Die von Ihnen implementierte Sicherheit für Ihr Unternehmen kann über den Erfolg Ihrer Firma entscheiden. Am besten macht man es gleich beim ersten Mal richtig – leider ist das nicht immer der Fall. In den meisten Fällen beginnen Unternehmen erst dann mit der Arbeit an Sicherheitsprotokollen, wenn bereits ein Vorfall eingetreten ist.
Stellen Sie sich Ihr Unternehmen als mittelalterliche Burg vor – wenn alle Steine an der richtigen Stelle sitzen, ist die Burg vollständig geschützt und kann nicht zerstört werden. Sitzt jedoch auch nur ein Stein nicht an der richtigen Stelle, kann Ihre gesamte Burg einstürzen, und Ihre Feinde sind sich dessen stets bewusst.
Sie müssen daher immer jeden einzelnen Stein überprüfen, um sicherzustellen, dass alle an der richtigen Stelle sitzen, während der Feind leichtes Spiel hat. Nutzen Sie also diese Gelegenheit, um der Entwicklung einen Schritt voraus zu sein und Ihre Unternehmen und Kunden zu schützen.
Phishing – nicht die unterhaltsame Variante
Unabhängig davon, ob Sie schon einmal von Phishing-Angriffen oder Social Engineering gehört haben, wird es Sie überraschen, wie verbreitet sie sind. Im Jahr 2021 gehörten zu den am häufigsten angegriffenen Online-Branchen Finanzinstitute mit 24,9 %, soziale Medien mit 23,6 %, SaaS/Webmail mit 19,6 % und Zahlungsdienste mit 8,5 %. Mit dem technischen Fortschritt entwickeln sich auch die meisten Phishing-Angriffe weiter. Welche Phishing-Angriffe sollten Sie also im Blick behalten, und was können Sie tun, um sich zu schützen?
Die meisten Phishing-Angriffe gehen von einer E-Mail aus. Der Angreifer kann eine Person oder Organisation imitieren, mit der Sie zusammenarbeiten, sodass die Nachricht für Sie „normal“ wirkt. Bei den meisten dieser Angriffe versucht der Eindringling, Sie zum Anklicken eines Links zu bewegen, um entweder Malware auf Ihrem Gerät freizusetzen oder Sie zur Eingabe persönlicher Daten zu bringen, die anschließend gestohlen werden können. Sehen wir uns an, was E-Mail-Phishing und Spear-Phishing sind und wie Sie sie vermeiden können.
E-Mail-Phishing-Betrug
Diese Art von Angriff ist wahllos und wird an Tausende Menschen verschickt, zielt aber darauf ab, persönliche und vertrauliche Informationen zu erlangen. Da diese Angriffe wahllos erfolgen, weiß der Angreifer fast nichts über das Opfer, was eine gute Gelegenheit für Script-Kiddies ist, die Kontrolle über diese Angriffe zu übernehmen.
Typischerweise erhalten Sie eine E-Mail von einer unbekannten Person. In der Betreffzeile oder im Text der E-Mail wird ein Gefühl der Dringlichkeit vermittelt und Sie werden aufgefordert, zu handeln, damit Ihr Konto geöffnet bleibt. Wenn Sie diese E-Mail öffnen, sehen Sie, dass sie allgemein statt persönlich an Sie adressiert ist und Sie auffordert, den beigefügten Link zu öffnen und persönliche Daten einzugeben.
Sobald Sie Ihre Daten eingeben, verfügt der Angreifer über all Ihre Informationen und kann sie auf anderen Websites verwenden – im Grunde entsteht dadurch ein Dominoeffekt.
Spear-Phishing-Betrug
Spear-Phishing richtet sich dagegen gegen eine bestimmte Person oder Organisation. Aufgrund der Art dieser Betrugsversuche muss der Angreifer über genauere Informationen verfügen, um den Angriff erfolgreich durchzuführen. In diesen Fällen imitiert der Angreifer jemanden innerhalb der Organisation, sodass die E-Mail „normal“ wirkt und der Empfänger sich mit seinen Zugangsdaten anmelden muss, um „Unternehmensdokumente“ anzuzeigen. Zu diesem Zeitpunkt verfügt der Angreifer über persönliche Zugangsdaten und kann sie für weitere Unternehmensdateien und -programme verwenden und seine Angriffe ausweiten.
Im Gegensatz zu E-Mail-Phishing, das hauptsächlich von Script-Kiddies durchgeführt wird, erfordern Spear-Phishing-Angriffe detailliertere Informationen über das Ziel und werden daher häufiger von professionelleren Hackern ausgeführt.
So schützen Sie sich
Um die Wahrscheinlichkeit zu verringern, Opfer solcher Angriffe zu werden, sollten Sie sich bei jeder verdächtigen E-Mail direkt an den Absender wenden und klären, ob er diese E-Mail tatsächlich verschickt hat. Alternativ können Sie die Website überprüfen, von der die E-Mail angeblich stammt, und feststellen, ob dort etwas ungewöhnlich ist.
Außerdem können Sie die E-Mail-Adresse untersuchen und prüfen, ob sie seriös aussieht, beispielsweise .com statt .con verwendet. Sie können auch mit dem Mauszeiger über Links oder Anhänge in der E-Mail fahren, um zu sehen, ob der Link seriös aussieht. Prüfen Sie zuletzt den Inhalt der E-Mail selbst. Wenn die E-Mail allgemein adressiert ist und nicht persönlich an Sie gerichtet wurde, obwohl dies in den meisten Fällen der Fall wäre, sollten Sie sie als Phishing-Angriff erkennen können.
