Wie sich KMUs auf die zunehmende Cyberkriminalität einstellen

Bereits zu Beginn des Ukrainekrieges registrierten deutsche Sicherheitsbehörden zahlreiche Hacks und Malware aus dem Umfeld russischer Hackergruppierungen. Gerade kleine und mittelständische Unternehmen (KMU) sind davon betroffen. Denn meist haben sie weder die Ressourcen noch die Zeit, sich mit umfangreichen Cybersicherheitsstrategien auseinanderzusetzen.

Dabei gibt es einige simple Tipps, die jedes Unternehmen – auch ohne eigene IT-Abteilung – umsetzen kann.

Die russische Invasion in der Ukraine ist eine menschliche Tragödie eines für viele von uns noch nie erlebten und gekannten Ausmaßes. Und es ist bereits jetzt sicher: die aktuellen Geschehnisse werden wirtschaftliche und politische Konsequenzen auf der ganzen Welt nach sich ziehen. Wahrscheinlich ist auch, dass Cyberangriffe als eine neue Form der modernen Kriegsführung auch Unternehmen jeder Größe und Mitarbeiterzahl in Deutschland, Europa, weiten Teilen Asiens sowie Nord- und Südamerika USA, treffen werden.

Cyberkriminalität ist kein neues Phänomen, aber die gegenwärtigen Trends haben sich verschärft. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt davor, dass auch Deutschland im Zusammenhang mit der russischen Invasion Ziel von Cyberangriffen werden könnte. Bereits kurz nach Beginn des Krieges kam es zu einer Angriffswelle durch die mutmaßlich von russischen Diensten initiierte Hackerkampagne „Ghostwriter“. Auch die Versuche von russischer Seite, Benutzernamen und Passwörter zu sammeln, haben drastisch zugenommen – von etwa 50 auf 400 pro Tag seit dem 27. Februar.

Warum Cybersicherheit für Unternehmen jeder Größe wichtig ist

Nicht jedes Unternehmen fällt in eine der mit Hochrisiko kategorisierten Branchen. Das bedeutet nicht, dass man unvorbereitet sein sollte. Kleine Unternehmen sind aus mehreren Gründen oft besonders anfällig für Cyberangriffe. Erstens haben sie weder die Zeit noch den Raum noch die Ressourcen, um sich mit IT-Verwaltung und IT-Sicherheit auseinanderzusetzen. Diese Herausforderung wurde zusätzlich verschärft durch die Möglichkeit, während der Pandemie remote zu arbeiten. Dadurch vergrößerte sich die die Angriffsfläche außerhalb der Unternehmensinfrastruktur erheblich. Zweitens sind kleinere Unternehmen oft Opfer von Cyberkriminellen, die auf der Suche nach leichten Zielen sind.

So machen sich Hacker gerne schwache Passwörter zunutze und verwenden Phishing-E-Mails, um die Kontrolle über die Computer und das Netzwerk eines Unternehmens zu erlangen. Sobald sie sich Zugang zu einem kleinen Zulieferer verschafft haben, nutzen sie angeschlossene Netzwerke und missbrauchen dadurch etablierte und vertrauenswürdige Beziehungen.

Diese Gefahren können so entmutigend sein, dass sich viele Unternehmen gar nicht mit ihnen auseinandersetzen. Damit machen sie sich erst recht unnötig angreifbar. Es wird zwar immer Bedrohungen geben, aber Unternehmen können sich mit einer Handvoll grundlegender Vorkehrungen dagegen schützen und so ihre Anfälligkeit deutlich zu verringern.

1. Eine Kultur der Sicherheit schaffen

Die Erfahrung zeigt, dass vor allem der Mensch eines der größten Sicherheitsrisiken bleibt. Gleichzeitig ist er aber auch der Schlüssel, um das Unternehmen bestmöglich zu sichern. Die Sensibilisierung der MitarbeiterInnen bleibt deshalb die wichtigste Aufgabe. Im Bereich der Cybersicherheit ist viel Technologie im Spiel, aber viele der Risiken sind eigentlich „menschlicher Natur“. Tatsächlich sind mehr als 80 Prozent der Cyberangriffe auf kompromittierte Passwörter oder Anmeldedaten zurückzuführen – und zwar meist aufgrund menschlichen Fehlverhaltens. Die Aufklärung seitens des Unternehmens und seiner MitarbeiterInnen zum Thema Datensicherheit ist von entscheidender Bedeutung. Jede/r sollte seine/ihre Rolle in Bezug auf den Schutz der Daten und Ressourcen des Unternehmens verstehen.

