Menschliche Schwachstellen im Unternehmen

Die größte Gefahr für die Datensicherheit liegt nicht unbedingt außerhalb des Unternehmensnetzes. Häufig sind es auch interne Mitarbeiter und Dienstleister mit privilegierten Zugriffsrechten, die Sicherheitslücken aufreißen und damit ein Sicherheitsrisiko für das ganze Unternehmen darstellen.

Der Zugriff auf sensible Informationen durch privilegierte Nutzer bleibt ein wunder Punkt in der Sicherheitsstrategie vieler Unternehmen. Einerseits richten Unternehmen nicht genügend Aufmerksamkeit darauf, wie sie Benutzern nur die tatsächlich benötigten Zugriffsrechte auf Firmendaten zuweisen. Andererseits werden Hacker immer versierter darin, sich mit geraubten Zugangsdaten als legitime Nutzer auszugeben und im Firmennetz sich praktisch frei zu bewegen.

So gibt es also nicht nur Gefahren von außen, sondern für viele Organisationen kommt das höchste Gefahrenpotential von innen. Eine Vielzahl an privilegierten Nutzern im Unternehmen verfügen über herausgehobene Zugriffsrechte, die sie zur Erfüllung ihrer Aufgaben schlicht benötigen. Ohne eine granulare Zugriffssteuerung und Auditierung der Aktivitäten im Netzwerk lassen sich die Schwachstellen nicht schließen.

Wenn Angreifer indes die Sicherheit kompromittieren können, verfügen sie oft unbemerkt über Zugriffsberechtigungen auf geschäftskritische Systeme und sensible Daten. Der Kreis der Hauptverdächtigen umfasst nicht nur Administratoren, sondern auch Social-Media-Beauftragte und Cloud-Techniker.

Zehn interne Stellen, welche schnell zur größten Schwachstelle im Unternehmen werden können:

1. Assistenz der Geschäftsleitung

Executive Assistants unterstützen die Geschäftsleitung bei Routinearbeiten, Entscheidungen, Planungen und auch bei der Mitarbeiterführung. In ihrem Tätigkeitsfeld haben Sie Einblick in viele Prozesse, Zugriff auf unterschiedlichste Systeme und dürfen sogar E-Mails von Vorgesetzten mitlesen. Sie werten betriebswirtschaftliche Unterlagen der Betriebsführung aus, analysieren Angebote sowie Verträge und bereiten Verhandlungen samt Unterlagen für wichtige Besprechungen vor. Aufgrund dieses weit gefächerten Aufgabenprofils und entsprechend weit gefächerten Berechtigungen im Netzwerk sind sie auch ein lohnenswertes Ziel für Angreifer.

2. Social-Media-Manager

Gemeinsam mit anderen Digital-Marketing-Experten arbeiten Social-Media-Manager an der Weiterentwicklung und Umsetzung der Unternehmensstrategie in den sozialen Medien und überwachen Kampagnen mithilfe verschiedener Tools. Als Schnittstelle mit allen beteiligten Unternehmensbereichen planen, koordinieren und begleiten sie die Maßnahmen — mit allen dafür erforderlichen Privilegien im Netzwerk. Cyberkriminelle könnten sich in dieser Rolle beispielsweise die Gutgläubigkeit von Angestellten zunutze machen, um auf Systeme oder wertvolle Informationen zuzugreifen.

3. Ehemalige interne bzw. externe Mitarbeiter

Einer der wichtigsten Vorsichtsmaßnahmen in jedem Unternehmen ist es, Zugriffsrechte von Mitarbeitern oder Servicepartnern sofort bei Vertragsende zu sperren. Nicht immer wird diese Sicherheitsregel aber auch konsequent umgesetzt. Unterbleibt die sofortige Sperrung der veralteten Benutzerkonten, öffnen sich Unternehmen ganz automatisch für gefährliche Hackerangriffe.

