Autor: Jan Gisbertz

Neun von zehn Unternehmen in Deutschland wurden bereits Opfer von Cyberkriminalität. Durch Datendiebstahl, Spionage und Sabotage entsteht der Wirtschaft jährlich ein Schaden von über 200 Milliarden Euro. Allein im Jahr 2022 registrierte das Bundeskriminalamt fast 140.000 Fälle von Cyberkriminalität. 24 Prozent der deutschen Unternehmen stocken deshalb ihre Cybersecurity-Ausgaben auf. Doch Expert:innen mahnen: Kriminelle rüsten weitaus schneller auf. Grund genug also, sich als Unternehmen mit dem Thema eingehend zu befassen. Auch Vodafone nimmt sich des Themas umfassend an und unterstützt insbesondere kleine und mittelständische Betriebe durch Zugriff auf Profi-Lösungen wie die Vodafone Cyber Security Services.

Selbst wenn Sie bisher von Angriffen verschont geblieben sind: Cyberkriminelle bedrohen grundsätzlich auch Ihre Firmen-IT. Und wenn Ihr Unternehmen bereits Opfer einer Cyberattacke geworden ist, kann dies durchaus ein weiteres Mal geschehen. Welche Schäden Trojaner, Ransomware und andere Angriffe aus dem Internet anrichten können und wie ein umfassendes Cybersecurity-Konzept Ihr Unternehmen davor schützen kann, erfahren Sie in diesem Artikel.

Was ist Cybersecurity?

Der Begriff Cybersecurity (deutsch: Cybersicherheit) bezeichnet Schutzmaßnahmen vor kriminellen Angriffen auf Server, Netzwerke, Computer und andere elektronische Systeme. Expert:innen nennen Maßnahmen in diesem Zusammenhang auch IT-Sicherheit oder elektronische Datensicherheit.

Expert:innen verwenden die Begriffe Cybersecurity und IT-Sicherheit häufig synonym. IT-Sicherheit beschreibt den Schutz von IT-Systemen vor Schäden und Bedrohungen. Dies betrifft einzelne Dateien, Computer, Netzwerke, Cloud-Dienste sowie Rechenzentren. Cybersecurity weitet IT-Sicherheit auf das Internet aus. Heutzutage sind fast alle IT-Systeme mit dem Internet verbunden. Daher bedeutet IT-Sicherheit auch immer Cybersicherheit und umgekehrt.

Cybersecurity unterteilt sich in mehrere Unterkategorien, zum Beispiel:

Aufklärung: Die besten Cybersecurity-Konzepte nützen nichts, wenn Sie Ihre Mitarbeiter:innen nicht ausreichend über Ver- und Gebote beim Umgang mit IT-Systemen aufklären. Ihre Mitarbeiter:innen müssen wissen, wie sie etwa mit verdächtigen E-Mails umgehen sollen oder wer in Ihrer Firma Ansprechpartner:in für IT-Sicherheitsfragen ist.

Netzwerksicherheit: Ihre gesamte Firmen-IT sollte niemals ungeschützt sein. Netzwerke, die auf Schutzeinrichtungen wie Firewalls oder Antivirensoftware gänzlich verzichten, bieten ein breites Angriffsfeld für Kriminelle.

Informationssicherheit: Stellen Sie sicher, dass bei Speichervorgängen und beim Versenden von Dateien innerhalb Ihrer Unternehmens-IT Integrität und Privatsphäre Ihrer Daten durch Verschlüsselung geschützt sind.

Programmsicherheit: Die Sicherheit einer Software sollte bereits bei der Programmierung eine wichtige Rolle spielen. Schwachstellen etwa im Code sind zu vermeiden. Dies betrifft auch das Design von Hardware, das Cyberkriminellen keine Angriffspunkte bieten sollte. Expert:innen bezeichnen diesen Ansatz als Security-by-Design.

Betriebssicherheit: Sie sollten in Ihrem Unternehmen klar regeln, wer wann auf welche Daten zugreifen darf. Zusätzlich müssen Sie Regeln für das Ablegen von Daten aufstellen. Ein Beispiel: Viele Unternehmen verbieten die Nutzung privater USB-Sticks oder Festplatten an Firmenrechnern. Durch dieses strenge Reglement verhindern Sie, dass Schadsoftware von fremden Rechnern Ihre Unternehmens-IT offline infiziert.

Disaster-Recovery: Ihr Unternehmen sollte auf jeden Fall über eine Strategie verfügen, mit der Sie im Fall eines Cyberangriffs oder eines schwerwiegenden technischen Defekts eine Reaktion auslösen können. In einer sogenannten Disaster-Recovery-Richtlinie sollten Ihre IT-Spezialist:innen festlegen, wie sie beschädigte Daten schnellstens wiederherstellen können. Darüber hinaus sollte es zusätzlich einen sogenannten Business-Continuity-Plan geben. Dieser regelt, wie Ihre Mitarbeiter:innen auch ohne die bei einem Angriff beschädigten, gekaperten oder gänzlich verloren gegangenen Daten weiterarbeiten können.

Diese Arten von Cyberangriffen gibt es

Trotz vieler Sicherheitsmaßnahmen kommt es immer wieder zu erfolgreichen Angriffen auf die Datenverarbeitung von Unternehmen oder Behörden. Doch was genau ist eigentlich ein Cyberangriff?

Ein Cyberangriff ist eine Attacke von Kriminellen mithilfe eines oder mehrerer Computer gegen einen oder mehrere Computer oder Netzwerke. Er kann Computer außer Betrieb setzen, Datendiebstahl zur Folge haben oder einen angegriffenen Computer als Ausgangspunkt für weitere Attacken nutzen. Cyberkriminelle verwenden eine Vielzahl von Methoden, um Firmen-IT-Umgebungen anzugreifen.

Expert:innen verwenden hierfür häufig den Begriff Cyberkriminalität. Dieser Ausdruck (englisch: Cybercrime) beschreibt laut Bundeskriminalamt die Verwendung eines Computers als Instrument zur Förderung illegaler Zwecke, wie zum Beispiel Betrug, Handel mit gestohlenen Daten oder Identitätsdiebstahl. Im Darknet verkaufen Kriminelle zum Beispiel gestohlene Adressen, Telefonnummern, E-Mail-Adressen oder Kreditkartendaten aus Firmendatenbanken. Diese Daten stammen häufig aus Cyberangriffen auf Unternehmen.

Angriffe mit Malware

Welche Arten von Schadsoftware (englisch: Malware) Cyberkriminelle bei Angriffen auf IT-Systeme einsetzen, erfahren Sie im folgenden Abschnitt anhand von Beispielen:

Virus: Computerviren sind selbstvermehrende Dateien, die häufig über eine infizierte E-Mail oder einen Download aus dubiosen Quellen in den Computer gelangen. Dort „kapern“ die Schadprogramme zum Beispiel das Betriebssystem und richten teils erhebliche Schäden an – und eventuell auf weiteren Systemen in dessen Umgebung.

Botnet: Hierbei handelt es sich um eine Schadsoftware, die sich unentdeckt auf mehreren Computern verteilt. Die Malware missbraucht die gekaperten Rechner oft ohne das Wissen der Besitzer:innen für einen gemeinsamen Angriff auf das eigentliche Ziel. Wie das aussehen kann, lesen Sie im Kapitel „Angriffe auf das IoT: Eine unterschätzte Bedrohung“ weiter unten im Text.

Trojaner: Der sogenannte Trojaner versteckt sich in einer zunächst unverdächtig wirkenden Datei – beispielsweise in einem Bild oder einem Programm. Wenn Sie die infizierte Datei aufrufen, nistet sich die Schadsoftware auf Ihrem Computer ein. Trojaner sammeln vertrauliche Daten wie Passwörter oder Adressen, die sie unbemerkt an diejenigen weiterleiten, die die Schadsoftware kontrollieren.

Spyware: Diese Art von Schadsoftware spioniert beispielsweise aus, welche Tasten Sie auf Ihrer Tastatur drücken. Dadurch können Kriminelle aus der Ferne unter anderem Daten von Kreditkarten auslesen.

Ransomware: Bei Ransomware handelt es sich um eine Art virtuelles Kidnapping. Einmal eingedrungen, verbreitet sich dieser Typ Schadsoftware in Windeseile in Ihren Systemen und verschlüsselt sämtliche Daten. Sie werden aufgefordert, eine Geldsumme an die kriminellen Urheber:innen der Schadsoftware zu senden. Nach Zahlung dieses Lösegeldes sollen Sie einen Code zum Entschlüsseln der Dateien erhalten.

In den USA machte 2023 die Anklage gegen einen russischen Hacker Schlagzeilen, der Lösegelder in Höhe von rund 400 Millionen US-Dollar unter anderem von Behörden, Krankenhäusern und Schulen verlangt haben soll. Rund die Hälfte der Opfer habe tatsächlich die geforderten Summen gezahlt, so das US-Justizministerium.

