Wenn Mitarbeiter von zuhause bzw. mit privaten Endgeräten arbeiten, benötigen sie externen Zugriff auf Systeme und Daten des Unternehmens. Doch jede Öffnung des Systems bedeutet auch eine potenzielle Angriffsfläche. Was kann man tun, damit PC und Drucker im Heimnetzwerk nicht zur Schwachstelle des Unternehmens und zum Einfallstor für Cyberkriminelle werden?
Was ist das „Internet of Things“?
Mit dem Begriff „Internet of Things“ (kurz: IoT) wird der Umstand bezeichnet, dass zunehmend Geräte und Maschinen über das Internet miteinander und mit Systemen vernetzt sind und kommunizieren. Die Bezeichnung der „Dinge“ meint dabei, dass im Unterschied zum „Social Internet“, das durch Interaktion von Personen und Maschinen geprägt ist, die Maschinen und Geräte zunehmend selbstständig in einer Machine-to-Machine-Kommunikation interagieren und Aufgaben und Prozesse vollautomatisiert umsetzen.
Im industriellen Kontext wird auch vom „Industrial Internet of Things“ (kurz: IIoT) gesprochen, was synonym zu dem Begriff „Industrie 4.0“ die zunehmende Vernetzung und Automatisierung von Prozessen entlang der gesamten Fertigungs- und Lieferkette bezeichnet. Im privaten Umfeld zeigt sich das Internet of Things eher in der häuslichen Vernetzung von Geräten und Systemen, wie zum Beispiel dem Smart Home.
Vernetzte Endgeräte haben sich stark verbreitet. Mit dem Internet of Things entstehen dabei ganz neue Anforderungen im Bereich der Cyber Security – sowohl im privaten als auch geschäftlichen Umfeld, als auch insbesondere dort, wo sich beide Bereiche überschneiden.
Homeoffice und ortsunabhängiges Arbeiten boomen
Die Corona-Pandemie hat zu einer tiefgreifenden Veränderung der Arbeitswelt geführt. Vor der Pandemie war Homeoffice in Deutschland eher die Ausnahme. Eine aktuelle Studie des Digitalverbandes Bitkom von Dezember 2020 zeigt: Insgesamt gesehen arbeitet aktuell fast jeder Zweite (45 Prozent) zumindest teilweise im Homeoffice – Ein Viertel der Befragten (25 Prozent) sogar ausschließlich. Nach Berechnungen von Bitkom wird sich dieser Trend auch nach der Pandemie fortsetzen und ca. jeder Dritte flexibel seinen Arbeitsort wählen.
Dieses zunehmend ortsunabhängige Arbeiten stellt hohe Anforderungen an die IT- und Informationssicherheit, weil Mitarbeiter externen Zugriff auf Systeme und Daten benötigen. Und diese Öffnung kann zum Einfallstor für Cyberkriminelle werden. Denn Cyberkriminelle versuchen nicht, die gut gesicherten Systeme zu überwinden, sondern sie greifen flächendeckend an, bis sie eine Schwachstelle finden. An dieser Schwachstelle können Hacker zunächst unbemerkt ins System eindringen und dann mit Malware und Ransomware erheblichen Schaden anrichten – Sei es das Vernichten oder Kompromittieren von Daten oder die Erpressung von Lösegeld.
Insbesondere aufgrund des massenhaften und oft sehr zügig umgesetzten Umstiegs aufs Homeoffice im vergangenen Jahr befürchteten viele Experten einen Anstieg der Cybervorfälle. Eine Studie des Software-Anbieters OTRS von Oktober 2020 zeigt, dass diese Befürchtung nicht aus der Luft gegriffen ist: 66 Prozent der befragten IT-Verantwortlichen haben bei sich einen Anstieg der Sicherheitsvorfälle verzeichnet. Fehlende Sicherheitsstrategien, unsichere Netzwerke, unzureichendes Training der Anwender oder veraltete Software werden als häufigste Gründe angegeben. All dies bietet Angriffsflächen für Cyberkriminelle.
