Kathleen Duffy hätte nie gedacht, dass ihr Geschäft an einem so schönen Sonntag im März so abrupt zum Erliegen kommen würde.
Die Geschäftsführerin der Duffy Group, einer seit 30 Jahren bestehenden Personalvermittlungsagentur mit Sitz in Phoenix, arbeitete von zu Hause aus und wusste, dass es in der vergangenen Woche Probleme mit den E-Mail-Systemen gegeben hatte. Als sie also am Wochenende keinen Zugriff auf die E-Mail- oder Datenserver des Unternehmens hatte, führte Duffy dies als Fortsetzung derselben Probleme an.
Doch ein kurzer Anruf bei ihrem externen IT-Berater machte ihr klar, dass die Lage weitaus ernster war. Eine Hackerin in Deutschland hatte alle Dateien ihres Unternehmens verschlüsselt und forderte ein Lösegeld in Höhe von 25 000 Dollar, um diese wieder freizuschalten. Solange sie der Forderung des Hackers nicht nachkam, wären die Geschäftsunterlagen und Bewerberdaten der Duffy Group – das Herzstück ihres Unternehmens – völlig unzugänglich.
„Unser Geschäftsbetrieb kam buchstäblich zum Erliegen“, sagt Duffy, die die durch den Vorfall entstandenen Kosten für ihr Unternehmen auf 50 000 Dollar an entgangenen Einnahmen und IT-Kosten schätzt. „Es war wirklich beängstigend. Sie fühlen sich so in Ihrer Integrität verletzt und fragen sich: Warum gerade ich? Ich bin ein guter Mensch, und wir sind nicht besonders groß. Ich meine, man hört ja immer wieder von Hackern, die 5 Millionen Dollar erpressen – Colonial Pipeline. „Warum sollten sie ein paar Tausend von uns verlangen?“
Die Duffy Group beschäftigt 35 Mitarbeiter und erzielt einen Jahresumsatz im einstelligen Millionenbereich. Wie die Geschäftsführer der meisten kleinen und mittleren Unternehmen (KMU) war auch Duffy der Ansicht, dass Cyberkriminelle in erster Linie große Unternehmen ins Visier nehmen, da diese über die finanziellen Mittel verfügen. Ebenso dürfte Colonial, ein mittelständisches Unternehmen mit rund 850 Mitarbeitern, nicht davon ausgegangen sein, dass es groß genug sei, um Ziel eines Hackerangriffs zu werden – obwohl es eine entscheidende Rolle bei der Versorgung der Ostküste mit Öl spielt. Tatsächlich sind kleine und mittlere Unternehmen (KMU) das Hauptziel von Hackern , da sie oft nur unzureichend geschützt sind, über mangelhafte IT-Sicherheit verfügen und es sich nicht leisten können, längere Zeit außer Betrieb zu sein.
Kurz gesagt: Sie sind ein leichtes Ziel.
„Die meisten mittelständischen Unternehmen verfolgen einen ad-hoc-Ansatz in Sachen Sicherheit, bei dem sie Sicherheitslücken erst dann schließen, wenn Vorfälle auftreten“, sagt Sanjeev Aggarwal, Gründer der SMB Group, eines Beratungsunternehmens, das sich auf Technologietrends im Markt für kleine und mittelständische Unternehmen spezialisiert hat. „Angesichts der Tatsache, dass Hacker kleinere Unternehmen heutzutage so aggressiv ins Visier nehmen, ist das ein echtes Rezept für eine Katastrophe.“
[Lesen Sie auch: Wie Unternehmen mit Ransomware umgehen]
Bevor COVID-19 die Geschäftswelt, wie wir sie kennen, veränderte, gab die US-Behörde für Kleinunternehmen (Small Business Administration) an, dass es im Land 30,2 Millionen kleine und mittlere Unternehmen (KMU) gab, die fast die Hälfte der Erwerbsbevölkerung des Landes beschäftigten. (Als kleine Unternehmen gelten im Allgemeinen solche mit 100 oder weniger Beschäftigten, während mittelständische Unternehmen in der Regel 100 bis 999 Beschäftigte haben.) Davon wurden laut einer Studie von Verizon zu Datenschutzverletzungen im Jahr 2019 etwa 43 % von Cyberkriminellen angegriffen . Aus diesem Grund betonen Experten, dass kleine und mittelständische Unternehmen ihre Maßnahmen zur Cybersicherheit jetzt verstärken müssen – bevor es zu spät ist.
Verlockende Ziele
Juan Lorenzana ist Geschäftsführer von SymbiSystems, einem IT-Support-Unternehmen, das Dutzende von kleinen und mittleren Unternehmen vertritt und Duffy schließlich dabei half, eine reduzierte Lösegeldzahlung in Höhe von 2 800 US-Dollar auszuhandeln – im Austausch gegen einen Entschlüsselungscode zur Freigabe ihrer Daten. Lorenzana führt den sprunghaften Anstieg der Angriffe auf kleine und mittlere Unternehmen auf drei Faktoren zurück: einen Anstieg der Anzahl von Angriffen, bei denen Schwachstellen des lokal installierten Microsoft Exchange Servers ausgenutzt werden, die rasante Zunahme von Mitarbeitern, die von zu Hause aus mit unzureichend gesicherten Endgeräten arbeiten, sowie die Tatsache, dass zu viele Hacker während des Lockdowns untätig herumsitzen und sich Methoden ausdenken, um Unternehmensdaten und -ressourcen zu erbeuten.