4. Neue IT-Administratoren

Hacker denken nie eindimensional, sondern sind ständig auf der Suche nach neuen Ansatz-, pardon, Angriffspunkten. Da liegt es nahe, Online-Stellenausschreibungen zu recherchieren und per Social Engineering sich ins Unternehmensnetz zu tricksen. Neue IT-Administratoren beispielsweise sind mit den Abläufen, Protokollen und Prozessen beim neuen Arbeitgeber zwangsläufig noch nicht vertraut. Deshalb sind sie für Außenstehende erfolgsversprechende Angriffsziele.

5. Techniker von Drittanbietern

Im modernen Enterprise-Umfeld lassen sich die komplexen Verbindungen mit externen Zulieferern und Handelspartnern nur noch schwer überwachen. Lange Zeit konzentrierten sich die Sicherheitsmaßnahmen alleine auf Abhörsicherheit. Die simple Einrichtung von VPN-Tunneln nach außen beantwortet aber nicht die Frage, was per verschlüsselten Zugang tatsächlich abgerufen und konfiguriert wird. Schlimmer noch: VPN-Zugangsdaten mit Blankovollmacht in den falschen Händen bewirken, dass Zugriffe von außen nicht eingesehen und überwacht werden können.

6. IT-Sicherheitsberater

Vielschichtige Sicherheitsvorkehrungen im Unternehmensverbund beinhalten in der Regel, dass verschiedene Support- und Sicherheitsdienstleiter integriert sind. Auch sie verfügen über weitreichende Zugriffsrechte und Einwahlmöglichkeiten in das zentrale Firmennetz. Notwendig ist daher erstens, dass sich sämtliche Aktivitäten der Dienstleister überwachen lassen. Und zweitens müssen die Security Consultants auch dahingehend auditiert werden, ob ihre eigenen Schutzmaßnahmen ausreichen.

7. Zeitarbeiter

Im Einzelhandel und in der Dienstleistungsbranche ist es gang und gäbe, zu Stoßzeiten zusätzliche Fachkräfte und zeitlich befristete Arbeitskräfte hinzuzuziehen. In der IT-Branche ist das ähnlich und Zeitarbeiter erhalten so temporären Zugriff auf Online-Systeme wie Lohnabrechnungssysteme und andere Portale mit extrem wertvollen Daten. Auch Unternehmens-Hardware wie Laptops oder mobile Endgeräte stehen ihnen zur Verfügung. Wichtig ist, dass die kurzfristig beschäftigten Mitarbeiter den gleichen Sicherheitsvorkehrungen unterliegen wie alle anderen Mitarbeiter.

8. Geschäftsführer

Das FBI ermittelte die Kosten raffinierter Scam-Angriffe speziell auf CEOs. Alleine in den zurückliegenden drei Jahren sollen Unternehmen demnach einen Schaden von 2,3 Milliarden US-Dollar davongetragen haben. Diese Angriffsversuche auf die Zugangsdaten und Informationen der Geschäftsführer dokumentieren, dass externe Angreifer sowohl bei der obersten Führungsebene als auch bei einfachen Angestellten den Hebel ansetzen und Schwachstellen suchen und finden.

9. Cloud-Techniker

Immer mehr geschäftliche Informationen verlagern sich auf die Cloud, so dass alle mit der Cloud-Infrastruktur befassten Techniker grundsätzlich zu privilegierten Nutzern gezählt werden müssen. Diese Mitarbeiter bauen die IT-Architektur auf, verwalten eine Cloud-Plattform oder sind mit Datenmanagement, Datenrichtlinien und Geschäftsprozessmanagement befasst. Als Einzelpersonen haben sie weitreichende Befugnisse und Zugriffsmöglichkeiten auf Unternehmensdaten, was sie wiederum für Hacker interessant macht.

