Hacker Laptop
PESHKOV/STOCK.ADOBE.COM
30.09.2020 Fachinformation

Aufschwung für Hacker

In der Corona-Krise haben Unternehmen das Homeoffice entdeckt. Doch das kann zum leichten Ziel für Online-Attacken werden – vor allem wenn berufliche und private IT-Nutzung nicht getrennt sind. Experten raten zum Einsatz gesicherter virtueller Netzwerke, die wie ein sicherer Tunnel vom heimischen Rechner bis zum Firmennetz wirken.

von MARKUS STREHLITZ 

Kontakt

Chefredakteurin VDE dialog

Die Wirtschaft ächzt unter den Folgen der Corona-Pandemie, die Konjunktur ist ins Stocken geraten. Allerdings nicht in allen Branchen, wie Alexander Matheus, Senior Expert für smarte Technologien und Informationssicherheit beim VDE Institut berichtet: „Wir haben von Sicherheitsfirmen gehört, dass diese zurzeit mehr zu tun haben als vor Corona, weil es deutlich mehr Angriffe gibt. Es scheint so, dass Hacker jetzt auch mehr Zeit haben.“ Für die verstärkten Aktivitäten gibt es aber wohl vor allem einen bestimmten Grund: Die Pandemie, in der Firmen einen Großteil ihrer Tätigkeiten ins Homeoffice verlegt haben (siehe Kasten), wirkt wie ein Konjunkturprogramm für Online-Kriminalität. „Wir beobachten derzeit verstärkt, dass Online-Attacken auf Homeoffice-Modelle zugeschnitten werden“, sagt Udo Schneider, IT-Sicherheitsexperte bei Trend Micro, einem Anbieter von Security-Technologien. „Der Mitarbeiter, der zu Hause seiner beruflichen Tätigkeit nachgeht, wird quasi als Brückenkopf in das entsprechende Unternehmen gesehen.“ Cyberkriminelle greifen die Rechner der Heimarbeiter an und versuchen, darüber in die Unternehmensnetze zu gelangen.

Die Bedingungen für die Angreifer sind günstig. „Das Hauptproblem im Homeoffice ist, dass der Zugang zum Netz über eine private Hardware erfolgt“, erklärt Matheus. Anders als in einem Unternehmen kann sich dort keine IT-Abteilung um eine professionelle Wartung kümmern. Doch in vielen Fällen ist das Problem noch größer. Nicht nur der Internetzugang läuft über eine private Hardware. Auch für die berufliche Tätigkeit selbst nutzen Heimarbeiter ihr eigenes Gerät. In Deutschland sind das 38 Prozent der Mitarbeiter. Das ist das Resultat einer Studie des IT-Sicherheitsanbieters Kaspersky, für die 6000 ­Mitarbeiter weltweit befragt wurden – unter anderem in Deutschland, USA, Russland, Frankreich, Spanien und Italien.

Generell vermischen sich private und berufliche Nutzung von Informationstechnologie, wie die weiteren Ergebnisse der Studie zeigen. 28 Prozent der Deutschen senden und empfangen dienstliche Nachrichten über ihre private E-Mail-Adresse. Und 33 Prozent verwenden auf ihrem Geschäftshandy Social-Media-Dienste wie WhatsApp und Facebook Messenger. „Unternehmen können nicht allen Mitarbeiterbedürfnissen, wie Dienste nach Belieben nutzen zu können, nachkommen“, sagt Andrey Evdokimov, Chief Information Security Officer bei Kaspersky. Daher sei es wichtig, ein Gleichgewicht zwischen Nutzerfreundlichkeit, Geschäftsanforderungen und Sicherheit herzu­stellen.

»Es ist wichtig, ein Gleichgewicht zwischen Nutzerfreundlichkeit, Geschäftsanforderungen und Sicherheit herzustellen.«

