Im Rahmen der „ Juli 2020“ erhielten Mitarbeiter von Boyce Technologies – einem in New York ansässigen Anbieter von Netzwerktechnologielösungen – eine alarmierende Meldung, als sie sich an ihren Computern anmeldeten und versuchten, Dateien zu öffnen. Ihre Daten waren verschlüsselt worden – ein Hinweis darauf, dass Cyberkriminelle in ihr Netzwerk eingedrungen waren.
Den Angaben von „ “ zufolge hatten die Angreifer Hunderte von Dokumenten entwendet, mit deren Veröffentlichung im Dark Web sie drohten, wie aus dem „HIPAA Journal“ hervorgeht. Um den Netzwerkzugang wiederherzustellen und Boyces Dateien zurückzugeben, forderten die Cyberkriminellen ein Lösegeld.
Die Angreifer – Mitglieder der „ “ DoppelPaymer-Bande , von der angenommen wird, dass sie von Russland aus operiert – wussten, dass sie das 150-köpfige Unternehmen zu einem kritischen Zeitpunkt angriffen. Im Frühjahr, als New York City ein COVID-19-Hotspot war, stellte Boyce seine Produktion von Kommunikationssystemen für den öffentlichen Nahverkehr auf die Herstellung kostengünstiger, von der FDA zugelassener Beatmungsgeräte für COVID-Patienten um.
„: Wenn Verzweiflung herrscht, ist die Wahrscheinlichkeit größer, dass die Bösewichte [Cyberkriminelle] an ihr Geld kommen.“Larry Ponemon, Gründer des Ponemon Institute
Boyce hat sich öffentlich nicht dazu geäußert, ob das Unternehmen das Lösegeld gezahlt hat, und lehnte es ab, Fragen für diesen Artikel zu beantworten. Zum Zeitpunkt des Angriffs lieferte das Unternehmen jedoch täglich mehrere hundert Geräte an Krankenhäuser im ganzen Land aus. Ein Unternehmen in einer solchen Situation steht vor einer schwierigen Entscheidung, sagt Larry Ponemon, Gründer des Ponemon Institute, einer Forschungsorganisation für Cybersicherheit und Datenschutz. Sie müssen entweder zahlen oder mitten in einer Pandemie lebensbedrohliche Produktionsverzögerungen in Kauf nehmen.
„Manchmal sind die Folgen einer Nichtzahlung einfach zu hoch“, sagt Ponemon. „Das war ein Worst-Case-Szenario, bei dem Menschen hätten sterben können.“ Er fügt hinzu: „In Zeiten der Verzweiflung ist die Wahrscheinlichkeit größer, dass die Kriminellen an ihr Geld kommen.“
Kleinere Unternehmen, größere Ziele
Auch wenn Cyberangriffe auf große Unternehmen die Schlagzeilen beherrschen, sind kleine und mittelständische Unternehmen (KMU) wie Boyce mittlerweile die häufigsten Angriffsziele. Im Gegensatz zu großen Unternehmen, die über beträchtliche IT-Budgets verfügen und stets wachsam gegenüber neuen Bedrohungen sind, sind sich viele kleinere Organisationen dieser Gefahr jedoch gar nicht bewusst – eine Schwachstelle, die Cyberkriminelle ausnutzen.
„Viele Unternehmen glauben, dass vor allem die großen Firmen betroffen sind“, sagt Alex Holden, Gründer des in Wisconsin ansässigen Sicherheitsberatungsunternehmens Hold Security. „Wenn sie angegriffen werden, sind sie stets überrascht und fragen sich: ‚Warum gerade wir?‘“
Cyberkriminelle haben es auch aus einem weiteren Grund auf KMU abgesehen: Sie bieten einen einfachen Zugang zu den namhaften Kunden eines KMU – sogenannte „ “-Angriffe auf die Lieferkette. Mehrere Monate bevor die Cyberkriminellen-Gruppe die Systeme von Boyce angriff, soll sie sich Zugang zu Visser Precision, einem in Denver ansässigen Hersteller und Rüstungsunternehmen, verschafft und sensible Kundendaten gestohlen haben. Dazu gehörten laut einem Bericht von TechCrunch unter der Überschrift „ “ ( ) unter anderem Boeing, Lockheed Martin, Tesla und SpaceX.
Die Arbeit im Homeoffice hat das Problem für KMU noch verschärft. Mitarbeiter, die früher im Büro mit einem firmeneigenen Gerät arbeiteten und stets mit dem Netzwerk verbunden waren, befinden sich nun zu Hause und nutzen in einigen Fällen ein privates Gerät, das nicht mit einem VPN verbunden ist oder das auch von anderen Haushaltsmitgliedern sowie zahlreichen weiteren ungesicherten Geräten im Haushalt genutzt wird. Cyberkriminelle wissen das – daher nehmen sie zunehmend Mitarbeiter im Homeoffice und deren ungesicherte Endgeräte im Rahmen des „ “ ins Visier. Laut einem aktuellen Bericht „ “ () von Malwarebytes () geben 20 % der Führungskräfte im Bereich Cybersicherheit an, dass sie im Jahr 2020 mit einer Sicherheitsverletzung konfrontiert waren, die auf einen Remote-Mitarbeiter zurückzuführen war.
