Foto: AXA
Sei es Unachtsamkeit oder Konzentrationsmangel, sei es, weil ein Mitarbeiter sich über den Chef geärgert hat - die Angestellten bilden das größte Sicherheitsrisiko für Unternehmen. Gegen Phishing-Attacken oder Social Engineering-Angriffe hilft die beste Firewall nichts. Über dieses Thema klärt eine Webinfosession der Computerwoche auf.
Werner Thalmeier, Director Sales Engineering EMEA bei Proofpoint, führt aus, wie diese sogenannten "Human Factor"-Angriffe funktionieren und welche Schäden sie verursachen. Er schildert, wie Verantwortliche solche Attacken stoppen können, bevor sie den anvisierten Nutzer überhaupt erreichen. Thomas Hafen von der Computerwoche moderiert die Webinfosession.
Thalmeier steigt mit einem launigen Beispiel in das ernste Thema ein: William Harriman hieß der vertrauensselige US-Botschafter, der während des Kalten Krieges ein Geschenk annahm. Ein hübsches Schnitzwerk aus Holz, das fürderhin sein Büro zierte. Allein das Meisterwerk beeindruckte nicht nur durch Handwerkskunst - es sollte sich sozusagen als einer der ersten Trojaner entpuppen. Denn sein Innenleben barg ein passives Schwingsystem, das durch elektromagnetische Wellen von außen manipuliert wurde. Der Feind hörte mit. "Ein menschlicher Fehler", seufzt Thalmeier.
Was heißt das übertragen auf heutige IT-Systeme? "Es gibt viele Investitionen auf Ebene der Netzwerksicherheit", führt der Experte aus, "aber gezielte Angriffe erfolgen meist über die persönliche Ansprache in der E-Mail."
Hacker arbeiten mit dem "Enkeltrick 4.0"
Anwender holen sich die Daten, die sie brauchen, heute aus verteilten Umgebungen. Dazu zählen etwa Xing und LinkedIn oder Sharepoint-Anwendungen in der Cloud. Cyberkriminelle stellen auf drei Punkte ab: Sie bringen den Nutzer dazu, dass er für sie einen Code ausführt, sie greifen Anmeldedaten ob und sie veranlassen quasi die direkte Zuarbeit an den Hacker. "Das ist sehr häufig in letzter Zeit", beobachtet der Experte. Der unbedachte Klick auf den Anhang in einer Mail vom vermeintlich bekannten Geschäftspartner bleibt die große Schwachstelle. 47 Prozent solcher Attacken adressieren den Chief Financial Officer (CFO), weitere 25 Prozent die HR-Abteilung. "Enkeltrick 4.0" nennt Thalmeier solche Angriffe. Die bisherigen Sicherheitssysteme sind nicht dafür gebaut, so etwas abzuwehren. Es handelt sich ja nicht um Malware im klassischen Sinn.
"Was kann man tun?", will Moderator Hafen wissen. Thalmeier nennt zwei Aspekte: zum einen können Sicherheits-Chefs technisch dafür sorgen, dass solche Mails den Anwender gar nicht erst erreichen. Konkret geht es dabei etwa um E-Mail-Richtlinien und -Analysen, um granulare Kontrollen oder E-Mail Authentifizierung. Zum anderen müssen Unternehmen die Prozesse abstimmen. "Wer darf was wann wohin versenden? Auf welche Plattformen?", sagt Thalmeier. Solche Fragen sind zu klären. Zahlungen dürfen nur anhand definierter Prozesse ausgeführt werden, so sein Appell. Und: Für den Notfall muss ein Aktionsplan vorliegen. "Das Grundschutzhandbuch des BSI empfehle ich jedem", erklärt er.
Schließlich will der Moderator wissen, wie weit deutsche Unternehmen in diesem Bereich denn sind. Thalmeier spricht eine Warnung aus: "Keiner sollte denken, ach, wir sind ja nur ein kleiner Mittelständler, uns greift schon keiner an!"