Müssen Unternehmen Datenleaks fürchten?

Sind Datenleaks, wie sie zuletzt im großen Stil Politiker trafen, auch eine Gefahr für Unternehmen? Auszuschließen ist das nie, allerdings ist die Zielgruppe der Interessenten solcher geleakter Daten, wie im aktuellen Fall bei Politikern oder anderen Personen des öffentlichen Lebens, viel größer als bei Daten eines Unternehmens. Es sei denn, es werden private Informationen über den CEO eines großen börsennotierten Unternehmens geleakt. Firmen sind eher von klassischen Hackerangriffen betroffen, bei denen es darum geht, sich einen Marktvorteil zu verschaffen oder Wirtschaftsspionage zu betreiben. Hier hätte der Täter wenig davon, diese Daten der breiten Öffentlichkeit zur Verfügung zu stellen. Sensible Firmendaten sind ein Nischenprodukt und werden daher typischerweise im Darknet gehandelt. Können sich Unternehmen dann also zurücklehnen? Auf keinen Fall. Die aktuellen Vorkommnisse haben wieder aufgezeigt, welch kritische Größe in der IT-Sicherheit der Faktor Mensch ist. Unternehmen sind, was die Absicherung der Hardware und IT-Systeme vor Hackerangriffen oder Virenattacken betrifft, zunehmend besser ausgestattet. Das Haupteinfallstor ist der Mensch, daher gehören Phishing-Mails nach wie vor zu den beliebtesten Waffen von Cyberkriminellen. Mit welcher Art von Informationen wird in Unternehmen besonders fahrlässig umgegangen? Ganz eindeutig mit E-Mail-Adressen. Gar nicht so wenige Mitarbeiter erstellen mit ihrer Dienstadresse privat genutzte Accounts. Wenn sich ein Mitarbeiter bei einer Website anmeldet, dabei womöglich noch das gleiche, unsichere Passwort benutzt, und diese Website dann gehackt wird, landen die Informationen ganz schnell im Darknet. Login-Daten sind für Hacker immer der Schlüssel, auf denen sie ihre Angriffe aufbauen. Erstellt ein Mitarbeiter mit seinen Firmenzugangsdaten auch noch einen Account bei einer zwielichtigen Website, werden Unternehmen und ihre Mitarbeiter zudem schnell erpressbar. Wie merke ich überhaupt, welche Daten über mich im Internet verfügbar sind? Es gibt Monitoring-Tools, welche durchgängig abfragen, ob Informationen wie E-Mail Adressen, Login-Daten oder Kreditkarteninformationen im frei zugänglichen Teil des Internets und im Deep-/ Darkweb verfügbar sind. Wir bei TÜV SÜD arbeiten ebenfalls an einem Service, welcher die Exposition eines Unternehmens im Internet kontinuierlich erfasst und die damit verbunden Risiken darstellt. Solche Tools kosten viel Geld. Wie können sich auch kleine Unternehmen schützen? Da unsere Kunden hauptsächlich kleine und mittlere Unternehmen sind, richten wir unsere Services an deren Möglichkeiten und Bedürfnissen aus. Ein erster wichtiger Schritt ist jedoch, die Regeln im Unternehmen klar abzustecken. Beispielsweise sollte schon im Arbeitsvertrag stehen, dass die dienstliche E-Mail-Adresse nicht für private Zwecke genutzt werden darf. Awareness-Trainings können sich auch kleine Firmen leisten - jedem Mitarbeiter muss jederzeit bewusst sein, was mit den Daten passieren kann, die im Internet veröffentlicht werden. Die drei Grundregeln, dass Mitarbeiter starke Passwörter vergeben, diese regelmäßig ändern müssen, und das Passwort bei unterschiedlichen Diensten nie gleich sein darf, sollte zudem in jedem noch so kleinen Unternehmen beherzigt werden. Datenklau bei Politikern und Promis Der massenhafte Leak privater Daten von Hunderten Politikern und anderen Personen des öffentlichen Lebens via Twitter hat zuletzt nicht nur die Betroffenen aufgeschreckt steckt hinter dem Cyberangriff doch ein erst 20-jähriger Schüler, der sich seine Hacker-Kenntnisse nach eigenen Angaben selbst beigebracht hat. Der Vorfall gilt als weiteres Beispiel für die Sorglosigkeit vieler Internetnutzer im Umgang mit sensiblen Daten. mh