Was die aktuellen Cyber-Risiken sind und was es für Möglichkeiten gibt, erklärte unser Cloud Security Engineer, Patrice Steiner, den Teilnehmenden am Event „Cyber-Security für KMU“ des Institut für Jungunternehmen AG (IFJ). Ein kleiner Einblick in die wichtigsten Punkte des vergangenen Events:
- Cyber Risk – Ein Lagebild
- Einblick in die häufigsten Cyber-Angriff-Szenarien
- Mitigation: Mittel zur Minimierung der Risiken
Cyber Risk – Ein Lagebild
Die Lage hat sich seit Beginn der Covid-19-Zeit rapide verschlechtert. Gemäss Zahlen von MELANI, dem Melde- und Analysestelle Informationssicherung des Bundes, stiegen die gemeldeten Vorfälle im Vergleich zum Januar um bis zu 300 % an.
In den vergangenen Monaten haben zudem diverse grosse Angriffe die Schlagzeilen in der Presse geprägt. «Cyberangriff legt Zürcher Firma lahm», «Zürcher IT-Firma von Hackerangriff betroffen – Attacke weitet sich aus» sind sehr beunruhigende Nachrichten, wobei es auch Vorfälle mit Hoffnung gab «Wie ein Schweizer KMU ohne Lösegeld, dafür mit Militärtaktik einen Hackerangriff überlebt hat». Es zeigt, dass Cyber-Security noch nicht jede Unternehmenskultur prägt.
Die häufigste Cyber-Angriff-Szenarien
«Hacker verschaffen sich meist unbemerkt in Detailarbeit über Tage oder Wochen Know-how, um dann gezielt und umfangreich zuzuschlagen. Sind sie nur an Daten interessiert, bleiben sie manchmal jahrelang unentdeckt.» – Patrice Steiner, Cloud Security Engineer.
Gemäss einer US-Studie ereignet sich alle 39 Sekunden ein Hacker-Angriff. Dies gibt dem Ausmass des konstanten Angriffes auf Geräte mit einer aktiven Internetverbindung eine gewisse Vorstellungskraft. 43 % der Cyber-Attacken betrifft dabei kleine Unternehmen. Diese Zahl bestätigt, dass sich auch Kleinunternehmen der Realität annehmen und die Cyber-Security keineswegs belächeln sollten.
Besonders oft Opfer einer Attacke sind Gesundheitsorganisationen. Spannend aber umso erschreckender ist, dass gemäss Insidern in den letzten drei Jahren bereits mehr als 90 % der Gesundheitsorganisation Opfer eines «Data breaches» (dt. Datenleck) waren. Hacker nehmen also Gesundheitsdaten besonders gerne ins Visier.
Bei diesen signifikanten Zahlen stellt sich die Frage, wie es denn immer wieder zu solchen schwerwiegenden Vorfällen kommen kann. Es ist ganz einfach und schnell gesagt – menschliches Versagen. Die Zahl der Vorfälle durch menschliches Versagen liegt bei 95 %. Es soll hierbei gesagt sein, dass dies nur sehr selten IT-Abteilungen sind, denn diese sind und sollten durch Ihre Tätigkeiten unbedingt sensibilisiert und geschult sein. Eine Sensibilisierung für alle Mitarbeitenden ist extrem wichtig und ganz klar Chefsache.
Phishing-Attacken als häufigster Angriff
Phishing-Mails sehen zumeist harmlos aus, der Absender ist nicht wirklich der, für den sich die Hacker ausgeben. Dabei können diese Mails täuschend echt aussehen und sind heutzutage extrem schwierig zu entdecken. Die standardmässigen Mail-Filter sind zumeist gar kein richtiges Hindernis mehr. Ist die Mail einmal im Posteingang angelangt, muss der infizierte Link vom Opfer angeklickt werden. Sobald der infizierte Link angeklickt wurden, ist die Türe offen. Diese Hintertüre eröffnet den Hackern Zugang zu weiteren Türen im betroffenen Unternehmen. Der Spaziergang geht dann soweit, bis das Ziel für den Angreifer erreicht ist und die Daten gestohlen werden.
