Sieben Security-Mythen und ihre fatale Wirkung
Cohesity, ein führender Anbieter von Lösungen für KI-gestützte Datensicherheit, hat in einer Umfrage unter 1000 Mitarbeitenden in Deutschland das Wissen zum Thema IT-Sicherheit untersucht. Dabei wurden einige gefährliche Mythen aufgedeckt, die für Unternehmen schwerwiegende Folgen haben können.
Auch wenn die Umfrage in Deutschland durchgeführt wurde: Vieles davon dürfte auch in vielen Schweizer Unternehmen nicht ganz unbekannt sein. Wobei einige dieser Mythen doch eine gewisse Naivität voraussetzen, die (hoffentlich) an den meisten Orten der Vergangenheit angehört:
Mythos 1: „Für unser Unternehmen besteht keine Gefahr“
Laut der Umfrage unterschätzen deutsche Mitarbeitende deutlich die Gefahren für das eigene Unternehmen. So glauben 53 Prozent nicht, dass ein Ransomware-Angriff die Geschäftsprozesse ihres Unternehmens lahmlegen könnte. 24 Prozent sehen keinen möglichen Imageschaden und 18 Prozent keine Beeinträchtigung des Umsatzes. Dies liegt wohl an zu grossem Vertrauen in die Sicherheitssysteme des Unternehmens. Doch diese können nicht alle Angriffe blockieren. So lassen sich etwa mit Hilfe von KI auf Basis allgemein verfügbarer Informationen in sozialen Medien individuelle Botschaften an Mitarbeitende automatisch erstellen und versenden. Diese Phishing-Angriffe sind sowohl für die Opfer als auch die Abwehrsysteme immer schwerer zu erkennen.
Mythos 2: „Nur grosse Firmen werden angegriffen“
15 Prozent der Deutschen gehen davon aus, dass nur große Unternehmen angegriffen werden. Mehrere aktuelle Fälle zeigen jedoch eindeutig, dass auch mittelständische deutsche Firmen regelmäßig von Ransomware-Attacken betroffen sind und sogar insolvent werden können. Diese Fehleinschätzung der Gefahrenlage zeigt, dass viele Mitarbeitende immer noch davon ausgehen, Cyberkriminelle würden gezielt bestimmte Firmen angreifen. Doch automatische Tools und KI haben die Situation grundlegend verändert. Heute scannen Hacker das gesamte Internet auf mögliche Sicherheitslücken und greifen wahllos jedes Unternehmen an, das eine offene Schwachstelle aufweist.
Mythos 3: „Macs, USB-Geräte und selbst WLANs sind sicher“
Ein ähnlich veralteter Wissensstand zeigt sich bei der Einschätzung der Gerätesicherheit. So glauben nur 36 Prozent der Deutschen, dass Mac-Geräte angreifbar sind. Ihre höhere Sicherheit gegenüber Windows-Geräten in den 1980er- und 1990er-Jahren lag jedoch daran, dass es sich damals um abgeschlossene Systeme handelte, die nicht mit dem Internet verbunden waren. Bei anderen Geräten sieht es nicht viel besser aus: nur 41 Prozent halten Mobiltelefone für gefährdet, 49 Prozent USB-Geräte und je 52 Prozent Collaboration-Plattformen sowie WiFi. Selbst bei PCs und Websites bleiben die Nennungen unter zwei Drittel, obwohl alle diese Systeme in der Praxis für Angriffe genutzt werden.
Mythos 4: „Security ist IT-Sache“
Ein Grund für diese Haltung ist mangelndes Verantwortungsbewusstsein: Die meisten Befragten sehen im IT- (39 Prozent) oder Cybersecurity-Team (34 Prozent) die Hauptverantwortlichen für den Schutz des Unternehmens. Nur 10 Prozent sind sich darüber im Klaren, dass jeder im Unternehmen gleichermassen für die Sicherheit verantwortlich ist. Schliesslich kann schon ein unvorsichtiger Klick auf einen Link verherenden Schaden für das Unternehmen verursachen. Denn selbst die modernsten Sicherheitssysteme erkennen nicht 100 Prozent aller Gefahren.
Mythos 5: „Unternehmen sollten Lösegeld zahlen“
Nach einem Ransomware-Angriff sehen viele Mitarbeitende das Bezahlen des geforderten Lösegelds als schnellsten Weg zur Wiederherstellung der Daten. 13 Prozent glauben sogar, die Begleichung der Forderung würde auf jeden Fall die Daten wieder unversehrt zurückbringen. In Wirklichkeit gibt es jedoch keinerlei Garantie, dass Cyberkriminelle ihr Versprechen halten. Und selbst wenn sie eine Entschlüsselung anbieten, erhalten die betroffenen Unternehmen oft nicht alle Daten unbeschädigt wieder zurück.
Mythos 6: „Patches reichen aus“
Zeitnahe Updates sind ein wichtiges Instrument, um sich vor Angriffen zu schützen. Doch sie wiegen Mitarbeitende auch in falscher Sicherheit. So glauben 80 Prozent, das eigene Unternehmen hätte ausreichende Security-Massnahmen, um gefährliche Cyberangriffe zu verhindern. Doch Patches oder auch bestehende Firewalls und Intrusion-Prevention-Lösungen reichen nicht aus. Denn sie können oft keine Zero-Day-Attacken abwehren, die unbekannte oder kürzlich entdeckte Schwachstellen ausnutzen, für die es noch keine Patches oder Virensignaturen gibt. Zudem steigt die Gefahr neuartiger und sich ständig verändernder Angriffe durch KI-Systeme erheblich. Daher müssen auch Lösungen zur Anomalie-Erkennung, Multifaktor-Authentifizierung und rollenbasierte Zugriffskontrollen zum Einsatz kommen.
Mythos 7: „Backups stellen alle Daten wieder her“
Zu zuversichtlich sind Mitarbeitende in Deutschland beim Thema Recovery. So vertrauen 78 Prozent darauf, dass sich ihr Unternehmen von einem gefährlichen Cyberangriff wieder erholen kann. Backups können hier zwar eine wichtige Rolle spielen, aber nur dann, wenn sie nicht ebenfalls angegriffen und verändert wurden. Cyberkriminelle haben dies erkannt und verschlüsseln häufig zuerst die Backup-Daten, damit das Opfer sie nicht einfach wieder aufspielen kann. Unternehmen benötigen daher unveränderliche Backups, einen sicheren Cyber-Tresor und einen Clean Room, der die wichtigsten Anwendungen, Daten und Systeme zur Wiederherstellung enthält.
Quelle: Cohesity
