Um außerhalb des Büros online zusammenzuarbeiten, benötigt es gutes Teamwork und einiges an Kreativität – vor allem aber eine solide Internetverbindung. Es muss nicht nur das Gefühl imitiert werden, mit seinen Mitarbeitern so zu kommunizieren, als säßen sie am Tisch nebenan. Es müssen zudem auch Daten und Dokumente miteinander ausgetauscht werden. Durch das Versenden von wichtigen Informationen entsteht ein steter Datenstrom, der eine potenzielle Sicherheitslücke darstellen kann. In der Online-Zusammenarbeit müssen deshalb spezielle Vorkehrungen getroffen werden, um die sichere Zusammenarbeit zu garantieren.

Ein grundlegendes Risiko ist, dass ein Kompromiss gefunden werden muss. Datenaustausche sollen einfach in der Handhabung, gleichzeitig aber auch sicher sein. Diese Ansprüche widersprechen einander nicht, sind aber in Kombination durchaus eine Herausforderung.

Wo und zwischen wem besteht ein Datenaustausch?

Um Schwachstellen in Sachen Sicherheit zu finden, muss vorher definiert werden, zwischen welchen Parteien Daten ausgetauscht werden, um welche Art von Daten es sich handelt und auf welchem Weg sie übermittelt werden. Meistens handelt es sich um den E-Mail-Verkehr zwischen Mitarbeitenden eines Unternehmens, allerdings werden bestimmte Daten auch an externe Geschäftspartner, Kunden und Dienstleister weitergeleitet.

Meistens geschieht ein Austausch über E-Mail-Postfächer oder geteilte Cloud-Services. Auch Messenger Dienste wie Slack oder Microsoft Teams werden gern von Mitarbeitern genutzt, um sich gegenseitig schnell Daten zuzusenden. Innerhalb des Unternehmens ist es wahrscheinlich, dass Messenger-Dienste wie MS Teams dem E-Mail-Verkehr vorgezogen werden.

Um solche Austausche zu schützen, sollte Transparenz geschaffen werden. Es muss nachvollziehbar sein, welche Daten zu welchem Zeitpunkt empfangen wurden und auf welchem Weg sie übermittelt werden. Es wäre utopisch zu verlangen, dass Mitarbeiter über jeden Austausch Protokoll führen, auch es sich für besonders wichtige Dokumente trotzdem empfiehlt.

Stattdessen sollte definiert werden, welche Kanäle zum Austausch zur Verfügung stehen. Das kann erreicht werden, wenn die Nutzung eines einheitlichen E-Mail-Services für alle Teilnehmer vorgeschrieben wird. Gleiches gilt für Messenger-Dienste und Cloud-Services.

Viele Nachrichtendienste bieten die Funktion an, Chatverläufe automatisch auf ihren Servern zu speichern, diese Funktion sollte genutzt werden. So bleiben Konversationen auch dann noch nachvollziehbar, wenn der Chat-Anbieter zu einem späteren Zeitpunkt gewechselt wird oder das Gerät mit dem Nachrichtenverlauf nicht mehr funktioniert.

Um den besten Chat-Anbieter zu bestimmen, lohnt es sich vorher eine interne Befragung durchzuführen, um die Bedürfnisse der Mitarbeiter in Erfahrung zu bringen. So können sie mitbestimmen, welche Anwendung künftig nutzen werden. Dies erleichtert Entscheidungen und ermöglicht das Treffen einer informierten Auswahl.

Verschlüsselt ans Ziel

Keine Daten sollten unverschlüsselt verschickt werden. Unverschlüsselte Daten zu verschicken wäre vergleichbar mit einem Brief, der ohne Umschlag verschickt wird. Obwohl Verschlüsselungen im ersten Moment unhandlich klingen, beeinflussen sie die Handhabung der Daten nicht negativ.

Methoden wie die Multi-Faktor-Authentifizierung (MFA) sind leicht zu implementieren und machen den Unterschied. Bei der Multi-Faktor-Authentifizierung müssen mehrere Berechtigungsnachweise erbracht werden, bevor auf die Datei zugegriffen werden kann. Diese Berechtigungsnachweise können per Passworteingabe erfolgen, oder auch auf biometrischen Merkmalen (Gesichtserkennung, Fingerabdrücke etc.), speziellem Wissen (Kennwörter, Pins) oder einem Gegenstand wie einem Schlüssel oder Token beruhen.

Selbst beim unbefugten Erwerb eines Berechtigungsnachweises fehlt Angreifern so das weitere Gegenstück, um eine Zugriffsberechtigung zu erhalten. Frei nach dem Motto: Doppelt hält besser. Die MFA ist mittlerweile sehr weit verbreitet und wird zusätzlich durch den Bund für Sicherheit in der Informationstechnik (BSI) empfohlen.

