Massive Attacken

Danach sind 64 Prozent (48  Prozent weltweit) der in Deutschland befragten Unternehmen bereits Opfer so genannter Social-Engineering-Attacken geworden. 46 Prozent (48 Prozent) der deutschen Organisationen haben in den vergangenen beiden Jahren 25 oder mehr solcher Angriffe hinnehmen müssen, die eigener Einschätzung pro Vorfall mit Folgekosten von über 25.000 US-Dollar (25.000-100.000 US-Dollar) verbunden waren. Der Report „Die Risiken von Social Engineering für die Informationssicherheit“ („The Risk of Social Engineering on Information Security“) zeigt auf, dass Phishing- und Social-Networking-Tools die gängigsten Mittel für den gezielten Missbrauch menschlicher Schwächen sind – für die betroffenen Organisationen Grund genug, zur Absicherung ihrer sensitiven Daten künftig auf eine starke Kombination aus Technologie und hohem Anwenderbewusstsein zu setzen.

Von Social Engineering spricht man dann, wenn ein Angreifer, z.B. für Zwecke der Wirtschaftsspionage, menschliche Eigenschaften ausnutzt, um sich unrechtmäßig Informationen anzueignen. Die entsprechend motivierten Attacken zielen auf Personen ab, die über Insider-Wissen verfügen oder Zugang zu sensitiven Datenbeständen haben. Um an persönliche und berufsbezogene Informationen zu diesen Menschen zu gelangen und das schwächste Glied in der Organisation zu identifizieren, nutzen Hacker eine Vielzahl von Techniken und Social-Networking-Applikationen. Der in Deutschland, den USA, Kanada, Großbritannien, Australien und Neuseeland durchgeführten Check-Point-Studie zufolge betrachten 84 Prozent (86 Prozent) der deutschen Unternehmen das Thema Social Engineering als ernstes, wachsendes Problem. Dabei stellen 43 Prozent (51 Prozent) der Befragten fest, dass die Aussicht auf finanzielle Vorteile die Hauptmotivation der Angriffe ist, gefolgt vom Erlangen von Wettbewerbsvorteilen und Rachemotiven.

„Die Untersuchungsergebnisse belegen, dass knapp zwei Drittel der deutschen Unternehmen wissen, bereits Opfer von Social-Engineering-Attacken geworden zu sein“, so Jörg Kurowski, Regional Director Zentraleuropa bei der Check Point Software Technologies GmbH in Ismaning. „Das ist schockierend. Doch ebenso beunruhigend wie die tatsächlichen Attacken ist, dass mit 22 Prozent fast ein Viertel der befragten Organisationen in diesem Punkt nichts ahnend bzw. nicht sicher ist, also deutlich zu wenig Sicherheitsbewusstsein vorhanden ist.“

Social-Engineering-Techniken zielen darauf ab, die Schwachstellen der betroffenen Personen auszunutzen. Die starke Verbreitung von Web 2.0 und Mobile Computing machen es den Angreifern immer leichter, an die entsprechenden Informationen zu ihren Zielpersonen heranzukommen und bilden neue Einfallstore für die erfolgreiche Ausführung von Attacken. Mit 45 Prozent (60 Prozent) werden neue Mitarbeiter und externe Dienstleiser oder Zulieferer (44 Prozent), die möglicherweise mit den Sicherheitsregeln des Unternehmens nicht umfassend vertraut sind, von den befragten Organisationen als besonders anfällig für Social-Engineering-Methoden angesehen, gefolgt von der Geschäftsführungsassistenz, der Personalabteilung und dem IT-Personal.

„Am Ende des Tages haben die Menschen einen ganz entscheidenden Anteil an der Sicherheit der Unternehmensdaten“, so Kurowski. „Sie können von Kriminellen getäuscht und zu Fehlern verleitet werden, die zu Infektionen mit Schadsoftware und unbeabsichtigtem Datenverlust führen. Obwohl die Mitarbeiter im realen Arbeitsalltag oft die erste Verteidigungslinie bilden, achten viele Organisationen nicht ausreichend drauf, dass ihre Anwender in das Thema Datensicherheit eingebunden sind. Ein guter Weg, das Sicherheitsbewusstsein unter den Benutzern zu erhöhen ist, sie an den Security-Prozessen teilnehmen zu lassen und sie zu befähigen, Security-Vorfälle selbst und sofort verhindern bzw. beseitigen zu können.“

Um das Maß an Schutz zu erreichen, das in heutigen IT-Umgebungen erforderlich ist, muss sich Security von einer Ansammlung diverser Technologien weg und hin zu einem effektiven Geschäftsprozess entwickeln. Check Point 3D Security unterstützt Unternehmen bei der Realisierung eines Security-Konzepts, heißt es, das über reine Technologie hinaus geht und vor allem auch die Mitarbeiter schult und in die erforderlichen Prozesse einbindet.

„Genauso gut, wie Menschen Fehler machen und Datenschutzverstöße im Unternehmen verursachen können, können sie auch eine positive, wichtige Rolle bei der Minimierung von Risiken spielen“, erläutert Kurowski den Check-Point-Ansatz. „Mit Usercheck bieten wir hierfür eine besondere Technologie, mit deren Hilfe die Mitarbeiter bei der Nutzung von Unternehmensnetzen, Daten und Applikationen über die Richtlinien der Organisation informiert und entsprechend geschult werden – das hilft den Unternehmen dabei, die Häufigkeit von Social-Engineering-Attacken und die damit verbundenen Risiken und Kosten signifikant zu reduzieren.“

www.checkpoint.com

Bildquelle: © Gerd Altmann/pixelio.de