- Anzeigen -


Sie sind hier: Home » Markt » Tipps & Hinweise

Durchschnittlich 70.000 Euro Schaden pro Attacke


KMU im Fadenkreuz der Cyber-Kriminellen: Sieben Schritte zur Verbesserung der Cyber-Sicherheit
Zeitmangel oder Unwissenheit: Viele kleine und mittlere Unternehmen sind auf Cyber-Angriffe nur schlecht vorbereitet

- Anzeigen -





Angesichts der zahlreichen Herausforderungen des täglichen Geschäftsbetriebs überrascht es nicht, dass das Thema Cyber-Sicherheit auf der Tagesordnung kleiner und mittlerer Unternehmen (KMU) häufig auf der Agenda nach unten rutscht. Jedoch mit ernsten Folgen: Wie der Verizon 2016 Data Breach Investigations Report zeigt, handelte es sich bei einem Drittel der Opfer von Datenverlusten infolge eines Ransomware-Angriffs um kleine und mittlere Unternehmen. Diese nehmen Nachrichten über Attacken auf Konzerne und Marken zwar zur Kenntnis, gehen jedoch oft fälschlicherweise davon aus, dass sie selbst zu klein sind, um ein lohnenswertes Opfer darzustellen. Dabei zielen anspruchsvolle Spear-Phishing-Kampagnen und Ransomware-Angriffe nicht nur auf große Unternehmen ab, kleine und mittlere Unternehmen sind mittlerweile längst in den Fokus von Angreifern geraten. Denn mit ihren entsprechend vernachlässigten Verteidigungsmechanismen machen KMU sich erst recht zu einem interessanten Ziel für digitale Angreifer.

Laut Verizon nahm die Anzahl der Ransomware-Angriffe 2016 im Vergleich zum Vorjahr weltweit um 16 Prozent zu, ein sprunghafter Anstieg dieser relativ neuen, aber mittlerweile sehr lukrativen Form von Cyberangriffen. Aufgrund des digitalen Wandels der Kriminalität gibt es inzwischen "professionelle" Internetkriminelle, die sich auf Lösegelderpressung und Geldwäsche spezialisiert haben, digitaler Zahlungssysteme wie Bitcoin oder Monero erleichtert zudem den anonymen Geldtransfer und vereinfacht die Erpressung, ohne dass Spuren nachverfolgt werden können. Diese Form von Cyberangriff bereits so populär, dass sie sogar als "Ransomware-as-a-Service" angeboten wird, bei der man sich im Tor-Netz eine eigene, personalisierte Ransomware zusammenstellen kann, wobei die Hintermänner Kommission auf die Erpressungserlöse verlangen.

Ebenso werden Phishing-Attacken immer ausgefeilter. Scammer durchsuchen Online-Quellen wie LinkedIn und die Website des jeweiligen Unternehmens oder rufen bei der Auskunft an, um Namen von Ansprechpartnern herauszufinden. Auf diese Weise beschaffen sie sich Informationen, die ihnen dabei helfen, Zielpersonen von der Echtheit ihrer gefälschten E-Mail zu überzeugen. Sie geben sich als bekannte Personen aus, um die Empfänger dazu zu bewegen, beispielsweise eine infizierte Datei zu öffnen oder auf eine schädliche URL zu klicken. Neben E-Mail-Konten, gehören zudem Netzwerkperimeter, Endgeräte, Remotezugriffe und Webanwendungen zu den fünf am häufigsten genutzten Angriffsvektoren. Für jeden einzelnen sind spezielle Schutzmaßnahmen erforderlich, und in der Regel ist man nur mit einer geeigneten Kombination aus den richtigen Tools, Mitarbeitern und Prozessen gegen alle Bedrohungen gewappnet.

Dennoch lassen es einige kleine und mittlere Unternehmen lieber darauf ankommen, im Fall eines Ransomware-Angriffs für die Widererlangung ihrer Daten zu bezahlen, statt ausreichende Sicherheitsvorkehrungen zu treffen. Für manche Mittelständler sind Ransomware-Angriffe heutzutage schlichtweg Teil des Geschäftsalltags im Glauben, die Lösegeldzahlung wäre billiger als die Kosten für Datensicherheitsdienste. Doch dies verkennt die Tatsache, dass die Kosten einer Attacke weit über die Höhe der Lösegeldbetrags hinausgehen. Kleine und mittlere Unternehmen müssen ebenfalls die Stunden verlorener Mitarbeiterproduktivität, den Vertrauensverlust der Kunden sowie die Schädigung des Rufs einkalkulieren. Unter Berücksichtigung sämtlicher Ausgaben für die Anzeige von Sicherheitsverletzungen sowie für Bußgelder, Ausfallzeiten des Unternehmens und Systemreparaturen kostet KMU eine zielgerichtete Attacke gegen die Datensicherheit derzeit durchschnittlich 70.000 Euro.
Sieben Schritte zur Verbesserung der Cyber-Sicherheit

