Wo mehr Menschen im Home-Office arbeiten, nehmen Angriffsflächen für Hacker zu. Was jetzt für Ihre Cybersecurity wichtig ist...

Wie schaffen Unternehmen heute die richtigen Voraussetzungen für die Cybersecurity ihrer Systeme und wie können sich Unternehmensleitung und Mitarbeiter absichern? Seit Beginn der Corona-Pandemie arbeiten mehr Menschen im Home-Office. Ein unerwünschter Nebeneffekt für Unternehmen: Die Angriffsflächen für Hacker-Attacken nehmen zu. Sind Sie gerüstet? Mittelstand Heute hat mit Peter Rosendahl gesprochen, Director Sales Cybersecurity & Compliance bei der All for One Group, Komplettdienstleister und Berater für Unternehmens-IT.

Lage-Bericht IT Security in Deutschland: Wie finden die Angriffe statt?

Mittelstand Heute: Herr Rosendahl, wie ist die Bedrohungslage für Unternehmen in Deutschland?

Peter Rosendahl: Cyberangriffe nehmen weiter zu und haben gerade in Home-Office-Zeiten steigende Erfolgsquoten bei Unternehmen, wie verschiedene Analysen zeigen. Phishing steht nach wie vor weit oben auf der Hitliste. CEO-Fraud- oder DDoS-Attacken auf die zentralen VPN-Knoten der Unternehmen sind 2021 weiter im Aufschwung.

Auch Corona-bedingtes Home-Office hat die Anzahl der Cyberattacken aus unterschiedlichen Gründen erneut nach oben getrieben, mit teils schwerwiegenden Folgen für Unternehmen. Die „Sonderauswertung Cybercrime in Zeiten der Corona-Pandemie“ des Bundeskriminalamtes zeigt, dass sich zahlreiche neue Varianten für Cyberattacken gegen Unternehmen entwickelt haben. Ihr gemeinsamer Nenner war die Corona-Erzählung oder -Narrativ. Einige Zahlen: Laut den IT-Sicherheits-Forschern von McAfee wurden von Januar bis Juli 2020 circa 1,5 Millionen Angriffe mit Corona-Bezug erfasst, über 95.000 in Deutschland! ­

Peter Rosendahl, Cybersecurity-Experte bei der All for One Group, verrät, welche Cybersecurity-Maßnahmen in Unternehmen greifen. Bild: All for One Group 

Mittelstand Heute: Welcher Angriffsvektor oder -weg birgt denn das größte Potenzial für immense Schäden?

Peter Rosendahl: Von kompromittierten Benutzerkonten geht eine hohe Schlagkraft aus, denn ein Account reicht aus, um großen Schaden anzurichten. Nur ein Klick auf einen bösartigen Link oder das Öffnen eines infizierten Dateianhangs, die Angreifer per Mail, über Instant-Messaging oder Social Media gezielt versendet oder geteilt haben – und das Unheil nimmt seinen Lauf. Das Ziel der Phishing-Mails ist es, dass Malware installiert wird oder die betroffenen Personen vertrauliche Informationen preisgeben sollen. Die Folgen für die Security sind fatal: Identitätsdiebstahl, Lösegeldförderungen, Datenverluste.

Mittelstand Heute: Was sind die Gründe dafür, dass diese Angriffe bei Unternehmen immer wieder funktionieren?

Peter Rosendahl: Es gibt mehrere Gründe: einerseits die zunehmende Digitalisierung von Unternehmensprozessen und mehr Menschen, die remote im Home-Office arbeiten, und andererseits Mitarbeiter, die nicht oder ungenügend vorbereitet sind. Dafür sind es die Hacker umso besser. Das sind nicht mehr die Jungs im Kapuzenpulli, das sind hochprofessionelle „Mitarbeiter“ in kriminellen Organisationen.

Die gefälschten Webseiten oder E-Mails sehen täuschend echt aus. Als psychologischer Faktor kommt hinzu, dass die Menschen neugierig sind und nicht bei jeder Mail, die im Postkorb landet, misstrauisch werden. Das spielt den Angreifern in die Hände. Wir haben es hier eben mit einem professionalisierten Wirtschaftszweig zu tun, der Millionengewinne erwirtschaftet.

Cybersecurity als Unternehmensleitungsaufgabe: Was wichtig ist

Mittelstand Heute: Heißt das, wer klickt, ist nicht der „dumme User“?

Peter Rosendahl: Genau, das wäre auch nicht gerecht. Unternehmen müssen Mitarbeiter schulen, Awareness schaffen und diese regelmäßig überprüfen. Aber auch die präventiven Security-Schutzmaßnamen sind mittlerweile sehr gut und sorgen für ordentliche Erkennungsraten. Vorsicht walten zu lassen schützt nicht allein! Und wenn ein Angriff erfolgreich war, muss das Unternehmen wissen, was zu tun ist.

Mittelstand Heute: Ist der Umgang mit solchen Szenarien zur Security für Unternehmen aus Ihrer Sicht auch ein Thema der Generationen?

