Pandemie spielt Hackern in die Karten

Aufgrund der weiter anhaltenden Corona-Pandemie arbeiten viele Menschen seit geraumer Zeit von Zuhause aus. Mitte Januar 2021 verständigten sich Bund und Länder gar auf eine befristete Homeoffice-Pflicht, sprich, Arbeitgeber müssen aktuell überall dort, wo es die beruflichen Tätigkeiten zulassen, das Arbeiten im Homeoffice ermöglichen. Zugleich appellierte man nach dem Corona-Gipfel am 19. Januar an die Arbeitnehmer, diese Angebote auch zu nutzen. Durch mehr Homeoffice sollen die Kontakte am Arbeitsort sowie auf dem Weg zur Arbeit reduziert werden.

Viele Umzüge ins Homeoffice fanden dabei in den letzten Tagen, Wochen und Monaten viel zu abrupt und schlecht koordiniert statt, da die Unternehmen und ihre Mitarbeiter einfach nicht auf diese heftige Pandemie und ihre umfangreichen Folgen vorbereitet waren. Was sonst in der Regel eine längere Planungsphase benötigt, musste plötzlich binnen kürzester Zeit umgesetzt werden. Aufgrund der oftmals fehlenden Ausstattung sahen und sehen sich auch jetzt noch viele Arbeitnehmer gezwungen, private Mobilgeräte und Netzwerke zu nutzen, um ihre Aufgaben aus den eigenen vier Wänden heraus erledigen zu können. Das birgt Gefahren, weiß Klaus Seidl: „Durch die aus Zeitdruck oft schnell durchgesetzten Homeoffice-Lösungen ergeben sich Sicherheitslücken, welche gezielt von Cyberkriminellen genutzt werden“, warnt der Vice President DACH von Mimecast. Sein Unternehmen habe beispielsweise eine weltweite Studie im Zusammenhang mit Schulungen zur IT-Sicherheit und Homeoffice durchgeführt. Dabei habe sich gezeigt, dass 30 Prozent der deutschen Befragten keine Vorgaben zur privaten Nutzung von Firmengeräten erhalten haben. „Das ist wirklich problematisch“, betont der Experte, „denn 55 Prozent der Befragten schildern, dass sie sich nur manchmal oder nie darüber bewusst sind, dass Links in E-Mails, auf Social-Media-Plattformen oder Webseiten eine Sicherheitsbedrohung für ihre Firmengeräte darstellen können.“

Cyberkriminelle sind sich dieser Sicherheitslücken natürlich bewusst und versuchen, diese mit gezielten Angriffen auszunutzen. Seidls Firma konnte beispielsweise ermitteln, „dass von Januar bis Ende Oktober 2020 weltweit ganze 1,02 Milliarden Angriffe auf Mimecast-geschützte Systeme ausgeübt wurden“. Zum Vergleich: Die Gesamtzahl solcher Angriffe im Jahr 2019 soll „lediglich“ 932 Millionen betragen haben. Die Gefahr von Angriffen auf Firmennetzwerke ist im Jahr 2020 also extrem gestiegen. Dass Cyberkriminelle seit Beginn der Pandemie recht aktiv sind, aber nicht nur die Homeoffice-Situation ausnutzen, kann auch Carsten Hoffmann von Forcepoint bestätigen: „Es gab viele Fälle, in denen Cyberkriminelle versucht haben, sich durch Identitätsfälschung unberechtigterweise Corona-Beihilfen zu erschleichen“, berichtet der Manager Sales Engineering. „Außerdem haben wir deutlich mehr Angriffe auf Krankenhäuser mit Kryptotrojanern zur Erpressung von Lösegeld gesehen.“ Die Angreifer gingen wohl davon aus, dass sich die Krankenhäuser derzeit in einer so prekären Situation befinden, dass sie es sich nicht leisten können, nicht zu bezahlen. Nicht zuletzt soll es auch zahlreiche Cyberattacken auf die Forschungsergebnisse von Universitäten und Instituten gegeben haben, die an Medikamenten und Impfstoffen gegen Covid-19 arbeiten.