Andrey Evdokimov, Chief Information Security Officer, Kaspersky

Immerhin: Im internationalen Vergleich befindet sich Deutschland im Mittelfeld. In Italien und den USA arbeiten laut Studie 49 Prozent beziehungsweise 48 Prozent mit dem privaten Computer. In Russland tun dies sogar 65 Prozent. Matheus sieht das sehr kritisch. „Die IT-Abteilung hat dann gar keine Möglichkeit, das Gerät, mit dem gearbeitet wird, ordentlich zu warten.“ Es müssten in diesen Fällen sehr strikte Regeln aufgestellt werden, so Matheus. „Denn wenn erst mal eine Schwachstelle durch einen ungeschützten Rechner im Firmennetz existiert, dann ist das gesamte Netz in Gefahr.“ Vor allem müsse geklärt werden, welche Hardware-Ausstattung der Mitarbeiter verwenden darf. Das Gleiche gilt für die Software. ­Wichtig ist laut dem VDE Experten der Einsatz eines gesicherten virtuellen Netzwerks (VPN). Dieses bildet quasi einen geschützten Tunnel vom Heimrechner bis zum Firmennetz. Ein VPN sollte die Arbeit im Homeoffice immer absichern – unabhängig davon, ob ein Privat- oder ein Firmengerät genutzt wird. Hierzulande nutzen laut der Kaspersky-Studie schon 66 Prozent der Mitarbeiter eine VPN-Verbindung, wenn sie im Homeoffice sind. Damit ist Deutschland Spitzenreiter unter den befragten Ländern.

„Auf der Unternehmensseite ist wichtig, dass die Bandbreite groß genug ist, um einen VPN-Tunnel für alle Mitarbeiter bereitzustellen, die ihn benötigen“, sagt Matheus. Wenn der Nutzer zu Hause einen Firmenrechner verwendet, sollte er alle Aktionen auch erst dann durchführen, wenn das private virtuelle Netzwerk aufgebaut ist. Heißt: zuerst das VPN starten und dann E-Mails checken oder im Internet surfen. „Jede Kommunikation, die am Tunnel vorbeiführt, kann nicht durch die Infrastruktur des Unternehmens geschützt werden.“ Schneider von Trend Micro weist darauf hin, dass der Zugang zum Unternehmensnetz zusätzlich durch eine Zwei-Faktor-Authentisierung geschützt sein sollte. Daten, die von den Privatgeräten ins Unternehmen transferiert werden, müssten außerdem gesondert überprüft werden.

»Wenn erst mal eine Schwachstelle durch einen ungeschützten Rechner im Firmennetz existiert, ist das gesamte Netz in Gefahr.«

Alexander Matheus, Senior Expert für smarte Technologien und Informationssicherheit, VDE Institut

Es gibt aber noch weitere Voraussetzungen, um zu Hause sicher arbeiten zu können. Dazu gehört laut Matheus unbedingt ein Back-up-System. „Dieses sollte sich nicht im gleichen Netz wie der Arbeitsrechner befinden oder mit diesem dauerhaft verbunden sein“, rät er. Dann könne es im Falle eines Ransomware-Angriffes auch nicht verschlüsselt werden. Denn diese Form von Attacken seien derzeit sehr häufig zu verzeichnen. In diesen Fällen verschlüsseln Cyberkriminelle die Daten des Opfers und geben diese erst gegen ein Lösegeld wieder frei.

Darüber hinaus gilt für Firmenangestellte, die von zu Hause arbeiten, das Gleiche wie für jeden Privatanwender: Sie müssen dafür sorgen, dass sich alle Geräte stets auf dem neuesten technischen Stand befinden – das betrifft etwa das regelmäßige Aufspielen von Software-Updates. Zudem müssen diese mit den gängigen Sicherheitsprogrammen ausgerüstet sein. Eine besondere Rolle nimmt dabei der Router ein. Über ihn läuft schließlich der gesamte Datenverkehr. Daher ist er auch besonders gefährdet. „Cyberkriminelle sind sich bewusst, dass die Mehrheit der Home-Router nicht ausreichend gesichert sind – beispielsweise durch Standard-Passwörter – und verstärken deshalb ihre Angriffe“, berichtet Schneider.

»Cyberkriminelle wissen, dass die Mehrheit der Home-Router nicht ausreichend gesichert ist.«

Udo Schneider, IT-Sicherheitsexperte, Trend Micro

Infizierte Router können als Eintrittspunkt ins Unternehmensnetzwerk dienen. Sie können aber auch für den Einsatz in Botnets missbraucht werden. Dabei dienen sie als Ressource für automatisierte Schadprogramme – ohne dass die Besitzer der Router davon wissen. Laut Schneider können die privaten Geräte dann schnell auf einer schwarzen Liste landen, was die Abkopplung vom Internet oder Unternehmensnetzwerken nach sich zieht. Auf diese Weise könnten Privatpersonen schnell und ungesehen in kriminelle Aktivitäten verwickelt werden. Ein deutliches Zeichen für einen kompromittierten Router seien plötzliche Leistungsprobleme.

