IT-Sicherheit: "Die größte Bedrohung sind die Mitarbeiter"

InterviewIT-Sicherheit: "Die größte Bedrohung sind die Mitarbeiter"

von Kerstin Dämon

Cyber-Angriffe auf wichtige Infrastruktur-Einrichtungen nehmen zu. Auch Angriffe auf Unternehmen häufen sich. Eine Sicherheitsexpertin verrät, was die größten Risiken für Firmen sind und wie die sich schützen können.

WirtschaftsWoche Online: Gemäß Untersuchungen von Deloitte, EY und dem Allensbach-Institut steigt das Risiko von Cyberangriffen. Nicht nur gegen Unternehmen, sondern auch gegen Infrastruktur-Einrichtungen wie Stromnetze. Ihr Unternehmen bietet seinen Kunden Tools an, die Daten in Echtzeit indizieren und so zum Beispiel Sicherheitslücken im System sichtbar machen. Welche Risiken sehen Sie für Unternehmen?
Haiyan Song: Ransomware ist eine große Bedrohung. Diese Art der Cyberkriminalität betrifft schließlich nicht nur einen einzelnen User. Wenn Logistik-Unternehmen, Händler, Hersteller, Krankenhäuser und so weiter betroffen sind, hat das Auswirkungen auf ganze Volkswirtschaften. Bei externen Angriffen handelt es sich häufig um Ransomware, also Schadsoftware, die alle Daten auf einem Computer oder Server sperrt. Gegen ein "Lösegeld" werden die Daten dann wieder freigelassen. Das Motiv dahinter ist klar: Es geht um Geld.

Zur Person

  • Haiyan Song

    Haiyan Song ist bei Splunk für die Unternehmensbereiche Strategie und Sicherheit zuständig. Bevor Song zu dem Anbieter von Log-, Monitoring- und Reporting-Tools für IT-Systemadministratoren stieß, war Song acht Jahre lang im Management von ArcSight-HP Enterprise Security Products tätig. Begonnen hat die Informatikerin ihre berufliche Laufbahn bei IBM.

Wenn Staaten Daten stehlen, ist das Motiv genauso klar: Hier geht es um politische Einflussnahme und um wirtschaftliche Ziele. Stehlen andere Betriebe Informationen, weiß man auch, warum sie es tun. Und vor allem: Wenn sich ein Externer in die Systeme einschleicht, muss man das Loch im Zaun finden und schließen, durch das der Angreifer geschlüpft ist. Und schon hat sich die Sache erledigt. Angreifer aus den eigenen Reihen sind schwieriger zu enttarnen.

Anzeige

Kommen die denn häufig vor?
Kriminalität, die von Mitarbeitern ausgeht, ist zumindest deutlich vielseitiger als die durch anonyme Cyberkriminelle. Mitarbeiter stehlen zum Beispiel Daten zu ihrem persönlichen Vorteil, sie verkaufen Firmengeheimnisse an die Konkurrenz, nehmen Kundendaten mit, wenn sie zu einem anderen Anbieter aus der gleichen Branche wechseln oder werden Opfer von Betrügern. So ist beispielsweise der sogenannte CEO-Fraud in letzter Zeit weltweit stark verbreitet. Dabei weist ein angeblicher Vorstandsvorsitzende einen Mitarbeiter, beispielsweise den Finanzchef, per E-Mail an, eine große Summe auf ein bestimmtes Konto zu überweisen. Angeblich, um eine Übernahme zu finanzieren, die noch geheim bleiben soll oder ähnliches. Die Mitarbeiter werden derart unter Druck gesetzt, dass sie die Überweisung dann tatsächlich veranlassen – in dem Glauben, der Firma damit zu nutzen.

IT-Forum Der Wandel beginnt im Kopf

Die Zahl der Cyberangriffe steigt, die Schadensummen werden höher – trotzdem verzichtet das Gros der Unternehmen auf ein wirksames Sicherheitsmanagement. Vielen Managern fehlt einfach das Grundverständnis.

