Cyber-Angriffe – wie können Sie sich schützen? Datenschutz: Szenario „Cyber-Angriff“
© © psdesign1 - Fotolia.com
Die weltweite Vernetzung über das Internet bringt immense Vorteile mit sich. Allerdings steigen die Herausforderungen für den Schutz der Privatsphäre und der Unternehmensdaten erheblich. Cyber-Angriffe können von überall herkommen.
Es beginnt mit Leichtsinn im Umgang mit E-Mails und geht bis zu gezielten Angriffen auf das Unternehmen. Es gibt eine Reihe von vorsorglichen Schutzmaßnahmen – wir haben ein Szenario beispielhaft ausgewählt.
Szenario:
Ein Unternehmen hat eine Stelle ausgeschrieben und die Bewerbungen treffen ein. Ein Bewerber schickt seine Bewerbung per Post und legt einen USB-Stick bei, der weiterführende Unterlagen enthält. Das Personalwesen vertraut dem Bewerber (warum auch nicht?) und der Mitarbeiter steckt deshalb den USB-Stick in seinen Rechner.
„Vertrauen ist gut – Kontrolle ist besser“.
Auf dem USB-Stick kann sehr leicht ein Trojaner in das Unternehmen geschleppt werden, der sich erst durch Öffnen, z. B. einer PDF-Datei, zeigt und selbst installiert. In unserem Szenario haben wir den USB-Stick als Trojaner-Träger ausgewählt.
Wie gut kennen Sie die IT-Firma, die Sie betreut? Auch eine Fernwartung kann vom Prinzip her ein „universelles trojanisches Pferd“ sein.
Was der Trojaner dann auf dem Rechner des Personalmitarbeiters oder möglicherweise auf allen Rechnern im Unternehmensnetzwerk „anstellt“, hängt davon ab, was der Ersteller des Trojaners damit bezwecken möchte. Er kann
- alle Daten auf der Festplatte verschlüsseln,
- Ihre Datenbank (Personalakten, Kunden, …) auf einen Rechner außerhalb ihrer Firma übertragen
- die Daten in den Unternehmens-Datenbeständen verändern
- etc.
Der Trojaner wird auf jeden Fall die Unternehmens-Datenschutzziele „Verfügbarkeit, Vertraulichkeit oder Integrität“ verletzen, in den meisten Fällen sogar alle drei.
Schutzmöglichkeiten
Um sich vor solchen Cyber-Angriffen oder auch ganz allgemein vor Bedrohungen zu schützen, gibt es ein Standardvorgehen:
Erster Schritt: Analyse der Risiken / Bedrohungen
Zunächst erstellt man eine Liste der möglichen Bedrohungen, Angriffspunkte und Risiken. Zu jedem der aufgelisteten Punkte bestimmt man möglichst grob (niedrig – mittel – hoch) die mögliche Schadenshöhe für das eigene Unternehmen und die Wahrscheinlichkeit, dass dieses Risiko eintritt (Eintrittswahrscheinlichkeit). Üblicherweise nimmt man sich dann zuerst die Risiken mit dem größten Faktor aus Schadenshöhe und Eintrittswahrscheinlichkeit vor.
