Mittelständler werden zur leichten Beute für Hacker
Autor/Redakteur: Andreas Scheurle, OSS Product Specialist Endpoint Security bei Dell Technologies Deutschland/gg
Zu klein oder zu unwichtig für eine Cyber-Attacke? So jedenfalls denken viele Mittelständler in Deutschland – und liegen damit grundlegend falsch. Unter Sicherheitsexperten ist folgender Spruch beliebt: „Es gibt zwei Arten von Unternehmen – die, die gehackt wurden, und die, die es noch nicht wissen.“ Tatsache ist, dass Cyber-Angriffe heute zu den essenziellsten Bedrohungen für die Wirtschaft gehören und in Deutschland Jahr für Jahr Schäden im zwei- bis dreistelligen Milliarden-Bereich verursachen. Als Rückgrat der Wirtschaft ist der deutsche Mittelstand mit seinem Know-how und seinen Patenten dabei längst ins Visier von Kriminellen gerückt. Gerade kleinere und mittelgroße Unternehmen trifft es oft als erste. Aus Sicht der Angreifer sind sie besonders attraktiv – denn Hacker wissen, dass KMUs oftmals nur über grundlegende Sicherheitsvorkehrungen verfügen, was unter anderem am fehlenden Bewusstsein für die Gefahren, geringeren Budgets für die IT-Sicherheit und nicht vorhandenen Fachkräften liegt. Mittelständler verfügen damit nicht über die notwendigen Ressourcen und dieselbe Expertise wie ein Großunternehmen, um einen komplexeren Angriff wirksam abzuwehren. Zudem kann man es nicht oft genug wiederholen: Bei ungezielten, massenhaften Cyber-Attacken wie dem Phishing spielt die Firmengröße ohnehin keinerlei Rolle.
Während Betriebsgelände mit Zäunen und Sicherheitspersonal gegen Eindringlinge abgeschottet werden oder dickes Panzerglas, versteckte Warnknöpfe und eine Alarmanlage bei Juwelieren und Banken zu den klassischen Sicherheitsvorkehrungen gehören, wird bei der digitalen Abwehr nach wie vor nachlässig, oft gar fahrlässig agiert. So öffnen Unachtsamkeit beim Einspielen neuester Security- und Betriebssystem-Updates, fehlerhafte Konfigurationen und schwache Passwörter den Hackern Tür und Tor ins Unternehmensnetzwerk. Gerade das Betriebssystem ist in vielen mittelständischen Betrieben eine tickende Zeitbombe: Oftmals werden nicht mehr unterstützte Desktop-Versionen wie Windows XP oder Windows 7 weiter genutzt.
Sind Cyber-Kriminelle über solche Sicherheitslücken erst einmal im Firmennetz angekommen, werden sie versuchen, mit Hilfe von privilegierten Unternehmenskonten wie Administrator-, Server- oder Datenbank-Accounts immer tiefer vorzudringen, um nach sensiblen Informationen zu suchen. Auch die zunehmende Verschmelzung von IT-Umgebungen und Operational Technology stellt Mittelständler in puncto Security vor große Herausforderungen: Der Lebenszyklus der eingesetzten Hardware in industriellen Anlagen liegt in der Regel bei 20 bis 30 Jahren. Zudem können Wartungsarbeiten nicht wie in der IT üblich über Nacht durchgeführt werden, da OT-Netzwerke auf einen permanenten Betrieb rund um die Uhr ausgelegt sind. Vor diesem Hintergrund gestaltet sich eine Aktualisierung der Sicherheitsmechanismen schwierig, und oftmals fallen Patches komplett aus.
Haben Hacker allerdings erst einmal die Kontrolle über das Firmennetz übernommen, erhalten sie vollen Zugriff auf Finanz- und Kundendaten des jeweiligen Unternehmens sowie wertvolles geistiges Eigentum. Ob die Daten nun komplett verschwunden sind oder verschlüsselt wurden, um Lösegeld zu erpressen – die Folgen sind immer gravierend. Dazu zählen der Vertrauensverlust bei den Kunden, Schaden für Image und Reputation sowie finanzielle Einbußen, sei es eben durch den Verlust von Daten, den längeren Ausfall von Systemen oder mögliche Bußgelder. Damit das nicht passiert, sollten Mittelständler ihre IT-Security regelmäßig auf den Prüfstand stellen und grundlegende Sicherheitsmaßnahmen umsetzen. Das umfasst grob drei Punkte: wirkungsvolle Abwehrmaßnahmen gegen Cyber-Angriffe wie stets aktuelle Spam- und Virenfilter sowie Firewall- und Verschlüsselungstechnologien, eine Identitäts- und Zugriffsverwaltung und – falls Daten doch einmal wiederhergestellt werden müssen – ein modernes Backup-System. Ganz wichtig ist vor allem aber auch die Sensibilisierung der eigenen Mitarbeiter für das Thema, denn sie sind nach wie der größte Risikofaktor überhaupt.