Wenn Sie mindestens eine dieser Situationen feststellen, klicken Sie auf keinen Fall auf Links und öffnen Sie keine Anhänge. Stammt die E-Mail von einem System, das vertrauliche Informationen verarbeitet, etwa einer Zahlungsplattform, sollten Sie Links am besten niemals öffnen. Navigieren Sie stattdessen direkt zur Website und suchen Sie den entsprechenden Bereich manuell innerhalb der Plattform auf.
Senden Sie in verdächtigen Situationen so viele Informationen wie möglich an Ihre IT- bzw. Sicherheitsabteilung und markieren Sie die E-Mail als Spam. Auf diese Weise ermöglichen Sie Ihren Teams, sich der Situation bewusst zu werden und besser für die Zukunft zu planen.
Bug-Bounty-Programme
Bug Bounty-Programme sind genau das, wonach sie klingen: Viele Organisationen bieten solche Programme an, um Hacker dazu zu bewegen, Schwachstellen und Fehler zu melden, anstatt sie auszunutzen. Hacker, auch White Hats genannt, erhalten eine Vergütung, wenn sie Fehler melden. Der entscheidende Vorteil dieses Programms besteht darin, dass Websites und Organisationen durch das Auffinden von Fehlern ihr Produkt weiter verbessern können, bevor die Öffentlichkeit es zu sehen bekommt, und sich besser schützen können.
Idealerweise sollten diese Programme durchgeführt werden, bevor die Systeme in den Produktivbetrieb überführt werden und dadurch für Angriffe anfällig werden können. Auch wenn die Belohnung für die White Hats hoch ausfallen mag, ist sie zweifellos geringer als die Kosten, die für die Behebung eines Problems nach einem erfolgreichen Hackerangriff anfallen würden. In den meisten Fällen ist es kostengünstiger, Bug-Bounty-Programme einzusetzen, als auf einen Vorfall zu warten.
Bug-Bounty-Programme sind ein Bereich der Sicherheitsprotokolle, die implementiert werden können, sollten aber nicht die einzigen Maßnahmen bleiben. Jetzt ist es an der Zeit zu verstehen, was Ihr Unternehmen bereits umgesetzt hat und ob das ausreicht.
Was ist einzigartig an Ihrem Unternehmen?
Der beste Weg, Sicherheitsverletzungen zu vermeiden, besteht darin, sicherzustellen, dass Ihr System auf Ihr Unternehmen zugeschnitten ist und nicht einfach nachahmt, was andere Firmen in Ihrer Branche tun. Sobald ein Hacker weiß, wie Ihre Wettbewerber vorgehen, ist es für ihn einfacher – und wahrscheinlicher –, Ihr System zu hacken. Sie sollten daher individuelle Verfahren implementieren. Dafür gibt es zwei Möglichkeiten:
- Indem Unternehmen Signaturen erstellen, die auf bestimmte Malware abzielen, befinden sie sich ständig in der Rolle des Verfolgers, weil sie sich immer auf diese Malware-Version und nicht auf die nächste konzentrieren. Sie erkennen fortlaufend Dinge, die andere bereits getroffen haben – nicht jedoch, wenn Sie selbst das erste Opfer sind.
- Indem Sie Regeln für den Normalzustand Ihrer Organisation festlegen, implementieren Sie Warnmeldungen, die immer dann versendet werden, wenn etwas vom Standard abweicht. So können Sie mögliche Hacker, die versuchen, in das System einzudringen, stets im Blick behalten.
Beim Aufbau Ihres Sicherheitsprogramms sollten Sie berücksichtigen, wie ein Hacker Ihre Mitarbeiter und Ihre Organisation angreifen könnte. Sie sollten bewusst anders vorgehen, damit das System nur sehr schwer zu hacken ist. Außerdem sollten Sie eine angemessene Netzwerksegmentierung und eine gründliche Prüfung der Inhalte – sowohl zu als auch von den Benutzern – vorsehen sowie eine Analyse einsetzen, die das Benutzerverhalten erkennt.
Nun ist es wichtig zu erwähnen, dass es möglicherweise nie einen vollständigen Schutz und keine perfekte Lösung geben wird. Sie sollten jedoch das Bestmögliche für Ihre Organisation tun. Noch wichtiger ist, dass Sie stets besser sein wollen als Ihre Nachbarn – zumindest sind Sie dann sicherer und besser geschützt als noch am Vortag.
Wo steht Ihr Unternehmen?
Laut Sicherheitsexperten gibt es letztlich zwei Arten von Unternehmen: solche, die nicht wissen, dass sie angegriffen wurden, und solche, die es wissen.
Indem Sie Regeln und Warnmeldungen in Ihrem System implementieren, die den Normalzustand abbilden, werden Sie stets über verdächtige Aktivitäten informiert und können sie abfangen, bevor sie spätere, gefährlichere Stadien erreichen.
Wenn Sie den Normalzustand in Ihrem Unternehmen verstehen, können Sie Regeln erstellen. Sobald etwas vom Standard abweicht, wird eine Warnmeldung angezeigt.
Über den Autor:
Yuval Khalifa, Cyber Solutions Architect, Coralogix.