- So schützen sich Firmen vor den psychologischen Tricks der Cyber-Kriminellen
- Awareness 2.0 mittels Sensibilisierung und Selbstreflexion
Altgediente Buchhalter überweisen Millionenbeträge auf die Konten von Kriminellen, Sekretärinnen versenden vertrauliche Konstruktionspläne als Download-Link. Als Social Engineering bezeichnen Sicherheitsexperten Angriffsmethoden auf Unternehmen, die auf die Manipulation der Mitarbeiter setzen. Die Betroffenen merken dabei in der Regel nicht, dass sie vertrauliche Informationen an Cyberkriminelle weitergeben. Die Mitarbeiter entsprechend zu sensibilisieren gehört daher zu den wichtigsten Themen im Bereich IT-Security. Die wachsende Bedeutung zeigt auch die aktuelle eco Sicherheitsstudie1. „In vielen Fällen sind es gutgläubige Mitarbeiter, die Kriminellen Zugang zu vertraulichen Informationen geben“, sagt Oliver Dehning, Leiter der Kompetenzgruppe Sicherheit im eco – Verband der Internetwirtschaft e. V. „Eine gute Cyber-Abwehrstrategie muss daher auch immer die Awareness der Mitarbeiter steigern, damit diese solche Angriffe auch unter Stress erkennen können.“ Oft versuchen Angreifer insbesondere kurz vor Büroschluss oder dem Wochenende Handlungsdruck aufzubauen.
Warum wir mit Lust auf Manipulationen hereinfallen
„Es sind typische menschliche Eigenschaften wie Hilfsbereitschaft, Gutgläubigkeit und Neugier, die sich Cyberkriminelle zunutze machen“, sagt Ivona Matas vom Security-Beratungsunternehmen known_sense. „Der Mensch und seine angeborenen sozialen Eigenschaften werden schonungslos ausgenutzt.“ So geben sich Angreifer etwa als Mitarbeiter von HR-Abteilungen aus, die eine vertrauliche Information brauchen oder bieten Hilfe bei der Installation einer Datei an, mit der gleichzeitig ein Spionageprogramm installiert wird. Oder es werden Rechnungen zugestellt, die das Opfer umgehend bezahlen soll. Als CEO-Fraud bezeichnen Experten diese Art der Fälschung eines persönlichen Auftrags der Geschäftsführung.
Awareness 2.0: Die eigenen Schwächen erkennen
Gefälschte E-Mails als Phishing-Falle sind dabei ein beliebter Angriffsvektor. Dabei werden Psycho-Tricks genauso genutzt wie Täuschungsversuche mit gefälschten Inhalten und falschen Absender-Adressen. Beliebt sind beispielsweise gefälschte Gewinnspiele, bei denen attraktive Preise als Lockmittel dienen oder gefälschte Dateianhänge an E-Mails, die zum Anklicken einladen. „Technische Verteidigungssysteme gegen Phishing-Attacken wie Email-Filter helfen dabei, Angriffe abzuwehren“, sagt Oliver Dehning. Zusätzlich ist es nötig, die Awareness für solche Angriffe bei den Mitarbeitern ständig hoch zu halten.
Eine erfolgreiche Strategie unterstützt daher neben einer Sensibilisierung auch Selbstreflexion: Die Mitarbeiter müssen diejenigen ihrer sozialen Eigenschaften ‚entdecken‘, die im Rahmen von Social Engineering zum sogenannten sozialen Einfallstor werden können. „Es fallen nicht nur naive Menschen auf Fake, Phishing oder Social Engineering herein, sondern es kann jeden treffen“, sagt Matas. Geeignete systemische Präventions- und Awareness-Maßnahmen zu Cyber Crime, Social Engineering, Fake News und Co. sind daher in praktisch jedem Unternehmen nötig.
Im Rahmen der Internet Security Days (ISDs) erläutert Ivona Matas und weitere Experten, wie Unternehmen im Falle solcher Angriffe von einer Reifung und Resilienz ihrer Mitarbeiter profitieren. Am 20. und 21. September haben der eco Verband und heise Events die führenden Köpfe der IT-Sicherheitsbranche ins Phantasialand bei Köln eingeladen.
