Awareness:
Im Visier der Hacker


[17.1.2022] Erfolgversprechende Cybersecurity-Strategien beruhen auf drei Säulen: Mensch, Technologie sowie Organisation und Prozesse. Allerdings wird die zentrale Säule – der Mensch – allzu oft sträflich vernachlässigt.

Die drei Säulen einer Cybersecurity-Strategie. Um die mannigfaltigen Gefahren abzuwehren, die der IT-Infrastruktur aus den Tiefen des Internets drohen, wird kräftig in hochmoderne Security-Systeme investiert. Doch: Je besser Technik Gefahren von außen erkennt und abwehrt, umso attraktiver wird es, diese zu umgehen und die Menschen, die schon Zugang zu den Systemen haben, zu hacken. Um es mit dem amerikanischen Security-Experten Bruce Schneier zu sagen: „Nur Amateure greifen die Technologie an, Profis nehmen den Menschen ins Visier.“ Dabei ziehen sie alle Register des Social Engineering und nutzen Grundverhaltensmuster des Menschen aus. Sie appellieren an seine Hilfsbereitschaft, arbeiten mit (Zeit-)Druck, schüren Ängste oder versprechen befristete Belohnungen.
Manchmal kommen die Angriffe plump daher, etwa in Form von skurril anmutenden Anrufen oder Massen-Spammails, die, wenn man weiß, worauf man achten soll, ohne Weiteres als solche zu erkennen sind. Aber immer öfter sind Angriffe sehr viel zielgerichteter. In der Vorbereitung sammeln Cyber-Kriminelle alle Daten, an die sie herankommen können: über das Telefon, vor Ort getarnt als Servicemitarbeiter, in den sozialen Medien und dem Web. Diese Daten werden verknüpft, verarbeitet, ausgewertet und dienen als Grundlage eines ausgeklügelten Angriffsplans. Nicht selten ist dieser sogar mehrstufig aufgebaut. Etwa in Schritt 1 den Zugriff auf das Mail-Postfach eines Mitarbeiters in Behörde A zu bekommen, um dann in Schritt 2 als vermeintlich vertrauenswürdige Person einen Mitarbeiter bei Behörde B ins Visier zu nehmen.

Eingriff in erprobte Arbeitsabläufe

Ein Evergreen ist das Versenden einer Bewerbung, die im Hintergrund (meist über die Makrofunktio­nalität) unerwünschte Schad-Software mit sich bringt. Ein kurzer Anruf des vermeintlichen Bewerbers, mit der Bitte, einmal schnell nachzuschauen, ob der aktuelle Lebenslauf dabei sei, die Versicherung, das mit den Makros sei schon okay, und der Schaden ist geschehen. Fakt ist, Cyber-Kriminelle haben mittlerweile einen hohen Grad an Profes­sionalität erreicht. Da ist es fahrlässig, seine Mitarbeiter auf Amateur­niveau zu belassen.
Cyber-Security beruht auf drei Säulen: Mensch, Technologie sowie Organisation und Prozesse. In der Realität wird aber meistens die Technologie implementiert, passende Prozesse erarbeitet und dann den Mitarbeitern übergestülpt. Das führt zu Problemen, schließlich wird damit in jahrelang erprobte Abläufe des Arbeitsalltags eingegriffen. Die Folge: Widerstand. Viele Mitarbeiter versuchen alles, die praktizierten Vorgehensweisen weiterhin zu nutzen. Notfalls unter Umgehung der neuen Regeln. Das Problem liegt aber nicht nur beim Mitarbeiter, sondern daran, dass er bei der Erarbeitung des Konzepts nicht im Mittelpunkt stand. Sonst hätte man sich Gedanken darüber gemacht, inwiefern sein Arbeitsalltag betroffen ist, und bei gravierenden Änderungen deren Notwendigkeit erklärt.

