- Anzeigen -


Sie sind hier: Home » Markt » Tipps & Hinweise

Durchschnittlich 70.000 Euro Schaden pro Attacke


KMU im Fadenkreuz der Cyber-Kriminellen: Sieben Schritte zur Verbesserung der Cyber-Sicherheit
Zeitmangel oder Unwissenheit: Viele kleine und mittlere Unternehmen sind auf Cyber-Angriffe nur schlecht vorbereitet

- Anzeigen -





Angesichts der zahlreichen Herausforderungen des täglichen Geschäftsbetriebs überrascht es nicht, dass das Thema Cyber-Sicherheit auf der Tagesordnung kleiner und mittlerer Unternehmen (KMU) häufig auf der Agenda nach unten rutscht. Jedoch mit ernsten Folgen: Wie der Verizon 2016 Data Breach Investigations Report zeigt, handelte es sich bei einem Drittel der Opfer von Datenverlusten infolge eines Ransomware-Angriffs um kleine und mittlere Unternehmen. Diese nehmen Nachrichten über Attacken auf Konzerne und Marken zwar zur Kenntnis, gehen jedoch oft fälschlicherweise davon aus, dass sie selbst zu klein sind, um ein lohnenswertes Opfer darzustellen. Dabei zielen anspruchsvolle Spear-Phishing-Kampagnen und Ransomware-Angriffe nicht nur auf große Unternehmen ab, kleine und mittlere Unternehmen sind mittlerweile längst in den Fokus von Angreifern geraten. Denn mit ihren entsprechend vernachlässigten Verteidigungsmechanismen machen KMU sich erst recht zu einem interessanten Ziel für digitale Angreifer.

Laut Verizon nahm die Anzahl der Ransomware-Angriffe 2016 im Vergleich zum Vorjahr weltweit um 16 Prozent zu, ein sprunghafter Anstieg dieser relativ neuen, aber mittlerweile sehr lukrativen Form von Cyberangriffen. Aufgrund des digitalen Wandels der Kriminalität gibt es inzwischen "professionelle" Internetkriminelle, die sich auf Lösegelderpressung und Geldwäsche spezialisiert haben, digitaler Zahlungssysteme wie Bitcoin oder Monero erleichtert zudem den anonymen Geldtransfer und vereinfacht die Erpressung, ohne dass Spuren nachverfolgt werden können. Diese Form von Cyberangriff bereits so populär, dass sie sogar als "Ransomware-as-a-Service" angeboten wird, bei der man sich im Tor-Netz eine eigene, personalisierte Ransomware zusammenstellen kann, wobei die Hintermänner Kommission auf die Erpressungserlöse verlangen.

Ebenso werden Phishing-Attacken immer ausgefeilter. Scammer durchsuchen Online-Quellen wie LinkedIn und die Website des jeweiligen Unternehmens oder rufen bei der Auskunft an, um Namen von Ansprechpartnern herauszufinden. Auf diese Weise beschaffen sie sich Informationen, die ihnen dabei helfen, Zielpersonen von der Echtheit ihrer gefälschten E-Mail zu überzeugen. Sie geben sich als bekannte Personen aus, um die Empfänger dazu zu bewegen, beispielsweise eine infizierte Datei zu öffnen oder auf eine schädliche URL zu klicken. Neben E-Mail-Konten, gehören zudem Netzwerkperimeter, Endgeräte, Remotezugriffe und Webanwendungen zu den fünf am häufigsten genutzten Angriffsvektoren. Für jeden einzelnen sind spezielle Schutzmaßnahmen erforderlich, und in der Regel ist man nur mit einer geeigneten Kombination aus den richtigen Tools, Mitarbeitern und Prozessen gegen alle Bedrohungen gewappnet.

