Angriffsvektor Führungskraft

Per E-Mail gehackt - immer noch

Behalten Sie im Hinterkopf, dass die E-Mail immer noch einer der gängigsten Angriffsvektoren ist, wenn es darum geht, Führungskräfte, Manager und Co. zu hacken. Barr Snyderwine, IT-Chef beim Service-Provider Hargrove berichtet von "wiederkehrenden, immer raffinierteren" E-Mail-Attacken auf die Chef-Ebene und das Accounting: "Typischerweise wird dabei jemand dazu gebracht, einen nicht unerheblichen Geldbetrag auf ein vermeintlich legitimes Konto einzubezahlen.

In einem anderen Fall wurde eine Kombination aus E-Mail- und Telefonbetrug angewandt, um eine Auszahlung vom Firmenkonto zu veranlassen. Interessant ist dabei auch der Aufwand, den kriminelle Hacker hierfür inzwischen betreiben. Es kommt sogar vor, dass Manager E-Mails von Hackern erhalten, die vorgeben, andere Manager zu sein."

Eine gute Grundlage zur Ausfilterung von Malware-haltigen Dateianhängen ist auch nach Meinung von Snyderwine eine Lösung zum Schutz der Endpoints. Die Update- und Patching-Frequenz sollte dabei allerdings hoch ausfallen, wie der IT-Chef empfiehlt.

"Darüber hinaus haben wir Richtlinien etabliert, so dass jede eingehende E-Mail mit entsprechendem Inhalt per Face-to-Face-Kommunikation mit dem Absender verifiziert werden muss. Trainings und Schulungen haben sich in diesem Zusammenhang ebenfalls als wirklich erfolgreich erwiesen: Unsere Führungskräfte erkennen E-Mail-Betrugsversuche jetzt zuverlässig."

Falls Sie diese oder andere Richtlinien in Ihrem Unternehmen einführen wollen: Testen Sie nicht nur Ihre Manager, sondern die gesamte Belegschaft mehrmals pro Jahr. So klappt’s auch besser mit der Umsetzung. Wenn es um Fortbildung und Training geht, sollten Sie auch die Angebote diverser IT-Security-Anbieter nicht vergessen. Keinesfalls jedoch das Executive-Education-Programm von IDG.

Sicher Reisen für Manager

Natürlich können Führungskräfte und Vorstände überall auf der Welt gehackt werden. Das Bedrohungslevel steigt allerdings mit dem Reiseziel. Wayne Lee empfiehlt Unternehmen deshalb, Checkout-Prozesse und Sicherheits-Richtlinien für alle elektronischen Devices einzurichten, die das Heimatland des Unternehmens verlassen. "Dazu gehört auch die Quarantäne und Inspektion solcher elektronischer Ressourcen nach der Rückkehr von der Geschäftsreise", verdeutlicht der Sicherheitsarchitekt den Ernst der Lage.

Security-Berater Boulanger zeigt weitere Aspekte auf: "Wer als Entscheider in bestimmte Hochrisiko-Regionen der Welt reist, muss damit rechnen, dass jedes seiner Devices beim Grenzübertritt kopiert wird. Führungskräfte und Vorstände sollten deswegen Einmal-Devices nutzen, auf denen nur das nötigste - etwa Präsentationen - offline vorgehalten wird."

Für Daten die remote abgerufen werden müssen, gilt laut Boulanger: Nutzen Sie einen sicheren Remote Desktop, einen VPN-Tunnel oder einen Hardware-verschlüsselten USB-Speicher, bei dem sich die Verschlüsselung nicht abschalten lässt. Schließlich zeigt auch Boulanger eine Vorliebe für Netzwerk-Hygiene: "Bevor ein Laptop, Tablet oder Notebook nach einer Geschäftsreise wieder ans Unternehmensnetzwerk darf, sollte er erst einmal behandelt werden, als wäre Malware darauf. Erst nach einer routinemäßigen Löschung und Überprüfung sollte so ein Gerät wieder angeschlossen werden.

Ein wesentlicher Security-Knackpunkt bei Dienst- und Geschäftsreisen ins Ausland: Öffentliche WLAN-Netzwerke. Laut Barr Snyderwine hat es sich im Fall von Hargrove als effektiv erwiesen, die Mitarbeiter mit entsprechendem Equipment für die Nutzung ihrer eigenen Geräte als mobile Hotspots auszustatten". Wenn das für Sie nicht in Frage kommt, gibt es auch zahlreiche VPN-Apps für mobile Endgeräte.

Die Sicherheitsbasis muss stimmen

Eigentlich sollte man es nicht erwähnen müssen, aber die Sicherheit Ihrer Führungskräfte, Manager und Vorstände steht und fällt mit einer ausgewogenen IT-Security-Strategie. Sie ist eine kritische Komponente beim Schutz vor Data Breaches, die über Executives eingeleitet werden.

An dieser Stelle greift ISF-Director Durbin auf einen altbewährten Tipp zurück: "Gehen Sie nicht vom Individuum aus, sondern starten Sie damit, sich bewusst zu machen, welche Unternehmens-Assets besonders schützenswert sind. Das führt Sie auf natürliche Weise zu den Personen, die eventuell ein Risiko für diese Assets darstellen könnten."

Außerdem, so Durbin, treten so auch ungepatchte Systeme, technische Schwachstellen oder unzureichend gesicherte Systeme schneller zu Tage: "Egal welchen Bereich Sie betrachten, Sie sollten drei Arten von Bedrohungen im Auge behalten: feindliche, unabsichtliche und solche, die durch ihre Umgebung begünstigt werden.

Einmal Awareness-Extrawurst, bitte

Wie alle anderen Mitarbeitern, müssen auch Manager und Führungskräfte regelmäßig an die Bedeutung der IT-Sicherheit erinnert werden. Um das zu bewerkstelligen, sollten sie regelmäßig an Security Awareness Training und -Schulungen teilnehmen. Regelmäßiges Patching sowie der Einsatz von VPN und anderen Security-Technologien alleine reichen keinesfalls aus.

Nathan Wenzler, Security-Chefstratege bei AsTech Consulting empfiehlt in diesem Zusammenhang eine "Extrawurst" für Manager, Vorstände und sonstige Führungskräfte: "Security-Teams sollten ihre Security-Awareness-Programme um spezielle Anforderungen und Richtlinien für Führungskräfte erweitern, die die - im Vergleich zu normalen Angestellten - größeren Cybergefahren deutlich machen. Wenn Sie Awareness dafür schaffen, dass Executives ganz gezielt von kriminellen Hackern ins Visier genommen werden und warum das so ist, erhöhen Sie die Chancen dafür, dass etwaige Hackerangriffe früh- beziehungsweise rechtzeitig erkannt und verhindert werden können."

Restriktionen alleine können einen gegenteiligen Effekt haben, wenn Sie es nicht schaffen, die Köpfe der Menschen zu erreichen und ihnen den Sinn und Zweck der Einschränkungen klar zu machen. Sind sie nicht von den Maßnahmen überzeugt, finden Mitarbeiter wie Führungskräfte immer Wege, die Sicherheitsmaßnahmen zu umgehen.

Dieser Artikel basiert auf einem Beitrag unserer US-Schwesterpublikation CIO.