Tagtäglich berichten die Medien von neuen Schreckensnachrichten im IT-Bereich und Angriffen auf Benutzerkonten oder Datendiebstählen. Beim Lesen oder Sehen der Nachrichten entsteht zwar immer ein ungutes Gefühl und es Entstehen Szenarien im Kopf, wie sich ein solcher Vorfall auf das eigene Unternehmen auswirken würde, eine Verhaltensänderung findet jedoch selten statt. Dabei sind es meistens einfachste Maßnahmen, die den Widerstand und den Schutz vor solchen Angriffen erheblich erhöhen. Wir haben die häufigsten und gravierendsten Nachlässigkeiten von Unternehmen zusammengefasst und Empfehlungen beigefügt, um Abhilfe zu schaffen.

1.Mangelhafte Passwörter
Der Fehler wird bereits bei der Auswahl der Passwörter gemacht, indem diese nicht der erforderlichen Komplexität entsprechen. Zudem gehen Mitarbeiter zu sorglos mit den Passwörtern um und schreiben diese auf Zettel oder notieren sie anderweitig.

Tipp: Verwendung eines Password-Managers zur Verwaltung der Kennwörter und automatischen Generierung.

2.Unzureichendes Patchmanagement
Cyber-Kriminelle nutzen gerne Schwachstellen in Software und Anwendungen aus, um in das Informationssystem des Unternehmens einzudringen. Aber auch veraltete Versionen von Virenschutzprogrammen sind ein Risiko, wenn diesen nicht die neuesten Bedrohungen aus dem Netz bekannt sind.

Tipp: Implementieren sie eine Software-Lösung, die automatisiert die Verfügbarkeit von Sicherheitsupdates und Patches steuert. Daneben sollten die IT-Verantwortlichen immer auf den aktuellsten Stand sein, welche Sicherheitslücken Hersteller veröffentlichen.

3.Ausuferung von Zugriffsrechten
Die Möglichkeit der Mitarbeiter auf unternehmenseigene Daten zu zugreifen ist in der Regel viel zu weitgefasst. Obwohl die Informationen nicht für die Aufgabenerledigung erforderlich sind, können viel zu viele Personen diese einsehen. Wird nun das Passwort des Benutzers geknackt, kann der Angreifer plötzlich nahezu alle Ordner und Anwendungen öffnen bzw. bedienen. Besonders kritisch wird es, wenn ein Administratorkonto betroffen ist, das nicht entsprechend eingeschränkt wurde.

Tipp: Die Benutzerrechte sollten auf ein Mindestmaß eingeschränkt werden. Alle Rechte, die nicht zur Aufgabenerledigung notwendig sind, müssen deaktiviert werden.

4.Fehlende Mitarbeitersensibilisierung
Knapp die Hälfe aller Sicherheitsvorfälle sind auf die eigenen Mitarbeiter zurückzuführen. Es ist weniger böswilliges Verhalten, als vielmehr die Unwissenheit oder mangelndes Gefahrenbewusstsein, welches für die Schäden verantwortlich ist.

Tipp: Mitarbeiter müssen in geeigneter Weise auf die Gefahren im Umgang mit IT-Systemen hingewiesen und geschult werden. Allein die Übergabe einer Arbeitsanweisung und eine Unterschrift zur Einhaltung, sind nicht ausreichend! Sensibilisierungsmaßnahmen müssen kontinuierlich und spezifisch stattfinden, um einen Effekt erzielen zu können.

5.Defizite im Datensicherungskonzept
Egal ob durch Hardwareverschleiß, Unachtsamkeit oder einen Sicherheitsvorfall, Daten gehen früher oder später verloren. Hat das Unternehmen keine angemessene Vorsorge getroffen, kann der Datenverlust katastrophale Folgen haben, wenn bspw. Entwicklungspläne oder die Kundendatenbank nicht mehr verfügbar ist.

Tipp: Erarbeitung eines Datensicherungskonzept unter Beachtung der Schutzbedürftigkeit der Informationen. Legen sie ein Sicherungsintervall fest und führen sie regelmäßig Tests durch, ob die gesicherten Daten sich wiederherstellen lassen können.

6.Vernachlässigung mobiler Endgeräte
Laptops, Smartphones, Tablets und andere IoT-Geräte (Internet of Things) sind entweder nur unzureichend geschützt oder wurden gar nicht im Sicherheitskonzept berücksichtigt. Schwachstellen dieser Geräte sind beliebtes Einfallstor für Hacker, um Zugriff auf die IT-Systeme des Unternehmens zu erhalten.

Tipp: Auch mobile Endgeräte müssen dringend in das Patchmanagement miteinbezogen werden und mit den gängigen Virenschutzprogrammen ausgestattet werden.

7.Keine Reglementierung von E-Mails
E-Mails sind wahre Virenschleudern und für jeden zweiten Sicherheitsvorfall verantwortlich. Teilweise werden elementare Sicherheitseinstellung ausgelassen wie Deaktivierung von verdächtigen Anhängen oder aktiven Inhalten. Aber auch der korrekte Umgang mit E-Mails und das Erkennen gefälschter Nachrichten ist nicht jedem Mitarbeiter bekannt.

Tipp: Abgesehen von PDF-Dokumenten sollten keine E-Mailanhänge ohne weitere Prüfung zu öffnen sein.  Aktive Inhalt, wie Bilder oder Videos in Nachrichten müssen deaktiviert werden, da andernfalls bereits beim Anschauen der E-Mail im Hintergrund Schadprogramme installiert werden können. Es muss allen Mitarbeiter bekannt sein, was charakteristisch für eine gefälschte Nachricht ist.

Die Umsetzungen der beschriebenen Maßnahmen sind allesamt wenig aufwendig und auch mit geringem Budget durchsetzbar. Frühzeitiges Handeln verhindert kostspielige Gegenmaßnahmen.