Cybersicherheit für Unternehmen stärken: So schützen Sie Ihre Firma

Sensible Kundeninformationen, Geschäftsgeheimnisse, Bank- und Zahlungsdaten: In der digitalen Wirtschaft hat das Thema Cybersicherheit für Unternehmen an Bedeutung gewonnen. Und der globale Markt für Cybersecurity boomt. 

Laut Statista könnte der Umsatz im Jahr 2022 schätzungsweise bei 159,80 Milliarden US-Dollar liegen. Bis 2027 wird ein Anstieg auf 298,70 Milliarden US-Dollar erwartet. Für Anleger:innen haben sich die Investitionen in Cybersecurity-Unternehmen bereits ausgezahlt. Die Aktien von Palo Alto Networks, Crowdstrike und Fortinet verzeichneten in den vergangenen Jahren hohe Gewinne. 

Der Grund für das schnelle Wachstum? Die Corona-Pandemie hat das mobile Arbeiten beschleunigt und der Digitalisierung einen starken Schub verliehen – und damit auch der Cyber-Kriminalität. Vielen kleinen und mittelgroßen Unternehmen fehlte das Budget für die Modernisierung ihrer IT-Sicherheit. Dabei entstanden im Homeoffice viele Sicherheitslücken. Das Ergebnis: Cyberangriffe nahmen zu.

Das zeigt auch eine aktuelle Studie vom Digitalverband Bitkom. Mehr als die Hälfte der befragten KMU sind Opfer von Datendiebstahl, Spionage oder Systemsabotage. Der Schaden, der durch die Angriffe auf deutsche Unternehmen entsteht, liegt bei schätzungsweise 203 Milliarden Euro. Neben dem finanziellen Schaden kosten Cyberangriffe die Unternehmen auch das Vertrauen ihrer Kunden.

Besonders für kleine und mittlere Unternehmen (KMU) ist das Thema Digitalisierung und Cybersicherheit dabei oft eine große Herausforderung. Das wissen auch Kriminelle, die KMU bewusst zum Ziel ihrer Angriffe machen. Welche Tricks und Methoden nutzen die Hacker:innen? Und wie können sich kleine und mittlere Unternehmen besser schützen?

Cyberkriminalität hat viele Gesichter. Und mit jeder neuen Technologie entstehen auch neue Methoden und Taktiken, um an die sensiblen Daten oder Geschäftsgeheimnisse zu gelangen. Im Fokus von Cyberkriminellen stehen dabei besonders Methoden wie Ransomware-as-a-Service und personalisierte Phishing-Angriffe.

Sie kennen die Situation: Eine verdächtige E-Mail taucht in Ihrer Inbox auf. Unseriöse Rechtschreibfehler in der Betreffzeile und ein verdächtiger Absender enttarnen den Phishing-Versuch sofort. Mit einem Klick befördern Sie die Mail in den Papierkorb. Doch selbst diese Phishing-Klassiker werden immer besser, sogar die Inhalte und Absenderadressen wirken zunehmend seriös.

Das Angeln von Daten, das Expert:innen auch als Social-Engineering-Angriff bezeichnen, reicht weit über dieses klassische Beispiel hinaus. Cyberkriminelle nutzen heute sehr ausgefeilte Methoden, um zum Beispiel an Passwörter für Ihr Online-Banking oder Kundendaten zu gelangen. Zu den betrügerischen Phishing-Taktiken gehören:

Clone Phishing ist ein Versuch Daten zu angeln, bei dem Cyberkriminelle den Inhalt und die Empfängeradresse einer legitimen, zuvor zugestellten E-Mail stehlen. Sie nutzen die Nachricht als Vorlage zur Erstellung einer nahezu identischen E-Mail und senden sie erneut an die Nutzer. Dabei tauschen sie lediglich den Anhang der E-Mail durch Malware aus. Laden die Empfänger:innen den scheinbar vertrauenswürdigen Anhang herunter, können sich die Hacker Zugang zum Unternehmensnetzwerk verschaffen.

