Studie zur IT-Sicherheit: Malware-Anstieg von 36 %

Laut dem Sicherheitsunternehmen Symantec und der gerade veröffentlichten Studie Internet Security Threat Report sind im Jahr 2015 mehr als eine halbe Milliarde Datensätze mit persönlichen Daten gestohlen oder „verloren gegangenen“. Symantec entdeckte 2015 mehr als 430 Millionen Malware Computerprogramme, was einen Anstieg von 36 % gegenüber dem Vorjahr darstelle.

Cybercrime auf dem Vormarsch

Aufgrund der Allgegenwärtigkeit von Datenschutzpannen bzw. Hackerangriffen (vgl. nur Panama Papers oder den Hack auf das Seitensprungportal Ashley Madison) sind solche Nachrichten heutzutage nichts wirklich Besonderes mehr. Laut dem Report gehen Cyberkriminelle immer flexibler und gerissener vor, adaptieren zusätzlich unternehmerische Strukturen und organisatorische Verbesserungen aus anderen Geschäftsfeldern, um insgesamt noch effektiver agieren zu können. Demnach habe sich die Anzahl der sog. „Zero-Day-Exploits“, also das Ausnutzen von Sicherheitslücken, bevor es einen Patch als Gegenmaßnahme gibt, im Vergleich zu den Vorjahren fast verdoppelt.

Symantec stellte in der Studie sechs Haupttrends im Bereich Cybercrime fest:

• Im Durchschnitt wurde 2015 jede Woche eine neue „Zero-Day Vulnerability“ entdeckt
• Über eine halbe Milliarde Datensätze wurden 2015 gestohlen oder sind „verloren gegangenen“
• Große Sicherheitslücken auf drei von vier bekannten Websites stellen für alle User ein Risiko dar
• Gezielte „Spear-Phishing-Attacken“ auf Arbeitnehmer steigen um 55 Prozent
• Ransomware-Vorfälle steigen um 35 Prozent
• Auch betrügerischer technischer Support wächst rasant

„Ransomware“ entdeckt das Smartphone

Der Begriff Ransomware bezeichnet eine Art von Erpressungs-Software (z.B. Locky), grundsätzlich auf allen digitalen Geräten vorstellbar. Während der Einsatz von Ransomware bislang größtenteils auf PCs oder Laptops zielte, konzentrieren sich Kriminelle mittlerweile auch verstärkt auf Smartphones. Ransomware verschlüsselt beispielsweise Dateien auf dem Smartphone oder Tablet und gibt vor, die Daten nur dann wieder zu entschlüsseln, wenn ein Lösegeld, z.B. in der digitalen Währung Bitcoin, von dem Betroffenen bezahlt wird. Die Malware kann unter anderem als Sicherheits-App, Spiel, Update etc. auf das Smartphones oder Tablet gelangen. Warnmeldungen auf infizierten Geräten täuschen gerne die Polizei als Absender vor und fordern beispielsweise Bußgelder für das Herunterladen illegaler Filme, Musik etc. für die Einstellung eines „Strafverfahrens“. Einen Screenshot wie das bei dem aktuellen Erpressungs-Trojaner Jigsaw aussieht findet sich hier.

An dieser Stelle ist nochmals eindringlich davor zu warnen, das Lösegeld tatsächlich zu bezahlen. Es steht keinesfalls fest, dass dies tatsächlich zur Freigabe der Daten führt, oftmals wurde die Ransomware sogar so konfiguriert, dass die Freigabe der Daten gar nicht geplant ist. Zudem gibt es Entschlüsselungstools zum kostenlosen Download im Internet, doch auch hier ist erhöhte Vorsicht beim Download geboten. Bei einem tatsächlichen Befall des Systems durch Ransomware ist die Inanspruchnahme professioneller Hilfe dringend zu empfehlen.

Wie schütze ich mobile Geräte?

Sicherheits-Apps bzw. Viren Scanner für mobile Geräte dienen dazu, Ransomware zu identifizieren und zu entfernen, bevor diese das Gerät und vor allem die Daten, wie Fotos, Anhänge, Emails etc. in ihre Gewalt bekommen. Sicherheits-Apps arbeiten grundsätzlich mit einer umfassenden Datenbank mit Informationen zu verschiedensten Formen von Malware, die täglich oder teilweise auch alle paar Stunden aktualisiert werden. Im Idealfall liegen der App schon Informationen zur Malware vor, so dass ein Schaden bzw. ein Datenverlust im Moment der Infizierung des Systems verhindert werden kann.

Die Sicherheits-Apps sollten unbedingt von einem offiziellen Anbieter aus dem Google Play Store oder aus dem Apple App Store heruntergeladen werden. Dies verhindert, dass die Malware schon zusammen mit der Sicherheits-App auf das Gerät gelangt. Zudem sollte Software immer auf dem aktuellsten Stand (automatische Aktualisierung) gehalten werden um auch gegen neue Formen von Malware bestmöglich gewappnet zu sein.

