Schluss mit den Viren

Jedes zweite Unternehmen ist in den vergangenen beiden Jahren Opfer von digitaler Wirtschaftsspionage, Sabotage oder Datendiebstahl geworden. "Nach konservativen Berechnungen des IT-Verbandes Bitkom beläuft sich der Schaden für die deutsche Wirtschaft auf rund 51 Milliarden Euro pro Jahr", sagt Alexander Hoppe, IT-Sicherheitsexperte bei der Unternehmensberatung A`PARI Consulting. Mittelständische Unternehmen seien am stärksten von Spionage- oder Sabotageakten betroffen. Dabei sei Lager und Logistik nach der IT-Abteilung der am zweithäufigsten angegriffene Bereich im Unternehmen. Zudem wächst die Gefahr rasant. Täglich kommen fast 400.000 neue Schadcodes wie Viren oder Trojaner hinzu. Laut dem AV-Test Institut summiert sich bis Ende 2016 die Zahl solcher fiesen Programme alleine für Computer mit dem Betriebssystem Windows auf über 600 Millionen. Etwas glimpflicher kommen Android-Geräte weg, für sie gibt es bislang etwa 20 Millionen Schadprogramme. Deutlich glücklicher dran sind Apple-Nutzer. Sie mussten 2016 nur gegen rund 1000 verschiedene Schädlinge kämpfen. Das AV-TEST Institut, Anbieter von Services im Bereich IT-Sicherheit und Antiviren-Forschung, veröffentlicht laufend aktualisierte Tests von Antivirensoftware (www.av-test.org). Die Viren-Experten mahnen Apple-Nutzer zur Vorsicht. Die nackten Zahlen zur Malware sagten noch nichts über deren Gefährlichkeit. Bei der Bedrohungslage verwundert es, dass sich vor allem kleine und mittlere Unternehmen (KMU) nur sehr begrenzt schützen. In einer Umfrage des Anti-Viren-Spezialisten Symantec haben nur 60 Prozent der befragten 900 Unternehmen angegeben, dass sie eine Full-Security-Suite (Virenscanner und Firewall) auf allen Rechnern installiert haben. Sicherheitsvorkehrungen für ihre E-Mail-Server habt demnach nur gut die Hälfte der KMU getroffen. Andere Sicherheitssysteme kommen noch seltener zum Einsatz. Vier Prozent glauben gar, dass sie keine Probleme mit Malware haben und daher keine Maßnahmen zur IT-Sicherheit ergreifen müssen. "Nur weil ich etwas habe, heißt das aber noch nicht, dass es mich auch schützt", mahnt Sicherheitsexperte Hoppe. Mit der Installation der Software sei es nicht getan. Der Berater unterscheidet zwischen zwei Maßnahmengruppen für mehr IT-Sicherheit. Das sind auf der einen Seite physische Sicherheitseinrichtungen am Gebäude wie Brandschutz, Blitzschutz, Einbruchschutz, Diebstahlschutz oder eine entsprechende Klimatisierung der Räume. Auf der anderen Seite stehen die eigentlichen IT-Maßnahmen. Den Anfang macht hier die Absicherung des Endgeräts - egal ob mobil oder PC. Basics sind ein Virenschutz und das Patch-Management. Will heißen, sicherzustellen, dass die Updates der installierten Programme und des Betriebssystems auch durchgeführt werden. Zudem sollte nicht genutzte Software von den Geräten deinstalliert werden, nach dem Motto: Was nicht da ist, macht auch keine Probleme. Die Nutzer der Geräte bekommen nur die Nutzungsreche, die sie für ihren Job brauchen und die wenigsten brauchen die Administrator- oder Admin-Rechte. Als Zweites gilt es, die eigenen Web-Angebote - und sei es auch nur die für interne Zwecke (Intranet) - richtig zu sichern. Veraltete Web-Server und eine fehlende HTTPS-Verschlüsselung sind gute Einfallstore für Cyberkriminelle, die eingegebene Passwörter ungehindert mitlesen. "Privat gibt schließlich auch niemand Daten auf einer unverschlüsselten Seite ein", so A´PARI-Mann Hoppe. In diesem Zusammenhang muss auch der E-Mail-Server gesichert werden. Wichtig ist eine verschlüsselte Kommunikation zwischen dem Mail-Client auf den Endgeräten, also Smartphone, Tablet und PC, und dem Mail-Server. Gleiches gilt nach Möglichkeit für die Kommunikationskanäle nach außen zu den Geschäftspartnern. "Das ist manchmal nicht machbar, wenn man noch mit Kunden arbeitet, die sehr