Beliebte Angriffsmethoden

Viele Cyberkriminelle sahen ihre große Chance zuletzt vor allem im Social Engineering und Phishing. Warum? Die zahlreichen vagen Informationen etwa rund um die Entwicklung von Impfstoffen, zur Maskenpflicht, Kurzarbeit und die finanzielle Unterstützung durch den Staat – Stichwort „Novemberhilfen“ – haben dazu geführt, dass viele Menschen verunsichert waren und es noch immer sind. Diese Verunsicherung gepaart mit der Nutzung oftmals privater Mobilgeräte im beruflichen Kontext „hat dem Phishing in all seinen Facetten Auftrieb verschafft“, weiß Al Lakhani, Gründer und CEO der Idee GmbH. „Von der klassischen Phishing-Mail über das Vishing, bei dem Mitarbeiter durch fiktive Anrufe aus der vermeintlichen IT-Abteilung manipuliert werden sollen, bis hin zum Smishing, das ähnlich wie das Phishing funktioniert, jedoch auf SMS statt E-Mail setzt.“ Das Ziel all dieser Varianten sei jedoch stets das gleiche, betont der Experte: Entweder sollen Daten wie Passwörter oder andere Login-Informationen abgegriffen werden, um Zugriff auf Firmennetzwerke zu erhalten, oder es geht darum, Schadsoftware zu installieren, um Systeme zu sperren und eine Art „Lösegeld“ zu erpressen. Bei letzterer Angriffsmethode, der Ransomware-Attacke – auch Erpressungs-, Krypto- oder Verschlüsselungstrojaner genannt –, „hat es zuletzt einen massiven Anstieg gegeben“, bekräftigt Lakhani die bereits erwähnte Feststellung von Carsten Hoffmann. „Wir gehen davon aus, dass die Anzahl dieser Angriffe exponenziell steigen wird.“

Dies ist ein Artikel aus unserer Print-Ausgabe 1-2/2021. Bestellen Sie ein kostenfreies Probe-Abo.

Da die Abhängigkeit der Unternehmen von der IT noch nie so groß war wie im Moment und es sich kein Unternehmen leisten kann, längere Zeit auf die IT zu verzichten, wissen die Kriminellen ganz genau, dass die Bereitschaft derzeit deutlich höher ist, Lösegeld zu bezahlen. „Wobei Unternehmen das natürlich auf keinen Fall tun sollten“, betont Hoffmann, denn es gebe keine Garantie, dass die Daten dann auch wirklich wieder entschlüsselt werden. Mit einer Lösegeldzahlung würden Unternehmen nur das „Geschäftsmodell“ der Erpresser stärken.

Bedrohung auch für den Mittelstand

Laut einer IDG-Untersuchung aus dem Sommer 2020 erlitten bereits fast 40 Prozent der kleinen Unternehmen Schäden durch Cyberattacken. Anton Kreuzer, CEO von Drivelock SE, kennt die Details: „Bei den kleinen Betrieben (< 500 Beschäftigte) erlitten 34 Prozent einen Schaden, davon fünf Prozent einen massiven Schaden.“ Somit bleibe festzuhalten, dass auch kleinere Firmen Opfer von Cyberattacken werden und wirtschaftliche Schäden erleiden. Das kann Klaus Seidl nur bestätigen. Er sieht jedoch die Gefahr darin, dass sich kleine und mittelständische Unternehmen nicht als relevantes Ziel von Cyberkriminellen betrachten. „Dadurch wiegen sie sich in einer falschen Sicherheit. Dies kann sich als sehr schädlich herausstellen, da aufgrund dessen keine Sicherheitsmaßnahmen getroffen werden und die Unternehmen folglich unbedacht ein Einfallstor für Cyberkriminelle bieten“, warnt der VP DACH von Mimecast und betont zugleich, „dass Cyberattacken gerade für den Mittelstand eine besondere Bedrohung darstellen, da Unternehmen dieser Größenordnung oft Teil von Lieferketten sind, deren Mitglieder eng miteinander interagieren“. Wenn eines der Glieder in der Lieferkette nicht sicher sei, könne dies also Auswirkungen auf alle Teile der Lieferkette haben.