Weiterhin ist dringend ein funktionierendes Backup der Daten zu empfehlen. So sollten einmal im Monat alle Daten auf dem heimischen PC, Laptop oder einem externen Speichermedium gesichert werden. Mithilfe dieser Sicherung kann bei einem Befall durch Ransomware der vorherige Zustand des Gerätes mit vertretbarem Aufwand wiederhergestellt werden. Im Fall der Fälle wäre somit nur ein geringer Datenverlust zu beklagen und der Schaden überschaubar.

Wie schütze ich mein Unternehmen gegen „social engineering“?

Social Engineering nennt man die zwischenmenschliche Beeinflussung von Personen um bestimmte Verhaltensweisen hervorzurufen, z.B. die Preisgabe von vertraulichen Informationen. Cyberkriminelle spionieren immer öfter das persönliche Umfeld ihres Opfers (meist ein Arbeitnehmer bei dem Zielunternehmen der Straftat) aus, täuschen ganze Identitäten vor oder nutzen Verhaltensweisen wie Autoritätshörigkeit aus, um geheime Informationen zu erlangen.

Hierbei bleibt social media ein beliebtes Instrument, um eine Vertrauensbasis mit dem Opfer aufzubauen, wobei die Kriminellen auch nicht davor halt machen, den digitalen Freundeskreis des Opfers mit einzubeziehen bzw. zu infiltrieren. Laut dem Report von Symantec sei auffällig, dass das social engineering immer raffinierter und zielgerichteter werde, um die Opfer zur Preisgabe vertraulicher Informationen zu verleiten. Diese Informationen können dann u.U. einen Hackerangriff auf das Unternehmen zum Erfolg führen.

Verhaltensempfehlungen der Studie für Unternehmen

• Umfangreiche Abwehrstrategien sollten aufgebaut werden
• Versuche, in das Netzwerk einzudringen und Netzwerkschwachstellen zu überwachen
• Antivirus Software an den Endpunkten des Systems ist nicht ausreichend
• Websites sollten gegen Angriffe und Malware besonders geschützt sein
• Verschlüsselung und Maßnahmen gegen Datenverlust sollten Verwendung finden
• Alle Geräte im Unternehmen sollten einen angemessenen Sicherheitsstandard einhalten
• Eine austauschbare Internet- und Geräterichtlinie sollte implementiert werden
• Updates und Patches sollten umgehend nach Erscheinen installiert werden
• Eine effektive Password Policy sollte auch tatsächlich eingehalten werden
• Regelmäßige Backups sollten zur Verfügung stehen
• E-Mail Anhänge sollten besonders kontrolliert und evtl. eingeschränkt werden
• Infection and Incident Response – Prozesse sollten eingerichtet werden
• Arbeitnehmer sollten regelmäßig in IT-Sicherheit und Datenschutz geschult werden
• Auch mobile Geräte sollten ausreichend gesichert werden
• Sicherheitsmaßnahmen sollten auf allen Geräten vorinstalliert sein
• Datensicherheit ist Teamarbeit

Verhaltensempfehlungen der Studie für Verbraucher

• Schützen Sie sich selbst
• Führen Sie regelmäßige Updates durch
• Seien Sie auf „Scareware Tactics“ vorbereitet (Scareware ist ein Schadprogramm, das User verängstigen und so zu bestimmten Handlungen bewegen soll)
• Achten Sie auf eine effektive Passwort-Auswahl
• Denken Sie nach bevor Sie klicken
• Schützen Sie Ihre persönlichen Daten
• Achten Sie auf ein geschütztes WLAN

Ausblick: IT-Sicherheit in Unternehmen

Der Stellenwert der Daten- und IT-Sicherheit kann nicht hoch genug eingeschätzt werden. Die Daten der Unternehmen sind für diese überlebenswichtig. Einzelne Daten-Leaks bzw. Hacks können den Ruin des gesamten Unternehmens zur Folge haben, z.B. wenn aufgrund der geleakten Daten die Reputation des Unternehmens zerstört wird oder aber auch die Strafverfolgungsbehörden bzw. Aufsichtsbehörden aktiv werden.

Unternehmen sollten keinesfalls Einsparungen im Bereich der IT-Sicherheit vornehmen bzw. diesen sensiblen Bereich vernachlässigen. Im Gegenteil, die IT-Infrastruktur wird in Zukunft auch mit darüber entscheiden, ob Unternehmen sich am Markt durchsetzen oder aufgrund mangelnder Sicherheitsmaßnahmen gegenüber den Konkurrenten das Nachsehen haben, siehe auch den Leitfaden des TÜV Süd zur IT-Sicherheit bei kritischen Infrastrukturen. Allerdings ist die beste IT-Sicherheit nutzlos, wenn Arbeitnehmer nicht ausreichend geschult werden und das Infiltrieren des Systems aufgrund menschlichen Fehlverhaltens erst möglich wird.