Passwortsicherheit, Active Directory, Compliance – viele Cybersecurity-Themen sind allgemein relevant, andere sind etwas spezieller. Deswegen richten wir unsere Schulungs- und Trainingsangebote nach Verantwortungsbereichen aus.
Beispiele aus dem (Arbeits-)Alltag
Der Begriff „Hacker“ ruft bei vielen noch immer Bilder von bleichen Männern in schwarzen Kapuzenpullovern hervor. Sie sitzen in abgedunkelten Zimmern und hämmern mit fliegenden Fingern solange Code in ihre Tastatur, bis sie das System ihres Zielobjekts geknackt haben.
Die Realität sieht anders aus. Oft nutzen Cyberkriminelle ganz alltägliche Arbeitssituationen aus. Dabei setzen sie nicht nur auf rein technische Methoden – auch psychologische Manipulationstaktiken spielen eine wichtige Rolle.
Öffentliches WLAN – Das doppeltes Lottchen liest mit
Natürliches ist es praktisch unterwegs auf öffentliches WLAN zugreifen zu können. Schließlich schont man dadurch das eigene Datenvolumen und kann auf schnellere Geschwindigkeiten hoffen. Gefährlich wird es aber, wenn man sich nicht mit dem gewollten Hot Spot, sondern einem betrügerischen Doppelgänger verbindet.
Verschiedene Netzwerke können die gleichen Namen tragen und einige Angreifer hoffen darauf, dass nichtsahnende Personen das falsche Netzwerk wählen. Liegen dann Sicherheitslücken auf dem eigenen Gerät vor – beispielsweise durch veraltete Software – können Angreifer diese ausnutzen. Anstatt die legitime Onlinebanking-Website zu besuchen, könnte man auf eine gefälschte Seite weitergeleitet werden, um dort Ihre Zugangsdaten abzugreifen.
KI-Agenten – Wenn die KI zum Klatschreporter wird
Der KI-Agent OpenClaw machte schnell nach seiner Veröffentlichung weltweit Schlagzeilen. Leider nicht nur durch die effiziente Automatisierung lästiger Aufgaben, sondern weil er unter anderem sensible Daten der Nutzenden im Internet veröffentlichte – darunter in einem Forum, in dem allein KI-Agenten (!) miteinander kommunizieren und Menschen nur mitlesen konnten.
Gibt man einer Anwendung uneingeschränkten Zugriff auf Daten, muss man sich darüber bewusst sein, was im schlimmsten Falle preisgegeben werden könnte; beispielsweise wo sich Ihre Kinder regelmäßig aufhalten. Kalendereinträge oder Chatgruppen zu Handballtrainings oder Klavierstunden, Metadaten von Fotos oder Videos: Ohne eine klare Regulierung der Freigaben können Helfer zum Problem werden.
Phishing – Ihr Chef braucht die Antwort jetzt!
Während früher langverschollene Verwandte ihre rechtmäßigen Erben über einen Geldeingang informieren wollten, sind es heute die Führungskräfte, vor denen man sich in Acht nehmen sollte. Was auf den ersten Blick wie eine legitime E-Mail eines bekannten Absenders scheint, ist oft nur eine Fassade für Cyberkriminelle, um an Zugangsdaten zu gelangen oder Malware zu verbreiten.
Die Kombination aus professionell fingierter Nachricht mit einem stressigen Arbeitstag machts möglich. Da gibt die vermeintliche Führungskraft mit entsprechend dringlicher Wortwahl den Auftrag eine Überweisung zu tätigen, während man vor Betriebsschluss eh noch einen Berg an Aufgaben erledigen sollte – und schon ist Geld auf einem ausländischen Konto verschwunden.
Weitere Beispiele
Sollte ein Mitarbeitender privat Opfer eines Datendiebstahls werden, kann es auch Auswirkungen auf den Arbeitgeber haben. Werden gleiche Passwörter für private und berufliche Konten verwendet, verschafft sich ein Cyberkrimineller auch schnell Zugang zu Unternehmensdaten.
Die zugehörige E-Mailadresse findet man schnell – spätestens, wenn man den allgemeinen Aufbau verstanden hat. Denn von der öffentlich einsehbaren Adresse der Vertriebsleiterin, tina.mustermann@hurra-vertrieb.com, ist schnell auf die Adresse anderer Angestellten wie heinz.torbogen@hurra-vertrieb.com zu schließen. Erlangt ein Cyberkrimineller auf diese Weise etwa Zugang zum E-Mailaccount, können Phishingmails direkt von einer legitimen E-Mailadresse aus verbreitet werden.
Es klingt wie ein Scherz, ist aber die Wahrheit. Unter den beliebtestes Passwörtern der Deutschen finden sich immer noch simple Konstrukte wie „password“, „qwerty“ oder „123456“. Diese sind so simpel, dass sie in weniger als einer Sekunde zu knacken sind.
Was Passwörter angeht, sind viele Menschen privat und beruflich noch zu unbedarft. Dabei tut es nichts zur Sache, ob es sich um Computer, Onlinebanking-App oder Qualitätsmanagementsystem handelt. Mit diesen Voraussetzungen helfen die besten technischen Sicherheitsvorkehrungen nichts.
Wer jetzt denkt „Dann nutze ich einfach eine Kombination aus den Namen meiner Kinder und ihren Geburtstagen“ tritt ins nächste digitale Fettnäpfchen. Kombinationen dieser Art werden sehr häufig genutzt, da sie durch ihren hohen privaten Bezug relativ einfach zu merken sind. Leider wissen Cyberkriminelle das mit großem Erfolg auszunutzen.
7 Uhr morgens. Sie fahren den PC hoch. Alles scheint wie normal, bis Sie die Exceltabelle mit Quartalszahlen öffnen wollen und stattdessen nichts mehr geht. Eine kleine unscheinbare Textdatei – wahlweise auch Dutzende für sich genommen kleine und unscheinbare Textdateien – informiert sie darüber, dass alle Ihre Daten nach einem Ransomware-Angriff verschlüsselt wurden und Sie jetzt bitte 1 Millionen Euro als Bitcoin überweisen sollen. Wie gehen Sie vor?
A. Sie legen sich in Fötalstellung auf den Boden und weinen.
B. Sie fragen sich, ob eine Verwechslung vorliegt, weil Ihr Betrieb doch „zu klein“ für einen lohnenden Cyberangriff ist.
C. Sie bezahlen, um Ihre Daten wieder zu bekommen.
D. Sie befolgen den Notfallplan, den Sie in weiser Voraussicht angelegt und bis zum Umfallen mit Ihrer Belegschaft durchexerziert haben.
Antwort A sorgt vielleicht vorübergehend für emotionale Erleichterung, verschwendet aber wertvolle Zeit. Antwort B spiegelt einen oft gehörten Mythos wider, dem leider viel zu viele KMU vertrauen. Antwort C erscheint vielen Opfern als unumgänglich. Leider ermutigt es Cyberkriminelle dazu, mit ihrer Masche weiterzumachen.
Richtig ist Antwort D. Für den Ernstfall sollte immer ein Notfallplan vorliegen, der sowohl Handlungsschritte als auch Verantwortliche festlegt. Ganz wichtig: Auch der beste Notfallplan hilft nichts, wenn man ihn nicht übt.