Um Login-Daten von mehreren Anwendungen zu vereinen, lohnt sich ein Single-Sign-On (SSO) Service. Sobald mehrere Anwendungen benötigt werden, fallen mehrere Login-Daten an, die ausgetauscht werden müssen. Durch einen SSO Service muss nur ein einziger Login durchgeführt werden, um auf alle relevanten Ressourcen Zugriff zu bekommen. Über den SSO-Service bleibt nachvollziehbar, wer von welchem Gerät aus den Login durchgeführt hat. So kann ein Zugriff durch Unbefugte sofort bemerkt und unterbunden werden. Die Bündelung in der gleichen SSO-Anwendung hilft, im Notfall schneller reagieren zu können. Auch für einen solchen Service lässt sich die Multi-Faktor-Authentifizierung anwenden.

Ein Schließfach und ein Safe

Wichtige Daten werden gern auf Cloud-Speichern abgelegt, da sie sich am besten für die ortsungebundene Arbeit eignen. Sich nur auf einen Cloud-Speicher zu verlassen ist sicher, jedoch nicht die beste Option. Stattdessen ist es ratsam, ein System zu entwickeln, das aus zwei festen Ablageorten besteht. Zum einen der Cloud-Speicher für jegliche Dateien, auf die Mitarbeitende regelmäßig Zugriff benötigen – sinnbildlich ein Schließfach mit einem Schloss.

Zum anderen einen Safe, beziehungsweise eine private Cloud oder ein Ablageort im Unternehmensnetzwerk, auf das nur wenige Befugte Zugriff haben. Da dieser Ablageort sich fernab des Internets abspielt, ist er deutlich sicherer und bestens zum Verwahren von wichtigen Daten geeignet. Jegliche Personen mit einer Zugriffsberechtigung müssen zudem dokumentiert werden, um absolute Sicherheit zu gewährleisten.

Jedem nur das, was er/sie benötigt

Sicherheitskonzepte sind meistens so ausgelegt, dass sie primär vor außenstehenden Gefahren schützen. Was passiert jedoch, wenn die Gefahr von innen kommt? Das muss nicht immer gleich bedeuten, dass Mitarbeiter böse Absichten hegen. Ein Identitätsdiebstahl reicht aus, um an anderen Sicherheitsmaßnahmen vorbeizukommen. Und um diese Gefahr zu minimieren, sollte die Zahl der Befugten begrenzt sein. Nur Mitarbeitern, die den Zugriff auf wichtige Dateien zum Ausführen ihrer Arbeit benötigen, sollten diesen auch erhalten. Alle anderen stellen lediglich eine potenzielle Sicherheitslücke dar und sollten daher nicht mit den Dateien in Kontakt kommen. Wie auch bei den anderen Lösungsansätzen gilt hier eine Dokumentation aller berechtigten Nutzer zur Bearbeitung der Dateien.

Umwege absperren

Nicht nur sollte vorgeschrieben werden, welche Kanäle für Mitarbeitende zur Verfügung stehen. Diese müssen auch regelmäßig überprüft werden, um sicherzustellen, dass sie weiterhin die beste Option für alle Beteiligten darstellen. Private Profile und Dienste zu nutzen sollte für firmeninterne Datenübertragung unterbunden werden. Neben dem Verbot helfen aufklärende Gespräche mit den Mitarbeitenden, die Notwendigkeit solcher Maßnahmen zu erläutern. In diesen persönlichen Gesprächen können Teilnehmende Fragen stellen oder sich zeigen lassen, wie die zur Verfügung stehenden Kanäle am besten genutzt werden.

Solche Einführungen minimieren das Risiko, dass Mitarbeiter auf vertraute, private Anwendungen zurückfallen, und schließen damit eine weitere Sicherheitslücke. Grundkenntnisse zu den Kommunikationskanälen, den zur Verfügung stehenden Anwendungen und den gängigen Verschlüsselungsmethoden sind die beste Abwehr gegen Cyberattacken und Daten-Leaks.

Um eine sichere Online Kommunikation zu gewährleisten, bedarf es also eines Kommunikationskonzeptes, aus welchem alle Mittel der Kommunikation hervorgehen und welches die Befugnisverteilung klar definiert. Zudem sollten diese Regelungen regelmäßig revisioniert werden. Eine klare Erklärung aller Abläufe für alle Mitarbeiter ist der finale Schritt für eine sichere Online-Kommunikation in Unternehmen.

Das Internet bietet endlose Möglichkeiten – gleichzeitig aber auch eine Vielzahl an Gefahren. Diese spiegeln sich in der Anzahl der Cyberattacken mit Malware wider: Durchschnittlich erlitten circa 46 Prozent der durch die Online-Plattform Statista befragten Unternehmen in Deutschland bereits Cyberangriffe. Um dem entgegenzuwirken, engagieren Unternehmen IT-Sicherheitsbeauftragte, welche eigene Sicherheitskonzepte entwickeln. Das ist ein guter Anfang, garantiert aber nicht, dass es nicht trotzdem zu Cyberangriffen kommt. Was aber macht Malware eben so gefährlich?

