Mitarbeiter grösstes Sicherheitsrisiko

76 Wirtschaftsinformatik Schweiz
Risikobetrachtungen ICT
Mitarbeiter grösstes
Sicherheitsrisiko
Schweizer KMU mit geschäftskritischen ICT-Systemen müssen sich besser
gegen Cyberbedrohungen schützen. Am Wirtschaftsinformatik-Forum Luzern
wurde klar, dass die grösste Gefahr von den eigenen Mitarbeitern ausgeht.
Von Reto De Martin
Der Autor
Reto De Martin
ist Geschäftsführer und
Inhaber des Beratungsunternehmens
Force4project
sowie der Geschäftsleiter
des VIW.
www.force4project.ch
Das Wirtschaftsinformatik-Forum Luzern stand in
diesem Jahr unter dem Haupttitel «ICT-Sicherheit
im KMU». Im Vorfeld hatten Studierende der Höheren
Fachschule der Wirtschaftsinformatik über Wochen
Themenkomplexe bearbeitet und die Ergebnisse ihrer
Recherchen mit Empfehlungen angereichert. In der fast
gefüllten Aula der KV Luzern Berufsakademie empfingen
die Studierenden nun eine interessierte Zuhörerschaft aus
dem beruflichen und privaten Umfeld.
Fachdozent Philipp Zihler weckte in seinem Auftaktreferat
die Aufmerksamkeit des Publikums, indem er Cyberattacken
auf lokal bekannte Unternehmen schilderte. Die
Täter seien je länger, je weniger Einzelpersonen. Vielmehr
hätten längst Armeen, Geheimdienste und das organisierte
Verbrechen die Führung übernommen. Wie Zihler sagte,
flös sen geschätzt rund 10 Prozent der Rüstungsausgaben
in die Cyberaktivitäten – allein in den USA sind das täglich
rund 200 Millionen Dollar.
ICT-Security-Check für KMU
Das Team Markus Lang, Martina Rebmann und Oliver Rousavy
erarbeitete einen Leitfaden, anhand dessen KMU mögliche
Bedrohungen wie höhere Gewalt, technisches Versagen,
organisatorische Mängel, vorsätzliche Manipulation
und menschliches Fehlverhalten identifizieren können.
Denn über 70 Prozent aller Sicherheitsvorfälle werden durch
die internen Mitarbeitenden verursacht. Die Empfehlungen
des Teams zielen auch primär auf die sozialen Gefahren:
■■
Klare Rahmenbedingungen für die Nutzung von ICT-
Anwendungen schaffen.
■■
Kreativ sein in der Passwortwahl.
■■
Notfallmanagement planen.
■■
Aufmerksam sein bei verdächtigen E-Mails, Telefonanrufen
und unbekannten Besuchern.
Social Engineering
Die Recherchen von Tomislav Kafadar, Dennis Lehrmann
und Josef Lusser drehten sich um die Praxis von Phishing-
Nachrichten und CEO-Fraud. CEO-Fraud meint, dass Täter
im Namen des Unternehmens-Chefs die Buchhaltung
anweisen, eine Zahlung auf ihr Konto vorzunehmen.
«Sicherheitssysteme
müssen immer
gewinnen, Angreifer
hingegen nur einmal»
Kevin Mitnick, ehemaliger Hacker
Am Wirtschaftsinformatik-Forum in Luzern präsentierten
Studierende Sicherheitskonzepte für KMU
Bilder: VIW

Wirtschaftsinformatik Schweiz
77
Joel Bucher und Marco Competiello (v. l.) haben die Risiken von Cloud-Diensten analysiert
Während ein Versuch von CEO-Fraud an der Aufmerksamkeit
einer Mitarbeiterin scheiterte, zeigte die hohe Erfolgsquote
von Phishing-Angriffen den erforderlichen Informations-
und Schulungsbedarf auf. Mehrere Mitarbeitende
hätten sogar beim IT-Support reklamiert, die Administratoren
sollen doch bitte dafür sorgen, dass der Link auf die
angebliche Gewinn-Website funktioniere.
