Bring Your Own Device (BYOD)/Ungesicherte persönliche Geräte

Die Kombination aus Remote-Arbeit und dem erhöhten Bedarf an Online-Kommunikation und Dateifreigabe hat dazu geführt, dass die Grenzen zwischen geschäftlichen und privaten Geräten immer mehr verschwimmen. Eine gängige Lösung ist die Einführung einer BYOD-Richtlinie (Bring Your Own Device), die die Verwendung persönlicher Geräte erlaubt, sofern diese ausreichend durch Sicherheitssoftware geschützt sind und die Mitarbeiter die Unternehmensrichtlinien für Passwörter und physische Sicherheit befolgen.

BYOD birgt leider erhebliche Risiken und entspricht in der Regel nicht den Best Practices, beispielsweise durch eine Verbindung mit ungesichertem WLAN oder das Versäumnis, Sicherheitspatches zu installieren, was zu Sicherheitslücken führen kann, die sich leicht ausnutzen lassen. Diese Schwachstellen können auch Gefahren für Ihre persönliche Cybersicherheit sowie für Ihren Arbeitsplatz oder Ihr Unternehmen darstellen.

Mitarbeiter (Phishing/Social Engineering)

Unabhängig davon, wo Ihre Mitarbeiter tätig sind, sind menschliche Fehler nach wie vor eine häufige Ursache für Datenlecks. Mitarbeiter gehören daher zu den häufigsten Einstiegspunkten für einen Angriff. Der Angriff kann in Form von Phishing oder Social Engineering erfolgen, um Benutzer dazu zu bringen, auf einen zwielichtigen Link zu klicken oder vertrauliche Informationen weiterzugeben.

Die größte Gefahr dabei ist, dass der oder die Betroffene vermutlich nicht bemerkt, manipuliert zu werden, sodass die Ransomware oder sonstige Malware genügend Zeit hat, sich im Netzwerk zu verbreiten.

Die Mitarbeiter sollten darin geschult werden, verdächtige Aktivitäten zu erkennen und schnell zu melden. Darüber hinaus sollten sie nur Geräte verwenden, auf denen Antivirus- und Anti-Malware-Software für Unternehmen installiert ist, um nach nicht autorisierten App-Installationen und anderen Bedrohungen zu suchen und deren Aktivität zu unterbinden, und so Probleme zu erkennen, die andernfalls möglicherweise übersehen werden.

Websites

Hacker betrachten Websites als einen mit Daten gefüllten Weg in ein Unternehmensnetz. Sobald die Website eines anvisierten Unternehmens gehackt wurde, kann Malware eingesetzt werden, oder Daten können gestohlen und zum Social Engineering verwendet werden. Während große Websites in der Regel hochkarätige Ziele sind, sollten kleinere Unternehmen nicht davon ausgehen, dass ihre Daten nicht wertvoll genug wären, um ins Visier genommen zu werden.

Zu den gängigen Website-Angriffen gehören Distributed Denial of Service (DDoS), bei dem eine Flut an Daten die Performance einer Website massiv beeinträchtigt.

SQL-Injection-Angriffe fügen bösartigen Code in Ihre Website ein, der die Sicherheitsfunktionen umgehen und das Abgreifen von Daten, einschließlich Logins und Zahlungsdaten, erleichtern kann. Außerdem werden die Benutzer auf eine gefälschte Version der Website umgeleitet. Bei einer solchen Vielfalt an Motiven ist der Schutz Ihrer Website unerlässlich. Neben Schulungen und Firewalls sollten strenge Zugangskontrollrichtlinien vorhanden sein, damit nur diejenigen, die aktiv einen Zugang benötigen, Änderungen vornehmen können. Penetrationstests sollten dazu dienen, einen Cyberangriff zu simulieren, um die Sicherheitsleistung des Netzwerks zu bewerten und Sicherheitslücken zu identifizieren.

