Was ist heute die größte Cybergefahr für Unternehmen? – Social Engineering, Identitätsdiebstahl oder Ransomware?

Im letzten Beitrag habe ich die Firewall als den digitalen Türsteher eines Unternehmens beschrieben. Kurz darauf erhielt ich einen Kommentar auf LinkedIn. Dort schrieb jemand sinngemäß, die größte Cybergefahr sei heute gar nicht mehr die Technik, sondern Social Engineering.

Nur wenige Tage später besuchte ich eine Fachveranstaltung. Dort fiel wiederum ein anderer Begriff: identitätsbasierte Angriffe. Sie seien mittlerweile das größte Risiko für mittlere Unternehmen.

Und natürlich begegnet uns fast täglich noch ein drittes Schlagwort: Ransomware.

Was, frage ich mich, ist wirklich die größte Cybergefahr für Unternehmen?

Cyberkriminelle gehen effizient vor – über die Vordertür

In der öffentlichen Wahrnehmung ist der IT-Angreifer oft noch ein genialer Programmierer. Der Hacker überwindet die Firewall eines Unternehmens mit komplexen Codeschritten. - Das allerdings war einmal.

Cyberkriminelle sind heute wirtschaftlich orientierte Akteure. Sie wählen den Weg des geringsten Widerstands, der wenig Geld und Zeit kostet. Warum sollten die Eindringlinge Wochen damit verbringen, eine hochmoderne Firewall zu knacken? Wo es viel einfacher ist. über die Vordertür einzudringen, also über Benutzerkonten.

Cyberkriminelle sind Geschäftsleute, keine genialen Hacker. Foto: Geralt auf Pixabay

Lassen Sie uns doch ein mögliches Szenarium durchspielen, eines in drei Schritten.

Schritt 1: Social Engineering – Der Angriff beginnt beim Menschen

Der eigentliche Angriff beginnt fast nie im Serverraum, sondern im Postfach oder dem Smartphone eines Mitarbeiters - über Social Engineering. Unter dem Begriff sind psychologische Tricks gebündelt, um Menschen zu unbedachtem Handeln zu bewegen.

Die Methoden sind also ausgebufft:

Die Angreifer geben sich etwa als Geschäftspartner, Dienstleister oder als Geschäftsführer aus. Sie erzeugen Zeitdruck, wecken Vertrauen oder spielen mit der Hilfsbereitschaft ihrer Opfer.

Phishing-Mails: Täuschend echte Benachrichtigungen von Clouddiensten, Banken oder etwa der eigenen Personalabteilung.

Spearfishing: Angreifer recherchieren vorab die Strukturen eines Unternehmens und senden personalisierte Nachrichten; die passen exakt zum Aufgabenbereich des Angestellten.

Das Ziel ist fast immer dasselbe: Der Angesprochene soll freiwillig etwas tun, was er unter normalen Umständen niemals tun würde. Einen Anhang öffnen. Auf einen Link klicken. Zugangsdaten eingeben oder eine Zahlung freigeben.

Vor Kurzem wäre ich fast auf eine E-Mail reingefallen, in der von vertrauenswürdigem Bloggen die Rede war. Eingeladen wurde ich auf eine Facebook-Seite. Gott sei Dank wurde ich vom E-Mail-Account gewarnt, dass Adresse und Link nicht übereinstimmen.

Der eigentliche Angriff basiert also nicht auf Technik, sondern auf Psychologie.

Schritt 2: Identitätsbasierte Angriffe – Vertrauen wird zur Schwachstelle

Gelingt es einem Angreifer, an Benutzername und Passwort zu gelangen, könnte die nächste Phase starten. – Er übernimmt die digitale Identität eines Mitarbeiters. Der Kriminelle bricht nicht ein, er loggt sich einfach ein.

Weil der Eindringling nun über einen echten Benutzernamen und das passende Passwort verfügt, schlagen klassische Alarm- und Abwehrsysteme der IT-Sicherheit im Mittelstand oft nicht an. Für die Firewall sieht der Zugriff aus wie das alltägliche Einwählen eines Mitarbeiters im Homeoffice. Mit diesem 'gültigen Schlüssel' bewegt sich der Angreifer oft tagelang oder wochenlang unbemerkt im Netzwerk, späht Daten aus und erhöht systematisch seine Nutzerrechte.

Umso wichtiger werden Maßnahmen wie starke Passwörter, Multi-Faktor-Authentifizierung (zwei unabhängige Nachweise für die Identität) und ein durchdachtes Berechtigungsmanagement.

Schritt 3: Ransomware – Montagmorgen bleibt der Bildschirm schwarz

Erst wenn der Identitätsdiebstahl abgeschlossen ist und der Angreifer die volle Kontrolle über zentrale Systeme hat, folgt der finale Schritt: das Ausrollen der Ransomware im Unternehmen.

Die Verschlüsselung der Daten ist also oft nicht der Beginn des Angriffs, sondern der Schlusspunkt.

Die Schadsoftware wird gezielt platziert, Backups werden manipuliert oder gelöscht, und die digitale Erpressung startet, Lösegeld (ransom) wird eingefordert. Meist geschieht dies am Wochenende oder nachts, um die Reaktionszeit der IT-Verantwortlichen zu minimieren. Wenn die Mitarbeiter am Montagmorgen die Bildschirme einschalten, ist der Schaden bereits irreparabel angerichtet.

Die wichtigste Schutzmaßnahme: Die Multi-Faktor-Authentifizierung (MFA)

Wenn die gesamte Kette auf dem Diebstahl von Passwörtern basieren könnte, liegt die effektivste Gegenmaßnahme auf der Hand: Das Passwort allein darf nicht mehr ausreichen, um Zugang zum Unternehmen zu erhalten.

Das wichtigste Werkzeug für KMU-Chefs ist die konsequente Einführung der Multi-Faktor-Authentifizierung (MFA), das bedeutet zwei unabhängige Nachweise für die Identität.

               [Passwort] + [Zweiter Faktor: App / Token] = Sicherer Zugriff

Selbst wenn Cyberkriminelle per Social Engineering ein Passwort erbeuten, scheitern sie beim Login-Versuch am fehlenden zweiten Faktor (etwa eine Bestätigung auf dem Diensthandy des Mitarbeiters). MFA funktioniert nach dem gleichen Prinzip wie das vertraute Online-Banking. Es ist mit minimalem Aufwand der wirksamste Schutz.

Was bereitet Ihnen als Leiter eines KMU die größten Bauschmerzen?

Diese drei Schritte haen ein Gesamtbild dargestellt. Welcher Teil nun bereitet Ihnen persönlich in der Praxis die größten Bauchschmerzen? Die Manipulation der Mitarbeiter (Social Engineering), die Überwachung der Logins (Identitätsschutz) oder der Worst Case (Ransomware)? Schreiben Sie es in die Kommentare – zum meistgewünschten Thema folgt mein nächster Deep Dive!

Bevor ich einen Deep Dive-Beitrag folgen lasse, möchte ich Ihnen etwas an die Hand geben. Daher beschäftige ich mich in meinem nächten Blogbeitrag mit dem Faktor Mensch/Security Awareness: Wie trainiert man Mitarbeiter, damit Social Engineering, der beschriebene Schritt 1 fehlschlägt? Natürlich versorge ich Sie mit handfesten Tipps.