Thought Leadership
Die Corona-Krise hat der Digitalisierung einen ordentlichen Schub gegeben. Die Nutzung von Videokonferenz-Tools und Remote-Software hat rasant zugenommen und viele Mitarbeiter arbeiten seit einiger Zeit vom Home-Office aus. Doch neben zahlreichen positiven Aspekten dieses rasanten Wandels, kommen auch gestiegene Risiken im Bereich der IT-Sicherheit hinzu.
So sind Cyberkriminelle sehr schnell dazu übergegangen, das allgemeine Chaos und die Verunsicherung zu nutzen. Der Sicherheitsanbieter Barracuda Networks beispielsweise identifizierte einen Anstieg von über 667% bei Phishing-Angriffen mit Corona-Bezug zwischen Februar und März.
Die Corona-Krise verlangt nach einer Verhaltensveränderung in fast allen Bereichen, auch im Bereich der Cyber-Security. Führungskräfte wie auch Mitarbeiter sehen sich mit diversen, neuen Herausforderungen konfrontiert. Dr. Niklas Hellemann, Managing Director des Kölner Security Awareness Unternehmens SoSafe, verrät uns, wie Cyberkriminelle in der aktuellen Krise agieren und wie Unternehmen sich und ihre Mitarbeiter davor schützen können.
Bei Cyber-Angriffen ist immer häufiger vom „Faktor Mensch“ die Rede – was hat es damit genau auf sich?
Dr. Niklas Hellemann: Es ist ein weitverbreiteter Irrglaube, dass Hacker bei Cyber-Angriffen immer hoch-technisch vorgehen. Das Gegenteil ist meist der Fall – Hacker sehen den Mitarbeiter als schwächstes Glied im Unternehmen und wollen ihn durch Social Engineering manipulieren und zu einem bestimmten Verhalten bewegen. Social Engineering hat viele Gesichter – es reicht von fingierten Telefonanrufen, bei denen der Angreifer sich z.B. als Techniker ausgibt, bis zum gern zitierten USB-Drop, bei dem ein USB-Stick mit Schadsoftware gezielt vor dem Unternehmen platziert, die Neugier des Mitarbeiters getriggert und er dazu gebracht wird den USB-Stick an seinem Firmen-PC „näher unter die Lupe“ zu nehmen.
An erster Stelle steht aber nach wie vor der „All-time-Favorite“: der Phishing-Angriff. In Zahlen ausgedrückt bedeutet dies, dass 92% der Angriffe auf Unternehmen mit einer Phishing-Mail starten. Laut dem BSI enthalten 72% dieser E-Mails Links auf Phishing-Seiten, bei denen Informationen abgegriffen oder Schadprogramme unbemerkt heruntergeladen werden. Hacker haben den „Faktor Mensch“ im Fadenkreuz und feuern gerade jetzt in der Corona-Zeit aus allen Rohren. Allein Google’s Filtern gehen täglich 18 Millionen Phishing-Mails mit Corona-Bezug ins Netz.
Welche Arten von Phishing gibt es?
Dr. Niklas Hellemann: Die Arten von Phishing-Attacken sind so zahlreich wie die psychologischen Knöpfe, die damit gedrückt werden können. Es gibt aber Taktiken, die besonders hervorstechen und für Hacker sehr erfolgsversprechend sind, wie z.B. das sog. „Spear-Phishing“. Hier werden gezielt bestimmte Opfer im Unternehmen herausgepickt und die Angriffe auf sie zugeschnitten. Die dazu gesammelten öffentlich zugänglichen, wie auch privaten Informationen, bilden die Basis für diese gefährlichen Angriffe, die auch über mehrere Kommunikationskanäle ablaufen können. Prominentestes Beispiel ist der sog. „CEO-Betrug“, bei dem Mitarbeiter E-Mails von vermeintlichen Vorgesetzten erhalten, mit der Aufforderung, Zahlungen zu veranlassen oder sensible Informationen zu übermitteln.
Doch es geht auch andersrum – beim sog. „Whaling“ werden gezielt Führungskräfte attackiert, da diese oft über besonders wertvolle Informationen und über weitreichende Handlungsmöglichkeiten verfügen. Ein gefährlicher Trend ist auch im Bereich „Dynamite-Phishing“ zu erkennen. Die Phishing-Mails werden hier von Malware, wie z.B. Emotet, auf infizierten Rechnern selbst erzeugt. Als Basis werden gespeicherte E-Mails auf dem infiltrierten Rechner herangezogen und täuschend echte Mails erstellt, die dann zur explosiven Weiterverbreitung an den Adress-Verteiler gesendet werden.
