Angesichts der sich zuspitzenden weltweiten Ereignisse ist es leicht nachvollziehbar, dass Sie den „ “ – den Monat der Sensibilisierung für Cybersicherheit – möglicherweise aus den Augen verloren haben:.
Keine Sorge – wir stehen hinter Ihnen.
In diesem Jahr findet zum 20. Mal die jährliche Kampagne statt, die von staatlichen Stellen und der Privatwirtschaft gemeinsam durchgeführt wird, um das Bewusstsein für digitale Sicherheit zu schärfen und alle – von Führungskräften in der Wirtschaft bis hin zu Privatpersonen – dazu anzuregen, ihre Daten vor Cyberkriminellen zu schützen. Die Behörde für Cybersicherheit und Infrastruktursicherheit (CISA) hat in diesem Jahr alles auf eine Karte gesetzt und ihren allerersten „ “-Werbespot produziert, der im Fernsehen und online ausgestrahlt werden soll und vier Aspekte der Cybersicherheit hervorhebt, denen die CISA mehr Aufmerksamkeit verschaffen möchte.
„Unternehmen … spielen eine wichtige Rolle bei der Sicherung unserer digitalen Welt“, erklärte CISA-Direktorin Jen Easterly in einem Online-Video zum Start der Kampagne. „Die CISA fordert Technologieunternehmen und Softwareentwickler auf, unsere Unternehmen und unsere Privatkunden zu schützen, indem sie sicherstellen, dass ihre Produkte von Grund auf sicher konzipiert sind.“ „Auf diese Weise ist die Technologie bereits ab dem ersten Einsatz sicher, und die Amerikaner sind besser geschützt.“
Doch nicht nur große Technologieunternehmen können etwas bewirken. Führungskräfte und Sicherheitsverantwortliche in großen und kleinen Unternehmen aller Branchen können ihre Sicherheitsvorkehrungen erheblich verbessern, indem sie sich mit diesen vier Grundprinzipien der Cybersicherheit vertraut machen.
„Unternehmen spielen eine wichtige Rolle bei der Sicherung unserer digitalen Welt.“Jen Easterly, Direktorin der CISA
Wir haben es Ihnen leicht gemacht. Im Folgenden finden Sie die vier Schlüsselthemen des diesjährigen „Cybersecurity Awareness Month“, einen Hinweis von Easterly (in Anführungszeichen und Kursivschrift) dazu, warum jedes dieser Themen wichtig ist, sowie einen Link zu den neuesten Informationen aus unserer Berichterstattung zu diesen Themen im vergangenen Jahr.
1. Verwenden Sie sichere Passwörter | „Das heißt: lang, zufällig und einzigartig“
Passwörter gehören nach wie vor zu den größten Schwachstellen im Computernetzwerk eines jeden Unternehmens. Der Bericht „ 2023 Weak Password Report“ von Specops, einem in Stockholm ansässigen Anbieter von Passwortverwaltungssoftware, analysierte mehr als 800 Millionen kompromittierte Passwörter – es handelt sich also um eine recht beeindruckende Stichprobengröße – und prüfte diese anhand von fünf regulatorischen Standards, darunter NIST.
Die schlechte Nachricht? Eine erschreckend hohe Anzahl kompromittierter Passwörter – 83 % – erfüllte die Anforderungen dieser Standards hinsichtlich Länge und Komplexität.
Die gute Nachricht ist, dass es einige recht häufige Schwachstellen gab, die sich leicht beheben lassen, darunter die Länge (88 % der bei Cyberangriffen missbrauchten Passwörter waren 12 Zeichen lang oder kürzer – machen Sie Ihre also länger), der Stil (vermeiden Sie ausschließlich Kleinbuchstaben) und die Wortwahl: Begriffe aus dem Fußball, darunter Namen beliebter Spieler wie Lato, Pele und Messi, sind äußerst beliebt, und (sorry, WM-Fans) Hacker wissen das; und ja, „Passwort“ ist nach wie vor eines der häufigsten Grundwörter in gehackten Passwörtern – lassen wir das Thema also einfach hinter uns, einverstanden?