Al Lakhani von der Idee GmbH hat ebenfalls den Eindruck, dass das Thema „IT-Sicherheit“ im deutschen Mittelstand „geradezu fahrlässig vernachlässigt und die Relevanz verkannt wird“. Und selbst jene Unternehmen, die sich ernsthaft mit ihrer IT-Sicherheit beschäftigten, täten dies oft stark fragmentiert. Einen Grund dafür scheint der Glaube der Unternehmen zu sein, dass ein hohes Maß an IT-Sicherheit einen enormen Kostentreiber darstellen würde. Oft haben Mittelständler nicht die Ressourcen und entsprechenden Fachkräfte, um IT-Sicherheitsmaßnahmen ganzheitlich umzusetzen. „Die Lösung, IT-Security professionell outzusourcen, ist aktuell noch zu wenig akzeptiert“, stellt Anton Kreuzer fest. Die Ablehnung von Security-Outsourcing sei bei den Unternehmen mit weniger als 500 Mitarbeitern am stärksten – im Vergleich zu den größeren Unternehmen.

Dabei stellen Cloud-Anbieter, die mit angebundenen Partnern über API zusammenarbeiten, eine gute Basis für ein Mindestmaß an Datenschutz und -sicherheit dar, meint Klaus Seidl. Diese Lösung bringe mehrere Vorteile mit sich: Zum einen biete sie einen umfassenden Schutz, ohne das unterschiedliche Produkte genutzt werden müssen. Dementsprechend sei ihre Implementierung einfach und unproblematisch. „Zum anderen ist diese Lösung nicht nur effektiv, sondern ruft auch keine zusätzlichen exponenziellen Kosten hervor, wie es der Fall wäre, wenn mit einzelnen Anbietern Verträge abgeschlossen werden müssten“, erläutert der Experte. So eigne sich solch eine skalierbare Lösung sowohl für kleine als auch für große Unternehmen.

Al Lakhani denkt jedoch, dass es in der aktuellen Situation mit einem Mindestmaß an Sicherheitslösungen nicht getan ist. So gut wie jedes Unternehmen habe in irgendeiner Form Sicherheitslösungen im Einsatz – von Firewalls über VPNs bis hin zu ausgeklügelter Verschlüsselung von Daten. „Doch die Corona-Krise hat erneut gezeigt, dass die größte Schwachstelle von Unternehmen stets die eigenen Mitarbeiter sind.“ Ob nun willentlich oder unwillentlich: Die Mitarbeiter seien und blieben das Hauptziel für Angriffe. Daher spricht er zwei Empfehlungen aus: erstens sollten Passwörter abgeschafft werden und zweitens sollte man niemandem vertrauen. „Passwörter sind ein enormes Sicherheitsrisiko“, erklärt der CEO. „Sie lassen sich leicht knacken und bieten heutzutage so gut wie keinen Schutz mehr.“ Den zweiten Aspekt bezieht er auf das Zero-Trust-Konzept. Dabei geht es im Grunde um einen Shift in der Unternehmensmentalität. Anstatt davon auszugehen, dass jeder Mitarbeiter vertrauenswürdig ist, sollte jede Zugriffsanfrage hinterfragt bzw. überprüft werden.

