Dieser Blog-Beitrag basiert auf einem Interview mit Thomas Wong, Improsec, im Podcast Regnskabets Time, Staffel 2 Folge 4
Die Convenience-Store-Kette 7-eleven war letzte Woche von einem möglichen Hackerangriff betroffen, der zur Schließung aller Filialen in Dänemark führte. Wir halten es für angemessen, einen Auszug aus unserem Podcast mit Thomas Wong von Improsec zu bringen, in dem wir über die aktuelle Bedrohung der eigenen Daten durch Cyberkriminelle sprechen.
Interviewer: Wir haben uns ein wenig unterhalten, bevor wir uns für die heutige Aufnahme hingesetzt haben, Thomas. Sie sagten mir, dass viele dänische Unternehmen nicht über das notwendige Maß an IT-Sicherheit verfügen. Kannst du das ein wenig näher erläutern?
Thomas: Ja. Ich meine, dass die große Mehrheit der Unternehmen sich gerne auf die IT-Sicherheit konzentrieren würde. Aber wenn es darum geht, sie in die Unternehmenskultur einzubinden, stellt sich oft heraus, dass es viel schwieriger ist, Ressourcen dafür zu verwenden, als zunächst erwartet. Das kann z. B. daran liegen, dass diese grundlegenden Dinge wie Risikobewertungen oder ein Plan zur Aufrechterhaltung des Geschäftsbetriebs (Business Continuity Plan), der Ihnen sagt, was zu tun ist, wenn etwas schief geht, nicht erledigt werden. An dem Tag, an dem etwas schief geht, ist der Schneeball, den Sie vor sich hergeschoben haben, noch viel größer geworden. Die meisten Unternehmen werden früher oder später in Mitleidenschaft gezogen, so dass es darauf ankommt, den Schaden so gering wie möglich zu halten. Deshalb ist es wichtig, auf einen Angriff gut vorbereitet zu sein.
Interviewer: Heute nutzen viele Unternehmen cloudbasierte IT-Lösungen. Worauf genau muss man bei der Sicherheit einer Cloud-Lösung achten?
Thomas: Das ist eine sehr weit gefasste Frage. Aber eines der wichtigsten Dinge, über die man sich im Klaren sein muss, ist, wer verantwortlich ist und wann. Der Anbieter hat eine Verantwortung. Aber nur so lange, bis sein Dienst "aufhört". Wenn eine SaaS-Lösung Daten in das Betriebssystem eines Unternehmens oder ähnliches einspeist, ist das Unternehmen dafür verantwortlich, dass die Daten sicher gespeichert werden und dass das System ausreichend aktualisiert wird.
Interviewer: Was können Sie als Mitarbeiter oder Nutzer einer Cloud-Lösung selbst tun, um das Sicherheitsniveau zu erhöhen?
Thomas: Das ist ganz einfach: Wählen Sie ein gutes Passwort. Passwörter nicht wiederverwenden. Und das gilt auch für den Fall, dass Sie verschiedene Benutzernamen, E-Mail-Konten oder ähnliches verwenden - verwenden Sie keine Passwörter wieder. Hier bin ich auch der Meinung, dass Sie Ihre Passwörter nicht nach einem leicht erkennbaren Muster ändern sollten. Last but not least müssen auch berufliche und private Dinge getrennt werden. Wenn jeder das tun würde und nicht mehr von seinem Arbeitsrechner aus seine privaten E-Mails abrufen würde, gäbe es weniger Angriffe.
Interviewer: Wie stellen Sie fest, dass Sie angegriffen werden?
Thomas: Es beginnt mit einer Betriebsunterbrechung - auf Dateien kann nicht mehr zugegriffen werden, Programme funktionieren nicht mehr, und dann folgt in der Regel eine Nachricht, in der es heißt, man könne seine Sachen zurückbekommen, wenn man dafür bezahlt. Normalerweise ist das sehr nett und höflich formuliert. Danach ist es sehr wichtig, offen über die Dinge zu sprechen. Ein Angriff kann sehr lange dauern, und es ist völlig in Ordnung, offen darüber zu sprechen. Als Nächstes sollte das Unternehmen jedoch die oben erwähnten Pläne für die Geschäftskontinuität befolgen. Dann weiß man, was in allen Phasen des Angriffs und der anschließenden Wiederherstellungsphase zu tun ist. Das spart unglaublich viel Zeit und letztlich auch Geld.
Einige der Unternehmen, die sehr hart getroffen wurden, sind diejenigen, die keine Pläne im Voraus erstellt haben. In vielen Fällen erfährt die Öffentlichkeit nicht einmal, dass es einen Angriff gegeben hat. Denn das Unternehmen hat schnell gehandelt, da es einen klaren Plan und eine Strategie für das Vorgehen vor, während und nach dem Angriff gab.
Interviewer: Sollten Unternehmen die Angreifer bezahlen, damit sie aufhören?
Thomas: Das würde ich meinen Kunden nicht empfehlen. Ich sage das aus ethischer Sicht. Aber ich kann Beispiele nennen, in denen es für ein Unternehmen sinnvoll ist, den Angriff zu bezahlen. Das könnte zum Beispiel der Fall sein, wenn das Unternehmen einfach nicht in der Lage ist, weiterzumachen und der Konkurs die natürliche Folge des Angriffs ist. Hier kann es schwierig sein zu sagen, dass man eine Wahl hat. Aber wenn Sie sich für diesen Weg entscheiden, würde ich Ihnen auch empfehlen, mit Fachleuten zusammenzuarbeiten, die Erfahrung mit Verhandlungen mit Cyberkriminellen haben.
Wenn Sie jedoch vermeiden wollen, in eine Situation zu geraten, in der Sie die Bezahlung eines Angriffs überhaupt in Betracht ziehen müssen, dann sind Risikobewertung, Schulung, Vorbereitung, Penetrationstests usw. der richtige Weg. Es hört sich sehr traurig an, aber es könnte sich am Ende als die wichtigste Investition erweisen, die das Unternehmen je getätigt hat.