Matheus glaubt, dass Mitarbeiter häufig damit überfordert sind, allen notwendigen Sicherheitsanforderungen zu genügen. Daher sei es grundsätzlich besser, wenn das Unternehmen das Gerät fürs Homeoffice stellt. Doch auch in diesen Fällen spielt neben der Technik der Mensch eine wichtige Rolle. Häufig ist er die Schwachstelle in einem Sicherheitskonzept.

So finden zum Beispiel viele Attacken, die sich gegen Firmen richten, derzeit über Phishing statt. Wenn Dokumente im Homeoffice ungeschützt sind, erleichtert dies das Werk der Cyberkriminellen. Sie können dann die Attacken noch genauer auf ihre Opfer zuschneiden. Dagegen hilft vor allem das Wissen der Anwender, dass es diese Gefahren gibt und wie sie zu identifizieren sind. Nur wer die potenziellen Bedrohungen kennt, kann seinen Teil zu einem sicheren Homeoffice beitragen. Es sei daher wichtig, Mitarbeiter zu schulen, um Phishing zu unterbinden, sagt Matheus. Dem stimmt Schneider zu. Unternehmen sollten innerhalb der Belegschaft das Bewusstsein für die IT-Sicherheit schärfen – gerade wenn ein großer Teil im Home­office arbeite.

Die Security-Unterrichtung der Mitarbeiter in Deutschland wird allerdings etwas vernachlässigt. In der Kaspersky-Studie wurden die Teilnehmer gefragt, ob ihr Arbeitgeber ihnen Empfehlungen, Anweisungen oder Training in Bezug auf Phishing oder Social Engineering bereitgestellt habe, als sie mit der Arbeit von zu Hause begannen. Von den deutschen Befragten beantworteten nur 29 Prozent diese Frage mit Ja. Damit befindet sich Deutschland im hinteren Bereich. In Spanien waren es immerhin 44 Prozent und in den USA sogar 48 Prozent.

Doch vielleicht kann Corona hier auch einen positiven Effekt haben. Möglicherweise sind Unternehmen durch die Krise aufgewacht, was das Thema IT-Sicherheit betrifft. Dann bleibt die Hoffnung, dass IT-Sicherheitsfirmen irgendwann wieder mehr mit vorausschauender Wartung als mit Krisenmanagement zu tun haben.

MARKUS STREHLITZ ist freier Journalist und Redakteur beim VDE dialog.

Dauerhaft ins Homeoffice

Mit der Corona-Pandemie ist das mobile Arbeiten in die Realität vieler Unternehmen und Arbeitnehmer eingezogen. Das wird im Arbeitsalltag auch weiterhin so bleiben. Dies ist das Resultat einer Studie des Fraunhofer-Instituts für Arbeitswirtschaft und Organisation (IAO) und der Deutschen Gesellschaft für Personalführung (DGFP), an der über 500 Unternehmen teilnahmen.

Demnach haben 42 Prozent schon beschlossen, die Möglichkeiten, von zu Hause aus zu arbeiten, nach der Krise auszuweiten. Die Erfahrungen sind fast durchweg positiv. Knapp 90 Prozent der Unternehmen haben mehr oder minder eindeutig erkannt, dass bei ihnen mehr Homeoffice möglich sei, ohne dass dadurch Nachteile entstünden.

Interessiert an Cyber Security und IT-Sicherheit?

Mann arbeitet am Laptop zum Thema IT-Sicherheit
putilov_denis / stock.adobe.com
29.07.2020 TOP

Der VDE engagiert sich auf vielfältige Weise für Cyber Security: Wir gestalten zum Beispiel mit CERT@VDE IT-Sicherheits-Prozesse für industrielle KMU und sorgen für Innovationstransfer aus Wissenschaft und Forschung in die Praxis und Märkte. Und wir stärken die deutsche Wirtschaft – vor allem den Mittelstand und Start-ups – auch im internationalen Wettbewerb.

Weitere Inhalte zum Thema IT-Sicherheit finden Sie auf unserer Themenseite Cyber Security.

Zur Themenseite Cyber Security