In größeren Dimensionen denken

Die Corona-Pandemie begleitet uns ja nun schon eine ganze Weile – und spätestens nach der ersten Welle im Frühjahr 2020 und der damit verbundenen plötzlichen „Flucht“ ins Homeoffice dürften sich die Unternehmen ein paar Gedanken gemacht haben, wie sie mit dem Thema „IT-Sicherheit“ zukünftig verfahren. Doch haben sie ihre Sicherheitsstrategien in den letzten Wochen und Monaten tatsächlich angepasst oder sich einfach nur gedacht, „lasst diesen Kelch an uns vorüberziehen“? Al Lakhani denkt, „dass die Awareness unter Sicherheitsexperten und Chief Information Officer (CISOs) vorhanden ist und die Erfahrungen des vergangenen Jahres gezeigt haben, dass hier Handlungsbedarf besteht“. In der Praxis habe sich allerdings noch nicht allzu viel getan. Eine Befragung von Eset habe ergeben, dass immer noch 30 Prozent der Unternehmen ein schlichtes Passwort abfragen, wenn Mitarbeiter auf Server zugreifen. Nur 44 Prozent setzten überhaupt auf einen VPN und lediglich 29 Prozent nutzten eine Zwei-Faktor-Authentifizierung (2FA) – und das, obwohl im Sommer 2020 rund 1,7 Millionen Angriffe pro Tag auf Unternehmen erfolgten.

Klaus Seidl kann bestätigen, dass die Cyberangriffe von 2019 auf 2020 stark zugenommen haben – „und wir denken, dass dies ein neuer Höchstwert ist, auf dessen Niveau wir erstmal bleiben werden“. Leider sei zudem davon auszugehen, dass die Kriminellen geschickter werden und zukünftig verschiedene Methoden kombinieren werden, um Internetnutzer zu täuschen. Dementsprechend sei es umso wichtiger, das Bewusstsein für diese Gefahren zu schärfen. Als ein Beispiel ausgeklügelter und geschickter Taktiken im Jahr 2020 nennt Anton Kreuzer von Drivelock den Trojaner „Lockbit“, der gezielt kleine Unternehmen mit für ihren Arbeitsalltag essenzieller Steuer- und Buchhaltungssoftware ausspäht und verschlüsselt, um Lösegeldzahlungen zu erpressen.

Eine steigende Bedrohung stellen neben beispielsweise Ransomware-Attacken aber auch Insider-Angriffe dar, weiß Carsten Hoffmann. In der neuen Arbeitswelt, in der sich Mitarbeiter immer häufiger nur noch virtuell begegnen und kaum noch die Firmengebäude betreten, geht demnach von Innentätern eine besonders große Gefahr aus, weil die physischen Kontrollmöglichkeiten entfallen. „Das begünstigt auch eine besonders perfide Variante der Cyberkriminalität“, warnt der Experte und nennt das Kind beim Namen: Insider as a Service. Was verbirgt sich dahinter? Nun, im Dark Web können Kriminelle gebucht werden, die sich dann von Unternehmen einstellen lassen, um dort für ihre Auftraggeber Daten und geistiges Eigentum zu stehlen.

Demnach sollte eine vernünftige IT-Sicherheitsstrategie zumindest dem aktuellen Stand der Technik bzw. den Sicherheitsempfehlungen der Branche folgen. Zero-Trust-Architekturen seien keineswegs neu, sondern bereits vielfach erprobt und einsatzbereit, meint Lakhani. Die Corona-Pandemie habe nur nochmals deutlich gemacht, wie dringend notwendig solche Ansätze sind, wenn Angestellte remote arbeiten – insbesondere, wenn diese ungeschult sind. Einen relevanten Schritt sieht Klaus Seidl daher in der Sensibilisierung der Mitarbeiter, um sich und Unternehmen zu schützen. Zusätzlich empfiehlt er allen Unternehmen, einen Notfallplan anzufertigen, um im Ernstfall umgehend auf Cyberattacken reagieren zu können. „Unternehmen müssen in der heutigen Zeit in größeren Dimensionen denken und proaktive Cyber-Resilienz-Strategien mit einem mehrschichtigen Ansatz entwickeln, der sich mit den Bedrohungen am E-Mail-Parimeter, innerhalb des E-Mail-Netzwerks und außerhalb ihres Zuständigkeitsbereichs befasst“, betont der Experte abschließend. So könnten Unternehmen Bedrohungen beseitigen, die von außen das Vertrauen in ihre Marke zu missbrauchen versuchen.

Bildquelle: Getty Images/iStock