Ein aktueller Bericht, wie schnell das gehen kann, finden Sie hier.
Cyber-Security Sensibilisierung – ein Thema für jedes Unternehmen
Das Thema hat Ende August in der Schweiz wieder ein neues Ausmass angenommen. Die Schweizer Versicherungsgesellschaft Helsana lockt die Angestellte ab sofort in die Phishing-Testfalle und setzt damit neue Massstäbe. Wer dreimal falsch klickt, landet beim Krankenversicherer vor der Tür. Eine erfolgreiche Massnahme wie es scheint. Die Quote von geöffneten und weiterverarbeiteten Phishing-Mails konnte innerhalb von fünf Monaten von fast 15 % auf unter 3 % gesenkt werden. Also eine krasse aber scheinbare durchaus effektive Möglichkeit, die Mitarbeitenden zu sensibilisieren (zum Beitrag).
Wer die Verantwortung über die Informationssicherheit hat, ist klar: Cyber-Security ist Chefsache! Menschliches Versage ist fast ausschliesslich der Grund, wieso es zu erfolgreichen Cyber-Attacken kommt. Doch sollte diese Vorbeugung und Sensibilisierung vom Management gelenkt werden, sie sollten eine Vorbildsposition einnehmen und es den Mitarbeitenden vormachen. Informationssicherheit muss gelebt werden.
Darknet
Jede Person hat wohl schon einmal vom Darknet gehört, dem Ausmass wirklich bewusst, sind sich wohl die wenigsten Nutzer. Denn das Darknet macht geschätzt rund 96 % der Webinhalte aus. Im Darknet kann so gut wie alles gegen Bezahlung erworben werden. Gehackte Social-Media-Profile und Whatsapp-Konten, sind dabei aber noch harmlos. So gibt es auch die Möglichkeit personalisierte Ramsomware zu kaufen. Gegen Bezahlung gibt’s hier alles.
Mitigation: Mittel zur Minimierung der Risiken
Mittel zur Minimierung der Risiken gibt es auf formeller und auf technischer Ebene. Ein kleiner Überblick:
| Formelle Ebene | Technische Ebene |
| – NIST-Framework – ISO 27001 – Informationssicherheit – Cyber-Versicherung – Security Assessment – Awareness-Trainigs (regelmässig) |
– Endpoint Protection – SOC or SOCaaS / Secaas – Enterprise Lösungen wie Network Monitoring / Anomalien Erkennung usw. – Hersteller-Lösungen (Microsoft, Firewall-Hersteller, AntiVirus usw.) – Patchmanagement für die zeitnahe Behebung der technischen Lücken – Backup / Business Continuity Management / regelmässige Recovery’s der Backups – Penetration-Tests – Cloud basierte Lösungen verwenden |
Nebst der Sensibilisierung der Mitarbeitenden, können wir Ihnen auf technischer Ebene die perfekte Lösung bieten. Mit unserem Enterprise Cyber Defense Angebot überwachen Sie Ihren Netzwerktraffic in Echtzeit und können dank Künstlicher Intelligenz sofort und automatisiert reagieren. Erfahren Sie mehr über unser Produkt oder kontaktieren Sie uns gleich direkt für eine persönliche und unverbindliche Beratung. Gerne werden wir mit Ihnen auch ein Security Assessement gemäss unserem Cyber-Security-Framework durchführen.
Patrice Steiner, Cloud Security Engineer, während dem Referat.
(von links) Markus Walt (Amt für Wirtschaft), Albert Manser (Kantonaler Gewerbeverband), Patrice Steiner und Pascal Hollenstein (Institut für Jungunternehmen)
Medienmitteilungen:
