Deutsche Unternehmen sind beliebtes Ziel für Phishing-Angriffe

 

(GFD 07/2020) Deutsche Unternehmen sind besonders häufig im Visier krimineller Phishing-Angriffe. Dieses Risiko hat sich in der Corona-Pandemie nochmals verstärkt. Das zeigt der aktuelle Phishing-Report von Cofense. TÜV SÜD, ein führender neutraler Experte für Cyber-Sicherheit, Risk Awareness und Datenschutz, arbeitet als Partnerunternehmen mit Cofense bei der Phishing-Abwehr zusammen. Eine TÜV SÜD-Infografik zeigt, woran Phishing-E-Mails schnell erkennbar sind.

 

Seit Beginn der Corona-Pandemie und der damit verbundenen Zunahme von Fernzugriffen sowie deutlich höherem Online-Datenverkehr, ist besonders die Anzahl der Phishing-Versuche stark gewachsen. Diese Angriffsmethode erfreut sich allgemein großer Beliebtheit unter Hackern, umso mehr, weil das Arbeiten im Homeoffice oft schlechter gegen virtuelle Angriffe abgesichert ist als innerhalb eines Unternehmensnetzwerkes.

 

Aktuelle Zahlen aus dem Phishing-Report von Cofense für das erste Quartal 2020, zeigen, dass die Command-and-Control-Server krimineller Aktionen mit 4,78 Prozent am zweithäufigsten in Deutschland stehen. "Die tatsächliche Position einer Hacker-Gruppe kann sich zwar durchaus an einem anderen Ort befinden", erklärt Stefan Vollmer, CTO bei TÜV SÜD Sec-IT. "Die hohe Zahl der Command-and-Control-Server lässt jedoch ebenfalls auf ein großes Interesse an deutschen Firmen schließen. Denn: Ein deutscher Server, von dem die Malware-Attacken ausgehen, sitzt in einem vertrauenswürdigen Land, weswegen manche Spam-Regeln möglicherweise nicht greifen und die Postfächer der deutschen Unternehmen es gewohnt sind, von dieser Quelle E-Mails zu erhalten."

 

Außerdem, so Vollmer weiter, bieten deutsche Unternehmen schon allein deshalb grundsätzlich eine gute Angriffsfläche für Phishing Attacken, weil hierzulande einige Weltmarktführer zu Hause sind und dadurch viel Industrie und Know-how gebündelt vorhanden sind. "Kriminelle und erpresserische Angriffe werden dadurch umso lohnenswerter", erklärt Vollmer. "Außerdem können die Informationen eines kleinen oder mittelständischen und schlechter geschützten Weltmarktführers - sogenannter Hidden Champions - interessanter sein, als die eines gut abgeschirmten Großkonzerns."  Autor: www.tuvsud.com/phishingabwehr

 

Cyber-Attacken und Cyber Security: So steht es um den deutschen Mittelstand

 

(GFD 07/2020) Phishing-Mails, Betrugs-Websites und Erpressungs-Software - nur eine kleine Auswahl aus dem Arsenal, mit dem es Kriminellen immer wieder gelingt, Unternehmenssysteme zu kapern und so schwere Schäden anzurichten. Dennoch ist einem großen Teil des deutschen Mittelstands die Bedrohungslage durch Cyber-Risiken nicht vollständig bewusst. Das ist eines der Ergebnisse der Studie "Cyber Security im Mittelstand", für die Deloitte Private insgesamt 353 Gesellschafter und Führungskräfte großer mittelständischer Unternehmen zu den Herausforderungen, Chancen und Risiken von Cyber-Sicherheit befragt hat. Längst stehen nicht mehr nur Großunternehmen im Fadenkreuz von Hackern und Cyberkriminellen, auch Mittelständler geraten zunehmend ins Visier. Gerade für sie können Cyber-Angriffe besonders schnell zu existenzbedrohenden Situationen führen.