Was ist Malware?

Der Begriff “Malware” bezeichnet jegliche Arten von Software, welche in das Computersystem eindringen und dort Probleme verursachen. Dabei kann es sich um Viren, Würmer oder sogar Trojaner handeln. Malware wird nicht immer entwickelt, um damit ein bestimmtes Ziel zu verfolgen oder einem gezielten Unternehmen zu schaden. Sie können auch willkürlich entsandt werden – mit dem Ziel, so viel Chaos wie möglich anzurichten.

Wie kommt Malware auf den Computer?

Malware gelangt häufig auf den Computer, in dem Nutzer und Nutzerinnen unwissentlich schädliche Programme oder Anhänge herunterladen. Ein Download ist jedoch kein unbedingtes Muss. Malware kann auch durch die Nutzung von fremden USB-Sticks übertragen werden, ohne, dass man etwas gezielt herunterlädt. Allein der Klick auf Links in E-Mails kann zu einer Infizierung des Computers führen.

Welche Formen von Malware gibt es?

Spyware

Wie es der Name vermuten lässt, dient Spyware dazu, Computer und deren Nutzer auszuspionieren. Sie sammelt benutzerbezogene Daten über den Computer und ermittelt die Surfgewohnheiten von Nutzern im Netz. Spyware gelangt auf den Computer, indem ein Programm wissentlich oder unwissentlich installiert wurde. Das installierte Programm zeichnet dann unbemerkt die sensitiven Daten auf und leitet sie an externe Dritte weiter. Dadurch entsteht eine gravierende Sicherheitslücke, die Betroffenen häufig nicht bewusst ist.

Trojaner

Diese Schädlinge beruhen auf demselben Prinzip wie das namensgebende berühmte Holzpferd aus dem Trojanischen Krieg: Trojaner geben vor, eine sichere Anwendung zu sein, sind jedoch schädlich. Nutzer laden sie herunter, wenn sie ein Programm aus einer nicht verifizierten Quelle beziehen. Nach der Installierung kreieren die Trojaner eine “Hintertür” im betroffenen System, durch die sich Hacker Zutritt verschaffen, um wichtige Daten zu stehlen.

Es gibt verschiedene Unterarten von Trojanern, die sich nach den Anwendungsarten unterscheiden:

• Trojaner, die private Daten an Dritte weiterleiten
• Trojaner, die einen Fernzugriff durch Dritte ermöglichen
• Destruktive Trojaner, die das Computersystem zerstören
• Proxy-Trojaner, die den “Host”-Computer in einen Server für weitere Trojaner-Übergriffe verwandeln
• FTP-Trojaner, die den Zugriff auf die FTP-Protokolle eines Computers durch Dritte ermöglichen
• Trojaner, die die Security-Software des Hosts deaktivieren

Ransomware/Ransomtrojaner

Ransomware sind spezielle Trojaner, welche in das Computersystem eindringen und dort wichtige Daten und Programme verschlüsseln. Hier operieren Hacker durch Erpressung: Betroffene werden häufig aufgefordert, Lösegeld (engl. “ransom”) zu zahlen, um ihre Daten wieder zugänglich zu machen.

Würmer

Würmer greifen keine Daten auf dem Computer an, müssen aber auch nicht extra heruntergeladen werden. Sie finden Lücken in der Systemsicherheit und gelangen durch diese auf die Festplatte des Rechners. Dort besteht ihr einziger Sinn darin, sich wie bei einer biologischen Zellteilung unendlich oft zu vermehren. Durch diesen Prozess wird sehr viel Speicherplatz auf dem Rechner belegt. Dieser verlangsamt sich dadurch drastisch und hängt sich auf. Folge: Totalabsturz!

Viren

Es gibt viele verschiedene Varianten von Viren, sie basieren jedoch auf einem grundlegenden Prinzip: Das Programm kann sich selbst vermehren. Ein Virus schleust sich als Anhang auf dem Computerspeicher ein und reproduziert sich dort. Das Ziel eines Virus ist es, sich auf möglichst vielen Geräten zu verbreiten und diese lahmzulegen. Ähnlich wie beim Wurm geschieht dies durch ein Aufbrauchen der CPU-Speicherressourcen.

