Ein Gespür für Hacker

In Ihren Workshops und Vorträgen empfehlen Sie oft, IT-Sicherheitsbeauftragte in Unternehmen sollten «denken und handeln wie ein Hacker». Warum?

Wenn man die Denkweise und das Vorgehen von Hackern versteht, dann versteht man eher, an welchen Stellen sie ein Unternehmen am ehesten angreifen würden. Und wo sie zuerst nach Schwachstellen suchen. Diese Stellen sollte man sich dann genau ansehen und prüfen, ob sie wirklich sicher sind oder ob Hacker hier leichtes Spiel haben. Mit sogenannten Penetrations-Tests lässt sich dann prüfen, ob das IT-Netzwerk ausreichend sicher ist.

Hacker denken doch nicht nur an Infrastruktur und technische Sicherheit, sie wollen Daten und Informationen stehlen.

Ja, genau. Jedes Unternehmen muss also überlegen, an was Cyberkriminelle oder Hacker interessiert sein könnten. Das hängt natürlich auch vom Geschäftsmodell oder der Branche ab, in der man aktiv ist. In vielen Fällen wollen Hacker Betriebsgeheimnisse oder Kontaktadressen stehlen. Andere wollen nur die Webseite sabotieren.

Wie gut sind Ihrer Erfahrung nach bei Schweizer Unternehmen die Kompetenz und das Know-how im Bereich Security?

Die Schweizer unterscheiden sich in dieser Hinsicht nicht von den europäischen Ländern. Es gibt in der Schweiz durchaus ein starkes Bewusstsein für Risiken. Was aber noch stärker werden sollte, ist das Beobachten der aktuellen Trends und Entwicklungen. Da hinken viele Firmen immer noch ein bisschen hinterher, was kein Wunder ist, denn die Technologien und Strategien von Hackern und Security entwickeln sich rasend schnell. Aber auch das gilt für alle europäischen Länder.

Wenn IT-Verantwortliche eine Sicherheitsstrategie aufsetzen, was ist dabei besonders wichtig? Und wie kann man alle Mitarbeiterinnen und Mitarbeiter optimal mitnehmen?

Wichtig ist, dass man möglichst viele Kanäle und Formate nutzt. Das können Videos sein, Workshops, oder Newsletter. Auf diese Weise erreichen sie viele Mitarbeitende.

Die Mitarbeitenden müssen auch dafür sensibilisiert werden, in ihrem Privatleben auf das Thema Sicherheit zu achten. Wer in Social Media wie Facebook, Instagram oder Twitter unterwegs ist, gibt auch Informationen und Daten über sich preis. Diese werden zunehmend von Cyberkriminellen genutzt, um die Mitarbeitenden zu kontaktieren, wenn sie für ihre Firma arbeiten. Die Tricks werden dabei immer fieser.

Bitte ein Beispiel …

Wenn jemand ein bestimmtes Hobby hat, also beispielsweise gerne Tennis spielt und deshalb auf Facebook mit Menschen kommuniziert, die auch gerne Tennis spielen, dann könnte ein Hacker auf die Idee kommen, diesem Mitarbeitenden eine Mail an seine dienstliche Mailadresse zu schicken, in der das Stichwort Tennis im Betreff auftaucht. Wenn diese Nachricht dann noch scheinbar von einem Freund aus dem Tennisclub kommt, ist die Wahrscheinlichkeit gross, dass man sie öffnet und den Dateianhang herunterlädt. Doch in diesem Moment hat man den Datendieben die Tür geöffnet.

Es genügt heute nicht mehr, das Netzwerk eines Unternehmens technisch abzusichern. Die Mitarbeitenden müssen ein Gespür dafür entwickeln, wo sie als Person für Hacker interessant sein könnten. Und da gehören leider auch die Spuren dazu, die man privat auf Social Media hinterlässt.

«Die Gefahr kommt nicht von den
Geräten, sie kommt
vom Verhalten der Menschen.»

Security-Experten geben seit vielen Jahren immer dieselben Tipps. Öffnen Sie keine Dateianhänge von unbekannten Absendern, verwenden Sie starke Passwörter, stecken Sie keine fremden USB-Sticks ins Notebook usw. Aber die Leute tun das immer noch. Hat sich gar nichts geändert?