„“ Unser Geschäft kam buchstäblich zum Erliegen. Sie fragen sich: „Warum gerade ich?“ „Wir sind nicht so groß.“”Kathleen Duffy, Geschäftsführerin der Duffy Group
Lorenzana weist darauf hin, dass sich Opfer von Angriffen zwar von Cyberkriminellen gezielt ins Visier genommen fühlen mögen, dies jedoch häufig nicht der Fall ist. Hacker, so sagt er, nutzen Tools zur Netzwerkerkennung wie den „Angry IP Scanner“ oder „Nmap“, um automatisch Blöcke von Internetadressen zu durchsuchen und nach anfälligen Geräten zu suchen. Sobald sie diese gefunden haben, starten sie Angriffe auf die (für sie) lukrativsten, leichtesten und risikoärmsten Ziele, bei denen es sich häufig um kleine und mittlere Unternehmen handelt.
„Sie nehmen nicht unbedingt kleine oder mittelständische Unternehmen ins Visier, aber oft entsteht doch der Eindruck, dass dies der Fall ist“, sagt Lorenzana.
Andre Mintz, Chief Information Security Officer bei der Newport Group, einem Anbieter von Dienstleistungen für den Ruhestand, bietet eine weitere Perspektive. Er sagt, die Suche nach Unternehmenszielen könne sehr spezialisiert sein.
„Böswillige Akteure stöbern selten im Internet herum, so wie eine Rakete im Weltraum, die nach einem Stern sucht, auf den sie zufällig stoßen könnte“, sagt er. „Sie verfügen über Fähigkeiten und Neigungen, die sich am besten für bestimmte Branchen oder Fachgebiete eignen, wie beispielsweise Finanzdienstleistungen, das Gesundheitswesen oder die Immobilienbranche.“
Oft, so sagt er, beginnen sie mit einer Branche, die sie interessiert, und vertiefen sich dann in einen Teilbereich davon. In seiner Branche könnten sich Cyberkriminelle beispielsweise auf 401(k)-Altersvorsorgekonten spezialisieren.
„Es könnte Hacker, Betrüger oder Schwindler geben, die mit den Abläufen und Praktiken der Altersvorsorgebranche bestens vertraut sind oder über umfassende Kenntnisse im Finanzdienstleistungsbereich verfügen, die sie nutzen können, um das Konto einer Person zu kompromittieren oder zu übernehmen“, sagt Mintz. „Wenn sich beispielsweise ein Kontoinhaber noch nie in sein Konto eingeloggt hat, gelingt es manchen Cyberkriminellen, sich Zugang zu verschaffen, eine Ersteinrichtung des Kontos vorzunehmen und eigene Antworten auf Sicherheitsfragen festzulegen, die eigentlich dazu dienen, den Kontoinhaber genau vor solchen Vorfällen zu schützen.“
Auch andere Arten von Angriffen auf kleine und mittlere Unternehmen gewinnen zunehmend an Bedeutung, so Mintz. „Social Engineering“, bei dem Kriminelle Menschen dazu verleiten, vertrauliche Informationen, Netzwerkzugang oder Wertgegenstände preiszugeben, werde für kleinere Unternehmen zu einem immer ernsteren Problem, sagt er.
Die häufigste Form des Social Engineering ist das „-Phishing“, bei dem Kriminelle Nutzer dazu verleiten, auf E-Mail- oder Weblinks zu klicken, die den Weg für Schadsoftware oder „Malware“ ebnen. Es kann jedoch auch vorkommen, dass sich jemand – digital oder telefonisch – als Führungskraft des Unternehmens ausgibt und einen ahnungslosen Mitarbeiter dazu verleitet, Zugangsdaten oder Geldbeträge an einen entfernten Ort zu überweisen, über den ausschließlich diese Person die Kontrolle hat.
„Mittelständische Unternehmen sind besonders anfällig für Social Engineering“, sagt Mintz, „da dort viele vielbeschäftigte Mitarbeiter mehrere Aufgaben gleichzeitig wahrnehmen.“ Menschen sind von Natur aus vertrauensvoll und erkennen nicht immer, dass sich ein Betrüger ihnen nähert, bis es bereits zu spät ist. „Größere Organisationen hingegen schulen ihre Mitarbeiter darin, auf dieses Verhalten zu achten, und fallen daher seltener darauf herein.“
Grundlegende Cyber-Hygiene
Nüchtern betrachtet sagen Experten, dass Angriffe auf mittelständische Unternehmen – ganz gleich, wie gut diese sich dagegen schützen – dennoch stattfinden und letztendlich erfolgreich sein werden. Cyberkriminelle sind mittlerweile so raffiniert und ändern ihre Vorgehensweisen so häufig, dass selbst die sichersten Unternehmen Mühe haben, ihnen einen Schritt voraus zu sein.