 

Kein uneingeschränktes Problembewusstsein

 

Insgesamt 42 Prozent der Studienteilnehmer gaben an, dass das Thema Cyber Security für sie eine lediglich mittlere bis sehr niedrige Priorität besitzt. Nur etwas mehr als die Hälfte (53%) der befragten Manager und Gesellschafter ist zudem der Meinung, dass Cyber-Risiken eine hohe bzw. sehr hohe Bedeutung für die Unternehmenssteuerung haben. Mit Blick auf das spezifische Know-how, über das vor allem kleine und mittlere Unternehmen verfügen, kann sich mangelndes Problembewusstsein als folgenschwer erweisen: "Der starke weltweite Anstieg von Cyber-Kriminalität im Zusammenhang mit COVID-19 und die daraus entstandenen Schäden zeigen aktuell wieder, wie wichtig hohe Awareness für Cyber-Risiken in Unternehmen ist", betont Lutz Meyer, Partner und Leiter von Deloitte Private. "Gerade deutsche Mittelständler stellen mit ihrer Bandbreite an innovativen Geschäftsmodellen und der hohen Zahl an Patentanmeldungen lukrative Ziele für Angreifer dar." Immerhin: Der Anteil der Unternehmen, die dem Thema Cyber Security eine hohe bis sehr hohe Relevanz zuweisen, steigt von aktuell 50 auf zukünftig 83 Prozent.

 

Der unsichtbare Feind

 

Dass Kriminelle unbemerkt in die IT-Infrastruktur eines Unternehmens eindringen - lange bevor sie ihren "eigentlichen" Angriff starten - macht es für Betroffene schwer, Cyber-Attacken überhaupt rechtzeitig zu entdecken. Passend hierzu sehen die Studienteilnehmer im Fall von Cyber-Attacken die mangelnde Reaktionsgeschwindigkeit als größte Herausforderung an (57%), dicht gefolgt von der Identifikation eines Angriffs (50%). 53 Prozent geben an, dass sie durchschnittlich bis zu sieben Tage benötigen, um einen Angriff auf die eigenen Systeme zu erkennen. Genügend Zeit für Hacker, um deren IT-Infrastruktur zu screenen und z.B. Schadsoftware zu installieren, für 67 Prozent der Befragten die Attacke mit dem größten Schadenspotenzial.

 

Vor diesem Hintergrund umso bedenklicher: 49 Prozent der Unternehmen wissen nicht, wie sie Cyber-Risiken finanziell bewerten sollen, lediglich 12 Prozent sind in der Lage, Risiken ökonomisch zu quantifizieren. Darüber hinaus können nur 43 Prozent der Befragten einen Cyber-Notfallplan, der die wichtigsten Maßnahmen zur Sicherung von Handlungsfähigkeit und Liquidität infolge eines Angriffs festhält, vorweisen.

 

"Schwachstelle Mensch"

 

Geht es darum, Cyber-Attacken vorzubeugen, deuten die Ergebnisse auf eine entscheidende Rolle der Beschäftigten hin: 61 Prozent der Studienteilnehmer geben ein fehlendes Sicherheitsbewusstsein der Mitarbeiter als größte Herausforderung bei der Abwehr von Cyber-Risiken an. Auch bei der Frage nach den größten Sicherheitslücken sind ungeschulte Mitarbeiter laut Ansicht der Befragten die Hauptgefahrenquelle (51%), weit vor der Nutzung mobiler Endgeräte (37%) oder Social-Media-Aktivitäten (26%). Außerdem stufen die befragten Manager und Gesellschafter den Informationsgrad der eigenen Mitarbeiter zu sicherheitsrelevanten Cyber-Themen durchweg als mittel bis niedrig ein, etwa im Bereich Passwortsicherheit (62%) oder Identitätsmanagement (72%).