Die Unternehmensberatung Accenture hat ermittelt, dass 47 Prozent der befragten Unternehmen im Jahr 2021 mehr als 500.000 Kundendatensätze entwendet wurden. 69 Prozent gaben an, dass es extrem teuer geworden sei, Angreifer:innen einen Schritt voraus zu sein.

Angriffe mit SQL 

Der Begriff SQL steht für “Structured Query Language”, eine Datenbanksprache. Bei einem sogenannten SQL-Injection-Angriff nutzten Kriminelle Schwachstellen in einer Datenbank-Software aus, verändern Daten oder lesen diese aus der Ferne aus. Die SQL-Sicherheitslücken entstehen meist durch Programmierfehler.

Denial-of-Service-Angriff (DoS-Attacke)

Als Denial-of-Service-Angriff (deutsch: Verweigerung des Dienstes) oder DoS-Attacke bezeichnen Expert:innen eine Attacke auf ein IT-System mit dem Ziel, es durch zu viele gleichzeitige Anfragen zu überlasten. Häufig werden diese Angriffe von mehreren Rechnern gleichzeitig ausgeführt – nicht selten ohne dass deren Besitzer:innen etwas davon bemerken.

Hierdurch ist es dem Opfer meist unmöglich, auf die Attacke zu reagieren. Hinzu kommt, dass die Rechner, die die Überflutung mit Anfragen auslösen, fast immer selbst infiziert wurden (siehe Botnet). Man spricht hierbei auch von verteilten Dienstverweigerungsangriffen (Distributed-Denial-of-Service-Angriffe oder: DDoS-Attacken). Cyberkriminelle schädigen mit dieser Angriffsform meist gezielt Unternehmen mit Online-Angeboten oder erpressen Geldzahlungen von Serverbetreibern.

Man-in-the-Middle-Angriff

Bei einem Man-in-the-Middle-Angriff (MITM) verschaffen sich Angreifer:innen Zugriff auf Computernetze. Die Kriminellen stellen sich mithilfe einer Software zwischen zwei Kommunikationspartner:innen. Sie haben dann Kontrolle über den Datenverkehr zwischen zwei oder mehreren Netzwerkteilnehmer:innen und können Informationen nach Belieben mitlesen oder manipulieren.

Phishing

Wenn Kriminelle sich über gefälschte Internetseiten, E-Mails oder Kurznachrichten als vertrauenswürdige Gesprächspartner:innen ausgeben, sprechen Expert:innen von sogenanntem Phishing.

Besonders erfolgreich sind Phishing-Angriffe über die sozialen Medien. Eine Studie des Cybersecurity-Anbieters PhishLabs by HelpSystems spricht von einer Verdoppelung der Fallzahlen. Die Studie belegt, dass die Zahl von Angriffen seit Januar 2021 um 103 Prozent gestiegen ist. Im Dezember 2021 erlebten Unternehmen im Durchschnitt über 68 Angriffe pro Monat.

Was gefährdet die IT-Sicherheit von Unternehmen?

Eine große Gefahr für Unternehmen ist die rasche Aufrüstung der cyberkriminellen Szene. Extra für verbrecherische Übergriffe programmierte Hard- und Software wird in einschlägigen Shops zum Kauf angeboten – beispielsweise im sogenannten Darknet, einer Art „parallelen” Internetwelt ohne Kontrollen und mit entsprechend dubiosen Angeboten.

Die Kriminellen rüsten auf

Für den Sicherheitsexperten Sebastian Schreiber, Geschäftsführer der SySS GmbH, gehört die regelmäßige Recherche auf dem Markt für Cybercrime zum alltäglichen Geschäft. Seine Erkenntnisse sind erschreckend: Hardware-Spione gibt es in gängigen Onlineshops im Darknet bereits zum Stückpreis von unter 20 Euro. Entsprechende Software für Serverangriffe ist sogar einschließlich Geld-zurück-Garantie verfügbar, sollte die Attacke nicht erfolgreich sein.

Viele Viren und Schadsoftwares haben dabei eine Gemeinsamkeit: Sie werden fast immer dort eingesetzt, wo Geld im Spiel ist. Banking-Trojaner etwa sind in der Lage, sich in Finanztransaktionen einzuschalten. Teilweise ermöglichen allzu leichtsinnige und unachtsame Mitarbeiter:innen diese digitalen Banküberfälle.

Bekannt wurden außerdem Fälle, in denen Kriminelle USB-Sticks mit einer Schadsoftware infizierten und sie dann auf einem Mitarbeiterparkplatz eines Unternehmens zurückließen. Es dauerte nicht lange, dann wurden die Speichermedien gefunden und von neugierigen Angestellten in einen Dienstrechner gesteckt. Innerhalb kurzer Zeit verbreitete sich die Schadsoftware so auf den Rechnern des Unternehmens.

Solche und andere Dienste bieten Kriminelle im Darknet an. Gegen Bezahlung organisieren sie Cyberangriffe gegen vom Auftraggeber genannte Firmen, Organisationen oder Privatpersonen. Expert:innen sprechen in diesem Fall von Cybercrime-as-a-Service.

Gefahren im Homeoffice

Immer mehr Unternehmen ermöglichen Ihren Mitarbeiter:innen die Arbeit im Homeoffice oder sogar gänzlich mobiles Arbeiten. Damit verbunden sind neben den Vorteilen auch einige Risiken für die Datensicherheit Ihres Unternehmens:

Social Engineering

Laut dem US-Sicherheitsunternehmen Palo Alto Networks basieren die erfolgreichsten Angriffstechniken von Cyberkriminellen nicht auf sogenannten Exploits. Sie attackieren also nicht immer gezielt Softwarefehler und technische Sicherheitslücken. Eine noch viel größere Gefahr stellt das sogenannte Social Engineering dar.

Ein Beispiel: Eine vermeintlich freundliche Person gibt sich am Telefon als Kolleg:in aus der IT-Abteilung aus und kündigt eine E-Mail an, die das Opfer auf jeden Fall öffnen und den Anhang lesen soll. Klicken die Mitarbeiter:innen dann auf die mitgesendete Datei, installiert sich häufig unbemerkt ein Schadprogramm (meist ein Trojaner) auf dem Rechner. Unter Umständen verbreitet sich die Malware dann über das Firmennetzwerk.

Tatsächlich laufen die meisten erfolgreichen Datendiebstähle und Spionageangriffe heute nach diesem Muster ab. Daher gilt es, die Eigenverantwortung der Mitarbeiter:innen zu stärken und sie gleichzeitig für die wichtigsten Bedrohungen zu sensibilisieren.

Zu den Social-Engineering-Tricks gehören unter anderem:

Mobile Phishing: Phishing-Attacken betreffen mittlerweile stationäre wie auch mobile Endgeräte. Denn der E-Mail-Abruf funktioniert unterwegs auf dem Smartphone oder Laptop genauso komfortabel wie sonst an einem Computer im Büro. Und Messengerdienste wie Slack und Teams erleichtern Homeoffice-Tätigkeiten sowie mobiles Arbeiten enorm – bieten aber auch die Möglichkeit, betrügerische Nachrichten zu versenden.

Kriminelle nutzen auf mobilen Endgeräten außerdem gern die Müdigkeit und Unkonzentriertheit von Mitarbeiter:innen aus. Ein Beispiel: Das Ziel einer sogenannten URL-Padding-Attacke ist das Vorgaukeln einer seriösen Webseite durch Maskieren der korrekten (offiziellen) URL, etwa mithilfe von Bindestrichen.

E-Mail-Spoofing: Den Ausdruck Phishing haben wir in diesem Beitrag bereits erklärt. Eine besondere Form des Phishings ist das sogenannte E-Mail-Spoofing. Dazu gehört das Versenden von E-Mails, die so aussehen, als stammten sie von einer vertrauenswürdigen oder bekannten Person – das ist aber nicht der Fall.

Kriminelle Akteure sind geübt im Fälschen und schaffen es immer wieder, E-Mails täuschend echt erscheinen zu lassen. Das Internet ist dabei eine geradezu unerschöpfliche Quelle: Kriminelle können Fotos und Firmenlogos problemlos von Webseiten herunterladen und E-Mail-Adressen manipulieren.

Manchmal wird so eine gefälschte E-Mail an den gesamten Verteiler in der Firma gesendet. In anderen Fällen schicken Kriminelle eine einzelne E-Mail gezielt an eine bestimmte Person. Dies bezeichnen IT-Sicherheitsexpert:innen als Spear Phishing. In beiden Fällen ist das Ziel dasselbe: Menschen sollen etwas tun, wovon die Absender:innen der gefälschten E-Mail profitieren.

