IT-Sicherheit: Meist sind Mitarbeiter eine Schwachstelle
Donnerstag 29. Juli 2010Um die Datensicherheit ist es in kleineren und mittleren Betrieben (KMU) nicht besonders gut bestellt. Und dabei ist die Schwachstelle meist nicht die Technik: Eine aktuelle Umfrage ergab, dass deutsche Mitarbeiter an der Spitze bei der Manipulation unternehmensinterner Sicherheitsregeln stehen.
Sicherheits-Experten reden sich den Mund fusselig, ihre Ratschläge werden jedoch von vielen Beschäftigen einfach nicht umgesetzt. Katastrophale Sicherheits-Zustände mussten so auch die Prüfer des PC-Tunig-Abieters PitStop feststellen, als sie rund 50.000 Windows-Rechner ihrer Kunden untersuchten.
Jeder zehnte Computer betroffen
So waren rund ein Viertel der PC quasi ungeschützt vor Angriffen, weil kein funktionierender oder aktiver Schutz vor Viren oder Schadcode installiert war. Teilweise stellte sich Virensoftware als wirkungslos oder gar schädlich heraus. Kriminellen bot sie vielmehr eine willkommene Hintertür, um in fremde PC einzudringen. So wurden auf 14 Prozent der Computer solche Schadsoftware bereits gefunden. Jeder zehnte Rechner wurde ausgespäht und die Login-Daten fürs Online-Banking weitergeleitet.
Andreas Morlok / pixelio.de
Die überprüften Rechner stammen überwiegend von Privatanwendern auf der ganzen Welt. Deutsche Firmen sind jedoch genauso betroffen, denn die Mitarbeiter sind es, die fahrlässig mit der Daten-Sicherheit umgehen. Das bestätigte eine KMU-Umfrage des Schutzsoftwareherstellers Trend Micro. „Die Studie bestätigt, dass riskantes Verhalten unter den Angestellten länderübergreifend an der Tagesordnung steht“, erklärt Udo Schneider, Solution Architect EMEA bei Trend Micro. Deutschland steht im Ländervergleich jedoch an der Spitze.
Weitergabe von Informationen
In allen beteiligten Länder gaben 60 Prozent der mobilen Mitarbeiter und 44 Prozent der Desktop-Mitarbeiter zu, vertrauliche Informationen des Unternehmens über Instant Messaging, Web-Mails oder Social-Media-Anwendungen weitergeben zu haben.
„Die Sorge um ihre persönlichen Daten stufen die Anwender dabei größer ein als ihre Sorge um die Daten ihres Unternehmens“, berichtet Schneider. „Im Zusammenhang mit Phishing, Spyware, Trojanern, Spam und Schadsoftware ist die Angst am größten vor einem möglichen Missbrauch der Privatsphäre, Identitätsdiebstahl oder dem Verlust persönlicher Informationen.“
Die Sicherheit der Unternehmensinformationen hingegen würden den Mitarbeitern weniger Sorgen bereiten.
Risiko Social Media
Bis 2014 werden etwa 20 Prozent der Business-Anwender Social-Networking-Services als wichtigste Kommunikationsinstrument verwenden, das ergab eine Analyse von Gartner „Predicts 2010: Social Software Is an Enterprise Reality”. Gleichzeitig machen aber auch immer mehr Unternehmen die Anwendungen als großes Sicherheitsrisiko aus und so verbietet bereits jede vierte Firma die Nutzung sozialer Netzwerke. Stonesoft, Anbieter integrierter Lösungen für Netzwerksicherheit und Business Continuity, rät deshalb zu Verhaltensweisen, mit denen Unternehmen Sicherheit und die Nutzung von Social Media vereinbaren können.
An erster Stelle steht die Schärfung des Bewusstseins der Mitarbeiter. Denn nur wer die Risiken kennt, passt sein Verhalten entsprechend an. Neue Bedrohungen und ein aktueller Katalog von Verhaltensregeln sollten deshalb ständig publik gemacht werden.
Die neuesten Risiken kennen
Voraussetzung dafür ist, dass Administratoren sich über neue Risiken im Weg auf dem Laufenden halten. Empfehlenswert ist es, die Recherche dafür als festen Bestandteil der Arbeitsabläufe zu etablieren.
Unternehmen sollte Regeln dafür einführen, wer wann Zugang zu welchen Netzwerken hat. Dadurch lässt sich der Zugang zu kritischen Daten steuern, überwachen und nachvollziehen. So kann die Gefahr reduziert werden, dass Informationen über unberechtigte Kanäle nach außen dringt.
Infizierte Webseiten unbedingt sperren. Denn ein Klick auf infizierte Webseiten kann schnell dazu führen, dass Trojaner heruntergeladen werden. Mit Hilfe von URL-Filtern könne bekannte Malware- und Phishing-Webseiten von vorne herein vom Unternehmen blockiert werden, ebenso wie andere verdächtige Seiten.
Updates in Sachen Sicherheit
Bei Firewalls sollte man immer die neueste Generation nutzen. Die machen meist auch die Analyse des gesamten Datenverkehrs möglich. So gennante Deep Traffic Inspections überwachen jede Art von Datenverkehr – ob Webbroasing, Peer-to-Peer-Anwendungen oder verschlüsselter Datenverkehr in einem SSL-Tunnel.
Weil häufig auch mobile Nutzer, Partner und Lieferanten auf das Unternehmensnetzwerk zugreifen, sollte auch für diese Gruppe die Anwendung definiert werden. Gerade weil die Nutzung von Social Media bei dieser schwer zu überwachen ist. Eine starke Authentifizierung auf Anwenderebene durch Single Sign-on erleichtern die Arbeit des Administrators sehr. Der Anwender kann durch solche mit einem einzigen Login nur auf die Netzwerkbereiche und Dienste zugreifen, für die er auch eine Berechtigung hat.
Sicherheitslücken sollten frühzeitig geschlossen werden. So kann ein Intrusion Prevention System bei Angriffen auf das Social Web schützen, etwa Angriffe durch Würmer, Viren und Schadsoftware verhindern.
Angriffspunkt internes Netzwerk
Auch das Intranet bietet Angriffsfläche, besonders, da es oft hochsensible Daten enthält. Daher sollte das interne Netz durch Firewalls segmentiert und vom restlichen internen Netzwerk getrennt werden.
Auch mobile Endgeräte wie Laptops, PDAs oder Smartphones sollten in die Sicherheitsstrategie eingebunden werden, da viele Anwender sich über solche in das Firmennetzwerk einloggen. Eine Assessment-Funktionen überprüft das sich anmeldende Gerät auf nötige Sicherheitseinstellungen. Sind die nicht erfüllt, wird dem Gerät automatisch der Zugriff verweigert.
Über zentrale Managementkonsolen können Administratoren das gesamte Netzwerk und alle Endgeräte verwalten, überwachen und konfigurieren. So zeigen verschiedene Reportings an, wer wann auf welche Daten zugegriffen hat. So lassen sich zukünftige Angriffe besser abwehren und gefährdete Anwendungen schneller schützen.
