- Anzeigen -


Sie sind hier: Home » Fachbeiträge » Grundlagen

Die menschliche Firewall


Trotz modernster Technologien bleibt ein ernstes Sicherheitsrisiko: Der Mensch
Eigentlich sollte es sich herumgesprochen haben, Anhänge von Unbekannten Absendern oder mit exotisch anmutenden Dateiformat-Endungen nicht zu öffnen

- Anzeigen -





Von Klaus Gheri, Vice President and General Manager Network Security, Barracuda Networks

Vergangenem nachzutrauern, ist selten zielführend. Dennoch: Was waren das noch für Zeiten für die IT und deren Nutzer, als E-Mail-Spam wohl immens nervte, aber in der Regel wenig Schaden anrichtete. Sieht man einmal von der erzwungenen Beschäftigung der Betroffenen ab, den Müll auszusortieren.

Heutzutage fahren Kriminelle ungleich härtere Geschütze auf, um Angriffe per E-Mail zu führen und die Adressaten in die Falle tappen zu lassen. Nur allzu oft sind die Phishing-Kampagnen derart clever, dass neben aller selbstverständlichen Abwehrtechnologie, die eine letzte Verteidigungslinie mitunter die wichtigste ist: Die menschliche Firewall. Denn oft ist die Lösegeldforderung nur einen bösartigen Klick entfernt.

Mitarbeiterschulungen und -trainings sollten daher unbedingt regelmäßiger Bestandeil einer Sicherheitsstrategie der Unternehmen sein, damit die Kollegen und Kolleginnen lernen, Phishing-Versuche zu erkennen und entsprechend sensibel damit umzugehen.

Als erstes stellt sich die Frage, wovor Nutzer auf der Hut sein müssen, wenn es um Phishing-E-Mails geht. Denn die Kriminellen haben nicht nur "die eine" Methode in petto. Ihre Kreativität kennt kaum Grenzen: Allein im vergangenen Juni blockierte Barracuda weltweit über 1,7 Millionen Phishing-E-Mails.

Die folgenden Beispiele tatsächlich stattgefundener Phishing-Versuche verdeutlichen, wie vielfältig, komplex und letzten Endes clever Kriminelle vorgehen, um über das immer noch beliebteste Einfallstor E-Mail* an ihr Ziel zu gelangen.

Geldbetrügereien versprechen dem potenziellen Opfer einen attraktiven Geldbetrag. Antwortet der E-Mail-Empfänger, verlangen die Kriminellen in der Regel eine kleinere Summe und versprechen im Gegenzug eine größere Summe zurück – was natürlich nie passiert. Das Lockmittel "Geld" dient aber häufig auch dazu, unternehmenskritische Informationen abzugreifen, beziehungsweise, einen Computer mit Malware zu infizieren.

Beim Informationsbetrug versuchen die Kriminellen, möglichst viele relevante Informationen vom E-Mail-Nutzer abzufischen. In diesem Beispiel verschickten die Angreifer eine gefälschte Bankmitteilung, deren vermeintliche Autorität den Adressaten in Sicherheit wiegen und reagieren lassen soll. Klickt der Nutzer auf den Link, wird er aufgefordert, seine Zugangsdaten – Benutzernamen und Passwort – einzugeben, und schon ist es um die Sicherheit geschehen.

Eine weitere, häufig praktizierte Methode des Phishings ist die Verbreitung von Malware durch Viren, Würmer, Bots, Ransomware oder Password Stealer-Malware. Ziel solcher E-Mails ist es, den Adressaten dazu zu bewegen, entweder einen Anhang zu öffnen (wie im Beispiel gezeigt) oder auf einen schadhaften Link zu klicken. Dies wollen Cyberkriminelle erreichen, indem sie eine dringende Angelegenheit vorgeben, die es sofort zu erledigen gilt, und somit Druck aufbauen. Damit die Malware funktioniert, versuchen die Angreifer das Opfer dahingehend zu manipulieren, dass es die Software installiert.

Eigentlich sollte es sich herumgesprochen haben, Anhänge von Unbekannten Absendern oder mit exotisch anmutenden Dateiformat-Endungen nicht zu öffnen. Damit kalkulieren Cyberkriminelle und minimieren ihr Risiko entdeckt zu werden, mittels Anhängen mit mehreren Dateierweiterungen. Bei dieser Methode versuchen die Angreifer, ihre potenziellen Opfer zu täuschen, indem sie E-Mail-Anhänge mit einem vertrauten Dateityp verschicken. Dahinter lauert dann das Böse.

