von Redaktion IT-A…
Lesezeit
3 Minuten
Netzwerksicherheit und der Faktor Mensch
Im stressigen Arbeitsalltag haben Mitarbeiter oft nur wenig Zeit, sich um Sicherheitsfragen zu kümmern. Gleichzeitig finden Cyberkriminelle immer neue Methoden, um an ihre Zugangsdaten zu gelangen. Der Artikel erklärt, warum IT-Administratoren deswegen gut daran tun, das Nutzerverhalten in ihre Überlegungen einzubeziehen. Zum Glück gibt es einige Maßnahmen, mit denen Admins den Nutzer schützen können, ohne dabei den Aufwand merklich zu erhöhen.
Ein Berufstätiger in Deutschland erhält im Durchschnitt täglich 21 dienstliche E-Mails. Wenn man davon ausgeht, dass es drei Minuten dauert, eine E-Mail zu beantworten, ist er damit im Durchschnitt mehr als eine Stunde pro Tag beschäftigt. E-Mails sind Zeitfresser, und es ist nur allzu verständlich, dass Mitarbeiter und Mitarbeiterinnen sie möglichst schnell und effizient abarbeiten möchten. Aber was ist, wenn die nächste E-Mail nicht von einem Mitarbeiter oder Geschäftspartner stammt, sondern von einem Betrüger? Was auf den ersten Blick wie die freundliche Anfrage eines Kollegen aussieht, könnte den Empfänger zum Beispiel auf eine Webseite locken, die dem firmeninternen Original zum Verwechseln ähnlich sieht. Schnell passiert es dann, dass ein Mitarbeiter seine Zugangsdaten eingibt und dadurch an Kriminelle verrät.
Netzwerk gegen Fehlverhalten wappnen
Hier von Leichtsinn oder Schuld zu sprechen hilft nicht weiter. Im Gegenteil führen Vorwürfe im Zweifelsfall nur dazu, dass der Betroffene einen Phishing-Versuch, auf den er gerade hereingefallen ist, aus Scham und Angst nicht meldet, wodurch der entstandene Schaden noch größer wird. Vielmehr liegt es an IT-Administratoren, ihr Netzwerk so aufzusetzen, dass seine Sicherheit nicht dadurch gefährdet ist, dass ein Mitarbeiter einmal versehentlich auf eine Betrugswebseite gelangt. Dazu sind elegante Sicherheitslösungen nötig, die es Nutzern leicht machen, ihre Daten und das Netzwerk zu schützen, ohne unnötig Aufmerksamkeit oder Arbeitszeit zu rauben.
In vielen Betrieben müssen sich Mitarbeiter mit umständlichen Schutzvorkehrungen herumschlagen, die sie im Alltag behindern. Sie fordern Geduld, lenken von der eigentlichen Arbeit ab und sind so kompliziert und intransparent gestaltet, dass es Mitarbeitern schwerfällt zu verstehen, wie sie sich verhalten müssen, um die Sicherheit des Firmennetzwerks zu gewährleisten.
Neue Gefahren durch Spear-Phishing
Zudem ist die Bedrohungslage komplex. Die Gefahren im Internet sind zu abstrakt, als dass sie jeder Nutzer auf Anhieb erkennen würde. Die Methoden, mit denen Cyberkriminelle Unternehmensdaten erbeuten wollen, entwickeln sich permanent weiter. In dem Maße, in dem es Unternehmen und Sicherheitsteams gelingt, sich auf ihre Tricks und Kniffe einzustellen, passen Cyberkriminelle ihre Strategien an und finden neue Wege, an die Daten ihrer Opfer zu gelangen. Gerade das derzeit weitverbreitete Spear-Phishing, bei dem Cyberkriminelle ihre Nachrichten geschickt auf individuelle Opfer zuschneiden, sind für Sicherheitsteams eine Herausforderung, weil Spam-Filter sie nicht immer identifizieren und die Empfänger oft genug darauf hereinfallen.
Eine Phishing-Nachricht zu personalisieren, dauert oft nur wenige Minuten, erhöht die Wirksamkeit eines Betrugsversuchs aber signifikant. Die Informationen, die dazu nötig sind, sind meist leicht zu recherchieren – auf Firmenwebseiten, Branchenportalen, in sozialen Netzwerken. Selbst technisch versierte Nutzer tun sich oft schwer, überzeugend gestaltete Spear-Phishing-E-Mails zu durchschauen.
