Risikofaktor Mensch: Der Feind im Innern
Die Bandbreite möglicher “interner” Gefährder umfasst neben Mitarbeitern z.B. auch Werksstudenten, Aushilfskräfte, potentielle Geschäftspartner und Vertreter, die in das Unternehmensumfeld eingebunden sind. Reine IT-Maßnahmen sind nicht geeignet derart vielschichtige, potentielle Gefahren effektiv vom Unternehmen abzuwehren. Hier helfen nur offene, transparente Kommunikation, ein gesundes Betriebsklima und ein kollegiales 4-Augen-Prinzip. Klicken Sie auf die folgenden Punkte, um mehr über die einzelnen Risikofaktoren zu erfahren.
Hierzu zählen beispielsweise die nicht ordnungsgemäße Vernichtung vertraulicher Unterlagen bzw. deren teilweise telefonische Herausgabe an Unbekannte im Rahmen von Social-Engineering. So gewonnene Informationen helfen, einen gezielten Angriff auf IT/Daten eines Unternehmens vorzubereiten.
Strategische Entscheidungen wie die Wahl eines Dienstleisters, eines Shop- oder Kassensystems, die Ausstattung von Geschäftsräumen mit WLAN oder operative Entscheidungen wie die Anschaffung eines neuen Multifunktionsdruckers oder Smartphones beeinflussen das individuelle Risiko eines Unternehmens. Und damit auch die Wahrscheinlichkeit, Opfer eines Cyberangriffs zu werden. Wenn Sicherheitsaspekte bei solchen Entscheidungen nicht ausreichend berücksichtigt oder abgewogen werden, entstehen im Nachhin schwer bzw. nicht zu schließende Sicherheitslücken.
Typische Beispiele für unsauberes Arbeiten sind fehlerhaft durchgeführte Softwareinstallationen, nicht geänderte Initialpasswörter und die Speicherung persönlicher/vertraulicher Daten in öffentlich zugänglichen Verzeichnissen. So entstandene Sicherheitslücken werden häufig von Viren, Trojanern und anderer Schadsoftware ausgenutzt.
Im Rahmen des sogenannten “Social Engineering” versuchen potentielle Angreifer das Vertrauen von Mitarbeitern zu gewinnen und so direkten Zugang zu vertraulichen Informationen oder deren Schutzmechanismen zu erhalten. Typische Fälle für gutgläubiges Handeln sind die Herausgabe von Zugangsdaten an vermeintliche IT-Dienstleister oder Kreditkarteninformationen an unbekannte Personen, die sich als Mitarbeiter von Lieferanten ausgeben.
Gekündigte Mitarbeiter oder Mitarbeiter die bei der letzten Gehaltsrunde übergangen wurden, sind nicht selten frustriert. Die gezielte Manipulation oder Löschung von Daten, um dem Arbeitgeber ein Schnippchen zu schlagen und dem Unternehmen Schaden zuzufügen, birgt ein enormes Sicherheitsrisiko. Nicht selten werden solche Manipulationen erst Monate später entdeckt, dann wenn alle Sicherungsmedien längst überschrieben wurden und eine Rekonstruktion nicht mehr möglich ist.
Die Speicherung von Unternehmensdaten auf privaten USB-Sticks, z.B. um diese für “die Zeit danach” wegzusichern, stellt ein hohes Sicherheitsrisiko dar. Vertrauliche Informationen gelangen auf private Rechner mit vergleichsweise niedrigen Sicherheitsstandards und können von dort vergleichsweise einfach entwendet werden. Natürlich nur, wenn die USB-Sticks nicht schon auf dem Weg nach Hause verloren gehen und in fremde Hände geraten.
