Den «Faktor Mensch» vom Sicherheitsrisiko zur Stärke machen

Herr Hostettler, Herr Haller, warum ist das Thema «Cybersicherheit» heute ein so brennendes?

Marcel Hostettler: Das hat mit der Tatsache zu tun, dass jede Person, die sich im Cyberspace aufhält, ein potenzielles Opfer verschiedener Gefahren ist. Zu den Kunden von linkyard gehörten sowohl Kommunen als auch Konzerne und KMU - und sie alle sind auf ihre individuelle Art und Weise gefährdet. KMU stehen ganz besonders im Fadenkreuz von Cyberkriminellen, weil sie hinsichtlich Security gewisse Maturitätslücken aufweisen.

Stefan Haller: Das Thema ist auch derart präsent, weil sich die Bedrohungslage deutlich verändert hat: Die Angreifer agieren merklich professioneller als noch vor einigen Jahren. Während es sich bei Hackerangriffen früher um die Taten von Einzelpersonen handelte, die meist ideologisch getrieben waren, ist Cybercrime mittlerweile zu Big Business geworden - inklusive Arbeitsteilung, professionellen Tools und Spezialisierungen. Das verschärft die Gefahr deutlich und die Anzahl verübter sowie erfolgreicher Angriffe steigt. Das ist kritisch, denn Cybercrime wird damit zu einem lukrativen Geschäftsmodell, mit dem viel Geld gemacht wird. Ransomware-Angriffe etwa lassen sich vergleichsweise einfach monetarisieren und dank Bitcoin und Co. sind auch die (Löse-)Geldflüsse anonym.

Dennoch vertreten insbesondere KMU noch oft die Ansicht, dass sie zu wenig attraktiv seien für Cyberangriffe. Wie beurteilen Sie das?

Marcel Hostettler: Das ist leider ein grosser Trugschluss. Viele KMU sind mittlerweile in die Cloud migriert und verlassen sich darauf, dass die Betreiber dieser Infrastrukturen die Sicherheitsthematik abdecken. Doch das reicht bedauerlicherweise nicht aus, denn technische Sicherheit allein schützt leider nicht vor Attacken. Denn der Mensch ist noch immer das primäre Ziel von Cyberkriminellen und bleibt damit der Schlüssel für erfolgreiche Angriffe. Und genau dort wollen und müssen wir den Hebel ansetzen. Wir sprechen in diesem Zusammenhang von der «Human Firewall».

Was versteht man unter einer Human Firewall?

Marcel Hostettler: Wir sind der starken Überzeugung, dass Sicherheit über den Menschen gehen muss - schliesslich gilt er ja auch als Gefahrenquelle Nummer eins. Um also eine stabile und sichere menschliche Firewall gegen Cyberattacken zu bilden, muss die Sensibilität für ein sicheres Online-Verhalten gesteigert und in der Firmenkultur verankert werden. Doch in der Praxis zeigt sich immer wieder, dass die Aufmerksamkeit für das Thema enorm kurz ist. Das überrascht an sich nicht, denn Cybersecurity ist für Unternehmen nach wie vor ein Nebenschauplatz, nicht die Kernaufgabe. Darum führen Sicherheitstrainings in Betrieben meist nur zu einer kurzzeitig ansteigenden Sensibilitätskurve - die im Alltagsstress dann schnell wieder abflacht. Wir versuchen mit unserem Abonnementsansatz die Awareness auf einem konstanten Niveau zu halten. Und diese Konstanz bildet quasi das Fundament der Human Firewall.