Mangelnde Sicherheit bei Endgeräten

Wenn Ihre Mitarbeiter:innen private Notebooks, Smartphones oder Tablets für Firmenarbeiten daheim nutzen, gibt es zahlreiche mögliche Einfallstore für Cyberkriminelle. Zu diesen Schwachpunkten gehören unter anderem mangelnde Sicherheitsupdates bei Betriebssystemen und ein unvorsichtiger Umgang mit potenziell gefährlichen Internetseiten.

Cyberkriminelle haben vielfältige Methoden entwickelt, um sich Zugang zu IT-Systemen zu verschaffen.

Mit Vodafone Cyber Security Services zu mehr Cybersicherheit im Unternehmen

Eine erfolgreiche Cybersecurity-Strategie basiert immer auf einem idealen Zusammenspiel verschiedener Faktoren: Neben einer wirksamen hardware- und softwareseitigen Sicherheitsstrategie müssen auch Ihre Mitarbeitenden für das Thema Cybersicherheit geschult werden. Doch häufig fehlen in kleinen bis mittelgroßen Unternehmen einfach die Zeit beziehungsweise die personellen Ressourcen, um das Thema geeignet abzubilden.

Eine umfassende, professionelle Cybersecurity-Lösung für Jedermann

Bislang waren ganzheitliche, professionelle Security-Lösungen von weltweit führenden IT-Security-Anbietern eher großen Unternehmen vorbehalten. Seit einiger Zeit jedoch können inzwischen auch kleine und mittelständische Unternehmen von einem umfangreichen Cyber-Security-Angebot profitieren.

Der Leistungsumfang der Vodafone Cyber Security Services beschränkt sich dabei nicht einfach auf eine bestimmte Softwarelösung oder einen bestimmten Aspekt der Cybersecurity. Statt dessen kommt je nach Kundenwunsch ein umfassendes Portfolio an Sicherheitsmechanismen zum Einsatz.

• Phishing Awareness: Mithilfe gefälschter Phishing-Mails wird ein Angriff auf das Unternehmen simuliert, um Mitarbeitende für die Gefahren aus dem Cyberspace zu sensibilisieren.
• Vulnerability Management: Ein umfassender, sogenannter Discovery Scan untersucht das Unternehmen gezielt auf interne und externe IT-seitige Schwachstellen.
• Penetration Test: Innerhalb festgelegter Rahmenbedingungen wird versucht, das IT-System zu hacken. Die identifizierten Einfallstore lassen sich dann schließen, bevor sie ein „echter” Hacker findet.
• Cyber Exposure Diagnostic (CED): Es erfolgt eine vollumfängliche und tiefgreifende Betrachtung des Netzwerks, der Endpoints und der Nutzer:innen. CED ist als ein zeitlich begrenztes Security Monitoring zu sehen, mit dessen Hilfe Angriffe bzw. ungewöhnliches Verhalten im System aufgedeckt werden können. Mithilfe dieses Untersuchungsverfahrens werden weitere, bislang unbemerkte Sicherheitsrisiken identifiziert und meist behoben, bevor sie zum Problem werden können.
• Firewall Management: Eine Firewall ist nur so gut wie ihre Konfiguration. Daher bieten die Cyber Security Services einen umfassenden und kontrollierten Schutz vor IT-Bedrohungen durch die Bereitstellung, Verwaltung und den Betrieb von Firewalls. Dabei werden die individuellen Sicherheitsanforderungen der bestehenden Netzwerkstruktur berücksichtigt.
• Managed Detection & Response (MDR): Echtzeit-Security-Monitoring rund um die Uhr sorgt dafür, dass Cyber-Angriffe schnellstmöglich erkannt und abgewehrt werden können – also im Idealfall, bevor es „zu spät ist”.
• Breach Response & Forensics (BRF): Was tun, wenn ein Angriff doch erfolgreich war? Im Ernstfall ist es wichtig zu wissen, wo die Angreifenden herkamen, wo sich überall Schadsoftware versteckt gehalten hat oder vielleicht noch hält und wie die Hacker:innen zuverlässig aus dem internen Firmennetz entfernt werden können. Außerdem gehört zur forensischen Analyse ein umfassender Abschlussbericht, der ähnliche Fälle in Zukunft zu verhindern hilft.

IT-Sicherheitsexpert:innen einsetzen

Um mögliche Sicherheitslücken in Ihrer Unternehmens-IT aufzuspüren, sollten Sie eine:n IT-Security-Analyst:in engagieren. Diese Fachkräfte überprüfen sämtliche Aspekte der firmeneigenen Datenverarbeitung: Software, Netzwerke und Firewalls. Auf dieser Grundlage erstellen sie ein sogenanntes Thread-Model (deutsch: Bedrohungsmodell). Mithilfe von Analyse-Tools wie OSSEC finden IT-Security-Analyst:innen Angriffspunkte in der Firmen-IT und beseitigen diese.

Haben Hacker:innen Daten aus einem Unternehmen erbeutet, bezeichnen Expert:innen dies als Breach (deutsch: Verstoß, Bruch). IT-Security-Analyst:innen stellen fest, welche Schäden an  Datenbeständen als Folge des Breach aufgetreten sind und wie diese möglichst schnell behoben werden können. Eine genaue Analyse von vergangenen Angriffen zeigt Sicherheitsexpert:innen außerdem eventuelle Schwachstellen in der Firmen-IT. Dieses Vorgehen wird dringend empfohlen: Aus einer Studie von IBM geht hervor, dass ein Breach bei großen (mehr als 25.000 Beschäftigten) Unternehmen einen Schaden von bis zu 5,3 Millionen US-Dollar verursachen kann.

Sichere IT-Infrastruktur aufbauen

Aktuelle Sicherheitsrichtlinien: Die Sicherheitsrichtlinien in vielen Unternehmen sind veraltet. Häufig berücksichtigen sie weder die neuesten technischen Möglichkeiten noch den raschen technischen Fortschritt der cyberkriminellen Szene. Doch Sicherheitsrichtlinien, die den aktuellen Stand der Technik widerspiegeln, sind für Unternehmen essenziell.

Als Führungsperson sollten Sie sicherstellen, dass sich die Richtlinien Ihrer Firma auf dem neuesten Stand befinden. Ihre Mitarbeiter:innen sollten die neuen Bestimmungen verstehen und verinnerlichen. Ein wichtiger Teil solcher Richtlinien sollten daher regelmäßige Schulungen sein. Mehr dazu erfahren Sie weiter unten in diesem Artikel.

Überwachung des Netzwerks: Liegen die letzten Überprüfungen Ihres Firmennetzwerks schon etwas zurück, sollten Sie zeitnah reagieren und überprüfen: Unterstützen die in Ihrem Netzwerk eingerichteten Firewalls und VPN (Virtual Private Networks) alle aktuell verfügbaren Sicherheitsfunktionen? Wenn Sie Ihre IT ganz oder in Teilen in eine Cloud ausgelagert haben, sollten Datenströme so nachvollziehbar wie möglich sein.

Starke Authentifizierungen einrichten: Häufig nutzen Cyberkriminelle gekaperte Benutzerkonten und verschaffen sich so Zugriff auf IT-Systeme. Daher sollte für Ihr Unternehmen die sogenannte Mehrfaktor-Authentifizierung (auch als Zwei-Faktor-Authentifizierung, 2FA bekannt) eine unverzichtbare Sicherheitsmaßnahme werden. Sämtliche Zugänge zu Ihren IT-Systemen sollten Sie auf diese Weise sichern.

Wichtig ist außerdem ein möglichst schwer zu erratendes Passwort. Es besteht im Optimalfall aus mehr als acht Zeichen und beinhaltet Groß- und Kleinbuchstaben sowie Sonderzeichen. Am besten fügen Sie außerdem Zahlen hinzu.

Bei der Mehrfaktor-Authentifizierung geben Sie zunächst Ihr Passwort ein. Das System bestätigt dieses und führt Sie zu einer weiteren Schranke, indem Sie zum Beispiel einen Zahlencode eingeben müssen. Viele Mehrfaktor-Systeme greifen nach der Passwortabfrage auf ein externes System zurück und schicken Ihnen einen Bestätigungscode an ein weiteres Endgerät. Zum Beispiel an Ihr Smartphone, mit dem Sie den Code abrufen. Selbst wenn Unbefugte Ihr Passwort kennen, können sie sich damit allein also noch keinen Zugang zu sensiblen Daten verschaffen.

Mit den Vodafone Cyber Security Services lassen sich die meisten Cyberangriffs-Formen im Vorfeld verhindern.

Mitarbeiter:innen gut schulen

Auch bei größter Aufmerksamkeit kann es zu Sicherheitsvorfällen kommen und Ihre Firmen-IT Opfer eines Angriffs werden. Ihre Mitarbeiter:innen sollten dahingehend geschult sein, verdächtige Vorgänge zu erkennen und schnellstmöglich zu handeln. Dies erfordert eine gut ausgeprägte Fehlerkultur in Ihrem Unternehmen. Niemand sollte sich schämen, einen Fehler zuzugeben. Gleichzeitig sollte Ihr Unternehmen schnell auf einen möglichen Sicherheitsvorfall reagieren und alle Mitarbeiter:innen darüber in Kenntnis setzen.