Lesen Sie zum Thema "Compliance" auch: Compliance-Magazin.de (www.compliancemagazin.de)

1. Cyber-Sicherheit als Frage der Unternehmens-Performance und -Compliance
Cyber-Sicherheit wird häufig als reines IT-Problem betrachtet, so haben Führungskräfte oft kaum einen Einblick in bewährte Sicherheitsstandards und -risiken. Ohne Experten im Team bleibt es darüber hinaus nur allzu oft dem einfachen IT-Personal überlassen, sich um das umfangreiche Feld der Cyber-Sicherheit zu kümmern, doch IT-Sicherheit erfordert einen zentralen Ansatz mit klaren Zuständigkeiten. Wichtige Personen, allen voran Mitglieder der Unternehmensführung, müssen sich für das Thema einsetzen, um eine unternehmensweite Entscheidungs- und Mitarbeiterkultur zu ermöglichen, deren Schwerpunkt auf dem vertraulichen Umgang mit Kundendaten und gutem Datenmanagement liegt.

Eine anfängliche professionelle Risikobewertung ist dabei unerlässlich, um bestimmte Gefahren zu identifizieren und Lösungen zu implementieren. Dieser Prozess sollte eine genaue Beurteilung der direkten Kosten im Zusammenhang mit einer Sicherheitsverletzung sowie deren Folgen für das gesamte Unternehmen beinhalten. Arbeiten Sie hierfür mit Spezialisten zusammen und nutzen Sie Managed Services, um die Implementierung bewährter Sicherheitsverfahren und -technologien zu beschleunigen. Spezialanbieter können dabei helfen, potenzielle Schwachstellen zu ermitteln und eine durchdachte Strategie zum Schutz gegen Cyber-Angriffen zu erarbeiten.

2. Implementierung bewährter Sicherheitsverfahren
Legen Sie konkrete Richtlinien für die E-Mail-, Web-, Kollaborations- und Social-Media-Tools sowie sonstiger Werkzeuge fest, die in diversen Arbeitsabläufen eingesetzt werden. Stellen Sie dabei sicher, dass diese Leitlinien die gesetzlichen und behördlichen Auflagen zur Verschlüsselung von E-Mail-Inhalten umfassen, die sensible Daten enthalten. Weiterhin sollte die Nutzung privater mobiler Endgeräte wie Laptops, Tablets oder Smartphones (BYOD), mit denen auf Unternehmenssysteme zugegriffen wird, überwacht oder gesteuert werden. Unterweisen Sie Ihre Mitarbeiter, welche Werkzeuge und Anwendungen sie für den Zugang zu Unternehmensressourcen verwenden sollten. Verbieten Sie beispielsweise die Verwendung fremder Datensticks oder Software auf der Firmeninfrastruktur.

3. Maßnahmen zur Überwachung und Vorbeugung
Implementieren Sie Systeme zur Erkennung und Eliminierung von Phishing- und Ransomware-Attacken. Überwachungs-Software sollte umfangreiche Transparenz bieten sowie IT-Teams in die Lage versetzen, Postfächer regelmäßig zu scannen und Bedrohungen zu einem bestimmten Gerät zurückzuverfolgen. Ebenfalls sollten vorbeugende Maßnahmen ergriffen werden, darunter die Suche nach Schwachstellen in Web-Anwendungen sowie nach vorhandener Spyware und der Einsatz fortschrittlicher Werkzeuge zur Feststellung einer Gefährdung.

4. Datensicherung
Ein Disaster Recovery-Plan ist überlebenswichtig für die Geschäftskontinuität. Prüfen Sie deshalb Ihr Backup-Verfahren, um sicherzustellen, dass Daten plattformübergreifend wiederhergestellt werden können. Auf diese Weise sorgen Sie dafür, dass Sie über eine konsequente Strategie zur Schadenbegrenzung verfügen. Cloud-basierte Backup-Systeme eignen sich zum Beispiel, um die Anforderung eines Offsite-Backups für Katastrophenfälle kostengünstig abzubilden.

