„Die Digitalisierung vereinfacht unser Arbeitsabläufe, eröffnete Kriminellen aber einen neuen Tummelplatz“ sagte Generalagent Thomas Broger bei der Begrüssung der Gäste. In der Tat werden Cyber-Attacken immer häufiger, aber auch immer raffinierter. Schwachstellen in Computerprogrammen werden gnadenlos missbraucht. Wie sich KMU besser schützen können, war von Adrian Ott, Senior Manager bei der Ernst & Young AG in Zürich, zu erfahren. Der Leiter „IT Forensic Technology & Discovery“ weiss genau wovon er spricht, stand er doch bis 2017 im Dienst der Schweizer Bundesanwaltschaft.

Post inside
Der Vortrag "Cyber-Schutz für Unternehmen" stiess auf  zahlreiche interessierte Zuhörerinnen und Zuhörer.

Atomkraftwerk lahmgelegt

Welchen Schaden ein Hacker-Angriff verursachen kann, zeigte sich im Jahr 2010 im Iran. Ein gefährlicher Computervirus hatte damals die Rechner in einem Atomkraftwerk befallen und die Anlage lahmgelegt. Wer hinter diesem massiven Cyber-Angriff stand, ist bis heute unklar. Die Besonderheit der Cyber-Kriminalität besteht darin, dass die Täter nahezu von jedem Ort der Welt aus agieren und ihre Spuren relativ gut verwischen können. Das organisierte Verbrechen und kriminelle Netzwerke streben neuerdings weit mehr als eine persönliche Bereicherung an, beispielsweise durch Falschbuchungen. Sie konzentrieren sich mit gezielten Hackerangriffen vermehrt auf Unternehmensspionage und selbst auf die Manipulation von Aktienkursen.

Schaden in Grenzen halten

Der Wettlauf der IT-Industrie mit den Cyber-Kriminellen ist kaum zu gewinnen. Die Bedrohungen entwickeln sich stetig weiter. Software, die einzig mit dem Zweck entwickelt wird, um den Benutzern Schaden zuzufügen, wird es wohl immer geben. Neue Gefahrenquellen sind die Smartphones und das Auslagern von Daten in eine Cloud. Es geht deshalb in erster Linie darum, den Schaden in Grenzen zu halten. Die Cyber-Kriminalität macht auch vor den KMU nicht halt, wie zwei von Adrian Ott präsentierte Beispiele aus der Schweizer Wirtschaft zeigen. Mehr als ein Drittel der kleinen und mittleren Unternehmen in der Schweiz ist schon von Hackern attackiert worden. Trotzdem wird die Hacker-Gefahr von den meisten Firmen nach wie vor unterschätzt.

Post inside
Ein falscher Klick kann schwerwiegende Folgen haben.


Entschlüsselung mit Lösegeld

Eine neue Masche der Cyber-Kriminellen ist die Erpressung von Unternehmen mittels Datenverschlüsselung. Ein falscher Klick auf einen Link kann in kurzer Zeit das ganze Netzwerk und damit die gesamte Produktion lahmlegen Den betroffenen Unternehmen bleibt nichts anderes übrig, als die Daten in oft mühsamer Arbeit über das interne Backup zurückzugewinnen. Im schlimmsten Fall entscheiden sich einzelne Unternehmen, auf die Forderung der Kriminellen, die kaum jemals gefasst werden können, einzugehen und ein Lösegeld in Form von Bitcoins zu bezahlen. Die Erpresser sind oft erfolgreich, weil die von den Unternehmen zu bezahlende Summe weit unter den Kosten eines potenziellen Schadens aufgrund eines Produktionsausfalls oder der Lahmlegung eines Online-Shops liegt.