 

"Den deutschen Mittelstand kennzeichnet neben seiner Innovationskraft auch eine tradierte Belegschaft, die oft noch nicht ausreichend für Cyber-Risiken sensibilisiert ist", so Lutz Meyer. "Um individuelles Fehlverhalten von Mitarbeitern zu minimieren, können neben der Erhöhung des Schulungsniveaus auch aktive Übungen wie Red Teaming oder War Gaming die Aufmerksamkeit deutlich erhöhen."

 

Realistische Budgets schaffen

 

Ein Großteil der Abwehrmaßnahmen, die die befragten Unternehmen im Bereich Cyber Security ergreifen, geht selten über die klassischen Rahmenwerke für IT-Sicherheit wie Virenscanner oder Firewalls hinaus; Versicherungslösungen gegen die Folgen von Cyber-Attacken haben nur 28 Prozent der Studienteilnehmer abgeschlossen. Das spiegelt sich im Budget wider, das den Cyber Security-Verantwortlichen zur Verfügung steht: 81 Prozent der Teilnehmer geben weniger als 50.000 Euro pro Jahr aus, davon sogar 43 Prozent weniger als 10.000 Euro. Aus Expertensicht nicht genug: Gemessen an der Empfehlung, dass ca. 0,5 bis 2 Promille des Umsatzes für Cyber Security aufgewendet werden sollten, erfüllen 89 Prozent der Studienteilnehmer - mit einem Umsatzmittelwert von 387 Mio. Euro - diese Maßgabe nicht.

 

"Im Vergleich zu Großunternehmen sind die finanziellen Kapazitäten im Mittelstand deutlich begrenzter und die Konkurrenz um Budgets noch ausgeprägter", weiß Lutz Meyer von Deloitte Private. "Beispiele, in denen die Systeme einzelner Mittelständler komplett lahmgelegt wurden und die Unternehmen letztlich vom Netz gehen mussten, zeigen allerdings immer wieder, dass realistische Investitionen in Cyber Security lebensnotwendig sein können. Denn in der Regel übersteigen die Schäden eines Angriffs die primären Ausgaben um ein Vielfaches." Autor: www.deloitte.de

 

Corona-Krise und danach: So werden Geschäftsprozesse digital

https://www.bitkom.org/Themen/Technologien-Software/Digital-Office/Reifegradmodell-Digitale-Geschaeftsprozesse.html

(GFD 04/2020) Bitkom veröffentlicht Leitfaden zur Optimierung von Geschäftsprozessen

 

Cloud statt Aktenschrank, Online-Meeting statt Geschäftsreise, Bestellungen und Rechnungsversand über Kundenportale statt per Brief und Fax: Die Digitalisierung betrifft in Unternehmen immer auch die interne Organisation und die eigenen Geschäftsprozesse. Digitale Prozesse sind in aller Regel effizienter und bilden die Voraussetzung dafür, neue Produkte und Dienstleistungen an den Markt zu bringen und in einem sich wandelnden Wettbewerbsumfeld zu bestehen.

 

Mit einem jetzt veröffentlichten Leitfaden hilft der Digitalverband Bitkom Unternehmen aller Branchen, ihre Geschäftsprozesse digital fit zu machen. Darin wird mit dem „Reifegradmodell Digitale Geschäftsprozesse“ ein neuartiger Ansatz vorgestellt, mit dem kleine, mittelständische und große Unternehmen sowie Organisationen schnell und einfach eine Standortbestimmung ihrer Geschäftsprozesse vornehmen können. So erkennen sie nicht nur, wo sie in Sachen Digitalisierung schon stehen – sondern vor allem auch, wo es Handlungs- und Optimierungspotenzial gibt.