Problematische Unternehmenskultur

Fehlende Erklärungen, mangelhafte Kommunikation, vernachlässigte Orientierung am Arbeitsalltag und schwach ausgebildetes Awareness-Bewusstsein – das sind die Zutaten, die ein auf dem Papier genial anmutendes Cybersecurity-Konzept in der Realität krachend scheitern lassen. Ebenso in den Bereich der Kommunikation gehört das Thema Ansprechpartner: An wen wenden sich die Mitarbeiter bei Verdachts- oder Schadensfällen? Allzu oft ist das nicht wirklich bekannt, muss in einer Notsituation erst einmal nach dem Ansprechpartner recherchiert werden.
Angriffsfläche für Cyber-Kriminalität bietet auch die hierzulande übliche Devise: Fehler kommen im Job nicht vor. Wer dennoch welche macht, steht am Pranger. Das führt zu einer Angstkultur, in der Fehler vertuscht und verschleppt werden. Im Fall eines Cybersecurity-Vorfalls ist dieses Verhaltensmuster ein Super-GAU, da Zeit ein entscheidender Faktor bei der Eindämmung ist. Dieses Phänomen betrifft zwar die Mitarbeiter, seine Ursache liegt aber in der Unternehmenskultur. Solange kein anderer Umgang mit Fehlern gelebt wird, ist das Problem kaum in den Griff zu bekommen. Aus Security-Sicht ist eine Kultur nötig, die das Vorkommen von Fehlern akzeptiert, diese schnell und offen kommuniziert und daraus die richtigen Lehren zieht. Ein zusätzlicher Vorteil einer solchen Unternehmenskultur: Die Mitarbeiter trauen sich mehr zu, agieren selbstständiger und kreativer und gleichzeitig aufmerksamer, wenn sie wissen, dass ihnen aus einem Fehler kein Strick gedreht wird.

Cybersecurity vom Menschen aus denken

Im Rahmen einer Zertifizierung oder Rezertifizierung, beispielsweise auf Grundlage der ISO 2700x-Reihe, reicht es zwar aus, den Nachweis zu erbringen, dass die Mitarbeiter geschult wurden. Meistens passiert das aber als fast schon einschläfernder Frontalunterricht unter Zuhilfenahme überfrachteter Power-Point-Präsentationen. Nachweis erbracht – Ziel erreicht? Nicht wirklich! Das Ziel der Übung sollte ja eigentlich sein, die Mitarbeiter für das Thema Cyber-Risiken zu sensibilisieren, und nicht, ein Häkchen im Rahmen der Zertifizierung zu bekommen. Besser als einmalige Veranstaltungen ist es, das Thema Awareness in den Arbeitsalltag einzubauen.
Ebenso, wie Hacker sich beim Social Engineering die menschliche Psyche zunutze machen, kann man das auch auf der Gegenseite. Der Drang nach Lob ist tief im Menschen angelegt und lässt sich einfach ansprechen durch kleine virtuelle Belohnungen in Form von Trophäen, Badges und ähnlichem. Der Mensch muss mit der Technologie umgehen, die Prozesse in der täglichen Arbeit anwenden und leben. Daher ist es sinnvoll, Cybersecurity von ihm aus zu denken. Ohne das aktive Mitwirken durch den Menschen ist nämlich jede Cybersecurity-Strategie von Beginn an zum Scheitern verurteilt. Daher ist es höchst sinnvoll, dem Thema Awareness einen entsprechenden Stellenwert einzuräumen.