Dennoch lassen es einige kleine und mittlere Unternehmen lieber darauf ankommen, im Fall eines Ransomware-Angriffs für die Widererlangung ihrer Daten zu bezahlen, statt ausreichende Sicherheitsvorkehrungen zu treffen. Für manche Mittelständler sind Ransomware-Angriffe heutzutage schlichtweg Teil des Geschäftsalltags im Glauben, die Lösegeldzahlung wäre billiger als die Kosten für Datensicherheitsdienste. Doch dies verkennt die Tatsache, dass die Kosten einer Attacke weit über die Höhe der Lösegeldbetrags hinausgehen. Kleine und mittlere Unternehmen müssen ebenfalls die Stunden verlorener Mitarbeiterproduktivität, den Vertrauensverlust der Kunden sowie die Schädigung des Rufs einkalkulieren. Unter Berücksichtigung sämtlicher Ausgaben für die Anzeige von Sicherheitsverletzungen sowie für Bußgelder, Ausfallzeiten des Unternehmens und Systemreparaturen kostet KMU eine zielgerichtete Attacke gegen die Datensicherheit derzeit durchschnittlich 70.000 Euro.
Sieben Schritte zur Verbesserung der Cyber-Sicherheit

Lesen Sie zum Thema "Compliance" auch: Compliance-Magazin.de (www.compliancemagazin.de)

1. Cyber-Sicherheit als Frage der Unternehmens-Performance und -Compliance
Cyber-Sicherheit wird häufig als reines IT-Problem betrachtet, so haben Führungskräfte oft kaum einen Einblick in bewährte Sicherheitsstandards und -risiken. Ohne Experten im Team bleibt es darüber hinaus nur allzu oft dem einfachen IT-Personal überlassen, sich um das umfangreiche Feld der Cyber-Sicherheit zu kümmern, doch IT-Sicherheit erfordert einen zentralen Ansatz mit klaren Zuständigkeiten. Wichtige Personen, allen voran Mitglieder der Unternehmensführung, müssen sich für das Thema einsetzen, um eine unternehmensweite Entscheidungs- und Mitarbeiterkultur zu ermöglichen, deren Schwerpunkt auf dem vertraulichen Umgang mit Kundendaten und gutem Datenmanagement liegt.

Eine anfängliche professionelle Risikobewertung ist dabei unerlässlich, um bestimmte Gefahren zu identifizieren und Lösungen zu implementieren. Dieser Prozess sollte eine genaue Beurteilung der direkten Kosten im Zusammenhang mit einer Sicherheitsverletzung sowie deren Folgen für das gesamte Unternehmen beinhalten. Arbeiten Sie hierfür mit Spezialisten zusammen und nutzen Sie Managed Services, um die Implementierung bewährter Sicherheitsverfahren und -technologien zu beschleunigen. Spezialanbieter können dabei helfen, potenzielle Schwachstellen zu ermitteln und eine durchdachte Strategie zum Schutz gegen Cyber-Angriffen zu erarbeiten.

2. Implementierung bewährter Sicherheitsverfahren
Legen Sie konkrete Richtlinien für die E-Mail-, Web-, Kollaborations- und Social-Media-Tools sowie sonstiger Werkzeuge fest, die in diversen Arbeitsabläufen eingesetzt werden. Stellen Sie dabei sicher, dass diese Leitlinien die gesetzlichen und behördlichen Auflagen zur Verschlüsselung von E-Mail-Inhalten umfassen, die sensible Daten enthalten. Weiterhin sollte die Nutzung privater mobiler Endgeräte wie Laptops, Tablets oder Smartphones (BYOD), mit denen auf Unternehmenssysteme zugegriffen wird, überwacht oder gesteuert werden. Unterweisen Sie Ihre Mitarbeiter, welche Werkzeuge und Anwendungen sie für den Zugang zu Unternehmensressourcen verwenden sollten. Verbieten Sie beispielsweise die Verwendung fremder Datensticks oder Software auf der Firmeninfrastruktur.

3. Maßnahmen zur Überwachung und Vorbeugung
Implementieren Sie Systeme zur Erkennung und Eliminierung von Phishing- und Ransomware-Attacken. Überwachungs-Software sollte umfangreiche Transparenz bieten sowie IT-Teams in die Lage versetzen, Postfächer regelmäßig zu scannen und Bedrohungen zu einem bestimmten Gerät zurückzuverfolgen. Ebenfalls sollten vorbeugende Maßnahmen ergriffen werden, darunter die Suche nach Schwachstellen in Web-Anwendungen sowie nach vorhandener Spyware und der Einsatz fortschrittlicher Werkzeuge zur Feststellung einer Gefährdung.

4. Datensicherung
Ein Disaster Recovery-Plan ist überlebenswichtig für die Geschäftskontinuität. Prüfen Sie deshalb Ihr Backup-Verfahren, um sicherzustellen, dass Daten plattformübergreifend wiederhergestellt werden können. Auf diese Weise sorgen Sie dafür, dass Sie über eine konsequente Strategie zur Schadenbegrenzung verfügen. Cloud-basierte Backup-Systeme eignen sich zum Beispiel, um die Anforderung eines Offsite-Backups für Katastrophenfälle kostengünstig abzubilden.

