IT-Trends-Blog

IT-Trends-Blog

Opinions expressed on this blog reflect the writer’s views and not the position of the Capgemini Group

IT-Sicherheit: Erpressung liegt im Trend

Kategorie: Trends des Monats

Da die Unternehmens-IT im Großen und Ganzen immer besser gegen Eindringlinge wird, müssen sich Angreifer etwas Neues überlegen, um an Daten und damit an Geld zu kommen. Derzeit wird es immer populärer, Mobilgeräte zu entwenden beziehungsweise gestohlene Geräte zu kaufen. Dabei stehen aber nicht das Eindringen ins Firmennetz oder der Zugriff auf sensible Daten im Vordergrund, sondern die Erpressung des Besitzers mit der Veröffentlichung oder Vernichtung der Daten.

Das passierte beispielsweise Prominenten wie Michael Skibbe oder der Ehefrau von Wayne Rooney. Ihnen wurde mit der Veröffentlichung von kompromittierenden Bildern und privaten Informationen gedroht. In letzter Zeit werden immer häufiger auch Geschäftsleute, Opfer dieser Kriminellen, meistens auf Reisen. Dabei wird eine kurze Abwesenheit ausgenutzt, um unbeaufsichtigte Geräte zu entwenden. Ein prominentes Opfer ist Dieter Kempf, Präsident des Bitkom und Vorstandsvorsitzender von datev. Ausgerechnet auf der Fahrt zu einer Sicherheitskonferenz wurde sein Blackberry gestohlen.

Besonders heikel ist so etwas für Anwälte oder Ärzte, denn wenn ihnen vertrauliche Daten abhandenkommen, droht ihnen nicht nur ein Imageverlust, sondern möglicherweise auch der Entzug der Zulassung und Gefängnisstrafe. Dementsprechend sind sie bereit hohe Summen zu bezahlen, um ihre Geräte zurückzubekommen.

Abgesehen von der Verschlüsselung der Daten und dem Schutz durch ein Passwort, was kann man noch tun, um das Unternehmen vor so einer Situation zu schützen? Da wäre zunächst einmal der Fernzugriff auf das Gerät und damit die Möglichkeit, die Daten zu löschen. Schwieriger wird es, wenn sich auf dem Gerät Informationen befinden, die nirgendwo sonst gesichert sind. Denn das bringt das Unternehmen in eine Zwangslage, in der es gilt, das Handy oder Laptop wiederzuerlangen, koste es was es wolle. Dementsprechend wichtig sind Backups in kurzen Abständen und am besten die automatische Datenübertragung, sobald eine Verbindung zum Unternehmensnetz hergestellt ist.

Sicherheit contra Mobilität

Vielleicht sollte man bestimmte Daten unterwegs gar nicht mehr bei sich haben. Die Informationen für ein Meeting beispielsweise ließen sich auch vor Ort herunterladen, nach der Besprechung zurückübertragen und von der lokalen Festplatte löschen. Eine weitere Variante wäre, dass nur noch bestimmte Daten offline auf mobilen Endgeräten bearbeitet werden dürfen. Der Rest wäre nur über eine sichere Verbindung zum Firmennetzwerk zugänglich und würde auch nicht mehr lokal gespeichert. Das wäre aber mit Effizienzeibußen verbunden und der mobile Arbeitsplatz deutlich weniger mobil.

Eine weitere Sicherheitsmaßnahme sind Seminare, um die Anwender auf die Methoden der Diebe aufmerksame zu machen. Sie beobachten beispielweise, in welche Tasche ein Handy nach einem Telefonat am Bahnsteig gesteckt wird, um dann im Gedränge des Einsteigens zuzuschlagen. Laptops nicht irgendwo herumstehen zu lassen versteht sich von selbst, kommt aber trotzdem immer wieder vor.

Dramatisch wird es, wenn Erpresser Angehörige bedrohen, um zu erreichen, dass ein Mitarbeiter Daten heraus- oder Schadsoftware einschleust. Wenn die Sicherheitsmechanismen so gut sind, dass es einem Erpresser nicht gelingt, ist die Familie eines oder mehrerer Mitarbeiter in großer Gefahr. Wenn die Einschleusung gelingt, wird das Unternehmen mit hoher Wahrscheinlichkeit nichts davon erfahren, der Mitarbeiter ist aber weiterhin gefährdet und erpressbar. Aufklärung wäre auch in diesem Fall eine gute Präventionsmaßnahme. Der offene Umgang mit dem Thema zeigt den Mitarbeitern, dass das Unternehmen auf solche Extremfälle vorbereitet ist und damit umgehen kann. Nur dann werden sich die betroffenen Mitarbeiter mit höherer Wahrscheinlichkeit jemandem anvertrauen.

Laut einer Studie des Bitkom haben Anfang 2015 die Hälfte aller rund 1.000 untersuchten Unternehmen angegeben, in den letzten beiden Jahren Opfer von IT-gestützter Wirtschaftskriminalität geworden zu sein. Also Opfer von Datendiebstahl, Wirtschaftsspionage oder Sabotage. Ich finde diese Zahl erschreckend hoch! Über IT-Sicherheit in allen Facetten müsste dementsprechend doch pausenlos im Unternehmen aufgeklärt werden. Wird aber nicht. Liegt das vielleicht daran, dass viele Organisationen und analog auch die Mitarbeiter ungern zugeben, selbst schon einmal Opfer geworden zu sein? Und sollte man das vielleicht als erstes ändern?

 

Über den Autor

Ismet Gülkanat
Ismet Gülkanat
Seit seinem Informatikstudium verfolgt Ismet Gülkanat die Trends rund um die Informationssicherheit und ist stets auf der Suche nach neuen Methoden und Werkzeugen, um den stetig steigenden Sicherheitsanforderungen gerecht zu werden. Als Technologie-Experte von Capgemini beschäftigt er sich vor allem mit IT-Infrastruktur und Betriebsprozessen. Derzeit konzentriert er sich auf die Beratung von Unternehmen und unterstützt sie bei der Umsetzung von Sicherheitskonzepten.

Kommentar hinterlassen

Ihre E-Mail-Adresse wird nicht veröffentlicht. Pflichtfelder sind mit einem * gekennzeichnet.