E-Mail-Sicherheit
Gefahren auf dem elektronischen Postweg
Klassisches Phishing geht zurück
Die gute Nachricht: Nachdem im Jahr 2007 mit gut 4100 bei den Landeskriminalämtern gemeldeten Phishing-Fällen der Höhepunkt erreicht war - dabei sollen rund 19 Millionen Euro von Konten der Geschädigten abgehoben worden sein -, ist diese Form des Online-Betrugs nach Angaben des Bundesamts für Sicherheit in der Informationstechnik (BSI) zurückgegangen. Der Rückgang der dadurch entstandenen Schäden werde allerdings durch neue Betrugsaktivitäten der Cyber-Kriminellen wieder ausgeglichen, warnen BSI-Experten in ihrem Bericht zur Lage der IT-Sicherheit in Deutschland 2009.
Demnach spielen Viren, Würmer und Trojaner eine immer wichtigere Rolle. So beobachtet das BSI seit 2007 immer mehr spionierende Trojaner, die häufig über den elektronischen Posteingang ihren Weg ins Unternehmen finden. "Spionageangriffe beginnen häufig mit zielgerichteten E-Mails, die mit Schadcode oder infizierten Links versehen und an eine Handvoll wichtiger Leute gerichtet sind", berichtet Symantec-Mann Wüest.
Online-Kriminelle zielen auf Klasse statt Masse
Dabei zielen die Online-Kriminellen mittlerweile nicht mehr auf Ruhm, sondern auf Bereicherung ab. "Die Übeltäter ziehen es vor, einen kleineren Personenkreis zu infizieren statt Massenattacken vorzunehmen, um die Gefahr, erwischt zu werden, möglichst gering zu halten", erläutert Jan Lindner, Deutschland-Chef bei Panda Security. Für Unternehmen - darin sind sich die Security-Experten einig - ist der Verlust von Produktivität und Reputation das größte Problem. Da betroffene Organisationen dazu tendieren, Angriffe zu verschweigen, lässt sich der Gesamtschaden nur schwer beziffern.
Nicht nur im Hinblick auf Industriespionage, sondern im gesamten Malware-Bereich gehen Cyber-Kriminelle immer professioneller vor. Anfangs wurden nur Dateien verschickt, um etwa einen Trojaner in einen PC einzuschleusen. Als große Anhänge dann jedoch geblockt wurden, komprimierten die Angreifer ihre Dateien. Danach setzten sie auf angreifbare Dateiformate wie Word-, PDF- oder Excel-Dokumente. Momentan werden primär Links via Spam-Mails versendet - da die Anwender die Schaddatei nun aus dem Internet herunterladen müssen, können die Angreifer den Filter umgehen. Nach dem jüngsten Intelligence Report (erstes Quartal 2009) von MessageLabs beträgt der Anteil an betrügerischen Nachrichten mit Links zu bösartigen Websites derzeit 20,3 Prozent - das ist der höchste Stand seit Juni 2008.
- Werthaltiges Wissen sichern
Im Schnitt sind fünf Prozent des Know-hows für künftige Projekte werthaltig. Diese Informationen sollten deshalb besonders geschützt werden, um nicht in den Besitz der Konkurrenz zu gelangen. - Sicherheitskonzept erstellen
Jede Firme sollte ein Sicherheitskonzept haben und die Problemfelder Wirtschafts- und Industriespionage von Beginn an in die Policy mit aufnehmen. - Berater konsultieren
Planen Sie Ihr Sicherheitskonzept inklusive Spionageschutz gegebenfalls mit Hilfe eines Beraters. - Datentypen klassifizieren
Alle Typen von Unternehmensdaten sollten in Sicherheitsklassen eingeteilt werden, zum Beispiel die drei Kategorien öffentlich, intern und vertraulich. An dieser Klassifizierung muss sich dann die Sicherheitsstrategie organisatorisch und technisch ausrichten. - Informationen verschlüsseln
Geschäftskritische Informationen sollten immer verschlüsselt werden. Dies muss abhängig von der Struktur des Unternehmens und seiner Datenhaltung auf verschiedenen Ebenen geschehen: E-Mail, https, VPN, SSL-VPN sowie File- und Disk-Encryption sind mögliche Verschlüsselungsfelder. - Datenlecks abdichten
Data Leakage Protection ist ein neuer Sicherheitstrend. Mit solchen Systemen lassen sich Informationen jeglicher Art analysieren und schützen, was sich indes auch auf personenbezogene Daten erstreckt. <br/><br/> Damit kann das Interesse der Unternehmen an einer umfassenden Kontrolle mit dem Anspruch der betroffenen Personen auf informationelle Selbstbestimmung kollidieren. - IT-Profi beschäftigen
Der Verzicht auf einen IT- bzw. Sicherheitsexperten im Betrieb kann unter dem Strich teuer kommen. - Datenträger schützen
Das Wegsperren von Datenträgern kann zwar Schutz bieten, reicht allein aber nicht aus. Die Verschlüsselung geschäftskritischer Informationen ist unverzichtbar. - Personal sensibilisieren
Mitarbeiter sollten in Sicherheitsschulungen auch auf die Gefahren durch Wirtschafts- und Industriespionage aufmerksam gemacht werden. - Internes Risiko beachten
Leider ist nicht auszuschließen, dass eigene Mitarbeiter aus unterschiedlichen Motiven wichtige Daten für Dritte ausspähen. - Dienstleister überprüfen
Dienstleister, die täglich Zutritt zum Unternehmen haben, sind potentielle Schlupflöcher für Spione. Zum Beispiel IT-Experten getarnt als Reinigungskräfte. - Spione antizipieren
Es ist natürlich nahezu unmöglich, aber machen Sie sich Gedanken darüber, wer besonderes Interesse am geistigen Eigentum Ihres Unternehmens haben könnte.