Jakob Schmidt ist Coordinator Awareness KORAMIS im Kompetenzzentrum für Cybersecurity der telent GmbH.

https://www.telent.de
Dieser Beitrag ist im Titel der Ausgabe Januar 2022 von Kommune21 erschienen. Hier können Sie ein Exemplar bestellen oder die Zeitschrift abonnieren. (Deep Link)

Stichwörter: IT-Sicherheit, telent, Awareness, Cyber-Angriffe, Unternehmenskultur

Bildquelle: telent GmbH

Druckversion    PDF     Link mailen


Weitere Meldungen und Beiträge aus dem Bereich IT-Sicherheit
Baden-Württemberg: Umfassende Cybersicherheitsstrategie
[12.1.2022] Der Ministerrat des Landes Baden-Württemberg hat eine Cybersicherheitsstrategie beschlossen. Das umfassende Gesamtkonzept nimmt alle gesellschaftlichen Aspekte der Cyber-Sicherheit in den Blick. Die Cybersicherheitsagentur Baden-Württemberg (CSBW) spielt dabei eine zentrale Rolle. mehr...
Baden-Württemberg: Umfassende Strategie für mehr Cyber-Sicherheit beschlossen.
Dataport/BSI: Zusammenarbeit bei der IT-Sicherheit
[11.1.2022] Beim Thema IT-Sicherheit wollen das Bundesamt für Sicherheit in der Informationstechnik (BSI) und der IT-Dienstleister Dataport künftig enger zusammenarbeiten. mehr...
IT-Sicherheit: Kehrseite der Digitalisierung Bericht
[10.1.2022] Mit fortschreitendem Digitalisierungsgrad häufen sich Cyber-Angriffe und IT-Sicherheitsvorfälle. Die jüngsten Vorkommnisse in Schwerin, Witten und Sachsen-Anhalt werfen ein Schlaglicht auf den Zustand der IT-Sicherheit in Kommunen. mehr...
Cyber-Angriff: Auch Kommunen sind betroffen.
Virtual Solution: BSI gibt SecurePIM für Android 11 frei
[21.12.2021] Die mobile Kommunikationsanwendung SecurePIM Government SDS erhielt vom BSI eine Freigabe für Android 11 bis hin zum Geheimhaltungsgrad VS-NfD. Damit kann die Lösung jetzt auch auf modernsten Endgeräten betrieben werden. mehr...
PwC Deutschland: IT-Sicherheit für die öffentliche Verwaltung
[20.12.2021] Die Wirtschaftsprüfungs- und Beratungsgesellschaft PricewaterhouseCoopers (PwC) gibt vor dem Hintergrund häufiger Cyber-Attacken grundlegende Tipps, wie Behörden und Ämter ihre Daten und Systeme vor solchen Angriffen schützen können. mehr...
PricewaterhouseCoopers (PwC) gibt Tipps zur Cyber-Sicherheit in Ämtern und Behörden.
Suchen...

Aktuelle Information des Verlags


In Zeiten der Corona-Pandemie werden wir aktuelle Ausgaben von Kommune21 allen Interessierten bis auf weiteres kostenfrei digital zur Verfügung stellen. Weisen Sie bitte auch Ihre Kolleginnen und Kollegen im Homeoffice auf diese Möglichkeit hin.

Wir haben an dieser Stelle eine Bitte an Sie:
Die gegenwärtige Situation macht einmal mehr deutlich, wie wichtig das Thema Digitalisierung auch in Ihrer Verwaltung, Behörde oder Schule ist. Kommune21 berichtet seit 20 Jahren über alle wichtigen Themen der IT-gestützten Verwaltungsmodernisierung und hilft, die Digitalisierung im Public Sector transparent und besser zu gestalten. Bitte prüfen Sie über Ihre Buchhaltung, ob Sie bereits ein reguläres Abonnement von Kommune21 haben. Wenn nicht, dann freuen wir uns, wenn Sie gerade in diesen Zeiten ein Abonnement in Betracht ziehen. Danke!

Kommune21, Ausgabe 1/2022
Kommune21, Ausgabe 12/2021
Kommune21, Ausgabe 11/2021
Kommune21, Ausgabe 10/2021

Ausgewählte Anbieter aus dem Bereich IT-Sicherheit:
Net at Work GmbH
33104 Paderborn
Net at Work GmbH
ITEBO GmbH
49074 Osnabrück
ITEBO GmbH
NCP engineering GmbH
90449 Nürnberg
NCP engineering GmbH
Aktuelle Meldungen