KMU im Fadenkreuz der Cyber-Kriminellen: Sieben Schritte zur Verbesserung der Cyber-Sicherheit

Sieben Schritte zur Verbesserung der Cyber-Sicherheit

1. Cyber-Sicherheit als Frage der Unternehmens-Performance und -Compliance: Cyber-Sicherheit wird häufig als reines IT-Problem betrachtet, so haben Führungskräfte oft kaum einen Einblick in bewährte Sicherheitsstandards und -risiken. Ohne Experten im Team bleibt es darüber hinaus nur allzu oft dem einfachen IT-Personal überlassen, sich um das umfangreiche Feld der Cyber-Sicherheit zu kümmern, doch IT-Sicherheit erfordert einen zentralen Ansatz mit klaren Zuständigkeiten. Wichtige Personen, allen voran Mitglieder der Unternehmensführung, müssen sich für das Thema einsetzen, um eine unternehmensweite Entscheidungs- und Mitarbeiterkultur zu ermöglichen, deren Schwerpunkt auf dem vertraulichen Umgang mit Kundendaten und gutem Datenmanagement liegt. Eine anfängliche professionelle Risikobewertung ist dabei unerlässlich, um bestimmte Gefahren zu identifizieren und Lösungen zu implementieren. Dieser Prozess sollte eine genaue Beurteilung der direkten Kosten im Zusammenhang mit einer Sicherheitsverletzung sowie deren Folgen für das gesamte Unternehmen umfassen. Die zuständigen Mitarbeiter sollten hierfür mit Spezialisten zusammenarbeiten und Managed Services nutzen, um die Implementierung bewährter Sicherheitsverfahren und -technologien zu beschleunigen. Spezialanbieter können dabei helfen, potenzielle Schwachstellen zu ermitteln und eine durchdachte Strategie zum Schutz gegen Cyber-Angriffen zu erarbeiten.
2. Implementierung bewährter Sicherheitsverfahren: Die IT-Mitarbeiter müssen konkrete Richtlinien für die E-Mail-, Web-, Kollaborations- und Social-Media-Tools sowie sonstige Werkzeuge festlegen, die in diversen Arbeitsabläufen eingesetzt werden. Dabei sollten sie sicherstellen, dass diese Leitlinien die gesetzlichen und behördlichen Auflagen zur Verschlüsselung von E-Mail-Inhalten umfassen, die sensible Daten enthalten. Weiterhin sollte die Nutzung privater mobiler Endgeräte wie Laptops, Tablets oder Smartphones (BYOD), mit denen auf Unternehmenssysteme zugegriffen wird, überwacht oder gesteuert werden. Darüber hinaus ist es erforderlich, die Mitarbeiter darin zu unterweisen, welche Werkzeuge und Anwendungen sie für den Zugang zu Unternehmensressourcen verwenden sollten. In diesem Zusammenhang ist es beispielsweise sinnvoll, die Verwendung fremder Datensticks oder Software auf der Firmeninfrastruktur zu untersagen.
3. Maßnahmen zur Überwachung und Vorbeugung: Was die Überwachung und Vorbeugung angeht, so ergibt es Sinn, Systeme zur Erkennung und Eliminierung von Phishing- und Ransomware-Attacken zu implementieren. Überwachungs-Software sollte umfangreiche Transparenz bieten sowie IT-Teams in die Lage versetzen, Postfächer regelmäßig zu scannen und Bedrohungen zu einem bestimmten Gerät zurückzuverfolgen. Ebenfalls sollten vorbeugende Maßnahmen ergriffen werden, darunter die Suche nach Schwachstellen in Web-Anwendungen sowie nach vorhandener Spyware und der Einsatz fortschrittlicher Werkzeuge zur Feststellung einer Gefährdung.
4. Datensicherung: Ein Disaster Recovery-Plan ist überlebenswichtig für die Geschäftskontinuität. Deshalb ist es unerlässlich, die Backup-Verfahren zu überprüfen um sicherzustellen, dass Daten plattformübergreifend wiederhergestellt werden können. Auf diese Weise sorgen die IT-Mitarbeiter dafür, dass sie über eine konsequente Strategie zur Schadenbegrenzung verfügen. Cloud-basierte Backup-Systeme eignen sich zum Beispiel, um die Anforderung eines Offsite-Backups für Katastrophenfälle kostengünstig abzubilden.
5. Datenverschlüsselung und Cloud-Sicherheit: Ein umfangreiches Sicherheitskonzept sollte zudem fortschrittliche Ansätze wie Regeln für die Datenverschlüsselung zum Schutz privater Datenspeicher und Cloud-basierter Backup-Systeme umfassen. Ebenfalls dazu zählen Werkzeuge für heuristisches Scannen zum Aufspüren von Befehlen, die gegebenenfalls auf bösartige Aktivitäten hindeuten, sowie Cloud-basierte System-Emulatoren, die Dateien in einer Sandbox öffnen und untersuchen, um Systeme vor dem Risiko schädlicher Anhänge zu schützen.
6. Sensibilisierung der Belegschaft: Auch lässt sich mit der Sensibilisierung der Belegschaft einiges erreichen, denn Cyber-Kriminelle haben es zumeist auf das leichteste Ziel im Netzwerk abgesehen – den Benutzer. E-Mails zählen zu den häufigsten Einfallstoren für zahlreiche Arten von Attacken, viele Mitarbeiter kämpfen jedoch mit Informationsüberflutung, die Wahrscheinlichkeit ist also gering, dass sie ihre Post eingehend auf Phishing prüfen. Die Förderung des Sicherheitsbewusstseins ist ein zentraler Bestandteil der Verbesserung des Schutzes. Die Ergebnisse eines aktuellen Berichts von Osterman Research bestätigen, dass die Wahrscheinlichkeit, Opfer eines Spear-Phishing-Angriffs zu werden, für Unternehmen mit gut vorbereiteten Mitarbeitern geringer ist. Wichtig ist die Veranstaltung regelmäßiger Schulungen, in denen der Umgang mit Betrug oder E-Mail-Angriffen, gute E-Mail-Praktiken und sicheres Verhalten beim Surfen im Internet vermittelt werden.
7. Die Systeme müssen stets aktuell sein: Alle Anwendungen und Betriebssysteme sollten regelmäßig auf Sicherheitslücken geprüft sowie anhand aktueller Patches der jeweiligen Anbieter auf den neuesten Stand gebracht werden. Wie Edgescan herausfand, hätten 63 Prozent aller Schwachstellen mittels Sicherheitsaktualisierung beseitigt werden können.

IT und auch IT-Sicherheit ist Chefsache

Im Züge des digitalen Wandels werden kleinere und mittelgroße Unternehmen in den kommenden Jahren zunehmend von Hackerangriffen betroffen sein. Zwar ist auch ein langsamer Anstieg des Risikobewusstseins bei KMU zu erkennen, jedoch zeigt sich noch eine große Diskrepanz zwischen steigendem Bewusstsein und dem Ergreifen konkreter Maßnahmen zum Schutz vor Angriffen. Aktuell besteht wohl das größte Risiko für KMU noch immer darin, die Risiken zu unterschätzen oder das Thema überfordert auszublenden. Globale und flächendeckend angelegte Bedrohungen wie der aktuelle WannaCry-Ransomware-Angriff, von dem nicht nur Unternehmen wie die Deutsche Bahn oder Schenker, sondern auch zahllose kleine Unternehmen betroffen waren, zeigen jedoch, dass die Auseinandersetzung mit IT-Sicherheit kein reines Abteilungsthema, sondern unabhängig von der Unternehmensgröße Chefsache sein sollte.