[Lesen Sie auch: CTI-Zusammenfassung – Wie sicher ist Ihr Passwort?]
2. MFA aktivieren | „Für Ihre wichtigsten Konten benötigen Sie mehr als nur ein Passwort“
Hier ist ein wichtiger Punkt: Zwar sind sichere Passwörter wichtig, doch Passwörter allein (egal wie sicher sie auch sein mögen) reichen nicht aus. Aus diesem Grund empfiehlt die CISA Organisationen zudem, in die „ “-Multifaktor-Authentifizierung (MFA) zu investieren, bei der neben Benutzername und Passwort ein temporärer Code oder Schlüssel erforderlich ist, der an das Gerät des Benutzers gesendet wird.
Erschreckende Fakten zu Passwörtern: Hacker führen täglich durchschnittlich 50 Millionen Passwortangriffe durch – das sind 580 pro Sekunde – und laut Verizon sind 60 % der Datenlecks auf kompromittierte Zugangsdaten zurückzuführen.
Zudem sind Passwort-Zurücksetzungen ein echter Kostenfalle: Sie sind einer der Hauptgründe, warum Mitarbeiter den IT-Helpdesk anrufen, und kosten Unternehmen nach Schätzungen von Forrester bis zu 70 US-Dollar pro Anruf; laut belaufen sich die jährlichen Kosten für große Unternehmen auf über 1 Million US-Dollar .
„Unternehmen werden Passwörter nicht von heute auf morgen abschaffen“ – daher auch Regel Nr. 1 oben – „denn dies ist mit einem hohen Aufwand verbunden“, erklärte Frank Dickson, Programm-Vizepräsident im Forschungsbereich Cybersicherheit und Vertrauen bei IDC, in einem Artikel auf über Trends im Bereich passwortloser Authentifizierung , den wir im vergangenen Herbst veröffentlicht haben. „Aber viele befinden sich auf diesem Weg“, sagte er.
Dank des wachsenden Vertrauens in das „Zero-Trust“- -Modell ( ) als Cybersicherheitsmodell setzen Unternehmen zunehmend passwortlose Ansätze wie MFA, biometrische Verfahren und Single-Sign-On-Tools (SSO) ein.
Ich möchte Ihnen nun nicht den Kopf verdrehen, aber es ist auch wahr, dass MFA (zumindest in einigen Formen) von Hackern umgangen werden kann. Es ist nach wie vor eine der wirksamsten Authentifizierungsmethoden, doch bestimmte, neuere Formen der MFA sind besser als andere. Lesen Sie unten unseren Artikel aus diesem Frühjahr, in dem erläutert wird, wie Hacker versuchen, die mehrstufige Authentifizierung (MFA) zu umgehen, und in dem drei Strategien zur Abwehr dieser Angriffe vorgestellt werden.
3. Phishing erkennen und melden | „Erst nachdenken, dann klicken“
„Für Alex im Kundenservice begann es zunächst wie ein ganz normaler Freitag. „Nichts Ungewöhnliches…“
So beginnt eine 18-minütige Hörgeschichte über einen fiktiven – aber sehr typischen – Cyberangriff unter Einsatz von Phishing und generativer künstlicher Intelligenz (GenAI) vom Typ „ “, die von Dell produziert wurde und auf dessen Website zusammen mit weiteren Ressourcen und Tools zum „Cybersecurity Awareness Month“ zu finden ist. (Klicken Sie hier auf „ “ unter und scrollen Sie nach unten zum Link „Audio-Beitrag: Ein moderner Cyberangriff“, um sich den Beitrag anzuhören.) Die Geschichte, die sich wie ein Hörspiel entfaltet, verdeutlicht, inwiefern GenAI „ “-Phishing-E-Mails und -SMS – jene gefährlichen Nachrichten, die an Arbeitnehmer gesendet werden, um sie dazu zu verleiten, auf Links zu klicken und sensible Daten preiszugeben – immer schwerer zu erkennen macht.
