Während die meisten Menschen aufgrund der Angst vor dem Coronavirus vom heimischen Schreibtisch aus arbeiten und nur für das Nötigste vor die Tür gehen, gibt es eine Gruppierung, die diese Situation ausnutzt: Cyberkriminelle. Laut TÜV-Verband (VdTÜV) kursieren bereits seit Wochen Phishing-Mails und Smartphone-Apps, die gefährliche Schadsoftware verbreiten.
„Unternehmen müssen wegen der Corona-Pandemie die Risiken für ihre Organisation neu bewerten und ihre IT-Sicherheitsmaßnahmen anpassen“, sagt Dr. Joachim Bühler, Geschäftsführer des VdTÜV. „Viele Mitarbeiter haben mit bestimmten digitalen Prozessen noch keine Routine. An dieser Stelle muss der oft zitierte ‚Faktor Mensch‘ Teil der Risikobetrachtung werden. Die Beschäftigten brauchen klare Vorgaben für das Arbeiten im Homeoffice, um die Risiken für Cyberangriffe zu reduzieren.
Corona-Pandemie ist „gefundenes Fressen“ für Cyberkriminelle
Der VdTÜV warnt vor unseriösen Angeboten, die angeben, vor Covid-19 zu schützen. Doch die Angreifer schrecken auch vor Diebstahl von Zahlungsdaten, dem Abgreifen persönlicher Informationen oder dem Lahmlegen der Geräte mit anschließender Erpressung nicht zurück. Bühler: „Die Corona-Pandemie ist ein gefundenes Fressen für Cyberkriminelle. Eine hohe Besorgnis der Bürger in Kombination mit einem hohen Informationsbedürfnis ist der ideale Nährboden, um die Nutzer in die Irre zu führen. Mithilfe von Phishing-Mails oder Smartphone-Apps können Geräte leicht mit Schadsoftware infiziert werden.“
Eine besondere Gefahr stellen Mitarbeiter dar, die berufliche und private Tätigkeiten vermischen, während die genutzten Endgeräte mit dem Unternehmen verbunden sind. So können sich Kriminelle leichter Zugang zu den Unternehmensnetzwerken verschaffen.
IT-Sicherheit muss der neuen Situation angepasst werden
Die IT-Abteilungen arbeiten seit mehreren Wochen auf Hochdruck, um die Beschäftigten möglichst schnell arbeitsfähig zu machen und damit die Heimarbeit reibungslos funktionieren kann. Rechner mussten neu eingerichtet, der Zugang zu den Netzwerken zum Beispiel mit sogenannten VPN-Verbindungen sichergestellt sowie ausreichend Rechenkapazitäten und Bandbreiten zur Verfügung gestellt werden.
Daher müssen die Risiken neu bewertet und die IT-Sicherheit der Ausnahmesituation angepasst werden. „Mit der Adhoc-Digitalisierung vieler Prozesse können sich die Schutzziele der IT-Systeme verändern“, sagt Bühler. War ein Webkonferenz-System zum Beispiel nur eine Nischenanwendung oder wurde gar nicht genutzt, kann es jetzt eine sicherheitskritische Anwendung sein. „In vielen Unternehmen muss die IT-Sicherheit mit einem Fokus auf das mobile Arbeiten neu justiert werden“, betonte Bühler.
Darüber hinaus besteht die Gefahr, dass sich aufgrund überlasteter oder nicht benutzerfreundlicher Systeme eine sogenannte „Schatten-IT“ entwickelt, wenn die Beschäftigten frei verfügbare Anwendungen für Kommunikation, Datentransfers oder das Speichern und Bearbeiten von Dateien in der Cloud nutzen.
Die IT-Abteilungen müssen rasch prüfen, welche Anwendungen für die Sicherheitsanforderungen des Unternehmens ausreichen. Andernfalls entsteht ein Wildwuchs, der für die IT-Abteilungen nicht mehr administrierbar ist. „Die IT-Verantwortlichen sollten die Mitarbeiter schnell mit sicheren, praktikablen Anwendungen versorgen und klare Vorgaben für die Nutzung externer Dienste machen. Die Nutzung privater Geräte ohne spezifische Sicherungsmaßnahmen sollte in jedem Fall vermieden werden.“
VdTÜV gibt folgende Ratschläge für mehr IT-Sicherheit im Homeoffice
- Berufliches und Privates trennen: Privat im Internet zu surfen erhöht die Gefahr, sich gefährliche Schad-Software einzufangen. Ein eigenes WLAN-Netzwerk für berufliche Zwecke einzurichten oder die Kommunikation der Geräte untereinander im Heimnetzwerk zu unterbinden kann daher sinnvoll sein.
- Phishing-Mails löschen: Jeder Mitarbeiter sollte E-Mails, die Bezug auf das Coronavirus nehmen, mit Vorsicht genießen und genau prüfen, ob diese von seriösen Absendern stammen. Verdächtige E-Mails sollten gelöscht oder zunächst an den IT-Support des Arbeitgebers weitergeleitet werden.
- Social Engineering als Gefahr: Beschäftigte sollten im Hinterkopf behalten, dass manche Cyberkriminelle besonders findige sind. Sie greifen Organisationen gezielt an, indem sie Mitarbeiter persönlich anschreiben und vermeintlich echte E-Mail-Adressen verwenden.
- Auf Screenshots verzichten: Menschen teilen sich gerne mit, gerade in Zeiten der sozialen Netzwerke. Sie posten Selfies von Online-Meetings und Videokonferenzen. Ist dabei aber die Webadresse des Unternehmens zu sehen, können ungebetene Gäste an den Meetings teilnehmen oder die Informationen zur Vorbereitung von Angriffen nutzen.
- An IT-Support wenden: Anweisungen des Arbeitgebers und des IT-Supports müssen in diesen Zeiten strikt befolgt werden. Auch, wenn im Internet zahlreiche vermeintlich bessere als die hauseigenen Lösungen existieren, sollten Mitarbeiter den Kontakt zum IT-Support suchen und absprechen, was erlaubt ist und was nicht. Bei einem Sicherheitsvorfall sollte die IT-Abteilung sofort in Kenntnis gesetzt werden. Denn Zeit ist bei Cyberangriffen ein kritischer Faktor.
- Zusammenhalt dient auch der IT-Sicherheit: „In schwierigen Zeiten hilft es, auch virtuell zusammenzustehen und sich digital auszutauschen“, sagt Bühler. „In Organisationen, die auch in der Krise viel kommunizieren, haben es kriminelle Hacker schwerer, erfolgreich zu sein oder unbemerkt zu bleiben. Rücksichtnahme, Verständnis und ein persönlicher Dank an die IT-Abteilung tut sicher allen gut.“
