Cybersecurity Cyberkriminalität: Die oft verkannte Gefahr für Unternehmen

Anbieter zum Thema

CADFEM Germany GmbH

d.velop AG

xSuite Group GmbH

Das Private ist längst auch das (Firmen-)Politische. Denn in einer zunehmend digital verknüpften Welt sind Privatpersonen seit Jahren schon eine eigene Zielkategorie der Cyberkriminalität geworden, weil sie jeden Tag abseits des Feierabends auch Mitarbeiter in Unternehmen sind.

Es ist eine Szene, wie sie leider täglich weltweit vorkommt: Cyberkriminelle spähen das Social- Media-Profil einer Privatperson aus. Sie erfahren dort nicht nur rein private Informationen (die an sich schon interessant sind), sondern beispielsweise ebenso, wo die Person arbeitet, welche Tätigkeit sie im Unternehmen ausübt. Sie können sehen, mit wem derjenige befreundet ist, finden Kollegen und zahlreiche andere Details. Am Ende dieser Recherche könnte eine perfektionierte Spearphishing-Attacke auf den Arbeitgeber stehen. Glaubwürdig in höchstem Maß, weil die Person alle Informationen frei Haus lieferte, und so zu einem Innentäter wurde, ohne es zu wissen. Auf diese, und leider viele andere Arten, werden Jahr für Jahr zahllose Unternehmen über das Privatleben ihrer Mitarbeiter zum Opfer der Cyberkriminalität, obwohl sie intern in Sachen Security eigentlich vieles richtig gemacht haben. Doch was lässt sich dagegen tun?

1. Sensibilisierung als Schlüsselelement

Man kann Mitarbeiter firmenintern bestens schulen. Man kann ihnen auf der Arbeit technische Möglichkeiten nehmen, sich aus Nachlässigkeit heraus unsicher zu verhalten. Sobald diese Mitarbeiter jedoch die Tagesarbeitszeit beendet haben, können sie sich im privaten Rahmen auf ihren Privatgeräten so unsicher verhalten, wie sie möchten. Da kann für zehn unterschiedliche Accounts dasselbe, schwache, Passwort Verwendung finden; kann der Mitarbeiter sich unsichere Apps von Drittanbietern auf sein Handy laden oder sein privat- berufliches Ich auf sozialen Netzen vor aller Welt ausrollen.

Das Kernproblem an der Sache ist: Solange es sich um Privatgeräte handelt, haben Unternehmen kaum arbeitsrechtliche Möglichkeiten, es zu unterbinden, egal, wie gefährlich es in der Realität sein kann. Wichtig: Alles muss deshalb im Zweifelsfall auf dem Prinzip der Freiwilligkeit basieren, sollte vom Rechtsbeistand des Unternehmens geprüft sein und den Mitarbeitern mit der richtigen Tonalität vermittelt werden.

• Sensibilisierung: Allen Mitarbeitern sollte im Rahmen von IT-Sicherheitsunterweisungen vermittelt werden, wie sehr sich unsicheres Verhalten im Privatleben auf das Unternehmen auswirken kann. Klassische Sensibilisierung also, die unbedingt mit Storytelling-artigen Praxisbeispielen angereichert werden sollte.
• Vertragliche Regelungen: Die Mitarbeiter sollten über den Weg des Arbeitsvertrags Vorgaben bekommen, was sie in privaten Social-Media-Auftritten über ihr berufliches Ich verraten dürfen. Mitunter bietet sich eine vom Arbeitgeber gepflegte Lösung über getrennte Accounts an.
• Unterstützung anbieten: Erwiesenermaßen wirksam ist konkrete Unterstützung durch das Unternehmen. Das bezieht sich insbesondere auf den Schutz vor Identitätsdiebstahl: Hier könnte der Arbeitgeber beispielsweise entsprechende Tools (mit)finanzieren.

2. Cyberkriminalität: Gefahrenzone Homeoffice

Die Nutzung eines privaten Computers für die Arbeit aus dem Homeoffice lassen viele Unternehmen aufgrund der unkontrollierbaren Sicherheitslücken nur selten zu. An einem Punkt wird es jedoch stets kritisch: Fast immer laufen die Geräte über einen Internetzugang, der zumindest nach Feierabend auch privat genutzt wird, sofern während der Arbeit nicht zum Beispiel das Privat-Handy damit verbunden ist. Dennoch handelt es sich um keinen Angriffsvektor, den Unternehmer nicht sperren oder zumindest besser kontrollieren können.