Beenden Sie die Phishing-Versuche
Viele KMU möchten ihre Cybersicherheitsmaßnahmen verstärken, geben jedoch an, dass die Pandemie erhebliche finanzielle Hürden mit sich gebracht hat. In einer Umfrage des Netzwerksicherheitsunternehmens Untangle mit dem Titel „ September 2020 “ () gab ein Drittel der KMU an, dass das Fehlen eines ausreichenden IT-Budgets ihre größte Herausforderung bei der Absicherung ihrer Netzwerke darstelle, wobei 38 % angaben, lediglich 1 000 US-Dollar oder weniger für IT-Sicherheit bereitzustellen. Diese Haltung, bei der man am falschen Ende spart, kommt teuer zu stehen. Experten für Cybersicherheit warnen davor, dass es später weitaus teurer werden kann, wenn ein Unternehmen nicht vor Hackerangriffen geschützt wird. Im Jahr 2019 beliefen sich beispielsweise die durchschnittlichen Kosten einer Datenpanne für ein KMU – einschließlich des Zeitverlusts – auf 150 000 Dollar.
Zwar werden KMU niemals mit den Cybersicherheitssystemen großer Unternehmen mithalten können, doch können sie einige der bewährten Verfahren dieser Unternehmen kosteneffizient übernehmen, insbesondere die Schulung der Mitarbeiter. Der Bereich mit den größten Auswirkungen, so Ponemon, ist das „ “-Phishing – gefälschte E-Mails, die darauf abzielen, Nutzer dazu zu verleiten, ihren Benutzernamen und ihr Passwort zu bestätigen oder auf einen schädlichen Link zu klicken. Laut Verizon waren 32 % aller Datenpannen im Jahr 2019 auf Phishing zurückzuführen, bei dem Kriminelle nicht nach Schwachstellen in der Software, sondern nach menschlichen Schwachstellen suchten.
„Früher war Phishing noch so offensichtlich – zum Beispiel war das Firmenlogo verschwommen, es gab Rechtschreibfehler und die Grammatik war mangelhaft“, sagt Ponemon. „Es hat sich ziemlich verändert.“ Manche Betrugsmaschen sind unglaublich individuell zugeschnitten. „Sie kennen Sie, sie wissen, wo Sie wohnen.“
[Lesen Sie auch: So schützen Sie sich vor Social Engineering in Zeiten weit verbreiteter Telearbeit]
Selbst Ponemon ist kürzlich Opfer eines Phishing-Versuchs geworden. Die Angreifer drangen in sein E-Mail-Konto ein und lasen seine E-Mails; anschließend verfassten sie eine Nachricht, die so aussah, als stamme sie von einer Person, mit der er regelmäßig korrespondiert. Um Menschen dabei zu helfen, Phishing-Versuche zu erkennen, empfiehlt Ponemon, dass IT-Verantwortliche in KMU ihre Mitarbeiter über die von Cyberkriminellen angewandten Taktiken aufklären und regelmäßig Simulationen mit gefälschten E-Mails durchführen.
Den Passwortschutz verstärken
Experten für Cybersicherheit empfehlen zudem, die Mitarbeiter darin zu schulen, den Nutzen der Multi-Faktor-Authentifizierung bei der Anmeldung, der grundlegenden Verschlüsselung von Dateien und längerer Passwörter zu verstehen. Diese sind weitaus widerstandsfähiger gegen automatisierte „Passwort-Spray“-Angriffe – – als kurze Passwörter; dabei probieren Cyberkriminelle dasselbe Passwort bei vielen Konten aus, bevor sie es mit einem anderen versuchen.
„Wenn Sie nur sechs oder sieben Zeichen haben, können Sie Großbuchstaben, Kleinbuchstaben, Sonderzeichen und Zahlen verwenden – das spielt keine Rolle.“ „Es wird weiterhin nur Sekunden oder Minuten dauern, bis man es knackt“, sagt James Lee, COO des Identity Theft Resource Center. „Wenn Sie jedoch ein Passwort mit 12 Zeichen haben, dauert es 300 Jahre, bis es geknackt ist.“ „Ihr Passwort wird Sie überleben.“
Falls sich Unternehmen das IT-Personal, das diese Schulungen leiten soll, nicht leisten können, empfiehlt Holden einen „Brandschutzbeauftragten“-Ansatz. So wie viele Unternehmen Brandschutzbeauftragte haben, die die im Brandfall zu befolgenden Verfahren überwachen, könnten KMU mehrere Mitarbeiter innerhalb des Unternehmens damit beauftragen, die Einhaltung der bewährten Verfahren im Bereich der Cybersicherheit zu überwachen.
„Da Datenlecks mittlerweile an der Tagesordnung sind, kommt das Ignorieren der Cybersicherheit dem gleich, als würde jemand behaupten, es sei in Ordnung, in geschlossenen Räumen offenes Feuer zu entfachen“, sagt Holden. „Auch im Bereich der Cybersicherheit benötigen wir das gleiche Maß an Aufmerksamkeit und Verhaltensänderungen.“