Peter Rosendahl: Die Sensibilität für IT-Sicherheit sicher nicht, aber was die Usability der Systeme und Tools betrifft, das schon. Da gibt es einige Unterschiede, was die User betrifft. Nehmen wir die Generation Y, die Millenials, die zwischen 1980 und 1999 geboren wurden. Viele nennen sie auch die ersten Digital Natives. Bei dieser User-Gruppe erleben wir eine deutliche Veränderung. Schnelle Verfügbarkeit und noch schnellere Reaktionsfähigkeit der Anwendungen sind gefragt oder sogar gefordert.

Das heißt übersetzt für die IT-Sicherheit: Die Security-Lösungen müssen beim Arbeiten komfortabel bedienbar sein, am besten im Unternehmen via Self-Service oder automatisiert bereitstehen. Genauso wie das Equipment. Coole Devices und moderne Arbeitswelten sichern den Unternehmen junge, erfolgsorientierte Mitarbeiter.

Mittelstand Heute: Wie ist das für Unternehmen zu verstehen?

Peter Rosendahl: Nehmen wir als Beispiel der IT-Sicherheit das Handling von Zugangsberechtigungen: Es ist nicht mehr zumutbar, sich x-mal am Tag in unterschiedliche Systeme einzuloggen oder ein Password vom IT-Support zurücksetzen zu lassen. Das muss, wie schon erwähnt, in Unternehmen im Self-Service funktionieren. Auch das bekannte Single Sign-on, die komfortable Anmeldung an unterschiedlichen Applikationen und Services, muss heute möglich sein. So wie es privat auch funktioniert.

Beispiel Cybersecurity im Unternehmen: Wie Sie die richtigen Voraussetzungen schaffen

Mittelstand Heute: Ein kurzer Ausflug: Was erwartet neue Mitarbeiter bei der All for One Group beim Einstieg in das Unternehmen?

Peter Rosendahl: Alles, was man sich von einem Unternehmen so wünscht! Wir, als Unternehmen, bieten den Mitarbeitern ansprechende Arbeitswelten, Equipment und Tools vom Feinsten und damit ein Umfeld, das innovatives Denken und Arbeiten fördert. Das bezieht alle ein, nicht nur die Generation Y, aber diese fühlt sich so am besten verstanden und abgeholt. Natürlich gilt das auch für die komfortable Nutzung der internen IT-Systeme – Ease of Use ist ein wichtiges Kriterium der Anwender- oder Bedienungsfreundlichkeit. Ease of Use steht an erster Stelle. Als erfahrener Partner setzen wir das auch für unsere Kunden - ob nun Industrie oder Wirtschaft - in unterschiedlichen Unternehmens-Bereichen um. Im Geschäftsfeld IT-Sicherheit und Compliance entwickeln und begleiten wir automatisiertes Benutzer- und Berechtigungsmanagement für sämtliche Zugriffsrechte und Identitäten, auch für digitale.

Mittelstand Heute: Wie werden Zugriffe aus dem Home-Office oder dem Lieblingscafé gesichert, wenn die Anmeldung von jedem Ort und jedem Gerät aus erfolgen kann?

Peter Rosendahl: Der Zugriff und die Anmeldung zu jeder Zeit von jedem Ort mit jedem Endgerät auf das lokale Netzwerk wie auch auf Cloud Services kann nicht mit klassischen Security-Lösungen und -Produkten abgesichert werden. IT-Sicherheit vereint heute verschiedene Aspekte, die Benutzer betreffen. Welches Device wird verwendet? Befindet man sich in einem sicheren Netzwerk in Verbindung mit einer Realtime-Risikobewertung?

Das Stichwort ist Conditional Access, der bedingte, identitätsgesteuerte Zugriff, der genau bewertet wird - mit Informationen wie: Von wo aus und wann erfolgt eine Anmeldung? Geschieht dies aus den Räumlichkeiten des Unternehmens, aus dem Home-Office oder von Dubai aus um zwei Uhr morgens? Wenn hier etwas Auffälliges bemerkt wird, greift sofort eine zusätzliche Security-Schleife. Und natürlich gilt eine risikoorientierte Multifaktor-Authentifizierung auch für Administratoren.

Mittelstand Heute: Wie ist der Umgang mit Rollen- und Berechtigungskonzepten in Unternehmen? Gibt es auch hier eine Parallele zu dem, was die Mitarbeiter privat gewohnt sind?

Peter Rosendahl: Bei der Vergabe von Rollen- und Berechtigungen muss es tatsächlich klare Vorgaben geben. Freiheit mit unbegrenztem Datenzugang beim Arbeiten im Unternehmen gleichzusetzen, das wäre hier fatal. Je nach Tätigkeitsbereich erhalten Mitarbeiter Berechtigungen für den Zugang zu Informationen, die für sie relevant sind. Das wird über die Vergabe von Rollen gesteuert. Damit wird vermieden, dass Berechtigungen fehlen, zum Beispiel in temporären Projekten, oder dass Mitarbeiter Zugriff zu Informationen haben, für die sie nicht befugt sind. Nicht „Alles oder nichts“, sondern „So viel wie nötig, so wenig wie möglich“ heißt das Motto der Security bei Informationen.

Mittelstand Heute: Herr Rosendahl, vielen Dank für das Gespräch.

Quelle Aufmacherbild: stokkete/stock.adobe.com