Wie haben sich Phishing-Angriffe in den letzten Jahren verändert?
Dr. Niklas Hellemann: Phishing-Angriffe haben in den letzten Jahren einen großen qualitativen Sprung nach vorne gemacht und sind ihren Kinderschuhen entwachsen. An die Stelle von Rechtschreibfehlern, fehlerhafter Grammatik und falscher Anrede sind täuschend echte Phishing-Mails getreten, die optisch und inhaltlich viel schwerer von legitimen E-Mails zu unterscheiden sind. Wir sehen hier einen klaren Trend in den letzten drei Jahren, weg von „mehr ist mehr“, hin zu „Klasse statt Masse“. Phishing-Angreifern gelingt es zudem immer besser durch technische Barrieren zu gelangen, zum einen durch technologische Faktoren, wie polymorphem Schadcode, zum anderen aber auch durch viel zielgerichtetere Mails. Die Konsequenz: immer häufiger sind die Mitarbeiter die letzte Verteidigungslinie zum Schutz des Unternehmens.
Welche Rolle spielen die eigenen Mitarbeiter bei der Abwehr von Phishing-Angriffen?
Dr. Niklas Hellemann: Lange Zeit galt der Mitarbeiter lediglich als das schwächste Glied in der Kette, als Sicherheitsrisiko. Amazons CTO Werner Vogels beispielsweise beschrieb Menschen, die auf Phishing-Mails hereinfallen, einst als „Idioten“.
Eine Aussage, die mir als Psychologe in der Seele weh tut – und die meiner Meinung nach auch gefährlich ist! Bei SoSafe sehen wir die Mitarbeiter vielmehr als Teil der Verteidigung eines Unternehmens, als starke „menschliche Firewall“, die Phishing-Angriffe erkennt und erfolgreich abwehrt. Alles steht und fällt dabei mit der Mitarbeitersensibilisierung für das Thema IT-Sicherheit, dem sogenannten Awareness-Training. Denn faktisch ist es möglich, mit systematischem Training die Fähigkeit der Mitarbeiter zu erhöhen, Angriffe zu erkennen und sich in der entsprechenden Situation richtig zu verhalten.
Wagen wir einen Blick in die Zukunft – wie werden Cyberattacken in Unternehmen in 10 Jahren aussehen?
Dr. Niklas Hellemann: In den nächsten Jahren werden wir sehen, dass der starke Fokus auf den E-Mail-Betrug sukzessive abnehmen wird und stattdessen verstärkt auch andere Kanäle für Angriffe genutzt werden. Hierzu zählen insbesondere auch interne Kommunikationskanäle, wie z.B. Teams und Slack. Wir werden den Ausbau neuer Technologien erleben, wie z.B. Voice-Bots, die echte Anrufe von Führungskräften oder Kollegen realistisch imitieren oder noch einen Schritt weiter gedacht – „Deep Fake“ Videos, die einer breiteren Masse zugänglich gemacht werden, um mit täuschend echten Videos Mitarbeiter sehr erfolgreich zu manipulieren. Die Angriffe werden besser, zielgerichteter und komplexer werden. Ermöglicht wird das durch einen höheren Grad an Automatisierung, wie man es schon jetzt am „Dynamite-Phishing“-Beispiel sehen kann.
Dort wird schon heute auf Basis von -salopp gesagt- „ein paar E-Mails“ auf dem infizierten Rechner und einem verhältnismäßig einfach gestrickten Programm, eine beachtliche Qualität an den Tag gelegt. Doch mit den Möglichkeiten, die Big-Data und AI bieten, wird eine Durchschlagskraft erreicht, der man nur Herr werden kann, wenn man ein modernes, ganzheitliches und aufeinander abgestimmtes Security-Konzept entgegensetzt. Der Mitarbeiter wird immer stärker in den Mittelpunkt rücken und das Awareness-Training massiv an Bedeutung gewinnen. Jedes professionelle Unternehmen wird flächendeckend modernes Awareness-Training im Einsatz haben und SoSafe wird ganz vorne im Kampf gegen Cyberattacken mit dabei sein.
Herr Dr. Hellemann, vielen Dank für das Gespräch!
Weitere Informationen zur aktuellen Phishing-Bedrohung und modernem Awareness-Training, finden Sie im kostenlosen Webinar. Für einen kostenlosen Phishing-Test, besuchen Sie sosafe.de/demo.