Regelmäßige Schulungen zum Thema Cybersecurity sind daher unerlässlich. Mitarbeiter:innen, die sich der Gefährdung durch Kriminelle bewusst sind, lesen beispielsweise ihre E-Mails mit einem wachsamen Auge und fallen seltener auf Phishing-Versuche herein.

Sicherheitsmaßnahmen: Maßvoll und ausgewogen

Die Sicherheitsmaßnahmen in Ihrem Unternehmen sollten gewissenhaft, jedoch nicht zu rigoros ausfallen. Darauf weist beispielsweise das Bundesamt für Sicherheit in der Informationstechnik (BSI) hin. Zu restriktive Sicherheitskonzepte verursachen Ausweichbewegungen: Schnell entsteht eine sogenannte Schatten-IT mit Fremdsoftware, die auf Firmenrechnern eigentlich nichts zu suchen hat.

Außerdem problematisch: Sind für den Alltag wichtige Funktionen auf den Firmenrechnern gesperrt, nutzen die Mitarbeiter:innen eben ihre privaten Endgeräte und machen die Lage damit noch unsicherer als zuvor. Erforderlich sind daher ausgewogene Maßnahmen – sowohl zur technischen und organisatorischen Absicherung als auch zur Information und Schulung der Betroffenen.

Warum sich Investitionen in IT-Sicherheit auszahlen

Wenn sich Cyberkriminelle Zugang zu Ihren Firmendaten verschaffen, führt dies oft zu schwerwiegenden Problemen. Unmengen von Kundendaten könnten beispielsweise einfach verschwinden – eine Katastrophe für die Kundenbindung. Häufig stehlen Kriminelle  Adressen, Telefonnummern und E-Mail-Adressen, um sie dann im Darknet gewinnbringend zu verkaufen.

Cyberangriffe sind kein seltenes Phänomen mehr. Sie betreffen nahezu jedes Unternehmen heutzutage.

IT-Sicherheit als Marktvorteil

Der Effekt eines solches Datendiebstahls: Ihre Kund:innen verlieren unter Umständen das Vertrauen in Ihr Unternehmen. Aus so einem Vertrauensverlust resultiert nicht selten ein dauerhafter wirtschaftlicher Schaden, etwa wenn Kund:innen zu anderen Anbietern wechseln. Es kann unter Umständen Jahre dauern, ein solches Vertrauensverhältnis wieder aufzubauen.

Beschädigen oder stehlen Kriminelle Daten zur Maschinensteuerung oder zu Lagerbeständen, droht Ihnen unter Umständen ein tagelanger Ausfall Ihrer gesamten Produktion. Haben Sie jedoch eine effektive IT-Sicherheitsstruktur aufgebaut, entsteht ein echter Marktvorteil: Ihr Unternehmen signalisiert Kund:innen ein hohes Bewusstsein für Datensicherheit. Das baut Vertrauen auf.

Die Ausgaben für Cybersecurity steigen kontinuierlich.

Herausforderungen

Eine große Herausforderung für IT-Sicherheitsspezialist:innen ist die Hartnäckigkeit, mit der Kriminelle bestehende Systeme auf Schwachstellen untersuchen und diese sofort ausnutzen. Anbieter von Cybersecurity-Software entwickeln daher immer neue Methoden im Kampf gegen Angriffe aller Art. Ihr Unternehmen sollte daher Hard- und Software stets aktuell halten: Regelmäßige Upgrades und Updates sind unerlässlich.

Eine weitere Herausforderung ist die stetig wachsende Datenmenge in Unternehmen. Je größer eine Firma und die damit verbundene Datenmenge, desto mehr zieht dies die Aufmerksamkeit von Kriminellen auf sich. Wächst Ihre Firma, sollten auch Ihre Sicherheitsmaßnahmen gegen Cyberangriffe verstärkt werden.

Cybersecurity sollte in Ihrem Unternehmen somit – falls noch nicht geschehen – unbedingt in den Mittelpunkt Ihrer Sicherheitsbemühungen rücken. Der Schutz Ihrer Daten ist Ihr Kapital. Welche Maßnahmen IT-Expert:innen für mehr Cybersicherheit empfehlen, lesen Sie im folgenden Abschnitt.

Künstliche Intelligenz als Gamechanger

In vielen Bereichen der IT verändert künstliche Intelligenz (KI) bestehende Prozesse oder bringt ganz neue Anwendungsfälle hervor. Auch Cyberkriminelle setzen bereits Werkzeuge mit integrierter KI ein. So warnt etwa der TÜV in seinem Meetup „Cybersicherheit in Zeiten von Chat-GPT“, dass Kriminelle sich beispielsweise zielgerichtet Mails für Ransomware-Attacken und das Spear Fishing von künstlichen Intelligenzen schreiben lassen. Auch das vermehrte Programmieren von Schadcode durch KI sehen die TÜV-Experten als Szenario. Damit können auch Täter:innen ohne Programmiererfahrung Schadsoftware programmieren und erfahrene Hacker neu entdeckte Sicherheitslücken in Standardanwendungen bereits wenige Minuten nach deren Bekanntwerden per KI-programmierter Software attackieren.

Umgekehrt nutzen Sicherheitsexpert:innen ebenfalls KI um Sicherheitslücken in vorhanden IT-Infrastrukturen schneller aufzuspüren:

• IBM Security nutzt KI-Technologien wie maschinelles Lernen und die Verarbeitung natürlicher Sprache um im Internet schneller Berichte und Blogbeiträge über neue Cybergefahren zu finden und so zeitnah Abwehrmaßnahmen gegen diese Gefahren zu entwickeln.
• Mit Blick auf den vielversprechenden Markt KI-geführter oder unterstützter Systeme in Industrie, IT oder dem Straßenverkehr (etwa in autonomen Fahrzeugen) befasst sich das Fraunhofer-Institut für Kognitive Systeme (IKS) mit der grundsätzlichen Manipulierbarkeit von KI-Anwendungen, zum Beispiel durch Cyberkriminelle. Das Institut arbeitet an KI-Systemen, die alle ihre Entscheidungswege besonders transparent und nachvollziehbar darstellen. Dadurch wird es möglich, mittels klassisch programmierter Software diese Entscheidungen der KI-Systeme zu überprüfen und so zu erkennen, ob darin Anzeichen für Cyberangriffe oder andere Gefahren sichtbar sind. Die Kontrollsoftware aktiviert dann Sicherheitsprotokolle und verwirft diese Entscheidungen der KI.
• Google setzt seine eigenen KI-Werkzeuge MUM und BERT ein, um bei Internetsuchen verdächtige Seiten auszusortieren, die Spam oder Ransomware enthalten könnten.

Künstliche Intelligenz hat somit den Wettlauf zwischen Cyberkriminellen und Sicherheitsexperten weiter beschleunigt.

Welche Rolle spielt das Internet of Things (IoT) für Cybersecurity?

Für Unternehmen bietet das sogenannte Internet of Things (deutsch: Internet der Dinge, abgekürzt: IoT) große wirtschaftliche Vorteile. Smarte Sensoren in einer Fertigungsanlage ermöglichen innovative Prozesse wie beispielsweise eine vorausschauende Instandhaltung (englisch: Predictive Maintenance).

In der sogenannten Industrie 4.0 kommunizieren Maschinen mithilfe des IoT miteinander und machen Produktionsabläufe weniger anfällig für Störungen aller Art. Auch das Gesundheitswesen und Energieerzeuger profitieren vom Einsatz smarter Geräte. Aber wie ist es um die Sicherheit von IoT-Geräten bestellt?

Gefahr für Ihre Mitarbeiter:innen

IoT-Geräte sind häufig unauffällig und wirken auf den ersten Blick nicht wie lohnenswerte Ziele für Kriminelle. Doch selbst der kleinste Smart-Sensor ist Teil eines größeren Netzwerks und erhebt kontinuierlich Daten, die Aufschluss über den Zustand einer gesamten Fertigungsanlage geben können. Gelingt es Kriminellen, diesen Prozess zu stören, kann die gesamte Produktion für lange Zeit komplett ausfallen.

Während Angriffe auf IT-Systeme meist Daten stehlen oder beschädigen, richten Kriminelle bei einer Attacke auf IoT-Komponenten physische Schäden an. Schlimmer noch: Kommt es aufgrund einer Cyberattacke zu Schäden an der Sensortechnik, können defekte Maschinen auch die Gesundheit Ihrer Mitarbeiter:innen gefährden.

