Warum sollen prinzipiell alle Unternehmen - ob klein oder groß - Business-Daten sichern?
Dariusch Purkabiri: Ein großer Teil unserer Informationen ist heute digitalisiert. Keiner kann es sich leisten, Daten zu verlieren. Deswegen gibt es ganz individuelle Konzepte, die den Anforderungen eines Unternehmens angepasst sind und mehrstufig angelegt sein sollten.
Was beinhaltet ein mehrstufiges Konzept?
Purkabiri: Wenn Sie eine wichtige Geschäftsmail versehentlich löschen, die Sie unverzüglich wiederherstellen müssen, muss ich in der Lage sein, schnell und kleinteilig Daten wieder herstellen zu können. Das gilt vom kleinsten Datenverlust bis zum Desaster-Backup, weil alle Daten verschlüsselt oder zerstört wurden. Dazu brauche ich ein Konzept, das mir kritische Unternehmensdaten wiederherstellt, für das drei Stufen durchaus sinnvoll sind.
Wie sehen diese drei Stufen aus?
Purkabiri: Es beginnt mit den Arbeitsdaten für den täglichen Bedarf, geht weiter mit den Anwendungen und Servern bis hin zu katastrophalen Szenarien.
Wo werden die Daten gespeichert?
Purkabiri: Optimalerweise innerhalb des Unternehmens, allerdings ist auch eine Standortredundanz wichtig. Das bedeutet, dass wir je nach Anforderung für einen schnellen Zugriff die Daten in einem Rechenzentrum haben. Aber es ist auch wichtig, dass eine Kopie der Daten in einem externen Rechenzentrum in einiger Entfernung ausgelagert wird. Das nennen wir Georedundanz. Sie ist essenziell, wenn die Daten eines Unternehmens beispielsweise durch einen schweren Brand zerstört werden.
Gehören Daten auch in eine Cloud?
Purkabiri: Das ist von unserer Seite aus fast gleichzusetzen, weil die Cloud auch aus einzelnen Rechenzentren besteht. Wenn wir über Georedundanz sprechen, ist meiner Meinung nach eine Entfernung von 50 bis 100 Kilometer optimal.
Wo sollte ein Unternehmen aus Kaiserslautern seine Daten sichern?
Purkabiri: Hauptsache nicht in der „Einflugschneise“.
Saarbrücken, Karlsruhe oder Frankfurt bieten sich an. Ist ein Unternehmen haftbar, wenn Daten verloren gehen?
Purkabiri: Ja, immer dann, wenn ein Unternehmen den erforderlichen Sicherungsmaßnahmen nach dem Stand der Technik nicht nachkommt. Insbesondere aufgrund der aktuellen EU-Richtlinie kommt eine verstärkte Haftung auf die Unternehmen zu – unter Umständen sogar eine persönliche Haftung des Geschäftsführers. Die greift immer dann, wenn Daten fahrlässig gelagert werden, sie nicht richtig gesichert sind und daraus Folgeschäden für Auftraggeber, Lieferanten oder Partner entstehen.
Manuel Neubecker: Angemessener Schutz ist auch nötig, wenn sich im Netzwerk ein Verschlüsselungstrojaner oder ein Virus ausbreitet. Bevor Angreifer ein Lösegeld erpressen werden, haben sie häufig alle Backups gelöscht. Wenn Daten nicht vernünftig abgesichert oder ausgelagert sind, haben die Verantwortlichen ein Problem.
Kann ein Backup auch an verschiedenen Standorten betroffen sein?
Purkabiri: Es kommt darauf an. Wichtig ist in jedem Fall, eine Anforderungsanalyse durchzuführen. Es ist zu empfehlen, vollständig isolierte Daten vorzuhalten. Eine solche Offline-Sicherung verbessert den Schutz erheblich.
Wie sieht ein sicheres Konzept aus?
Neubecker: Es sollten ausreichend Sicherheitsstände vorhanden sein, weil Angreifer es immer wieder schaffen, Netzwerke zu befallen und Daten zu sammeln, bevor es überhaupt jemand bemerkt. Wenn eine Erpressung erst nach zwei Monaten stattfindet, wurden bis dahin bereits viele personenbezogene Daten abgegriffen. Da das Stehlen vertraulicher Informationen einige Zeit zurückliegen kann, ist es wichtig, auf länger zurückliegende Datensicherungen, etwa vom letzten Quartal oder Jahr zurückgreifen zu können, um einen sauberen Zustand zu erhalten. Nur Stände der letzten 14 Tage vorzuhalten wäre fahrlässig.
Kommt es oft vor, dass Unternehmen angegriffen, geschädigt und erpresst werden?
Purkabiri: Solche Angriffe sind an der Tagesordnung, auch in Kaiserslautern und überhaupt in Rheinland-Pfalz.
Wer sind die Angreifer?
Purkabiri: Die sind meist anonym, das heißt, es ist erst einmal eine forensische Analyse notwendig. Dabei geht es um die wissenschaftliche Untersuchung von Beweismitteln und Spuren. Häufig können wir im Rahmen dieser Analyse der Methodik herausfinden, von welcher Organisation oder welchem Lager aus der Angriff stattgefunden hat, besonders wenn es um Wirtschaftsspionage geht.