Viele Netzteilnehmer und digitale Identitäten
Für die Netzwerksicherheit, den Datenschutz und generell die IT-Sicherheit des Unternehmens ist eine Sicherung der digitalen Identitäten und der Netzteilnehmer wichtig. Die besondere Herausforderung dabei: Die Netzteilnehmer sind so zahlreich wie nie zuvor. Nicht nur die Mitarbeiter selbst, auch Drittanbieter von Software, Hardware oder IT-Services sowie auch Dienstleister für Geschäftsprozesse wie Abrechnung oder Rechtswesen erfordern externen Zugriff auf Systeme und Daten. Allein dafür müssen unterschiedliche Zugriffsebenen definiert, überprüft und überwacht werden.
Hinzu kommen dann die Maschinenidentitäten. Die rasante Entwicklung beim Internet of Things und in der Industrie 4.0 erhöht die Netzteilnehmer exponentiell. Insbesondere im Kontext des neuen Netzstandards 5G, der eine noch schnellere drahtlose Kommunikation ermöglicht, werden die Sicherung der Datenübertragung sowie die Authentifikation und Identifikation aller Netzteilnehmer (d.h. Anwender und Maschinen) immer wichtiger.
Im Homeoffice sind es insbesondere vernetzte Endgeräte wie Desktop- und Laptop-PCs, mobile Geräte und Drucker, die besonders gefährdet sind und dementsprechend gesichert werden müssen.
Was kann man tun, damit PC und Drucker nicht zur Schwachstelle werden
Der wichtigste Schritt ist zunächst einmal, eine Übersicht zu gewinnen über die Netzteilnehmer und die zu sichernden Geräte. Gerade im Homeoffice bedeutet das eine Bestandsaufnahme aller Geräte, die mit dem Firmennetzwerk verbunden sind. Nur wenn jedes Gerät identifiziert ist, schafft man die Grundlage für eine flächendeckende Sicherung der Zugänge.
Auf diese einmalige Bestandsaufnahme folgt die grundlegende Implementierung von Sicherheitsmaßnahmen wie Verschlüsselung, Anti-Viren-Software oder Zugangskontrollen. Vorgaben wie zum Beispiel für sichere Passwörter, eine doppelte Authentifizierung jedes Anwenders oder auch eine grundlegende Strategie zum Umgang mit privaten Geräten im beruflichen Kontext („Bring your own device“ genannt) tragen zu einer Erhöhung des Sicherheitsniveaus bei. Darüber hinaus braucht es eine kontinuierliche Sicherheitsstrategie.
Im laufenden Betrieb heißt das zum Beispiel auf technischer Seite, dass neue Geräte vor der Zulassung immer zunächst einmal geprüft werden. Auch die Aktualität der Sicherheitsupdates spielt eine wichtige Rolle und kann zum Schwachpunkt werden – ein einziges nicht aktuelles Gerät im Sicherheitsnetzwerk kann ausreichen, damit Cyberkriminelle sich Zugang verschaffen.
Zentrale Schutzmaßnahme: Mitarbeiter sensibilisieren
Welche Maßnahmen dabei konkret sinnvoll und zielführend sind, muss im individuellen Kontext des Unternehmens beleuchtet werden und auch Aspekte wie den Datenschutz oder den Umgang mit Cloud-Systemen berücksichtigen. Zusätzlich zu den technischen und organisatorischen Maßnahmen ist deshalb eine Sensibilisierung der Mitarbeiter von großer Bedeutung, weil der „Faktor Mensch“ in der IT-Sicherheit eine große Rolle spielt – im Homeoffice noch mehr als jemals zuvor.
Wenn Sie eine Sensibilisierung Ihrer Mitarbeiter für die IT- und Informationssicherheit in Ihrem Unternehmen gewährleisten wollen, können Sie sich zum Beispiel zum „Cybersecurity-Awareness-Beauftragten“ ausbilden lassen. So können Sie zukünftig Awareness-Kampagnen im Unternehmen umsetzen, Sicherheitsthemen an Mitarbeiter kommunizieren und so einen wichtigen Beitrag zur Sicherheit Ihres Unternehmens leisten. Auch – bzw. insbesondere – in Zeiten von Homeoffice und erforderlichen externen Zugriffen auf die Daten und Systeme Ihres Unternehmens.
geschrieben von
Annika Brockhaus, für die isits AG International School of IT Security