Angriffe auf das IoT: Eine unterschätzte Bedrohung

Das Bundesamt für Sicherheit in der Informationstechnik warnt eindringlich vor nachlässigen Sicherheitsmaßnahmen bei IoT-Geräten. Wenn Sie smarte Geräte nicht regelmäßig mit den neuesten Updates patchen, nutzen Kriminelle Schwachstellen umgehend aus. So kam es in der Vergangenheit immer wieder zu DDoS-Angriffen. Hacker:innen integrierten IoT-Geräte in ein Botnet. Gekaperte Webcams, Kameras, Router und Drucker attackierten als Teil des sogenannten Mirai-Botnet unter anderem im Vorfeld der US-Präsidentschaftswahlen 2016 die Internetseiten von Social-Media- und Streaming-Anbietern.

Expert:innen sind sich sicher: Viele der erfolgreichen Angriffe auf IoT-Geräte hätten nicht in dieser Tragweite zum Erfolg führen können, wenn grundlegende IoT-Sicherheitsmaßnahmen beachtet worden wären. Dazu gehören regelmäßige Systemupdates, sichere Passwörter sowie ein wachsames Auge im Umgang mit verdächtigen E-Mails, SMS und Messengernachrichten.

Cybersecurity in Ihrem Unternehmen

Ein gewissenhafter Umgang mit Technologie spielen bei Cybersecurity eine ebenso entscheidende Rolle wie technische Sicherheitsmaßnahmen. Es empfiehlt sich daher, bei Mails mit unbekannter Absenderadresse vorsichtig zu sein, keine Links aus unbekannten Quellen aufzurufen und regelmäßige Virenscans durchzuführen. Denn viele Infizierungen mit Schadsoftware sind Folge von Eigenverschulden der Anwender:innen.

Anders formuliert: Der Mensch ist meist die erste Hürde, die Cyberkriminelle nehmen müssen. Nur mit einem gut geplanten Sicherheitskonzept bleibt Ihr Unternehmen auch in Zukunft geschützt. Ausreichend geschultes Personal und Technik auf dem neuesten Stand bieten einen optimalen Schutz gegen Angriffe auf Ihr Unternehmen.

Expert:innen empfehlen, dass auch mittelständische Unternehmen sich regelmäßig mittels sogenannter Pentests auf Schwachstellen und Einfallstore für Cyberkriminelle testen lassen. Hierfür gibt es spezielle IT-Dienstleister, die solche Tests durchführen können.

Cybersecurity: Das Wichtigste im Überblick

• Nahezu jedes Unternehmen in Deutschland war schon einmal von einer Cyberattacke betroffen.
• Cyberkriminelle werden zunehmend professioneller und arbeiten arbeitsteilig.
• Das Erpressen von Unternehmen und Organisation mittels Ransomware verzeichnet ein starkes Wachstum und verursacht große Schäden.
• Mittels künstlicher Intelligenz und maschinellem Lernen rüsten Cyberexpert:innen im Kampf gegen Internetkriminalität auf.
• Mit Pentests prüfen viele Unternehmen regelmäßig, ob ihre Firmen-IT Sicherheitslücken bietet, von denen Kriminelle profitieren könnten.

Quelle:

https://www.vodafone.de/business/featured/digitales-business/digitale-geschaeftsprozesse/cyber-security/

Ob durch Cyberkriminalität, unsachgemäßen Umgang oder technische Mängel – der weltweite Schaden aufgrund von Datenpannen steigt seit 2011 kontinuierlich an. Je größer das Unternehmen oder die Organisation, desto mehr Schaden entsteht dabei durchschnittlich. Gleichzeitig sind die Bestimmungen zum Umgang mit personenbezogenen Daten durch die Einführung der Datenschutz-Grundverordnung (DSGVO) strenger geworden, unter anderem durch eine Meldepflicht bei den Datenschutzbehörden. Doch wann liegt überhaupt eine meldepflichtige Datenpanne vor – und wie gehen Sie in Ihrem Unternehmen damit um?

Nach einer Untersuchung des amerikanischen Ponemon Institutes im Auftrag von IBM sind die Schadenssummen im Gesundheitssektor am größten: Durchschnittlich ist dort im Jahr 2022 pro Datenpanne ein Schaden von umgerechnet rund 9,1 Millionen Euro entstanden. Auch die Bereiche Finanzen, Technologie, Dienstleistungen und Industrie sind stark betroffen. Hier entstehen im Schnitt zwischen umgerechnet vier und 5,5 Millionen Euro Schaden pro Panne. Beträge, die viele Unternehmen schlichtweg ruinieren können.

Wie genau eine Datenpanne definiert ist, wie Sie sich in einem solchen Fall verhalten und wann Unternehmen für Datenpannen haften müssen, erfahren Sie in diesem Artikel.

Was ist eine Datenpanne?

Datenpannen kommen in Unternehmen häufiger vor, als bekannt ist. In der Vergangenheit blieben viele davon allerdings ohne Reaktion – seitens der Mitarbeiter:innen oder sogar der Unternehmensführung. Das Bewusstsein oder das technische Verständnis dafür fehlte, wann überhaupt eine Datenpanne vorliegt.

Gleichzeitig sah die EU-Datenschutzrichtlinie von 1995 bis in das Jahr 2018  weniger strenge Sanktionen beim laxen Umgangs mit sensiblen Daten vor, wie zum Beispiel mit denen von Kund:innen. Zudem mussten die Mitgliedsstaaten die Richtlinie erst in nationale Gesetze übertragen, was Deutschland im Rahmen des Bundesdatenschutzgesetzes nur unzureichend umsetzte.

Die Einführung der EU-weiten Datenschutz-Grundverordnung (DSGVO) im Jahr 2018 ist hingegen EU-weit bindend. Seitdem hat sich das Bewusstsein für und der Umgang mit Datenpannen verbessert. Dies liegt unter anderem daran, dass die Regelungen erheblich schärfer sind, nach denen Unternehmen oder andere Organisationen mit personenbezogenen Daten umgehen dürfen.

Nun drohen ernsthafte juristische und finanzielle Konsequenzen, wenn ein Unternehmen oder eine andere Organisation die Bestimmungen der DSGVO und Maßnahmen zur Data Loss Prevention, also dem Schutz vor Datenverlust, nicht ernst nehmen.

Zu diesem Zweck definiert die DSGVO sehr deutlich, wann eine Datenpanne vorliegt. Eine Datenpanne ist eine

„Verletzung des Schutzes personenbezogener Daten“: eine Verletzung der Sicherheit, die, ob unbeabsichtigt oder unrechtmäßig, zur Vernichtung, zum Verlust, zur Veränderung, oder zur unbefugten Offenlegung von beziehungsweise zum unbefugten Zugang zu personenbezogenen Daten führt, die übermittelt, gespeichert oder auf sonstige Weise verarbeitet wurden.“ Artikel 4, Nummer 12, Datenschutz-Grundverordnung.

Dabei ist allerdings nicht automatisch jede Datenpanne im Sinne der DSGVO relevant. Kommt es zur versehentlichen Weitergabe oder Veröffentlichung von nicht personenbezogenen Daten, bleibt dies in Bezug auf die DSGVO rechtlich ohne Konsequenzen.

Gleichwohl kann es andere finanzielle und juristische Auswirkungen nach sich ziehen, die ebenso geschäftsschädigend sein können. Beispiele dafür sind die versehentliche Veröffentlichung von in der Entwicklung befindlichen Produkten oder die Weitergabe von internen Informationen bei der Zusammenarbeit mit Geschäftspartnern.

Beispiele für Datenpannen

Übliche Datenpannen sind unter anderem:

• die unverschlüsselte Weiterleitung von Daten in E-Mails oder anderen Systemen, wie etwa im Customer-Relationship-Management (CRM),
• die bewusste oder versehentliche Veröffentlichung personenbezogener Daten,
• der Datenverlust durch ein entwendetes oder verlorenes Speichermedium (wie Speicherkarten, USB-Sticks, Festplatten),
• die missbräuchliche Verwendung von Zugriffsrechten,
• der unberechtigte Zugang zu Unternehmensdaten durch Dritte,
• der Zugriff auf Daten durch Cyberkriminelle, wie etwa durch Schadsoftware oder Phishing-Angriffe,
• die fehlerhafte Löschung beziehungsweise Entsorgung von Speichermedien.

Bis wann müssen Sie einen Datenschutzvorfall melden?

Wenn es in Ihrem Unternehmen zu einer Datenpanne gekommen ist, besteht dann eine Meldepflicht, wenn ein möglicher Verlust personenbezogener Daten vorliegt. Laut DSGVO greift in diesem Fall eine generelle Meldepflicht. Das Gesetz schreibt in diesem Zusammenhang vor, dass Sie die Datenverletzung im besten Fall sofort, aber spätestens binnen 72 Stunden der zuständigen Aufsichtsbehörde melden müssen. Nur in begründeten Ausnahmefällen ist dies auch später möglich.