Viren lassen sich in nachfolgende Kategorien einteilen:

• Dateiviren infizieren in der Regel Programmdateien wie .exe, .com oder .bat. Sie versuchen, alle im Speicher geladenen Programme zu infizieren.
• Makroviren infizieren Datendateien wie Word-, Excel-, PowerPoint-, Access- und viele Dateien mehr.
• Master-Boot-Record-Viren (MBR-Viren): MBR-Viren sind speicherresidente Viren, die sich selbst in den Teil des Speichers eines Gerätes kopieren, der für das Laden von Betriebssystemdateien genutzt wird.
• Boot-Sektor-Viren infizieren den Bootsektor einer Festplatte. Sobald der Computer hochfährt, wird der Bootsektor infiziert.
• Mehrteilige Viren sind eine Mischung aus Boot- und Programm-/Dateiviren. Diese Viren infizieren Programmdateien und breiten sich bei der Benutzung von infizierten Programmen auf den Boot-Sektor aus.
• Polymorphe Viren können ihren Code auf verschiedene Arten verschlüsseln, sodass er bei jeder Infektion anders erscheint.
• „Stealth“-Viren „tarnen“ sich mithilfe verschiedener Techniken, um nicht als Viren erkannt zu werden.

Welche Malware ist am häufigsten verbreitet?

2021 erstellten die australischen Cybersecurity-Center und die US-amerikanische IT-Sicherheitsbehörde CISA eine Liste der häufigsten Malware-Typen. Hierbei ließen sich die meisten Programme in die folgenden Kategorien einsortieren:

• Trojaner, die einen Fernzugriff ermöglichen
• Trojaner, die explizit aufs Online-Banking angesetzt werden
• Ransomware/ Ransom-Trojaner

Woran erkennt man einen Malware-Befall?

Bei einer Infizierung des Computers lässt sich meist zuerst bemerken, dass der Computer deutlich langsamer läuft als gewöhnlich. Programme brauchen länger zum Öffnen und es scheint, als würde die Maus oder Tastatur nur mit Verzögerungen reagieren. Mangelnder Speicherplatz kann ebenfalls ein Anzeichen für einen Malware-Befall sein. Besonders dann, wenn ein Mangel plötzlich auftritt. Einige Viren sorgen für das Aufkommen von ungewünschten Pop-Up Benachrichtigungen oder laden eigenständig Inhalte herunter. Sollte es den Anschein haben, dass ihr Computer sich verselbstständigt hat, kann es sich durchaus um einen Viren-Befall handeln.

Welche Lösungsansätze gibt es?

Nach einem Angriff gibt es einige Schritte, die unternommen werden können. Ganz wichtig ist es, die Verbindung zum Internet des Computers direkt zu unterbinden. Am besten wird das Gerät in den Einstellungen in den Flugzeugmodus versetzt. Zusätzlich sollten keine USB-Sticks oder andere externe Geräte mit dem infizierten Gerät verbunden werden. Es steht sozusagen “unter Quarantäne”, bis weitere Hilfe erfolgen kann.

Innerhalb eines Unternehmens sollten IT-Fachkollegen sich mit der Entfernung von Schädlingen befassen, um eine korrekte Durchführung zu garantieren. Fachpersonal hat in der Regel Zugriff auf spezielle Tools und Programme und die entsprechende Erfahrung, um den Computer wieder anstandslos in den Normalzustand zurückzuversetzen.

Um sensible Daten auf dem Gerät zu schützen, sollte eine Antiviren-Software installiert sein. Diese scannt die Inhalte auf dem Computer in regelmäßigen Abständen und sollte deshalb immer auf dem neusten Stand gehalten werden. Auch Mail-Anbieter und Suchmaschinen bieten mittlerweile “sichere” Modi an, die vor verdächtigen Webseiten oder E-Mail-Absendern schützen. Letztlich sollten Dokumente und Inhalte durch ein automatisches Back-up System in einem Cloud-Speicher abgespeichert werden, um keinen Datenverlust zu riskieren.

Obwohl es einige Möglichkeiten zum Schutz vor Malware gibt, kann nie ausgeschlossen werden, dass nicht doch einmal ein Gerät im Unternehmen infiziert wird. Deshalb sollten Methoden und Strategien zur Deeskalation der Situation und der Entfernung von Malware bereits im Vorfeld vom Fachpersonal entwickelt werden.

Lange war im Gespräch, einheitliche Ladebuchsen für verschiedene Endgeräte der EU einzuführen. Endlich wird daraus Realität werden. Das neue Gesetz tritt ab Mitte 2024 in Kraft und sieht eine Reform in der Technologiebranche vor. Zumindest, sobald alle EU-Länder und das Europaparlament der Regelung formell zustimmen. Dies ist noch nicht geschehen, sei aber laut dem Parlament “reine Formalie” und stellt demnach keine Hürde mehr dar. Das Parlament hätte sich eine Umsetzung der Regelung schon länger gewünscht, jedoch sei diese durch die EU-Staaten hinausgezögert worden.