veraltete Technik haben", weiß Hoppe. Bei modernen Mailsystemen lasse sich die durchgehend verschlüsselte Kommunikation erzwingen. Nur ein abgesicherter Mail-Server reicht aber nicht aus. Die Mitarbeiter müssen in der Nutzung von E-Mail geschult werden, ihnen muss klar sein, was passieren kann, wenn sie eine Zip-Datei unbekannter Herkunft öffnen. Ist ein Zugriff von außen auf das eigene Netzwerk möglich, zum Beispiel über eine VPN-Verbindung (virtuelles privates Netzwerk oder im IT-Englisch: Virtual Private Network), dann muss sichergestellt sein, dass nur wirklich berechtigte Personen den Remote-Zugang nutzen können und diesen auch nicht an Dritte weitergeben können. Damit einher geht die sichere Anbindung des lokalen Netzes (Intranet) an das Internet. Dafür braucht es eine vernünftig eingestellte Firewall. "Meist sind Firewalls so konfiguriert, dass sie ausgehende Verbindungen nicht berücksichtigen und alleine die eingehenden checken", so Hoppe. Aber es sei auch wichtig, zu sehen, welche Daten aus dem Unternehmen herausfließen. Wenn Mitarbeiter im Rahmen ihrer Arbeit Webangebote Dritter nutzen, müssen sie dafür sensibilisiert sein, nur dort Daten einzugeben, wo sie ein gutes Gefühl haben. Gleiches gilt für das Anklicken von Links oder das Hochladen von Daten. Das lässt sich nicht technisch, sondern über Mitarbeiterschulungen lösen. Unternehmen, die Server selbst betreiben, müssen diese ähnlich absichern wie die PC. Zudem gilt es hier, das Betriebssystem im Blick zu behalten. Wird dieses vom Anbieter nicht mehr unterstützt, ist zu einem Systemwechsel mit gegebenenfalls neuen Servern zu raten. Nicht nur E-Mails laufen heute über das Internet - auch beim Telefonieren gelangen die in digitale Signale umwandelten Worte via Web zum Zuhörer - Voice over IP nennt sich das. Die Telekom schaltet nach und nach alle alten ISDN-Anschlüsse ab und migriert diese auf die Internettechnologie. Wie für alle Daten, die über das Internet übertragen werden, ist auch hier die Verschlüsselungsfrage zu klären. Zu Hause kann kein Vorbild sein Ein großes Thema ist das WLAN. Wegen der hohen Anzahl an mobilen Geräten ermöglichen Unternehmen ihren Mitarbeitern zunehmend neben dem kabelgebundenen Netzwerkzugang den Zugriff über das Funknetz von überall im Firmengebäude. Im Idealfall ist das WLAN vom restlichen Netz getrennt, sodass kein direkter Zugriff auf die anderen Systeme möglich ist. Dazu kann eine Firewall genutzt werden. Der heimische Weg - ein WLAN-Passwort für die ganze Familie, ist für Unternehmen kein gangbarer Weg. Im Unternehmen sollten sich die Mitarbeiter mit einem Zertifikat an einem Server anmelden müssen, der dann den Zugriff auf das drahtlose Netz und die dahinter liegenden Systeme frei gibt. Für ein Plus an IT-Sicherheit braucht es neben technischer und organisatorischer Maßnahmen auch entsprechend sensibilisierte und geschulte Mitarbeiter (siehe Kasten Seite 28). Denn die sind es, die der Wirtschaft dann helfen können, 51 Milliarden Euro im Jahr einzusparen. Mehr zum Thema finden Sie im Dossier "Sicherheit" www.verkehrsrundschau.de/dossiers Faktor Mensch Die Mitarbeiter sicher machen Technik alleine nützt nichts. Die Mitarbeiter müssen für das Thema IT-Sicherheit sensibilisiert werden. Das kann in ein paar einfachen Schritten erfolgen.Aufmerksamkeit erregen-> Ist-Zustand testen-> Akzeptanz schaffen-> Kick OffInhalte vermitteln-> Schulungen-> Expertenvorträge-> DialogeStetiges Training-> Intranet-> Newsletter-> BroschürenErfolge messen-> Audits-> Social Engineering-> BürobegehungErziehung muss sein: Wer bei einer Bürobegehung dadurch auffällt, dass er sich nicht von seinem PC abgemeldet hat, obwohl er nicht am Platz ist, oder dessen Firmenhandy unbeaufsichtigt auf dem Schreibtisch herumliegt, bekommt einen Smiley mit traurigen Gesicht auf die Geräte geklebt. svQuelle: A´PARI Consulting