»Bewusstsein für Security schaffen«

Seit Mitte des Jahres verantwortet Irene Marx als Country Managerin die Geschicke des Securityspezialisten Proofpoint in Österreich und der Schweiz. Die neu geschaffene Position unterstreicht Proofpoints andauerndes Engagement, in eine für das Unternehmen strategisch wichtige Region zu investieren. [...]

Wie haben sie die Lage in den Unternehmen in Zeiten der COVID-19-Pandemie erlebt?

Aufgrund der Situation war der erste Schritt für Unternehmen, eine stabile Verbindung zu schaffen, so dass jeder Mitarbeiter einen Laptop hat und via Breitband an das Unternehmensnetz angebunden werden konnte. Im zweiten Schritt wurde dann darauf geachtet, dass das Arbeiten im Home Office auch sicher ist. Wir konnten sehen bzw. sehen es nach wie vor ganz deutlich, dass der Mitarbeiter außerhalb des Unternehmens derjenige ist, der angegriffen wird. Das haben wir auch in einer Umfrage festgestellt: Über 60 Prozent der Mitarbeiter wurden in den letzten Monaten angegriffen. Angriffe gab es zwar auch schon vor der Krise, aber nun ist es sichtbar geworden, weil sie außerhalb der vertrauten Büroräume arbeiten.

Welche sind die größten Herausforderungen im Bereich Security?

Es geht darum, Awareness zu schaffen, das ist der wichtigste Schritt. Es hilft nichts, den Mitarbeitern Angst zu machen, denn es ist für sie ja auch ein Problem. Der Mitarbeiter ist Opfer und Täter zugleich. Wenn ich ein Phishing-Mail öffne, bin ich erst einmal das Opfer. Aber weil ich die Schadsoftware aktiviere, bin ich eigentlich auch Täter. Darum ist es wichtig, den Mitarbeiter zu schützen und dadurch das Unternehmen zu schützen.

Wie können Unternehmen dem entgegentreten?

Wie gesagt muss ein Bewusstsein geschaffen werden. Es werden noch viel zu wenige Schulungen gemacht. Dass die selben Phishing-Mails an tausende Unternehmen geschickt werden, ist vorbei. Die größte Gefahr sind derzeit gezielte Attacken auf bestimmte Personen und die Schwierigkeit ist es, diese zu erkennen. Auf ein E-Mail, das in schlechtem Deutsch verfasst wurde, fällt fast niemand mehr herein. Aber die Mails werden immer raffinierter und wenn man nicht genau aufpasst, besteht die Gefahr, dass man es nicht erkennt. Hier muss man eine Sensibilisierung schaffen.

Mitarbeiterschulungen sind ein großes Thema. Das wird noch etwas lieblos behandelt in den Unternehmen. Laut unserer Umfrage halten 70 Prozent der Unternehmen ihre Mitarbeiter zwar für das schwächste Glied, sie sind aber trotzdem nur bereit eine oder zwei Schulungen zu machen. Das ist eine große Diskrepanz. Warum ist das so? Den IT-Leitern ist dieses Thema bewusst, aber im C-Level sind es nur noch 20 Prozent. Ein weiterer Punkt is, dass diese Schulungen ernst genommen werden müssen, um das Wissen vermitteln zu können.

Welche Lösungen bietet Proofpoint hier an?

Das erste, was wir anbieten, ist ein Security-Assessment, um den Status quo zu erfahren. Nicht nur wieviele Angriffe es gegeben hat und welcher Art diese waren, sondern auch um zu erfragen, wer die am meisten angegriffenen Personen sind und mit welchen Attacken diese Mitarbeiter konfrontiert werden.

Danach können wir dem Unternehmen ganz klar zeigen, wo die Gefahren liegen. Und hier gibt es ganz unterschiedlich Merkmale. Das sind etwa Personen, die Zugriff auf sehr sensible Daten haben, etwa auf Konstruktionsplänen, HR-Daten oder Finanz-Daten. Das sind vielleicht Personen, die man so gar nicht am Radar hat. Mit unserem Dashboard sieht man, wer im Unternehmen angegriffen wird und danach kann man eine Strategie festlegen. Zum einen ist das eine Schulung, um das zu erkennen und andererseits ist es wichtig, den IT-Leiter oder Verantwortlichen zu informieren und alarmieren. Dann können etwa mit einer technischen Lösung verdächtige E-Mails wieder aus den Inboxen herausgeholt werden. Laut Verizon aktiviert sich Schadsoftware zu 96 Prozent, wenn ein Mensch darauf klickt.

Die Angriffe werden natürlich auch immer ausgeklügelter, da stecken hochprofessionelle Organisationen dahinter. Die wissen natürlich, dass es Sandboxen gibt. Das bedeutet, dass ein Link, der noch völlig sauber ist, durch die Sandboxen oder durch Firewalls problemlos durchkommt. Und erst wenn die Angreifer realisiert haben, dass der Link schon im Unternehmen ist, wird die URL überschrieben und führt zu einer bösartigen Website. Das nennt man Kill-Chain. Wir bieten Technologien an, um das zu erkennen.

Wie hoch schätzen sie die Awareness in den DACH-Unternehmen ein?

Die Sensibilisierung ist bei den Mitarbeiter sicher gestiegen. Meines Erachtens muss man aber noch sehr viel Basisarbeit machen. Es möchte niemand derjenige sein, der auf ein Phishing-Mail klickt. Schwierig ist es aber natürlich, wenn jemand vorgibt jemand zu sein, der er nicht ist. Da ist es schwer für den Mitarbeiter. Das ist eine große Herausforderung und da ist sehr viel zu tun, auch technisch.

Wie hat sich die Auftragslage in der Krise geändert? Investieren Unternehmen verstärkt in Security-Lösungen?

Ja, das kann ich bestätigen. Die Bereitschaft das Security-Thema zu priorisieren, ist absolut gegeben. Es ist schade, dass viele Unternehmen erst dann anrufen, wenn man von ihnen im negativen Sinne in den Medien gehört hat. Mein Apell ist es daher, den Brandmelder nicht erst dann zu installieren wenn es schon gebrannt hat. Viele Unternehmen haben Security nicht groß budgetiert, aber eine Lösegeldforderung durch einen Ransomware-Angriff hat man schließlich auch nicht budgetiert. Ich empfehle Unternehmen daher dringend, in eine durchdachte Security-Strategie zu investieren. Ein weiterer Appell ist auch, vom Silodenken wegzugehen. Es wächst alles zusammen und die einzelnen Abteilungen müssen sich zusammensetzen und gemeinsam an Lösungen arbeiten.

Wie stärken Sie in Krisenzeiten den Draht zum Kunden?

Hier gilt es, die Kommunikation und vor allem das Verständnis für den Kunden zu pflegen. Natürlich sind die Kontakte gegenwärtig fast ausschliesslich auf digitale Kommunikation beschränkt. Allerdings kann das den persönlichen, direkten Kontakt nicht vollständig ausgleichen.