Was Business Leader tun sollten

Seit 2004 findet jährlich im Februar der internationale Safer Internet Day (SID) statt. Über die Jahre hat sich der Aktionstag als wichtiger Bestandteil im Kalender all derjenigen etabliert, die sich für Online-Sicherheit und ein besseres Internet für Kinder und Jugendliche engagieren.

Weltweit wird der SID vom europäischen Insafe-Netzwerk im Rahmen des CEF Telecom Programms der Europäischen Kommission koordiniert. In Deutschland setzt klicksafe den Aktionstag um und ruft dazu auf, sich mit eigenen Aktionen am SID zu beteiligen. Allerdings gibt es inzwischen auch ordentlich Gegenwind, und kritische Stimmen nehmen sowohl die Politik als auch die Führungskräfte in Unternehmen stärker in die Verantwortung. 

Was Business Leader angesichts dessen wissen und vor allem tun sollten, dazu haben Boris Cipot, Senior Security Engineer bei Synopsys, gefragt. 

Was genau ist das Dark Web, und warum sollten auch Firmen darüber Bescheid wissen?

Boris Cipot: Wenn wir gemeinhin etwas über das „Dark Web“ lesen, assoziieren wir damit überwiegend kriminelle Aktivitäten, die sozusagen im Schatten des Internets stattfinden und primär von Hackern oder anderen technisch versierten Personen ausgehen. Es ist nicht ganz falsch: Das „Dark Web“ ist nicht der sicherste Platz im Internet. Das zeigen nicht zuletzt Portale wie das berüchtigte Silk Road, ein Umschlagplatz für Drogen oder andere illegale Aktivitäten und Dienstleistungen. Die allein machen aber nicht das Dark Web aus.

Das Dark Web ist eine Sammlung von Webseiten und Diensten, die nicht von Suchmaschinen indiziert werden. Will man darauf zugreifen, muss man spezielle Tools wie den TOR-Browser verwenden. Als Teil des TOR-Netzwerks kann man dann nach versteckten Webseiten und Diensten suchen. Bei weitem nicht alle nutzen die Anonymität des Dark Web für kriminelle Aktivitäten. Vielmehr dient es zur eigenen Sicherheit. Viele sind gezwungen ihre Internetaktivitäten zu verschleiern, um sich selbst nicht zu gefährden. Reporter in Ländern mit eingeschränkter Meinungsfreiheit bewegen sich beispielsweise im „Dark Web“, um über aktuelle Ereignisse vor Ort zu berichten. 

Unternehmen sollten zumindest wissen, dass das Dark Web existiert und was ein Benutzer potenziell mit einem firmeneigenen Gerät tun kann und wie er oder sie sich vernetzen können. Eine große Zahl von Datenschutzverletzungen wird im Innern eines Unternehmens ausgelöst. Das Dark Web ist ein tendenziell gefährlicher Ort und nichts für unerfahrene Benutzer. Sie sollten sich nicht auf diesen Seiten tummeln, und schon gar nicht mit einem Gerät, das mit dem Unternehmensnetzwerk verbunden ist.

Welche besondere Verantwortung haben Unternehmen und Führungskräfte derzeit, was die Online-Sicherheit ihrer Mitarbeiter anbelangt?

Boris Cipot: Die digitale Transformation ist für alle schwierig. Unternehmen sehen sich mit einer stetig wachsenden Angriffsfläche konfrontiert, wenn Mitarbeiter von zu Hause aus – oder genauer gesagt, von überall aus – arbeiten. Viele waren auf die Flut der Veränderungen schlecht vorbereitet. Vielerorts fehlte es an der notwendigen Hard- und Software für eine funktionierende Arbeitsumgebung und zusätzlich am Know-how, um das Thema Sicherheit in den Griff zu bekommen. Unter dem Druck der Umstände setzte man nicht selten zunächst auf rein technische Add-Ons, um die Sicherheitslage zu verbessern. Dabei gerieten die Mitarbeiter aus dem Fokus, und es wurde wenig getan, um die Benutzer zur Funktionsweise der neuen Technologien aufzuklären. Unternehmen sollten sich stärker bewusst machen, dass nicht nur die Firma als Ganzes, sondern auch die einzelnen Mitarbeiter mit der Umstellung, neuen Regeln und Technologien zurechtkommen müssen. Dabei braucht eine Belegschaft Unterstützung. 

