Informationssicherheit: „Der Verlust wichtiger Daten kann den Ruin bedeuten“

Welche Gefahren sind derzeit akut: Gibt es aktuelle Zahlen, die die Bedrohung verdeutlichen?

Dominik Neugebauer: Großunternehmen genießen in der Regel einen guten Schutz. Sie haben ein eigenständiges Budget für IT-Sicherheit und eine eigene IT-Abteilung. Bei kleinen und mittelständischen Unternehmen sieht das anders aus – und genau dort lauern die meisten IT-Sicherheitsgefahren. Ein großer Angriffsvektor ist und bleibt ein ungeschulter Mitarbeiter.

Der Erpressertrojaner „GandCrab“ wird beispielsweise gezielt bei Bewerbungsunterlagen eingesetzt. Die Personalerin oder der Personaler öffnet dabei oft ungewollt das Schadprogramm, welches nach Ausführung den kompletten Computer verschlüsselt. Das Resultat: Unbrauchbare Dateien und eine Lösegeldforderung zur Entschlüsselung – die natürlich niemals bezahlt werden sollte.

Wie helfen Statistiken und Analysen bei der Beurteilung von Bedrohungsszenarien?

Dominik Neugebauer: Wir als IT-Sicherheits-Unternehmen sehen uns täglich mit rund 700.000 Schadsoftware-Samples konfrontiert. Darin enthalten sind zum einen bereits bekannte Schadprogramme, aber natürlich auch noch unbekannte. Letztere gilt es in einer Sandbox genauer zu analysieren. Das heißt, dass der Schädling auf einem isolierten Computer ausgeführt und auf seine Verhaltensweisen hin beobachtet wird. Daraufhin wird für das Schadprogramm eine Signatur erstellt, sodass zukünftige Angriffe abgewehrt werden können.

Auf Basis dieser Analysen entwickelt die G DATA Software AG passende Sicherheitslösungen. Welcher Mehrwert entsteht aus der Kooperation mit TÜV Hessen?

Dominik Neugebauer: TÜV Hessen ist ein renommierter Partner, mit dem wir gemeinsam auf Augenhöhe kooperieren. Genauso wie G DATA hat TÜV Hessen erkannt, dass das Thema IT-Sicherheit und Datenschutz nach der EU-DSGVO einen wichtigen Platz in unserer Gesellschafft einnehmen muss. Die Schulung der Mitarbeiter sowie die Prozesse im IT-Security-Notfall sind hierbei ein besonderes Anliegen. Durch die gleiche strategische Ausrichtung in puncto Cybersicherheit herrscht ein gemeinsames Grundverständnis, das die Arbeit positiv befruchtet.

Viele Organisationen sehen zunächst im Bereich der Cyber Security nur Kosten für Investitionen. Aber wie teuer ist eine Cyber-Attacke?

Dominik Neugebauer: Gerät ein Unternehmen durch eine Cyberattacke erfolgreich unter Beschuss, so entsteht ein hoher finanzieller Schaden. Je nach Schwere des Angriffs und je nachdem, ob das gesamte Unternehmen oder nur Teile des Firmennetzwerks davon betroffen sind, verursacht der Cyberangriff einen Schaden von 4.800 Euro pro Minute. Und ein solcher Angriff ist gar nicht so unwahrscheinlich. Laut einer eigens durchgeführten Studie bei KMU war jedes dritte Unternehmen bereits ein- oder mehrmals Opfer von Erpressertrojanern.

Wie schützen sich Unternehmen derzeit und worauf müssen sich Organisationen vorbereiten?

Dominik Neugebauer: Die fortschreitende Digitalisierung des Betriebsalltags hat zu einer deutlichen Optimierung der Prozesse geführt. Von dieser Entwicklung haben die Unternehmen wie auch Kunden gleichermaßen profitiert. IT-Verantwortliche stellt diese Entwicklung aber auch vor wachsende Herausforderungen. Denn das Thema IT-Sicherheit muss umfassend angegangen und ein ganzheitlicher Ansatz verfolgt werden. Deshalb sind bedarfsgerechte Sicherheitskonzepte gefragt. Jedes Unternehmen muss seine individuellen Risiken einschätzen und ein passgenaues IT-Sicherheitskonzept aufstellen. Ein zuverlässiger und umfassender Schutz vor Cyberangriffen ist unverzichtbar, um alle betrieblichen Abläufe wirkungsvoll zu schützen, sowie den Diebstahl sensibler Daten zu verhindern.

Welche Herausforderungen warten auf Unternehmen im Zeitalter der Industry of Things und des Mobile Working?

Dominik Neugebauer: Mit „Bring Your Own Device“, kurz BYOD, wollen viele Unternehmen einem Trend folgen, der nicht zu unterschätzende Hürden hat. Heterogene Netzwerkstrukturen sind für jeden Administrator eine große Herausforderung. Laptops, Tablets und Smartphones mit unterschiedlichen Betriebssystemen sind dabei in den Betriebsalltag zu integrieren. Gerade in kleinen und mittleren Unternehmen fehlt es hier oft am nötigen Know-how und Ressourcen, um die eigene Infrastruktur ganzheitlich abzusichern. Eine Alternative zu BYOD ist „Choose Your Own Device“ (CYOD), also wörtlich „Wähle dein eigenes mobiles Gerät aus“. Hier entscheiden IT-Administratoren und -Verantwortliche, welches vordefinierte Spektrum an smarten Geräten das Unternehmen für ihre Mitarbeiter bereitstellt. Der größte Vorteil in puncto IT-Sicherheit sind die vom IT-Administrator vorkonfigurierten Geräte sowie die rechtliche Gewissheit via Zusatzvereinbarung, dass die Mitarbeiter das Smart Device ausschließlich für geschäftliche Zwecke nutzen dürfen.

Häufig ist auch das fehlende Bewusstsein für Cyber-Bedrohungen ein Problem. Wie können sich Mitarbeiter schützen – und wie können Unternehmen für zusätzliche Sicherheit sorgen?

Dominik Neugebauer: Hierzu drei Tipps. Erstens: Ein IT-Notfallplan und eine -Notfallnummer. Es sollte eine Abfolge von Notfallmaßnahmen geben, die jeder Mitarbeiter in einer Ausnahmesituation durchzuführen hat. Der Notfallplan sollte frei zugänglich in der Teeküche zur Verfügung stehen. Gleiches gilt für die Notfallnummer, bei der IT-Systemadministratoren im Bedarf 24/7 erreichbar sind. Zweitens: Mitarbeiter schulen. E-Mails mit schadhaftem Anhang oder Social-Engineering-Versuche lassen sich durch geschulte Mitarbeiter entschärfen. Und schließlich drittens: Ein ganzheitliches IT-Security-Konzept. IT-Sicherheit bedarf immer einer individuellen, auf das jeweilige Unternehmen abgestimmten Lösung. Es gilt das Netzwerk mit IT-Sicherheitslösungen sowie Managementkonsolen für IT-Administratoren zu härten. Doch Vorsicht: IT-Sicherheit ist niemals ein abgeschlossener, sondern ein fortlaufender Prozess.