vorgehen und auf Informationen aus dem Dark Web zugreifen. Im Dark Web lässt sich erkennen, wer mit welchen Mitteln angreift, und wie weit die Vorbereitungen gediehen sind. Cyberkrimi- nelle gehen sehr gezielt vor und suchen ihre An- griffsziele sehr genau aus, denn das Opfer muss sich den Angriff bei einer erfolgreichen Attacke auch leisten können. Cyberkriminelle untersuchen die Internet- Zugangspunkte des Unternehmens auf bekann- te Verwundbarkeiten. Oftmals zielen sie auf den Menschen ab, da er die geringste Hürde dar- stellt. Sie recherchieren, welche Mitarbeitenden im Unternehmen arbeiten und mit welchen The- men sie sich beschäftigen. Details über Personen werden vielfältig über Social-Media-Kanäle wie LinkedIn, XING oder Kununu in Erfahrung ge- bracht. Mit dieser Recherchearbeit können die Angreifenden zum Beispiel eine E-Mail mit dem richtigen Köder und einem Schadcode verfas- sen, um den Mitarbeitenden zum Öffnen der Anlage oder eines Links zu verleiten. Die dadurch entstandene Sicherheitslücke wird ausgenutzt, und die Malware wird installiert. Sofort funkt die Malware „nach Hause“, updatet sich andauernd, um vom Virenschutz nicht erkannt zu werden und lädt weitere Tools nach, um die gesamte Steuerung des Rechners und später des gesam- ten Netzwerks zu erlangen. Zum Glück gibt es viele Möglichkeiten, um zu verhindern, dass Cyberkriminelle Zugriff auf das Netzwerk erlangen. Zum einen ist es wichtig, dass die Internet- zugangspunkte gepatcht sind und keine be- kannten Schwachstellen aufweisen, welche die Angreifer ausnutzen können. Weiterhin ist es wichtig, die Security Aware- ness jedes einzelnen Mitarbeitenden zu erhö- hen. Die Mitarbeitenden müssen einen Angriff sicher erkennen, egal ob dieser per Phishing- E-Mail, per Telefon, QR-Code, USB-Stick oder sogar persönlich vor Ort oder unterwegs, in der Bahn, am Flughafen oder im Hotel statt- findet. Ein weiterer Punkt ist die Endpoint Protection, sprich die Antivirensoftware, auf den Rech- nern aktuell zu halten. Last but not least ist es sinnvoll, ein NDR, ein Network Detection and Response System, im Einsatz zu haben. Ein solches System ana- lysiert ständig den gesamten Netzverkehr und meldet Anomalien, die auf einen Hacker hinweisen. 85 Prozent aller erfolgreichen Cyberangriffe erfolgen über den Menschen und nicht über die Maschine. Aus diesem Grund ist es so wich- tig, dass Mitarbeitende Angriffe erkennen und sich richtig verhalten. Dies ist am besten durch moderne Security-Awareness-Trainings und An- griffssimulationen, wie zum Beispiel simulierte Phishing-Angriffe, erreichbar, bei denen der Mit- arbeitende am eigenen Leib eine Attacke erfährt. Informationen aus dem Dark Web können hilf- reiche Dienste leisten, um gezielte Maßnahmen für mehr Sicherheit einzuleiten. WAS MITARBEITENDE ZUR UNTERNEHMENSSICHER- HEIT BEITRAGEN KÖNNEN Um nicht als Einfallstor für Cyberkriminelle miss- braucht zu werden, ist es wichtig, dass Mitar- beitende sich der Bedrohung bewusst sind, und erkennen, wie sie angegriffen werden könnten. Einen wertvollen Beitrag leisten hier Videotrai- nings und Phishing-Simulationen, um einerseits Wissen zu vermitteln und zudem in simulierten Angriffssituationen das Verhalten entsprechend zu überdenken und anzupassen. Entscheidend dabei ist, dass die Mitarbeitenden ihre wichtige Rolle als „menschliche Firewall“ verstehen und die Relevanz der Trainings und Simulationen erkennen. Am besten ist es sicher- lich, den Trainingsbedarf jedes einzelnen Mit- arbeitenden initial mittels eines Assessments festzustellen und nur die jeweils relevanten Bereiche mittels drei- bis fünfminütigen Video- trainings zu schulen. Das hat den Vorteil, dass niemand über- oder unterfordert wird. Die Ak- zeptanz der Trainings ist somit bei den Mitarbei- tenden sehr hoch. Darauf aufbauend können noch rollenbasierte Trainings verteilt werden. Weiterhin empfiehlt es sich, mindestens 12- oder besser 24-mal im Jahr simulierte Attacken durchzuführen. Diese Attacken werden im Verlauf immer ausgefeil- ter und münden bei vielen sehr exponierten Mitarbeitern sogar in speziell für sie recher- chierten Spear-Phishing-Angriffen. Während der Kampagnenlaufzeit wird das Phishing und Trainingsverhalten einzelner Gruppen analysiert und bedarfsgerecht angepasst. Die Phishing-An- fälligkeit reduziert sich bereits in den ersten drei Monaten über die Hälfte und sinkt kontinuierlich im fortschreitenden Kampagnenverlauf. CYBERSICHERHEIT WIE SICH DAS SICHER- HEITSLEVEL DER BELEGSCHAFT GREIFBAR MACHEN LÄSST Es gibt einschlägige Kennzahlen, die das Sicher- heitslevel der Belegschaft greifbar machen kön- nen. So zum Beispiel der Risk Score, der aus der Phishing-Anfälligkeit des Mitarbeitenden, der Bewertung der Position, einer persönlichen Ein- schätzung des Mitarbeitenden, der Sichtbarkeit seiner Daten aus Leaks im Darknet und mehr berechnet wird. Eine professionelle Security- Awareness-Kampagne sollte jederzeit Kennzah- len ausweisen können, um das Sicherheitsrisiko einschätzen zu können. Am Anfang einer Kam- pagne ist der Risk Score in der Regel noch relativ hoch und reduziert sich während der Laufzeit der Kampagne nachweislich. Dabei ist es wichtig, die Anonymität jedes Ein- zelnen zu wahren und den Betriebsrat bei der Durchführung von Security Awareness-Maß- nahmen einzubeziehen. Die Anonymität jedes einzelnen Mitarbeitenden bleibt sichergestellt, indem rein über Gruppen agiert wird. Es sollten keine Informationen preisgegeben werden, wer gephisht wurde, wer welchen Risk Score hat, oder wie der Einzelne im Training abgeschnitten hat. Über Gruppen lassen sich ebenso wertvol- le Schlüsse ziehen, sodass keiner irgendwelche Repressalien zu befürchten hat. Betriebsräte sehen Security-Awareness-Trainings in der Regel sehr positiv. Zu lange fand eine schnelle Digitalisierung auf dem Rücken der Mitarbeitenden statt, und viele fühlen sich überrollt und nicht mitgenommen. Bei modernen Security-Awareness-Trainings steht der einzelne Mitarbeitende im Mittel- punkt, und er wird dort abgeholt, wo sein Wis- sen über Informationssicherheit aufhört. Als kleinen Zusatzbonus erhält der Mitarbeitende wertvolle Informationen, wie er sich und seine Familie auch privat schützen kann. n NICOLAS LEISER, Geschäftsführer bei Cyber Samurai GmbH IT-SICHERHEIT_6/2022 51