Es ist unerlässlich, dass Unternehmen ihren Mitarbeitern einen zusätzlichen Sicherheitslevel bieten. Dazu zählt, dass unangemessene E-Mails oder Web-Inhalte blockiert und dass Web-Dienste und interne Ressourcen nur über eine angemessenen Zugriffsverwaltung, starke Passwörter und VPN-Kanäle genutzt werden. Jeder einzelne muss verstehen, warum diese Maßnahmen so wichtig sind und wie man die Sicherheitsprotokolle richtig umsetzt. Noch wichtiger ist, auf aktuelle Bedrohungen, aber auch auf dauerhaft anhaltende, wie z.B. Phishing-E-Mails, aufmerksam zu machen. Sonst führt die mangelnde Aufklärung leicht zu Unzufriedenheit, Stress und Beschwerden über die neuen Regeln und Prozesse. 

Wie haben sich die Grenzlinien für Kontrolle und Zugang durch remote Working verwischt (die Büros haben faktisch keinen Perimeter mehr)? 

Boris Cipot: Grundsätzlich sollte jedes Unternehmen sicherstellen, dass Zugriffsberechtigungen, rollenbasierte Privilegien und der Zugriff auf Ressourcen klar definiert sind. Netzwerksegmentierung und Geräteklassifizierung sind ebenfalls ein Muss. Wichtig ist, dass alle Geräte über einen ausgereiften Malware-Schutz verfügen und nur mit eingeschränkten Benutzerrechten arbeiten. Der Benutzer sollte beispielsweise keine Software installieren können, ohne dass die IT-Abteilung davon Kenntnis hat. Darüber hinaus ist die Multi-Faktor-Authentifizierung eine praktikable, und inzwischen weithin akzeptierte Möglichkeit, das Handling von Anmeldeinformationen abzusichern.

Es gibt sicherlich noch weitere Komponenten, die man in seine Überlegungen einbeziehen sollte. Das heißt aber nicht, dass sich die Grenzlinien bei Kontrolle und Zugang verwischt haben. Sie haben sich einfach verschoben.

Wie können die Stakeholder des Unternehmens besser mit der IT zusammenarbeiten? Im Übrigen nicht nur ein Problem für die IT-Abteilung!

Boris Cipot: Definitiv kein alleiniges Problem der IT-Abteilung. Es ist ein geteiltes Problem und man sollte auch die Verantwortung teilen. Die Stakeholder eines Unternehmens sollten gewährleisten, dass die IT-Abteilung/en alle erforderlichen Informationen über die alltäglichen Anwendungsfälle und Prozesse bekommt. Anhand dieser Informationen sind sie in der Lage, die bestmögliche Strategie festzulegen. Stakeholder sollten sich auch darüber im Klaren sein, dass einige Prozesse, die in der Vergangenheit immer auf eine bestimmte Art und Weise und quasi hinter verschlossenen Türen gehandhabt wurden, der Vergangenheit angehören. Jedenfalls dann, wenn die Verbindung zu internen Ressourcen stärker eingeschränkt wird. Meine dringende Empfehlung an alle Stakeholder ist deshalb, mit der IT zusammenzuarbeiten, sich an deren Bedürfnissen und Prioritäten zu orientieren sowie einen Prozess auszuarbeiten, der für beide Seiten funktioniert.

Wie geht man mit dieser Problematik gleichzeitig effektiv und sensibel um?

Boris Cipot: Leider gibt es keine Standard-Strategie, die für jedes Unternehmen passt. Ich will noch einmal betonen, wie wichtig es ist, Mitarbeiter zu schulen. Und Firmen sollten sich nicht scheuen, externe Hilfe zu suchen. Viele hatten Schwierigkeiten, die durch die Pandemie verursachte Lage in den Griff zu bekommen. Dann besteht die Lösung darin, sich Rat und Hilfe von Spezialisten zu holen, die Schwachstellen aufzeigen und dabei helfen, sie zu beseitigen. Wir haben zuletzt etliche Fälle beobachten können, in denen Cyberkriminelle genau diese Schwachstellen für sich ausnutzen konnten. Holen Sie immer eine zweite Meinung ein, wenn Sie unsicher sind.