PT-Magazin 05 2018

ausgeht, das heißt dem leichtfertigen
Umgang von Führungskräften und
Mitarbeitern mit sensiblen Daten oder
Sicherheitsstandards. 75% der im Rahmen
des Deloitte Cyber-Security Report
2017 befragten Unternehmen messen
diesem leichtfertigen Umgang eine
große bis sehr große Gefahr bei. Neben
dem massenhaften Versand gefälschter
E-Mails nutzen Angreifer mittlerweile
sogenannte Spear-Phishing-Attacken.
Hierbei nutzt der Angreifer öffentlich
verfügbare Informationen, um die Zielperson
zu durchleuchten. Bei diesem
„Social Engineering“ werden personenspezifische
Informationen u.a. aus sozialen
Netzwerken abgeleitet, in Relation
gesetzt und schließlich dazu genutzt,
um gezielt in unternehmensspezifische
Prozessketten einzugreifen. Der Angreifer
kann so ein Profil des Unternehmens
und des Opfers erstellen und die Daten
nutzen, um Vertrauen bei der Zielperson
zu erzeugen. Vorgeschobene Anliegen
erscheinen plausibel und das Phishing-
Opfer wird dazu verleitet eine Aktion
auszuführen. Dies kann beispielsweise
das Öffnen einer manipulierten Webseite
sein, um persönliche Login Daten
zu stehlen.
Bei einem von der Hochschule Mittweida
durchgeführten Phishing-Test an
einem mittelständigen Unternehmen,
war es das Ziel, die Mitarbeiter mithilfe
einer gefälschten E-Mail auf eine
manipulierte Website zu locken, um die
eingegeben Daten zu stehlen. Hierbei
zeigte sich, dass 34 Prozent aller Mitarbeiter
die Webseite öffneten und zehn
Prozent von ihnen ihre sensiblen Daten
übermittelten.
Geshared? – Gehackt!
Immer mehr Geräte vernetzen Gebäude
und zeichnen individuelle Bewegungsmuster
und Abläufe auf. Wer im digitalen
Zeitalter auf seine Gesundheit achtet,
nutzt oftmals Fitness-Tracker zur Motivation
und zum Aufzeichnen eines sportlichen
Lebensstils. Doch können diese
Tracker ebenso eine Gefahr für Unternehmen
darstellen. Die Strava Fitness Heat-
Map zeigt eindrucksvoll, wie harmlose
Fitness-Apps des Unternehmens Strava
ganze Militärbasen verraten können. Soldaten
trugen bei ihren Wachgängen und
Trainingsrunden in der Kaserne Fitness-
Tracker, welche die GPS-Daten an den
App-Betreiber sendeten und somit nicht
nur die Routen und Joggingstrecke, sondern
auch die Grundrisse verschiedener
Militärbasen öffentlich einsehbar machten.
Jedes Unternehmen sollte daher
darauf achten, dass die Mitarbeiter in
sensiblen Bereichen keine Fitness-Tracker
oder Wearables tragen, da sonst möglicherweise
kritische Bereiche oder Schlüsselpersonalien
des Unternehmens sichtbar
werden könnten.
Cyber-Crime immer einen Schritt
voraus?
Schadprogramme und Angriffstechniken
im Cyber-Crime entwickeln sich kontinuierlich
weiter. Dies zeigt der Exploit
EternalBlue, welcher hinter WannaCry
steckt. Wurden 2017 nur Systeme bis
Windows 8 angegriffen, befällt Eternal-
Blue mittlerweile ebenso Windows 10
Rechner. Aber nicht nur WannaCry ist
nach wie vor eine aktuelle Bedrohung.
Die Anzahl der Schadprogramme steigt,
mit über 360.000 neuen schädlichen
Dateien pro Tag, kontinuierlich und liegt
nach aktuellen Schätzungen bei knapp
600 Millionen Schadprogrammen. Frei
verfügbare Baukästen ermöglichen es
Angreifern ohne tiefgreifende Informatikkenntnisse
in minutenschnelle ihre
individuelle Schadsoftware zu erstellen,
welche von Anti-Viren-Scannern oftmals
unentdeckt bleibt.
Informationssicherheit ist Chefsache
In dem vorgenannten Report stellt die
Beratungsfirma Deloitte fest, dass sich
die Unternehmensführung in knapp
einem Viertel der befragten Unternehmen
immer noch weniger intensiv bis
gar nicht mit dem Thema Cyber-Security
auseinandersetzt. Befasst sich die
Geschäftsleitungsebene damit, dann
erfolgt dies in mehr als jedem fünften
Unternehmen nur anlassbezogen. Dies
ist besonders kritisch, da ca. 27% der
Unternehmen vermuten, dass Cyber-
Angriffe häufig unbemerkt bleiben. Bei
über einem Drittel der Unternehmen
gibt es keine Notfallpläne für den Fall
eines Cyber-Angriffes. Dies ist brisant,
da die betroffenen Unternehmen bei
einem Digitalangriff im Rahmen zahlreicher
Gesetze verschiedenen Melde- und
Informationspflichten gegenüber Behörden,
Kunden, Lieferanten, den betroffenen
Personen, der Allgemeinheit und
sonstigen Stakeholdern unterliegen.
Verschärftere Sonderegeln gelten insbesondere
für die Betreiber kritischer
Infrastrukturen. Den Behörden sind
zudem die Maßnahmen mitzuteilen,
mit denen in Zukunft derartige Vorfälle
verhindert werden sollen. Denn neben
der Pflicht zur Nachforschung bzw. Aufarbeitung
von erfolgreichen Digitalan-
27
PT-MAGAZIN 5/2018
Wirtschaft