Mensch als grösster Risikofaktor

Der grösste Risikofaktor im Umgang mit Cyber-Attacken ist der Mensch. „Hinter etwa 80 Prozent der Angriffe auf Netzwerke steckt ein menschliches Fehlverhalten. Das gefährlichste Einfallstor in ein Unternehmen ist der Mailanhang. Deshalb ist die Schulung der Mitarbeiter von grösster Bedeutung“, erklärt Adrian Ott. Mit einem erhöhten Sicherheitsbewusstsein, der Sensibilisierung der Mitarbeitenden, kann viel Schaden abgewendet werden. Der IT-Spezialist von Ernst & Young forderte die Anwesenden auf, in ihren Unternehmen einen kompetenten Verantwortlichen für die Cyber-Sicherheit zu ernennen und einen Notfallplan zu erstellen, der das gezielte Vorgehen bei einem Cyber-Vorfall regelt.

Post inside
Die Bedrohungen entwickeln sich stetig weiter.


Mit Phishing an Passwörter gelangen

Der häufigste Angriff auf Schwachstellen führt über das sogenannte Phishing. Damit versuchen Angreifer, mit gefälschten E-Mails an Passwörter zu gelangen, um Zugang zu vertraulichen Daten ahnungsloser Internetbenutzer zu erhalten. Das können beispielsweise die Anmeldeinformationen fürs E-Banking oder Kontoinformationen von Online-Shops sein. Die Täter nutzen die Gutgläubigkeit ihrer Opfer aus, indem sie beispielsweise als Mitarbeitende vertrauenswürdiger Finanzinstitute auftreten.

Für Phishing-Attacken werden oft fragwürdige E-Mailadressen verwendet. Adrian Ott rät zu grösster Vorsicht beim Öffnen von Links oder PDF von E-Mailabsendern, die man nicht kennt. Beim Klicken auf einen Link könnte eine Verbindung zur Webseite des Angreifers hergestellt werden, die der echten Webseite täuschend echt nachgebildet ist. Für Sicherheitsrisiken gibt es typische Hinweise. Taucht beim Öffnen einer Website ein Fenster mit dem Hinweis „Es besteht ein Problem mit dem Sicherheitszertifikat der Website“ auf, rät Ott dringend vom Öffnen ab.

500‘000 Passwörter pro Sekunde

Als weiteres Thema streifte Adrian Ott das Generieren von sicheren Passwörtern. Er empfiehlt solche mit mindestens acht Buchstaben, Zahlen und Zeichen. Auch Passwörter sind Angriffen ausgesetzt. Erstaunen löste im Publikum aus, als von Adrian Ott zu erfahren war, dass es zum Durchforsten Programme gibt, die in einer Sekunde rund eine halbe Million Passwörter aufspüren.

Post inside
"Die IT-Sicherheit ist kein Projekt, sondern ein sich stetig entwickelnder Prozess", sagt Manuel Domeisen von der Weibel IT in Kirchberg.


Viele Mails mit gefälschtem Absender abgefangen

In der Podiumsdiskussion kam auch Manuel Domeisen, CEO der Weibel Informatik AG in Kirchberg, zu Wort: „IT-Sicherheit ist mühsam und kostet. Deshalb muss sich jedes Unternehmen fragen, welche finanziellen Mittel es für die IT-Sicherheit zur Verfügung stellen will.“ Priorität hat für Domeisen, dass ein KMU die Risiken kennt und für die Datensicherung ein Backup-Konzept erstellt. „Die IT-Sicherheit ist kein Projekt, sondern ein sich stetig entwickelnder Prozess“, ist Domeisen überzeugt.

Dass der Cyber-Schutz – das Wort Cyber stammt aus dem Altgriechischen und bezeichnete einst die Kunst des Seefahrers, ein Schiff zu navigieren – ein Muss ist und nichts mit dem unberechtigten Schüren von Angst zu tun hat, beweist eine Zahl, die Broger am Schluss des Vortragabends nannte. Allein im Februar dieses Jahres wurden von der Schweizerischen Mobiliar, dem grössten KMU-Versicherer in der Schweiz, über 90‘000 E-Mails mit gefälschtem Absender abgefangen.

Post inside
Beim Apéro riche konnten sich die Teilnehmenden nach dem Vortrag austauschen.