Noch vor einem Jahr waren Phishing-Nachrichten dafür bekannt, dass sie durch holprige Formulierungen und andere Rechtschreibfehler als Betrugsversuche entlarvt wurden. Doch dank von GenAI-gestützter Chatbots wie ChatGPT klingen diese Nachrichten immer realistischer und können sogar den Kommunikationsstil eines Vorgesetzten nachahmen – bis hin zu subtilen Nuancen wie häufig verwendeten Redewendungen oder Wörtern, die typischerweise abgekürzt oder falsch geschrieben werden –, wodurch Mitarbeiter getäuscht werden.
Und das ist noch nicht alles. Auch Voice-Phishing, auch bekannt als „Vishing“, bei dem Betrüger Sie anrufen, nimmt zu (laut einem aktuellen Bericht stieg die Zahl um 625 % von 2021 auf 2022).
„Voice-Phishing kann effektiver sein, da Menschen dazu neigen, ihre Wachsamkeit zu verlieren, wenn sie mit jemandem sprechen“, erklärte Roger Grimes, „Defense Evangelist“ bei KnowBe4 , in einem Artikel mit dem Titel „“, der im vergangenen Herbst in der Fachzeitschrift „Focal Point“ ( ) erschien. Lesen Sie den folgenden Artikel, in dem detailliert beschrieben wird, wie unser Autor selbst zum Ziel von Vishing-Betrügern wurde und wie Führungskräfte ihre Mitarbeiter am besten dazu anleiten können, wachsam zu bleiben.
[Lesen Sie auch: So schützen Sie sich vor „Vishing“ – gehen Sie clever vor]
4. Software aktualisieren | „Automatische Updates aktivieren“
Allzu oft betrachten Technologie-Nutzer Software-Updates als optional – lediglich als die neueste Version eines Produkts oder Tools, die mit einigen neuen Spielereien ausgestattet ist. Die Mitarbeiter müssen daran erinnert werden, dass Software-Updates auch der Sicherheit dienen und Schwachstellen beheben, die gepatcht werden müssen, um unsere Sicherheit im Internet zu gewährleisten.
Das Aktivieren automatischer Updates in den Sicherheitseinstellungen eines Geräts oder einer Anwendung ist eine bequeme Möglichkeit, Updates zu erhalten, und eine der einfachsten Methoden, unsere Cyberabwehr zu stärken. (Ein Tipp für Vorgesetzte: Es könnte sich lohnen, Ihre Mitarbeiter auf das kostenlose Webinar der CISA zum Thema „Software auf dem neuesten Stand halten“ hinzuweisen, das am Dienstag, dem 24. Oktober, von 12:12:30 Uhr ET stattfindet.) Um sich anzumelden, klicken Sie bitte hier auf „ “ ().
Für Führungskräfte und Sicherheitsverantwortliche sind die Vorteile der Automatisierung von „ “ damit noch lange nicht erschöpft. Die Automatisierung wichtiger Sicherheitsaufgaben wie Patch-Management, Schwachstellenmanagement und Reaktion auf Sicherheitsvorfälle kann enorme Vorteile mit sich bringen. Threat-Intelligence-Feeds und Sicherheitswarnungen können je nach Art der Erkennung automatisch bestimmte Playbooks zur Reaktion auf Vorfälle von auslösen.
Soweit Unternehmen bestimmte wichtige Sicherheitsprotokolle automatisieren können, „können sie ihre Angriffsfläche erheblich verringern“, erklärte Kenneth Swick, Senior Security Consultant bei der NCC Group, gegenüber dem „ “ Focal Point. Der folgende Beitrag beleuchtet, wie automatisierte Tools und Prozesse Sicherheitsteams , Bedrohungsjäger sowie diejenigen, die Sicherheitsoperationszentren aufbauen, unterstützen können.
[Read also: A security automation playbook for 2023]
TESTEN SIE IHRE CYBER-FÄHIGKEITEN!
Machen Sie dieses Quiz des Pew Research Center und finden Sie heraus, wie gut Sie erkennen können, welches Passwort am sichersten ist, und definieren Sie Fachbegriffe (Botnetz? Rootkit? DDoS?) und klären, was es mit dem „privaten Surfen“ wirklich auf sich hat (das gar nicht so privat ist, wie Sie vielleicht denken).