Folgende Möglichkeiten stehen zur Verfügung:

• Arbeitsrechtlich: Homeoffice wird beispielsweise nur gewährt, wenn der Arbeitnehmer rund um den Router gewisse Mindestvorgaben einhält. Beispielsweise ein starkes Passwort. Für die Nutzung des Firmenrechners gelten strikte Vorgaben. Etwa keinerlei private Nutzung, keine eigenverantwortliche Software-Installation.
• Unterstützend: Der Arbeitgeber stellt einen eigenen Router beziehungsweise Firmen-DSL-Anschluss und finanziert diesen komplett. Dadurch hat er trotz des privaten Aufstellungsortes weitgehende Weisungsbefugnisse. Natürlich muss berufliche Hardware dann zwingend nur darüber genutzt werden.
• Vertraglich: Arbeitgeber sollten insbesondere darauf achten, wie genau die Remote-Arbeit definiert wird. Hierzu sei auf den Unterschied zwischen „Telearbeit", „Homeoffice" und „Mobile Arbeit" im deutschen Rechtssystem verwiesen.
• Technisch: Das umfasst insbesondere einen Zwang zur Nutzung von firmeneigenen VPN sowie DNS-Filtern und eine Behandlung von Außerhaus-Geräten mittels einer Zero-Trust-Architektur.

Wichtig: Nach Möglichkeit sollten bei beruflich genutzten Zwei-Faktor-Authentifizierungen keine Privatgeräte erlaubt sein, auf denen die 2FA-App läuft.

3. Cyberkriminalität: Motivation und Belohnung nutzen

Deutschland hat starke Arbeitnehmerrechte. Mitarbeitern regelrechte Vorschriften für ihr Privatleben zu machen, wird daher mit hoher Wahrscheinlichkeit negative Konsequenzen für das Unternehmen haben, sei es bloß in der inneren Einstellung des Teammitglieds oder in einem handfesten Rechtsstreit. Kein Gesetz verbietet es jedoch, die Mitarbeiter zu motivieren, zu belohnen und über diesen Weg geschickt zu „nudgen“. Folgende Maßnahmen unterstützen hierbei:

• Sicherheit als Lebenskompetenz: Sich sicher zu verhalten, ist längst eine ganzheitliche Lebenskompetenz. Es kommt nur auf eine geschickte Vermarktung an. Namentlich etwas, von dem der Mitarbeiter erkennt, dass es sich für sein Privatleben (Bankdaten, Shop- Accounts usw.) absolut lohnt, sich dort ebenso digitalsicher zu verhalten wie während der Arbeitszeit.
• Handlungsanweisungen: Ein Arbeitgeber, der sich kümmert, wird stets positiv wahrgenommen. Einfache Handlungsanweisungen, die als generöse Handreichung dargestellt werden, gehören dazu. Beispielsweise Ratgeber- Flyer „Privates Online-Banking so sicher wie das Firmennetzwerk – so geht's“ oder „So wird man über seinen privaten Social-Media-Account zum Mittäter der Cyberkriminalität“.
• Spürbare Vorteile und Geschenke: Belohnungen finanzieller und anderer Natur können ebenfalls starke Anreize für freiwilliges richtiges Verhalten bieten. Beispielsweise kleine Prämien für die private Nutzung von 2FA, das nachgewiesene häufige Ändern von Passwörtern oder eine Verlosung im Stil von „Wer hat das stärkste WLAN-Passwort?“. Naturgemäß, nachdem ein neues Passwort integriert wurde.

Auf diese Weise lernt das Team für sein Privatleben ein sichereres Verhalten. Das wird vielleicht nicht alle Lücken schließen, besonders mit Blick auf die anderen Mitglieder des Haushalts. Dennoch kann es verschiedene Angriffsvektoren sperren - und nur dabei geht es bei jeder Form von Schutz gegen Cyberkriminalität.