Beinahe täglich sind Cyber-Attacken auf Unternehmen, Behörden und Kliniken in der Presse. Ein großer Anteil erfolgreicher Attacken geht auf den fahrlässigen Klick eines Mitarbeiters zum Aufruf eines Links oder Anhangs zurück. Ein falscher Klick kann eine Organisation für Tage lahmlegen und Schäden in Millionenhöhe verursachen. Ein Security-Experte hat Organisationen treffend mit einem Ballon verglichen, dessen gesamte Oberfläche geschützt werden muss, während dem Angreifer eine kleine feine Nadel genügt. Die Awareness der Mitarbeiter für die Gefährdungen spielt für den Schutz eine extrem große Rolle. Im nachfolgenden Gastbeitrag erläutert der auf Awareness-Maßnahmen spezialisierte Anbieter MainDefense worauf es dabei ankommt.

Warum sollten Unternehmen in IT-Sicherheit investieren?
Die Anzahl der Hackerangriffe ist in den vergangenen Jahren stark gestiegen. Allein in Deutschland entstehen jedes Jahr über 55 Milliarden Euro Schaden durch Cyberkriminalität. 2018 veröffentlichte das BSI eine Studie aus der hervorgeht, dass „70% aller Unternehmen in Deutschland von Cyberkriminalität betroffen sind“, „6 von 10 Unternehmen ihren Betrieb als gefährdet sehen“ und „jeder zweite Angriff erfolgreich ist“. Besonders alarmierend ist, dass über 92% aller Cyberangriffe auf eine E-Mail zurückzuführen sind. ​Deshalb stellt sich nicht die Frage, ob ein Unternehmen betroffen sein wird, sondern nur wann. ​Hierbei spielt die Firmengröße und Mitarbeiterzahl​​ keine Rolle. Vom großen Milliardenkonzern​,​ bis hin ​zu ​kleinen regionalen Unternehmen werden alle Firmen von Hackern ins Visier genommen.

Wie schütze ich mein Unternehmen vor Cyberangriffen?
Cybersecurity ist ein komplexes Puzzle, das sich aus verschiedenen Teilen zusammensetzt. Es gibt nicht die eine Lösung die vor allen Gefahren schützt. Technische Sicherheitsmaßnahmen, wie beispielsweise Firewalls, Virenscanner, Proxy-Systeme oder Mail-Security-Gateways spielen seit Jahren eine wichtige Rolle.

Aktuelle Hackerangriffe fokussieren sich jedoch immer mehr auf die Mitarbeiter im Unternehmen. Der Angriffsvektor Mensch steht dadurch mehr denn je im Fokus von Cyberkriminellen, da dieser oft eine offensichtliche Schwachstelle darstellt. Ungeschultes Personal, das unüberlegt Links oder E-Mail Anhänge öffnet, kann leicht zum Schlupfloch für ungebetene Gäste werden und sämtliche technische Sicherheitsmaßnahmen aushebeln In über 90% der Fälle versuchen Angreifer die Mitarbeiter über eine Phishing-Mail zu attackieren. Darum ist es immer wichtiger die Mitarbeiter auf die Gefahren hinzuweisen und diese stetig im Umgang mit Phishing-Mails zu trainieren.

Schwachstelle Mensch: Warum werden Phishing-Angriffe bei Cyberkriminellen immer beliebter?
Günstig zu betreibende Phishing-Infrastrukturen ermöglichen es Angreifern ohne tiefgehendes technisches Knowhow großflächige Angriffe durchzuführen. Die Kosten für solche Angriffe sind extrem niedrig. In den meisten Fällen handelt es sich nicht um gezielte Angriffe. Stellen die Angreifer fest, dass die Erfolgschancen bei einem Unternehmen niedrig sind, ziehen Sie einfach weiter zum nächsten Unternehmen. Dieses Verhalten wird auch als
„low-hanging fruits“ bezeichnet. Angreifer wissen, dass die Mitarbeiter in vielen Unternehmen in diesem Bereich nicht hinreichend geschult sind. Somit rechnen sich Hacker durch Phishing Mails, die in die Postfächer der Mitarbeiter gelangen, eine hohe Erfolgschance für einen Angriff auf ein Unternehmen aus. Zudem ist es für die Mitarbeiter extrem schwer solche Phishing E-Mails zu erkennen. Das hat verschiedene Gründe. Zum einen wird die Flut an E-Mails, die viele Mitarbeiter täglich empfangen, immer größer und zum anderen „faken“ die Hacker die Phishing Mails immer besser, sodass kaum ein Unterschied zu einer „realen“ E-Mail erkennbar ist. Ein weiterer Grund ist die wachsende Belastung im Arbeitstag. Dadurch haben Mitarbeiter von Unternehmen immer weniger Zeit jede E-Mail genau zu lesen und werden schneller Opfer von Hackerangriffen. Umgekehrt können gut ausgebildete und achtsame Mitarbeiter zu einer fast unüberwindbaren Barriere für Phishing-Angreifer werden – und das bei einem Bruchteil der Kosten technischer Anti-Phishing Maßnahmen. Denn trotz all dieser technischen Maßnahmen gelangen Phishing-Mails nach wie vor durch die Sicherheitsmechanismen der Unternehmen.

User Awareness Training – Wie Sie Ihre Mitarbeiter zukünftig vor Phishing Mails schützen: 

Um die Mitarbeiter von Unternehmen zum Thema Phishing Mails nachhaltig zu schulen, bietet sich ein User-Awareness Training, wie es die Firma MainDefense GmbH durchführt, perfekt an. Im Rahmen dieses Trainings erhalten User in regelmäßigen Abständen individuell angepasste Training-Phishing-Mails, die von echten Angriffs-E-Mails nicht zu unterscheiden sind. Doch statt im Falle eines unüberlegten Klicks den Rechner des Mitarbeiters mit Schadsoftware zu infizieren oder Daten abzufischen, wird der Mitarbeiter auf eine firmenindividuelle Schulungsseite weitergeleitet. Auf dieser Seite wird ihm anschaulich in einem kurzen Video erklärt, was Phishing ist und wie man den Angriff hätte abwenden können. Der Unternehmensadministrator kann sich die Klickraten und Schulungserfolge in Echtzeit in einem unternehmensindividuellen Online-Portal ansehen und daraus weitere Erkenntnisse ableiten.

Vorteile von User Awareness Trainings

Für Unternehmen entsteht für das gezielte Security-Training der Mitarbeiter kein zusätzlicher Aufwand. Die Mitarbeiter der Unternehmen werden durch das User Awareness Training regelmäßig und mit geringem Zeitaufwand optimal für den Ernstfall geschult. Die Schulungsmaßnahme vermittelt alle nötigen Informationen in unter 5 Minuten und erreicht exakt die Mitarbeiter, die Schulungsbedarf in puncto Phishing haben. Somit wird vermieden, die gesamte Belegschaft – auch Mitarbeiter, die bereits zu diesem Thema gut geschult sind, – auf Trainingsseminare zu schicken, die oft sehr zeitintensiv sind und daher auch nicht regelmäßig besucht werden können.
Die Lösung ist auf Unternehmensseite in maximal einer Stunde integriert und im Anschluss direkt einsatzbereit.

Schulen Sie ihre Mitarbeiter nachhaltig durch ein User Awareness Training und lassen Sie diese zu einer unüberwindbaren Barriere für Phishing-Angreifer werden.