Angriffsvektor Führungskraft

C-Level-Führungskräfte und andere hochrangige Manager sind interessante Ziele für (Cyber)Kriminelle, weil Sie selbst über wertvolle Daten oder Informationen verfügen oder weil sie Zugang zu diesen haben. Deshalb sollten Unternehmen alles daran setzen, ihre Führungskräfte und Manager auf die Einhaltung (hoffentlich) strenger Datenschutzregeln einzuschwören. Dazu gehört auch die Nutzung standesgemäßer Security-Technologien, wann immer das möglich ist - auch auf Dienst- und Geschäftsreisen und insbesondere dann, wenn das Reiseziel als "risikobehaftet" gilt.

Laut Steve Durbin vom Information Security Forum ist jeder durch Hackerangriffe gefährdet, der über potenziell werthaltige Informationen verfügt: "Natürlich beinhaltet das die üblichen C-Level-Verdächtigen, aber darauf beschränkt es sich schon lange nicht mehr. Vorstands-Assistenten, Admins und jede andere Person, über die kriminelle Hacker sich Zugang zu Systemen und Daten verschaffen können, steht im Visier."

Wir zeigen Ihnen, mit welchen Maßnahmen Unternehmen ihre Vorstände und Manager (sowie deren Entourage) davor schützen können, für kriminelle Hacker zum Einfallstor zu werden.

Problembewusstsein, anyone?

Executives sind in der Regel ziemlich busy. Deswegen möchten sie auch am liebsten keine Zeit darauf "verschwenden", sich mit möglichen Hackerangriffen zu befassen. Schlechte Nachricht: Daran führt kein Weg vorbei. Das bestätigt auf Nachfrage auch Bill Thirsk, CIO beim Marist College: Führungskräfte müssen verinnerlichen, dass sie für kriminelle Hacker attraktive Ziele darstellen. Cyberkriminelle investieren eine Menge Zeit in das Ausspionieren ihrer Opfer, bevor sie sie tatsächlich angreifen. Dabei nutzen sie alle Vorteile aus, die ihnen zur Verfügung stehen und nutzen dann gerne auch mehrere Plattformen für ihre Attacken."

Thirsk ist deswegen überzeugt davon, dass Unternehmen den digitalen Fußabdruck ihrer Führungskräfte kennen und auf Lücken analysieren sollten. Diese müssten anschließend schnellstmöglich geschlossen werden. Das könne etwa geschehen, indemSocial-Media-Accounts erfasst, registriert und überwacht werden. Es gibt da nur ein Problem, wie Paul Boulanger, Security-Berater bei SoCal Privacy Consultants weiß: "Es gibt zahlreiche Statistiken die belegen, dass Executives stark dazu neigen, die Policies zu missachten, die ihre Mitarbeiter unbedingt einhalten sollen. Das liegt teilweise auch daran, dass Vorstände und Manager diejenigen sind, die am ehesten bereit sind, Security zu Gunsten der Bequemlichkeit zu opfern."

Boulangers Schlussfolgerung: Unternehmen sollten technologische Kontrollinstanzen schaffen, statt zu erwarten, dass ihre Führungskräfte sich im Sinne der IT-Sicherheit verhalten: "Ein Mailserver sollte beispielsweise nur dann zugänglich sein, wenn das Gerät, das auf ihn zugreift, Verschlüsselung nutzt. Wenn ein User die Schranken umgehen will, folgt der Lockout."

Bill Thirsk sieht dieses Vorgehen kritisch: "Führungskräfte, zu deren Aufgaben es gehört, sich mit Menschen auf der ganzen Welt auszutauschen, ist so etwas schwer zu vermitteln." Der einzige Weg zu mehr Security sei es, den Führungskräften und Managern zu vermitteln, wie man sich möglichst sicher durch die Onlinewelt bewegt: "Sie müssen in der Lage sein, Spam-Mails, Phishing-Links und andere Kompromittierungsversuche zu erkennen und zu umgehen."

Führungskräfte in Gefahr

Phishing-Attacken und Ransomware sind die gängigsten Mittel, mit denen kriminelle Hacker Führungskräfte um kritische Daten erleichtern. Laut Thirsk kommt diesem Fakt jedoch nicht genug Aufmerksamkeit zu: "Themen wie diese werden in der Regel nicht ernsthaft auf Vorstandsebene diskutiert."

Auf der anderen Seite ist es für die meisten Manager und Vorstände selbstverständlich, jederzeit mit allen relevanten Geschäftsdaten versorgt zu werden. Das könnte dazu führen, dass sie bei einer vermeintlich wichtigen Nachricht diesen einen falschen Klick machen. Kritisch wird es insbesondere, wenn Business und Privatleben zusammenkommen, weiß Thirsk: "Daten mit grundverschiedenen Security-Anforderungen auf einem Device führen früher oder später ins Desaster."