5. Datenverschlüsselung und Cloud-Sicherheit
Ein umfangreiches Sicherheitskonzept sollte zudem fortschrittliche Ansätze wie Regeln für die Datenverschlüsselung zum Schutz privater Datenspeicher und Cloud-basierter Backup-Systeme umfassen. Ebenfalls dazu zählen Werkzeuge für heuristisches Scannen zum Aufspüren von Befehlen, die gegebenenfalls auf bösartige Aktivitäten hindeuten, sowie Cloud-basierte System-Emulatoren, die Dateien in einer Sandbox öffnen und untersuchen, um Systeme vor dem Risiko schädlicher Anhänge zu schützen.

6. Sensibilisierung der Belegschaft
Auch lässt sich mit der Sensibilisierung der Belegschaft einiges erreichen, denn Cyber-Kriminelle haben es zumeist auf das leichteste Ziel im Netzwerk abgesehen – den Benutzer. E-Mails zählen zu den häufigsten Einfallstoren für zahlreiche Arten von Attacken, viele Mitarbeiter kämpfen jedoch mit Informationsüberflutung, die Wahrscheinlichkeit ist also gering, dass sie ihre Post eingehend auf Phishing prüfen. Die Förderung des Sicherheitsbewusstseins ist ein zentraler Bestandteil der Verbesserung des Schutzes. Die Ergebnisse eines aktuellen Berichts von Osterman Research bestätigen, dass die Wahrscheinlichkeit, Opfer eines Spear-Phishing-Angriffs zu werden, für Unternehmen mit gut vorbereiteten Mitarbeitern geringer ist. Wichtig ist die Veranstaltung regelmäßiger Schulungen, in denen der Umgang mit Betrug oder E-Mail-Angriffen, gute E-Mail-Praktiken und sicheres Verhalten beim Surfen im Internet vermittelt werden.

7. Halten Sie Ihre Systeme aktuell
Alle Anwendungen und Betriebssysteme sollten regelmäßig auf Sicherheitslücken geprüft sowie anhand aktueller Patches der jeweiligen Anbieter auf den neuesten Stand gebracht werden. Wie Edgescan herausfand, hätten 63 Prozent aller Schwachstellen mittels Sicherheitsaktualisierung beseitigt werden können.

IT und auch IT-Sicherheit ist Chefsache
Im Züge des digitalen Wandels werden kleinere und mittlere Unternehmen in den kommenden Jahren zunehmend von Hackerangriffen betroffen sein. Zwar ist auch ein langsamer Anstieg des Risikobewusstseins bei KMU zu erkennen, jedoch zeigt sich noch eine große Diskrepanz zwischen steigendem Bewusstsein und dem Ergreifen konkreter Maßnahmen zum Schutz vor Angriffen. Aktuell besteht wohl das größte Risiko für KMU noch immer darin, die Risiken zu unterschätzen oder das Thema überfordert auszublenden. Globale und flächendeckend angelegte Bedrohungen wie der aktuelle WannaCry-Ransomware-Angriff, von dem nicht nur Unternehmen wie die Deutsche Bahn oder Schenker, sondern auch zahllose kleine Unternehmen betroffen waren, zeigen jedoch, dass die Auseinandersetzung mit IT-Sicherheit kein reines Abteilungsthema, sondern unabhängig von der Unternehmensgröße Chefsache sein sollte.
(Barracuda Networks: ra)