Internet der Dinge (IoT)

Der Einzug intelligenter Geräte in unseren Alltag hat dramatische Ausmaße angenommen. Von Sprachassistenten in Lautsprechern bis hin zu Druckern, Türklingeln, Kameras und Thermostaten – der Komfort hat dabei oft Vorrang vor der Sicherheit. Dadurch werden Internet of Things (IoT)-Geräte zum Ziel für Angreifer, die Sie dann ausspionieren. Wenn ein Gerät gehackt wird, könnten Cyberkriminelle die Kontrolle über andere IoT-Geräte übernehmen, die mit demselben Netzwerk verbunden sind.

Passwörter

Passwortsicherheit ist eine sehr verbreitete und immer empfehlenswerte Praxis zur Verhinderung von Datenlecks. Ihrer Verwendung stehen jedoch häufig komplizierte Anforderungen im Weg. Bei der Arbeit wollen sich Mitarbeiter schnell einloggen und an ihren Projekten arbeiten, anstatt schwer zu merkende Passwörter zurücksetzen und ändern zu müssen. Infolgedessen sind schlechte Angewohnheiten wie das Erstellen schwacher Passwörter (kurz, leicht zu merken), das Teilen von Passwörtern mit anderen und das Notieren auf Papier immer noch weit verbreitet.

Schulungen helfen, das Bewusstsein zu schärfen, aber in diesem Fall sind praktische Lösungen gefragt, um ein Gleichgewicht zwischen Sicherheit und Komfort zu schaffen.

Passwort-Manager sind eine hervorragende Lösung für das Problem mit „zu vielen Passwörtern“. Die Stärke der Passwörter lässt sich einstellen, der Zugang kann ohne Bedenken freigegeben werden, und neue Passwörter lassen sich automatisch generieren, um den Anmeldeprozess zu beschleunigen und die Konten geschützt zu halten. Außerdem muss sich der Benutzer nur ein einziges Passwort merken – das Passwort für die Anmeldung beim Passwortmanager.

DieMulti-Faktor-Authentifizierung sollte, wo immer möglich, zusammen mit starken Passwörtern verwendet werden, um die Identität des Benutzers zusätzlich zu seinem Passwort über sein Gerät, seinen Standort oder seine biometrischen Daten zu überprüfen.

Verstärkte Nutzung der Cloud und von Online-Tools

Cloud-Speicher und Cloud-basierte Tools bieten viele Vorteile für Unternehmen, vor allem für solche, deren Mitarbeiter remote arbeiten. Cloud-Dienste von Drittanbietern, oft als Software as a Service (SaaS) bezeichnet, stellen Software über eine Internetverbindung bereit und müssen nicht vor Ort installiert und gewartet werden. Zu den Vorteilen zählen der Zugang zu höherer Rechenleistung, Bezahlbarkeit und der Remote-Zugriff auf Software und Tools.

Alle Daten, die außerhalb Ihres sicheren Netzwerks gespeichert werden, können jedoch die Gefahr von Datenlecks oder, schlimmer noch, eines Serverangriffs bergen. Die Einführung eines Drittanbieters bedeutet auch einen Mangel an Kontrolle über dessen Datennutzung und Datenschutzrichtlinien.

Zum Schutz Ihrer Cloud-basierten Daten sind eine Multi-Faktor-Authentifizierung und effektive Cloud-Sicherheitslösungen wie der Avast Business Hub unerlässlich.

Ungesichertes WLAN

Die Verbindung zu einem ungesicherten WLAN birgt zahlreiche Risiken. Ohne Verschlüsselung sind alle Ihre Online-Aktivitäten einsehbar. Dazu gehören der Browserverlauf, Anmeldedaten und die Datenübertragung. Mit diesen Informationen könnte ein Hacker sensible Daten stehlen und sich Zugang zu Geschäftskonten verschaffen. Auch ein Identitätsdiebstahl ist wahrscheinlich, da Ihre Daten für einen Social-Engineering-Angriff auf Ihre Kollegen verwendet werden können.