Nach Meinung des CIO sind in erster Linie die IT-Abteilung und deren Manager gefordert, wenn es darum geht der Vorstandsebene einzubläuen, welche gewaltigen Auswirkungen ein erfolgreicher Hackerangriff haben kann: "Das ist nur zu erreichen, wenn beim Senior Management die Überzeugung herrscht, dass das Thema Cybersecurity auf persönlicher und prozessualer Ebene ernsthaft und detailliert diskutiert werden muss. Unabdingbar ist außerdem, dass auch der Wille vorhanden ist, etwas zu verändern."

In Zusammenhang mit Phishing werden kriminelle Hacker ganz besonders kreativ und versuchen auf verschiedenen Wegen ganz gezielt Führungskräfte, Manager und Vorstände anzugreifen. Wayne Lee, Chief Cybersecurity Architect bei West Monore Partners plaudert aus dem Nähkästchen: "Sogenannte Whaling-Attacken werden immer raffinierter. Diese Art der Phishing-Attacke hat eine hohe Erfolgsquote und nimmt besonders hochrangige Zielpersonen wie Prominente oder öffentliche Figuren ins Visier. Dabei sollen hochwertige Login-Daten abgegriffen oder unberechtigte Überweisungen von Firmenkonten angestoßen werden."

Sie dürfen allerdings davon ausgehen, dass solche Hackerangriffe nicht nur auf Fortune-500-Ebene vonstattengehen. Sie sollten sich in diesem Zusammenhang im Klaren darüber sein, dass kriminelle Hacker sämtliche, öffentlich einsehbare Informationen über Ihr Unternehmen für ihre Zwecke nutzen werden. Auch die Unternehmens- und Mitarbeiterpräsenzen auf Linkedin, Instagram, Facebook und anderen sozialen Kanälen spielen hierbei eine bedeutende Rolle.

Per E-Mail gehackt - immer noch

Behalten Sie im Hinterkopf, dass die E-Mail immer noch einer der gängigsten Angriffsvektoren ist, wenn es darum geht, Führungskräfte, Manager und Co. zu hacken. Barr Snyderwine, IT-Chef beim Service-Provider Hargrove berichtet von "wiederkehrenden, immer raffinierteren" E-Mail-Attacken auf die Chef-Ebene und das Accounting: "Typischerweise wird dabei jemand dazu gebracht, einen nicht unerheblichen Geldbetrag auf ein vermeintlich legitimes Konto einzubezahlen.

In einem anderen Fall wurde eine Kombination aus E-Mail- und Telefonbetrug angewandt, um eine Auszahlung vom Firmenkonto zu veranlassen. Interessant ist dabei auch der Aufwand, den kriminelle Hacker hierfür inzwischen betreiben. Es kommt sogar vor, dass Manager E-Mails von Hackern erhalten, die vorgeben, andere Manager zu sein."

Eine gute Grundlage zur Ausfilterung von Malware-haltigen Dateianhängen ist auch nach Meinung von Snyderwine eine Lösung zum Schutz der Endpoints. Die Update- und Patching-Frequenz sollte dabei allerdings hoch ausfallen, wie der IT-Chef empfiehlt.

"Darüber hinaus haben wir Richtlinien etabliert, so dass jede eingehende E-Mail mit entsprechendem Inhalt per Face-to-Face-Kommunikation mit dem Absender verifiziert werden muss. Trainings und Schulungen haben sich in diesem Zusammenhang ebenfalls als wirklich erfolgreich erwiesen: Unsere Führungskräfte erkennen E-Mail-Betrugsversuche jetzt zuverlässig."

Falls Sie diese oder andere Richtlinien in Ihrem Unternehmen einführen wollen: Testen Sie nicht nur Ihre Manager, sondern die gesamte Belegschaft mehrmals pro Jahr. So klappt’s auch besser mit der Umsetzung. Wenn es um Fortbildung und Training geht, sollten Sie auch die Angebote diverser IT-Security-Anbieter nicht vergessen. Keinesfalls jedoch das Executive-Education-Programm von IDG.

Sicher Reisen für Manager

Natürlich können Führungskräfte und Vorstände überall auf der Welt gehackt werden. Das Bedrohungslevel steigt allerdings mit dem Reiseziel. Wayne Lee empfiehlt Unternehmen deshalb, Checkout-Prozesse und Sicherheits-Richtlinien für alle elektronischen Devices einzurichten, die das Heimatland des Unternehmens verlassen. "Dazu gehört auch die Quarantäne und Inspektion solcher elektronischer Ressourcen nach der Rückkehr von der Geschäftsreise", verdeutlicht der Sicherheitsarchitekt den Ernst der Lage.

