Melden Sie sich hier an, um auf Kommentare und die Whitepaper-Datenbank zugreifen zu können.

Kein Log-In? Dann jetzt kostenlos registrieren.

Falls Sie Ihr Passwort vergessen haben, können Sie es hier per E-Mail anfordern.

Der Zugang zur Reseller Only!-Community ist registrierten Fachhändlern, Systemhäusern und Dienstleistern vorbehalten.

Registrieren Sie sich hier, um Zugang zu diesem Bereich zu beantragen. Die Freigabe Ihres Zugangs erfolgt nach Prüfung Ihrer Anmeldung durch die Redaktion.

08.11.2017 - 

IT-Security

Diese Mitarbeiter gefährden Ihre Sicherheit

08.11.2017
Von  und David Weldon
Florian beschäftigt sich mit vielen Themen rund um Technologie und Management. Daneben betätigt er sich auch in sozialen Netzen.
Unternehmen müssen sich nicht nur vor kriminellen Hackern fürchten. Auch die eigenen Mitarbeiter stellen eine Bedrohung dar - manche sogar eine ganz besondere.

Hacks, Scams und sonstiger Sicherheitsvorfälle sind ein dauerndes und mitunter teueres Ärgernis für Unternehmen. Dabei sind sich viele Untersuchungen zum Thema einig: Das Gros der Bedrohungen kommt von Innen.

Schuldiger gefunden? 10 Mitarbeiter, die die IT-Sicherheit gefährden (können).
Schuldiger gefunden? 10 Mitarbeiter, die die IT-Sicherheit gefährden (können).
Foto: Ollyy - shutterstock.com

Der verschwiegene Hackerangriff

Viel schlimmer noch ist allerdings, dass viele Unternehmen von den Sicherheitsvorfällen, die durch Innentäter verursacht werden gar nichts mitbekommen. In 40 Prozent aller Unternehmen weltweit haben Mitarbeiter schon einmal Vorfälle mit IT-Security-Bezug unter den Teppich gekehrt. Zu diesem Ergebnis kommt eine Studie von Kaspersky Lab und B2B International, die zu diesem Thema Mitarbeiter aus 5000 Unternehmen aus aller Welt befragt haben.

Trotzdem ist den Firmen das erhöhte Sicherheitsrisiko durch die eigenen Mitarbeiter durchaus bewusst: Mehr als die Hälfte aller Unternehmen (52 Prozent) glaubt fest daran, dass die eigene Belegschaft den größten Security-Schwachpunkt darstellt. Dabei sind es in der Regel nicht einmal böse Absichten, die Mitarbeiter dazu bringen, die IT-Sicherheit mit Füßen zu treten.

Nachlässigkeit und Unwissenheit von Mitarbeitern stellen die größten Risiken im Business-Umfeld dar, wenn es um zielgerichtete Attacken geht. Der Studie zufolge sind 28 Prozent aller Cyberangriffe auf Phishing und Social Engineering zurückzuführen, weitere 30 Prozent entfallen auf Exploits und den Verlust von mobilen Endgeräten. Laut Kaspersky waren im vergangenen Jahr 46 Prozent aller Cybersecurity-Vorkommnisse auf uninformierte oder nachlässige Mitarbeiter zurückzuführen.

Office's Most Hunted: Fast die Hälfte aller Sicherheitsvorfälle ist uninformierten oder nachlässigen Mitarbeitern zuzuschreiben - sagt Kaspersky.
Office's Most Hunted: Fast die Hälfte aller Sicherheitsvorfälle ist uninformierten oder nachlässigen Mitarbeitern zuzuschreiben - sagt Kaspersky.
Foto: Kaspersky Lab

Als Hauptprobleme identifiziert die Studie von Kaspersky und B2B das Verschweigen von Sicherheitsvorfällen und die unautorisierte Nutzung von mobilen Endgeräten im Firmennetzwerk. Insbesondere erstgenannter Fall kann zu weiteren Konsequenzen führen, denn es besteht die Möglichkeit, dass weiterer Schaden entsteht. Versucht etwa ein Mitarbeiter selbstständig, die gerade eingefangene Ransomware auf dem Firmenrechner dadurch zu besiegen, dass er einfach das Lösegeld zahlt, ist noch lange nicht sichergestellt, dass das System danach komplett bereinigt ist.

Die Malware könnte weiterhin aktiv sein und sich auch auf andere Rechner ausbreiten. Die Studienmacher mahnen daher die Unternehmen, das Problem des "Unter-den-Teppich-Kehrens" offen anzusprechen - und zwar nicht nur bei den Mitarbeitern, sondern auch in Management- und HR-Kreisen. Schließlich müsse es ja einen Grund für das Verschweigen geben. Dieser könne etwa in einem Klima der Angst liegen.

Die Nutzung von mobilen Endgeräten im Unternehmensnetzwerk sorgt weiterhin für Kopfschmerzen: Immer noch ist laut der Studie jedes dritte Unternehmen weltweit besorgt über die Thematik "Bring your own device" (ByoD). Hierbei spielt auch der mögliche Verlust von mobilen Devices eine Rolle. Laut Studie sind mehr als die Hälfte aller Sicherheitsvorfälle bei den befragten Unternehmen auf den Verlust eines solchen Geräts zurückzuführen.

Sorgen bereitet den Unternehmen aber auch, dass es bei ByoD im Wesentlichen an den Mitarbeitern selbst liegt, verantwortungsvoll und im Sinne der Security-Policy mit Unternehmensdaten umzugehen. Das wiederum scheint leider alles andere als selbstverständlich: 44 Prozent der befragten Firmen gab an, dass die Mitarbeiter den Sicherheits-Richtlinien nicht Folge leisten.

Die gute Nachricht: Die Mehrheit der befragten Unternehmen will tätig werden. In erster Linie durch die Einführung neuer Security-Softwarelösungen (43 Prozent), doch auch die Weiterbildung über Trainings und Awareness-Programme steht hoch im Kurs (35 Prozent).

Inhalt dieses Artikels

 

Phacops suebii

Die größte Gefahr geht von der Geschäftsführung aus, die IT-Sicherheit nicht besonders beachtet und zuwenig Geld für technische und administrative Massnahmen sowie Schulungen der Mitarbeiter ausgibt. Sicherheit bedarf eines durchgehenden Konzeptes (vom Menschen über die Systeme und Netzwerke), den Prozessen, entsprechenden Tools und Verfahren und des Willens, diese auch einzusetzen.

Tillmann A. Basien

Wer was, wann und warum tut, ganz besonders wenn es sich um Anwender mit hohen rechten (privilegierte Anwender, Admins) handelt, ist eine zentrale Frage in jeder gesicherten IT-Infrastruktur.

Dabei ist nicht nur der Zugang (wer und wann auf was) gefragt, sondern auch wie, als die konkrete Interaktion. Dabei sind auch Copy&Paste, sowie Dateitransfer im Focus eines vollständigen Audits zu sehen.

Aus Logfiles ist das ein Puzzelarbeit und manipulierbar, und die Dokumentation des privilegierten Anwenders nicht vertrauenswürdig, somit wertlos.

Eine zentral und nicht umgehbar Lösung in Form eines Film (wie jede
Videokamera an ein Tankstelle oder im Parkhaus) ist eine einfache geniale Sache.

comments powered by Disqus