Unternehmens-IT in Gefahr – Risikofaktor Mitarbeiter

Die Digitalisierung schreitet immer weiter voran und bietet uns viele Möglichkeiten. Mobile Geräte wie Smartphones und Tablets gehören längst zum Berufsalltag und steigern die Flexibilität. Die Arbeit kann von überall erledigt werden, und auch die globale Kommunikation per Internet gestaltet sich so einfach wie nie. Doch dieser Fortschritt bringt nicht nur Chancen mit sich, sondern auch externe und interne Risiken für die IT-Sicherheit im Unternehmen. Um den Schaden im Falle eines Angriffes möglichst gering zu halten, ist es für Unternehmen entscheidend, so schnell wie möglich zu reagieren. Neben den Angreifern von außen, die Sicherheitslücken in Unternehmen ausnutzen, sind oft auch die eigenen Mitarbeiter ein unterschätztes Sicherheitsrisiko.

Insgesamt werden 46 Prozent aller Sicherheitsvorfälle durch die eigene Belegschaft verursacht. Zu diesem Ergebnis kommt eine Studie von Kaspersky Lab und B2B International. Die Unwissenheit und Nachlässigkeit der Mitarbeiter sind dabei oftmals das größte Sicherheitsrisiko. Ein großes Problem stellt z.B. die unautorisierte Nutzung von Smartphones im Firmennetzwerk dar. Zudem fehlt es vielen Mitarbeitern an ausführlichem Wissen zum Thema IT-Sicherheit, weshalb sie Sicherheitsvorfälle erst gar nicht melden. Aus diesem Grund bekommen Geschäftsführer und Verantwortliche häufig überhaupt nichts von Cyberangriffen mit und können somit auch nicht reagieren. Ein Schädling in den firmeninternen IT-Systemen kann sich so schnell ausbreiten und die komplette IT-Landschaft des Unternehmens lahmlegen.

„Falsche Chefs“ täuschen Mitarbeiter

Immer häufiger werden Mitarbeiter Opfer von Hackern, die mit ihren ausgefeilten Methoden Unternehmen angreifen. Die sogenannten CEO-Frauds tarnen sich in nahezu perfekt gefälschten E-Mails als Geschäftsführer und fordern darin beispielsweise „ihre“ Mitarbeiter auf, einen hohen Geldbetrag vom Unternehmenskonto ins Ausland zu überweisen. CEO-Frauds studieren das anzugreifende Unternehmen ganz genau. Deshalb sind auch häufig Personen aus den eigenen Reihen oder ehemalige Mitarbeiter unter den Angreifern, die aus ihrem Insiderwissen Profit schlagen möchten. Folgen die Opfer dann nichtsahnend der Anweisung ihres „Chefs“, ist es meist schon zu spät. Ist die Überweisung einmal veranlasst, gibt es kein Zurück mehr. Vor allem für kleine und mittelständische Unternehmen kann das fatale Folgen haben.

Insiderangriffe sind keine Seltenheit

Ein beliebtes Ziel der Angreifer sind personenbezogene Daten sowie vertrauliche Unternehmensinformationen. Für solche Daten werden auf dem Schwarzmarkt Millionen gezahlt. Die Hacker verkaufen Firmengeheimnisse an den Wettbewerb oder nehmen Kundendaten mit, wenn sie zu einem anderen Unternehmen wechseln. Kriminalität, Nachlässigkeit oder falsches Handeln aufgrund von Unwissenheit durch die eigenen Mitarbeiter sind also ein nicht zu unterschätzendes Risiko. Laut Kaspersky waren 2016 rund 46 Prozent aller Sicherheitsvorfälle auf nichtsahnende oder nachlässige Mitarbeiter zurückzuführen. Aufgrund der hohen Anzahl der dadurch verursachten Sicherheitsvorfälle investieren bereits 65 Prozent der Unternehmen in Schulungen für die Mitarbeiter. Auf diesem Wege wollen sie die Belegschaft für IT-Sicherheit sensibilisieren und diese so auf ein höheres Niveau heben. Es ist empfehlenswert, solche Schulungen fest in das Unternehmenskonzept zu integrieren, damit die firmeninterne Sicherheit nicht gefährdet wird.

Organisationen sollten auf eine fortlaufende Analyse ihrer Sicherheitsstrukturen setzen. Oft fehlen intern das erforderliche Know-how bzw. die Erfahrung oder einfach auch die Ressourcen. In diesem Fall hilft ein externer Sicherheitsexperte. Er deckt Gefahrenpotenzial auf und unterstützt die Unternehmensverantwortlichen dabei, geeignet auf mögliche Sicherheitsvorfälle zu reagieren. Dabei ist es wichtig, dass dieser Sicherheitsexperte über entsprechende Referenzen und somit auch über das erforderliche Know-how in diesem Bereich verfügt. Nicht zuletzt kann die Einführung eines Informationssicherheits-Managementsystems (ISMS) eine sinnvolle Maßnahme für ein nachhaltiges Sicherheitskonzept sein. In diesem Rahmen erarbeitet der Experte gemeinsam mit den IT-Verantwortlichen eines Unternehmens die Anforderungen für ein solches System. Daraufhin werden entsprechende Tools in die Unternehmensprozesse integriert. Durch diese Maßnahmen entsteht ein umfassendes Sicherheitskonzept, das sämtliche Anforderungen an die Informationssicherheit im Unternehmen erfüllt.