10. Charity-Manager

Beim Großangriff auf US-amerikanische Banken im Jahr 2014 zeigten sich die Angreifer besonders kreativ. Die Eindringlinge nutzten ein Wohltätigkeits-Event, um die Sicherheitssysteme der größten US-Bank JPMorgan Chase & Co zu umgehen. Für einen Straßenlauf gab es ein Netzwerk verschiedener Unternehmen mit den teilnehmenden Läufern. Nachdem die Systeme rund um diesen Lauf attackiert, erfolgreich geknackt und dann gekapert waren, konnten die Hacker tiefer in die IT-Landschaft der Großbank eindringen und auf die Kundendaten zugreifen. Persönliche Daten von 76 Millionen Privatkunden und 7 Millionen Firmenkunden wurden entwendet. Dies blieb wochenlang unbemerkt.

Woher kommt das alles? Und wer ist dafür verantwotlich?

Nun, es wird oftmals eine gefährliche Sorglosigkeit von der Geschäftsleitung vorgelebt - aus Unkentnis oder noch schlimmeren.

Ein paar Fakten: Die Geschäftsleitung muss beispielsweise das Erlassen von Sicherheitsleitlinien und Sicherheitsrichtlinien übernehmen. Denn diese zeigen die größte Wirkung, wenn sie von der obersten Führungsebene ausgehen. Richtlinien, die beispielsweise Administratoren erlassen, werden oft wenig bis gar nicht beachtet und sind damit vollkommen nutzlos.

Trotz der Wichtigkeit des Themas IT Sicherheit stehen bei der Geschäftsleitung vielfach ganz andere Punkte wie Personal, Vertrieb, Produktion, etc. ganz oben auf der Agenda. Zeitmangel und die Konzentration auf vermeintlich wichtigere Dinge verdrängen damit IT Sicherheit leider sehr oft nach hinten. Zum Zeitmangel kommt oftmals dann noch die fehlende Fachkompetenz dazu.

Das ändert aber rein gar nichts an der Tatsache, dass die Geschäftsleitung als allererstes in der Verantwortung steht - bei kleinen Betrieben der Inhaber bzw. Geschäftsführer, bei Gross-Betrieben der CEO.

Hier hat viel zu lange die Meinung vorgeherrscht - "Wir haben doch eine Firewall" (manchmal sogar ein ganzes Bündel davon...). Was aber nutzt die vermeintliche Sicherheit durch Firewalls & Co., wenn die grösste Gefahr doch von innern heraus dem Unternehmen droht. Wenn frustrierte Mitarbeiter, welche innerlich bereits seit langem gekündigt haben, beispielsweise Dritten Zugang zum Netzwerk gewähren oder Geräte mit zweifelhafter Herkunft einfach mit dem Netzwerk verbinden.
Oder gar Zugangsdaten von Geschäftsleitung, IT_Verantwortlichen und/oder anderen Führungskräften auf möglicherweise sogar privaten Mobil-Geräten geseichert sind, wenn privilegierte Accounts urplötzlich zur Zielscheibe von Angriffen werden. Soll Unternehmer/in dann einfach aufgeben?

Es ist essentiell wichtig, zu wissen und sich das jeden Tag auf das neue vor Augen zu führen, dass eine absolute Sicherheit mit heute verfügbaren Systemen so einfach und gar "out-of-the-box" einfach nicht möglich ist (ausser auf den Marketingbroschüren einzelner IT-Hersteller und diverser Systemhäuser...). Unds darüber hinaus arbeiten an den Systemen zu viele unterschiedliche Menschen mit all Ihren Fehlern und Schwächen!
Aber es gibt Erweiterungen, welche zumindest bei einem versuchten Datenabgriff selbst über privilegierte Accounts wirkungsvoll den Datenabgriff unterbinden.

Selbstverständlich ist das mit entsprechender Vorarbeit und permanenter weiteren Pflege verbunden. Aber nur so kommen Sie zumindest in die Nähe von Sicherheit.

Interessiert an mehr Information? Diese E-Mail-Adresse ist vor Spambots geschützt! Zur Anzeige muss JavaScript eingeschaltet sein!