Doch, ich denke schon, dass das Bewusstsein für Sicherheit gestiegen ist. Vor zehn Jahren hat es vielleicht noch genügt, eine Antiviren-Software auf dem Computer zu installieren. Den Rest hat man den Spezialisten überlassen. Das genügt heute nicht mehr. Cyberkriminalität gehört heute zu den grössten Gefahren für die internationale Wirtschaft. Jedes Unternehmen und jeder Mitarbeitende muss die Risiken kennen und sich damit auseinandersetzen. Wir haben einfach keine andere Wahl. Die Menschen wissen das, manche fühlen sich aber noch überfordert von der Komplexität des Themas. Aber wie gesagt: Es geht nicht nur um Technik, es geht um sicherheitsbewusstes Verhalten.

Was sind die wichtigsten Trends und neuen Strategien im Bereich Cybersicherheit?

Ransomware ist gerade ein enormer Trend. Seit 2021 ist die Zahl der Ransomware-Attacken um mehr als 1318 Prozent gestiegen. Das ist verrückt. Ausserdem gibt es immer mehr Phishing-Attacken. Bei all diesen Attacken geht es immer ums Geld.

(Anm. d. Redaktion: Ransomware ist eine Software, die über USB-Sticks oder Mail-Attachments ins Unternehmensnetzwerk eingeschleust wird und die alle Daten oder Systeme im Unternehmen verschlüsselt. Dann wird ein Lösegeld für das Passwort gefordert, mit dem das Unternehmen wieder an seine Daten kommt.)

Wenn Sie einer Office Managerin, die etwa den E-Mail-Account ihres Vorgesetzten managt, drei Tipps geben müssten, welche wären das?

Erstens: Machen Sie sich bewusst, welche Aufgaben täglich am PC erledigt werden, wie Sie das tun und welche Kontakte mit Kollegen oder externen Partnern dabei involviert sind. Dann bekommen Sie ein Gefühl dafür, wenn plötzlich etwas ungewöhnlich ist. Wenn Ihnen beispielsweise ein Geschäftspartner, mit dem Sie regelmässig telefonieren, plötzlich unangekündigt eine E-Mail mit Dateianhang schickt, dann muss die Alarmglocke schrillen. Das könnte ein Hackerangriff sein.

Zweitens: Installieren Sie keine Software von Herstellern, die Sie nicht kennen. Das gilt auch für Apps auf dem Smartphone.

Drittens: Informieren Sie sich über neue Trends in der Cybersecurity. So wissen Sie auch, wo neue Gefahren lauern.

Empfehlen Sie Passwortmanagement-Software?

Ja, warum nicht. Wir haben einige wie beispielsweise KeePass getestet und empfehlen diese auch unseren Kunden.

Ist das Sicherheitsrisiko durch die Nutzung von Smartphones gestiegen?

Eigentlich nicht. Die Gefahr kommt nicht von den Geräten, die Gefahr kommt immer vom Verhalten der Menschen. Wenn Sie Ihr Smartphone verantwortungsbewusst nutzen, sind Sie auf der sicheren Seite.

Erwarten Sie angesichts der aktuellen Situation insbesondere des Kriegs in der Ukraine und des Konflikts mit Russland einen Anstieg der Hackerangriffe?

Ja, absolut. Wir sehen diesen Anstieg bereits jetzt bei Unternehmen und Behörden. Bei uns als Security-Dienstleister laufen die Telefone derzeit heiss.

Es ist jetzt wichtig, alle IT-Sicherheitskonzepte zu überprüfen. Jedes Netzwerk hat Schwachstellen und Sicherheitslücken. Die sollte man aufspüren, bevor die Hacker sie finden.

Was interessiert Sie persönlich am Thema Cybersecurity?

Mich hat das Thema von Anfang an fasziniert, weil es so viele Facetten hat. Es gibt immer etwas Neues, es entwickelt sich immer weiter, es gibt ständig neue Wendungen, man wird nie damit fertig. Für neugierige Menschen ist das einfach ein tolles Thema.