CEO Fraud ist eine Spear-Phishing-Methode, also ein gezielter Angriff, bei dem die Opfer, häufig Mitarbeiter:innen aus Buchhaltung und Finanzabteilung, mit personalisierten Nachrichten dazu verleitet werden, vertrauliche Daten preiszugeben. Cyberkriminelle bringen zuvor viel über das Unternehmen in Erfahrung, um ihre Opfer gezielt mit individuellen Informationen zu täuschen. Die Betrüger:innen erstellen eine sehr authentisch anmutende E-Mail, die den Anschein erweckt, vom CEO des Unternehmens oder einer anderen hochrangigen Führungskraft zu stammen. In der E-Mail werden die Empfänger:innen aufgefordert, sofort Geld auf ein bestimmtes Konto zu überweisen, sensible Daten wie Gehaltsabrechnungen oder Steuerinformationen zu übermitteln oder Anmeldedaten weiterzugeben.

Das Wort “Smishing”, das sich aus SMS und Phishing zusammensetzt, beschreibt Cyberangriffe mithilfe von Textnachrichten. Als Absender nutzen Hacker:innen unter anderem auch die Markennamen von Finanzinstituten. Bei den Nachrichten kann es sich um gefälschte Mitteilungen über gestohlene Passwörter, Angebote oder Belohnungen handeln, bei denen die Nutzer schnell handeln sollen. 

Die Textnachrichten enthalten einen Link zu einer Website, auf der die Opfer aufgefordert werden, persönliche Daten oder Bankdaten einzugeben. Eine Methode, die einem ähnlichen Prinzip folgt, ist auch als “Vishing” oder “Voice Phishing”bekannt, mit dem Unterschied, dass die Opfer direkt angerufen werden und sich Cyberkriminelle zum Beispiel als vertrauenswürdige Bankberater:innen ausgeben.

Beim Watering-Hole-Angriff nehmen die Hacker:innen gezielt ein bestimmtes Unternehmen ins Visier und bringen in Erfahrung, welche Websites die Mitarbeitenden besonders häufig besuchen. Die Cyberkriminellen installieren auf einer oder mehrerer dieser Websites Malware. Beim erneuten Besuch wird der Computer der Nutzer infiziert und die Hacker:innen erhalten Zugriff auf das Unternehmensnetzwerk. 

Diese Methode des Phishings ist weniger weit verbreitet, dafür aber besonders effektiv, da es sich um vermeintlich vertrauenswürdige Webseiten handelt. Übrigens: Der Begriff “Watering Hole-Angriff” stammt aus der Tierwelt und bezieht sich auf Raubtiere, die ihrer Beute versteckt an Wasserlöchern auflauern.

Ein Denial-of-Service (DoS)-Angriff überlastet den Server eines Unternehmens so lange mit Datenanfragen, bis das System den Datenverkehr nicht mehr verarbeiten kann und zusammenbricht. Die Programme, die Cyberkriminelle dafür verwenden, sind sehr ausgefeilt und es lassen sich kaum Rückschlüsse auf die Quelle der Datenanfragen ziehen.

Ransomware ist eine Malware, die darauf abzielt, einem Unternehmen den Zugriff auf wichtige Daten zu verweigern. Indem Hacker:innen diese Dateien verschlüsseln und eine Lösegeldzahlung für den erneuten Zugriff verlangen, erpressen sie Unternehmen, die aus Verzweiflung oft dazu tendieren, den geforderten Betrag zu bezahlen. 

Einige Varianten der Ransomware verfügen auch über Funktionen wie Datendiebstahl, um die Opfer noch stärker unter Druck zu setzen. Im Darknet ist die Malware als Ransomware-as-a-Service käuflich. Laut Bundesamt für Sicherheit in der Informationstechnik zielen Ransomware-Gruppen besonders auf KMU ab, da ihnen allgemein weniger Ressourcen für die IT-Sicherheit zur Verfügung stehen und einfacher zu erpressen sind als Großkonzerne.