 

„Digitale Geschäftsprozesse sind für Unternehmen essenziell. Digitale Innovationen sind nur in einem Umfeld denkbar, in dem die Arbeitsabläufe, Daten und Technologien digital ausgerichtet sind“, sagt Bitkom-Präsident Achim Berg. „In der Corona-Krise zeigt sich die Bedeutung der Digitalisierung für Wirtschaft und Verwaltung mehr denn je. Der Aufbau digitaler Geschäftsprozesse und digitaler Geschäftsmodelle ist die Basis des künftigen Geschäfts.“

 

Der Leitfaden wurde branchenunabhängig entwickelt und ist einfach umzusetzen. Im „Reifegradmodell Digitale Geschäftsprozesse“ werden die vier Themenfelder Technologie, Daten, Qualität und Organisation eines bestimmten Prozesses untersucht. Sie werden durch je drei Kriterien mit je zwei Fragestellungen konkretisiert.

 

Durch den leichten Zugang eignet sich das Modell besonders auch für Organisationen, die sich bislang noch nicht vertieft mit der Digitalisierung ihrer Geschäftsprozesse beschäftigt haben. Berg: „Digitalisierung ist kein Selbstzweck. Die Unternehmen brauchen nicht irgendwelche digitalen Prozesse, sie brauchen besonders gute digitale Prozesse. Dabei hilft der Leitfaden. Nur wenn man einen guten Prozess digitalisiert, erhält man einen guten digitalen Prozess.“

 

Der Leitfaden „Reifegradmodell Digitale Geschäftsprozesse“ sowie dazugehörige unterstützende Dokumente sind ab sofort kostenlos im Internet verfügbar: https://www.bitkom.org/Themen/Technologien-Software/Digital-Office/Reifegradmodell-Digitale-Geschaeftsprozesse.html

Autor: www.bitkom.org

 

Smartphone knackt Standardpasswort in 0 Sekunden

 

(GFD 04/2020) 1234, passwort*, ASDFGHJ - sicher ist anders, denn solche Passwörter knackt selbst ein Smartphone in Sekundenschnelle, von einem einfachen "Botnet" aus zusammengeschalteten Standardcomputern oder gar von "Schurkenstaaten" betriebenen Supercomputern ganz zu schweigen. Entsprechend simpel gelingen auch Datendiebstähle, die in den allermeisten Fällen durch zu einfache Passwörter ermöglicht werden. Das betrifft nicht nur Privatpersonen und ihre Accounts: Um Lösegeld zu erpressen, werden auch Unternehmensystematischausspioniert. Der Berliner IT-Dienstleister Mahr EDV kennt die aktuelle Lage, klärt über mögliche Angriffsformen auf und bietet Expertenberatung zum Schutz von Daten und Accounts, was angesichts von Home-Office und überlasteten Datennetzen derzeit besonders akut ist.

 

Die Angriffsmethoden sind vielfältig: Am einfachsten lässt sich ein Passwort anhand des sogenannten Social Engineering knacken: Ganz simpel werden z.B. Namen, Geburtstage oder andere Daten aus dem Umfeld der betroffenen Person durchprobiert. Weiter gibt es die "Wörterbuchattacke", die zum einen auf allgemein bekannte Wörter und Namen wie die von Stars oder Fußballclubs, außerdem auf einfachste Buchstaben- und Zahlenkombinationen zurückgreift. Zu einem Milliardengeschäft ist der Brute-Force-Angriff geworden. Hierbei handelt es sich um das Ausprobieren von potenziellen Passwörtern anhand von Computerprogrammen, die alle möglichen Kombinationen von Ziffern und Buchstaben versuchen - und das aufgrund kontinuierlich wachsender Leistungsstärke in immer kürzerer Zeit. Ein aus sechs Kleinbuchstaben bestehendes Passwort beispielsweise knackt ein handelsüblicher Rechner in Sekunden, für ein achtstelliges alphanumerisches Kennwort ohne Sonderzeichen braucht er längst weniger als einen Tag. "Werden für das Knacken derartiger Passwörter Botnets, also Gruppen von illegal vernetzten Rechnern, eingesetzt, benötigen die Angreifer für die Dekodierung sogar weniger als fünf Minuten", warnt Fabian Mahr, Gründer von Mahr EDV mit über 20 Jahren Erfahrung im IT-Business. Selbst die Rechenleistungen von iPhones sind stark genug, um Accounts zu hacken - und das bereits seit mehreren Generationen: Schon ein iPhone 6s schaffte ein mehrstelliges Passwort aus Buchstaben und Zahlen in weniger als einer Woche, die Rechenleistung der neueren Modelle Xs, Xs Max und Xr ist sogar vergleichbar mit der von PC-Prozessoren. Hacker verfügen zudem durch die vielen Online-Einbrüche der letzten Jahre über die Zugangscodes von Millionen Kunden. Die erbeuteten Listen der gestohlenen Kennwörter zeigen nicht nur Muster in der allgemeinen Passwort-Gestaltung, auch ihre Kombination mit mehrsprachigen Wörterbüchern ermöglicht immer gezieltere Angriffe anhand wahrscheinlicher Ausdrücke.

