Safer Internet Day als Mahnung an Unternehmen und Anwender

Verhaltensänderung erforderlich – das Internet selbst sicher zu machen bleibt eine Utopie

[datensicherheit.de, 04.02.2024] „Alles gut, weil bis jetzt ist nichts passiert“ sei die schlechteste Cyber-Sicherheitsstrategie betont Sophos-Sicherheitsexperte Michael Veit in seiner aktuellen Stellungnahme zum diesjährigen „Safer Internet Day“ am 6. Februar 2024 – dieser soll Unternehmen und private Anwender daran erinnern, dass und wie es besser geht. Dieser Tag sei eine gute Gelegenheit, die Sophos-Tipps dem eigenen Verhalten gegenüberzustellen und gegebenenfalls das Eine oder Andere für die Zukunft zu beherzigen.

Jeder kann sein eigenes Verhalten im Umgang mit dem Internet so gestalten, dass die Nutzung möglichst sicher ist!

Veit stellt klar: „Das Internet sicher zu machen, ist eine Utopie, aber jeder kann sein eigenes Verhalten im Umgang mit dem Internet so gestalten, dass die Nutzung möglichst sicher ist.“ Deshalb sei der „Safer Internet Day“ jeweils eine gute Gelegenheit, das eigene Tun und Handeln sowie das des Unternehmens auf den Prüfstand zu stellen.

„Ein wichtiger Aspekt für die sichere Internetnutzung ist gleichzeitig einer, den niemand so richtig gerne mag: Passwörter. Und dennoch ist das Passwort für jeden User und für alle Unternehmen eine der besten Schutzmöglichkeiten.“

Indem mit guten Passwörtern und mit einer Zwei-Faktor-Authentifizierung (ZFA) oder noch fortschrittlicheren Technologien der unautorisierte Zugang zu Computern, Netzwerken und Applikationen verhindert wird, seien Cyber-Kriminelle nicht in der Lage einzudringen, ihre Privilegien auszuweiten und schlussendlich Ransomware zu aktivieren oder wertvolle Daten zu stehlen.

Jeder Internet-Nutzer sollte Passwörter trotz aller Lästigkeit als enorm wichtig ansehen!

„Obwohl kaum jemand das Anlegen, Verwalten und den Umgang mit Passwörtern mag, weiß jedes Unternehmen und jeder Internet-Nutzende, dass sie trotz aller Lästigkeit enorm wichtig sind“, führt Veit weiter aus und berichtet: „Allerdings sehen wir, wie selbst große Konzerne aufgrund einer schlechten Passwortverwaltung oder einem laxen Umgang kompromittiert werden.“ Die Verwendung guter Passwörter für jede Website gehöre in Verbindung mit weiteren zusätzlichen Authentifizierungsmethoden nach wie vor zu den besten Maßnahmen, um kritische Zugänge und das Unternehmen zu schützen.

Aussagen wie „es wird schon alles gut gehen“ oder „das sind ja keine wichtigen Accounts“ oder „ich habe gerade keine Zeit, mich um Passwortsicherheit zu kümmern“ seien nicht selten Ursachen für fatale Folgen im Unternehmen.

Sophos hat nach eigenen Angaben mit seinem „X-Ops‘ Active Adversary Report“ herausgefunden, dass im Jahr 2023 erstmals kompromittierte Zugangsdaten mit 56 Prozent die Hauptursache für Angriffe waren, die Datendiebstahl und/oder Ransomware-Attacken zur Folge hatten. Dies sei ein Anstieg von 26 Prozent zwischen 2022 und 2023.

Einfache aber wirkungsvolle Safer-Internet-Tipps für Anwender:

Neben einer guten Passwortpraxis sei es wichtig, „nein“ zu sagen und die Angabe von Informationen zu verweigern. „Nur weil eine Web-Applikation beispielsweise den Geburtstag oder andere augenscheinlich unwichtige Informationen wissen möchte, heißt das noch lange nicht, dass diese Applikation die Informationen auch tatsächlich braucht oder gar ein Recht darauf hat“, so Veit. Was im Internet nicht preisgegeben wird, könne weder weitergegeben noch missbraucht werden.