Laut Anna Cavazzini, Politikerin der Grünen und Leiterin in den EU-Verhandlungen, betrifft die Neuregelung alle technischen Endgeräte wie Smartphones, Tablets, Kameras, Kopfhörer, tragbare Lautsprecher sowie Laptops, E-Reader, Tastaturen und Computermäuse, Navis, Smartwatches und elektronisches Spielzeug. Solange die Endgeräte technisch groß genug sind, sollen sie in Zukunft mit einem USB-C-Anschluss versehen sein.

Für Verbraucher soll durch die Umstellung eine Entlastung entstehen. Bereits vor circa zehn Jahren einigten sich Herstellende auf einen einheitlichen Standard für Handynetzteile, woraus die gängigsten drei Netzteiltypen resultieren: USB-C, Apples Lightning-Anschluss und Micro-USB. Trotzdem sammelten Verbraucher durch das Laden unterschiedlicher Geräte Unmengen von Elektroschrott an. Sobald sie ein Gerät von einem anderen Hersteller kauften, wurde unter Umständen ein neues Ladekabel benötigt.

In den letzten Jahren entstanden rund 11.000 Tonnen Elektromüll durch entsorgte Kabel. Doch durch die Neuregelung sollen circa 1.000 Tonnen Elektromüll eingespart werden, berichtete das EU-Parlament. Der Verband kommunaler Unternehmen (VKU) sieht dieser Veränderung freudig entgegen. Jene Unternehmen des Verbandes, welche für die Müllentsorgung zuständig sind, rechnen mit einer generellen Ressourcenentlastung. Durch die einheitlichen Kabel müssen weniger Recycling- beziehungsweise Vernichtungsabläufe entwickelt werden. Dies schont zusätzlich die Nerven der dafür Zuständigen.

Kritiker befürchten jedoch, dass die Neuregelung nicht die gewünschten Ergebnisse erzielen wird. Alte Kabel können nicht weiterverwendet werden. So werden bspw. Apple-Nutzer, die vorher Lightning-Kabel benutzt haben, genötigt, sich neue USB-C Kabel für ihre Geräte anzuschaffen. Die alten Kabel werden dann entsorgt und generieren unnötigen Müll.

Die Umsetzung steht trotzdem fest, oder zumindest so ziemlich. Nach der Unterzeichnung aller nötigen Formalien durch die EU-Staaten und das EU-Parlament steht einer Reform nichts mehr im Weg. Um Kritiker zu beruhigen, gilt anzumerken, dass Netzstecker und Ladekabel in Zukunft separat erhältlich sein werden. So können die Netzstecker weiterhin benutzt werden und es fällt weniger Elektromüll an. USB-C Kabel sind also die Kabel der Zukunft.

Nach August 2022 wird es keine Updates mehr für Windows 10 (in der 20H2 Version) geben.

In einer Meldung des Konzerns wurde bekannt gegeben, dass es keine weiteren Updates mehr für diese Windows Version mehr geben wird. Dieses Schicksal erfuhr auch Windows 10 Enterprise 1909. Selbst sicherheitsrelevante Updates gehören nun der Vergangenheit an.

Deshalb wird Nutzer*innen dringend geraten, ein Update durchzuführen. Hierfür stehen mehrere Windows Angebote zur Verfügung, welche sich auf den Online-Seiten von Microsoft vergleichen lassen. Versionen wie Windows 21H1 und Windows 21H2 bieten sich an, da diese die aktuellsten Varianten sind. Außerdem werden sie zuverlässig bis Dezember 2022 und Mitte 2023 betrieben werden.

Der Grund, aus dem Microsoft sich von halbjährlichen Server Updates entfernt und indessen jährliche Updates für seine Anwendungen etabliert, ist folgender; durch den neuen Fokus auf Langzeitversionen lässt sich der Betreuungsaufwand minimieren. Die Systemstabilität wird sich durch diese Änderung ebenfalls erhöhen. Diese würde durch die halbjährlichen Sicherheitsupdates nämlich stark beeinflusst. Es kam schon häufiger zum Versagen einiger Anwendungen, die sich durch eine geringe Systemstabilität nicht öffnen oder bedienen ließen. Hierbei handelt es sich primär auf Cloud-Angebote, auf die viele Unternehmen angewiesen sind. Offensichtlich kann Unzuverlässigkeit hier zu Problem führen.

Das Update lässt sich leicht vollziehen und bietet für Kunden nur geringen Aufwand. In den Systemeinstellungen lässt sich einsehen, welche Version auf dem Rechner installiert wurde. Von dort aus kann ein Update sehr einfach in die Wege geleitet werden. Es bedarf also keines Fachwissens.

Generell ist es sinnvoll, solche Informationen über den eigenen Rechner im Blick zu haben. Ebenfalls auf den Online-Seiten von Microsoft lässt sich einsehen, welche Server Varianten momentan aktiv sind und wie lange diese noch unterstützt werden. So lassen sich unerwartete Probleme, die ohne ein Update entstehen können, vermeiden.