KI und Algorithmen helfen bei der Gefahrenabwehr
Hoffnung Sicherheitsschlüssel
Große Hoffnungen setzen Sicherheitsexperten in den Einsatz von Sicherheitsschlüsseln. Hierbei ist zur Anmeldung im Netzwerk neben dem Passwort auch ein physischer Schlüssel nötig. Das kann ein USB-Stick, ein Bluetooth- oder ein NFC-Sender sein. Im Grunde handelt es sich um eine besondere Art der Zwei-Faktor-Authentifizierung, bei der die zweite Komponente aus einem physischen Endgerät besteht. Einen lizenzfreien, offenen Standard für solche Schlüssel gibt es seit 2014. Er heißt "U2F" oder "Universal Second Factor". Entwickelt wurde er von der 2012 gegründeten FIDO-Allianz (FIDO ist eine Abkürzung und steht für "Fast Identity Online"). Google, Microsoft und viele weitere IT-Unternehmen und Zahlungsdienstleister gehören der Organisation an, die es sich zum Ziel gesetzt hat, neue Sicherheitsstandards in der Informationstechnologie zu etablieren. U2F ist eines der bisher wichtigsten Ergebnisse ihrer Arbeit.
Unternehmen, die Sicherheitsschlüssel eingeführt haben, erzielen damit spektakuläre Erfolge. Vor allem die Anzahl der Phishing-Fälle ist dadurch radikal gesunken, denn durch den Einsatz solcher Schlüssel verändert sich das Bedrohungsszenario grundlegend. Ein Passwort können Cyberkriminelle theoretisch von überall auf der Welt knacken und nutzen, was es auch schwierig macht, sie zu schnappen und strafrechtlich zu belangen. Einen physischen Sicherheitsschlüssel müssen sie hingegen direkt aus der Hosentasche ihres Opfers stehlen. Wollen die Diebe damit ins Netzwerk eindringen, müssen sie dann aber auch das Passwort kennen. Der Zugang ist also doppelt geschützt. Die Anschaffungskosten sind dabei für Unternehmen durchaus vertretbar. Dank der Standardisierung kosten Sicherheitsschlüssel oft nur einige Euro.
Fazit
Es ist wichtig, bei Sicherheitsmaßnahmen darauf zu achten, dass sie verständlich und leicht anwendbar sind. Nur dann haben Neuerungen eine Chance, sich durchzusetzen, wenn sie Sicherheit und Nutzerfreundlichkeit miteinander in Einklang bringen. Bei Sicherheitsschlüsseln ist diese Balance gegeben. Sie sind einfach zu benutzen, zu ersetzen und aufzubewahren. Um sicherzugehen, dass sie sie nicht verlieren, brauchen Mitarbeiter sie nur an den Schlüsselbund zu hängen.
ln/Jan-Philipp Weber, Leitender Entwicklungsingenieur für Datenschutz und -sicherheit bei Google.
Netzwerk gegen Fehlverhalten wappnen
Hier von Leichtsinn oder Schuld zu sprechen hilft nicht weiter. Im Gegenteil führen Vorwürfe im Zweifelsfall nur dazu, dass der Betroffene einen Phishing-Versuch, auf den er gerade hereingefallen ist, aus Scham und Angst nicht meldet, wodurch der entstandene Schaden noch größer wird. Vielmehr liegt es an IT-Administratoren, ihr Netzwerk so aufzusetzen, dass seine Sicherheit nicht dadurch gefährdet ist, dass ein Mitarbeiter einmal versehentlich auf eine Betrugswebseite gelangt. Dazu sind elegante Sicherheitslösungen nötig, die es Nutzern leicht machen, ihre Daten und das Netzwerk zu schützen, ohne unnötig Aufmerksamkeit oder Arbeitszeit zu rauben.
In vielen Betrieben müssen sich Mitarbeiter mit umständlichen Schutzvorkehrungen herumschlagen, die sie im Alltag behindern. Sie fordern Geduld, lenken von der eigentlichen Arbeit ab und sind so kompliziert und intransparent gestaltet, dass es Mitarbeitern schwerfällt zu verstehen, wie sie sich verhalten müssen, um die Sicherheit des Firmennetzwerks zu gewährleisten.
Neue Gefahren durch Spear-Phishing
Zudem ist die Bedrohungslage komplex. Die Gefahren im Internet sind zu abstrakt, als dass sie jeder Nutzer auf Anhieb erkennen würde. Die Methoden, mit denen Cyberkriminelle Unternehmensdaten erbeuten wollen, entwickeln sich permanent weiter. In dem Maße, in dem es Unternehmen und Sicherheitsteams gelingt, sich auf ihre Tricks und Kniffe einzustellen, passen Cyberkriminelle ihre Strategien an und finden neue Wege, an die Daten ihrer Opfer zu gelangen. Gerade das derzeit weitverbreitete Spear-Phishing, bei dem Cyberkriminelle ihre Nachrichten geschickt auf individuelle Opfer zuschneiden, sind für Sicherheitsteams eine Herausforderung, weil Spam-Filter sie nicht immer identifizieren und die Empfänger oft genug darauf hereinfallen.