Jetzt kennen Sie die verschiedenen Taktiken und Tricks der Hacker:innen. Aber wie können Sie die Angriffe erfolgreich abwehren, zukünftige Bedrohungen schneller erkennen und den Datenschutz für Ihre Kunden gewährleisten?

Wenn es um die Integrität Ihres Geschäftskontos geht, zum Beispiel bei Online-Zahlungen und der Sicherung sensibler Kundendaten, nutzen Sie ausschließlich die sicherste Authentifizierungsmethode. Mit dem Gesetz zur Zweiten Zahlungsdiensterichtlinie (PSD2) ist die starke Kundenauthentifizierung (auch bekannt als Zwei-Faktor-Authentifizierung) seit 2019 Pflicht in der Europäischen Union. Das System überprüft Ihre Identität, wenn Sie eine sensible Transaktion oder Operation wie z.B. eine Überweisung tätigen möchten. 

Ihre Identität wird dabei durch ein Passwort und eine weitere Bestätigung auf einem verknüpften Smartphone verifiziert. Auch die Zahlungsmethode 3D Secure folgt diesem Prinzip. Online-Zahlungen werden hierbei durch einen per SMS gesendeten Sicherheitscode oder von Ihrer Banking-App aus bestätigt.

Für die Wahl eines sicheren Passworts für Ihr Online-Banking empfiehlt das Bundesamt für Sicherheit in der Informationstechnik (BSI):

• Dasselbe Passwort ausschließlich für ein Konto zu nutzen.
• Statt überkomplexe Passwörter zu wählen oder sie ständig zu erneuern, besser längere Passwörter wählen, die aus mehreren Worten bestehen. Die sind weniger komplex, aber besser merkbar.

Für Ihr Mobile-Banking ist es wichtig, dass Sie regelmäßig die Sicherheits-Updates der Banking-Apps installieren und Ihr Betriebssystem auf dem neuesten Stand halten. Darüber hinaus gilt: Tätigen Sie Ihre Bankgeschäfte niemals über ein öffentlich zugängliches WLAN-Netz.

Besonders bei Phishing-Angriffen, die auf Manipulation von Mitarbeitenden abzielen, sind Workshops zum Thema Cybersicherheit essentiell. So schaffen Sie ein Bewusstsein für das Thema und machen es zum Bestandteil Ihrer Unternehmenskultur. Durch regelmäßige Trainings bleiben Ihre Teams up to date und können Gefahren, die zum Beispiel von Spear-Phishing-Mails ausgehen, schneller erkennen.

Entwickeln Sie eine Guideline für Ihre Mitarbeiter:innen, in der Sie Regeln zum Umgang mit Hard- und Software sowie unternehmensinternen Computernetzwerken festlegen. Mit diesen Vorgaben können Sie neues Personal schon im Onboarding-Prozess auf das Thema Cybersicherheit aufmerksam machen und Orientierung bieten.

Dazu gehört zum Beispiel eine Antivirus-Software, die Ihr Unternehmen vor Ransomware und Trojanern schützt. Beziehen Sie bei der Wahl Ihres Malware-Schutzes auch Kriterien wie Datenschutzrichtlinien, Erkennungsraten und Reaktionen auf Vorfälle mit ein. Darüber hinaus bietet sich auch eine Software-Lösung für die E-Mail-Sicherheit an, die über Funktionen wie Spyware-Erkennung und Verschlüsselung verfügt.

Tools in Form von Threat-Intelligence-Software helfen Ihnen zusätzlich dabei, Ihre Sicherheitsstandards auf dem neuesten Stand zu halten und Bedrohungen schneller zu erkennen. Die Threat-Intelligence-Plattform analysiert Datensätze in einem breiten Kontext, liefert wichtige Informationen über die Wirksamkeit Ihrer IT-Sicherheit und warnt frühzeitig vor möglichen Bedrohungen. Ein CTI-Programm ermöglicht es Unternehmen, proaktiv zu handeln, anstatt ausschließlich zu reagieren.