Für die Meldung einer Datenpanne in Unternehmen und Organisationen haben die meisten Landesbehörden für Datenschutz entsprechende Online-Formulare eingerichtet. Dort müssen Sie neben dem Namen Ihres Unternehmens und entsprechender Ansprechpartner:innen vor allem die Art und den Zeitpunkt der Datenpanne melden. Auch die Anzahl der möglicherweise von der Datenschutzverletzung betroffenen Personen sowie gegebenenfalls bereits von Ihnen ergriffene Gegenmaßnahmen müssen Sie hier angeben.

Die Meldung ist damit jedoch noch nicht abgeschlossen. Sie als verursachendes Unternehmen können das Ausmaß einer Datenschutzverletzung zu diesem Zeitpunkt möglicherweise noch nicht vollends abschätzen. Aus diesem Grund erhalten Sie nach Abgabe der Meldung in der Regel ein Aktenzeichen, unter dem Sie zu späteren Zeitpunkten ergänzende Angaben bei der Behörde vornehmen können.

Wichtig zu wissen: Im Fall eines besonders hohen Risikos der Datenpanne müssen Sie auch die betroffenen Personen über den Vorfall informieren. Die DSGVO schreibt dies zum Beispiel in Fällen vor, in den Cyberkriminelle Zugriff auf Namen, Passwörter oder andere Daten von Kund:innen hatten. Auch hier müssen Sie den Betroffenen die Kontaktdaten der zuständigen Person für Datenschutz in Ihrem Unternehmen und einer weiteren Anlaufstelle nennen. Daneben sollten Sie eine möglichst genaue Beschreibung des Vorfalls sowie möglicherweise daraus resultierende Konsequenzen schildern.

Was passiert, wenn ein Unternehmen eine Datenpanne nicht meldet?

Die oben genannten Maßnahmen zur Meldung einer Datenpanne sind zwingend vorgeschrieben. Beim Versäumnis einer Meldung droht Unternehmen ein Bußgeld von bis zu 20 Millionen Euro oder bis zu zwei Prozent des weltweiten Vorjahresumsatzes. Die Höhe richtet sich nach der Schwere, der Art und der Dauer des Vorfalls sowie dem Grad an Fahrlässigkeit oder gegebenenfalls Vorsatz vonseiten des verursachenden Unternehmens (DSGVO, Art. 83, Nr. 4).

Darüber hinaus haften Sie als Unternehmen für alle weiteren materiellen und immateriellen Schäden, die den Betroffenen entstehen. Dies können neben anderen, vielleicht sogar sehr großen Unternehmen auch enorm viele Einzelpersonen sein, etwa beim Verlust von Kundendaten. Nehmen Sie eine Datenpanne und die geschilderten Fristen also keinesfalls auf die leichte Schulter.

So verhalten Sie sich im Fall einer Datenpanne

Wie erwähnt ist nach der Entdeckung einer Datenpanne schnelles Handeln gefragt und sogar gesetzlich vorgeschrieben. Diese Maßnahmen sollten Sie konkret ergreifen, wenn in Ihrem Unternehmen eine Datenpanne entdeckt worden ist:

• Analyse: Welche Systeme sind genau betroffen? Sind durch die Datenpanne die Persönlichkeitsrechte Dritter verletzt worden? Welche Schäden sind den Betroffenen möglicherweise schon entstanden? Können Sie diese Fragen nicht genau beantworten, ziehen Sie am besten externe Datenschutzexpert:innen hinzu.
• Gegenmaßnahmen: Unmittelbar folgend auf die Analyse sollten Sie dringend Schritte unternehmen, um das Datenleck zu schließen und mögliche Rechtsverletzungen zu beenden. Damit können unterschiedliche Maßnahmen einhergehen, die Ihre IT-Verantwortlichen koordinieren sollten: mit den von den Maßnahmen betroffenen Mitarbeiter:innen sowie im Zweifelsfall mit Dienstleistern wie etwa Ihren Internet-Providern und Cloud-Hosting-Anbietern.
• Meldepflicht überprüfen: Klären Sie mit externen Datenschutzbeauftragten, ob aufgrund der Datenpanne eine Meldepflicht vorliegt, weil etwa Persönlichkeitsrechte verletzt wurden.
• Meldung: Falls dies der Fall ist, melden Sie die Panne innerhalb von 72 Stunden der zuständigen Datenschutzbehörde Ihres Bundeslandes. Mehr zum Ablauf einer Meldung haben Sie bereits weiter oben erfahren.
• Evaluation: Wenn die Sofortmaßnahmen abgeschlossen sind, sollten Sie die Vorkommnisse intern aufarbeiten. Beziehen Sie sämtliche interne Verantwortliche und Betroffene sowie idealerweise auch externe Datenschutzexpert:innen in diesen Prozess ein. Analysieren Sie, aus welchem Grund es zu einer Datenpanne kommen konnte.
• Konsequenzen: Je nach Ausgang der Evaluation sollten Sie sicherstellen, dass sich künftig keine derartigen Vorfälle wiederholen. Die Gründe für die Datenpanne können viele Ursachen haben und entsprechend unterschiedliche Konsequenzen nach sich ziehen. Mithilfe einer externen Beratung könnten Sie beispielsweise die Datensicherheit in Ihrem Unternehmensnetzwerk verbessern, etwa durch Zwei-Faktor-Authentifizierung (2FA) und ein Zero-Trust-Konzept. Lagen der Datenpanne menschliche Fehler zugrunde, empfehlen sich Sicherheitsschulungen für Ihre Belegschaft. Auch das Hinzuziehen von zusätzlicher Datenschutz- und Security-Expert:innen in Ihre täglichen Geschäftsprozesse kann nützlich sein; falls Sie festgestellt haben, dass es Ihrem Unternehmen daran mangelt. Diese simulieren zum Beispiel im sogenannten Threat Modeling, welche Gefahren Ihrer IT-Architektur drohen. Generell sind aber sämtliche dieser Maßnahmen empfehlenswert, um Datenpannen möglichst komplett zu verhindern.

Welche rechtlichen Konsequenzen kann eine Datenpanne nach sich ziehen?

Datenpannen können für Unternehmen wie erwähnt schwerwiegende Konsequenzen zur Folge haben. Die verpflichtende Meldung an die Datenschutzbehörden bedeutet bereits, dass ein Unternehmen oder eine Organisation DSGVO-relevante Versäumnisse einräumt, die automatisch auch juristische Auswirkungen haben. Welche dies konkret sind, hängt vom Einzelfall ab, bei dem unterschiedliche Faktoren eine Rolle spielen.

Einheitliche Bestrafungen durch den Gesetzgeber lassen sich nicht nennen, da diese von grundlegenden Umständen abhängen:

• Handelt es sich um eine fahrlässige oder bewusste Datenschutzverletzung?
• Welche Folgen hat die Datenpanne für die Betroffenen?
• Wie schnell und wie detailliert hat der Verursacher, also das Unternehmen oder die Organisation, mit den Datenschutzbehörden kooperiert?

Die reinen Bußgelder auf Basis dieser Faktoren fallen meist in den vier- bis fünfstelligen Bereich. Sie allein können für kleine Unternehmen bereits existenzbedrohend sein. Die Folgewirkungen einer Datenpanne können aber auch für größere Firmen gravierend ausfallen.

Zunächst kommen Regressforderungen der Geschädigten auf die Verursacher von Datenpannen zu, für die diese in der Regel aufkommen müssen. In manchen Fällen kann zwar die Haftpflichtversicherung Ihres Unternehmens den Schaden regulieren – handelt es sich allerdings um Fahrlässigkeit oder gar Vorsatz, können Sie keine Kompensation seitens der Versicherung erwarten.

Daneben spielen aber auch weiche Faktoren eine Rolle, die sich nur schwer beziffern lassen. Zum Beispiel kann der Ruf des Unternehmens oder der mit diesem assoziierten Marken Schaden nehmen. Ein Vertrauensverlust vonseiten der Kund:innen kann in der Folge zu erheblichen Umsatzeinbußen und sogar zu einer langfristigen Schädigung des gesamten Unternehmens führen.

Sollte es in Ihrem Unternehmen tatsächlich zu einer Datenpanne kommen, gehen Sie im Idealfall stets transparent gegenüber Behörden, Geschädigten und Kund:innen damit um. Versuchen Sie hingegen, Datenpannen zu verschleiern, schadet Ihnen dies im Zweifel langfristig sogar noch mehr als die konkreten Auswirkungen des Datenlecks an sich.

In einem umfangreichen Ratgeber haben wir Ihnen gemeinsam mit der Expertin Sarah Elßer von Tech Well Told zusammengestellt, wie Sie die Cyber-Sicherheit in Ihrem Unternehmen signifikant erhöhen können.

