlichen Akteurs zu erheblichen Erfolgen bei Betrugsversuchen und Cyberangriffen geführt.
Die Covid-19-Pandemie hat Cyberkriminellen den Geschmack an Cyberangriffen vermittelt, die sich auf Taktiken wie Betrug und Phishing konzentrieren. Als Beleg dafür hat eine Analyse der ISACA ergeben, dass die Hälfte aller Datenlecks mit Handlungen von Mitarbeitern in Verbindung steht. Mitarbeiter als Ziel zu wählen, gilt unter Cyberkriminellen als „leichtes Ziel“, da dies einen Einstiegspunkt in das gesamte Unternehmensnetzwerk bieten kann. Sobald sie sich im Netzwerk befinden, können Cyberangriffe wie Ransomware-Infektionen, Business Email Compromise (BEC) und andere Malware-Angriffe stattfinden.
Trend im Bereich Cybersicherheit: Der „Verizon Data Breach Investigations Report“ (DBIR) für die Jahre 2021 und 2022 zeigt, dass menschliches Versagen für 85 % bzw. 82 % der Datenpannen verantwortlich war. Der Anteil des menschlichen Faktors bei Cyberangriffen wird voraussichtlich auch im Jahr 2023 auf diesem Niveau bleiben.
So können Sie diesem Trend im Bereich der Cybersicherheit entgegenwirken: Tragen Sie dazu bei, das durch Menschen verursachte Risiko in der Cyberumgebung zu minimieren, indem Sie regelmäßig Phishing-Simulationen und Schulungen zur Sensibilisierung für Sicherheitsfragen durchführen.
Deepfakes und Erpressung
Die Deepfake-Technologie wird für viele legitime Zwecke genutzt, beispielsweise zur Erstellung von Spiel-Avataren oder zur Durchführung von Unterrichtseinheiten. Allerdings ist genau diese Technologie ein ideales Werkzeug, um Menschen dazu zu verleiten, etwas zu glauben oder zu tun, was einem Cyberkriminellen zugutekommt. Das Problem besteht darin, dass Deepfake-Videos und -Audiodateien oft nur schwer von echten Inhalten zu unterscheiden sind. In einer Umfrage von iProov gaben 43 % der Befragten an, dass sie den Unterschied zwischen einem echten Video und einem Deepfake nicht erkennen könnten.
Trend im Bereich Cybersicherheit: Deepfakes wurden bereits bei BEC-Betrugsfällen eingesetzt. Das klassische Beispiel ist der Geschäftsführer, dem durch einen Deepfake-Anruf (Deepfake-Vishing) 243.000 US-Dollar (210.000 Pfund) abgezockt wurden. Ein weiterer Bereich, in dem Deepfakes zu einem ernsthaften Problem werden könnten, sind Erpressungsbetrugsfälle.
Stellen Sie sich beispielsweise einen Deepfake vor, bei dem ein CEO oder ein Vorstandsmitglied in einer kompromittierenden Situation zu sehen ist oder Hassreden äußert. Auf dieses Szenario weist Europol hin, das davon ausgeht, dass Deepfake-Technologie für Angriffe auf hochrangige Führungskräfte, zur Manipulation von Beweismitteln sowie zur Herstellung von Pornografie ohne Einwilligung der Betroffenen eingesetzt werden wird.
So können Sie diesem Trend im Bereich der Cybersicherheit entgegenwirken: Eine Kombination aus Technologie und menschenorientierter Wachsamkeit kann dazu beitragen, diesen zunehmenden Trend einzudämmen. Die Mitarbeiter müssen für das drohende Problem der Deepfake-Erpressung sensibilisiert werden. Führungskräfte der obersten Ebene (CXOs) und der Vorstand sollten in die Sicherheitsaufklärung zu Deepfake-Betrugsfällen einbezogen werden. Darüber hinaus sollten Kontrollmechanismen für Geldtransfers ab einem bestimmten Betrag eingeführt werden. KI-basierte Cybersicherheitslösungen können ebenfalls zur Prävention von Deepfakes beitragen.