5. Datenverschlüsselung und Cloud-Sicherheit
Ein umfangreiches Sicherheitskonzept sollte zudem fortschrittliche Ansätze wie Regeln für die Datenverschlüsselung zum Schutz privater Datenspeicher und Cloud-basierter Backup-Systeme umfassen. Ebenfalls dazu zählen Werkzeuge für heuristisches Scannen zum Aufspüren von Befehlen, die gegebenenfalls auf bösartige Aktivitäten hindeuten, sowie Cloud-basierte System-Emulatoren, die Dateien in einer Sandbox öffnen und untersuchen, um Systeme vor dem Risiko schädlicher Anhänge zu schützen.

6. Sensibilisierung der Belegschaft
Auch lässt sich mit der Sensibilisierung der Belegschaft einiges erreichen, denn Cyber-Kriminelle haben es zumeist auf das leichteste Ziel im Netzwerk abgesehen – den Benutzer. E-Mails zählen zu den häufigsten Einfallstoren für zahlreiche Arten von Attacken, viele Mitarbeiter kämpfen jedoch mit Informationsüberflutung, die Wahrscheinlichkeit ist also gering, dass sie ihre Post eingehend auf Phishing prüfen. Die Förderung des Sicherheitsbewusstseins ist ein zentraler Bestandteil der Verbesserung des Schutzes. Die Ergebnisse eines aktuellen Berichts von Osterman Research bestätigen, dass die Wahrscheinlichkeit, Opfer eines Spear-Phishing-Angriffs zu werden, für Unternehmen mit gut vorbereiteten Mitarbeitern geringer ist. Wichtig ist die Veranstaltung regelmäßiger Schulungen, in denen der Umgang mit Betrug oder E-Mail-Angriffen, gute E-Mail-Praktiken und sicheres Verhalten beim Surfen im Internet vermittelt werden.

7. Halten Sie Ihre Systeme aktuell
Alle Anwendungen und Betriebssysteme sollten regelmäßig auf Sicherheitslücken geprüft sowie anhand aktueller Patches der jeweiligen Anbieter auf den neuesten Stand gebracht werden. Wie Edgescan herausfand, hätten 63 Prozent aller Schwachstellen mittels Sicherheitsaktualisierung beseitigt werden können.

IT und auch IT-Sicherheit ist Chefsache
Im Züge des digitalen Wandels werden kleinere und mittlere Unternehmen in den kommenden Jahren zunehmend von Hackerangriffen betroffen sein. Zwar ist auch ein langsamer Anstieg des Risikobewusstseins bei KMU zu erkennen, jedoch zeigt sich noch eine große Diskrepanz zwischen steigendem Bewusstsein und dem Ergreifen konkreter Maßnahmen zum Schutz vor Angriffen. Aktuell besteht wohl das größte Risiko für KMU noch immer darin, die Risiken zu unterschätzen oder das Thema überfordert auszublenden. Globale und flächendeckend angelegte Bedrohungen wie der aktuelle WannaCry-Ransomware-Angriff, von dem nicht nur Unternehmen wie die Deutsche Bahn oder Schenker, sondern auch zahllose kleine Unternehmen betroffen waren, zeigen jedoch, dass die Auseinandersetzung mit IT-Sicherheit kein reines Abteilungsthema, sondern unabhängig von der Unternehmensgröße Chefsache sein sollte.
(Barracuda Networks: ra)

eingetragen: 10.07.17
Home & Newsletterlauf: 04.08.17


Barracuda Networks: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

- Anzeigen -





Kostenloser IT SecCity-Newsletter
Ihr IT SecCity-Newsletter hier >>>>>>

- Anzeigen -


Meldungen: Tipps & Hinweise

  • Sicherheitsbedenken von IoT-Nutzern

    Die Gefahr von Cyberangriffen im Internet der Dinge wächst exponentiell. Microsoft hat aus diesem Grund eine Richtlinie "Cybersicherheit im Internet der Dinge" veröffentlicht. Sie beschreibt insbesondere warum und an welchen Stellen solche Richtlinien unbedingt notwendig sind. IoT-Sicherheit ist heutzutage fraglos eine der Hauptsorgen. Sie betrifft uns als Verbraucher, aber auch Hersteller, Unternehmen aller Größenordnungen und staatliche Einrichtungen. Stand heute, sind nur wenige Leitlinien, Standards oder Richtlinien definiert und durchgesetzt worden. Das verstärkt die Sorge zusätzlich. Einige Rahmenwerke für IoT-Sicherheit befinden sich derzeit in unterschiedlichen Entwicklungsstadien. Sie sind allerdings stark von der jeweiligen Branche abhängig und meist nur Best Practices.

