Vor etwa zwei Wochen wurde ein Unternehmen der Logistikbranche überfallen. Zwar kamen die Täter nicht mit Sturmhaube und Pistole. Denn der Angriff ereignete sich im Internet. Die komplette Versorgung einer sehr großen Anzahl von Tankstellen mit Treibstoff war nicht mehr möglich. Da stellt sich die Frage, was passiert, wenn unbeabsichtigt ein Angriff im Homeoffice erfolgt und dann das Computersystem des Unternehmens lahmgelegt wird. Luckx – das magazin ging dieser Frage nach.
Überfall
Tankstellenüberfälle waren früher ein lohnendes Geschäft. Neben Zigaretten und Alkohol konnte meist noch viel Bargeld erbeutet werden. Doch das ist vorbei. Die Kartenzahlung lässt Tankstellenüberfälle eher in die Kategorie Dummheit abrutschen. Das richtige Geld wird mit dem Eindringen in das Computersystem erbeutet.
Und so kann es dann auch in fast jedem Unternehmen passieren. Denn in der fünften Corona-Welle mit der Omikron-Variante arbeitet fast jeder vierte Beschäftigte (23 Prozent) ausschließlich im Homeoffice oder mobil. Weitere 21 Prozent geben an, dass sich bei ihnen Homeoffice und das Arbeiten im Büro abwechseln. Das hat eine Forsa-Umfrage unter 1.507 Erwerbstätigen ergeben, die vom 18. bis 23. Januar 2022 durchgeführt wurde. Laut der Umfrage berichten 14 Prozent der Erwerbstätigen, dass es in den vergangenen zwei Jahren bei ihrem Arbeitgeber zu einem oder mehreren IT-Sicherheitsvorfällen gekommen ist. In der Regel handelt es sich dabei um erfolgreiche Phishing-Angriffe oder gezielte Attacken mit Erpressungssoftware (Ransomware). 41 Prozent der befragten Arbeitnehmer geben an, dass es keine Vorgaben ihres Arbeitgebers gibt oder ihnen keine Regeln bekannt sind, wie sie sich bei einem IT-Sicherheitsvorfall verhalten sollen. Dabei ist die Zeit bei einem erfolgreichen IT-Angriffen ein entscheidender Faktor, um den Schaden möglichst schnell einzudämmen. Erfolgreiche oder auch vermutete Angriffe müssten sofort gemeldet und das betroffene Gerät vorsorglich vom Internet getrennt werden, bevor weiterer Schaden entsteht.
Fehlende Sicherheitsschulung
Laut den Ergebnissen der Umfrage haben nur 38 Prozent der im Homeoffice arbeitenden Befragten an einer Schulung zum Thema mobiles Arbeiten teilgenommen. Als wichtigste Inhalte der Schulungen nennen 85 Prozent der Teilnehmenden die Erkennung von Cyberangriffen, 84 Prozent die Einhaltung des Datenschutzes beim mobilen Arbeiten und 81 Prozent das richtige Verhalten bei IT-Sicherheitsvorfällen. Aber auch Themen wie Ergonomie am Arbeitsplatz (61 Prozent) oder der Umgang mit Anwendungen wie Videokonferenz-Systemen wurden behandelt (54 Prozent).
In der Umfrage geben knapp drei von vier Befragten an (74 Prozent), dass es für die Arbeit im Homeoffice zum Thema IT-Sicherheit bestimmte Regeln ihres Arbeitgebers gibt. Davon geben 74 Prozent an, dass sie regelmäßig Software-Updates installieren sollen, 64 Prozent dürfen keine privaten USB-Sticks nutzen und bei 56 Prozent existieren Regeln oder ein Verbot für die private Nutzung von Geräten und Anwendungen. 48 Prozent dürfen keine privaten Cloud-Dienste mit dem Computer des Arbeitgebers nutzen und bei 39 Prozent gibt es Vorgaben oder sogar ein Verbot für die Nutzung öffentlicher WLAN-Netze. Nur 8 Prozent der im Homeoffice Tätigen müssen Vorgaben für die Konfiguration des heimischen Routers befolgen.
Als wichtigste Sicherheitsmaßnahmen nennen 69 Prozent der Homeoffice-Beschäftigten den Einsatz eines so genannten VPN-Clients, um eine sichere Verbindung zum Netzwerk des Arbeitsgebers herstellen zu können. 21 Prozent nutzen eine Internetbrowser-basierte Verschlüsselung. 31 Prozent nennen weitere Sicherheitsvorkehrungen wie beispielsweise Passwortschutz, Virenscanner oder Firewalls. Der TÜV-Verband gibt Hinweise, wie Arbeitnehmer:innen die digitale Sicherheit im Homeoffice verbessern können:
Berufliches und Privates trennen
Wer mit dem Computer seines Arbeitgebers privat im Internet surft, kann sich auf diesem Weg gefährliche Schad-Software einfangen. Neben der ausschließlichen Nutzung von Geräten des Arbeitgebers für berufliche Zwecke kann es sinnvoll sein, ein eigenes WLAN-Netzwerk für die Arbeit einzurichten und Kommunikation der Geräte untereinander im Heimnetzwerk zu unterbinden.
Vorsicht ist grundsätzlich bei allen E-Mails von unbekannten Absendern geboten. Phishing-Mails enthalten Links zu gefährlichen Webseiten mit dem Ziel, Zugangsdaten des Benutzers „abzufischen“. Zudem verschicken Cyberkriminelle massenhaft Spam-E-Mails mit Anhängen, in denen sich Schad-Software versteckt. Daher dürfen die Dateianhänge und möglichst auch die E-Mails selbst nicht geöffnet werden. Verdächtige E-Mails sollten gelöscht oder zunächst an den IT-Support des Arbeitgebers weitergeleitet werden.
Besonders findige Cyberkriminelle greifen Organisationen gezielt an, indem sie Mitarbeitern persönlich kontaktieren und täuschend echte E-Mail-Adressen verwenden. Das sollten alle Beschäftigten im Hinterkopf behalten und prüfen, ob die Absender seriös sind.
Sowohl im Büro als auch im Homeoffice sollten Beschäftigte Software-Updates möglichst zügig durchführen. In vielen Fällen werden mit den Updates Sicherheitslücken geschlossen oder zusätzliche Sicherheitsfeatures installiert.
In größeren Online-Meetings mit Zoom, Microsoft Teams oder anderen Videokonferenz-Tools verlieren die Teilnehmenden schnell den Überblick, wer anwesend ist. Die Organisatoren des Meetings sollten darauf achten, alle Teilnehmenden persönlich zu identifizieren – entweder namentlich, per Kamera oder mit einer Vorstellungsrunde. Das ist vor allem notwendig, wenn sensible Informationen in einem Meeting geteilt werden.
Beschäftigte sollten die Vorgaben des Arbeitgebers und des IT-Supports beachten und keine eigenen Software-Anwendungen nutzen. Sind Mitarbeiter auf Tools angewiesen, die nicht vom Arbeitgeber unterstützt werden, sollten sie dennoch den Kontakt zu ihrem IT-Support suchen und absprechen, was erlaubt ist und was nicht. Bei einem Sicherheitsvorfall sollten Beschäftigte nicht zögern und sofort die IT-Abteilung kontaktieren.
Methodik-Hinweis: Grundlage der Angaben ist eine repräsentative Forsa-Umfrage im Auftrag des TÜV-Verbands unter 1.507 Erwerbstätigen ab 18 Jahren, die vom 18. bis 23. Januar 2022 durchgeführt wurde.