In diesem realen Versuch verwendeten die Angreifer die Dateierweiterung "PDF.zip". Hier sollten sofort alle Alarmsirenen schrillen, da es sich um zwei verschiedene Dateitypen handelt. Leider wird die drohende Gefahr aufgrund des allseits bekannten .zip-Dateiformats nur allzu gerne übersehen.

Nicht alle Bedrohungen kommen in Form von E-Mail-Anhängen daher, ebenso misstrauisch sollten Empfänger sogenannte getarnte Links behandeln. Der Link selbst wirkt erst einmal nicht sonderlich verdächtig. Allerdings ist er nicht das, was er vorgibt zu sein. Dahinter verbirgt sich natürlich eine bösartige URL, die es dann in sich hat. Solche Art Links werden nicht nur zur Verbreitung von Malware verwendet, sondern leiten Nutzer zu Webseiten, die Diebe explizit eingerichtet haben, um Anmeldeinformationen oder andere persönliche Informationen abzugreifen.

Während Phishing gewöhnlich auf Massenreichweite abzielt, nehmen Spear Phishing-Botschaften speziell Einzelpersonen oder einzelne Unternehmen ins Visier. Diese Art des personalisierten Angriffs gibt es in den verschiedensten Varianten, etwa als gefälschte E-Mail von Banken, Bezahl- oder Zustelldiensten und sogar vom eigenen Arbeitgeber. Die Absicht ist stets die gleiche: Die Opfer sollen Geldbeträge überweisen oder sensible Daten an Kriminelle weitergeben, die sich als Chef, Kollege oder vertrauenswürdiger Kunde ausgeben.

In diesem Beispiel haben sich die Kriminellen die Zeit genommen, eine trügerische Domain zu registrieren, die den Namen eines tatsächlich existierenden Unternehmens enthält. Wer jedoch aufmerksam hinschaut, wird den falsch geschriebenen Unternehmensnamen im Link bemerken (Netfliix), und die Alarmglocken sollten läuten. Diese Methode des "Typosquattings" (engl. squatter = Hausbesetzer, übertragen: Tippfehlerdomain, Domaingrabbing) beruht darauf, dass eine Person die Webadresse versehentlich falsch eintippt und dann auf eine alternative Webseite geführt wird, die dem "Typosquatter" gehört. Diese Seiten können dann ein Konkurrenzangebot, unpassende Werbung oder sonstige unerwünschte Inhalte enthalten.

Die gezeigten Beispiele sind nur eine kleine Auswahl der vielen Varianten von Phishing-Betrug, die Kriminelle jeden Tag zigtausendfach versenden. Eine E-Mail-Sicherheitslösung, die Sandboxing sowie einen erweiterten Schutz vor Bedrohungen bietet und Malware blockiert– und zwar noch bevor das kriminelle Anschreiben den E-Mail-Server des Unternehmens erreicht, ist ein "Muss". Zur Abwehr von E-Mails mit bösartigen Links hilft zudem ein Anti-Phishing-Schutz, der eine Link Protection-Funktion enthält. Diese sucht nach URLs zu Webseiten, die bösartigen Code enthalten, und blockiert Links zu gefährdeten Webseiten, selbst wenn diese sich im Inhalt eines Dokuments verstecken. Ein Tipp: Indem lediglich der Mauszeiger über den Link bewegt wird – ohne diesen anzuklicken – offenbart sich die tatsächliche, kriminelle Absicht dahinter.

Allen erforderlichen Sicherheitstechnologien voran sollte jedoch immer eine fundierte Aufklärung der Mitarbeiter und Mitarbeiterinnen stehen. Diese müssen regelmäßig über aktuelle Gefahren und Phishing-Methoden geschult und anschließend getestet werden, um ihr Sicherheitsbewusstsein für verschiedene gezielte Angriffe zu erhöhen. Das simulierte Angriffstraining ist hier bei Weitem die effektivste Form solcher Schulungen. Funktioniert die menschliche Firewall, ist ein wesentlicher Schritt getan, es Cyberkriminellen – zumindest – deutlich schwerer zu machen.

*Umfrage von Barracuda unter IT-Verantwortlichen aus dem mittleren und gehobenen Management aus 145 europäischen kleinen, mittleren und großen Unternehmen über den aktuellen Stand der E-Mail-Sicherheit.
(Barracuda Networks: ra)

eingetragen: 14.07.18
Newsletterlauf: 23.07.18

Barracuda Networks: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.