„Ganz gleich, wie viel Geld, Ressourcen oder Zeit Sie in die Cybersicherheit investieren – es gibt immer jemanden, der über mehr Fähigkeiten verfügt als Sie“, sagt Lorenzana. „Es ist unmöglich, sich auf Dauer vor Hackerangriffen zu schützen.“
„Menschen sind von Natur aus vertrauensvoll und erkennen nicht immer, dass sich ein Betrüger ihnen nähert, bis es bereits zu spät ist.“Andre Mintz, CISO, Newport Group
Das soll jedoch nicht heißen, dass mittelständische Unternehmen keine proaktiven Maßnahmen ergreifen können, um das Risiko zu begrenzen und die Auswirkungen von Cyberangriffen zu minimieren.
Zunächst empfehlen die meisten Experten, sich auf grundlegende Maßnahmen der Cyber-Hygiene zu konzentrieren , um das Unternehmen für Hacker weniger attraktiv zu machen: Halten Sie Ihre Antiviren-Signaturen auf dem neuesten Stand. Setzen Sie Netzwerk-Firewalls ein. Laden Sie die wichtigen Sicherheits -Patches unter unverzüglich herunter und installieren Sie sie. Setzen Sie leistungsstarke Lösungen für die Verwaltung und Absicherung von Endgeräten mit „ “ ein:. Setzen Sie, wo immer möglich, eine Geräteverschlüsselung ein. Setzen Sie Richtlinien für sichere Passwörter und eine Zwei-Faktor-Authentifizierung nach dem „ “-Prinzip durch. Befolgen Sie dabei die „3-2-1 -Sicherungsstrategie“, bei der ein Unternehmen drei Kopien der Daten auf zwei verschiedenen Datenträgern aufbewahrt, von denen sich einer außerhalb des Unternehmensstandorts befindet. Dies kann im Falle eines Ransomware-Angriffs von großem Nutzen sein, um Systeme schnell wieder in Betrieb zu nehmen.
Zweitens empfehlen Experten nachdrücklich die Umstellung auf ein „Zero-Trust-“-Identitäts- und Zugriffsmodell. In diesem Fall entzieht eine Organisation allen Personen das Recht auf Zugriff auf die gesamte IT-Infrastruktur. Stattdessen werden, wie Neil MacDonald, Vice President und Analyst bei Gartner, es formuliert, „Vertrauensstufen explizit und kontinuierlich berechnet und angepasst, um einen zeitnahen und maßgeschneiderten Zugriff auf Unternehmensressourcen zu ermöglichen.“ Der Zero-Trust-Ansatz erfreut sich bei IT-Sicherheitsteams zunehmender Beliebtheit: Laut einer aktuellen Microsoft-Umfrage bezeichnen 96 % ihn als entscheidend für ihre Unternehmen.
„Zero Trust ist eine Denkweise, keine bestimmte Technologie oder Architektur“, erklärt MacDonald in einem aktuellen Bericht von Gartner mit dem Titel „ “ (). „Es geht im Grunde genommen um null implizites Vertrauen, denn genau das wollen wir beseitigen.“
Mintz empfiehlt eine dritte bewährte Vorgehensweise, um bestimmten Formen von Social Engineering vorzubeugen: Begrenzen Sie die Anzahl der Personen in einem Unternehmen, die Geldtransfers genehmigen dürfen.
„Auf diese Weise wird, falls jemand versucht, einen Mitarbeiter dazu zu überreden, Geld zu überweisen, dieser sagen: ‚Das kann nur Bob‘, und der Social-Engineering-Versuch scheitert.“
Kleine und mittelständische Unternehmen sind genauso anfällig für Cyberangriffe wie größere Organisationen und in vielerlei Hinsicht sogar noch anfälliger für Sicherheitsverletzungen, da ihre Abwehrmaßnahmen oft schwächer sind und bei einer Unterbrechung ihres Betriebs weitaus mehr auf dem Spiel steht, so die Experten. Daher warnen diejenigen, die diese Erfahrung bereits gemacht haben, dass kein Unternehmen diese Bedrohung auf die leichte Schulter nehmen darf.
Duffy merkt beispielsweise an, dass es selbst nachdem sie die Lösegeldzahlung an „ “ geleistet und einen Entschlüsselungsschlüssel erhalten hatte, noch Wochen dauerte, bis die Systeme wieder vollständig betriebsbereit waren. Und ein Teil der Daten ihres Unternehmens (hauptsächlich Marketinginformationen) konnte nie wiederhergestellt werden.
„Ich glaube, je mehr wir darauf aufmerksam machen, dass wir kleinen Menschen angegriffen werden, desto besser werden alle darauf vorbereitet sein, sich vor solchen Dingen zu schützen“, sagt sie. „Es gibt zwar keine Garantie dafür, dass bewährte Verfahren Sie schützen, aber sie erschweren es Cyberkriminellen zweifellos erheblich, an Ihre Daten oder Vermögenswerte zu gelangen.“
