How to avoid becoming a victim of cyber crime

Dieser Blogbeitrag basiert auf einem Interview mit Thomas Wong von Improsec, das im Podcast geführt wurde. „Regnskabets Time“, Staffel 2, Folge 4
Die Convenience-Store-Kette 7-Eleven wurde letzte Woche von einem mutmaßlichen Hackerangriff getroffen, der schließlich zur Schließung aller Filialen in Dänemark führte. Wir halten es für angebracht, einen Auszug aus unserem Podcast mit Thomas Wong von Improsec, wo wir über die aktuelle Gefahr sprechen konnten, dass die eigenen Daten von Cyberkriminellen kompromittiert werden.

TL;DREin Interview mit Thomas Wong von Improsec, das für den Podcast „Regnskabets Time“ aufgezeichnet wurde, zeigt, dass die meisten dänischen Unternehmen der IT-Sicherheit zwar Priorität einräumen wollen, jedoch Schwierigkeiten haben, Ressourcen für grundlegende Maßnahmen wie Risikobewertungen und Geschäftskontinuitätspläne bereitzustellen. In dem Beitrag wird argumentiert, dass Unternehmen bei cloudbasierten Finanzlösungen genau verstehen müssen, wo die Sicherheitsverantwortung des SaaS-Anbieters endet und ihre eigene beginnt.

Interviewer: Wir haben uns heute, bevor wir mit der Aufnahme begonnen haben, kurz unterhalten, Thomas. Du hast mir erzählt, dass viele dänische Unternehmen nicht über das erforderliche Maß an IT-Sicherheit verfügen. Kannst du das vielleicht etwas näher erläutern?

Thomas: Ja. Was ich meine, ist, dass die überwiegende Mehrheit der Unternehmen sich gerne auf die IT-Sicherheit konzentrieren würde. Aber wenn es darum geht, diese in die Unternehmenskultur zu integrieren, stellt sich oft heraus, dass es weitaus schwieriger ist, Ressourcen dafür bereitzustellen, als zunächst erwartet. Das kann zum Beispiel die Umsetzung grundlegender Maßnahmen betreffen, wie Risikobewertungen oder einen Geschäftskontinuitätsplan, der festlegt, was zu tun ist, wenn etwas schiefgeht. An dem Tag, an dem etwas schiefgeht, ist der Schneeball, den man vor sich hergeschoben hat, plötzlich viel größer geworden. Die meisten Unternehmen werden früher oder später angegriffen, daher geht es darum, sicherzustellen, dass der Schaden so gering wie möglich ausfällt. Deshalb ist es wichtig, gut auf einen Angriff vorbereitet zu sein.

Interviewer: Heutzutage nutzen zahlreiche Unternehmen cloudbasierte IT-Lösungen. Worauf muss man hinsichtlich der Sicherheit einer Cloud-Lösung genau achten?

Thomas: Das ist eine sehr weit gefasste Frage. Aber eines der wichtigsten Dinge, über die man sich im Klaren sein muss, ist, wer wann verantwortlich ist. Der Anbieter trägt eine Verantwortung. Allerdings nur so lange, bis seine Dienstleistung „endet“. Wenn ein SaaS Wenn die Lösung Daten in das Betriebssystem eines Unternehmens oder ein ähnliches System übermittelt, liegt es daher in der Verantwortung des Unternehmens, dafür zu sorgen, dass diese Daten sicher gespeichert werden und das System ausreichend aktualisiert wird.

Interviewer: Was können Sie als Mitarbeiter oder Nutzer einer Cloud-Lösung selbst tun, um die Sicherheit zu erhöhen?

Thomas: Ganz einfach: Wählen Sie ein gutes Passwort. Verwenden Sie Passwörter nicht mehrfach. Und das gilt auch dann, wenn Sie verschiedene Benutzernamen, E-Mail-Konten oder Ähnliches nutzen – verwenden Sie Passwörter nicht mehrfach. Ich bin außerdem der Meinung, dass Sie Ihre Passwörter nicht nach einem leicht erkennbaren Muster ändern sollten. Nicht zuletzt müssen berufliche und private Angelegenheiten voneinander getrennt bleiben. Wenn das jeder tun würde und aufhören würde, seine privaten E-Mails vom Arbeitscomputer aus abzurufen, gäbe es weniger Angriffe.

Interviewer: Wie merkt man, dass man angegriffen wird?