Ungesichertes WLAN ist am häufigsten auf Bahnhöfen, Flughäfen und in Cafés zu finden und als „kostenloses WLAN“ oder „Hotspots“ gekennzeichnet. Diese Art von Verbindung sollte nur als letzter Ausweg und nur zum Surfen verwendet werden – unter keinen Umständen jedoch für Transaktionen oder Websites, die eine Anmeldung erfordern.

Anstatt eine unbekannte Verbindung zu nutzen, sollten Benutzer unterwegs über Mobiltelefone und Tablets auf eine sichere Verbindung zurückgreifen.

Auch das heimische WLAN sollte sorgfältig überprüft werden, um sicherzustellen, dass die richtigen Sicherheitseinstellungen vorhanden sind.

Unverschlüsselte Datenfreigabe

Die Möglichkeit, Dokumente direkt auszutauschen, ist für die Zusammenarbeit und Produktivität in einer hybriden Arbeitsumgebung unerlässlich. Wenn Dateien jedoch unverschlüsselt verschickt werden, wird ein Datenleck zu einem erheblichen Risiko.

Die IT-Abteilung ist zwar dafür verantwortlich, dass die vorhandenen Tools (z. B. Firewalls) und Verfahren die Dateien wirksam vor neuen Bedrohungen schützen, aber auch der einzelne Mitarbeiter muss dabei proaktiv handeln. Um keine vermeidbaren Fehler zu begehen, müssen Mitarbeiter bewährte Sicherheitspraktiken befolgen, indem sie z. B. beim Versenden und Empfangen von Dateien nur autorisierte Sicherheitstools verwenden.

Weitere Informationen zur Verschlüsselung von Daten bei der Übertragung.

Schatten-IT

Der Begriff Schatten-IT bezieht sich auf die Sicherheitsbedrohung, die durch nicht autorisierte Geräte oder Software entsteht, die sich ohne Kenntnis oder Erlaubnis der IT-Mitarbeiter mit dem Unternehmensnetzwerk verbinden. Dies ist eine wachsende Bedrohung, auf die in unserem 2021 Mobile Workforce Reporthingewiesen wird.

Schatten-IT wird oft nicht absichtlich eingesetzt. Dies ist beispielsweise der Fall, wenn sich ein Mitarbeiter mit seinem privaten Smartphone bei einem Unternehmenskonto anmeldet oder nicht autorisierte Software und Tools auf seinem Arbeits-Laptop verwendet.

Der Mangel an Ressourcen während der Pandemie hat zur Verbreitung von Schatten-IT beigetragen, da einige Unternehmen ihre Mitarbeiter aufgrund fehlender Ressourcen dazu ermuntert hatten, ansonsten privat genutzte Geräte zu verwenden.

Was auch immer der Grund sein mag: Verbindungen, die dem IT-Personal nicht bekannt sind, vergrößern die Angriffsfläche des Netzwerks und schaffen zusätzliche Einstiegspunkte für Hacker, die sie ausnutzen können.

Netzwerk

Bei der Überprüfung der Netzwerksicherheit sind zwei wichtige Aspekte zu berücksichtigen. Physische Netzwerkhardware ist ein häufiger Einstiegspunkt für Angriffe in herkömmlichen Büroräumen. Dazu gehören Router, Server und physische Speicher. Diese Elemente benötigen für den Schutz eine Kombination aus physischer Sicherheit und softwarebasierten Lösungen.

Das Spektrum der verschiedenen Arten von Netzwerkangriffen wird immer größer – von Ransomware über Malware bis hin zum Phishing –, das Kontodaten für Router und andere physische Elemente sammelt und möglicherweise dem Hacker die Zugriffskontrolle über das Netzwerk gewährt.