Was erst schockierend klingt, ist eigentlich kein großes Problem für Windows Nutzer*innen, sondern lediglich eine Änderung der Abläufe des Konzerns. Diese Änderungen werden voraussichtlich die Nutzung und Zuverlässigkeit der Windows-Server erhöhen.

Fehler oder Lücken in Sicherheitskonzepten von Unternehmen zu finden kann nicht nur ärgerlich, sondern auch sehr gefährlich sein. Werden sensitive Daten nicht richtig verschlüsselt, sind sie für unbefugte Personen leichter zugänglich. Die häufigsten Fehler in Sicherheitskonzepten sind klein und werden oft übersehen. Selbst geschultes Personal ist vor solchen Sollbruchstellen nicht gefeit.

Häufig dringen externe Hacker*innen durch ungeschützte Fernzugriffe wie VPN oder Sicherheitslücken in öffentlich-zugänglichen Anwendungen in die Systeme von Unternehmen ein. Aber auch ungeschulte Mitarbeiter werden nicht selten von Angreifer*innen zu ihrem Vorteil ausgenutzt.

Die Multi-Faktor-Authentifizierung (MFA) wird nicht genutzt

Die Multi-Faktor-Authentifizierung ist eine zuverlässige Methode, um für mehr Sicherheit in passwortgeschützten Anwendungen zu sorgen. Zu Deutsch heißt die MFA auch “Zwei-Faktor-Authentifizierung” und wird vom Bundesamt für Sicherheit in der Informationstechnik empfohlen. Es handelt sich um ein Verfahren, welches nach der Passworteingabe eine weitere Verifizierung vorsieht. Diese kann beispielsweise ein Google Captcha sein.

Der Hintergrund hinter diesen Verifizierungen ist, dass sie nicht durch künstliche Intelligenz ausgeführt werden können. So sollen automatisierte Hacking-Algorithmen abgewehrt werden. Darüber hinaus gibt es biometrische Systeme, die als Zwei-Faktor-Authentifizierung genutzt werden. Wie Fingerabdrücke und Gesichtsscanner. Kryptografische Token hingegen speichern einen kryptografischen Schlüssel. Bei dessen Aktivierung wird eine Anforderung an den Token geschickt, welcher nur durch einen privaten Schlüssel nachgekommen werden kann. Hierfür ist es am sichersten, einen physischen Token wie beispielsweise einen USB-Stick zu nutzen. Für die Nutzung von TAN/OTP-Systeme wird ein Einmal-Passwort zur Verifizierung eingegeben. Auf diesem Prinzip basiert das Push-TAN Verfahren, welches verstärkt zur Kontoführung im Bankensektor genutzt wird. Unabhängig davon, welche Form von bestehenden Multi-Faktoren-Authentifizierung genutzt wird, sollte immer eines der Systeme bereitgestellt werden, um Unternehmen und Daten zu schützen.

Keine Richtlinien für Passwörter

Passwörter bilden nicht nur den bisher klassischsten Zugangsschlüssel für Mitarbeiterinnen und Mitarbeiter, sondern auch den beliebtesten für potenzielle Angreiferinnen und Angreifer. Bei der Auswahl sicherer Passwörter gibt es heutzutage einiges zu beachten, um die Sicherheit von Systemen zu erhöhen und das Risiko ungewollter Zugriffe zu reduzieren. So sollten vor allem die Grundeinstellungen von Herstellern nicht übernommen werden. Oftmals werden Geräte mit Standard-PIN wie 1234 oder 0000 ausgeliefert. Am besten ist die Entwicklung eines eigenen Sicherheitskonzeptes. In diesem werden Zugriffsberechtigungen und Vorgaben zur Passwortwahl definiert. Grundlegender Bestandteil dieses Konzeptes sind die geregelten Zugriffsberechtigungen. Auf diese Weise ist immer genau definiert, welche/r Mitarbeiter*in im Ernstfall als Ansprechpartner*in fungiert.

Zusätzlich sollten Passwörter regelmäßig aktualisiert werden. So wird Angreifer*innen ein Zugriff auf sensitive Firmendaten erschwert. Idealerweise soll das Erneuern von Passwörtern maximal einmal im Quartal vollzogen werden. Sonst besteht die Gefahr, Mitarbeiter*innen unnötig zu verwirren und die Passwortsicherheit ins Chaos zu stürzen. Änderungen von Passwörtern sollten stets mit entsprechender Vorlaufzeit angekündigt und, sofern erforderlich, erinnert werden.

