20.10.2014 Informationssicherheit im Unternehmen

Mitarbeiterschulungen für mehr IT-Sicherheit

Von: Frank von Stetten

Cyberkriminelle machen häufig die Mitarbeiter als Sicherheitsschwachstelle im Unternehmensnetzwerk aus – mit einfachen Maßnahmen wie z.B. regelmäßigen Mitarbeiterschulungen können sich mittelständische Unternehmen dagegen absichern.

Industriespionage und Cyberkriminalität sind für den deutschen Mittelstand inzwischen ein großes Problem geworden. Der Verfassungsschutz hat erst vor kurzem auf die wachsende Gefahr durch Industriespionage aus China hingewiesen – die Gründe dafür liegen auf der Hand: Es ist deutlich kostengünstiger, einem mittelständischen „Hidden Champion“ sein Know-how zu stehlen als es selbst zu entwickeln. Darüber hinaus sind gerade mittelständische Unternehmen oft schlecht auf professionelle Cyberangreifer vorbereitet.

Folgende Situation ist heutzutage keine Seltenheit im Unternehmensalltag: Ein Anruf vom angeblichen IT-Administrator erreicht einen Mitarbeiter: „Es existiert ein Problem mit einem Software-Update auf ihrem Rechner. Bitte geben sie mir ihr Passwort, damit wir das beheben können.“ Erfahrungsgemäß teilen in solchen „Notfällen“ bis zu neun von zehn Mitarbeitern ihr Passwort dem vermeintlichen Administrator mit. Auch Edward Snowden fragte NSA-Mitarbeiter einfach nach ihrem Passwort – ein ziemlich erfolgsversprechender Ansatz, um an Zugangsdaten zu gelangen.

Eine weitere Social-Engineering-Methode ist das Spear Phishing (Spear = englisch für Speer, also „ganz gezielt“). Dabei handelt es sich um professionell erstellte Phishing E-Mails, die nur an einen bestimmten Personenkreis geschickt werden. Das können z.B. gefälschte Mahnungen an die Buchhaltung sein oder eine Initiativbewerbung an die Personalabteilung. Typisch für Spear-Phishing-Mails sind dabei die persönliche Anrede und ein fehlerfreier E-Mail-Text. Mit dieser auf das Opfer zugeschnittenen E-Mail wird Vertrauen aufgebaut. Der Anhang enthält dann oftmals Schadsoftware, die ebenfalls auf das angegriffene Unternehmen zugeschnitten ist, damit der Virenscanner nicht Alarm schlägt.

Mit diesen und ähnlichen Social-Engineering-Methoden gelangen Hacker oft erschreckend einfach an unternehmenskritische Informationen. Mitarbeiter in Bezug auf Informationssicherheit zu sensibilisieren, ist deshalb ein entscheidender Schritt im Kampf gegen Cyberangriffe.

Passwort geheim halten

Vertrauliche Unterlagen wegsperren, starke Passwörter verwenden und Fehlkopien fachgerecht entsorgen – viele Dinge können Mitarbeiter ohne großen Aufwand umsetzen, um die Informationssicherheit im Unternehmen deutlich zu verbessern. Voraussetzung dafür ist, dass sie verstehen, wie Cyberhacking bzw. Wirtschaftsspionage funktionieren und dass solche Angriffe ihren Arbeitsplatz gefährden. Zudem sollte den Mitarbeitern verdeutlicht werden, wie sie durch eigenes Verhalten das IT-Sicherheitsrisiko im Unternehmen deutlich reduzieren können.

Die Vermittlung von Sicherheitsrichtlinien reicht für eine Verhaltensänderung jedoch nicht aus. Die Mitarbeiter müssen sich des Gefahrenpotentials bewusst sein, eine persönliche Betroffenheit spüren. Dabei zeigt die Erfahrung jahrelanger Sensibilisierungsmaßnahmen: Präsenztrainings funktionieren besser als Onlineschulungen. Führungskräfte sollten zudem mit Priorität sensibilisiert werden. Präsenzschulungen mit zahlreichen Demos und Geschichten „aus dem Nähkästchen“ sind definitiv am besten geeignet, um Betroffenheit bezüglich relevanter Sicherheitsthemen zu erzeugen. Wer einmal live erlebt hat, wie schnell ein sechsstelliges Passwort geknackt ist, der stellt die Richtlinien zur Passwortsicherheit nicht mehr in Frage.

Ab einer bestimmten Unternehmensgröße lassen sich in der Regel nicht mehr alle Mitarbeiter mit Präsenzveranstaltungen erreichen. Die alternativ genutzten Onlinetrainings sollten möglichst spannend aufbereitet sein, Videos und interaktive Übungen umfassen und auch privaten Nutzen stiften: Wie schütze ich meinen PC zu Hause? Welchen Virenscanner kann ich verwenden? Brauche ich für mein iPhone auch einen Virenschutz? Solche „privaten“ Themen erhöhen deutlich die Akzeptanz. Im Idealfall ist die Teilnahme an einem Onlinetraining verpflichtend.

Ein wichtiger Schlüssel zum Erfolg sind die Führungskräfte. Unternehmen erreichen am ehesten Verhaltensänderungen bei ihren Mitarbeitern, wenn sie zunächst das Führungspersonal für das Thema Informationssicherheit gewinnen und es ein sicherheitsbewusstes Verhalten vorlebt. Deshalb sollten die Führungskräfte immer „persönlich“ in entsprechenden Schulungen abgeholt und sensibilisiert werden.

Daten nach Vertraulichkeit klassefizieren

Langfristig müssen Mittelständler ihre wichtigsten Informationen – die „Kronjuwelen“ – identifizieren und diese besonders schützen. Dafür werden die Informationen Vertraulichkeitsklassen zugeordnet, wie z.B. „intern“ oder „streng vertraulich“. Für die „streng vertraulichen“ Daten gelten dann besondere Sicherheitsmaßnahmen: Zugriff und Weitergabe sind reglementiert, die Speicherung und Übertragung erfolgt verschlüsselt, selbst bei der Entsorgung gelten besondere Sicherheitsregeln. Das Problem: Die meisten Mitarbeiter kennen die Kronjuwelen beziehungsweise deren Wert nicht. Hier hat laut Verfassungsschutz gerade der Mittelstand noch Nachholbedarf.

Sicherheitstipps für Mitarbeiter

1. Das eigene Passwort sollte nieweitergegeben werden.
2. Vorsicht Phishing: Mitarbeiter sollten nicht unüberlegt auf Links oder Anhänge in einer E-Mail klicken.
3. Mitarbeiter sollten starke Passwörter nutzen und diese regelmäßig ändern.
4. Es sollten keine fremden Datenträger (USB-Sticks) an Unternehmens-PCs angeschlossen werden.
5. Mitarbeiter sollten keine unternehmensinternen Informationen in sozialen Netzwerken verbreiten.
6. Sensible Dokumente sollten in einem Schredder und nicht im Papierkorb entsorgt werden.
7. Sensible E-Mails sollten verschlüsselt (beispielsweise via ZIP) versendet werden.
8. Sicherheitsrelevante Vorfälle sollten umgehend an den Helpdesk gemeldet werden.