Stefan Haller: Eine verlässliche Sicherheitskultur ist auch deswegen so wichtig, weil die Maturität der Technik enorm gestiegen ist. Anders als früher ist es heute beinahe aussichtslos, ein gut gewartetes Windowssystem angreifen zu wollen. Das Hosting solcher Anwendungen liegt ausnahmslos bei Firmen, die genau wissen, was sie tun. Angreifer rennen nicht gerne gegen gut geschützte Infrastrukturen an, sondern spazieren lieber durch den offenen Hintereingang. Darum werden vermehrt die Enduser als Sicherheitsschwachstelle genutzt. Cybercrime verlagert sich dementsprechend vermehrt in Richtung Betrugsversuche, wobei insbesondere künstliche Intelligenz zur Schlüsseltechnologie werden wird. Schon heute werden ganze Unternehmen simuliert und neue Mitarbeitende erhalten zum Beispiel eine Mail des vermeintlichen neuen Chefs, der sie um die Herausgabe von Passwörtern etc. bittet. Die notwendigen Infos für diese Betrugsmaschen zieht die KI automatisch von LinkedIn und anderen Plattformen und Websites ab und formuliert individualisierte Emails in der Sprache des Empfängers. Die Human Firewall ist ein Mittel gegen die Wirksamkeit dieses Ansatzes.

Wie aber verhindert man, dass das Interesse für die Sicherheitsthematik nach einem Workshop direkt wieder abflacht?

Marcel Hostettler: Wir setzen auf ein kontinuierliches Bespielen des Themas. Dabei achten wir darauf, die Leute nicht zu langweilen und unter anderem Mittel wie Gamification einzusetzen, um das Interesse akut zu halten. Zentral ist in diesem Zusammenhang unser bereits angesprochenes Abomodell. Dieses besteht aus drei wichtigen Komponenten. Die erste besteht im Aufsetzen eines Risikomanagements. Gerade in KMU sind diese wichtigen Managementtools für den IT-Bereich oft lückenhaft. Hier unterstützen wir, indem wir dabei helfen, ein IT-bezogenes Risikomanagement in die Gesamtstrategie des Betriebs zu integrieren. Als zweite Komponente fokussieren wir uns auf die Schaffung von Awareness, um den Schutz vor Ransomware, Social Engineering und Co. zu maximieren. Dabei identifizieren und schliessen wir auch Sicherheitslücken wie ungenügende Passwörter, betrachten die notwendigen Sicherheitsvorkehrungen für Remote Work und führen einen initialen Workshop für Risikomanagement durch. Anschliessend legen wir den Kampagnenfahrplan vor, der Security Awareness-Kurse, simulierte Angriffe und verschiedene Schulungen umfasst. Diese Mass-nahmen und Events finden das gesamte Jahr über statt, in der angemessenen Dosierung. Je nach Maturität des Unternehmens ist der Fahrplan intensiver oder umfasst Spezialthemen, die den jeweiligen Betrieb in besonderem Masse betreffen.

Und wie lautet der dritte Abo-Aspekt?

Stefan Haller: Wir führen stetige Monitorings durch, um möglicher Angriffe präventiv zu erkennen und abzuwehren. Denn Indizien für einen bevorstehenden Angriff gibt es viele: So kann etwa ein Vorzeichen für einen Angriff lauten, dass URLs reserviert werden, die ähnlich klingen wie die des eigenen Unternehmens. Das lässt darauf schliessen, dass künftig Leute mit falschen Links in die Irre geführt werden sollen.

Marcel Hostettler: Unseren Kundinnen und Kunden kommt die Tatsache zugute, dass wir bei linkyard sehr breit aufgestellt sind und über eine umfassende Expertise verfügen. Denn wir wollen ein echtes Verständnis für Sicherheit schaffen - und das gelingt uns, weil wir die Sprache der Verwaltungen und der Industrie sprechen. Teil dieses Mindsets ist auch eine gelebte Agilität: Wir bieten das Erstellen eines praxistauglichen Risikomanagements für die IT auch losgelöst vom Abo an, wenn dies den Bedürfnissen eines Betriebs besser entspricht. Dieser kundenzentrierte Ansatz zeichnet uns aus. Die initiale Standortbestimmung kann später dann immer noch die Basis einer weiterführenden Zusammenarbeit bilden.

‍

Hier geht's zum Originalinterview von "Business Pointers" vom 28.09.2024.