  • Video- und Bild-Aufnahmen in HD-Qualität

    Viele Einzelhändler, Cafébesitzer und andere Kleinunternehmer können in Zeiten steigender Einbruchszahlen den Urlaub nicht sorgenfrei genießen, da sie keine Gewissheit haben, dass die Geschäftsräume während ihrer Abwesenheit und außerhalb der Geschäftszeiten wirklich ausreichend gesichert sind. Aus diesem Grund boomen derzeit Sicherheitskameras, aber deren Qualität schwankt erheblich und nur wenige der Systeme lassen sich einfach und flexibel auch von Laien einrichten und verwalten. Darum möchte Netgear im folgenden Beitrag erläutern, welche Features eine Lösung mitbringen sollte, um auch Anwendern ohne Technikkenntnissen beste Sicherheit, smarten Schutz und komfortable Bedienung zu bieten. So können auch Kleinunternehmer sorgenfrei in den Urlaub starten.

  • IT-Security sollte Teil des Risikomanagements sein

    Noch immer unterschätzen viele Unternehmen das Risiko, Opfer eines DDoS-Angriffs zu werden. Dieses Kalkül kann schnell unerwünschte finanzielle Auswirkungen haben - Eine frühzeitige Risikobewertung hilft nach Meinung von Akamai Technologies, "Reparaturkosten" zu vermeiden. Wie hoch das individuelle Risiko für ein Unternehmen wirklich ist, von einer DDoS-Attacke oder einem Hacker-Angriff auf Web-Applikationen betroffen zu sein, kann niemand genau sagen. Eines aber ist klar: DDoS-Attacken, verbunden mit Erpressungsversuchen, kommen immer häufiger vor. Seit Beginn dieses Jahres ermittelte Akamai Technologies die Aktivitäten unterschiedlicher Hacker-Gruppen wie DD4BC, Stealth Ravens und XMR Squad, die Erpressungsversuche starten und Websites lahmlegen. Bei unzureichendem Schutz waren die Angriffe erfolgreich. Vor allem Unternehmen, deren Umsatz in hohem Maß von ihrem Onlineshop abhängig ist, müssen in solch einem Fall mit möglicherweise beträchtlichen finanziellen Folgen rechnen. Dazu kommen als indirekte Kosten die Imageverluste und in der Folgezeit erhöhte Marketingausgaben, um das verlorene Vertrauen wieder mühsam aufzubauen.

  • Vorsicht vor Spearphishing-Angriffen

    Das Bundesamt für Sicherheit in der Informationstechnik (BSI) beobachtet derzeit professionelle Cyber-Angriffe auf private E-Mail-Postfächer von Funktionsträgern aus Wirtschaft und Verwaltung. Bei dieser Angriffskampagne werden täuschend echt erscheinende Spearphishing-Mails an ausgewähltes Spitzenpersonal gesandt. Die Angreifer geben beispielsweise vor, Auffälligkeiten bei der Nutzung des Postfachs beobachtet zu haben oder neue Sicherheitsfunktionalitäten anbieten zu wollen. Der Nutzer wird aufgefordert, einen Link anzuklicken und auf der sich öffnenden Webseite sein Passwort anzugeben. Durch die Preisgabe des Passworts erhalten die Täter Zugriff auf das persönliche E-Mail-Postfach und dessen Inhalte. Die aktuell beobachtete Kampagne richtet sich gegen Yahoo- und Gmail-Konten. Die verwendete Angriffsinfrastruktur hat Ähnlichkeiten mit derjenigen, die bei den Angriffen und anschließenden Leaks gegen die Demokratische Partei in den USA und gegen die französische En Marche-Bewegung eingesetzt wurde.

  • Lieblingsfirmen der Spammer

    Mit dem Rückgang der Exploit-Kits wächst der Versand von Spam wieder in der Gunst der Kriminellen. Ein beliebter Trick der Spammer ist es, sich als legitimes Unternehmen auszugeben und die Empfänger damit über den schädlichen Inhalt zu täuschen. Für das erste Halbjahr 2017 veröffentlicht F-Secure jetzt eine Rangliste der beliebtesten gefälschten Absender. Die Liste enthält die Namen von Schwergewichten wie Microsoft, Amazon oder Apple. Das zeigt deutlich: Je größer der Name, desto verlockender der Missbrauch in Spam-Mails. "So viele Leute nutzen die Dienste oder Produkte dieser großen Unternehmen, entsprechend macht es für die Kriminellen Sinn, diese bekannten Namen zu missbrauchen", so Rüdiger Trost, Head of Cyber Security Solutions bei F-Secure Deutschland.