Ungeschützte Cloud-Dienste

Viele Unternehmen nutzen Cloud-Dienste, um sich intern oder mit Kund*innen auszutauschen. Es ist eine einfache Art, um Daten unabhängig vom Standort für alle Beteiligten zugänglich zu machen. Doch auch bei der Nutzung von Cloud-Diensten ist Vorsicht geboten, da sich auch hier Sicherheitslücken verstecken. Es sollten nie die gleichen oder ähnliche Passwörter auf verschiedenen Plattformen genutzt werden. So wird es Hacker*innen leicht gemacht, die Passwörter zu knacken und auf die gespeicherten Daten zuzugreifen. Die Multi-Faktor-Authentifizierung, die bereits oben im Text behandelt wurde, sollte bei Cloud Diensten immer aktiviert sein. Die dazugehörigen Sicherheitsschlüssel sind unter keinen Umständen in der Cloud zu speichern.

Sehr vertrauliche Daten sollten tatsächlich nie in den Cloud-Dienst hochgeladen werden. Sie sollten stattdessen lokal gespeichert werden, um das Verlustrisiko zu minimieren. Jeglicher Datenverkehr darf nur verschlüsselt erfolgen, dies wird meist vom Herstellenden gewährleistet und ist ausschlaggebend für die Anbieterauswahl. Durch die Verschlüsselung sind die Daten bei der Übertragung geschützt und für Angreifer*innen nicht zugänglich.

Unzureichende Aufklärung über Phishing

Phishing bezeichnet einen neuen Trend der Cyberattacken. Hierbei geben sich Angreifer*innen oder besonders programmierte Algorithmen als vertraute Personen aus. Opfer erhalten beispielsweise eine E-Mail von einer Kolleg*in, in der vertraulichen Daten wie Telefonnummern oder sogar Passwörter abgefragt werden. Da diese Fake-E-Mails nicht immer als diese zu erkennen sind, stellen sie eine besonders große Gefahr für die Unternehmenssicherheit dar.

In diesen Situationen ist die erfolgreichste Strategie eine ausreichende Aufklärung der Mitarbeiter*innen, um sie auf die bestehenden Gefahren aufmerksam zu machen. So wird die Wahrscheinlichkeit erhöht, dass solche Angriffe erfolglos bleiben. Phishing E-Mails lassen sich vorwiegend durch dubiose Anhänge erkennen. Häufig handelt es sich bei diesen um “Microsoft-Office” Dateien, die voll von schädlichen Makros ist. Auch Shell-Skripte sind beliebte Anhänge von Angreifer*innen.

Häufig enthalten die E-Mails auch Links, die zu anderen Webseiten führen, bei denen eine Passwort-Abfrage vorgenommen wird. Diese Schein-Webseiten mögen aussehen wie bekannte Firmenseiten, sind es allerdings nicht. Stattdessen dienen sie lediglich dazu, die Passwörter der Opfer zu speichern.

Um sich zu schützen ist es also wichtig keine unbekannten Links zu verfolgen oder Anhänge herunterzuladen. Wenn Sie sich unsicher sind, ob es sich um eine Phishing-E-Mail handelt, kann die schnellste Lösung sein, auf anderem Wege (bspw. telefonisch) Kontakt zum Absender aufzunehmen und sich den Empfang bestätigen zu lassen. So können Sie ihn persönlich fragen, ob er Ihnen tatsächlich eine Nachricht geschickt hat oder nicht.

Fehlende “Endpoint Detection and Response” (EDR)

Bei “Endpoint Detection and Response” (EDR) handelt es sich um ein Cyber-Security-Konzept, welches als erweiterter Virenschutz zu verstehen ist. EDR zeichnet die übliche Arbeitsweise des Endgerätes auf und alarmiert die Nutzer*in bei verdächtigen Aktivitäten. Zusätzlich wird eine automatisierte Reaktion hervorgerufen, nämlich die Isolierung des Gerätes vom Netzwerk.

Besonders für Unternehmen, auf deren Netzwerk viele Geräte Zugriff haben, ist dies wichtig. So wird verhindert, dass ein einziges komprimiertes Gerät alle anderen Geräte ebenfalls in Gefahr bringt. Das Implementieren eines solchen Schutzes in das IT-Sicherheitskonzept ist ein ergänzender Schritt zu einem breit aufgestellten Systemschutz.

Um einfache Fehler im eigenen Sicherheitskonzept zu vermeiden, muss auch auf die kleinsten Schritte geachtet werden. Sichere Passwörter sind die erste Instanz zum Schutz der Firmendaten, wobei eine Multifaktor-Authentifizierung die Passwörter noch stärker macht.

Besonders für Cloud-Dienste muss auf sichere Passwörter geachtet werden, die an anderen Speicherorten gesichert werden. Um jegliche verdächtigen Aktionen innerhalb des Systems zu erfassen ist eine zuverlässige Antiviren-Software unverzichtbar, diese kann durch ein EDR System unterstützt werden. Durch das EDR System werden die Abläufe des Gerätes eingehend analysiert, sodass bei Veränderungen sofort alarmiert wird und ein individueller Schutz entsteht. Dieser ist bestens auf das Gerät und die Gewohnheiten der Nutzer*in abgestimmt.