Zahnräder (Illustration) Quelle: nongkran_ch - Fotolia

Können sich Unternehmen dagegen schützen und wenn ja, wie?
Mittlerweile sind es die Banken, die hier sensibel reagieren. Wenn derart große Summen überwiesen werden, warten sie zwei Stunden, dann rufen sie bei den Firmen an und vergewissern sich, ob das alles seine Ordnung hat. Bevor sie die Überweisung tätigen, warten sie nochmal zwei Stunden. Denn was einmal vom Firmenkonto abgebucht ist, können Sie nicht mehr zurückholen.

Falsche Chefs zocken Firmen ab Den Enkeltrick gibt's auch bei Unternehmen

Während sich manche Betrüger als vermisste Enkel ausgeben, um ans Ersparte von Senioren zu kommen, probieren es andere eine Nummer größer. Sie geben sich als Chef aus und erleichtern Unternehmen um Millionenbeträge.

Eine Frau hält einen Telefonhörer. Quelle: dpa

Was ist mit Phishing-Mails? Fallen immer noch Leute auf die getürkten Mails mit den vielen Rechtschreibfehlern herein, die ein Millionenerbe in Nigeria versprechen?
Die Phishing Mails mit den vielen Rechtschreibfehlern erfüllen einen ganz bestimmten Zweck: Sie sortieren all die Empfänger aus, die gebildet genug sind, dass Ihnen das auffällt. Denn die anderen, einfacheren Menschen, wehren sich vermutlich auch weniger. Die gehen nicht zum Anwalt, wenn plötzlich Geld vom Konto verschwindet. Das sind die Opfer, die die Phishing-Betreiber wollen. Einfache Menschen, die sich trauen, sich zu wehren.

Angriffsziele von aufsehenerregenden Cyberangriffen

  • Energie-Infrastruktur

    Im Dezember 2015 fiel für mehr als 80.000 Menschen in der Ukraine der Strom aus. Zwei große Stromversorger erklärten, die Ursache sein ein Hacker-Angriff gewesen. Es wäre der erste bestätigte erfolgreiche Cyberangriff auf das Energienetz. Ukrainische Behörden und internationale Sicherheitsexperten vermuten eine Attacke aus Russland.

  • Krankenhäuser

    Im Februar 2016 legt ein Erpressungstrojaner die IT-Systeme des Lukaskrankenhauses in Neuss lahm. Es ist die gleiche Software, die oft auch Verbraucher trifft: Sie verschlüsselt den Inhalt eines Rechners und vom Nutzer wird eine Zahlung für die Entschlüsselung verlangt. Auch andere Krankenhäuser sollen betroffen gewesen sein, hätten dies aber geheim gehalten.

  • Rathäuser

    Ähnliche Erpressungstrojaner trafen im Februar auch die Verwaltungen der westfälischen Stadt Rheine und der bayerischen Kommune Dettelbach. Experten erklären, Behörden gerieten bei den breiten Angriffen eher zufällig ins Visier.

  • Öffentlicher Nahverkehr

    In San Francisco konnte man am vergangenen Wochenende kostenlos mit öffentlichen Verkehrsmitteln fahren, weil die rund 2000 Ticket-Automaten von Erpressungs-Software befallen wurden. Laut einem Medienbericht verlangten die Angreifer 73 000 Dollar für die Entsperrung.

  • Bundestag

    Im Mai 2015 fallen verdächtige Aktivitäten im Computernetz des Parlaments auf. Die Angreifer konnten sich so weitreichenden Zugang verschaffen, das die Bundestags-IT ausgetauscht werden. Als Urheber wird die Hacker-Gruppe APT28 vermutet, der Verbindungen zu russischen Geheimdiensten nachgesagt werden.

  • US-Demokraten

    Die selbe Hacker-Gruppe soll nach Angaben amerikanischer Experten auch den Parteivorstand der Demokraten in den USA und die E-Mails von Hillary Clintons Wahlkampf-Stabschef John Podesta gehackt haben. Nach der Attacke im März wurden die E-Mails wirksam in der Schlussphase des Präsidentschaftswahlkampfs im Oktober 2016 veröffentlicht.

  • Doping-Kontrolleure

    APT28 könnte auch hinter dem Hack der Weltdopingagentur WADA stecken. Die Angreifer veröffentlichen im September 2016 Unterlagen zu Ausnahmegenehmigungen zur Einnahme von Medikamenten, mit einem Fokus auf US-Sportler.

