Cyber Security Monat – 5 Tipps zum Thema Cybersicherheit

Die Zahl der Cyberbedrohungen steigt jährlich rasant an. Laut McAfee(1) belief sich die weltweite Schadenssumme im Jahre 2020 auf eine 1 Billion Dollar. Das ist ein Anstieg von über 50% gegenüber 2018.

Bei Cyberangriffen werden Firmen oder Individuen von einzelnen Hackern oder Hackergruppen böswillig über das Internet angegriffen, um Daten, Informationen oder Geld zu erlangen.

Die Kampagne der EU zum europäischen Cybersecurity Monat beleuchtet jährlich im Oktober das Thema Cybersicherheit. Dabei sollen Staaten, Firmen und Individuen auf die Gefahren von Cyberkriminalität aufmerksam gemacht werden. Ebenso werden mögliche Massnahmen zum Schutz der Cybersicherheit aufgezeigt. Zu diesem Anlass beleuchten wir die Thematik der Cybersicherheit genauer und zeigen Ihnen für fünf ausgewählte Themen auf was Sie achten müssen und wie Sie sich schützen können.

Was sind Cyberbedrohungen und Cybersicherheit?

Die Cybersicherheit bezeichnet technische wie auch organisatorische Massnahmen zum Schutz der IT-Infrastruktur und von Daten gegen böswillige Angriffe. Dies beinhaltet unter anderem der Schutz von Computern, Netzwerken, Servern, Smartphones, Smart Devices aber auch Datenschutz sowie Informationssicherheit.

Es werden drei Arten von Cyberbedrohungen unterschieden:

• Cyberkriminalität: Angriffe auf Systeme, um Geld zu erlangen oder Geschäftsbetriebe zu unterbrechen.
• Cyberangriffe: hierbei handelt es sich meist um die politisch motivierte Informationsbeschaffung.
• Cyberterrorismus: Angriff auf elektronische Systeme zur Verbreitung von Panik und Angst.

‍

Die Angriffsarten sind für alle Bedrohungen gleich. Durch die Verbreitung von Malware (Virus, Trojaner, Spyware, Adware, Ransomware, Botnets) werden Computer und Systeme ausser Betrieb gesetzt oder beschädigt. Bei SQL Injections werden Datenbanken zur Informationsgewinnung gehackt. Mit Phishing wird versucht, an Login- und Finanzdaten zu gelangen sowie persönliche Informationen herauszufinden. Die Man-in-the-Middle-Angriffe fangen Informationen zwischen zwei Beteiligten ab, z.B. einem Computer und einem Netzwerk. Bei den Denial-of-Service Attacken werden Netzwerke oder Server mit Datenverkehr überschwemmt, so dass die befallenen Computersysteme nicht mehr laufen können und so Firmen handlungsunfähig werden. Angriffsziele sind Regierungen, Firmen aber auch Privatpersonen.

‍

Wie können Sie sich als Firma aber auch als Privatperson vor Cyberkriminalität schützen? Einerseits gibt es technische Schutzmassnahmen, die man ergreifen muss. Andererseits beeinflusst unser Verhalten massgebend das Risiko, einer Cyberattacke zum Opfer zu fallen oder nicht.

Phishing – was ist es und wie schützen Sie sich

Phishing E-Mails sind gefälschte E-Mails, womit Hacker versuchen, an Login-Daten, Bank- und Kreditkartendaten oder andere persönliche Informationen zu gelangen. In der Regel ist das Ziel, mit den erlangten Daten an Geld zu kommen oder Zugriff auf Systeme zu erlangen. Die E-Mails sehen oft täuschend echt aus und scheinen von einer legitimen Quelle zu stammen, wie beispielsweise von Ihrer Bank. Mit dringenden Handlungsaufforderungen werden die Nutzer dazu verleitet, auf Links zu klicken und ihre Daten einzugeben.

Daher ist es wichtig, in E-Mails, besonders von unbekannten Absendern, nicht auf Links zu klicken. Seien Sie kritisch, wenn jemand nach Login-Daten fragt. Keine seriöse Firma wird Sie je auffordern, Ihre Zugangsdaten über einen hinterlegten Link anzupassen oder in der Antwort-E-Mail preis zu geben. Seien Sie auch vorsichtig, wenn Sie aufgefordert werden, Ihre Kreditkarten- oder Kontoinformationen anzugeben.