Datenpannen: Das Wichtigste in Kürze

• Datenpannen verursachen in vielen Wirtschaftsbereichen große Schäden. Pro Vorfall entstehen im Durchschnitt rund fünf Millionen Euro Schaden, was für viele Unternehmen existenzbedrohend sein kann.
• Nach der Datenschutzgrundverordnung (DSGVO) liegt dann eine Datenpanne vor, wenn die Sicherheit von personenbezogenen Daten verletzt wurde; egal ob Ihr Unternehmen diese übermittelt, gespeichert oder anders verarbeitet hat.
• Beispiele für Datenpannen sind die unverschlüsselte Übermittlung von Kundendaten über das Internet, die Veröffentlichung von personenbezogenen Daten sowie der Verlust von Speichermedien mit entsprechendem Inhalt.

Quelle:

https://www.vodafone.de/business/featured/digitales-business/digitale-geschaeftsprozesse/datenpanne-was-tun-hilfreiche-tipps-im-fall-der-faelle/

Im Jahr 2022 verzeichneten Unternehmen weltweit mehr als 493 Millionen Ransomware-Angriffe. Das geht aus dem Cyber-Threat Report 2023 des Cybersecurity-Unternehmens SonicWall hervor. Wir erläutern, was Sie tun können, wenn Cyberkriminelle Ihr Unternehmen ins Visier genommen haben – und was Sie tun sollten, damit Sie erst gar nicht zur Zielscheibe von Erpressern werden.

Cyber-Attacken mit erpresserischer Malware (Ransomware) können sowohl einzelne Dokumente als auch komplette Geräte und Systeme betreffen. Damit stellen sie eine ernsthafte Bedrohung für Ihr Geschäft dar, denn ein erfolgreicher Angriff kann zu Daten- und Reputationsverlust sowie massiven finanziellen Schäden führen.

Daher ist es empfehlenswert, Angriffen mithilfe geeigneter Maßnahmen vorzubeugen: Die Sensibilisierung Ihrer Belegschaft gehört ebenso dazu wie der Schutz von Geräten und Daten in Ihrem Unternehmen. Mithilfe spezieller Software inklusive Antivirus-Funktion und Ransomware-Schutz können Sie sich technisch absichern.

Was ist Ransomware-as-a-Service?

Nicht nur vertrauenswürdige Anbieter wie Microsoft und Google stellen Ihre Services z. B. per Cloud-Computing zur Verfügung. Auch Entwickler von Ransomware haben das Geschäftsmodell Software-as-a-Service für sich entdeckt und bieten die Nutzung ihrer Tools und Infrastruktur gegen Entgelt anderen Kriminellen an. Diese erhalten dank Ransomware-as-a-Service (RaaS) Zugang zu einer betriebsbereiten Malware, mit der sie eigene Angriffe durchführen können. Solche RaaS-Dienste umfassen in der Regel

eine benutzerfreundliche Oberfläche

technischen Online-Support

Abrechnungssysteme für Lösegeldzahlungen

Das Modell Ransomware-as-a-Service hat insofern zur Verbreitung von Cybercrime beigetragen, als das es auch weniger technisch versierten Personen ermöglicht, Cyberangriffe durchzuführen. Viele dieser Attacken erfolgen inzwischen nicht mehr manuell, sondern meist halbautomatisiert.

Wie funktioniert Ransomware?

Eine typische Ransomware-Attacke verläuft in der Regel in drei Schritten, nachdem die Schadsoftware in Ihr System gelangt ist. Das kann beispielsweise über eine infizierte E-Mail geschehen.

1. Ausspähung: Zunächst infiltrieren Erpresser Ihr System mit bösartigem Code und spähen es aus. Sie ermitteln Dateien, die sich als Ziel für eine Attacke eignen. In der Regel suchen die Cyberkriminellen dabei zudem nach Berechtigungsausweisen (z. B. Login-Daten), mithilfe derer sie Ransomware auf weiteren Geräten in Ihrem Firmennetz installieren können. Das alles geschieht meist, ohne dass Sie etwas davon mitbekommen.
2. Aktivierung: Ist ein lohnenswertes Ziel (in der Regel wichtige geschäftliche oder persönliche Dateien) ausgemacht, wird ein sogenannter Kryptotrojaner auf dem infiltrierten System installiert. Dieser verschlüsselt die Daten mit Hilfe eines Algorithmus, der meist die sogenannte asymmetrische Verschlüsselung nutzt. In der Folge haben Sie keinen Zugriff mehr auf diese Dateien, bis Sie von den Cyberkriminellen wieder freigegeben werden.
3. Lösegeldforderung: Im Anschluss informiert die Malware Sie über die Infektion und fordert Lösegeld. Als Zahlmethode setzen die Erpresser meist auf Kryptowährungen oder vergleichbare Methoden, mit denen sie Empfängeradressen verschleiern können. Einige Erpresser bauen dabei zusätzlich Druck auf – beispielsweise mit der Drohung, Daten, die sie ausgespäht haben, nach Ablauf eines Ultimatums öffentlich zu machen.

Was Ihnen unbedingt klar sein sollte: Eine Gewähr dafür, dass Sie nach Zahlung der verlangten Geldsumme tatsächlich wieder Zugriff auf Ihre Daten erhalten oder eine Veröffentlichung unterbleibt, gibt es in keinem Fall. Behörden raten deshalb in aller Regel dazu, sich nicht auf Lösegeldforderungen einzulassen.

Beispiele für bekannte Ransomware-Angriffe

Cyber-Erpresser haben in den vergangenen Jahren immer wieder diverse Typen von Schadprogrammen erfolgreich für Attacken auf Wirtschaftsunternehmen und andere Institutionen eingesetzt. Diese Angriffe wurden zum Teil auch in den Medien publik.

Fachleute, die sich mit der Entwicklung von Schutzmaßnahmen vor Cyber-Threats befassen, unterteilen Ransomware in sogenannte Familien. Diese unterscheiden sich voneinander mit Blick auf bestimmte Merkmale und Verhaltensweisen. Bekannte Ransomware-Familien sind etwa Clop, Conti, Hive und LockBit, die sich in der Art und Weise, wie sich die Software der Erkennung entzieht, unterscheiden.

Clop: Im Mai 2021 wird die Universität Maastricht Opfer einer Clop-Ransomware-Attacke. In der Folge muss die Hochschule ihre IT-Systeme abschalten und den Vorlesungsbetrieb zeitweise einstellen. Das Lösegeld beträgt 200.000 Euro in Bitcoin.

Conti: Im Juni 2021 gelingt es Hackern, deren Sitz in Russland vermutet wird, den Virenschutz des international tätigen brasilianischen Fleisch-Verarbeiters JBS zu durchbrechen und die Conti-Ransomware zu installieren. JBS-Betriebe in den USA, Kanada und Australien müssen vorübergehend schließen. Die Lösegeldforderung: 11 Millionen US-Dollar in Bitcoin.

Hive: Im November 2021 verschlüsseln Kriminelle die Daten auf rund 3.100 Servern von MediaMarkt und Saturn in Deutschland und den Niederlanden. Laut Medienberichten können daher in den Läden des Unternehmens zeitweise weder Bestellungen aufgegeben noch Retouren bearbeitet werden. Die Lösegeldforderung beträgt zunächst 240 Millionen US-Dollar in Bitcoin und wird später auf 50 Millionen reduziert.

LockBit: Im Januar 2023 attackieren Cyber-Kriminelle kritische Infrastruktur in Großbritannien, indem sie Daten des Postdienstleisters Royal Mail verschlüsseln. Infolge des Angriffs mit der LockBit-Ransomware können wochenlang keine Sendungen ins Ausland verschickt werden. Die initiale Lösegeldforderung von rund 80 Millionen US-Dollar wird später reduziert.

So schützen Sie Ihr Unternehmen vor Verschlüsselungstrojanern

Mit Blick auf den Schutz vor Ransomware und anderen Bedrohungen sollten Sie regelmäßige Back-ups Ihrer Systeme durchführen. Installieren Sie Sicherheitsupdates und Patches zeitnah, nutzen Sie eine Firewall sowie aktuelle Antivirensoftware. Sensibilisieren Sie Betriebsangehörige für Phishing, Social Engineering und andere Einfallstore für Kryptotrojaner. Implementieren Sie eine umfassende Sicherheitsrichtlinie inklusive sorgfältiger Verwaltung der Zugriffsrechte in Ihrem Unternehmen. Prüfen Sie Ihre Maßnahmen regelmäßig und aktualisieren Sie sie diese bei Bedarf.