Thomas: Zunächst beginnt es mit einer Betriebsstörung – es gibt Dateien, auf die man nicht mehr zugreifen kann, Programme, die nicht mehr funktionieren, und darauf folgt in der Regel eine Nachricht, in der steht, dass man seine Daten zurückbekommt, wenn man dafür bezahlt. Das ist meist sehr freundlich und höflich formuliert. Danach ist es sehr wichtig, offen mit der Situation umzugehen. Ein Angriff kann lange andauern, und es ist völlig in Ordnung, offen damit umzugehen. Als Nächstes sollte das Unternehmen jedoch die oben genannten Business-Continuity-Pläne befolgen. Dann weiß man, was in allen Phasen des Angriffs und der anschließenden Wiederherstellungsphase zu tun ist. Das spart unglaublich viel Zeit und letztendlich auch Geld.
Zu den Unternehmen, die besonders schwer getroffen wurden, gehören vor allem solche, die keine vorab ausgearbeiteten Pläne hatten. In vielen Fällen erfährt die Öffentlichkeit möglicherweise gar nicht, dass es einen Angriff gegeben hat. Denn das Unternehmen hat schnell reagiert, da es bereits im Vorfeld einen klaren Plan und eine Strategie für das Vorgehen vor, während und nach dem Angriff gab.

Interviewer: Sollten Unternehmen die Angreifer bezahlen, damit diese aufhören?

Thomas: Das würde ich meinen Mandanten nicht empfehlen. Das sage ich aus ethischer Sicht. Allerdings fallen mir dennoch Beispiele ein, in denen es für ein Unternehmen sinnvoll sein könnte, das Lösegeld zu zahlen. Das könnte zum Beispiel in einem Fall sein, in dem das Unternehmen einfach nicht mehr weitermachen kann und die Insolvenz die natürliche Folge des Angriffs wäre. In einem solchen Fall lässt sich kaum behaupten, man hätte eine Wahl. Sollte man sich jedoch für diesen Weg entscheiden, würde ich empfehlen, mit Fachleuten zusammenzuarbeiten, die Erfahrung in Verhandlungen mit Cyberkriminellen haben.
Wenn Sie jedoch vermeiden möchten, in eine Situation zu geraten, in der Sie überhaupt darüber nachdenken müssen, die Folgen eines Angriffs zu begleichen, dann sind Risikobewertung, Schulungen, Vorbereitungen, Penetrationstests usw. der richtige Weg. Das klingt zwar sehr traurig, könnte sich aber letztendlich als die wichtigste Investition erweisen, die das Unternehmen je getätigt hat.

Häufig gestellte Fragen

Wer ist für die Sicherheit verantwortlich, wenn ein Unternehmen cloudbasierte Finanzsoftware einsetzt?

Die Verantwortung wird geteilt. Der SaaS-Anbieter ist für die Sicherheit seiner eigenen Plattform und seines Dienstes verantwortlich. Sobald die Daten jedoch in die Betriebsumgebung des Unternehmens übertragen oder in interne Systeme integriert werden, liegt es in der Verantwortung des Unternehmens, sicherzustellen, dass diese Umgebung ordnungsgemäß gesichert und auf dem neuesten Stand gehalten wird. Der Übergabepunkt ist von Bedeutung und sollte im Dienstleistungsvertrag klar definiert werden.

Was sind die wichtigsten Grundlagen der IT-Sicherheit, die dänische Unternehmen vernachlässigen?

Laut Thomas Wong von Improsec liegen die häufigsten Lücken in den Grundlagen: bei der Risikobewertung und der Planung der Geschäftskontinuität. Die meisten Unternehmen möchten ihre Sicherheit verbessern, tun sich jedoch schwer damit, Ressourcen für diese vorbeugenden Maßnahmen bereitzustellen. Die Folge ist, dass die Reaktion auf einen Vorfall weitaus kostspieliger und störender ausfällt, als es eigentlich nötig wäre.

Kann ein Unternehmen einen Cyberangriff vollständig verhindern?

Nein. Thomas Wong macht deutlich, dass die meisten Unternehmen irgendwann einmal Opfer eines Angriffs werden. Das Ziel besteht nicht allein in der Prävention, sondern in der Schadensbegrenzung. Das bedeutet, einen Plan zur Aufrechterhaltung des Geschäftsbetriebs zu haben, zu wissen, welche Systeme kritisch sind, und sicherzustellen, dass ein erfolgreicher Angriff auf einen Teil der Infrastruktur nicht zu einem vollständigen Ausfall führt, wie es bei 7-Eleven Dänemark der Fall war.

Wie sollten Mitarbeiter bei der Nutzung von Unternehmenssystemen mit Sicherheitsrisiken umgehen?

Mitarbeiter sind oft das schwächste Glied in der Kette – nicht aus böser Absicht, sondern weil ihr Sicherheitsbewusstsein gering ist. Regelmäßige Schulungen zu Phishing, Passwort-Hygiene und zum Melden verdächtiger Aktivitäten reduzieren das Risiko durch den menschlichen Faktor erheblich. Die IT-Sicherheitskultur muss in die täglichen Gewohnheiten integriert werden und darf nicht als jährliche Compliance-Maßnahme betrachtet werden.