Aus welchen Regionen stammen die Angreifer meist?
Purkabiri: Die großen erpresserischen Aktionen sind international. Das sind Server oder Serverfarmen, die über verschleierte Standorte und von mehreren Standorten aus agieren und über anonyme Server und IP-Adressen arbeiten.
Neubecker: Auf einzelne Länder sollten solche Angriffe aber nicht festgelegt werden, weil sich jeder in Russland einen Server mieten und darüber den wahren Standort verschleiern kann. Manchmal soll es auch so wirken, als komme der Angriff aus einem bestimmten Land. Die Gründe solcher Angriffe sind sehr unterschiedlich.
Um was geht es meist?
Neubecker: Oft geht es um die Erpressung von Lösegeld. Es kann aber auch sein, dass ein Unternehmen eine Rechnung von einem Lieferanten per Mail geschickt bekommt, mit dem er tatsächlich zusammenarbeitet, nur dass eben eine andere Bankverbindung angegeben ist, an die das Geld zu überweisen ist. Mitarbeiterschulung und -sensibilisierung ist in diesem Bereich extrem wichtig, um sich vor solchen Angriffen zu schützen.
Purkabiri: Sensibilisierung ist ein großes Thema. Laut Statista kommen 76 Prozent der Cyberangriffe aktuell aus Russland, gefolgt von 62 Prozent aus China, 17 Prozent aus den USA und 1 Prozent aus Deutschland. Das bestätigt den Eindruck, den wir haben.
Wie funktioniert eigentlich Datensicherheit im Homeoffice?
Neubecker: Es müssen geschützte Endgeräte zur Verfügung gestellt werden. Entscheidend ist, wie der Zugang ins Firmennetz aufgebaut wird. Hier kann infizierten Geräten der Zugriff verweigert werden.
Purkabiri: Ein Sicherheitskonzept gilt immer auch für Mitarbeiter, die extern tätig sind. Reisende müssen beispielsweise geschult sein, wie sie IT-Geräte in Hotels nutzen. Dazu gehören Virenscanner, die Absicherung der Daten und der Einsatz von Verschlüsselung. Für jedes Unternehmen wird ein individuelles Set an Maßnahmen geschnürt, die eine sichere Verbindung in das Unternehmen gewährleisten. Die allerhäufigste Methodik bei Cyberangriffen ist Social Engineering oder integriertes Social Engineering. Die Kombination mehrerer Methoden ist aktuell der Renner. Ein Angriff startet beispielsweise mit einer Phishing-E-Mail, kombiniert mit verschiedenen technischen Systemen, wie etwa der Klick auf einen Link für das Herunterladen von Schadsoftware oder die Herausgabe von Daten. Das fällt für mich eindeutig in den Bereich der aktiven Täuschung. Die technischen Systeme werden immer besser. Auch mit einem Sicherheitskonzept werden wir immer ein Restrisiko haben. Doch was ich sagen muss, ist: der Mensch ist die beste Firewall - auch wenn er gleichzeitig das größte Risiko darstellt.
Neubecker: Langfristig können wir uns nur durch eine Kombination aus Technik und menschlicher Wachsamkeit schützen. Ohne den Menschen geht es nicht - heute nicht und morgen auch nicht. Die Kombination aus beidem ist das optimale Sicherheitskonzept.
Was ist Social Engineering?
Purkabiri: Die bewusste Manipulation von Menschen, indem man Druck auf sie ausübt und eine fiktive Notsituation erzeugt, egal, ob es um Finanzen, die Herausgabe von Informationen oder um die Installation einer Software geht. Die Menschen werden in gefühlte Schwierigkeiten gebracht, damit sie Dinge tun, die sie normalerweise nicht tun würden. Aus Angst wird nicht mehr nachgedacht, sondern auf die Wünsche des Angreifers eingegangen. Gerade hier schulen wir ganz aktiv durch Simulation. Wir imitieren Angriffe und erzeugen dadurch eine große Sensibilisierung bei den Mitarbeitern. Wichtig ist, dass diese den angeblich in Schwierigkeiten geratenen Kollegen zurückrufen oder auf einem anderen Medium kontaktieren, um zu fragen: Bist du es wirklich? Denn auch Stimmen werden inzwischen 1 zu 1 manipuliert. Ein Sicherheitskonzept muss ganzheitlich sein.
Neubecker: Mit Hilfe von KI können Angreifer zielgerichtete Attacken mit minimalem Aufwand fahren, in denen alle Informationen über das zu attackierende Unternehmen gesammelt werden und zielgesteuerte Angriffe innerhalb kürzester Zeit möglich sind. Diese abzuwehren, wird immer schwerer, weil sie immer perfekter werden. Es gibt keine Richtlinien mehr wie noch vor kurzem, etwa: Die E-Mail ist auf Englisch formuliert oder enthält Rechtschreibfehler. Aber auch mit gesundem Menschenverstand ist es extrem schwer, sich vor Cyberangriffen zu schützen. ckkm