Das Problem sitzt vor dem Rechner

Der Messebesuch war erfolgreich und brachte ein paar dutzend frische Geschäftskontakte. Jetzt trudeln täglich ein paar E-Mails mit Messebezug ein, und dann ist da diese E-Mail, die sich auf ein Gespräch am Stand bezieht. Sie enthält sogar einen Link mit weiteren Produktinfos. Wer jetzt darauf klickt, sitzt in der Falle. Und im Normalfall werden Geschäftsleute klicken, da diese Mail genau das ist, was sie nach einem Messebesuch erwarten. Es handelt sich hier um gezieltes Phishing, das speziell auf bestimmte Personengruppen zugeschnitten ist.

So etwas werde in Zukunft öfter vorkommen, befürchtet Uri Rivner, Manager beim ebenfalls von einem Angriff dieser Art betroffenen Verschlüsselungsunternehmen RSA. Die Attacken auf Sony, Sega, Google und Symantec weisen auf einen gefährlichen Trend bei Cyber-Kriminalität hin: Die Angriffe richten sich auf einzelne Unternehmen und sind für sie maßgeschneidert.

Anwender als Angriffsziel

Auch auf dem heimischen Computer werden die Angriffe immer gezielter. Laut Microsoft Security Intelligence Report setzen Hacker immer öfter auf so genanntes Social Engineering und versuchen mit scheinbar seriösen Marketing-Kampagnen und Produktwerbung Verbraucher auf infizierte Webseiten zu locken. Anders ausgedrückt: Cyber-Kriminelle greifen nicht den Rechner an, sondern den Menschen vor dem Rechner. Und der ist ein Risikofaktor. Laut eines Whitepapers des Herstellers ObserveIT gehen etwa 34 Prozent als Fehler auf menschliches Versagen zurück. Die Gefahrenquelle vor dem Rechner sorgt damit für etwa 56 Prozent aller Datenverluste oder Auszeiten.

Und wie macht der Anwender das? Ganz einfach: Er werkelt ohne großes Nachdenken mit dem Desktopcomputer herum. Eine Studie von TNS Infratest im Auftrag von Microsoft ergab: Jeder fünfte Heimanwender aktualisiert das Virenprogramm nicht regelmäßig, jeder vierte hat keine Firewall installiert und ein gutes Drittel öffnet einfach so die Mails von unbekannten Absendern.

Die Schreckenszahlen gehen weiter: Nur wenig mehr als ein Drittel der  Anwender (39 Prozent) verwenden Security-Software. Insgesamt zeigen die erstmals 2009 erhobenen Daten einen stetigen Rückgang bei den angewandten Sicherheitsmaßnahmen. Verantwortungslos? Ja. Passiert nicht im Unternehmen? Doch. Denn viele der naiv-vertrauenswürdigen Heimanwender sitzen den größten Teil des Tages am Büro-PC.

Technik hilft wenig

Und weil das so ist, wird Social Engineering immer wichtiger. Im Prinzip handelt es sich dabei um eine simple Kalkulation: In einem großen Unternehmen wird es schon jemanden geben, der schnell mal auf den mit viel Marketing-Blahblah schmackhaft gemachten Phishing-Link klickt. Ebenso schnell wird dann ein Backdoor-Trojaner installiert oder das Benutzerkonto gekapert.

Dagegen helfen technische Maßnahmen nur ungenügend. Findige Anwender entdecken rasch “Workarounds”. Ein typisches Beispiel: Bei erzwungenen Kennwortwechseln wird ein Standardpasswort mit zweistelligem Folgenzähler genutzt. Leicht zu merken und leicht zu hacken, da die meisten Anwender ohnehin nur mickrige acht Zeichen als Kennwort nutzen.

Doch welche Lösung funktioniert? “Die Anwender müssen mehr Verantwortung übernehmen”, meinen die Autoren der Microsoft-Studie. Das ist leichter gesagt als getan, denn es fehlt ihnen vielfach an Sicherheitsbewusstsein. Dafür gibt es in zahlreichen Unternehmen seit Jahr und Tag Schulungen zum Thema “Security Awareness”.

Viele Unternehmen gehen sogar weiter, meint Sicherheitsexperte Ralph Dombach in einem Beitrag für das Security-Blog Scareware.de. “Der Weg bei den Unternehmen geht von der Sensibilisierung hin zur Befähigung der Mitarbeiter, besser auf Bedrohungen zu reagieren und im Sinne des Unternehmens zu handeln.”

Sensibilisierung hilft auch nicht

Doch offensichtlich helfen Schulungen nur wenig: Versehentliche Verstöße gegen geltende Security-Richtlinien kommen häufiger vor und verursachen größere Schäden als vorsätzliches Handeln. Trotzdem hat die Abwehr bewusster Insider-Angriffe in den Unternehmen die höchste Priorität. Zu diesem Ergebnis kam 2010 eine IDC-Studie für RSA.

Kurz: Das Management hat eine verzerrte Sicht auf das Risiko, und die Anwender machen weiter wie bisher. Warum? Eine interessante Frage, denn der risikobewusste Umgang mit dem Computer erfordert keine großen intellektuellen Fähigkeiten. Sind alle User DAUs?

Der Microsoft-Researcher Cormac Herley kam vor ein paar Jahren in einer Studie nach dem Rational-Choice-Ansatz zu einem luziden Schluss: Der durchschnittliche Anwender verhält sich individuell rational, wenn er Sicherheitsrichtlinien einfach ignoriert. Der statistisch sehr selten eintretende Schaden rechtfertigt nicht den erhöhten täglichen Aufwand.

“Es ist noch nie was passiert – also wird auch in Zukunft nichts passieren.” Das ist das Mantra des von Kennwortregeln, Smartcards und Software-Sperren genervten Anwenders, der das Passwort irgendwo unter die Schreibtischschublade kritzelt. Trotzdem bleibt den Unternehmen nichts weiter übrig, als dem ihr Mantra entgegenzusetzen: “Security-Lösungen ausrollen und schulen, schulen, schulen.”

Bildquelle: © CELALTEBER/sxc.hu