2. Grundlegende Best Practices

Sobald MitarbeiterInnen die Bedeutung der Informationssicherheit verstanden haben, ist es wichtig, Best Practices zur Minimierung von Sicherheitsrisiken einzuführen. Dazu gehört eine grundlegende Passworthygiene: die Verwendung sicherer Passwörter, der häufige Wechsel der Passwörter, die Vermeidung der Wiederverwendung sowie die Verhinderung von Passwortweitergaben, bei denen diese gestohlen werden können. Die Verwendung einer Multi-Faktor-Authentifizierung (MFA) stellt eine weitere wichtige Schutzebene dar. Auch die Verwaltung der Zugriffsrechte innerhalb des Unternehmens trägt dazu bei, die Gefährdung zu verringern, indem der Zugang zu wichtigen Systemen auf kleinere Teams beschränkt wird. Tools, die dabei helfen, Phishing-Angriffe herauszufiltern oder kompromittierte Geräte am Zugriff auf Netzwerke hindern, können als zusätzliche Schutzmaßnahmen eingesetzt werden, falls es doch zu einer Kompromittierung von Passwörtern kommen sollte. Die beste Verteidigung ist jedoch immer, alle Wahrscheinlichkeiten zu minimieren.

3. Keep IT simple

Diese bewährten Maßnahmen erscheinen offensichtlich. Ihre Umsetzung kann jedoch für Unternehmen eine Herausforderung darstellen, da sie von den MitarbeiterInnen eine Verhaltensänderung abverlangt. Die Verwendung eines Passwort-Managers kann Teams die Umsetzung erleichtern, da alle Aspekte der Passwortsicherheit – von Zugang und Authentifizierung – an einem Ort verwaltet werden. Die Verwendung einer Single-Sign-On-Lösung in Verbindung mit einem Passwortmanagement-Tool kann die Zugangsverwaltung sowohl für IT-Teams als auch für MitarbeiterInnen wesentlich einfacher gestalten.

4. Erfolgsfaktoren Analyse und Information

Wie heißt es so schön: was du nicht messen kannst, kannst du nicht lenken. Am sinnvollsten ist es, mit einer einfachen Analyse zu beginnen, um die Verbesserungen der Sicherheit im Unternehmen zu erfassen und eventuelle Lücken schnellstmöglich aufzudecken. Gibt es beispielsweise MitarbeiterInnen, die Passwörter recyclen? Kann man Apps und Logins erkennen, die Schwachstellen im Sicherheitsnetz des Unternehmens darstellen? Mittels Sicherheitstests und regelmäßigen Audits lässt sich heraus-finden, wie viele MitarbeiterInnen dasselbe Passwort wieder verwenden oder schwache Passwörter benutzen. Da die Cybersicherheitslage sich ständig ändert, sollten Unternehmen sich regelmäßig zu aktuellen Meldungen informieren. Das können sie beispielsweise beim Bundesamt für Sicherheit in der Informationstechnik (BSI) oder der Allianz für Cybersicherheit (ACS).

Fazit

Cyberangriffe nehmen zu. Die Auseinandersetzung mit der zunehmenden Cyber-Bedrohung kann auf viele Unternehmen beunruhigend wirken. Besonders für KMUs, die oft nicht über die Ressourcen oder das Fachwissen verfügen, um mit Sicherheitslücken umzugehen. Es gibt jedoch einige Maßnahmen, die jedes Unternehmen ergreifen kann, um seine Anfälligkeit deutlich zu verringern und seine IT-Sicherheit zu verbessern. Die Konzentration auf eine Sicherheitskultur, die Schulung der MitarbeiterInnen und regelmäßige Audits minimieren für jedes Unternehmen die Risiken und erhöhen seine IT-Sicherheit.

JD Sherman, CEO von Dashlane

www.dashlane.com