So entfernen Sie Erpressungstrojaner

Falls Sie trotz aller Sicherheitsmaßnahmen Opfer eines Erpressungsversuchs werden, sollten Sie folgende Schritte einleiten, um den Schaden so gering wie möglich zu halten:

• Betroffene Systeme isolieren: Trennen Sie infizierte Geräte sofort vom Netzwerk. So verhindern Sie eine weitere Ausbreitung der Schadsoftware.
• IT-Abteilung informieren: Benachrichtigen Sie umgehend Ihre IT-Fachleute über den Angriff, damit sie den Vorfall analysieren und geeignete Maßnahmen ergreifen können.
• Ruhe bewahren: Zahlen Sie kein Lösegeld. Andernfalls fördern Sie kriminelle Aktivitäten –Informieren Sie stattdessen die zuständigen Behörden.
• Virenscan durchführen und Entschlüsselungstool verwenden: Ggf. können Sie selbst einen Virenscan durchführen, infizierte Daten löschen und ein Entschlüsselungstool verwenden, um wieder Zugriff auf Ihre Daten zu erlangen.
• Daten sichern: Stellen Sie Ihre Daten aus vorherigen Back-ups wieder her. Stellen Sie vorher sicher, dass die Wiederherstellungsumgebung sauber ist. So vermeiden Sie erneute Infektionen.

Ransomware im Überblick

Ransomware ist Schadsoftware, die Kriminelle auf den Geräten ihrer Opfer installieren. 

Die Installation der auch als Verschlüsselungstrojaner oder Erpressungstrojaner bekannten Malware bleibt in der Regel zunächst unbemerkt. 

Sobald der Trojaner aktiviert wird, verschlüsselt er Dateien bzw. macht den Zugriff auf sie auf andere Art unmöglich. 

Im Anschluss fordert die Software die Opfer der Attacke zur Zahlung von Lösegeld auf. 

Den Forderungen der Angreifer nachzukommen ist keine Gewähr dafür, dass die im Gegenzug zugesicherte Wiederherstellung der Daten auch tatsächlich erfolgt.

Quelle:

https://www.o2business.de/magazin/ransomware/

Phishing ist eine der gängigsten Cyberattacken auf Unternehmen. Und doch konnten laut „State of the Phish Report 2023“ weniger als ein Drittel der befragten Personen den Begriff korrekt definieren. Wir erklären, was Phishing ist, und warum Ihnen auch Smishing und Vishing bekannt sein sollten.

Was ist Phishing?

Phishing ist ein Sammelbegriff für verschiedene Arten der Kontaktaufnahme mit betrügerischer Absicht. Ziel von Phishing ist es, Menschen zu bestimmten Handlungen zu bewegen. Das kann z. B. die Weitergabe von vertraulichen Informationen oder die Installation von Schadsoftware sein.

Meist setzen Kriminelle dazu sogenannte Phishing-E-Mails ein. Diese sollen die Empfänger dazu bringen, auf einen Link in der Nachricht zu klicken, der auf eine Phishing-Website führt. In der Regel werden sie unter Vortäuschung dringender Notwendigkeit aufgefordert, vertrauliche Daten wie etwa Passwörter oder Kontodaten anzugeben. Diese Websites sehen denen vertrauenswürdiger Institutionen oft zum Verwechseln ähnlich. Geben Sie dort Ihre Daten ein, übermitteln Sie damit den Betrügern diese sensiblen Informationen. Auf diese Weise gelangen Kriminelle immer wieder in den Besitz geheimer Geschäftsdaten.

Um ihre Ziele zu erreichen, wenden die Betrüger Methoden des sogenannten Social Engineerings an. Im Unterschied zum klassischen Hacking zielt diese Strategie auf die Menschen in Ihrem Unternehmen – nicht auf Schwachstellen in der IT-Infrastruktur. Dabei werden Mitarbeiterinnen und Mitarbeiter getäuscht, unter Druck gesetzt oder anderweitig manipuliert, um die Vorkehrungen für Datensicherheit zu umgehen.

Ursprung des Ausdrucks

Der Ausdruck Phishing taucht erstmals 1996 in einer Newsgroup des Usenets (ein Vorläufer des World Wide Web) auf. Die ersten Hacker nannten sich auch Freaks und wählten dafür die Schreibweise „Phreaks“. Analog dazu prägte die Szene später den Kunstbegriff Phishing – eine Verschmelzung der Begriffe „Password-Harvesting“ („Passworternte“) und „Fishing“ („Angeln“).

Über 80 Prozent der Unternehmen waren bereits Ziel

Laut „State oft the Phish Report2023“ – einer Erhebung im Auftrag des IT-Sicherheitsunternehmens Proofpoint – waren im Jahr 2022 84 % der Unternehmen in 15 Ländern von mindestens einem erfolgreichen Cyberangriff per E-Mail betroffen. Die Summe der finanziellen Schäden stieg dem Bericht zufolge im Vergleich zum Vorjahr um 76 %.

Ähnlich entwickelte sich die Zahl der Phishing-Websites: Wie die Anti-Phishing Working Group (APWG) – eine internationale Koalition zur Bekämpfung von Cyberkriminalität – herausfand, überschritt die Anzahl solcher Seiten im Dezember 2022 die Marke von 450.000. Seit 2019 sei demnach die Zahl der Phishing-Angriffe um mehr als 150 % pro Jahr gestiegen.

Anzahl weltweit entdeckter Phishing-Webseiten von Januar 2015 bis Dezember 2022.

21 % der deutschen Unternehmen waren bereits Opfer einer DDoS-Attacke. Zu diesem Ergebnis kommt eine im Jahr 2022 vom Branchenverband Bitkom e. V. veröffentlichte repräsentative Studie. Wir zeigen, woran Sie DDoS-Angriffe erkennen und wie Sie sich davor schützen können.

Mit der richtig gewählten Datenverschlüsselung stellen Sie in Ihrem Unternehmen sicher, dass unbefugte Personen nicht ohne Weiteres Zugriff auf wichtige Geschäftsdaten erhalten. Das macht die Verschlüsselung sowohl beim Austausch von Informationen als auch bei deren Speicherung zu einem wichtigen Baustein der IT-Sicherheit in Ihrem Unternehmen.

Was ist Verschlüsselung?

Daten zu verschlüsseln bedeutet, lesbare Daten („Klartext“) in ein Format zu konvertieren, das für Außenstehende nicht ohne Weiteres zu dechiffrieren ist. Ziel der Verschlüsselung ist die Geheimhaltung von Daten, und zwar sowohl bei der Speicherung als auch bei der Übermittlung.

Meist kommt die sogenannte Ende-zu-Ende-Verschlüsselung zum Einsatz, bei der nur Sender und Empfänger der Kommunikation wissen, wie die Daten gelesen werden können. Auf diese Weise stellen Sie die Vertraulichkeit Ihrer Daten selbst bei einem erfolgreichen Cyberangriff sicher. Denn ohne die Möglichkeit, Ihre Daten zu dechiffrieren, bleiben sie für den Angreifer nutzlos. Somit ist die Verschlüsselung ein grundlegender Baustein der Datensicherheit in Ihrem Unternehmen.

Verschlüsselungsverfahren kurz vorgestellt

Computerbasierte Verschlüsselungsverfahren bestehen aus zwei Elementen: einem Schlüssel sowie einem Algorithmus. Der Algorithmus bestimmt, wie der Schlüssel auf die zu verschlüsselnde Botschaft angewendet wird. Der Schlüssel selbst ist eine Bitfolge – also eine Zahlenreihe aus Nullen und Einsen. Je länger diese Zahlenfolge ist, desto mehr Kombinationen sind möglich. Mit ihrer Zahl steigt auch die sogenannte Verschlüsselungstiefe. Anders gesagt: Je mehr Kombinationen möglich sind, desto sicherer ist der Schlüssel.

Symmetrische Verschlüsselung

Bei der symmetrischen Verschlüsselung werden Daten mithilfe desselben Schlüssels ver- und entschlüsselt. Dieses sogenannte Secret-Key-Verfahren eignet sich insbesondere für das Verschlüsseln von

• einzelnen Dateien
• kompletten Verzeichnissen
• physischen Laufwerken

Ein weitverbreitetes und als sehr sicher geltendes symmetrisches Verschlüsselungsverfahren ist AES (Advanced Encryption-Standard). Auf AES-Verschlüsselung setzen z. B. Regierungsbehörden in den USA, um Dokumente der höchsten Geheimhaltungsstufe zu schützen. AES unterstützt Schlüssel mit Längen von 128, 160, 192, 224 und 256 Bit.

Asymmetrische Verschlüsselung

Die asymmetrische Verschlüsselung nutzt zwei unterschiedliche Schlüssel zum Ver- und Entschlüsseln von Daten. Der zum Chiffrieren genutzte Schlüssel ist öffentlich (Public Key), der zum Dechiffrieren genutzte Schlüssel privat (Private Key). Beide Schlüssel bilden ein Paar, das dem Empfänger der Nachricht „gehört“. Damit der Empfänger eine verschlüsselte Nachricht empfangen kann, muss er dem Sender zunächst den öffentlichen Schlüssel bekannt geben. Diese Methode zur Verschlüsselung wird auch als Public-Key-Verfahren bezeichnet.