  • Sony Pictures

    Ein Angriff, hinter dem Hacker aus Nordkorea vermutet wurden, legte im November für Wochen das gesamte Computernetz des Filmstudios lahm. Zudem wurden E-Mails aus mehreren Jahren erbeutet. Es war das erste Mal, dass ein Unternehmen durch eine Hackerattacke zu Papier und Fax zurückgeworfen wurde. Die Veröffentlichung vertraulicher Nachrichten sorgte für unangenehme Momente für mehrere Hollywood-Player.

  • Yahoo

    Bei dem bisher größten bekanntgewordenen Datendiebstahl verschaffen sich Angreifer Zugang zu Informationen von mindestens einer Milliarde Nutzer des Internet-Konzerns. Es gehe um Namen, E-Mail-Adressen, Telefonnummern, Geburtsdaten und verschlüsselte Passwörter. Der Angriff aus dem Jahr 2014 wurde erst im vergangenen September bekannt.

  • Target

    Ein Hack der Kassensysteme des US-Supermarkt-Betreibers Target macht Kreditkarten-Daten von 110 Millionen Kunden zur Beute. Die Angreifer konnten sich einige Zeit unbemerkt im Netz bewegen. Die Verkäufe von Target sackten nach der Bekanntgabe des Zwischenfalls im Dezember 2013 ab, weil Kunden die Läden mieden.

  • Ashley Madison

    Eine Hacker-Gruppe stahl im Juli 2015 Daten von rund 37 Millionen Kunden des Dating-Portals. Da Ashley Madison den Nutzern besondere Vertraulichkeit beim Fremdgehen versprach, erschütterten die Enthüllungen das Leben vieler Kunden.

  • Thyssenkrupp

    Im Frühjahr 2016 haben Hacker den Industriekonzern Thyssenkrupp angegriffen. Sie hatten in den IT-Systemen versteckte Zugänge platziert, um wertvolles Know-how auszuspähen. In einer sechsmonatigen Abwehrschlacht haben die IT-Experten des Konzerns den Angriff abgewehrt – ohne, dass einer der 150.000 Mitarbeiter des Konzerns es mitbekommen hat. Die WirtschaftsWoche hatte die Abwehr begleitet und einen exklusiven Report erstellt.

  • WannaCry

    Im Mai 2017 ging die Ransomware-Attacke "WannaCry" um die Welt – mehr als 200.000 Geräte in 150 Ländern waren betroffen. Eine bislang unbekannte Hackergruppe hatte die Kontrolle über die befallenen Computer übernommen und Lösegeld gefordert – nach der Zahlung sollten die verschlüsselten Daten wieder freigegeben werden. In Großbritannien und Frankreich waren viele Einrichtungen betroffen, unter anderem Krankenhäuser. In Deutschland betraf es vor allem die Deutsche Bahn.

Für Unternehmen sind sie also keine reale Bedrohung mehr?
Phishing wird immer anspruchsvoller, weil wir ohnehin alle unsere Daten im Netz verbreiten. Wer sich ein bisschen Mühe gibt, weiß ganz genau, bei welcher Bank Sie sind, welche Kreditkarten Sie verwenden, wo Sie einkaufen und bei welchen Versicherungen Sie sind. Wer sich dann noch ein bisschen Mühe mit der Gestaltung der Mails gibt, hat gute Chancen, Sie zu erwischen: Weil niemand seine Mails gründlich liest, weil wir dafür gar keine Zeit haben. Wir lesen die im Bus oder im Zug und wenn es dann ein bisschen wackelt oder uns ein anderer Passagier anrempelt, haben wir aus Versehen schon auf den gefährlichen Link geklickt. Und da Phishing nichts kostet, lohnt es sich für die Macher schon, wenn nur einer darauf herein fällt.

Anzeige
Zur Startseite
-0%1%2%3%4%5%6%7%8%9%10%11%12%13%14%15%16%17%18%19%20%21%22%23%24%25%26%27%28%29%30%31%32%33%34%35%36%37%38%39%40%41%42%43%44%45%46%47%48%49%50%51%52%53%54%55%56%57%58%59%60%61%62%63%64%65%66%67%68%69%70%71%72%73%74%75%76%77%78%79%80%81%82%83%84%85%86%87%88%89%90%91%92%93%94%95%96%97%98%99%100%