Anhaltender Identitätsbetrug unter Verwendung gefälschter Identitätsdaten
Identitätsdiebstahl ist weltweit ein zunehmendes Problem. Laut einem Bericht von Experian aus dem Jahr 2022 war die Hälfte der Verbraucher entweder selbst Opfer eines Betrugs oder kennt jemanden, der davon betroffen war.
Diese gefälschten Identitäten werden voraussichtlich zu den für das Jahr 2023 prognostizierten Verlusten durch E-Commerce-Betrug in Höhe von über 48 Milliarden US-Dollar beitragen: Zur Erstellung einer synthetischen Identität verwenden Betrüger eine Mischung aus gestohlenen persönlichen Daten und gefälschten Informationen; zunehmend werden Deepfakes eingesetzt, um die Daten zu ergänzen. Diese synthetischen Identitäten werden anschließend dazu genutzt, Bankkonten, Social-Media-Konten und andere scheinbar legitime Identitätskonten einzurichten.
Trend in der Cybersicherheit: Für Konten mit synthetischen Identitäten werden Daten benötigt. Diese Daten werden auf Dark-Web-Marktplätzen gekauft oder auf Bestellung von den betroffenen Personen gestohlen. Ein Konto mit synthetischer Identität wird genutzt, um Unternehmen dazu zu verleiten, Kredite zu gewähren oder neue Konten in ihrem System anzulegen. Die Folge ist ein Verlust des Verbrauchervertrauens in Unternehmen sowie Umsatzverluste. Zwar ist die Nutzung synthetischer Identitäten keine neue Form der Cyberkriminalität, doch da sie lukrativ ist, ist davon auszugehen, dass weiterhin neue Angriffswege erschlossen werden.
So können Sie diesem Cybersicherheitstrend entgegenwirken: Gestohlene oder offengelegte Daten bilden den Ausgangspunkt für Betrug mit synthetischen Identitäten. Verringern Sie das Risiko von Datenlecks, indem Sie Phishing durch Phishing-Simulationsübungen eindämmen.
Zunahme von Betrugsfällen im Bereich der Cybersicherheit aufgrund der weltweiten Rezession
Laut der Weltbank„könnte sich die Welt im Jahr 2023 auf eine globale Rezession und eine Reihe von Finanzkrisen in Schwellen- und Entwicklungsländern zubewegen, die diesen Ländern dauerhaften Schaden zufügen würden“. Die Geschichte lehrt uns, dass Betrugsfälle und Betrugsmaschen zunehmen, wenn bedeutende negative Ereignisse eintreten.
So ergab beispielsweise eine Umfrage unter Betrugsexperten während und nach der Bankenkrise Ende der 2000er Jahre, dass 55 % der Befragten in geringem oder erheblichem Umfang von Betrugsfällen betroffen waren. Im Zuge der Covid-19-Pandemie war ein ähnlicher Anstieg von Betrugsfällen und Betrugsversuchen zu verzeichnen; ein Bericht von TransUnion ergab im ersten Quartal 2021 einen Anstieg der Betrugsversuche um 149 %.
Trend im Bereich Cybersicherheit: Da die Welt in eine Rezession abgleitet, ist damit zu rechnen, dass Betrüger den Druck auf Ihr Unternehmen verstärken werden. Dieser Druck wird sich in Form von vermehrten Phishing-Angriffen, BEC-Betrugsfällen, Ransomware-Infektionen und anderen finanzbezogenen Cyberangriffen äußern.
So können Sie diesem Trend im Bereich der Cybersicherheit entgegenwirken: Um der zunehmenden Zahl von Betrugsfällen entgegenzuwirken , ist ein mehrschichtiger Ansatz erforderlich. Entwickeln Sie eine solide Cybersicherheitsstrategie, die sowohl technologische als auch auf den Menschen ausgerichtete Cybersicherheitsmaßnahmen umfasst.