Alles, was an den Antiviren-Programmen vorbeigelassen wird, kann durch Schulung der Mitarbeiter*innen aufgefangen werden. Wenn diese richtig ausgebildet sind, können sie viele Gefahren selbst erkennen und einschätzen – beispielsweise die Bedrohung, die durch Phishing E-Mails ausgeht. So entsteht ein Rundumschutz der Unternehmensdaten bestens absichert.

Irren mag menschlich sein, doch in gewissen Situationen können Irrtümer erhebliche Konsequenzen mit sich bringen. Besonders die Unternehmenssicherheit bietet keinen Raum für Fehler. Deshalb sollte Passwortverlust dringend vermieden werden. Die Zwei-Faktor-Authentifizierung schafft Abhilfe und unterstützt Sie dabei, ihre Daten sicher zu verwahren. Auch dann, wenn das Passwort einmal fehlt. Viele Passwörter werden von Mitarbeiter*innen selbstständig festgelegt.

Ein gutes Passwort sollte möglichst lang sein und Zahlen, Zeichen und Buchstaben enthalten. Sogenannte “Klarwörter” sollten möglichst vermieden werden. Hierbei handelt es sich um Geburtstage und Namen, oder auch Namen von geliebten Haustieren. Also alles, was sich leicht erraten lässt, wenn man den Menschen kennt. Zahlenkombinationen sind am sichersten, da sie anonym sind und sich nicht aus dem Privatleben von Nutzer*innen ableiten lassen.

Leider kann es so aber auch schnell passieren, dass man sich die Passwörter einfach nicht mehr dauerhaft merken kann. Einige Menschen schreiben sich ihre Passwörter auf daher auf. Moderner ist es allerdings, einen Passwortmanager-Dienst zu benutzen. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) empfiehlt die Nutzung eines Passwortmanagers für die Unternehmenssicherheit. Dieser speichert die Passwörter und trägt sie automatisch beim Einloggen ein. Über solche Manager kann zentral verfügt werden, um die Passwortwiederherstellung zu erleichtern. So bleiben wichtige Konten des Unternehmens nicht unnötig lange gesperrt.

 

Die beliebtesten deutschen Passwörter 2021

 

Anders verhält es sich, wenn kein Passwortmanager genutzt wird. Schnell entsteht eine unübersichtliche Zettelwirtschaft von Passwörtern, die sich nur schwer oder gar nicht zuordnen lässt. Das ist nicht nur umständlich, sondern kann auch zu erheblichen Verzögerungen im Arbeitsalltag führen. In den meisten Fällen lassen sich Passwörter nur durch Administratoren aus der IT-Abteilung zurücksetzen. Sollten diese zeitweise nicht zur Verfügung stehen, bleibt das Profil gegebenenfalls einfach gesperrt. Um Mitarbeiter*innen die Möglichkeit zu geben, ihre Profile nach einem Passwortverlust eigenständig zu entsperren, sollte eine Zwei-Faktor-Authentifizierung zur Verfügung gestellt werden. Viele Internetseiten und Online Dienstleister nutzen diese bereits, da sie als besonders zuverlässig gilt. Dazu zählen beispielsweise Google Mail oder Paypal.

Bei diesem Verfahren muss nicht nur ein Passwort eingegeben werden, sondern auch eine zusätzliche Bestätigungsoption durchgeführt werden. Für diesen Schritt wird eine weitere E-Mail-Adresse, Telefonnummer oder Sicherheitsfrage definiert. An die E-Mail-Adresse oder Telefonnummer wird ein Bestätigungscode gesendet, welcher anstelle des Passwortes genutzt werden kann. Im Ernstfall können Mitarbeiter*innen also immer auf die Zwei-Faktoren Authentifizierung zurückgreifen. Sollte es dann immer noch keinen Zugang geben, können die Profile in den meisten Fällen von einer Person aus der IT-Abteilung zurückgesetzt werden. Passwortzurücksetzungen sollten generell nur von Fachpersonal durchgeführt werden, um einen einheitlichen Sicherheitsstandard zu gewährleisten.

Durch die Zwei-Faktor-Authentifizierungen bleiben Mitarbeiter*innen bei Passwortverlust nicht länger die Hände gebunden. Sie können selbstständig aktiv werden und im Arbeitsalltag entstehen keine großen Unterbrechungen. Zusätzlich wird die IT-Abteilung entlastet, welche nicht zwingend hinzugerufen werden muss. So lassen sich die Unternehmensdaten auch bei Passwortverlust am besten schützen und Unternehmensressourcen sparen.