Permanente Awareness-Trainings

Der IT-Security-Spezialist Sophos widmet sich verstärkt dem schwächsten Glied in der Sicherheitskette: dem Menschen und seinem Lieblingsmotto »Mir kann nichts passieren«. Die COMPUTERWELT sprach mit Tech-Evangelist Michael Veit. [...]

Wie viel Sicherheits-Awareness haben eigentlich Mitarbeiter eines IT-Security-Anbieters wie Sophos? »Neben den traditionellen Trainings wird die Awarness im Unternehmen permanent gesteigert«, sagt Michael Veit, Evangelist bei Sophos, im Gespräch mit der COMPUTERWELT. »Unsere IT-Abteilung schickt in unregelmäßigen Abständen an alle Mitarbeiter Test-Phishing-Mails, um zu sehen, wie wir reagieren. Dadurch hat sich das Sicherheitsniveau stark verbessert. Denn eines ist klar: Der Mensch kann jede Sicherheitsmaßnahme aushebeln.«

Die Sophos-IT nutzt für Testzwecke Vorlagen, die auf den ersten Blick von IT-Größen wie Facebook oder Amazon stammen könnten. Auch interne Phishing-Mails lassen sich damit simulieren, etwa die Aufforderung des Helpdesks, das Passwort einzugeben oder die Anweisung des Chefs, der gerade auf Urlaub ist und auf eine informelle Geldüberweisung pocht.
»Es kann passieren, dass neue Mitarbeiter auf Phishing-Mails hereinfallen, aber insgesamt hat sich die Situation deutlich verbessert«, sagt Michael Veit. »Das lässt sich mit traditionellen Awareness-Trainings, die vielleicht zwei Mal im Jahr stattfinden und deren Inhalte am nächsten Tag schon wieder vergessen sind, kaum erreichen.«

Die Lösung, welche die IT-Abteilung nutzt, steht unter dem Namen »Phish Threat« auch den Kunden zur Verfügung – inklusive Dashboard, wo die Verantwortlichen sehen, wie es um die Sicherheit im Unternehmen bestellt ist. Damit lassen sich etwa Risikogruppen identifizieren oder Argumente für BudgetVerhandlungen sammeln. »Die IT-Abteilung kann die Awareness tatsächlich messen und entsprechende Maßnahmen setzen«, resümiert Veit. Der Technology Evangelist weist zudem auf ein Szenario hin, das für viele Unternehmen typisch ist, aber nur selten thematisiert wird: »Ein großes Problem ist, dass in vielen Unternehmen viel zu viele Mitarbeiter zu viele Rechte haben. Der die meisten Rechte hat, ist nicht selten der Azubi oder Praktikant, der von einer Abteilung zur anderen geht.«

Zwölf Prozent sichern gar nicht

Eine paradoxe Situation zeigt sich auch im Consumer-Bereich. Sophos hat vor kurzem die Umfrageergebnisse zum Thema Sicherheit auf Smartphones veröffentlicht. Während 82 Prozent der Befragten in Österreich die Sicherheit als wichtigstes Kriterium für den Erwerb eines Smartphones ansehen, liegt diese Zahl bei den jungen Leuten zwischen 14 und 29 Jahren sogar bei stolzen 95 Prozent. Damit liegt Österreich laut Michael Veit im Spitzenfeld und damit noch vor Deutschland. Das Paradoxe daran ist, dass die heimischen User zwar verantwortungsvoll kaufen, in der Nutzung der Sicherheits-Features aber deutlich zurückliegen. Zwölf Prozent sichern ihr mobiles Gerät überhaupt nicht. Von den Vernünftigen nutzen 40 Prozent den biometrischen Fingerabdruck als einen von mehreren Sicherheitsfeatures. Bei der Altersgruppe zwischen 14 und 29 Jahren sind es mit 64 Prozent abermals die meisten.

Weitere Maßnahmen sind: Passwort/Pin (56 Prozent), Sperrmuster (20 Prozent) oder biometrischer Gesichtserkennung (10 Prozent). Der Blick auf Alter und Geschlecht der Befragten offenbart auch hier kleine Unterschiede zugunsten der jüngeren Generation. So sichern Männer ihr Smartphone zu 91 Prozent etwas häufiger als Frauen (84 Prozent) und sind die jüngeren Smartphone-Besitzer mit 93 Prozent deutlich aktiver beim Sichern als über 60-jährige Nutzer (77 Prozent).

Größte Sorge: kriminelle Verwendung der Daten

Vor allem eine mögliche kriminelle Nutzung der Daten (54 Prozent), gefolgt von einer unkontrollierten Verwendung (48 Prozent) sowie eine Verletzung der Privatsphäre (47 Prozent) veranlasst die Österreicher, sich um die Smartphone-Sicherheit Gedanken zu machen. Frauen sorgen sich hierbei vergleichsweise häufiger um die Verletzung der Privatsphäre als Männer. Jeder fünfte Befragte (21 Prozent) sieht indes keine Gefahr, da er nichts zu verbergen habe.

Michael Veit wies im Gespräch außerdem auf den Sophos Threat Report 2020 hin, der ebenfalls vor kurzem herausgekommen ist. »Der Report beschreibt, wie die gegnerische Seite immer unauffälliger wird, wie sie versteht, Fehler besser auszunutzen, ihre Aktivitäten geschickter zu verbergen und wie es ihr gelingt, modernen Erkennungstechnologien auszuweichen.«

So verwenden Ransomware-Angreifer verstärkt vertrauenswürdige Management-Tools von Unternehmen gegen sie, umgehen Sicherheitskontrollen und deaktivieren Sicherungskopien, um so in kürzester Zeit maximale Auswirkungen zu erzielen. »Wir haben auch beobachtet, dass sich die Angreifer über einen längeren Zeitraum im Unternehmens-Netzwerk befinden und sich nur sehr vorsichtig bewegen, um gleichsam unterhalb des Radars agieren zu können.«

Nachdem im heurigen Jahr immer mehr Android Fleeceware-Apps, die Abonnements missbrauchen, sowie immer mehr heimliche und aggressive Adware zum Einsatz kamen, zeigt der Threat Report, wie diese und andere potenziell unerwünschte Apps (PUA) – z.B. Browser-Plug-Ins – auch in Zukunft zu Maklern für die Bereitstellung und Ausführung von Malware und dateifreien Angriffen werden.

2019 war laut Sophos das Jahr, in dem sich das Potenzial von Angriffen auf Sicherheitssysteme zeigte, die durch Machine Learning unterstützt werden. Die Forschung habe gezeigt, wie diese Systeme möglicherweise ausgetrickst werden können und wie Machine Learning angewendet werden kann, um sehr überzeugende gefälschte Inhalte für das Social Engineering zu generieren. Gleichzeitig wenden wiederum auch die Verteidiger maschinelles Lernen auf die Sprache an, um bösartige E-Mails und URLs zu erkennen. »Es ist zu erwarten, dass dieses fortgeschrittene Katz- und Mausspiel in Zukunft immer beliebter wird«, so der Report. Last but not least steht die Cloud auf dem Menüplan der Kriminellen: Die größte Sicherheitslücke sind hier Fehlkonfigurationen.