Security-Berater Boulanger zeigt weitere Aspekte auf: "Wer als Entscheider in bestimmte Hochrisiko-Regionen der Welt reist, muss damit rechnen, dass jedes seiner Devices beim Grenzübertritt kopiert wird. Führungskräfte und Vorstände sollten deswegen Einmal-Devices nutzen, auf denen nur das nötigste - etwa Präsentationen - offline vorgehalten wird."

Für Daten die remote abgerufen werden müssen, gilt laut Boulanger: Nutzen Sie einen sicheren Remote Desktop, einen VPN-Tunnel oder einen Hardware-verschlüsselten USB-Speicher, bei dem sich die Verschlüsselung nicht abschalten lässt. Schließlich zeigt auch Boulanger eine Vorliebe für Netzwerk-Hygiene: "Bevor ein Laptop, Tablet oder Notebook nach einer Geschäftsreise wieder ans Unternehmensnetzwerk darf, sollte er erst einmal behandelt werden, als wäre Malware darauf. Erst nach einer routinemäßigen Löschung und Überprüfung sollte so ein Gerät wieder angeschlossen werden.

Ein wesentlicher Security-Knackpunkt bei Dienst- und Geschäftsreisen ins Ausland: Öffentliche WLAN-Netzwerke. Laut Barr Snyderwine hat es sich im Fall von Hargrove als effektiv erwiesen, die Mitarbeiter mit entsprechendem Equipment für die Nutzung ihrer eigenen Geräte als mobile Hotspots auszustatten". Wenn das für Sie nicht in Frage kommt, gibt es auch zahlreiche VPN-Apps für mobile Endgeräte.

Die Sicherheitsbasis muss stimmen

Eigentlich sollte man es nicht erwähnen müssen, aber die Sicherheit Ihrer Führungskräfte, Manager und Vorstände steht und fällt mit einer ausgewogenen IT-Security-Strategie. Sie ist eine kritische Komponente beim Schutz vor Data Breaches, die über Executives eingeleitet werden.

An dieser Stelle greift ISF-Director Durbin auf einen altbewährten Tipp zurück: "Gehen Sie nicht vom Individuum aus, sondern starten Sie damit, sich bewusst zu machen, welche Unternehmens-Assets besonders schützenswert sind. Das führt Sie auf natürliche Weise zu den Personen, die eventuell ein Risiko für diese Assets darstellen könnten."

Außerdem, so Durbin, treten so auch ungepatchte Systeme, technische Schwachstellen oder unzureichend gesicherte Systeme schneller zu Tage: "Egal welchen Bereich Sie betrachten, Sie sollten drei Arten von Bedrohungen im Auge behalten: feindliche, unabsichtliche und solche, die durch ihre Umgebung begünstigt werden.

Einmal Awareness-Extrawurst, bitte

Wie alle anderen Mitarbeitern, müssen auch Manager und Führungskräfte regelmäßig an die Bedeutung der IT-Sicherheit erinnert werden. Um das zu bewerkstelligen, sollten sie regelmäßig an Security Awareness Training und -Schulungen teilnehmen. Regelmäßiges Patching sowie der Einsatz von VPN und anderen Security-Technologien alleine reichen keinesfalls aus.

Nathan Wenzler, Security-Chefstratege bei AsTech Consulting empfiehlt in diesem Zusammenhang eine "Extrawurst" für Manager, Vorstände und sonstige Führungskräfte: "Security-Teams sollten ihre Security-Awareness-Programme um spezielle Anforderungen und Richtlinien für Führungskräfte erweitern, die die - im Vergleich zu normalen Angestellten - größeren Cybergefahren deutlich machen. Wenn Sie Awareness dafür schaffen, dass Executives ganz gezielt von kriminellen Hackern ins Visier genommen werden und warum das so ist, erhöhen Sie die Chancen dafür, dass etwaige Hackerangriffe früh- beziehungsweise rechtzeitig erkannt und verhindert werden können."

Restriktionen alleine können einen gegenteiligen Effekt haben, wenn Sie es nicht schaffen, die Köpfe der Menschen zu erreichen und ihnen den Sinn und Zweck der Einschränkungen klar zu machen. Sind sie nicht von den Maßnahmen überzeugt, finden Mitarbeiter wie Führungskräfte immer Wege, die Sicherheitsmaßnahmen zu umgehen.

Dieser Artikel basiert auf einem Beitrag unserer US-Schwesterpublikation CIO.