 

Angesichts dieser Entwicklungen empfiehlt das mehrfach für seinen Kundenservice ausgezeichnete IT Systemhaus Mahr EDV verschiedene Maßnahmen und die Einhaltung bestimmter Regeln zur Absicherung von persönlichen Daten, Shopping-Accounts und digitalen Identitäten - und berücksichtigt dabei die differenzierte Angriffsmethodik von Hackern. Wichtig ist die komplexe Konstruktion des Passwortes, bei dem es infolge der aktuellen Entwicklungen schon lange nicht mehr nur auf die Länge, sondern u.a. auf die Verwendung verschiedener Zeichen möglichst ohne System ankommt. Konkret raten die Profis von Mahr EDV zu einer Zusammensetzung von mindestens zwei Groß- und mindestens zwei Kleinbuchstaben sowie mindestens zwei Ziffern und Sonderzeichen.

 

Gefährlich ist es hingegen, ein und dasselbe Zeichen mehrmals in einen Code zu integrieren, vor allem direkt hintereinander. Zudem sollten Nutzer sich nicht auf einem Passwort ausruhen, sondern für verschiedene Konten auch individuelle Passwörter verwenden. Passwort-Manager helfen, den Überblick zu behalten und sollten natürlich ganz besonders gut abgesichert werden.

 

Um auf Nummer sicher zu gehen, erhöhen zusätzlich gezielte Servereinstellungen den Schutz vor Angriffen, z. B. die automatische Sperrung eines Accounts nach mehreren Fehleingaben. Auch die regelmäßige Veränderung von Zugangscodes empfiehlt Mahr EDV ausdrücklich. Damit grenzt sich der IT-Spezialist von den im Oktober 2019 geänderten Regeln des Bundesamts für Sicherheit von Informationstechnik (BSI) ab, die sich seitdem gegen einen regelmäßigen Passwort-Wechsel aussprechen und auf sicher gestaltete Zugangscodes setzen. Pascal Kube, Geschäftsführer von Mahr EDV, sieht dagegen im routinemäßigen Wechsel von Benutzerkennwörtern eine sinnvolle und notwendige Schutzmaßnahme gegen Angriffe - am besten mindestens einmal im Quartal. Die Beweggründe zur Umformulierung des IT-Grundschutz-Kompendiums des BSI sind ihm dabei durchaus bewusst, der neue Zugangscode sollte wirklich nichts mehr mit dem vorherigen gemeinsam haben: "Erneuerte Passwörter aus Bequemlichkeit auf Zetteln in PC-Nähe zu notieren oder das Kennwort einfach von "grüne Wiese01" auf "grüneWiese02" zu ändern, bringt aber nichts, eine derartige Systematik in der Gestaltung ist heutzutage viel zu leicht zu erkennen."

Autor: www.mahr-edv.de

 

Druckversion Druckversion | Sitemap Diese Seite weiterempfehlen Diese Seite weiterempfehlen
© Gewerbefinanzen-Deutschland.de I Friedrich Andreas Wanschka I RedaktionMedien Verlag Astrid Klee