Achten Sie bei den E-Mails und in Links auf Rechtschreibfehler, fehlende oder verdrehte Buchstaben. Auch das sind Indizien für Phishing.

Malware – was ist es und wie schützen Sie sich

Malware, auch Schadsoftware genannt, ist Software, die Ihren Computer, das Smartphone oder ein Tablet beschädigen oder ganz ausser Gefecht setzen kann. Hauptsächlich wird Malware über das Internet verbreitet: beim Surfen, Herunterladen von Software, als E-Mail Anhänge oder über soziale Medien. Auch über USB-Sticks und andere mobile Datenträger kann Malware verteilt werden. Die Motivation ist wie auch beim Phishing meist finanzieller Art oder zur Industriespionage. Hacker können aber auch politisch motiviert sein oder den Ruf eines Unternehmens schädigen wollen.

Als Malware gelten Viren, Trojaner, Spyware, Adware, Ransomware, die heute häufig über Botnetze verbreitet werden.

Schutz vor Malware bieten einerseits technische Massnahmen:

• Halten Sie Ihr Betriebssystem, Software und Apps auf dem neusten Stand und installieren Sie jeweils die neusten Sicherheitspatches.
• Installieren Sie einen Antivirenschutz.
• Für Firmen empfiehlt es sich, eine rundum-Schutzsoftware zu verwenden, die in Echtzeit die Daten analysiert und Sicherheitslücken schliesst.

Andererseits müssen auch die Nutzer einen sicheren Umgang pflegen:

• Öffnen Sie keine E-Mail Anhänge von unbekannten Absendern und seien Sie auch kritisch, wenn Sie einen Anhang von einem Bekanntem nicht erwarten. Falls nötig, fragen Sie beim Absender nach.
• Klicken Sie auf keine Links, die Ihnen nicht legitim erscheinen. Prüfen Sie Links auf Rechtschreibfehler, fehlende oder ersetzte Buchstaben, wie z. B. wenn ein „O“ durch eine „0“ ersetzt wird.
• Besuchen Sie nur sichere Internetseiten. Sie erkennen diese am kleinen Sicherheitsschloss neben der URL in der Adresszeile.
• Gehen Sie nicht über ungesicherte WLAN-Netze ins Internet. Am besten verwenden Sie Ihr Mobiltelefon, um einen persönlichen Hotspot zu generieren.
• Schützen Sie Ihr privates WLAN mit einem guten Passwort und erstellen Sie für Gäste einen separaten Zugang.
• Schliessen Sie keine unbekannten Datenträger, USB-Sticks oder Festplatten an Ihren Computer an.
• Laden Sie nur von Ihrer Firma autorisierte Software herunter oder solche, die im offiziellen App-Store angeboten wird.

Social Engineering – was ist es und wie schützen Sie sich

Social Engineering ist eine Methode, bei welcher Betrüger eine Identität vortäuschen, um dadurch an Informationen zu gelangen oder ihre Opfer zu einer bestimmten Handlung zu überzeugen. So können sie sich beispielsweise als Helpdesk Mitarbeiter ausgeben, um das Opfer zur Herausgabe von Login-Daten zu bewegen oder dieses zum Besuch einer verseuchten Webseite zu überzeugen. Meistens wird mittels Social Engineering versucht, an Login-Daten zu gelangen, Kreditkarten- oder Bankinformationen zu erschleichen oder Zugang zu IT-Systemen zu erwirken. Je mehr Informationen über ein Opfer gesammelt werden können, desto höher sind die Erfolgschancen bei einem «Angriff». Informationen werden mehrheitlich im Internet, z.B. auf Firmenwebseiten oder in sozialen Medien gefunden. Aber auch in öffentlichen Registern oder im Telefonbuch.

Wichtig ist, dass Sie nie interne oder vertrauliche Informationen über sich oder Ihre Firma an fremde Personen weitergeben. Passworte und Zugangsdaten sollten nie weitergegeben werden. Lassen Sie sich weder unter Druck setzen, noch dazu überreden, eine bestimmte Datei herunterzuladen oder eine vorgegebene Webseite zu besuchen.

Lesen Sie in unserem Blog mehr Tipps, wie Sie sich vor Social Engineering schützen können.