Wichtig: Sowohl die Programme als auch Ihr Betriebssystem brauchen regelmäßige Updates, um die Cybersicherheit zu gewährleisten. Anstatt auf viele verschiedene Anbieter zu setzen, empfehlen Analyst:innen integrierte Plattform-Lösungen zu nutzen, da Hacker:innen bei einer zu komplexen IT-Infrastruktur schneller Sicherheitslücken entdecken.

Auch Lösungen für Unternehmen wie Endpoint-Security-Plattformen bieten sich an, um Daten und Arbeitsprozesse miteinander vernetzter Endgeräte, wie z.B. Laptops oder Mobiltelefone in einem Unternehmen zu schützen. Mit einem Virtuellen Privaten Netzwerk, kurz VPN, können Sie Ihre Sicherheitsmaßnahmen für Endgeräte auf Remote-Benutzer und Cloud-Verbindungen ausweiten. Daten werden dabei durch die VPN-Verbindung geleitet, bevor sie Ihr Netzwerk erreichen. So lässt sich der Datenverkehr dokumentieren und überwachen.

In Zeiten des Fachkräftemangel besteht eine besonders große Herausforderung für kleine und mittlere Unternehmen darin, IT-Mitarbeiter:innen zu rekrutieren. Wichtige Positionen, wie die des Chief Information Officers (CIO) oder des CISO (Chief Information Security Officer), die für die Umsetzung von Cyber Security-Maßnahmen verantwortlich sind, lassen sich nur schwer besetzen. An dieser Stelle unterstützen Managed Service Provider (MSP). Die externen IT-Expert:innen können das fehlende Know-how ihrer Kunden ausgleichen. Zahlreiche Dienstleister haben sich dabei auch auf Services rund um IT-Sicherheit spezialisiert.

Schützen Sie sich vor Geschäftsausfällen und hohen Kosten, indem Sie rechtzeitig einen Cyber Incident Response Plan aufstellen. Der Notfallplan regelt, welche Maßnahmen Ihr Unternehmen im Fall eines Cyber-Angriffs ergreifen kann, inklusive Kommunikationsmanagement. Sie legen einerseits fest, wie Sie unternehmensintern mit der Krise umgehen. Andererseits geben Sie auch vor, worauf es bei der Kommunikation mit Ihren Kunden ankommt. Das BSI empfiehlt darüber hinaus auch noch eine IT-Notfallkarte für Mitarbeiter:innen zur Verfügung zu stellen, die das richtige Verhalten bei Cyberattacken skizziert. Sie stellt dabei drei Aspekte in den Vordergrund:

•  Kenntnis der Ansprechpartner für IT-Notfälle in der Organisation und deren Erreichbarkeit.
•  Sofortige Weitergabe entscheidender Informationen zu IT-Notfällen.
•  Gegenmaßnahmen nur nach Absprache/Anweisung mit den für IT-Notfällen zuständigen Ansprechpartnern.

Schon gewusst? Das Bundesministerium für Wirtschaft und Klimaschutz (BMWK) unterstützt kleine und mittlere Unternehmen mit dem Programm Digital Jetzt – Investitionsförderung für KMU dabei, im Netz durchzustarten. Es bietet finanzielle Zuschüsse und soll Firmen dazu anregen, mehr in digitale Technologien und in die Qualifizierung ihrer Beschäftigten zu investieren.

Sind auch Sie bereit, in die Cybersicherheit Ihres Unternehmens zu investieren? Je früher Sie damit beginnen, Ihre digitale Infrastruktur zu schützen und Sicherheitskonzepte zu entwickeln, umso größer ist Ihr Wettbewerbsvorteil in der digitalen Wirtschaft von morgen.