eingetragen: 10.07.17
Home & Newsletterlauf: 04.08.17


Barracuda Networks: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

- Anzeigen -





Kostenloser IT SecCity-Newsletter
Ihr IT SecCity-Newsletter hier >>>>>>

- Anzeigen -


Meldungen: Tipps & Hinweise

  • Schutz vor digitalen Attacken: Zehn Tipps

    Modern vernetzte Häuser bergen Risiken - ungeschütztes WLAN kann gehackt werden, was gefährliche Folgen haben kann. Es wird vor allem dann gefährlich, wenn das Haus mit vielen, mit dem "Internet der Dinge" (IoT) verbundenen Geräten ausgestattet ist. Eines dieser Geräte zu hacken, würde es Kriminellen ermöglichen, Zugriff auf das gesamte Netzwerk zu erhalten und intelligente Geräte zu steuern. Identitätsdiebstahl kann dann zur Übernahme von Bankkonten, Sozialversicherungsnummern oder anderen privaten Daten führen. Einige Methoden, die normalerweise dazu genutzt werden, Netzwerkprobleme zu erkennen und zu lösen, können in den Händen von Verbrechern zu mächtigen und leicht zu nutzenden Hacking-Werkeugen werden. "Sniffing" beispielsweise, ist eine Methode, die das Netzwerk täuscht, damit es Daten zuerst an den Computer des Hackers sendet und so Daten eines Netzwerkes sichtbar macht.

  • Hackerangriffe werden immer raffinierter

    Die Anzahl von Cyber-Attacken steigt ebenso rasant wie deren Variantenreichtum: Egal ob Phishing-Links, die Weiten des Darknets oder Malware - Hackerangriffe werden immer raffinierter, ihre Folgen immer schwerwiegender. Unternehmen stehen vor großen Herausforderungen, entsprechende Maßnahmen zu treffen und ihre Daten zu schützen. Im Expertentipp gibt Björn Blatt, Geschäftsführer der readypartner GmbH und Experte für Digital-Strategie und digitale Wirtschaft sowie Spezialist für Cloud- und Kommunikationsservices, Tipps, wie Unternehmen sich und ihre Daten vor Cyber-Attacken bewahren.

  • Tipps für eine bessere Sicherheit des Smart Home

    Sophos präsentiert gemeinsam mit Koramis Ergebnisse des Forschungsprojekts "Haunted House". Aktuelle Zahlen zeigen mehr als 70.000 Zugriffsversuche von 24.089 einzelnen IPS auf das virtuelle Haus. Hiermit wird deutlich: Das Haunted House ist kein einmaliges Geisterphänomen sondern eine dauerhafte Gefahr für private Smart Homes - sofern diese nicht fachgerecht eingerichtet sind. Und dies ist nur die eine Seite des Spuks: Parallel zu den Zugriffsversuchen auf das "Haunted House" erforscht das Projekt mithilfe von Suchmaschinen wie Shodan oder Cenys auch, wie viele Smart Home Komponenten mehr oder weniger einfach über das Internet zugänglich sind. Ein im Oktober hierfür gestarteter Scan fand bis heute mehr als 68.000 offene Web-Schnittstellen von bekannten Smart-Home-Komponenten, die vor allem in Privathaushalten eingesetzt werden.

  • TLS-Verschlüsselung keine Herausforderung

    Die Sicherheitslücke "KRACK" in der WPA2-Verschlüsselung bei WLAN-Verbindungen in aller Munde. Sie führt dazu, dass Angreifer potentiell den Datenverkehr mitlesen und neue Daten einstreuen können. Allgemeine Gefahren und Sicherheitsanweisungen für Privatnutzer werden breit diskutiert, unbeachtet bleiben dagegen bisher die speziellen Gefahren, die KRACK für Unternehmen mit sich bringt. Die Aufklärung zur Sicherheitslücke KRACK bezieht sich insbesondere auf Themen wie Onlinebanking und Onlineshopping. Es wird geraten, beim Surfen im Internet nur verschlüsselte Verbindungen mit dem kleinen Schlosssymbol in der Browserzeile und HTTPS statt HTTP zu nutzen. Damit ist eine Ende-zu-Ende-Verschlüsselung unabhängig von der WLAN-Verbindung umgesetzt.

  • Sicherheitsrisiken minimieren

    Eine nachlässig gepflegte IT-Infrastruktur macht es Hackern leicht, an wichtige Firmendaten zu kommen. Der weltweit agierende Sicherheitsspezialist Trustwave verrät, welche neun Arbeitsschritte jedes Unternehmen durchführen sollte, um Sicherheitsrisiken auf ein Minimum zu reduzieren und Eindringlinge so schnell wie möglich aufzuspüren. Im Regelfall ist es für Cyberkriminelle ein Leichtes, Malware und andere Schadprogramme ins Netzwerk einzuschleusen. Schuld an Datenpannen sind oft ungepatchte Anwendungen, schwache Passwörter oder Mitarbeiter, die auf eine Phishing-Nachricht hereinfallen. Es gibt aber ausreichend Möglichkeiten, die Sicherheitsrisiken zu minimieren.