Ein Netz aus Malware
Der Zermürbungskrieg zwischen Cyberkriminellen und Unternehmen hat zur Entwicklung von Ausweichtaktiken geführt, die auf komplexen Malware-Ökosystemen beruhen. Die Angriffskette umfasst häufig mehrere Angriffspunkte und zunehmend raffinierte Methoden zum Diebstahl von Anmeldedaten.
Dieses zunehmend komplexe Ökosystem, das zur Durchführung eines Cyberangriffs genutzt wird, wurde kürzlich in einem Microsoft-Blogbeitrag zum „Raspberry Robin“-Wurm beschrieben: Microsoft vermutet, dass Social Engineering eingesetzt wird, um Nutzer dazu zu verleiten, auf eine .LNK-Datei zu klicken oder einen infizierten USB-Stick anzuschließen. Doch damit ist die Geschichte noch nicht zu Ende. „Raspberry Robin“ ist laut Microsoft-Forschern Teil eines riesigen Malware-Ökosystems, wobei die Malware die Installation weiterer Malware, einschließlich Ransomware, ermöglicht.
Microsoft kommt zu dem Schluss, dass „Malware von Cyberkriminellen stellt heutzutage für die meisten Organisationen eine allgegenwärtige Bedrohung dar, da sie gängige Schwachstellen in Sicherheitsstrategien ausnutzt und Social Engineering einsetzt, um Nutzer zu täuschen. Nahezu jede Organisation ist dem Risiko ausgesetzt, mit diesen Bedrohungen konfrontiert zu werden.
Trend im Bereich Cybersicherheit: „Raspberry Robin“ ist ein Beispiel dafür, wie Cyberkriminelle und ihre taktischen Ökosysteme die Erkennung von Cyberangriffen erheblich erschweren. Es ist davon auszugehen, dass sich dieser Trend im Jahr 2023 fortsetzen wird: integrierte, vielschichtige Cyberangriffe, die zahlreiche Bedrohungen umfassen und den Menschen in den Mittelpunkt eines Netzes aus Malware stellen.
Wie lässt sich dieser Trend im Bereich der Cybersicherheit eindämmen: Eine robuste Sicherheitsstrategie sollte auf dieses vielschichtige Ökosystem von Cyberangriffen mit entsprechend vielschichtigen Maßnahmen reagieren. Zu diesen Maßnahmen sollten technische Vorkehrungen wie eine robuste Authentifizierung, Zero-Trust-Sicherheit, Verschlüsselung und intelligente Inhaltsfilterung gehören. Da jedoch der menschliche Faktor weiterhin Schwachstellen schaffen wird, die Cyberkriminelle ausnutzen, müssen technologische Maßnahmen durch menschenzentrierte Schulungen zur Sensibilisierung für Sicherheitsfragen ergänzt werden.
Es besteht kein Zweifel daran, dass Cyberkriminelle unsere Mitarbeiter auch im Jahr 2023 und darüber hinaus weiterhin ausnutzen werden. Die einzige Möglichkeit, komplexe Bedrohungsökosysteme, die auf Social Engineering basieren, einzudämmen, besteht darin, unseren Mitarbeitern die Mittel an die Hand zu geben, mit denen sie sich selbst und das Unternehmen schützen können.
Schulungen zur Sensibilisierung für Sicherheitsfragen, ergänzt durch simulierte Phishing-Übungen, sollten Teil eines umfassenden Sicherheitskonzepts sein. Angesichts des nahenden Jahres 2023 ist die Umsetzung dieser Maßnahmen dringend erforderlich. Nur durch koordinierte Maßnahmen lässt sich jedoch der erforderliche Schutz gewährleisten, um Cyberkriminelle wirksam zu stoppen.