Die zweite Form ist die softwarebasierte Sicherheit des Netzwerkverkehrs. Dazu gehören Antivirus-Software, Serversicherheit und Firewalls. Die Umsetzung dieser Maßnahmen und die Durchführung regelmäßiger Backups tragen dazu bei, die Auswirkungen eines Datenlecks oder Angriffs zu minimieren.

Ein weiteres häufiges Problem sind Man-in-the-Middle-Angriffe, bei denen die Kommunikation über einen langen Zeitraum unentdeckt abgefangen werden kann, wodurch sogar noch weitere gesicherte Informationen abfließen können. Aus diesem Grund ist eine regelmäßig gepatchte Netzwerk- und Serversicherheitssoftware unerlässlich, um verdeckte Angriffe zu erkennen.

Physische Sicherheit in der Öffentlichkeit

Bei der Gerätesicherheit geht es nicht nur um Software. Für diejenigen, die unterwegs arbeiten, stellt die physische Sicherheit ein erhebliches Sicherheitsrisiko dar. Die häufigsten Beispiele hierfür sind der Verlust des Smartphones oder das Zurücklassen eines Geschäfts-Laptops beispielsweise im Zug.

Zur physischen Sicherheit gehört auch die Vertraulichkeit, die bei der Verwendung eines Geräts unterwegs eine wichtige Rolle spielen sollte. Sorgen Sie für Ihre Sicherheit, indem Sie anderen Passagieren den Blick auf Ihren Bildschirm verwehren, und vermeiden Sie es, sich laut über geschäftliche Angelegenheiten und sensible Themen zu unterhalten – beides könnte Informationen liefern, die sich für Spear-Phishing ausnutzen lassen.

Da die Sicherheit des Einstiegspunkts von den einzelnen Benutzern abhängt, sollten alle Mitarbeiter über die Sicherheitsgefahren und Erwartungen bei der Remote-Arbeit geschult werden.

Was kann man tun, um sich vor einem Cyberangriff oder einem Datenleck zu schützen?

Sicherung der Netzwerkumgebung

Während die meisten Unternehmen während der Pandemie zum schnellen Umstieg auf Remote-Arbeit gezwungen waren, bleiben die Grundlagen der Unternehmenssicherheit identisch, unabhängig vom Standort der Mitarbeiter. Auch wenn das „Büro“ nicht mehr auf einen einzigen Raum oder ein Gebäude beschränkt ist, gehört die Sicherung des Netzwerkperimeters nach wie vor zu den wichtigsten Maßnahmen, die Ihr Unternehmen ergreifen kann, um das Vertrauen der Kunden, den Umsatz und die Produktivität aufrechtzuerhalten und Ausfallzeiten im Falle eines Cyberangriffs zu minimieren.

Hybrides Arbeiten ist für Unternehmen jeder Größe eine Herausforderung, wenn auch aus unterschiedlichen Gründen. Ein kleines Unternehmen verfügt in der Regel nicht über die finanziellen Mittel, die größeren Unternehmen zur Verfügung stehen, und hat auch weniger Mitarbeiter und Geräte zu überwachen und zu verwalten.

Der Schlüssel zum Erfolg ist Bildung. Ein Mindestmaß an Sicherheitsschulungen für das Personal sowie Best Practice tragen dazu bei, dass Mitarbeiter verdächtige Aktivitäten schnell erkennen und sich vermeidbare Bedrohungen minimieren lassen. Das Quiz zu den Grundlagen der Cybersicherheit von Avast ist eine hervorragende Möglichkeit, sich ein Bild von den Sicherheitskenntnissen Ihres Teams zu machen und festzustellen, welche Aspekte zusätzliche Schulungen erfordern.

Schützen Sie Ihr Unternehmen mit einem hochwertigen Virenschutz

Schützen Sie Ihr Unternehmen vor diesen Einstiegspunkten für Bedrohungen und anderen komplexen Cyberangriffen, indem Sie Avast Business Cybersecurity-Lösungen für kleine Unternehmen oder Ihr Homeofficeverwenden.