„Unser Unternehmen ist für Cyberangriffe doch absolut uninteressant!“ Insbesondere mittelständische Unternehmen sind oft noch der Meinung, dass sie nicht auf dem Schirm von Hacker sind und Cyberkriminalität für sie keine große Rolle spielt. In der Realität ist es jedoch so, dass fast alle Cyberangriffe nicht zielgerichtet auf ein Unternehmen sind. Die Kriminellen agieren nach dem Gießkannenprinzip und haben meist keine konkreten Ziele. Sie warten einfach ab, welche Unternehmen oder Organisation zum Beispiel auf E-Mails mit Phishing-Links reagieren. Mit wenigen kostengünstigen Maßnahmen können Unternehmen bereits in ihre IT-Sicherheit investieren und so größeren Schaden abwenden.

Ist das Kind erst in den Brunnen gefallen, sprich wurden Daten abgegriffen, Passwörter geknackt und sensible Informationen von Kunden gehackt, zieht das unweigerlich einen Reputationsschaden nach sich, den sich kein Unternehmen leisten kann. Daten sind durch das Internet und die zunehmende Digitalisierung mittlerweile zu einer Währung geworden. Viele sind bereit, Unsummen zu bezahlen, um Daten zu erhalten, die beispielsweise das Konsumverhalten oder den finanziellen Status von Menschen zeigen. Hacker sind besonders darauf aus, Massen an Daten zu sammeln – dabei ist es zweitrangig, woher diese stammen.

Häufig noch unterschätzt: Passwörter

Ich erlebe häufig, dass in Unternehmen nach wie vor sehr nachlässig mit Passwörtern umgegangen wird. Es werden noch immer Nachnamen der User, Zahlreihen wie 12345 oder ähnlich Einfaches genutzt. Daher ist eine der kostengünstigsten Methoden für mehr IT-Sicherheit, einzigartige Passwörter zu verwenden. Geeignet sind vor allem Kombinationen aus Buchstaben, Zahlen und Sonderzeichen, die in keinem Zusammenhang stehen. Im besten Fall werden diese an einem sicheren Ort gespeichert, zum Beispiel mithilfe eines Passwortmanager-Tools. Dabei sollte darauf geachtet werden, dass die Daten nur lokal gespeichert oder in einer eigenen Cloud verschlüsselt werden. Die Tools nutzen ein einziges, schweres Masterpasswort, das alle anderen Passwörter, die gespeichert sind, schützt. Dadurch können die einzelnen Anwendungen nicht gehackt werden und es sind nicht gleich alle Passwörter gefährdet. Zudem empfiehlt sich, bei jeder Anwendung eine Zwei-Faktoren-Authentifizierung zu aktivieren. Durch das zusätzliche Verschicken eines Codes zum Beispiel per SMS auf das Handy, wird die Anmeldung sicherer und zudem erkennt man direkt, falls jemand versucht, sich einzuloggen, und man kann entsprechende Maßnahmen einleiten. Außerdem sollten Anwendungen und allgemeine Betriebssysteme immer auf dem neuesten Stand gehalten werden, sprich, führen Sie regelmäßige Updates durch, damit Sicherheitslücken geschlossen werden.

E-Mails – wann besser nicht öffnen

Wir alle kennen die E-Mails, in denen uns mitgeteilt wird, wir hätten etwas gewonnen oder ein uns unbekanntes Familienmitglied hat uns ein Millionenerbe hinterlassen. Mittlerweile sollte bei jedem angekommen sein, dass diese Mails natürlich von Betrügern stammen. Doch inzwischen gibt es sehr viel raffiniertere Methoden, mit denen Menschen an sensible Daten gelangen oder einen Virus installieren wollen. Generell gilt es, alle im Unternehmen darauf zu sensibilisieren. Kommt einem bereits der Absender komisch vor, dann sollte die Mail nicht geöffnet werden. Im Zweifelsfall gilt, die E-Mail zu ignorieren oder telefonisch bei einer bekannten Nummer, die nicht aus der unsicheren Mail stammt, nachzufragen, besonders wenn die Mail z. B. von einer Bank oder einem bekannten Dienstleister kommen. Sicher ist, dass diese nie per Mail Passwörter oder PIN-Daten einfordern würden. Größere Unternehmen haben meistens eine gesonderte Abteilung, die E-Mails prüfen. Davon sollte ebenfalls Gebrauch gemacht werden.

Regelmäßige Backups erstellen

Nichts ist ärgerlicher, als wenn Daten verlorengehen, weshalb regelmäßige Backups ebenfalls zur IT-Sicherheit gehören. Am besten sollten diese verschlüsselt werden, sodass selbst, wenn diese Daten gefunden werden, ein Hacker nichts damit anfangen kann. Daten können auf externen Festplatten oder auf einer Cloud gesichert werden, worauf ich gleich noch zu sprechen komme.

Alle Maßnahmen, ob sichere Passwörter, Vorsicht bei E-Mails oder Backups sind in den Unternehmen ohne großen Zeit- und Geldaufwand zu realisieren und stellen die Basis für eine sichere IT dar.

Sicherheit in der Cloud

Konkret zum Thema Sicherheit in der Cloud lässt sich sagen, dass Microsoft zum Beispiel das Microsoft Azure Well-Architected Framework zur Verfügung stellt, welches eine Sammlung von Best Practises enthält, um sichere, leistungsstarke, widerstandsfähige und effiziente Systeme in der Cloud zu gestalten. Dort geht es unter anderem darum, dass Ressourcen nur erstellt werden können, wenn sie gewissen Bedingungen, sogenannten Policies unterliegen. Eine solche kann sein, dass die Ressource in einem deutschen Rechenzentrum gehostet wird. Im Prinzip kann man während des gesamten Designprozesses überlegen, welche Daten wie verarbeitet werden müssen und welche Ressourcen erstellt werden. Zudem kann ein Least Privilage Ansatz verwendet werden – dieses Konzept legt fest, dass so wenige Benutzer wie nötig Zugriff erhalten und nicht zu viele Daten oder Rechte erhalten. Im Grunde sorgt es dafür, dass jeder Nutzer nur auf das Zugriff erhält, was er unbedingt braucht.

Außerdem ist das Absichern der Infrastruktur an sich sehr wichtig. Dazu zählt, dass Ressourcen nicht zwingend Zugriff auf das Internet brauchen, ebenso wie, dass nicht vom Internet auf diese zugegriffen werden muss, wenn es nicht notwendig ist. So wird diese Ressource davor geschützt, ausgenutzt und angegriffen zu werden.

Prävention gehört zur wichtigsten Aufgabe der IT-Sicherheit

Um Cyberangriffen vorzubeugen, ist Prävention unverzichtbar. Dazu gehören sichere Systeme ebenso wie ganzheitliche IT-Sicherheitskonzepte, klare Strukturen und organisatorische Maßnahmen sowie Sensibilisierung und Aus- oder Weiterbildung der Mitarbeiter. Diese müssen in regelmäßigen Abständen auf mögliche Bedrohungen und Schutzmaßnahmen auf dem Laufen gehalten werden und auch sonst ein Gefühl dafür entwickeln, dass man mit Social Engineering an Informationen von Mitarbeitern kommt, die man nicht rausgeben sollte.