Meldungen: Grundlagen

  • Geschichte und Zukunft der Ransomware

    Aktuelle Ransomware-Angriffe wie das erneute Aufflammen der GandCrab-Welle oder die Attacke auf den deutschen Maschinenbauer Krauss Maffei, durch den zahlreiche Rechner lahmgelegt und die Produktion wochenlang gedrosselt wurde, zeigen, dass das Geschäftsmodell der Datengeiselnahme für Cyberkriminelle leider nichts an Attraktivität eingebüßt hat. Lösegelderpressung durch Ransomware hat von ihren frühesten Anfängen vor 30 Jahren bis heute eine berüchtigte Karriere hingelegt. Durch die enorme Professionalisierung der Vertriebswege, beispielsweise durch Ransomware-as-a-Service (RaaS), wurden Krypto-Trojaner-Attacken auch für technisch wenig versierte Kriminelle zu einer der lohnenswertesten und erfolgreichsten Angriffsarten.

  • Unterschätzte Bedrohung "Datendiebstahl"

    Datendiebstahl zählt zu den größten Bedrohungen in der Cyberwelt. So wurden im Jahr 2017 rund 2,6 Milliarden Daten gestohlen. Das entspricht einer Zunahme von 88 Prozent im Vergleich zum Vorjahr (1). Trotzdem wird diese Gefahr häufig noch immer unterschätzt. Denn gerade durch das Aufkommen des Internet of Things (IoT) sowie des Industrial Internet of Things (IIoT) können die Folgen solcher ungewollten Datenabflüsse weitaus größere Ausmaße haben als "nur" den reinen Verlust von wichtigen Daten. Dabei haben es die Hacker auf den ersten Blick auf vermeintlich uninteressante Unternehmens- und Mitarbeiterdaten abgesehen.

  • Wer muss die Sicherheitsstrategie mittragen?

    Wir schreiben das Jahr 2019. Daten sind omnipräsent und allein mit unseren Fingerspitzen agieren wir hochgradig transformativ. Das ändert, wie wir unsere Geschäftstätigkeit betrachten, macht uns produktiver und vereinfacht an vielen Stellen unser Leben. Sei es, dass wir sicher nach Hause finden, Lebensmittel online bestellen können oder entscheiden, was wir wann auf welchem Gerät ansehen. Die Möglichkeiten sind schier unendlich sowohl für den privaten als auch für den geschäftlichen Bereich. Und jede Minute kommen neue Optionen dazu. Unglücklicherweise hat jede neue Möglichkeit auch neue Sicherheitsrisiken im Gepäck. Risiken, denen sich Sicherheitsverantwortliche wie CISOs nur allzu bewusst sind. Welche Verhaltensweisen, Methoden und Haltungen sind also besser als andere geeignet das bestmögliche aus unseren Daten herauszuholen und gleichzeitig deren Sicherheit zu gewährleisten?

  • Biometrie hat viele Gesichter

    Laut National Academies Press versteht man unter Biometrie "die automatisierte Erkennung von Individuen anhand von Verhaltensmerkmalen und biologischen Eigenschaften". Diese Merkmale werden zunehmend genutzt, um eine wachsende Zahl digitaler Systeme und Objekte wie Anwendungen, Datenquellen, Mobiltelefone, PCs und Gebäude zu sichern sowie den Zugang oder Zugriff zu ermöglichen. Hier ersetzen biometrische Merkmale vermehrt Passwörter und Codes, die wesentlich einfacher zu knacken sind. Passwörter haben fundamentale Schwächen. Sie können kompromittiert oder gestohlen, oder in einigen Fällen sogar einfach erraten werden - und so die digitale Identität einer Person gefährden. Biometrische Technologien sind an dieser Stelle wesentlich sicherer, weil sie sich auf einzigartige Erscheinungsmerkmale oder Verhaltensweisen einer Person stützen, bevor diese auf Geräte, Datenbanken oder Systeme zugreifen darf.

  • Fragmentierung macht Compliance-Nachweis schwierig

    Die Verschlüsselung von Daten ist rund um den Globus zu einem zentralen Bestandteil der IT-Sicherheitsstrategie von Unternehmen geworden. Das hat unterschiedliche Gründe. Öffentlich bekannt gewordene Fälle von Datenschutzverletzungen und Datendiebstahl haben Unternehmenslenker für die Folgewirkungen sensibilisiert. Neben rechtlichen Konsequenzen können Datenschutzverletzungen und Datenverluste auch negative Folgen für den Ruf des Unternehmens haben. Und auch Compliance-Anforderungen, wie sie etwa der PCI DSS an Unternehmen stellt, die Kreditkartentransaktionen nutzen, sind ein entscheidender Motivationsfaktor für den Einsatz von Verschlüsselungstechnologie. Moderne Datenverschlüsselung steht auf fünf Säulen: Sie ist universell, hoch automatisiert, sie nutzt moderne Authentifizierungsmechanismen, sie setzt auf Verschlüsselungstechnologien auf Hardwareebene und sie ist transparent und zentral verwaltet. Die Säulen im Einzelnen.