Faktor Mensch: Cyber-Security jenseits der Technologie

Wir tendieren dazu, bei Cyber-Sicherheit zunächst immer in technischen Dimensionen zu denken. Es geht um neue Ransomware-Attacken mit noch gefährlicheren Algorithmen, Viren, Würmern und Phishing. Das sind aber letztlich nur die Speerspitzen des Angriffs.

Cyber-Kriminalität ist heute ein Massenphänomen, das sich auf breite Teile der Gesellschaft auswirkt. Betrachtet man nur die technische Seite, kann man die Bedrohung nicht voll erfassen und dagegen vorgehen. Stattdessen müssen auch übergeordnete Entwicklungen berücksichtigt werden. Jochen Adler, verantwortlich für Partnergeschäft bei OpenText in Deutschland, Österreich und der Schweiz, zeigt drei solcher Faktoren auf:

1. Fehlinformationen

Bewusst gestreut oder zufällig „viral gegangen“; falsche Informationen und Fake News verbreiten sich heute rasend schnell. Aktuell kann man das beispielsweise bezüglich des Corona-Virus beobachten. Dazu sind inzwischen so viele Informationen (und so viele davon falsch) im Umlauf, dass selbst die WHO von einer „Infoepidemie“ („infodemic“) spricht. Welche Ziele die Urheber der Fake News zum Corona-Virus verfolgen, lässt sich kaum ausmachen, zu komplex ist die Situation und verschiedenste Akteure verfolgen mutmaßlich unterschiedlichste Ziele.

Andere Beispiele zeigen aber, dass Falschinformationen ganz bewusst und mit einem ausgearbeiteten Plan eingesetzt werden, um beispielsweise Unsicherheit und Zweifel zu verbreiten und sogar politische Prozesse zu beeinflussen – so geschehen im US-Wahlkampf 2016. Auch wenn der Nachweis schwerfällt, dürfte es auch hierzulande solche Fehlinformationskampagnen bereits geben. Allgemein ist das heute ein Phänomen, mit dem man bei allen Entwicklungen von politischer oder gesellschaftlicher Tragweite rechnen muss. Gefährlich wird das immer dann, wenn Mitarbeiter Fake News glauben, eine Sicherheits- oder Bedrohungslage falsch einschätzen, und sich dadurch zu riskantem oder schädlichem Verhalten hinreißen lassen.

2. Missbrauch persönlicher Informationen

Menschen teilen heute immer mehr über sich im Netz mit. Unsere Daten sind überall, das beginnt bei Fotos und Standortangaben in sozialen Medien und endet bei digitalen Krankenakten. Es gibt Dienste, die die eigene DNA analysieren, um Menschen etwas über ihre Abstammung zu verraten. Aktuell ist auch Gesichtserkennung ein großes Thema in den Medien, bei der letztlich ebenfals biometrische Daten anfallen, beispielsweise die Gesichtsgeometrie betreffend. Alle diese Daten müssen irgendwo gespeichert werden, was natürlich bedeutet, dass sie auch kopiert und damit letztlich „gestohlen“ werden können.

Dies zu verhindern ist eine große Herausforderung; andererseits muss man auch mit dem Schlimmsten rechnen. Unternehmen müssen dafür sorgen, dass sie nicht durch persönliche Daten ihrer Mitarbeiter verwundbar werden, die diese im Netz preisgegeben haben, oder die Hacker bei schlecht gesicherten Firmen, beispielsweise Zulieferern, gestohlen haben. Wenn zum Beispiel Phishing-Attacken per E-Mail immer ausgefeilter werden, so dient das häufig nicht zuletzt dem sogenannten „social engineering“: zwischenmenschliche Beeinflussungen mit dem Ziel, bei Personen bestimmte Verhaltensweisen hervorzurufen, sie zum Beispiel zur Preisgabe von vertraulichen Informationen zu bewegen.

3. Spionage und Sabotage

Bedrohungen für Unternehmen und Organisationen müssen deshalb auch nicht immer von außen kommen. Auch eigene Mitarbeiter können zur Gefahr werden, wenn sie vertrauliche Informationen an Dritte weitergeben. Und das nicht nur, weil sie von Kriminellen leichtgläubig und wider besseren Wissens dazu verleitet werden, sondern auch, wenn sie bewusst und aus eigenem Antrieb handeln. Mitarbeiter können zu einem großen Risiko für Unternehmen und Organisationen werden, beispielsweise im Streit und nach einer Kündigung, wenn es ihnen gelingt, sensible Daten nach draußen zu schleusen. Das ist in den meisten Fällen ein Leichtes für die eigenen Mitarbeiter, die Datenzugriff haben und diese beispielsweise auf Cloud-Speicher kopieren können.

Ein besonders drastisches Beispiel ereignete sich im letzten Jahr in Frankreich. Der Polizist, der später einen Anschlag auf die Polizeipräfektur in Paris verübte, hatte im Vorfeld in großem Umfang Daten aus seiner Dienststelle herausgeschmuggelt. Ob und an wen er diese sensiblen Informationen weitergegeben hat, blieb unklar. Es muss ja nicht gleich zu einem terroristischen Anschlage kommen: auch Wettbewerbsverletzungen und Sabotage mit digitalen Mitteln sind inzwischen leider Realität geworden, und Behörden sowie Unternehmen dürfen davor nicht die Augen verschließen. Wer seine Mitarbeitenden jedoch unter Generalverdacht stellt, riskiert den totalen Vertrauensverlust auf beiden Seiten. Hier wird viel Fingerspitzengefühl verlangt – eine Fertigkeit, die viele IT-Spezialisten erst erlernen müssen.

Fazit

Die größten Bedrohungen für die Cyber-Sicherheit sind aktuell keine spezifischen Viren oder einzelne Malware-Attacken. Diese sind eher Mittel zum Zweck für die Akteure dahinter. Um die Sicherheit von Infrastrukturen, Behörden und Unternehmen zu erhöhen, muss man immer auch die abstraktere Ebene und den „Faktor Mensch“ hinter jeder konkreten Bedrohung bedenken.

www.opentext.de