Daher: „Keine Angaben von noch so harmlosen Informationen und kein Anklicken von Links, die man nicht kennt oder benötigt.“

Zudem gelte es, keine fremden und potenziell gefährlichen Apps zu nutzen und die benötigten Apps immer auf dem neuesten Stand zu halten. Zudem wäre grundsätzlich die Standardeinstellung von Vorteil, dass alles was, man nicht kennt, „potenziell als verdächtig oder bösartig behandelt wird, bis das Gegenteil bewiesen ist“.

Safer-Internet-Tipps für Unternehmen:

Firmen, die eine Website betreiben und vielleicht sogar Zahlungsdienste oder Customer-Management-Lösungen eingebunden haben, sollten diese auf Sicherheit überprüfen. Wenn die dafür benötigten Ressourcen oder Fachkenntnisse nicht ausreichen, böten sich externe Experten an, welche unabhängig prüften, was gut eingerichtet und gesichert ist und welche Sicherheitsprobleme dringend behoben werden müssten. „Denn eines ist sicher: Cyber-Kriminelle testen teils hoch automatisiert die Sicherheit jedes Servers und jeder Webseite auf Schwachstellen.“

Veit warnt: „Viele Menschen, die früher bei der Arbeit das Internet nutzten, um nur Nachrichten zu lesen oder E-Mails abzurufen, verwenden es jetzt täglich auf vielfältige Weise – auch um mit Kollegen zusammenzuarbeiten, die sie vielleicht weniger gut oder gar nicht kennen.“ Doch diese heute weitgehend übliche Arbeitsweise öffne Cyber-Kriminellen „Tür und Tor“ für Betrugsmaschen und „Social Engineering“. Darum sollten Unternehmen ihre Mitarbeiter regelmäßig zu den aktuellen Gefahren und vor allem zum sicheren Verhalten im Internet schulen. Es sei wichtig, „dass sie eigenständig Betrugsversuche erkennen, diesen nicht folgen und an die entsprechenden internen Stellen melden“.

Klassische IT-Security sei gut, reiche aber nicht aus: „Cyber-Kriminelle verfügen über Mittel und Tools, Schwachstellen auszunutzen, die sie beispielsweise in unbekannten Netzwerk- und IoT-Geräten oder in der IT-Lieferkette entdecken.“ Eine hohe Sicherheit sei dann möglich, wenn sämtliche IT-Security-Lösungen in einem intelligenten und KI-gestützten „Ökosystem“ eingebunden und kontinuierlich mit menschlicher Expertise kombiniert würden. „Security-Services, welche mit ,Threat Hunting’ die schnelle Reaktion auf Verdachtsfälle oder Angriffe garantieren, helfen den Schaden durch Cyber-Kriminelle rechtzeitig abzuwehren.“

Netzwerke umspannen weite Bereiche des Internets – erweiterte Datensicherheits-Strategie erforderlich!

Nahezu kein Unternehmen könne sich heute noch auf die Sicherheit innerhalb traditioneller IT-Perimeter verlassen. „Das eine Unternehmensnetzwerk gibt es nicht mehr.“ Viel mehr überspanne das Netzwerk weite Bereiche des Internets, darunter die „Cloud“ und die gesamte IT-Lieferkette oder „SaaS“-Dienste.

Dem sollten Unternehmen mit einer erweiterten Strategie Rechnung tragen und nach Lösungen suchen, „die weit mehr als nur die eigenen Server und Arbeitsplätze mit Firewalls und Endpoint-Schutz absichern“.

Zero-Trust-Methoden und „Network Detection and Response“ (NDR) in Verbindung mit hochgradig spezialisierten externen Security-Services, würden diesen neuen Anforderungen gerecht werden.

Weitere Informationen zum Thema:

SOPHOS NEWS, John Shier, 23.08.2023
Time keeps on slippin’ slippin’ slippin’: The 2023 Active Adversary Report for Tech Leaders /A deep dive into incident-response cases from the first half of this year finds both attackers and defenders picking up the pace