Eine Phishing-Nachricht zu personalisieren, dauert oft nur wenige Minuten, erhöht die Wirksamkeit eines Betrugsversuchs aber signifikant. Die Informationen, die dazu nötig sind, sind meist leicht zu recherchieren – auf Firmenwebseiten, Branchenportalen, in sozialen Netzwerken. Selbst technisch versierte Nutzer tun sich oft schwer, überzeugend gestaltete Spear-Phishing-E-Mails zu durchschauen.
KI und Algorithmen helfen bei der Gefahrenabwehr
Zum Glück gibt es eine ganze Reihe von Technologien, die IT-Administratoren einsetzen können, um Netzwerk und Mitarbeiter zu schützen. So verfügen viele Systeme heute über Analysewerkzeuge, mit denen auffällige Aktivitäten wie ein ungewöhnlich hohes E-Mail-Aufkommen oder unerwartete Datenbewegungen identifiziert werden können. Selbstlernende Algorithmen, die auf künstlichen neuronalen Netzwerken beruhen, können Sicherheitsteams bei der Überwachung des Netzwerks unterstützen.
Bei Spam-E-Mails hat der Einsatz künstlicher Intelligenz dazu geführt, dass ein Großteil der verschickten Spam-Nachrichten nie in den Posteingängen der Nutzer landet. Doch auch technisch einfache Lösungen können eine große Wirkung entfalten. Um schnelle Abhilfe bei verdächtigen E-Mails zu schaffen, können Firmen zum Beispiel eine E-Mail-Adresse anlegen, an die Mitarbeiter Nachrichten weiterleiten können, damit sie schnell von internen Sicherheitsexperten geprüft werden.
Hoffnung Sicherheitsschlüssel
Große Hoffnungen setzen Sicherheitsexperten in den Einsatz von Sicherheitsschlüsseln. Hierbei ist zur Anmeldung im Netzwerk neben dem Passwort auch ein physischer Schlüssel nötig. Das kann ein USB-Stick, ein Bluetooth- oder ein NFC-Sender sein. Im Grunde handelt es sich um eine besondere Art der Zwei-Faktor-Authentifizierung, bei der die zweite Komponente aus einem physischen Endgerät besteht. Einen lizenzfreien, offenen Standard für solche Schlüssel gibt es seit 2014. Er heißt "U2F" oder "Universal Second Factor". Entwickelt wurde er von der 2012 gegründeten FIDO-Allianz (FIDO ist eine Abkürzung und steht für "Fast Identity Online"). Google, Microsoft und viele weitere IT-Unternehmen und Zahlungsdienstleister gehören der Organisation an, die es sich zum Ziel gesetzt hat, neue Sicherheitsstandards in der Informationstechnologie zu etablieren. U2F ist eines der bisher wichtigsten Ergebnisse ihrer Arbeit.
Unternehmen, die Sicherheitsschlüssel eingeführt haben, erzielen damit spektakuläre Erfolge. Vor allem die Anzahl der Phishing-Fälle ist dadurch radikal gesunken, denn durch den Einsatz solcher Schlüssel verändert sich das Bedrohungsszenario grundlegend. Ein Passwort können Cyberkriminelle theoretisch von überall auf der Welt knacken und nutzen, was es auch schwierig macht, sie zu schnappen und strafrechtlich zu belangen. Einen physischen Sicherheitsschlüssel müssen sie hingegen direkt aus der Hosentasche ihres Opfers stehlen. Wollen die Diebe damit ins Netzwerk eindringen, müssen sie dann aber auch das Passwort kennen. Der Zugang ist also doppelt geschützt. Die Anschaffungskosten sind dabei für Unternehmen durchaus vertretbar. Dank der Standardisierung kosten Sicherheitsschlüssel oft nur einige Euro.
Fazit
Es ist wichtig, bei Sicherheitsmaßnahmen darauf zu achten, dass sie verständlich und leicht anwendbar sind. Nur dann haben Neuerungen eine Chance, sich durchzusetzen, wenn sie Sicherheit und Nutzerfreundlichkeit miteinander in Einklang bringen. Bei Sicherheitsschlüsseln ist diese Balance gegeben. Sie sind einfach zu benutzen, zu ersetzen und aufzubewahren. Um sicherzugehen, dass sie sie nicht verlieren, brauchen Mitarbeiter sie nur an den Schlüsselbund zu hängen.
ln/Jan-Philipp Weber, Leitender Entwicklungsingenieur für Datenschutz und -sicherheit bei Google.