Spam in der Dose und im Posteingang
In naher Zukunft werden weltweit täglich rund 350 Milliarden
E-Mails verschickt werden. 80 Prozent davon sind unerwünscht,
sprich Spam. Ohne Spam-Filter ist eine Nutzung
von E-Mail nicht mehr praktikabel. Pascal Dissler, Lukas
Henz und Benjamin Roth testeten drei verschiedene Produkte
von Spam-Filtern in je einem KMU. Die Lösungen
reduzierten die Anzahl der Spam-Nachrichten massiv.
Am Rande ihres Berichts führten die Studierenden noch
aus, woher die Bezeichnung «Spam» kommt. Es war und ist
der Markenname eines Dosenfleisches, der in einem Sketch
der britischen Komikergruppe Monty Python übergebührlich
benutzt wird. Sie spielten auf die Überversorgung mit
dem Fleisch nach dem Zweiten Weltkrieg an. Der US-amerikanische
Hersteller lieferte tonnenweise Dosen nach
Grossbritannien, sodass Spam omnipräsent war, die Bevölkerung
seiner allerdings auch überdrüssig wurde. In den
1990er-Jahren wurden unerwünschte Massen-E-Mails in
Anlehnung an den Sketch als Spam bezeichnet.
Lieferantenzugänge als Einfallstor
Die Dienstleister für die betrieblich genutzte Software benötigen
eine Verbindung zu den Servern der Firma. Sie erhalten
dabei auch Zugang zu Daten, den besonders sensiblen
und schützenswerten Assets. Roland Amrein und Matt
hias Erni haben einen Sicherheits-Check erarbeitet und
drei verbreitete Produkte damit gemessen. Ihr Fazit lautet:
Alle Produkte taugen als Einfallstore. Der von einem Angreifer
zu erbringende Aufwand und die Kosten sind überschaubar.
So kamen die Studierenden zu der Empfehlung,
dass Unternehmen die Zugänge zu ihren Systemen unbedingt
schützen und überwachen sollten.
Datenaustausch zwischen Firmen
Der Handel mit Waren hat sich längst vom traditionellen
Basar auf virtuelle Marktplätze verlagert. Die für eine Geschäftsabwicklung
erforderlichen Daten werden digital
ausgetauscht. Kevin Schnarwiler und Kilian Wespi haben
sich mit den Gefahren befasst. Die grössten Risiken liegen
bei der Offenlegung schützenwerter Informationen, bei
möglichen Manipulationen und dem Integritätsverlust.
Verschlüsselte Protokolle, Zugriffskonzepte und Berechtigungssteuerungen
reduzieren diese Gefahren. Vollständige
Sicherheit ist allerdings nur durch den kompletten Verzicht
auf Datenaustausch zu erzielen.
Cloud-Konzepte wie PizzaBacken
Joel Bucher und Marco Competiello haben die verschiedenen
Cloud-Modelle durch einen Vergleich mit der Pizzazubereitung
erläutert: «On-Premises» entspricht der daheim
gebackenen und gegessenen Pizza. Die durch den
Pizza kurier zubereitete und gelieferte Pizza kann mit dem
Modell «Platform as a Service» verglichen werden. «Software
as a Service» entspricht dem Besuch in der Pizzeria.
Aufgrund einer Analyse des Anbietermarkts kommen die
beiden Studierenden zu folgenden Erkenntnissen:
■■
■■
■■
Die Sicherheit in der Cloud ist meist höher als bei lokaler
Infrastruktur.
Cloud-Lösungen sind nur begrenzt günstiger.
Die Migration in die Cloud ist aufwendiger als erwartet.
Als Fazit des Forums Luzern kann festgehalten werden,
dass auch und gerade KMU ihre ICT absichern müssen.
Denn: «Sicherheitssysteme müssen immer gewinnen,
Angreifer hingegen nur einmal», sagte schon der ehemalige
Hacker und heutige Sicherheitsberater Kevin Mitnick.
Impressum
Das offizielle
Publikationsorgan
des VIW
Herausgeber:
VIW – Wirtschaftsinformatik
Schweiz
VIW-Geschäftsstelle:
Rosenweg 3
5037 Muhen
Tel. 031 311 99 88
info@viw.ch
Erscheinungsweise:
Monatlich
www.viw.ch