Schutz durch sichere Passwörter

Täglich müssen wir für unsere Arbeit oder private Zwecke Passworte eingeben, um uns in Systemen anmelden zu können. Ein gut gewähltes Passwort ist essenziell, um sich vor Gefahren aus dem Internet schützen zu können.

Werden Passwörter herausgefunden, können Daten manipuliert oder gestohlen werden. Hacker haben spezielle Werkzeuge, mit welchen sie auf einfache Art und Weise Passworte herausfinden können, sofern diese nicht nach bestimmten Regeln aufgebaut sind.

Um den Schutz zu gewährleisten, muss ein gutes, sicheres und individuelles Passwort für jede Anwendung erstellt werden. Verwenden Sie ein und dasselbe Passwort nie für mehrere Systeme oder Webseiten und geben Sie Ihre Login-Daten nie an jemand anderes weiter. Ansonsten verlieren die Passwörter ihre Schutzwirkung. Aktivieren Sie zudem immer eine 2-Faktor-Authentifizierung, wenn das System dies zulässt. Dies erhöht zusätzlich die Sicherheit,

Beachten Sie bei der Erstellung eines neuen Passwortes folgende Punkte:

• Es beinhaltet keine persönlichen Informationen wie Name, Geburtsdatum, Kfz-Kennzeichen usw. oder den Benutzer Namen.
• Die aktuelle NIST Empfehlung ist, ein Passwort zu wählen, welches einfach zu merken ist, min. 16 Zeichen enthält und aus min. 4 existierenden Wörtern kombiniert ist. Muss das Passwort kürzer als 16 Zeichen lang sein, sollte es Zahlen, Gross- und Kleinbuchstaben sowie Sonderzeichen enthalten und idealerweise mehr als 10 Zeichen lang sein.
• Es ist nicht in einem Wörterbuch zu finden oder enthält Zahlen- oder Buchstabenfolgen (Bsp. AAA, 1234, abcd etc.).

Damit Passworte nicht notiert werden müssen und sich einfacher gemerkt werden können, gibt es folgende Tricks:

• Akronyme: den ersten Buchstaben eines jeden Wortes aus einem Satz verwenden.
• Mehrfachwörter: mindestens vier zufällige Wörter miteinander kombinieren. Diese können mit Zahlen und/oder Sonderzeichen ergänzt werden.
• Passwort-Manager: verwenden Sie einen Passwort-Manager zur Erstellung und Verwaltung von Passwörtern. Die meisten Passwort-Manager können auch mit der Zwei-Faktor-Authentifizierung kombiniert werden. Dadurch müssen Sie sich auch nur ein Passwort merken, anstelle von ganz vielen.

Schutz durch Training und Awareness

Heutzutage ist es wichtiger denn je, dass die Mitarbeitenden auf die Themen der Informationssicherheit geschult werden. Schulungen und Trainings sollten in regelmässigen Abständen erfolgen und idealerweise aufeinander abgestimmt sein.

Die Mitarbeitenden gehören zum wichtigsten Schutzelement, wenn es um Cybersicherheit geht. Nutzen Sie diesen Abwehrmechanismus, in dem Sie Ihre Mitarbeitenden befähigen, die Gefahren im Zusammenhang mit dem Internet zu erkennen und sich richtig zu verhalten.

Der European Cyber Security Month ist eine gute Möglichkeit, die Mitarbeitenden mit einer gezielten Kampagne zum Thema Cybersicherheit zu schulen. Machen Sie virtuelle Spiele, Quizzes,E-Learnings oder Veranstaltungen, wo die Mitarbeitenden aktiv und vor Ort teilnehmen können. Auch mit Plakaten, Intranetseiten oder E-Mails kann auf die Thematik aufmerksam gemacht werden.

In unseren Blogbeiträgen erörtern wir, wie man eine Security Awareness Kampagne planen und umsetzen kann und wie man das Verhalten der Mitarbeitenden erfolgreich verändern kann. Hier gelangen Sie zur Übersicht aller Blogbeiträge.

‍

‍

(1) McAfee (2020): Report - The Hidden Costs of Cybercrime. https://www.mcafee.com/enterprise/en-us/assets/reports/rp-hidden-costs-of-cybercrime.pdf

Inspiration: https://www.kaspersky.de/resource-center/definitions/what-is-cyber-security

‍